학원이 지켜야 할 개인정보보호법 — 2026년 9월 개정 반영

학원은 미성년자 개인정보를 대량으로 다룹니다. 그래서 일반 사업장보다 기준이 높고, 어떤 항목은 과태료가 아니라 형사처벌입니다. 2026년 9월 11일 개정법이 시행되어 유출 ‘가능성’ 단계의 통지 의무까지 생겼습니다.

1. 만 14세 미만 — 여기가 1순위 리스크다

초·중등 학생 대부분이 만 14세 미만입니다. 학생이 직접 쓴 등록카드나 학생이 보낸 카톡만으로는 위법입니다.

확인 방법 7가지 (시행령 제17조의2 제1항 — 하나만 택하면 됨)

1. 1인터넷 사이트에 동의 표시 + 개인정보처리자가 확인했음을 법정대리인 휴대전화 문자메시지로 알림
2. 2인터넷 사이트에 동의 표시 + 법정대리인의 신용카드·직불카드 등 카드정보를 제공받음
3. 3인터넷 사이트에 동의 표시 + 법정대리인 휴대전화 본인인증
4. 4동의 내용이 적힌 서면을 발급·우편·팩스로 전달 → 법정대리인 서명날인 후 제출 (실무상 가장 흔함)
5. 5전자우편 발송 → 동의 의사표시가 적힌 전자우편 회신 수령
6. 6전화로 동의 내용을 알리고 동의를 받거나, 확인 방법을 안내하고 재차 전화 통화로 동의를 받음
7. 7위에 준하는 방법

아이에게 직접 물어봐도 되는 것은 법정대리인의 성명과 연락처뿐입니다(시행령 제17조의2 제2항). 입증책임은 학원에 있으므로 확인한 증빙을 보관하세요.

2. 무엇을 받아도 되나

법령에 “학원이 받아도 되는 항목 목록”은 없습니다. 판단 기준은 두 가지입니다 — 최소수집 원칙과 다른 법령이 요구하는 항목인가.

3. 동의서에 반드시 들어갈 4가지

그리고 체크박스를 쪼개야 합니다. 법 제22조 제1항은 일반 수강 동의, 민감정보 동의, 고유식별정보 동의, 홍보·판매권유(마케팅) 동의를 각각 구분해서 받도록 규정합니다. 수강 등록 동의서에 광고 수신 체크박스를 끼워 넣거나 기본 체크해 두면 위법입니다.

서면 동의서의 ‘중요한 내용’ 강조

과거 안내서에 있던 “9포인트 이상” 같은 수치 기준은 현행 고시에 없습니다. 강조만 하면 됩니다.

4. 퇴원생 정보는 언제까지 갖고 있나

원칙은 불필요해지면 지체 없이 파기(법 제21조 제1항)이고, 표준 개인정보 보호지침 제10조 제1항이 이를 5일 이내로 구체화합니다. 예외는 “다른 법령에 따라 보존하여야 하는 경우”인데, 학원에는 그 법령이 있습니다.

파기 방법도 정해져 있습니다 — 전자파일은 복원이 불가능한 방법으로 영구 삭제(덮어쓰기·완전파괴·소자), 종이는 파쇄 또는 소각. 휴지통 비우기는 파기가 아닙니다. 파기 사실을 기록·관리하고 대표자가 결과를 확인해야 합니다.

5. 안전조치 — 엑셀과 카톡이 정확히 어디서 걸리나

법 제29조와 시행령 제30조가 8가지 조치를 요구하지만, 소규모 학원에는 완화되는 것이 있습니다. 먼저 그것부터 정리합니다.

엑셀·카카오톡 관리가 걸리는 조문

• 고시 제6조 제3항 — 개인정보가 공유설정 등을 통해 권한 없는 자에게 공개되지 않도록 조치. 강사 개인 PC·개인 카톡에 명단 파일이 흩어지면 여기 걸립니다.
• 고시 제6조 제5항 — 업무용 모바일 기기에 비밀번호 설정. 카톡으로 명단을 주고받는 강사 휴대폰에 잠금이 없으면 위반.
• 고시 제12조 — 출력·복사 시 용도를 특정하고 출력 항목을 최소화. “전체 학생 명단 엑셀”을 통째로 뽑아 단톡방에 올리는 행위가 정면으로 걸립니다.
• 고시 제5조 제1항·제4항 — 권한은 업무상 최소 범위로 차등 부여, 계정은 취급자별로 발급하고 공유 금지. 공용 PC 하나에 공용 계정으로 전 강사가 전체 명단을 보는 구조는 위반.
• 회수·파기가 구조적으로 불가능합니다. 카톡으로 나간 파일은 강사가 퇴사해도, 학생이 퇴원해도 지울 수 없습니다. 제21조(파기)와 제29조(안전조치) 이행 자체가 성립하지 않습니다.

6. 개인정보 처리방침 — 1인 학원도 의무

법 제30조 제1항에는 규모에 따른 예외가 없습니다. 포함해야 할 항목 중 학원이 놓치기 쉬운 것은 다음입니다.

