9.4.4 직원 계정·접속기록·권한·파기 관리

원문 대조·이중 검수 2026-11-01

요약

직원의 업무 변화와 시스템 권한을 연결하고, 권한 변경 이력과 접속기록을 구분해 관리해요. ²

꼭 기억할 것

• 업무가 바뀌면 접근 권한을 지체 없이 변경·말소하고, 권한 변경 내역은 최소 3년 보관해요. ²
• 민감정보 또는 고유식별정보를 처리하는 시스템의 접속기록은 2년 이상 보관해요. ²

입사 때 개인별 계정과 업무 범위를 정해요

개인정보취급자는 임직원·파견근로자·시간제근로자 등 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 사람이에요. ³ 개인정보처리자는 그 취급자의 접근 권한을 업무에 필요한 최소 범위로 차등 부여해야 해요. ² 정당한 사유가 없는 한 취급자별로 계정을 발급하고 다른 취급자와 공유되지 않도록 해야 해요. ²

작성 제안: 접수·진료·청구·전산 지원 역할별로 조회, 수정, 다운로드, 계정 관리 기능을 나눈 권한표를 만들어요. 입사자가 맡은 업무에 맞춰 승인하고 실제 화면에서 허용 기능을 확인해요.

작성 제안: 외주 지원용 계정도 사용자, 작업 목적, 승인자, 사용 종료 조건을 적어요. 업체가 점검할 때 원장 계정을 빌려주는 방식 대신 개인별 작업 이력이 남는 접속 방식을 협의해요.

직무 변경·퇴사 때 권한과 이력을 함께 처리해요

개인정보취급자 또는 그 업무가 바뀌면 접근 권한을 지체 없이 변경하거나 말소해야 해요. ² 권한 부여·변경·말소 내역은 기록하고 최소 3년간 보관해야 해요. ²

작성 제안: 퇴사 처리표에 전자의무기록, 예약, 청구, 원격지원, 공유 저장소의 계정을 나란히 적어요. 인사 담당자가 변경 사실을 전달하고 시스템 담당자는 처리 결과와 처리 시각을 기록하는 흐름을 정해요.

작성 제안: 계정 사용 중단과 기존 진료기록 삭제를 같은 작업으로 묶지 않아요. 작성자 식별과 업무 이력을 유지하면서 접근만 차단할 수 있는지 공급사에 확인해요.

접속기록 보관과 실제 점검을 구분해요

접속기록은 시스템에 누가 들어가 어떤 처리를 했는지 확인하는 기록이에요. ² 안전성 확보조치 기준은 정보주체를 제외한 접속자의 기록을 원칙적으로 1년 이상 보관하도록 정해요. ² 고유식별정보 또는 민감정보를 처리하는 시스템이나 5만명 이상 정보주체의 개인정보를 처리하는 시스템 등은 2년 이상 보관 대상이에요. ²

건강에 관한 정보는 민감정보예요. ⁴ 건강 정보를 처리하는 전자의무기록 시스템은 민감정보 처리 시스템의 접속기록 2년 이상 보관 기준을 적용해요. ²

접속기록과 다운로드 상황의 점검 주기·방법·사후조치절차는 내부 관리계획으로 정하고 이행해야 해요. ² 기록의 위조·변조, 도난·분실을 막는 안전한 보관 조치도 필요해요. ²

다만 1만명 미만의 정보주체에 관하여 개인정보를 처리하는 소상공인·개인·단체는 내부 관리계획 수립·시행을 생략할 수 있어요. ² 개인정보 보호책임자는 내부 관리계획 이행 실태를 연 1회 이상 점검·관리해야 해요. ² 내부 관리계획 수립·시행을 생략해도 제8조제1항의 접속기록 보관기간은 지켜야 해요. ²

작성 제안: 접속기록 저장 기능이 켜져 있다는 답변에서 멈추지 말고, 실제 기록을 조회하고 오래된 기록을 꺼낼 수 있는지 확인해요. 대량 다운로드나 담당 업무와 무관한 조회가 발견되면 확인한 사유와 후속 조치를 기록해요.

암호화·출력·파기를 별도 항목으로 점검해요

비밀번호를 저장할 때에는 복호화되지 않는 일방향 암호화가 필요해요. ² 개인정보를 인터넷망 구간으로 송수신할 때에는 안전한 암호 알고리즘으로 암호화해야 해요. ² 저장 암호화의 세부 대상은 이용자 여부, 정보 종류, 저장 위치에 따라 제7조의 항목을 대조해요. ²

출력할 때에는 용도를 특정하고 용도에 따라 출력 항목을 최소화해야 해요. ² 개인정보가 든 서류와 보조저장매체는 잠금장치가 있는 안전한 장소에 보관해야 해요. ²

보유기간 경과나 목적 달성 등으로 불필요해진 개인정보는 지체 없이 파기하되, 다른 법령에 따라 보존해야 하는 정보는 예외예요. ¹ 그 경우 다른 개인정보와 분리해 저장·관리해야 해요. ¹ 파기할 때에는 복구·재생되지 않도록 조치해야 해요. ¹

작성 제안: 파기대장에 자료명, 보존 근거, 파기 판단일, 대상 범위, 파기 방식, 확인자를 적어요. 종이 출력물과 폐기할 저장장치를 따로 분류하고, 외주 파기는 처리 결과를 받아 확인해요.

