선생님이 직접 만들었거나 도입하려는 교육용 소프트웨어를 학교에서 공식적으로 도입·사용하려는 경우의 절차입니다. 아래 표로 내 경우를 먼저 찾고, 진단을 눌러 꼭 필요한 단계만 따라가면 됩니다.
01한 장으로 보는 분류표
두 가지가 절차를 가릅니다. ① 학생 개인정보나 교과 학습콘텐츠를 다루는가(→ 학교운영위원회 심의 여부), ② 그 정보가 학교 밖으로 나가는가(→ 보안 절차 여부).
| 케이스 | 어떤 SW인가 | 학운위 심의 (제29조의2 교육 자료) | 보안성 검토 · 영향평가 |
|---|---|---|---|
| A. 단순 도구 | 학생 개인정보도, 교과 학습콘텐츠도 다루지 않는 교사 업무·수업준비용 | 불요 — 학교장 판단으로 활용 | 불요 |
| B. 로컬 학습지원 | 개인정보·학습콘텐츠를 다루되 교사 PC/학교 내부에만 저장, 외부 전송 없음 — 살핌 유형 | 필요 + 개인정보 필수기준 충족 확인 | 비대상(외부 미전송) |
| C. 마스킹 외부전송 | 외부(클라우드·AI)로 보내되 식별정보를 가리고 외부의 학습·저장을 차단 | 필요 + 필수기준 + 위탁·국외이전 고지 | 클라우드 보안성 검토 생략 가능(교육현장 특례) |
| D. 식별정보 외부 클라우드 | 학생 식별정보를 외부 서버/클라우드에 그대로 전송·저장(웹·SaaS 등) | 필요 + 필수기준 + 처리방침·동의·위탁 | CSAP·보안성 검토 검토 · 대규모면 영향평가 |
유료 구매 여부, 소속 교육청, 에듀집 등록은 위 케이스에 얹어지는 추가 사항입니다. 아래 진단에서 함께 안내합니다.
02내 경우 진단하기
질문에 답하면 해당 케이스에 꼭 필요한 절차만 보여 줍니다.
이 소프트웨어가 ① 학생 개인정보를 처리하거나, ② 교과 성취기준과 연결된 학습콘텐츠를 담아 수업에 쓰이나요?
둘 중 하나라도 해당하면 "예". 학생 정보 없이 교사 업무·수업준비에만 쓰는 도구면 "아니오".
03알아 두면 좋은 기본
학운위 심의 기준은 ‘학생 개인정보·학습콘텐츠’ (무료/유료 아님)
「초·중등교육법」 제29조의2(교육 자료) 제2항(2026.3.1. 시행)은 학생 개인정보를 처리하거나 교과 학습콘텐츠를 포함한 학습지원 소프트웨어를 교육자료로 선정할 때 학교운영위원회 심의를 거치도록 합니다. 무료라서, 또는 교사가 직접 만들었다고 해서 면제되지 않습니다. 반대로 학생 개인정보를 다루지 않는 단순 업무용 도구는 무료든 유료든 이 심의 대상이 아닙니다. 교육자료(학습지원 SW) 선정은 국·공립·사립 학교 모두 학교운영위원회 ‘심의’ 사항입니다(제32조제1항제4호 — 사립학교 학운위도 2021. 9. 24. 개정으로 심의기구가 되어 ‘자문’은 학칙 등 제1호 사항에만 한정). 심의 시 확인하는 개인정보 필수기준은 교육부 선정기준(2025.12.30.)을 따릅니다.
개인정보를 다룬다면, 케이스와 무관하게 기본
- 필요한 항목만 최소로 수집하고, 수집 목적·항목·보유기간을 안내합니다.
- 만 14세 미만 학생의 정보를 직접 다루는 서비스라면 법정대리인 동의 절차를 마련합니다.
- 전송·저장 시 암호화 등 안전조치를 적용하고, 열람·정정·삭제 요구에 응할 창구를 둡니다.
- 외부 AI로 보낼 때는 이름·학번 등 식별정보를 가린 뒤(가명처리) 보냅니다 — 개인정보보호위원회 「생성형 AI 개발·활용 개인정보 처리 안내서」(2025.8.)와 교육부 생성형 AI 활용 지침이 제시한 방법으로, AI 제공자의 학습·보관까지 막으면 더 안전합니다.
