각 파트별 법적 고려사항

1. 백엔드 (데이터 및 세션 관리)

• 접속 기록 보관 의무 (정보통신망법 제28조): 로그인 로그, 결제 로그 등은 사고 조사를 위해 최소 6개월 이상 보관해야 합니다.
• 개인정보 암호화 (개인정보 보호법 제29조): 비밀번호(Hash+Salt), 계좌번호, 주민번호 등은 반드시 법정 알고리즘으로 암호화하여 저장해야 합니다.
• 데이터 파기 로직: 탈퇴 유저의 데이터는 지체 없이 파기(5일 이내)해야 하며, 별도 보관 시 운영 DB와 물리적으로 분리해야 합니다.
• 개인정보 열람/다운로드 이력 관리(개인정보 보호법 29조 기술적 보호조치 기준): 단순 로그 보관을 넘어, 관리자나 시스템이 개인정보를 조회하거나 다운로드할 때 그 사유와 내역을 남겨야 합니다.

https://www.law.go.kr/lsInfoP.do?lsiSeq=111970#0000

https://www.law.go.kr/%EB%B2%95%EB%A0%B9/%EA%B0%9C%EC%9D%B8%EC%A0%95%EB%B3%B4%EB%B3%B4%ED%98%B8%EB%B2%95/%EC%A0%9C29%EC%A1%B0

2. PM & 기획 (정책 및 약관 설계)

• 매크로 차단 근거 명시 (개정 공연법/스포츠산업 진흥법): 2024년 3월부터 매크로를 이용한 암표 판매는 형사 처벌 대상입니다. 약관에 "매크로 이용 시 즉시 예매 취소 및 영구 제한" 조항을 명시해야 법적 방어권이 생깁니다.

https://law.go.kr/LSW/lsInfoP.do?lsiSeq=239507&viewCls=lsRvsDocInfoR#

• 개인정보 수집 목적 고지: Threat Score 산정을 위해 수집하는 IP, 기기 정보의 목적을 "부정 이용 방지 및 보안 사고 대응"으로 명확히 공지해야 합니다.

https://www.law.go.kr/lsLinkProc.do?lsClsCd=L&lsNm=%EA%B0%9C%EC%9D%B8%EC%A0%95%EB%B3%B4%20%EB%B3%B4%ED%98%B8%EB%B2%95&lsId=prec20160817&joNo=002000&efYd=20160817&mode=11&lnkJoNo=undefined

• 제3자 제공 및 위탁 고지: 결제 시스템(PG사), 본인인증(KCB 등), 알림톡(카카오) 등을 사용한다면 개인정보 처리방침에 개인정보의 처리 위탁에 관한 사항을 반드시 명시해야 합니다.

3. AI & 보안팀 (위협 분석 및 행동 모델링)

• 자동화된 결정에 대한 거부권 (개인정보 보호법 제37조의2): AI가 Threat Score만으로 유저를 차단하는 경우, 유저는 다음 권리를 가집니다.
  • 거부권: 자동화된 차단에 대해 사람이 재검토해 줄 것을 요구할 권리.
  • 설명요구권: "내가 왜 차단되었는지" 주요 기준(로직)에 대해 설명을 들을 권리.
  • 구현: 차단 시 '이의 제기 버튼' 및 '차단 사유 안내 페이지' 연결 필수.
• 알고리즘 차별 방지: 특정 지역이나 기기 환경에 따라 선량한 유저가 차별받지 않도록 모델의 공정성을 주기적으로 검토해야 합니다.

https://www.law.go.kr/LSW//lsLinkCommonInfo.do?lsJoLnkSeq=1029334889&chrClsCd=010202&ancYnChk=

• 생체정보 및 식별 데이터(개인정보 보호법 제37조의2): VQA가 사용자가 업로드한 이미지를 분석할 때, 이미지 속에 타인의 얼굴, 차량 번호판 등이 포함될 수 있습니다.
• 비정형 데이터 처리: 이미지 내의 얼굴이나 개인 식별 정보는 원칙적으로 비식별화(마스킹) 처리 후 분석해야 합니다.
• 생체정보 보호 가이드라인: 만약 VQA가 '본인 확인'이나 '얼굴 분석'을 수행한다면, 이는 '민감정보'로 분류되어 별도의 단독 동의를 받아야 합니다.
• 리스크: 동의 없이 타인의 얼굴 정보를 AI 모델이 처리하거나 서버에 저장할 경우 법적 처벌 대상입니다.

https://www.law.go.kr/%EB%B2%95%EB%A0%B9/%EA%B0%9C%EC%9D%B8%EC%A0%95%EB%B3%B4%EB%B3%B4%ED%98%B8%EB%B2%95/%EC%A0%9C15%EC%A1%B0

4. 인프라 & 클라우드 (트래픽 및 접근 통제)

• 위치정보 보호법(위치정보의 보호 및 이용 등에 관한 법률 제15조): GeoIP를 통해 국가/도시 수준의 식별은 가능하나, 정밀 위치(GPS 등) 수집 시에는 별도의 '위치정보사업자' 신고 및 동의 절차가 필요합니다.

https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=206086#0000

• 시스템 접근 제어(개인정보 보호법 제26조 업무위탁에 따른 개인정보의 처리 제한) MSA 아키텍처 내 각 서비스 간 통신(mTLS 등)과 관리자의 DB 접근 기록을 엄격히 남겨야 합니다. (ISMS-P 인증 기준)

https://www.law.go.kr/lumLsLinkPop.do?lspttninfSeq=66999&chrClsCd=010202

5.프론트엔드(UI/UX 및 사용자 접점)

• 개인정보 수집 동의 체계 (개인정보 보호법 제22조)

사용자가 체크박스를 클릭하는 방식에도 법적 규제가 있습니다.