• 파기절차·방법, 그리고 법령에 따라 보존하는 경우 보존 근거와 보존하는 개인정보 항목 — 여기에 학원법 시행규칙 별표 2를 적으면 됩니다.
• 처리 위탁에 관한 사항 — 학원관리 SaaS나 문자발송 대행을 쓰면 해당됩니다.
• 정보주체와 법정대리인의 권리·의무 및 행사방법
• 보호책임자의 성명과 연락처
• 처리하는 개인정보 항목, 안전성 확보 조치에 관한 사항

공개 방법은 홈페이지 지속 게재가 원칙이고, 홈페이지가 없으면 원내 보기 쉬운 장소에 게시하거나 수강 계약서에 실어 교부하면 됩니다(시행령 제31조 제3항). CCTV 운영·관리 방침도 처리방침 하나에 통합할 수 있습니다(법 제25조 제7항 단서).

7. 유출 — 72시간

통지와 신고는 다릅니다. 통지는 건수와 무관하게 항상 의무이고, 신고는 기준이 있습니다.

학원은 수강생이 1천명 미만이어도 ②(건강정보 등 민감정보 보유)나 ③(PC 해킹·랜섬웨어·계정 탈취)에 걸려 신고 의무가 생기는 경우가 많습니다. 신고처는 개인정보보호위원회 유출신고 시스템(brss.pipc.go.kr)입니다.

연락처를 몰라 통지할 수 없으면 홈페이지에 30일 이상 게시하고, 홈페이지가 없으면 원내 보기 쉬운 장소에 30일 이상 게시하면 됩니다.

8. CCTV — 가장 자주 놓치는 조항은 녹음이다

• 안내판 기재사항은 3가지 — 설치 목적 및 장소 / 촬영 범위 및 시간 / 관리책임자의 연락처
• 건물 안에 여러 대면 출입구 등 잘 보이는 곳에 하나만 설치해도 됩니다(시행령 제24조 제1항 단서). 강의실마다 붙일 필요 없습니다.
• 보관기간은 방침에 명시하되, 산정이 곤란하면 수집 후 30일 이내(표준지침 제41조 제2항)
• 화장실·탈의실 내부가 보이면 과태료 최고 구간(1차 1,500 / 3차 이상 5,000만원)

9. 학부모 문자는 광고인가

정보통신망법 제50조는 영리목적의 광고성 정보에만 적용됩니다. 여기 해당하지 않으면 사전 동의도, (광고) 표기도, 야간 전송 제한도 전부 적용되지 않습니다.

광고 문자를 보낼 때

• 맨 앞에 (광고) + 전송자 명칭 + 전화번호 또는 주소. (광 고), [광고] 같은 변형은 금지입니다 (시행령 별표 6 공통 1).
• 끝부분에 수신거부 방법(080 등)과 “무료”임을 함께 명시
• 21:00 ~ 익일 08:00 전송은 주간 동의와 별개의 야간 동의가 필요합니다. 예외 매체는 전자우편뿐입니다 — SMS·카카오톡·앱 푸시 전부 제한 대상.
• 수신동의·거부·철회 의사표시 후 14일 이내 처리 결과 통지
• 동의일로부터 2년마다 수신동의 여부 확인. 학부모마다 동의일이 달라 일괄 발송이 아니라 날짜별 관리가 필요합니다.

참고로 출결·수납 알림은 야간 제한을 받지 않습니다. 밤 10시 하원 알림은 적법합니다.

10. 과태료·과징금 정리

11. 체크리스트

등록 시

• 동의서에 4가지 고지사항(목적·항목·보유기간·거부권과 불이익)이 모두 있는가
• 필수 / 선택 / 마케팅 / 민감정보 체크박스가 분리되어 있는가
• 만 14세 미만이면 법정대리인 동의를 받고, 동의했다는 사실을 확인하고, 증빙을 보관했는가
• 주민등록번호를 받고 있지 않은가
• 중요한 내용을 글씨 크기·색·굵기·밑줄로 강조했는가
• 선택 동의를 거부한 학생의 수강을 거부하지 않았는가

평소

• 강사별 계정을 분리하고 공용 계정을 쓰지 않는가
• 접근 권한을 업무상 최소 범위로 차등 부여했는가
• 권한 부여·변경·말소 내역을 기록하고 3년 보관하는가
• 퇴사 강사의 권한을 지체 없이 말소했는가
• 명단 엑셀을 단톡방·개인 카톡으로 돌리지 않는가
• 서류·USB를 잠금장치 있는 장소에 보관하는가
• 업무용 휴대폰에 비밀번호를 설정했는가
• 개인정보 처리방침을 수립하고 원내 게시 또는 계약서 교부로 공개했는가
• CCTV 녹음 기능을 껐는가

퇴원 시

• 성적·사진·상담기록 등 법정 보존 근거가 없는 항목을 파기했는가
• 수강생 대장 3년 / 영수증·장부 5년이 지난 것을 5일 이내 파기했는가
• 보존 중인 퇴원생 정보를 재원생 DB와 분리 저장했는가
• 파기 사실을 기록하고 원장이 결과를 확인했는가