개인정보 안전조치, 했다는 기록이 매달 남습니다

종전(2026. 10. 30.까지, 고시 제2023-6호)
개인정보처리시스템의 접속기록 등을 월 1회 이상 점검하여야 한다. (개인정보의 안전성 확보조치 기준 제8조제2항)

개정(2026. 10. 31.부터, 고시 제2025-9호)
접속기록 및 개인정보 다운로드 상황을 확인하고 점검하는 주기·방법·사후조치절차 등을 내부 관리계획으로 정하고 이행하여야 한다. (같은 기준 제8조제2항. 고시 제2025-9호(2025. 10. 31. 발령) 부칙 제1조에 따라 발령 1년 후 시행)

주기를 정하는 것은 사업장의 몫입니다. 다만 정한 주기대로 점검했다는 기록이 없으면 이행했다고 보여 주기 어렵습니다. 같은 날부터 개인정보 파기와 출력·복사 시 안전조치도 내부관리계획에 넣을 항목이 됩니다(제4조제1항제12호·제13호). 우리 사업장에 어떻게 적용되는지는 원문으로 확인하세요.

개인정보 보호법 시행령 별표 2 제2호아목(법 제75조제2항제5호), 대통령령 제36671호, 2026년 9월 11일 시행

표의 금액은 위반 횟수별 부과기준입니다. 같은 별표 제1호다목은 위반이 경미하거나, 사업장 규모에 비해 과중하거나, 자율적인 보호 활동을 하는 등 노력이 인정되면 금액을 줄이거나 면제할 수 있다고 정하고 있습니다. 평소의 기록은 그 노력을 보여 주는 자료가 됩니다.

접속기록·다운로드 점검 (내부관리계획에 정한 주기, 수첩 기본값 매월)
EMR, 쇼핑몰 관리자 화면에 누가 언제 들어와 무엇을 내려받았는지 확인합니다. 접속기록은 1년 이상, 정보주체 5만 명 이상이거나 민감정보·고유식별정보를 다루면 2년 이상 보관합니다(제8조제1항). 점검일, 확인한 항목, 이상 여부, 다운로드 사유, 조치 내용이 남습니다.

접근 권한 부여·변경·말소 (입사·퇴사·업무 변경 때)
업무가 바뀌거나 직원이 나가면 지체 없이 권한을 바꾸거나 없애고(제5조제2항), 그 내역을 최소 3년 보관합니다(제5조제3항). 발생일과 처리일이 같이 남아, 처리가 늦어진 건이 바로 보입니다.

개인정보 파기 (보유기간이 끝날 때)
보유기간이 지나거나 목적을 이루면 지체 없이 파기합니다(법 제21조제1항). 방법은 파쇄·소각, 소자장비, 초기화·덮어쓰기 중 하나입니다(고시 제13조제1항). 만료 예정일을 미리 적어 두면 달력에 알림이 뜨게 할 예정입니다. 파기일과 방법이 남습니다.

개인정보 보호 교육 (계획에 정한 일정)
교육 목적·대상, 내용, 일정·방법을 정해 정기적으로 실시합니다(제4조제2항). 주기는 숫자로 정해져 있지 않아 직접 정합니다. 교육일, 참석자, 내용, 자료가 남습니다.

내부관리계획 이행 점검 (연 1회 이상)
개인정보 보호책임자가 접근 권한, 접속기록, 암호화 등 계획의 이행 실태를 점검합니다(제4조제4항). 정보주체 1만 명 미만 소상공인 등은 계획 수립을 생략할 수 있습니다(제4조제1항 단서). 계획 항목별로 이행·일부·미이행과 증빙 위치가 남습니다.

조문은 따로 적지 않은 경우 「개인정보의 안전성 확보조치 기준」(개인정보보호위원회 고시) 기준입니다.