법적 의무: 필수 동의와 선택 동의(마케팅 등)를 엄격히 구분해야 하며, 선택 동의에 체크하지 않았다고 해서 서비스 이용을 거부하면 불법입니다.

개발 포인트: '전체 동의' 클릭 시에도 마케팅 항목은 사용자가 개별적으로 인지할 수 있도록 UI를 설계해야 합니다.

https://casenote.kr/%EB%B2%95%EB%A0%B9/%EA%B0%9C%EC%9D%B8%EC%A0%95%EB%B3%B4_%EB%B3%B4%ED%98%B8%EB%B2%95/%EC%A0%9C22%EC%A1%B0

• 다크 패턴 및 기만적 UI 금지 (전자상거래법 제21조의2)

소비자를 속이거나 압박하는 디자인은 2025년부터 강력하게 처벌됩니다.

법적 의무:

선택사항 자동 고정: 유료 옵션을 기본으로 체크해두는 행위 금지.

취소/탈퇴 방해: 가입은 버튼 하나로, 탈퇴는 고객센터 전화로만 가능하게 만드는 디자인 금지.

거짓 압박: 현재 100명이 결제 중 같은 가짜 데이터를 보여주며 구매를 독촉하는 행위 금지.

https://www.law.go.kr/%EB%B2%95%EB%A0%B9/%EC%A0%84%EC%9E%90%EC%83%81%EA%B1%B0%EB%9E%98%EB%93%B1%EC%97%90%EC%84%9C%EC%9D%98%EC%86%8C%EB%B9%84%EC%9E%90%EB%B3%B4%ED%98%B8%EC%97%90%EA%B4%80%ED%95%9C%EB%B2%95%EB%A5%A0/%EC%A0%9C21%EC%A1%B0

• 영리 목적 광고성 정보 수집/전송 (정보통신망법 제50조)

푸시 알림이나 SMS 수신 동의 UI 관련 규정입니다.

법적 의무:

수신 동의를 받을 때 **"밤 9시 ~ 아침 8시 야간 홍보 알림 수신"**은 별도로 동의를 받아야 합니다.

동의를 받은 후에도 2년마다 정기적으로 수신 동의 여부를 확인(고지)해야 합니다.

https://www.law.go.kr/LSW/lsLawLinkInfo.do?chrClsCd=010202&lsJoLnkSeq=1000688185&lsId=000030&print=print

• 자동화된 결정(Threat Score 차단) 고지 (개인정보 보호법 제37조의2)

AI가 유저를 차단했을 때 프론트엔드에서 보여줘야 할 화면입니다.

법적 의무: 차단된 유저에게 차단 사유의 주요 내용과 이의 제기 방법을 명확하게 화면에 뿌려줘야 합니다.

개발 포인트: 그냥 차단됨이라고 띄우는 것이 아니라, 설명 요청 버튼이나 cs연결 링크 가 포함된 모달/페이지를 구현해야 합니다.

https://www.law.go.kr/LSW//lsLawLinkInfo.do?lsJoLnkSeq=900078400&chrClsCd=010202

• 웹 접근성 준수 (장애인차별금지법 제21조)

공공성이 있는 티켓팅 플랫폼이라면 장애인도 차별 없이 이용할 수 있어야 합니다.

법적 의무: 시각 장애인을 위한 스크린 리더 지원(Alt 태그 등) 및 키보드만으로 모든 예매 과정을 수행할 수 있는 접근성을 보장해야 합니다.

https://www.law.go.kr/%EB%B2%95%EB%A0%B9/%EC%9E%A5%EC%95%A0%EC%9D%B8%EC%B0%A8%EB%B3%84%EA%B8%88%EC%A7%80%EB%B0%8F%EA%B6%8C%EB%A6%AC%EA%B5%AC%EC%A0%9C%EB%93%B1%EC%97%90%EA%B4%80%ED%95%9C%EB%B2%95%EB%A5%A0/(20230128,18334,20210727)/%EC%A0%9C21%EC%A1%B0

---

해외 참고자료 ( 글로벌 확장 대비)

GDPR (EU)

• GDPR 전체
• GDPR Article 5 – Data Minimisation & Fairness
• GDPR Article 22 – Automated Decision-Making & Profiling
• Google GDPR 가이드

보안 및 기술 표준

• ISO/IEC 27001 (정보보호 관리체계)
• ISO/IEC 27701 (개인정보보호 관리체계)
• ISMS-P 인증 기준
• PCI DSS (결제 정보 보호 기준)