개인정보보호위원회[법령] 개인정보의 안전성 확보조치 기준 개정 공표(2025. 10. 31. 시행) : 일률적 인터넷망 차단조치 제도 개선 본격 시행

게시일 : 2025년 10월 31일 

개인정보보호법의 하위 행정규칙인 개인정보 안전성 확보조치 기준이 시행되었습니다.

아래는 2023년과 2025년의 신구조문대비표 입니다.

(※ 행정규칙에 대한 최신 안내서가 발간되었습니다. -> https://www.cela.kr/4/?q=YToxOntzOjEyOiJrZXl3b3JkX3R5cGUiO3M6MzoiYWxsIjt9&bmode=view&idx=168843276&t=board)

개인정보 안전성 확보조치 기준

눈여겨 봐야할 부분은 제6조의2(인터넷 차단 조치 등) 입니다.

개인정보를 다운로드 또는 파기할 수 있는 개인정보 취급자 중에서
위험 분석 결과 확인된 위험을 감소시길 수 있는 보호조치를 적용한 경우는 인터넷망 차단 조치를 안 할 수 있다는 내용인데요.
그에 따른 위험분석 예시가 [별표]에 명시되었습니다.

위험을 감소시킬 수 있는 보호조치 예시 (제6조의2 관련)

※ 비고
“예시”는 개인정보처리자가 개인정보에 대한 접근을 통제하기 위해 필요한 조치를 마련하는 과정에서 필요한 조치가 무엇인지 선택·적용하도록 하는 안전조치 사항이면서, 실제 사례에서는 구체적 사실관계에 따라 필요한 부분을 선택적으로 적용할 수 있음.

다시 말하면,
개인정보 파일을 다운로드할 수 있는 개인정보처리자라 하더라도, 위 보호조치를 적용한다면 인터넷망 차단조치를 적용하지 않아도 된다는 의미입니다.
그동안 개인정보 파일을 다운로드할 때 인터넷망 차단 때문에 불편을 겪던 현업 담당자분들이 이제는 조금 숨통이 트이지 않을까 싶네요.

추가로, 아래는 개인정보보호 위원회에서 '일률적 인터넷망 차단조치 제도 개선 본격 시행'으로 안내된 보도자료 내용을 정리한 내용입니다.

업무에 참고하시기 바랍니다.

--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

개인정보 안전성 확보조치 기준 개정 고시 주요 내용 (10월 31일 발효)

■ 개정 고시 시행 개요

• ‘일평균 100만명 이상 개인정보를 저장‧관리하는 개인정보처리자’에게 일률적으로 적용되어 온 인터넷망 차단조치 제도 개선안이 본격 시행됨.

• 개인정보보호위원회는 해당 내용을 포함한 「개인정보의 안전성 확보조치 기준」 개정안을 10월 31일부터 시행한다고 발표함.

• 이번 개정안에는

  • 인터넷망 차단조치 제도 개선

  • 오픈마켓 판매자 등에 대한 플랫폼 사업자의 책임 강화

  • 개인정보처리자 자율보호 체계 강화

  • 내부관리계획 수립 항목 확대
    등의 내용이 포함됨.

1. 인터넷망 차단조치 제도 개선

• 적용 대상: 일평균 100만명 이상 개인정보를 저장·관리하는 개인정보처리자.

• 기존 제도:

  • 개인정보처리시스템에서 개인정보를 내려받거나 파기할 수 있는 개인정보취급자는 사용하는 모든 기기의 인터넷망을 차단해야만 했음.

• 개선 내용:

  • 개인정보취급자의 기기에 대해 위험 분석을 실시하여,

    • 위험성이 감지될 경우 → 이를 낮출 수 있는 보호조치 적용

    • 위험하지 않은 것으로 판단되는 경우 → 인터넷망 차단조치 대상에서 제외 가능

• 단서 조항:

  • 접근권한 설정이 가능한 컴퓨터,

  • 민감정보‧암호화 대상 정보를 다운로드할 수 있는 컴퓨터 등 중요·민감정보를 다루는 컴퓨터는 기존과 동일하게 인터넷망 차단조치 적용.

