열두 번째 발걸음안전조치와 파기, 권리행사를 운영에 연결한다

고객정보를 적법하게 수집했더라도 모든 직원이 내려받을 수 있게 두면 보호는 완성되지 않습니다. 개인정보 보호법 제29조의 안전조치의무는 기술적·관리적·물리적 조치를 요구합니다. 구체적인 최소 기준을 정한 것이 개인정보의 안전성 확보조치 기준입니다. 이 기준은 보안 제품 하나를 설치했다는 사실보다 접근권한과 기록, 암호화, 악성프로그램 방지, 물리적 보호, 내부 관리가 함께 작동하도록 요구합니다.

접근권한은 업무에 필요한 최소 범위로 차등 부여하고, 취급자나 업무가 바뀌면 지체 없이 변경·말소해야 합니다. 권한을 누가 언제 받거나 잃었는지에 대한 기록은 최소 3년간 보관합니다. 정당한 사유가 없는 한 취급자별 계정을 발급해 공유되지 않도록 해야 합니다. 방향 7에서 본 ‘어느 계정이 행동했는가’를 실제 사람과 업무에 연결할 수 있으려면 이런 평소 관리가 필요합니다.

접속기록의 보존 기준은 시행일을 구분해 읽어야 합니다. 이 책의 기준일인 2026년 10월 11일에는 개인정보취급자가 개인정보처리시스템에 접속한 기록을 원칙적으로 1년 이상 보관·관리해야 합니다. 2026년 10월 31일부터는 보존 대상이 개인정보처리시스템에 접속한 자의 기록으로 넓어지며, 정보주체의 접속은 제외합니다. 두 시기 모두 다음 중 하나에 해당하면 2년 이상입니다. 5만 명 이상의 정보주체에 관한 개인정보를 처리하는 시스템, 고유식별정보 또는 민감정보를 처리하는 시스템, 법에서 정한 등록·신고 기간통신사업자에 해당하는 개인정보처리자입니다. 고객 방문기록이나 모든 서버 로그를 무조건 같은 기간 보관하라는 뜻은 아닙니다.

보존과 점검은 다른 의무입니다. 2026년 10월 11일 현재는 개인정보처리시스템의 접속기록 등을 월 1회 이상 점검하고, 개인정보의 다운로드가 확인되면 내부 관리계획 등에서 정한 바에 따라 그 사유를 반드시 확인해야 합니다. 2026년 10월 31일부터는 개인정보취급자의 개인정보처리시스템 접속기록과 개인정보 다운로드 상황을 확인·점검하는 주기·방법·사후조치 절차 등을 내부 관리계획에 정하고 이행하는 기준이 시행됩니다. 한편 개인정보 보호책임자가 접근권한 관리·접속기록 보관과 점검·암호화 등 내부 관리계획의 이행 실태를 연 1회 이상 점검·관리하는 규정은 별도로 있습니다. 두 점검의 대상과 주체를 구분합니다.

암호화도 정보와 위치에 따라 요구가 구체적입니다. 이 기준에서 ‘이용자’는 정보통신망법상 정보통신서비스 제공자가 제공하는 정보통신서비스를 이용하는 자를 뜻합니다. 비밀번호와 생체인식정보 등 인증정보를 저장하거나 송수신할 때에는 안전한 암호 알고리즘을 적용하고, 비밀번호 저장은 복호화되지 않는 일방향 방식이어야 합니다. 인터넷망 구간으로 개인정보를 송수신할 때에도 안전한 암호화가 필요합니다. 저장 단계에서는 이용자의 고유식별정보·신용카드번호·계좌번호·생체인식정보 등 기준이 정한 항목의 의무와, 이용자가 아닌 정보주체의 고유식별정보를 저장하는 위치별 조건을 구분합니다.

이용자가 아닌 정보주체의 고유식별정보를 인터넷망 구간이나 DMZ에 저장하면 암호화해야 합니다. 내부망에서도 고유식별정보 암호화가 원칙이지만 주민등록번호 외의 고유식별정보는 기준이 정한 영향평가나 위험도 분석에 따라 적용 여부와 범위를 정할 수 있는 조건이 있습니다. ‘내부망이니까 암호화하지 않아도 된다’는 일반화는 틀립니다. 주민등록번호는 별도의 엄격한 법적 보호를 받습니다. 암호화 키와 복구 권한을 같은 파일에 두지 않는 등 실제 보호 효과도 확인해야 합니다.

