개인정보의 안전성 확보조치 기준 뜻, 사업자 의무와 이용자에게 달라지는 점

개인정보의 안전성 확보조치 기준 한눈에 보기

• 개인정보보호위원회 고시는 개인정보의 분실·도난·유출·위조·변조·훼손을 막기 위한 최소한의 안전조치를 정해요.
• 위원회 안내서는 접근권한·접근통제·암호화·접속기록 관리 등을 기술적 안전조치 항목으로 제시해요.
• 현행 고시는 처리하는 정보의 규모와 유형, 정보주체에게 미치는 영향을 고려해 조치를 적용하도록 해요.
• 국가법령정보센터의 현행 본문에는 개정 조항별 시행 시점이 다른 부칙이 함께 있어요.

안전성 확보조치란, 개인정보를 처리할 때 지키는 최소 기준이에요

국가법령정보센터에 실린 고시의 목적 조항은 「최소한의 기준」이라는 표현을 써요. 개인정보가 없어지거나 외부로 새는 상황뿐 아니라 위조·변조되거나 훼손되는 상황도 보호 대상으로 정해요. 개인정보를 수집한 뒤 보관하고 이용하는 동안 정보의 안전성을 유지하기 위한 기준이라는 뜻이에요.

개인정보보호위원회의 2026년 11월 안내서는 적용 대상에 개인정보처리자, 개인정보처리자로부터 개인정보를 제공받은 자, 개인정보 처리를 위탁받은 수탁자를 제시해요. 수탁자에게는 준용된다고 설명해요. 서비스를 운영하는 곳이 외부에 처리업무를 맡기는 경우도 이 기준과 관계가 있어요.

현행 고시의 적용 원칙에 따르면 개인정보처리자는 보유하는 개인정보의 수와 유형, 정보주체에게 미치는 영향 등을 고려해야 해요. 스스로의 환경에 맞는 안전성 확보조치를 적용하도록 정한 내용이에요. 같은 고시 안에서도 사업 규모나 정보의 성격에 따라 적용 조건이 달라지는 이유를 이 원칙에서 이해할 수 있어요.

관리적·기술적·물리적 보호는 무엇이 다른가요

개인정보보호위원회 안내서의 내부관리계획 예시는 조직과 담당자의 역할, 교육계획을 다루고, 관리적 안전조치 항목으로 사고 대응계획과 위험 분석·관리, 수탁자 관리·감독 등을 제시해요. 누가 책임지고 어떤 절차로 개인정보를 보호할지 정하는 내용이에요. 고시의 내부관리계획 조항도 보호책임자와 취급자의 역할·책임, 관리·감독과 교육을 포함하도록 해요.

같은 안내서의 기술적 안전조치 항목에는 접근권한 관리와 접근통제, 암호화, 접속기록 보관·점검, 악성프로그램 방지가 있어요. 시스템에서 누가 어떤 정보까지 다룰 수 있는지 제한하고, 정보를 다룬 내역을 남기며, 인증정보 등을 보호하는 내용이에요. 담당자가 지켜야 할 절차와 그 절차를 시스템에 적용하는 조치가 함께 작동하는 구조예요.

국가법령정보센터의 현행 고시는 물리적 안전조치로 보관 장소와 서류·저장매체의 관리를 정해요. 개인정보를 보관하는 전산실이나 자료보관실을 별도로 둔 경우에는 출입통제 절차를 수립·운영해야 해요. 개인정보가 담긴 서류와 보조저장매체 등은 잠금장치가 있는 안전한 장소에 보관해야 한다고 규정해요. 종이에 적힌 정보도 이 보호 범위에 들어 있어요.

소상공인의 내부관리계획, 생략 조건과 남는 의무가 있어요

현행 고시에서 내부관리계획은 내부 의사결정 절차를 거쳐 수립·시행하는 계획이에요. 접근권한과 접근통제, 암호화, 접속기록 관리 외에도 출력·복사와 파기, 처리업무 위탁 시 수탁자 관리·감독 등을 포함해요. 중요한 사항이 바뀌면 이를 즉시 반영해 계획을 수정하고 수정 이력을 관리해야 해요.

국가법령정보센터의 2026년 11월 15일 확인 기준 현행 고시는 1만 명 미만의 정보주체에 관한 개인정보를 처리하는 소상공인·개인·단체에 대해 내부관리계획 수립·시행을 생략할 수 있다고 정해요. 이 숫자는 직원 수나 매출액 기준으로 제시된 값이 아니에요. 개인정보를 처리하는 정보주체의 수와 처리자의 구분을 함께 붙인 조건이에요.

해당 단서는 내부관리계획 수립·시행 조항에 들어 있어요. 접근권한 관리나 서류의 안전한 보관까지 모두 생략한다는 내용은 아니에요. 고시는 접근권한 관리와 물리적 안전조치를 각각 별도 조항으로 두고 있어요. 내부관리계획 생략 대상에 해당하는지와 실제 개인정보 처리에 필요한 조치를 적용하는 문제를 나누어 이해할 수 있어요.

위원회 고시는 개인정보 보호책임자가 접근권한 관리, 접속기록 보관·점검, 암호화 조치 등 내부관리계획의 이행 실태를 점검·관리하도록 해요. 이 계획의 이행 실태 점검과 아래에서 설명하는 접속기록 점검은 대상이 다른 업무예요. 계획을 만들었다는 사실과 계획에 담긴 조치를 실제로 이행하는 일도 구분돼요.

