개인정보 안전성 확보조치 10월 31일 2차 시행
온라인 셀러 접속기록·내부관리 점검
2025년 10월 31일 개정·공포된 「개인정보의 안전성 확보조치 기준」(개인정보보호위원회 고시)의 2차 시행이 2026년 10월 31일부터 적용됩니다. 9월 11일 시행되는 개인정보보호법(법률) 개정과는 다른 축으로, 이쪽은 "처리방침 문구"가 아니라 접속기록·내부관리계획·접근권한 같은 기술·관리적 안전조치를 다룹니다. 스마트스토어·쿠팡 입점만 하는 셀러와, 자사몰·외주 개발을 두고 직접 시스템을 굴리는 셀러는 영향의 크기가 다릅니다. 이 글은 소상공인 기준으로 "누가, 무엇을" 손봐야 하는지만 추립니다.
10월 31일부터 무엇이 바뀌나 — 핵심 4가지
| 조문 | 바뀐 내용 | 소상공인 영향 |
|---|---|---|
| 제8조 접속기록 | 기록 대상이 "취급자"에서 시스템에 접속한 자 전체(정보주체 제외)로 확대 — 외주 개발자·협력사 계정 포함 | 직접 자사몰·외주 운영 시 |
| 제4조 내부관리계획 | 출력·복사 시 안전조치와 파기에 관한 사항이 필수 항목으로 추가 | 조건부 1만 명 이상 처리 시 |
| 제5조 접근권한 | 차등 부여 대상이 시스템 모든 사용자로 확대, 인증 실패 시 접근 제한 기능 요구 | 직접 관리자 계정 관리 |
| 제6조 2차 인증 | 외부 접속하는 사용자에 안전한 인증수단(2차 인증) 적용 확대 | 간접 오픈마켓은 플랫폼 의무 |
지금 점검할 실무 체크리스트
대부분 비용 없이 설정·문서·습관만 손보면 되는 항목입니다. 시행일(10/31) 전에 한 번 정리해 두세요.
① 접속기록 — 누가 언제 고객정보에 접근했는가
- 자사몰·자체 관리자 페이지가 있다면 접속 일시·계정·처리내역이 기록되는지 확인. 개정 후 기록 대상은 정보주체(고객) 접속을 제외한 모든 접속자 — 외주 개발자·협력사 계정 포함.
- 접속기록은 원칙 1년 이상 보관. 단, 정보주체 5만 명 이상이거나 고유식별정보·민감정보를 다루면 2년 이상.
- 기존의 "월 1회 이상 점검" 의무는 10월 31일부터 자율화됩니다(점검 주기·방법을 내부관리계획으로 정해 이행). 단, 그 전까지는 월 1회 점검 의무가 유효하니 지금 앞서 폐지하지 마세요.
② 내부관리계획 — 출력·복사·파기 항목 추가
- 내부관리계획에 개인정보 출력·복사 시 안전조치와 파기에 관한 사항이 필수 항목으로 추가됩니다. 주문서 인쇄·엑셀 다운로드·CS 캡처를 다룬다면 해당.
- 1만 명 미만의 정보주체를 처리하는 소상공인·개인·단체는 내부관리계획 수립 의무가 면제될 수 있습니다(해설 기준 — 시행 전 조문 재확인 권장). 면제되더라도 ③ 접근권한·④ 파기 같은 실질 조치는 여전히 권장됩니다.
③ 접근권한·인증 — 계정 관리의 기본선
- 관리자·직원·외주별로 필요한 만큼만 권한 차등 부여. 퇴사·계약종료 계정은 즉시 회수.
- 로그인 인증이 여러 번 실패하면 접근이 제한되도록(계정 잠금 등). 외부에서 접속하는 계정은 2단계 인증 적용.
- 관리자 비밀번호를 추측 어려운 값으로, 공용 계정 공유 금지.
④ 파기 — 안 지운 데이터가 사고를 키운다
- 보유기간이 지났거나 목적이 끝난 고객정보·주문파일은 파기. 다운로드해 둔 엑셀·CS 이력도 포함.
- 파기 시점·방법·담당을 간단히 기록해 두면 사고 시 근거가 됩니다(내부관리계획 파기 항목과 연결).
위반하면 — 제재는 어느 정도인가
안전성 확보조치(개인정보보호법 제29조) 위반은 3천만 원 이하의 과태료(제75조 제2항, 행정제재) 대상입니다. 형사처벌이 곧바로 따르는 조항은 아니지만, 안전조치 소홀이 실제 유출 사고로 이어지면 그때는 별도의 손해배상·형사 리스크가 더해집니다. 요점은 액수보다 방향 — 고객정보를 다루는 습관을 시행일 전에 한 번 정돈해 두면 이후로도 유효합니다.
내 개인정보 처리방침, 부적정 표현부터 30초 점검
처리방침 전문을 붙여넣으면 포괄동의·불특정 위탁·모호한 보유기간·구법 용어 같은 부적정 표현을 개인정보 보호법 조항과 함께 짚어드립니다. 붙여넣기만 하면 됩니다. (입력값은 서버로 전송되지 않습니다.)
처리방침 무료 점검 → 전체 무료 도구 보기내부관리계획·파기·자가점검 문서가 필요하다면
개인정보 9·11 대응킷에는 이 글의 체크리스트를 실제 문서로 만든 소상공인용 처리방침 템플릿·유출 대응 절차서·자가점검표가 들어 있습니다. 접속기록·파기 항목까지 처음부터 작성하는 시간을 아껴 줍니다.
대응킷 살펴보기 →참고 출처(2026-08 확인): 개인정보의 안전성 확보조치 기준(고시 제2025-9호, 국가법령정보센터) · 안전성 확보조치 기준 안내서(개인정보보호위원회) · 개인정보보호위원회 · 개인정보보호법 제75조 과태료(casenote).