내부 관리계획은 조직과 책임, 교육, 접근 통제, 암호화, 기록, 사고 대응과 위탁 감독 등을 연결합니다. 1만 명 미만의 정보주체에 관해 개인정보를 처리하는 소상공인·개인·단체에는 해당 계획 수립을 생략할 수 있는 조건이 있습니다. 그러나 이것이 개인정보 보호법 전체나 다른 안전조치를 면제하는 것은 아닙니다. 예외는 어느 조치의 어떤 대상에 적용되는지를 좁혀 읽어야 합니다.

목적을 달성했거나 보유기간이 끝나는 등 개인정보가 불필요해지면 지체 없이 파기해야 합니다. 다른 법령에 따라 보존해야 하면 해당 자료를 다른 개인정보와 분리해 저장·관리합니다. 모든 자료를 한꺼번에 계속 보관하는 근거로 사용하지 않습니다. 예를 들어 거래 증빙 중 필요한 항목을 법정 목적에 맞게 남기는 것과 회원의 선택적 관심정보를 마케팅용으로 계속 보유하는 것은 다른 처리입니다.

파기는 복구하거나 재생할 수 없도록 이루어져야 합니다. 화면에서 계정을 숨기거나 목록의 행만 삭제하는 것으로 모든 사본이 사라졌다고 볼 수 없습니다. 내보낸 파일, 검색 색인, 복제본과 백업 등 자료 흐름을 확인하고 시스템 구조에 맞는 파기 절차와 증거를 마련합니다. 백업을 복원할 때 이미 처리한 삭제 요구가 되살아나지 않도록 관리하는 문제도 있습니다. 기술적으로 어렵다는 이유만으로 목적 없는 영구 보관을 정당화하지 않습니다.

정보주체의 권리는 자신의 정보에 대한 열람, 정정·삭제, 처리정지와 동의 철회 등 법에서 정한 권리를 포함합니다. 다른 법령이 수집·보존을 요구하는 등 권리별 제한 조건이 있을 수 있으므로 요청을 모두 자동 승인하거나 모두 거절하지 않습니다. 본인 또는 대리인의 권한을 적절히 확인하고, 필요한 범위에서 처리하며 결과와 이유를 안내합니다. 요청 방법을 수집할 때보다 부당하게 어렵게 만들어서는 안 됩니다.

개인정보 보호법 제37조의2는 완전히 자동화된 시스템으로 개인정보를 처리해 이루어지는 결정에 관한 권리를 정합니다. 인공지능기술을 적용한 시스템도 포함하지만, 행정기본법 제20조에 따른 행정청의 자동적 처분은 이 조의 자동화된 결정에서 제외합니다. 자동화된 결정이 이루어졌다면 정보주체는 그 결정에 대해 설명 등을 요구할 수 있습니다. 이 설명 요구에는 자신의 권리나 의무에 ‘중대한 영향’이 있어야 한다는 요건이 붙지 않습니다.

그 결정을 거부할 권리는 별도 요건으로 읽습니다. 자신의 권리 또는 의무에 중대한 영향을 미치는 자동화된 결정이 대상이며, 개인정보 보호법 제15조제1항제1호·제2호·제4호에 따라 이루어지는 결정에는 거부권의 예외가 있습니다. 이는 정보주체가 동의한 경우, 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위해 불가피한 경우, 정보주체와 체결한 계약을 이행하거나 계약 체결 과정에서 정보주체의 요청에 따른 조치를 이행하기 위해 필요한 경우라는 처리 근거를 가리킵니다. 이 예외를 설명 요구까지 일괄 배제하는 근거로 넓히지 않습니다. 조직은 자동화의 정도와 결정의 근거·영향에 맞추어 요청을 처리하고, 정당한 사유가 없는 한 설명이나 인적 개입에 의한 재처리 등 법이 요구하는 필요한 조치를 해야 합니다.

참고　[286] · [294] · [271]