고객·직원 정보를 다루는 회사는 개인정보 보호법 제29조에 따라 안전성 확보조치를 해야 하고, 안 하면 3천만 원 이하 과태료, 유출되면 전체 매출액 3% 이하 과징금 대상입니다. 「개인정보의 안전성 확보조치 기준」(고시 제2026-9호)과 개인정보보호위원회 안내서(2026.11.)로 내부 관리계획을 생략할 수 있는 회사, 접근 권한·암호화·접속기록·백신·파기까지 작은 회사가 할 일을 정리합니다.
- 개인정보를 처리하는 회사는 규모와 상관없이 내부 관리계획, 접근 권한 관리, 접근통제, 암호화, 접속기록 보관, 악성프로그램 방지, 물리적 조치 같은 안전성 확보조치를 해야 합니다. 하지 않으면 3천만 원 이하 과태료, 개인정보가 유출되면 전체 매출액의 3% 이하 과징금 대상입니다 [근거 1][근거 2][근거 7][근거 8].
- 세부 기준은 「개인정보의 안전성 확보조치 기준」(고시 제2026-9호, 2026.7.1. 일부개정)입니다. 1만 명 미만의 정보주체 정보를 처리하는 소상공인·개인·단체는 내부 관리계획 수립을 생략할 수 있지만, 그 밖의 조치는 그대로 해야 합니다 [근거 3][근거 4].
- 작은 회사가 먼저 챙길 것은 1인 1계정과 권한 기록 3년 보관, 외부 접속 시 OTP 같은 안전한 인증, 비밀번호 일방향 암호화와 주민등록번호 등 암호화, 접속기록 1년(조건에 따라 2년) 보관, 백신 자동 업데이트, 잠금장치 보관, 복원되지 않는 파기입니다 [근거 3].
이미지 크게 보기 안전성 확보조치, 우리 회사도 해당되나요?
개인정보 보호법 제29조는 모든 개인정보처리자에게 개인정보가 유출되지 않도록 내부 관리계획 수립, 접속기록 보관 등 기술적·관리적·물리적 조치를 하라고 정합니다 [근거 1]. 회원 명단, 주문 고객 엑셀, 직원 인사 정보를 업무로 다루는 회사라면 규모와 상관없이 대상입니다.
해야 할 조치의 큰 틀은 시행령 제30조가 8가지로 정하고, 세부 기준은 개인정보보호위원회 고시 「개인정보의 안전성 확보조치 기준」에 있습니다 [근거 2][근거 3]. 현행 고시는 2026년 7월 1일 일부개정된 제2026-9호이고, 개인정보보호위원회는 이를 풀어 쓴 안내서를 2026년 11월에 새로 냈습니다 [근거 4][근거 5].
고시는 「최소한의 기준」이며, 처리하는 개인정보의 보유 수·유형·정보주체에게 미치는 영향을 고려해 스스로의 환경에 맞는 조치를 적용하라고 정합니다 [근거 3]. 고객 수가 적고 시스템이 단순하면 조치도 단순해질 수 있지만, 아래 항목을 아예 건너뛸 수는 없습니다.
| 시행령 제30조 | 고시 조문 | 작은 회사에서 하는 일 |
|---|---|---|
| 1. 내부 관리계획 | 제4조 | 보호 규칙 문서·교육(일부 생략 가능) |
| 2. 접근 권한 제한 | 제5조 | 1인 1계정, 퇴사자 즉시 말소 |
| 3. 접근 통제 | 제6조 | 외부 접속 OTP, 자동 로그아웃 |
| 4. 암호화 | 제7조 | 비밀번호·주민번호 등 암호화 |
| 5. 접속기록 보관 | 제8조 | 1년 이상(조건에 따라 2년) |
| 6. 악성프로그램 방지 | 제9조 | 백신 자동 업데이트 |
| 7. 물리적 조치 | 제10조 | 서류·USB 잠금 보관 |
| 8. 그 밖의 조치 | 제11~13조 | 출력 최소화, 파기 방법 |
안 하면 과태료 3천만 원, 유출되면 과징금
안전성 확보에 필요한 조치를 하지 않으면 3천만 원 이하 과태료 대상입니다 [근거 7]. 실제로 개인정보가 유출되면 전체 매출액의 3%를 넘지 않는 범위에서 과징금을 부과할 수 있습니다. 다만 안전성 확보에 필요한 조치를 다한 경우는 과징금 대상에서 빠집니다 [근거 8][근거 4].
