데이터 3법(Data 3 Acts)이란 무엇일까요?

데이터 3법이란?

데이터 3법(Data 3 Acts)은 개인정보 보호법, 정보통신망 이용촉진 및 정보보호 등에 관한 법률(정보통신망법), 신용정보의 이용 및 보호에 관한 법률(신용정보법)을 함께 개정한 2020년 법률 패키지를 가리키는 통칭입니다. 개별 법률의 이름이 아니라, 데이터 경제 활성화와 개인정보 보호라는 두 요구를 동시에 충족시키기 위해 세 법률을 묶어 처리했다는 뜻에서 붙은 이름입니다.

개정 전에는 개인정보 관련 규정이 세 법률에 나뉘어 있어 감독기구도 제각각이었고, 유출 사고가 나면 어느 기관에 신고하고 조사받아야 하는지부터 혼란스러웠습니다. 2020년 1월 9일 국회를 통과해 같은 해 8월 5일부터 시행된 개정안은 이런 분산된 체계를 정비하는 데 초점을 맞췄습니다. 산업계는 빅데이터·인공지능 서비스 개발에 필요한 데이터 활용 근거를, 시민단체는 개인정보 자기결정권 보호를 요구해 왔고, 개정안은 그 절충점으로 가명정보 개념을 도입했습니다.

데이터 3법의 핵심 내용

세 법률 개정의 공통된 뼈대는 다음 세 가지로 요약할 수 있습니다.

1. 가명정보 개념 도입 — 추가 정보 없이는 특정 개인을 알아볼 수 없도록 처리한 '가명정보'를 통계 작성, 과학적 연구, 공익적 기록보존 목적이면 정보주체 동의 없이도 활용할 수 있도록 했습니다.
2. 감독기구 일원화 — 행정안전부·방송통신위원회·금융위원회 등에 흩어져 있던 개인정보 감독 권한을 개인정보보호위원회로 모으고, 국무총리 소속 중앙행정기관으로 격상해 조사·처분의 독립성을 확보했습니다.
3. 온라인 규정의 이관 — 정보통신망법에 있던 개인정보 관련 특례 조항 대부분을 개인정보 보호법으로 옮겨, 온라인·오프라인 구분 없이 하나의 법으로 개인정보를 규율하도록 정리했습니다.

세 법률, 무엇이 다른가

세 법률은 같은 패키지로 개정됐지만 소관 기관과 적용 대상은 여전히 구분됩니다.

대표 사례 — 잇따른 대형 유출과 2026년 과징금 강화

데이터 3법이 가명정보 활용의 문을 열어줬다면, 그 반대편에서는 개인정보 보호법의 '안전조치 의무'를 소홀히 한 기업에 대한 제재가 최근 들어 크게 강화되고 있습니다. 2025~2026년 쿠팡·SK텔레콤·KT에서 연이어 발생한 대규모 개인정보 유출 사고가 그 직접적인 계기가 됐습니다.

이런 흐름 속에 개인정보 보호법 개정안이 2026년 3월 공포돼 같은 해 9월 11일부터 시행됐습니다. 핵심은 반복적·고의적 위반이거나 1,000만 명 이상의 피해가 발생한 경우 과징금 상한을 기존 매출액의 3%에서 최대 10%까지 올린 것입니다. 유출 통지 의무도 확대돼, 유출이 확정되지 않고 '가능성'만 인지한 단계에서도 이용자에게 알려야 하며 랜섬웨어로 인한 데이터 훼손도 통지 대상에 포함됐습니다. 아울러 대표이사가 개인정보 보호의 최종 책임자가 되고, 일정 규모 이상 기업은 개인정보 보호책임자(CPO) 지정 시 이사회 의결을 거치도록 했습니다. ISMS-P 인증 의무화 규정은 준비 기간을 고려해 2027년 7월 1일부터 적용됩니다.뉴시스

실무 체크포인트 — 강화된 안전조치 의무 대응

매출 10% 과징금 시대, 가명정보 활용과 안전조치 의무를 동시에 점검해야 합니다.

가명정보를 활용하든 원본 개인정보를 보관하든, 결국 관건은 '어디에 어떤 정보가 있는지'를 정확히 아는 것입니다. 오피스키퍼는 민감정보관리로 조직 내 문서에 흩어진 개인정보·가명정보를 자동으로 검출하고, DB 접근제어와 DLP(정보 유출 방지)로 접근통제와 외부 유출 경로까지 관리해 강화된 안전조치 의무 대응을 뒷받침합니다.

자주 묻는 질문