개인정보를 수집하는 것만큼 중요한 게 보관이다. 개인정보 보호법 제29조는 개인정보처리자에게 기술적·관리적·물리적 안전조치를 의무화하고 있다. 분실, 도난, 유출, 위조, 변조, 훼손을 막기 위한 최소한의 보호 장치를 법으로 강제하는 것이다. 이 조항을 위반하면 과징금과 과태료가 동시에 부과될 수 있다.
시행령이 정한 8가지 안전조치 항목
개인정보 보호법 제29조의 구체적 내용은 시행령 제30조와 고시에서 정하고 있다. 개인정보처리자가 반드시 이행해야 할 안전조치는 다음과 같다.
- 내부 관리계획의 수립·시행 및 점검
- 개인정보에 대한 접근 권한의 제한 – 부여·변경·말소 기준 수립
- 개인정보 접근을 차단하기 위한 접근통제 시스템 설치·운영
- 접속기록의 보관 및 위조·변조 방지 조치
- 개인정보의 암호화 기술 적용
- 보안 프로그램의 설치·갱신
- 개인정보의 안전한 보관을 위한 물리적 접근 방지 조치
- 개인정보의 파기 관련 조치
이 중 암호화와 접근통제는 개인정보 보호법 29조 위반 사례에서 가장 빈번하게 지적되는 항목이다. ▲ 특히 비밀번호, 주민등록번호 등 고유식별정보는 반드시 안전한 암호알고리즘으로 암호화하여 저장해야 한다.
유형별 안전조치 기준 차이
개인정보 보호법 제29조에 따른 안전조치는 개인정보처리자의 유형에 따라 기준이 다르다. 개인정보보호위원회 고시인 ‘개인정보의 안전성 확보조치 기준’은 처리자를 유형별로 나누어 차등 적용하고 있다.
개인정보 보호법 제29조 – 유형별 안전조치 기준
| 유형 | 대상 | 주요 의무 |
| 유형1 (완화) | 1만 명 미만 소규모 처리자 | 내부관리계획 면제, 기본 암호화·접근통제 |
| 유형2 (표준) | 10만 명 미만 중소 처리자 | 내부관리계획 수립, 접속기록 1년 보관 |
| 유형3 (강화) | 10만 명 이상 대규모 처리자 | 내부관리계획 수립·점검, 접속기록 2년 보관, 재해복구 대책 |
자기 사업의 규모를 파악하고 해당 유형에 맞는 조치를 이행하는 것이 개인정보 보호법 29조 준수의 출발점이다.
위반 시 제재 수준
개인정보 보호법 제29조를 위반하면 강력한 제재가 뒤따른다. 안전조치를 이행하지 않아 개인정보가 유출된 경우 전체 매출액의 3% 이하 과징금이 부과된다. 안전조치 의무 자체를 이행하지 않은 경우에는 3천만 원 이하 과태료가 별도로 부과된다. 2025년 SK텔레콤 유심 해킹 사건에서 개인정보보호위원회는 약 1,348억 원의 역대 최대 과징금을 부과했다. 개인정보 보호법 제29조 위반이 핵심 사유였다. SK텔레콤은 2026년 1월 과징금 취소 행정소송을 제기한 상태다.
실무에서 놓치기 쉬운 점검 포인트
개인정보 보호법 제29조를 형식적으로만 준수하는 기업이 많다. 내부관리계획을 수립해 놓고 실제 점검을 하지 않거나, 암호화 알고리즘을 오래된 것으로 방치하는 경우가 대표적이다. 접속기록도 단순 보관만 해서는 안 되고 위조·변조 방지 조치까지 갖춰야 한다. 개인정보 보호법 29조의 안전조치는 한 번 구축하고 끝나는 것이 아니라 지속적으로 점검하고 갱신해야 하는 반복적 의무다. ▲ 퇴직자 계정 삭제, 비밀번호 주기적 변경 같은 기본적인 접근 권한 관리부터 재점검해야 한다.
자주 묻는 질문
Q. 개인정보 보호법 제29조는 모든 사업자에게 적용되나?
A. 그렇다. 개인정보를 처리하는 모든 개인정보처리자에게 적용된다. 다만 처리 규모에 따라 안전조치 기준이 유형1~유형3으로 차등 적용되므로 소규모 사업자도 해당 유형의 의무는 반드시 이행해야 한다.
Q. 내부관리계획은 반드시 문서로 만들어야 하나?
A. 1만 명 이상의 개인정보를 처리하는 경우 반드시 문서화해야 한다. 내부관리계획에는 개인정보 보호 책임자 지정, 접근 권한 관리, 암호화 방침, 물리적 안전조치 등의 내용이 포함되어야 한다.
Q. 개인정보 보호법 29조 위반 여부는 어떻게 확인하나?
A. 개인정보 포털에서 제공하는 자가진단 체크리스트를 활용하면 된다. 개인정보보호위원회가 발간한 ‘안전성 확보조치 기준 안내서’도 실무 점검에 유용하다.