• 기대 효과:

  • 기존의 네트워크 차단 중심 조치에서 데이터 중요도 기반 보호체계로 전환.

  • AI·클라우드 활용이 원활해지고 업무 효율성 향상.

2. 오픈마켓 판매자 등에 대한 플랫폼 사업자의 책임 강화

• 개인정보처리시스템 접근권한 차등부여 및 접속기록 보관 대상을 확대함.

• 기존 문제점:

  • 오픈마켓 판매자 등 플랫폼을 이용해 개인정보를 처리하는 자들은 안전한 인증수단 적용, 접속기록 보관 등의 조치 의무 대상에서 제외되어 있었음.

  • 일부 주요 플랫폼 사업자들은 자율규약을 통해 일부 기능을 제공해 오고 있었음.

• 개선 내용:

  • 접근권한 차등부여 대상

    • 기존: ‘개인정보취급자’

    • 변경: ‘업무수행자’ 전체로 확대

  • 일정 횟수 이상 인증 실패 시 접근 제한 대상

    • 기존: ‘개인정보취급자 또는 정보주체’

    • 변경: ‘개인정보처리시스템에 접근하는 모든 자’

  • 외부에서 개인정보처리시스템 접속 시 안전한 인증수단 적용 대상

    • 기존: 일부

    • 변경: ‘정당한 접근권한을 가진 자(정보주체 제외)’

  • 접속기록 보관 대상

    • 기존: ‘개인정보취급자’

    • 변경: ‘개인정보처리시스템에 접속한 자(정보주체 제외)’

• 기대 효과:

  • 소상공인·입점 판매자 등 플랫폼 이용자의 개인정보 처리 안전성 강화.

3. 개인정보처리자 자율보호 체계 강화

• 기존 안전성 확보조치 기준이 접속기록 점검, 다운로드 사유 확인 등 형식적 절차에 집중했다는 지적을 반영.

• 개선 내용:

  • 개인정보처리자가 내부 관리계획을 스스로 수립하고 점검 주기, 점검 방법, 사후조치 절차 등을 자율적으로 설정 가능.

• 예외 사항:

  • 제8조제1항 개정으로 접속기록 보관 대상이 ‘개인정보처리시스템에 접속한 자(정보주체 제외)’로 확대됨.

  • 이에 따라 오픈마켓 판매자 등 비정규적 이용자의 접속기록은 보관하되, 점검 및 사후조치는 현실적 여건을 고려하여 ‘개인정보취급자’로 한정하여 수행.

4.내부 관리계획 수립 항목 확대

• 기존 내부관리계획에는 포함되지 않았던 항목을 추가함.

• 추가되는 항목:

  • 출력·복사 시 안전조치(제12조),

  • 개인정보 파기 관련 사항(제13조)

• 개선 필요성이 제기되어 온 부분을 반영한 조치임.

5. 시행 시기 구분

• 즉시 시행되는 조항

  • 제2조(정의)

  • 제6조의2(인터넷망의 차단조치 등)

• 1년 유예기간이 부여되는 조항

  • 제4조(내부 관리계획의 수립·시행 및 점검)

  • 제5조(접근 권한의 관리)

  • 제6조(접근통제)

  • 제8조(접속기록의 보관 및 점검)

6. 향후 계획

• 개인정보위는 본 개정 내용과
  최근 9월 발표한 「개인정보 안전관리 체계 강화 방안」(암호화 확대 등)을 반영한
  ‘개인정보의 안전성 확보조치 안내서’를 연내 발간 예정.

• 관계자 설명회 등을 개최하여 세부 내용을 안내할 계획.

출처 : https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS216&mCode=G010020010&nttId=11599