정보가 학교 밖으로 나가면 — 트리거 세 개가 차례로 켜집니다
분류표의 두 번째 축(그 정보가 학교 밖으로 나가는가)이 절차 무게를 가르는 이유입니다. 학생 개인정보를 외부 서버·클라우드로 보내는 순간 아래 세 가지 의무가 켜집니다. 교사 PC·학교 내부에만 두면(케이스 B) 셋 다 처음부터 적용되지 않습니다.
| 외부로 내보내면 켜지는 것 | 법적 근거 | 학교 내부에만 두면 |
|---|---|---|
| 처리위탁 — 외부 사업자가 ‘수탁자’가 되어 위탁계약·수탁자 공개·교육·감독·재위탁 통제 의무 | 개인정보 보호법 제26조 | 수탁자 없음 → 위탁 의무가 발생하지 않음 |
| 국외이전 — 해외 리전 보관·처리 시 정보주체 동의 또는 처리방침 공개 | 개인정보 보호법 제28조의8 | 국외이전 없음 |
| CSAP·정보보안성 검토 — 공공기관에 공급되는 클라우드는 보안인증(CSAP), 외부 통신망을 새로 여는 정보화사업은 보안성 검토 | 클라우드컴퓨팅법 제23조의2 · 시도교육청 정보보안 기본지침 | 비대상 → 클라우드 서비스·외부 통신망 사업이 아님 |
케이스 C(마스킹 후 외부 전송)는 식별정보를 가리고 외부 학습·저장을 차단해 위험을 낮추지만, 데이터가 밖으로 나가는 사실 자체는 남아 위탁·국외이전 고지를 케이스 B보다 더 챙겨야 합니다. 한편 교육청 정보보안 기본지침은 ‘학생 교육목적 클라우드·무선랜’과 ‘단순 장비·소프트웨어 도입’을 보안성 검토 생략으로 두는 경우가 많습니다(예: 전북 제15·16조, 서울·경기 제14~16조; 시도별 조문 호 번호가 다르고 일부 시도는 지침이 비공개라, 아래 02 진단에서 시·도를 고르면 내 지역 기준을 안내합니다).
개인정보 영향평가는 대규모 공공기관 파일만
「개인정보 보호법」 제33조·시행령 제35조에 따라 공공기관의 대규모 개인정보파일(민감·고유식별 5만 명, 연계 결과 50만 명, 일반 100만 명 이상)에만 의무입니다. 교사 한 명이 학급 단위로 다루는 규모는 대상이 아닙니다.
04근거·출처
아래 링크를 누르면 원문을 바로 확인할 수 있습니다.
- 「초·중등교육법」 제29조의2(교육 자료)·제32조(기능) — 국가법령정보센터 (학습지원 SW 선정·학운위 심의 근거는 제29조의2 제2항, 2026.3.1. 시행)
- 교육부 「학교의 안전하고 효과적인 학습지원 소프트웨어 선정을 위한 기준 안내」(2025.12.30.) — 정책브리핑
- 「개인정보 보호법」 제26조(처리위탁)·제28조의8(국외이전)·제33조(개인정보 영향평가) · 시행령 제35조(개인정보 영향평가의 대상)
- 개인정보보호위원회 「생성형 AI 개발·활용 개인정보 처리 안내서」(2025.8.) · 「비정형 데이터 가명처리 기준」(2024.2.) — 식별정보를 가린 뒤 AI 활용(가명·익명처리, 개인정보 보호법 제28조의2·제58조의2)
- 「클라우드컴퓨팅법」 제23조의2(보안인증) · 클라우드 서비스 보안인증(CSAP) — KISA
- 에듀집 edzip.kr (교육부·KERIS 주관, 필수기준 체크리스트 등록·확인 창구)
- 「교육부 정보보안 기본지침」 및 시도교육청 정보보안 기본지침 — 보안성 검토 대상·생략 기준. 공개 원문 확인: 전북 제15·16조, 서울 제14~16조, 경기 제14~16조(제2장 제2절 보안성 검토). 그 외 시도는 자체 지침이 비공개라 소속 교육청 정보보안 담당 부서 확인 — 위 02 진단에서 시·도 선택 시 안내)
- 「지방계약법」 수의계약 기준 · 교육기관 전자조달 S2B(학교장터) — 유료 구매 시