개인정보 안전성 확보조치 기준, 1년 유예된 조항이 2026년 11월 1일부터 시행됩니다 — 입점 판매자 계정까지 넓어지는 의무

핵심 요약

먼저 알아 둘 용어

이 고시는 조문마다 적용 대상이 정해진 용어로 적혀 있고, 이번 개정도 대부분 그 적용 대상을 바꾼 것입니다. 아래 6개 용어만 알면 나머지 내용을 따라갈 수 있습니다.

이 고시의 법적 근거도 짧게 정리합니다. 개인정보 보호법 제29조가 “안전성 확보에 필요한 조치를 하라”고 정하고, 시행령 제30조가 구체적인 조치 목록을 정한 뒤 제3항에서 “세부 기준은 보호위원회가 정하여 고시한다”고 위임합니다. 그 세부 기준이 이 고시입니다. 고시 제1조는 법 제29조와 시행령 제16조제2항(파기 방법)·제30조·제30조의2(공공시스템운영기관)를 근거로 밝히고 있습니다. 따라서 고시를 지키지 않으면 법 제29조 위반이 됩니다. 내부 관리계획은 회사가 개인정보를 어떻게 보호할지 적어 두는 내부 규정 문서로, 고시 제4조는 이를 내부 의사결정 절차를 거쳐 수립하도록 정하고 있습니다.

조문 단위는 조(條) → 항(項) → 호(號) 순입니다. “제5조제6항”은 제5조의 여섯째 항, “제4조제1항 제12호”는 그 항 아래 번호 목록의 12번째입니다. 이 글에서 “조항”은 이 조·항·호를 통틀어 가리킵니다. 조문 본문 뒤에 “다만,”으로 시작하는 예외 문장은 단서라고 부릅니다.

날짜 정리 — 왜 10월 31일이 아니라 11월 1일인가

시행일 해석이 세 가지로 나뉩니다

제2025-9호 부칙 제1조의 문장은 이렇습니다. “이 고시는 발령한 날부터 시행한다. 다만, 제4조제1항 제12호 및 제13호, 제5조제1항 및 제6항, 제6조제2항, 제8조제1항 및 제2항은 발령한 날의 1년 후부터 시행한다.” 이 “1년 후”가 언제인지를 두고 해설이 서로 다릅니다.

• 2026년 11월 1일 — 개인정보위 안내서(2025.11.). 유예된 7개 조항 각각에 “(’26.11.1 부 시행)”이라고 표기했습니다. 이 글은 고시를 발령한 기관의 표기를 따릅니다.
• 2026년 10월 31일 — 일부 해설. 발령일과 같은 날짜를 그대로 1년 뒤로 옮긴 계산입니다.
• 2026년 10월 30일 — 일부 블로그 해설.

11월 1일은 기간을 계산할 때 첫날을 빼고 세는 방식(초일 불산입)과 일치합니다. 같은 개인정보위 소관인 개인정보 보호법 개정도 2026년 3월 10일 공포하면서 “공포 후 6개월이 경과한 날부터 시행”이라고 적었고, 국가법령정보센터에 등록된 시행일은 9월 10일이 아니라 9월 11일입니다. 다만 두 부칙의 표현이 다르므로(“경과한 날부터”와 “1년 후부터”) 이 비교는 참고일 뿐이고, 이 글의 근거는 안내서 표기입니다.

바뀌는 7개 조항 전후 비교

“지금” 열은 10월 31일까지 적용되는 제2023-6호의 문장이고, “11월 1일부터” 열은 개정된 문장입니다(제2025-9호와 제2026-9호의 해당 문장은 같습니다). 따옴표 안은 원문에서 옮긴 부분이고, “…”는 생략한 부분입니다.

2년 이상 보관 조건은 개정 전후가 같습니다. ① 5만 명 이상의 정보주체에 관한 개인정보를 처리하는 시스템, ② 고유식별정보(주민등록번호·여권번호·운전면허번호·외국인등록번호)나 민감정보를 처리하는 시스템, ③ 전기통신사업법에 따라 등록·신고한 기간통신사업자. 셋 중 하나에 해당하면 2년 이상 보관해야 합니다.

제6조제2항의 단서(“다만,”으로 시작하는 예외 문장)도 바뀌지 않았습니다. 온라인 서비스 이용자가 아닌 정보주체의 개인정보만 처리하는 시스템(예: 사내 인사 시스템)은 가상사설망(VPN) 같은 안전한 접속수단과 안전한 인증수단 중 하나를 선택할 수 있습니다. 안내서는 둘 중 하나 이상은 반드시 적용해야 한다고 설명합니다.

