개인정보보호위원회(이하 "개인정보위")의 「개인정보의 안전성 확보조치 기준」(고시 제2026-9호, 이하 "안전조치 고시")이 2026년 10월 31일 시행되면서 접속기록을 월 1회 이상 점검하라는 문구가 사라졌습니다. 개인정보 보호책임자는 점검 주기를 어떻게 정하고 설명할지 검토할 필요가 있습니다.

핵심 요약 안전조치 고시 제8조 제2항은 접속기록 점검 주기를 숫자로 정하지 않고, 회사가 주기·방법·사후조치절차를 내부 관리계획으로 정하고 이행하도록 합니다. 회사는 주기를 스스로 정하고 정한 대로 이행해야 하므로, 그 근거와 이행 기록을 준비해 두는 것이 좋을 것으로 판단됩니다. 다만 새 문언을 판단한 결정례와 적정 주기에 관한 공식 기준은 확인되지 않습니다.

목차

제8조 제2항의 문언은 어떻게 달라졌나요?

종전 안전조치 고시는 접속기록을 월 1회 이상 점검하고, 다운로드가 확인되면 그 사유를 확인하도록 정했습니다. 현행 고시는 개인정보취급자의 접속기록과 다운로드 상황을 확인·점검할 주기와 방법, 사후조치절차를 회사가 내부 관리계획에 정하여 이행하도록 합니다. 시행일은 고시 제2025-9호 부칙이 정한 2026년 10월 31일입니다. 그 전날까지의 위반에는 일반 원칙상 옛 기준이 적용된다고 볼 여지가 있으나, 이 고시에 관한 판단은 찾지 못했습니다.

숫자가 없어졌으니 기준이 느슨해진 것인가요?

월 1회라는 숫자 의무가 없어졌으므로 그 부분은 완화로 읽힐 수 있습니다. 다만 회사는 이제 내부 관리계획에 주기를 정해야 하고 정한 대로 이행해야 하므로, 의무가 없어졌다고 보기는 어렵습니다. 이 변경이 입증책임까지 바꾸었다고 볼 근거는 찾지 못했지만, 회사가 그 주기를 택한 이유와 이행 기록을 남겨 두면 조사에서 설명하기 쉬울 것으로 보입니다. 따라서 계획을 정하지 않은 경우와 정한 계획을 이행하지 않은 경우가 모두 문제될 여지가 있습니다.

점검 주기는 어떻게 정하고 내부 관리계획에 무엇을 적나요?

적정 주기를 정한 공식 기준은 찾지 못했으므로, 아래 요소는 공식 기준과 무관한 이 글의 판단입니다. 회사는 처리 규모, 개인정보 항목, 다운로드 빈도를 고려해 주기를 정할 수 있어 보입니다. 내부 관리계획에는 고시가 요구하는 주기·방법·사후조치절차를 적어야 합니다. 나아가 그 주기를 택한 이유, 사유를 확인할 다운로드의 범위, 점검 기록의 보관 위치도 적어 두면 회사가 이행을 설명하기 쉬울 것으로 보입니다. 사안에 따라 결론이 달라질 수 있습니다.

보관 대상 확대와 외부 접속 인증 변경은 점검 주기와 어떤 관계인가요?

제8조 제1항에 따라 회사가 보관할 기록은 넓어졌습니다. 종전에는 개인정보취급자의 기록이 대상이었으나, 현행 고시는 정보주체를 뺀 모든 시스템 접속자의 기록을 대상으로 합니다. 보관 기간은 1년이고, 5만 명 이상의 정보, 고유식별정보, 민감정보를 처리하거나 기간통신사업자인 경우 2년입니다. 제6조 제2항도 외부 접속 때 안전한 인증수단을 적용할 대상을 개인정보취급자에서 정당한 접근 권한을 가진 자(정보주체 제외)로 바꾸었습니다. 이용자 외의 정보주체만 다루는 시스템이라면 회사가 VPN 같은 접속수단을 고를 수 있도록 한 단서는 그대로입니다.

한편 제8조 제2항의 점검 문언은 개인정보취급자의 접속기록을 대상으로 합니다. 따라서 회사는 보관 범위와 점검 범위를 나누어 확인하고, 취급자가 아닌 접속자의 기록을 어떻게 다룰지 내부 관리계획에서 정해 두는 것이 좋을 것으로 판단됩니다. 외부 접속 인증 대상 변경이 안전조치 판단에 어떻게 이어지는지는 보안 인증과 안전조치를 다룬 글에 적었습니다.

고객센터 점검에서 권장한 상시 탐지는 고시상 의무인가요?

개인정보위는 2026년 10월 28일 개인정보 보호법 제63조의2에 따른 고객센터 사전 실태점검 결과를 의결했고, 이 결과는 시정·개선권고로서 처분에 해당하지 않습니다. 개인정보위가 함께 제시한 행동수칙은 조회 기록과 이상행위의 상시 탐지를 권장하며, 이 수칙은 자율 실천용으로서 고시와 구분됩니다. 따라서 상시 탐지가 법정 점검 주기가 되었다고 보기는 어렵습니다. 다만 그 점검에서 개인정보위는 접속기록 필수항목 누락과 법정 2년보다 짧은 1년 보관을 발견했습니다. 고객센터를 운영하는 회사는 기록 항목과 보관 기간도 확인할 필요가 있어 보입니다.

이 글이 말하지 않은 것

새 문언은 2026년 10월 31일 시행되어 이를 판단한 결정례가 아직 없습니다. 이 글의 판단은 문언 비교에 근거하며, 적정 주기의 숫자를 제시하지 않습니다.

자주 묻는 질문

Q. 우리 회사 접속기록 점검 주기는 무엇으로 정하고 어떻게 설명하나요?

회사는 주기·방법·사후조치절차를 내부 관리계획에 정하고 이행해야 합니다. 처리 규모, 개인정보 항목, 다운로드 빈도를 고려하고 그 이유와 이행 기록을 남기는 것이 좋을 것으로 판단됩니다. 이 고려 요소는 이 글의 판단이고 공식 기준과 무관합니다.

Q. 종전처럼 월 1회 점검을 유지해도 되나요?

현행 문언은 숫자 주기를 정하지 않으므로, 월 1회를 내부 관리계획에 적고 이행하는 것 자체가 문언에 어긋난다고 보기는 어려워 보입니다. 다만 새 문언을 판단한 결정례는 아직 없습니다.

Q. 개인정보위가 권장한 상시 탐지는 고시상 의무인가요?

고객센터 사전 실태점검에서 개인정보위가 내놓은 행동수칙은 자율 실천용 권장 사항이고 고시와 구분됩니다.

이 글은 일반적인 정보 제공을 위한 것이며 개별 사안에 대한 법률 자문이 아닙니다.

참고 자료

  • 「개인정보의 안전성 확보조치 기준」(개인정보보호위원회 고시 제2026-9호, 2026. 10. 31. 시행) 제6조 제2항, 제8조 제1항·제2항, 부칙(고시 제2025-9호)
  • 개인정보보호위원회 보도자료, 고객센터 사전 실태점검 결과(2026. 10. 29., 2026. 10. 28. 제21회 전체회의 의결)
  • 보안 인증과 안전조치를 다룬 글