개인정보보호위원회는 2026년 11월 11일 전체회의에서 삼양그룹 소속 4개사에 과징금 5억 5,200만 원과 과태료 1,620만 원을 의결했습니다 [근거 6]. 데이터 이관용으로 쓰던 파일서버를 이관이 끝난 뒤에도 외부망에 연결된 채로 두었고, 해커가 이 서버에서 14만 9,767명의 개인정보가 담긴 파일 약 85만 개를 빼 갔습니다. 주민등록번호 암호화를 하지 않았고, 보존기간이 지난 일용직 급여정보도 파기하지 않아 피해가 커졌다고 개인정보보호위원회는 밝혔습니다 [근거 6].
이 사례에서 문제가 된 것은 쓰지 않는 서버 방치, 주민등록번호 미암호화, 기간 지난 정보 미파기처럼 기본 조치였습니다 [근거 6]. 작은 회사도 그대로 점검할 수 있는 항목입니다.
도해 크게 보기 내부 관리계획, 생략할 수 있는 회사는?
내부 관리계획은 회사의 개인정보 보호 규칙을 문서로 정한 것입니다. 고시 제4조는 보호 조직, 보호책임자 지정, 취급자 교육, 접근 권한, 암호화, 접속기록, 유출사고 대응, 위탁 시 수탁자 관리 등 18개 사항을 담으라고 정합니다 [근거 3].
다만 1만 명 미만의 정보주체에 관한 개인정보를 처리하는 소상공인·개인·단체는 내부 관리계획 수립·시행을 생략할 수 있습니다 [근거 3]. 소상공인은 상시 근로자가 광업·제조업·건설업·운수업은 10명 미만, 그 밖의 업종은 5명 미만인 사업자입니다 [근거 4]. 소상공인이 아닌 중소기업은 처리하는 개인정보 수와 상관없이 내부 관리계획을 세워야 합니다 [근거 4].
내부 관리계획을 세웠다면 중요한 변경이 있을 때 즉시 고치고 수정 이력을 남기며, 보호책임자가 이행 실태를 연 1회 이상 점검해야 합니다 [근거 3]. 보호책임자와 취급자에게는 사업 규모와 업무 성격에 맞춰 교육을 정기적으로 실시합니다 [근거 3]. 생략할 수 있는 것은 내부 관리계획 문서이고, 아래의 다른 조치는 생략 대상이 아닙니다 [근거 3].
| 회사 | 정보주체 수 | 내부 관리계획 |
|---|---|---|
| 소상공인·개인·단체 | 1만 명 미만 | 생략 가능 |
| 소상공인·개인·단체 | 1만 명 이상 | 수립·시행 |
| 소상공인이 아닌 중소기업 이상 | 상관없음 | 수립·시행 |
도해 크게 보기 접근 권한과 접근 통제: 계정·로그인 관리
고객 정보가 들어 있는 쇼핑몰 관리자 화면, 고객관리 프로그램, 회원 데이터베이스처럼 개인정보를 처리하도록 구성한 시스템이 「개인정보처리시스템」입니다 [근거 3]. 이 시스템의 권한은 업무에 필요한 최소 범위로 나눠 주고, 담당자가 퇴사하거나 업무가 바뀌면 지체 없이 바꾸거나 없애야 합니다 [근거 3]. 안내서는 「지체 없이」를 정당한 사유가 없는 한 즉시라고 풉니다 [근거 4].