개정 이유 — 판매자 계정이라는 사각지대

기존 조문은 권한·인증·접속기록 의무의 대상을 대부분 “개인정보취급자”로 정해 두었습니다. 개인정보취급자는 처리자의 지휘·감독을 받는 사람이므로, 오픈마켓에 입점한 판매자처럼 플랫폼의 직원이 아니면서 플랫폼 시스템에 로그인해 주문자 이름·주소·연락처를 조회하는 사람은 이 조항들의 적용 대상에서 빠져 있었습니다. 개인정보위 보도자료의 설명은 이렇습니다.

고시의 개정이유에는 개정 목적이 더 직접적으로 적혀 있습니다. 접근 권한 부여, 접근통제, 접속기록 보관 조항을 “개인정보취급자에서 오픈마켓 판매자 등 까지 확대 적용하여 비인가자의 접근을 막고, 개인정보 오남용, 유출 시에도 보관된 접속기록을 통해 책임추적성을 확보”하려는 것입니다. 누가 언제 무엇을 조회했는지 나중에 추적할 수 있게 하겠다는 뜻입니다.

월 1회 점검 규정을 없앤 이유도 보도자료에 나와 있습니다. 기존 기준이 “접속기록 점검·다운로드 사유 확인 등 형식적 절차에 집중한다는 지적”을 반영해, 점검 주기·방법·사후조치 절차를 처리자가 직접 정하도록 바꿨습니다. 점검 의무가 사라진 것이 아니라 무엇을 어떻게 점검할지 정할 책임을 사업자가 맡게 된 것입니다.

누가 무엇을 해야 하나

“정당한 접근 권한을 가진 자”에 오픈마켓 판매자 외에 누가 포함되는지에 대해 안내서는 “오픈마켓 판매자 등”이라고만 적었습니다. 가맹점, 외부 콜센터, 협력사 계정이 포함되는지는 계약 구조와 지휘·감독 관계에 따라 달라질 수 있습니다(10절 참고).

개발자가 구현해야 할 것

1. 계정을 세 종류로 나누세요

새 조문은 계정 종류에 따라 적용되는 의무가 다릅니다. 사용자 모델에 이 구분이 없으면 어떤 규칙을 어느 계정에 적용할지 정할 수 없습니다.

2. 권한은 메뉴와 동작 단위로 나누세요

안내서는 “업무별로 접근 가능한 메뉴 및 상세 권한(열람, 입력, 삭제, 수정, 다운로드, 인쇄 등)을 세분화하여 관리”하라고 하면서, 열람만으로 업무가 가능한 사람에게는 열람 권한만 주라는 예를 듭니다. 판매자 역할의 기본 권한은 “자기 주문의 배송에 필요한 항목 조회”로 제한하고, 다운로드와 대량 조회는 별도로 허용하는 권한으로 두는 것이 조문의 취지에 맞습니다. 권한 부여·변경·말소 내역은 3년간 보관하세요(제5조제3항. 외부 업무수행자 계정에도 적용되는지는 10절 참고).

3. 로그인 실패 잠금

인증에 몇 차례 실패했을 때 계정을 잠글지는 정해져 있지 않습니다. 안내서는 “시스템의 특성, 위험 분석 결과 등을 고려하여 정할 수 있다”고 설명합니다. 다만 두 가지는 분명합니다. 잠긴 계정을 해제할 때는 정당한 사용자인지 먼저 확인해야 합니다. 또 재시도 지연이나 캡차(CAPTCHA)만 쓰는 경우에도 무제한으로 재시도할 수 없도록, 일정 횟수 이상 실패하면 계정을 잠그는 조치가 추가로 필요하다고 FAQ는 설명합니다.

4. 외부 접속 추가 인증

안내서는 안전한 인증수단을 “타인이 쉽게 도용하거나 위조할 수 없는 보안 수준을 갖춘 인증 방식”으로 설명하고, 비밀번호에 일회용 비밀번호(OTP) 등을 추가로 적용하는 방식을 예로 듭니다. 조문에 적힌 예는 인증서, 보안토큰, 일회용 비밀번호입니다. 구현 부담이 비교적 적은 방법은 인증 앱이 30초마다 새 인증번호를 생성하는 TOTP(시간 기반 일회용 비밀번호)입니다. 적용 전에 판매자에게 등록 방법을 미리 안내하세요. 시행일에 한꺼번에 적용하면 로그인 문의가 몰릴 수 있습니다.

5. 접속기록 항목과 보관

필수 항목은 식별자, 접속일시, 접속지 정보, 처리한 정보주체 정보, 수행업무의 다섯 가지입니다. 안내서 FAQ는 로그인·로그아웃·로그인 실패 기록도 접속기록으로 보관하라고 설명합니다. 아래는 판매자 계정의 접속기록을 이 다섯 항목에 맞춰 남긴 예시입니다. 정해진 형식은 없습니다.