접근권한과 접속기록은 이용자의 정보 처리와 연결돼요

국가법령정보센터의 현행 고시는 접근권한을 「업무 수행에 필요한 최소한의 범위」로 차등 부여하도록 해요. 개인정보취급자나 담당 업무가 바뀌면 지체 없이 접근권한을 변경하거나 말소해야 해요. 정당한 사유가 없는 한 취급자별로 계정을 발급하고 다른 취급자와 공유되지 않도록 해야 한다는 규정도 있어요. 이용자에게는 자신의 정보를 다루는 담당자의 업무 범위를 제한하는 보호조치라는 의미가 있어요.

같은 고시는 취급자나 정보주체의 인증수단을 안전하게 적용·관리하도록 해요. 정당한 권한을 가진 사람만 접근할 수 있도록 일정 횟수 이상 인증에 실패하면 접근을 제한하는 등 필요한 조치도 해야 해요. 또 정보주체를 제외한 정당한 접근권한자가 정보통신망을 통해 외부에서 시스템에 접속하는 경우에는 안전한 인증수단을 적용하도록 하고, 이용자가 아닌 정보주체의 개인정보를 처리하는 시스템에는 별도의 접속수단 선택 조건을 두어요.

고시의 접속기록은 개인정보처리시스템에 접속해 수행한 업무내역을 전자적으로 기록한 것이에요. 기록 항목에는 식별자, 접속일시, 접속지 정보, 처리한 정보주체 정보, 수행업무 등이 들어가요. 개인정보를 다루는 시스템에 누가 접속해 어떤 업무를 했는지에 관한 기록이에요. 접속기록 보관 조항은 시스템에 접속한 사람 가운데 정보주체를 보관 대상에서 제외해요.

현행 고시는 개인정보취급자의 접속기록과 개인정보 다운로드 상황을 확인·점검하는 주기, 방법, 사후조치 절차 등을 내부관리계획으로 정해 이행하도록 규정해요. 접속기록이 위조·변조되거나 도난·분실되지 않도록 안전하게 보관할 조치도 필요해요. 여기서 주기는 접속기록 점검에 관한 것이며, 내부관리계획 자체의 이행 실태 점검과 동일한 항목으로 합칠 수 없어요.

개정 시행일, 즉시 시행과 유예 조항을 구분해요

국가법령정보센터에 실린 2025년 10월 31일 개정 고시의 부칙은 원칙적으로 「발령한 날부터 시행」한다고 정해요. 다만 내부관리계획의 출력·복사와 파기 항목, 접근권한의 최소 범위와 인증 실패 시 제한, 외부 접속 인증, 접속기록 보관·점검에 관한 일부 개정규정에는 「발령한 날의 1년 후부터 시행」한다는 예외를 두었어요. 이 유예는 열거된 개정규정에 적용돼요.

같은 부칙이 열거한 조항은 제4조제1항제12호·제13호, 제5조제1항·제6항, 제6조제2항, 제8조제1항·제2항이에요. 2026년 11월 15일 작성 기준으로는 해당 개정규정에 둔 유예기간이 지난 상태예요. 현재 의무를 설명할 때에는 이 조항들의 현행 문구를 적용해요.

국가법령정보센터에서 확인한 현행 고시는 2026년 7월 1일 일부개정본이에요. 이 개정의 부칙도 원칙은 발령일부터 시행이지만, 공공시스템운영기관의 내부관리계획 관련 제15조제5호와 취약점 점검·조치 관련 제18조는 2027년 1월 1일부터 시행하도록 정해요. 이 별도 시행일은 공공시스템 관련 해당 조항에 관한 것이에요. 개인정보보호위원회가 2026년 11월 발간한 안내서도 해당 연도 7월 개정 사항을 반영한 자료예요.

개인정보의 안전성 확보조치 기준 자주 묻는 질문

개인정보 처리방침과 내부관리계획은 같은 건가요?

개인정보보호위원회 안내서는 두 문서의 목적과 담아야 할 내용, 대상이 다르다고 설명해요. 개인정보 처리방침은 개인정보 처리에 관한 사항을 홈페이지 등에서 정보주체에게 공개하는 문서로, 개인정보 보호법 제30조가 근거예요. 내부관리계획은 개인정보를 안전하게 처리하기 위해 조직 전체를 대상으로 세우는 계획으로, 같은 법 제29조 안전조치의무가 근거예요.

접속기록과 접근권한 변경 기록은 같은 건가요?

현행 고시는 접근권한의 부여·변경·말소 내역을 기록하는 조항과 시스템에 접속해 수행한 업무의 접속기록을 보관하는 조항을 따로 두어요. 권한을 어떻게 부여했는지와 실제로 어떤 업무를 했는지를 각각 다루는 기록이에요.

이용자가 사업자의 내부 접속기록을 직접 점검해야 하나요?

현행 고시에서 개인정보취급자의 접속기록과 다운로드 상황을 확인·점검하도록 정한 의무 주체는 개인정보처리자예요. 서비스를 이용하는 정보주체에게 사업자의 내부 기록 점검업무를 맡기는 규정은 아니에요.

📚 자료 출처

본 글은 아래 개인정보보호위원회·국가법령정보센터 원문을 2026년 11월 15일에 직접 확인해 정리했습니다. 작성 기준일은 2026년 11월 15일이에요. 현행 고시의 본문과 개정별 부칙, 2026년 11월 안내서를 함께 확인했어요.

· 국가법령정보센터 개인정보의 안전성 확보조치 기준 현행 고시(2026.7.1 개정)

· 국가법령정보센터 개인정보의 안전성 확보조치 기준(2025.10.31 개정·부칙)

· 개인정보보호위원회 개인정보의 안전성 확보조치 기준 안내서(2026.11)