권한을 주고 바꾸고 없앤 내역은 최소 3년간 기록으로 남깁니다 [근거 3]. 계정은 정당한 사유가 없으면 담당자마다 따로 발급하고 다른 사람과 같이 쓰지 않으며, 일정 횟수 이상 로그인에 실패하면 접근을 막아야 합니다 [근거 3]. 이 실패 제한은 웹사이트 일반 회원 로그인에도 적용된다고 안내서는 봅니다 [근거 4].
직원이 회사 밖에서 관리자 화면에 접속한다면 인증서, 보안토큰, 일회용 비밀번호(OTP) 같은 안전한 인증수단을 적용해야 합니다 [근거 3]. 일정 시간 업무를 하지 않으면 자동으로 접속이 끊기게 하고, 업무용 휴대폰에는 비밀번호 등 잠금을 걸어야 합니다 [근거 3]. 2026년 11월 안내서는 인증수단 예시를 비밀번호·OTP·SMS 등 7종에서 패스키·QR코드·모바일앱을 더한 12종으로 넓혔습니다 [근거 5].
- 담당자마다 따로 계정 발급, 공용 계정 쓰지 않기 [근거 3]
- 권한 부여·변경·말소 내역 3년 보관 [근거 3]
- 퇴사·업무 변경 즉시 권한 회수 [근거 3][근거 4]
- 로그인 실패 횟수 제한(일반 회원 포함) [근거 3][근거 4]
- 외부 접속은 OTP·인증서 등 안전한 인증 [근거 3]
- 일정 시간 미사용 시 자동 접속 차단 [근거 3]
도해 크게 보기 암호화: 무엇을 꼭 암호화하나요?
비밀번호는 복호화되지 않게 일방향 암호화해서 저장해야 합니다 [근거 3]. 비밀번호·생체인식정보 같은 인증정보를 인터넷으로 주고받을 때도 암호화합니다. 홈페이지·앱 회원(정보통신서비스 이용자)의 주민등록번호, 여권번호, 운전면허번호, 외국인등록번호, 신용카드번호, 계좌번호, 생체인식정보는 암호화해서 저장해야 합니다 [근거 3].
회원이 아닌 직원·거래처 담당자 정보라도 주민등록번호는 인터넷 구간이든 내부망이든 저장할 때 암호화해야 합니다 [근거 3]. 개인정보를 인터넷으로 주고받을 때는 암호화합니다. 홈페이지·앱 회원의 개인정보, 그리고 회원이 아닌 사람의 고유식별정보·생체인식정보를 업무용 컴퓨터·휴대폰·USB에 저장할 때도 암호화한 뒤 저장해야 합니다 [근거 3].
2026년 11월 안내서는 암호 키를 프로그램 소스코드나 설정파일에 평문으로 두지 않도록 주의하라는 내용을 새로 넣었습니다 [근거 5]. 비밀번호 작성 규칙은 고시가 따로 정하지 않습니다. 안내서는 1234나 생년월일처럼 추측하기 쉬운 비밀번호를 막되, 너무 자주 바꾸게 하면 단순한 비밀번호를 쓰게 되는 역효과가 있다고 설명합니다 [근거 4][근거 5].
| 정보 | 저장할 때 | 근거 |
|---|---|---|
| 비밀번호 | 일방향 암호화 | 고시 제7조① |
| 회원의 주민·여권·운전면허·외국인등록번호 | 암호화 | 고시 제7조② |
| 회원의 신용카드·계좌번호·생체인식정보 | 암호화 | 고시 제7조② |
| 직원 등 비회원의 주민등록번호 | 암호화 | 고시 제7조③ |
| PC·USB에 저장하는 회원 정보·고유식별정보 | 암호화 후 저장 | 고시 제7조⑤ |
도해 크게 보기 접속기록: 1년 보관, 이런 경우는 2년
접속기록은 직원이 개인정보처리시스템에 들어가 누가, 언제, 어디서, 누구의 정보를, 무슨 일(조회·수정·다운로드 등)을 했는지 남긴 기록입니다 [근거 3]. 정보주체 본인 접속을 뺀 접속기록을 1년 이상 보관해야 합니다 [근거 3].