{"actor_id":"S-10293","actor_type":"seller","ts":"2026-11-02T10:15:03+09:00",
 "src_ip":"203.0.113.24","subject":"order:20261102-000123","action":"view_shipping_contact"}

• 계정 종류(actor_type)를 함께 기록하세요. 판매자 기록은 보관만 하면 되지만 직원 기록은 점검까지 해야 하므로, 나중에 둘을 구분할 수 있어야 합니다
• 쿼리로 여러 명의 정보를 한꺼번에 처리했다면 검색 조건문(쿼리)을 정보주체 정보로 기록할 수 있습니다. 다만 안내서는 테이블이 바뀌면 추적이 어려우므로 그 시점의 데이터베이스를 백업하는 등의 조치를 함께 하라고 설명합니다
• 위·변조를 막으세요. 안내서가 예로 든 방법은 별도 저장장치에 상시 백업하기, WORM처럼 한 번 쓰면 고칠 수 없는 저장매체 사용하기, 위·변조 여부를 확인할 수 있는 값(메시지 인증 코드나 전자서명 값)을 따로 보관하기입니다. 접속기록을 수정·삭제할 수 있는 권한 자체도 제한해야 합니다

6. 접속기록 점검 — 내부 관리계획에 적을 네 가지

안내서의 제8조제2항 해설에 실린 표입니다. “월 1회”라는 고정 기준 대신 이 네 가지를 직접 정한다고 보면 됩니다.

안내서는 개인정보를 다루는 부서가 아니라 개인정보 총괄 부서나 감사 부서 같은 별도 부서에서 점검하도록 하라고도 설명합니다. 부서가 하나뿐인 작은 팀이라면, 적어도 점검하는 사람과 점검받는 계정이 겹치지 않도록 정해 두는 것이 이 취지에 가까운 방법입니다(제 해석입니다). 점검을 자동화했다면 스크립트가 어떤 행위를 잡아내는지 규칙을 문서로 남겨야 “정하고 이행”했다는 것을 보여 줄 수 있습니다.

7. 내부 관리계획에 추가할 두 항목

• 제12호 출력·복사 — 인쇄·화면 표시·파일 생성 시 용도를 특정하고 출력 항목을 최소화할 것, 종이 인쇄물과 외부 저장매체 복사본을 안전하게 관리할 것 (고시 제12조). 관리자 화면에서 연락처 일부를 가려 보여 주는 마스킹도 출력 항목을 줄이는 방법입니다
• 제13호 파기 — 완전파괴(소각·파쇄), 전용 소자장비(자기장으로 데이터를 지우는 장비) 이용, 복원되지 않도록 초기화·덮어쓰기 중 하나를 써야 합니다. 일부만 지울 때의 조치와, 기술적으로 곤란할 때 익명정보로 처리하는 방법도 정해져 있습니다. 안내서는 파기 계획·시행·결과를 개인정보 보호책임자에게 보고하고 기록하는 절차도 담으라고 설명합니다 (고시 제13조)
• 항목을 추가하면 기존 제12호~제16호가 제14호~제18호로 바뀝니다. 다른 문서가 “내부 관리계획 제○호”를 인용하고 있다면 번호도 고치세요
• 개정한 계획은 내부 의사결정 절차(대표·개인정보 보호책임자 승인 등)를 거쳐 확정하고, 수정 이력을 남깁니다. 개인정보 보호책임자는 연 1회 이상 이행 실태를 점검해야 하므로(제4조제4항) 다음 점검부터 새 항목을 포함하세요

위반하면 받는 제재

고시를 지키지 않으면 개인정보 보호법 제29조(안전조치의무) 위반이 되고, 법에 정한 제재를 받을 수 있습니다. 아래는 2026년 9월 11일 시행된 현행 법 원문 기준입니다.

눈여겨볼 부분은 제64조의2제1항제9호의 단서입니다. 유출이 일어나더라도 안전성 확보 조치를 다했다면 과징금을 부과하지 않는다는 내용입니다. 11월 1일부터 판매자 계정에 추가 인증과 접속기록을 갖춰 두면 조치를 다했다는 근거가 됩니다. 반대로 판매자 계정이 탈취돼 유출이 일어났는데 그 계정에 추가 인증도 접속기록도 없었다면 이 단서를 적용받기 어렵습니다. 같은 행위에 과징금이 부과되면 과태료는 부과하지 않습니다(제76조). 실제 부과 금액은 시행령의 산정 기준에 따르며, 이 글은 상한만 정리했습니다.