5만 명 이상의 정보주체 정보를 처리하는 시스템, 고유식별정보나 민감정보를 처리하는 시스템, 기간통신사업자는 2년 이상 보관합니다 [근거 3]. 직원 주민등록번호를 담은 인사 시스템이면 고유식별정보를 처리하는 시스템이므로 2년 대상입니다 [근거 3].
보관만 해서는 안 되고, 접속기록과 개인정보 다운로드 상황을 점검하는 주기·방법·사후 조치 절차를 정해 이행해야 합니다 [근거 3]. 점검 주기는 회사가 규모와 특성을 고려해 정할 수 있지만, 너무 길게 잡으면 오남용을 늦게 알게 되므로 주의하라고 안내서는 설명합니다 [근거 4]. 기록은 위조·변조·분실되지 않게 보관합니다 [근거 3].
| 시스템 | 보관 기간 |
|---|---|
| 일반 | 1년 이상 |
| 정보주체 5만 명 이상 | 2년 이상 |
| 고유식별정보·민감정보 처리 | 2년 이상 |
| 기간통신사업자 | 2년 이상 |
도해 크게 보기 백신·물리적 보관·출력·파기
백신 같은 보안 프로그램을 설치하고, 자동 업데이트를 켜거나 정당한 사유가 없으면 하루 1회 이상 업데이트합니다 [근거 3]. 운영체제나 프로그램 제작사가 보안 업데이트를 공지하면 정당한 사유가 없는 한 즉시 업데이트해야 합니다 [근거 3].
개인정보가 담긴 서류와 USB 같은 보조저장매체는 잠금장치가 있는 곳에 보관합니다 [근거 3]. 전산실·자료보관실을 따로 두고 있으면 출입통제 절차를 만들고, 보조저장매체를 들고 나가고 들여오는 것을 통제하는 대책을 세웁니다. 별도 시스템 없이 업무용 컴퓨터나 휴대폰으로만 개인정보를 처리하는 회사는 이 반출·입 통제를 적용하지 않을 수 있습니다 [근거 3].
시스템에서 개인정보를 인쇄하거나 엑셀로 내려받을 때는 용도를 정하고 출력 항목을 최소화합니다 [근거 3]. 파기할 때는 소각·파쇄 같은 완전파괴, 전용 소자장비로 삭제, 복원되지 않게 초기화·덮어쓰기 중 하나를 해야 합니다 [근거 3]. 일부만 지울 때 종이 기록은 마스킹·구멍 뚫기로 지웁니다 [근거 3].
도해 크게 보기 작은 회사 안전조치 체크리스트 12가지
아래 12가지는 고시 제4조~제13조 중 소상공인·중소기업이 일상적으로 확인할 항목을 골라 정리한 것입니다 [근거 3]. 하루 평균 이용자 100만 명 이상 사업자의 인터넷망 차단, 대규모 사업자의 재해·재난 대비, 공공시스템 특례는 대상이 아니면 빼도 됩니다 [근거 3].
- 1. 내부 관리계획이 있는가(1만 명 미만 소상공인은 생략 가능) [근거 3]
- 2. 보호책임자를 정하고 취급자 교육을 정기적으로 하는가 [근거 3]
- 3. 담당자마다 따로 계정을 쓰는가 [근거 3]
- 4. 퇴사자 계정을 바로 없애고, 권한 기록을 3년 보관하는가 [근거 3]
- 5. 회사 밖에서 관리자 화면에 들어갈 때 OTP 등을 쓰는가 [근거 3]
- 6. 비밀번호를 일방향 암호화해 저장하는가 [근거 3]
- 7. 주민등록번호·계좌번호 등을 암호화해 저장하는가 [근거 3]
- 8. PC·USB에 내려받은 회원 정보·주민번호 파일을 암호화하는가 [근거 3]
- 9. 접속기록을 1년(해당 시 2년) 보관하고 점검하는가 [근거 3]
- 10. 백신 자동 업데이트와 보안 업데이트를 바로 하는가 [근거 3]
- 11. 서류·USB를 잠금장치가 있는 곳에 두는가 [근거 3]
- 12. 쓰지 않는 서버와 기간 지난 정보를 복원되지 않게 지우는가 [근거 3][근거 6]
자주 묻는 질문
방화벽 같은 보안 장비를 사서 설치하면 접근통제를 다 한 건가요? 아닙니다. 안내서는 정보보호 솔루션을 구매·설치하는 것만으로는 요구사항을 충족하지 않고, 정책 업데이트·이상행위 대응·로그 분석 같은 운영·관리를 해야 한다고 설명합니다 [근거 4].
비밀번호를 몇 달마다 바꾸게 해야 하나요? 고시는 비밀번호 구성·변경 기준을 따로 정하지 않습니다. 회사가 시스템 특성을 고려해 자율로 정하되, 너무 자주 바꾸게 하면 오히려 보안이 떨어질 수 있다는 것이 안내서의 설명입니다 [근거 4][근거 5].
개인정보 처리방침에도 안전조치를 적어야 하나요? 네. 안전성 확보조치는 처리방침의 필수 기재 항목입니다. 처리방침에는 이 글의 조치 중 실제로 하고 있는 것을 적습니다 [근거 9].
이 글의 기준은 언제 것인가요? 개인정보 보호법(법률 제21445호)·시행령(대통령령 제36804호)과 「개인정보의 안전성 확보조치 기준」(고시 제2026-9호, 2026.7.1. 일부개정), 개인정보보호위원회 안내서(2026.11.) 기준이며 2026년 11월 13일에 정리했습니다. 이 글은 편집팀이 법령 원문과 공식 자료를 대조해 쓰고 AI를 활용해 정리했으며, 공공시스템 특례나 업종별 기준은 소관 법령을 함께 확인하세요.
매달 반복되는 청구·수금 일,
청구부터 입금 확인까지 알아서 갑니다
청구서 보내고, 세금계산서 발행하고, 통장 보며 입금 맞추고, 늦은 거래처에 연락하는 일. 청구서를 한 번 보내두면 나머지는 정해둔 일정대로 이어집니다.
확인한 근거
- 개인정보 보호법(법률 제21445호, 2026.9.11. 시행) 제29조 안전조치의무 — 국가법령정보센터 ↗
- 개인정보 보호법 시행령(대통령령 제36804호, 2026.11.10. 시행) 제30조 개인정보의 안전성 확보 조치 — 국가법령정보센터 ↗
- 개인정보의 안전성 확보조치 기준(개인정보보호위원회 고시 제2026-9호, 2026.7.1. 일부개정) — 국가법령정보센터 행정규칙 ↗
- 개인정보보호위원회 「개인정보의 안전성 확보조치 기준 안내서」(2026.11., 신기술개인정보과) — 고시 전문·해설·자주 묻는 질문 ↗
- 개인정보보호위원회 보도자료 「기술환경 변화 등을 알기 쉽게 반영한 안전조치 안내서 개정」(2026.11.5.) ↗
- 개인정보보호위원회 보도자료 「안전조치 의무 위반한 삼양그룹 소속 4개사 제재」(2026.11.12.) ↗
- 개인정보 보호법 제75조 과태료(제2항 제5호 안전성 확보조치 미이행 3천만 원 이하) — 국가법령정보센터 ↗
- 개인정보 보호법 제64조의2 과징금의 부과(제1항 제9호 유출 시 전체 매출액 3% 이하) — 국가법령정보센터 ↗
- 개인정보 보호법 시행령 제31조 개인정보 처리방침의 내용(제1항 제3호 안전성 확보 조치) — 국가법령정보센터 ↗
이 글은 일반적인 이해를 돕는 자료입니다. 실제 적용은 거래 내용과 적용 기준에 따라 달라질 수 있습니다.
검토·수정 이력
2026-11-13 · 편집팀 검토(AI 활용) 후 발행.