10월 30일까지 할 일

1. 10월분 월 1회 점검을 기존 기준대로 실시하고 결과를 기록하세요. 다운로드가 확인되면 기존 조문대로 사유도 확인합니다.
2. 관리자 화면에 로그인하는 계정을 모두 추려 직원, 외부 업무수행자, 회원 본인의 세 종류로 분류하세요. 외부 업무수행자가 한 명도 없다면 6절의 ② 유형에 해당하므로 할 일이 훨씬 적습니다.
3. 외부 업무수행자 계정의 권한표를 만드세요. 메뉴별로 조회·입력·수정·삭제·다운로드·인쇄 권한을 나누고, 다운로드 권한은 기본으로 주지 마세요.
4. 외부 업무수행자 계정의 로그인 절차에 실패 잠금과 추가 인증을 적용하세요. 로그인 방식이 바뀐다는 공지는 적용일보다 먼저 보내야 합니다.
5. 외부 업무수행자 계정의 접속기록이 다섯 항목을 모두 기록하는지 확인하세요. 보관 기간이 1년인지 2년인지(5만 명 이상·고유식별정보·민감정보·기간통신사업자) 확인하고, 로그 보존 기간 설정을 그 이상으로 맞추세요.
6. 내부 관리계획 개정안을 작성해 승인받으세요. 담을 내용은 제12호·제13호 추가, 호 번호 정리, 제8조제2항의 점검 주기·방법·기준·사후조치, 외부 업무수행자 권한 기준입니다.
7. 11월 첫 점검 일정을 미리 잡아 두세요. 새 계획에 정한 주기대로 첫 점검을 실제로 해야 “이행”한 것이 됩니다.
8. 공공시스템운영기관이라면 2027년 1월 1일부터 공공시스템별 취약점 점검과 외부 침투테스트를 연 1회 이상 실시해야 합니다(제18조). 예산과 발주 일정을 지금부터 준비하세요.

아직 결론이 아닌 것

• 시행일은 안내서 표기를 따랐습니다. 부칙 문장은 “발령한 날의 1년 후부터”이고, 개인정보위 안내서는 시행일을 11월 1일로, 일부 해설은 10월 31일이나 10월 30일로 소개했습니다. 이 날짜에 대한 법원 판단이나 법제처 해석은 확인하지 못했습니다. 개인정보위 보도자료는 “1년 유예”라고만 적고 날짜를 쓰지 않았습니다.
• “정당한 접근 권한을 가진 자”의 범위는 사례로만 제시돼 있습니다. 안내서의 예는 “오픈마켓 판매자 등”입니다. 가맹점주, 외주 콜센터, 협력사 직원이 여기에 해당하는지, 아니면 이미 개인정보취급자나 수탁자로 봐야 하는지는 계약과 지휘·감독 관계에 따라 달라질 수 있고, 안내서가 일반 기준을 제시하지는 않았습니다.
• 권한 기록 3년 보관(제5조제3항)이 외부 업무수행자 계정에도 미치는지는 명시돼 있지 않습니다. 제3항이 “제1항 및 제2항에 의한 권한 부여”를 가리키고 제1항의 대상이 넓어졌으므로 기록 대상도 넓어진다고 읽히지만, 안내서에서 이를 직접 설명한 문장은 확인하지 못했습니다. 이 글은 보관을 권합니다.
• 내부 관리계획을 생략하는 소상공인이 제8조제2항을 어떻게 이행하는지는 안내서에서 따로 설명한 문장을 확인하지 못했습니다. 제8조제2항은 점검 방식을 “내부 관리계획으로 정하고” 이행하라고 적었기 때문입니다. 짧게라도 점검 규칙을 문서로 남겨 두는 편이 안전합니다(제 판단입니다).
• 안내서는 유예 조항 해설에 종전 안내서(2024년 10월)를 우선 참고하라고 안내합니다. 이 글이 인용한 새 조문 해설은 11월 1일 이후 기준입니다. 그 전의 해석은 종전 안내서를 함께 보세요.
• 과태료·과징금은 상한만 옮겼습니다. 시행령의 부과 기준표와 실제 처분 사례는 확인하지 않았습니다.
• 법률 자문이 아닙니다. 원문을 대조해 정리한 해설이고, 자사 서비스에 적용할 때 판단이 어려우면 개인정보위 법령해석지원센터(02-2100-3043)나 전문가에게 확인하세요.

참고자료

1차 출처는 2026-09-26에 직접 열어 확인했습니다. 고시와 법률 원문은 국가법령정보센터의 공개 API로 받은 본문을 조문 단위로 대조했습니다.

개인정보위가 시행일이나 해설을 새로 안내하면 이 글을 고치고 개정 날짜를 적겠습니다.