흔한 실수

• 직원 계정을 지웠다는 이유로 법정 보존 자료까지 지우면 안 돼요. 다른 법령에 따른 보존 예외가 있어요. ¹
• 접속기록의 일반 보관기간만 적용하면 민감정보 처리 시스템의 강화된 기준을 놓쳐요. ²

근거 조문

개인정보 보호법 제21조제1항

① 개인정보처리자는 보유기간의 경과, 개인정보의 처리 목적 달성, 가명정보의 처리 기간 경과 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 한다. 다만, 다른 법령에 따라 보존하여야 하는 경우에는 그러하지 아니하다. <개정 2023.3.14>

개인정보의 안전성 확보조치 기준 제5조제3항

③ 개인정보처리자는 제1항 및 제2항에 의한 권한 부여, 변경 또는 말소에 대한 내역을 기록하고, 그 기록을 최소 3년간 보관하여야 한다.

개인정보의 안전성 확보조치 기준 제8조제1항(제2호 포함)

제8조(접속기록의 보관 및 점검) ① 개인정보처리자는 개인정보처리시스템에 접속한 자(다만, 정보주체는 제외한다)의 접속기록을 1년 이상 보관ㆍ관리하여야 한다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 2년 이상 보관ㆍ관리하여야 한다.1. 5만명 이상의 정보주체에 관한 개인정보를 처리하는 개인정보처리시스템에 해당하는 경우2. 고유식별정보 또는 민감정보를 처리하는 개인정보처리시스템에 해당하는 경우3. 개인정보처리자로서 「전기통신사업법」제6조제1항에 따라 등록을 하거나 같은 항 단서에 따라 신고한 기간통신사업자에 해당하는 경우

개인정보 보호법 제28조 ①

① 개인정보처리자는 개인정보를 처리함에 있어서 개인정보가 안전하게 관리될 수 있도록 임직원, 파견근로자, 시간제근로자 등 개인정보처리자의 지휘ㆍ감독을 받아 개인정보를 처리하는 자(이하 "개인정보취급자"라 한다)의 범위를 최소한으로 제한하고, 개인정보취급자에 대하여 적절한 관리ㆍ감독을 하여야 한다. <개정 2023.3.14>

개인정보 보호법 제23조 ①

①개인정보처리자는 사상ㆍ신념, 노동조합ㆍ정당의 가입ㆍ탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보로서 대통령령으로 정하는 정보(이하 "민감정보"라 한다)를 처리하여서는 아니 된다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는  그러하지 아니하다. <개정 2016.3.29>
1. 정보주체에게 제15조제2항 각 호 또는 제17조제2항 각 호의 사항을 알리고 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우
2. 법령에서 민감정보의 처리를 요구하거나 허용하는 경우

개인정보의 안전성 확보조치 기준 제4조

제4조(내부 관리계획의 수립ㆍ시행 및 점검) ① 개인정보처리자는 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 의사결정 절차를 통하여 다음 각 호의 사항을 포함하는 내부 관리계획을 수립ㆍ시행하여야 한다. 다만, 1만명 미만의 정보주체에 관하여 개인정보를 처리하는 소상공인ㆍ개인ㆍ단체의 경우에는 생략할 수 있다.1. 개인정보 보호 조직의 구성 및 운영에 관한 사항2. 개인정보 보호책임자의 자격요건 및 지정에 관한 사항3. 개인정보 보호책임자와 개인정보취급자의 역할 및 책임에 관한 사항4. 개인정보취급자에 대한 관리ㆍ감독 및 교육에 관한 사항5. 접근 권한의 관리에 관한 사항6. 접근통제에 관한 사항7. 개인정보의 암호화 조치에 관한 사항8. 접속기록 보관 및 점검에 관한 사항9. 악성프로그램 등 방지에 관한 사항10. 개인정보의 유출, 도난 방지 등을 위한 취약점 점검에 관한 사항11. 물리적 안전조치에 관한 사항12. 출력ㆍ복사시 안전조치에 관한 사항13. 개인정보의 파기에 관한 사항14. 개인정보 유출사고 대응 계획 수립ㆍ시행에 관한 사항15. 위험 분석 및 관리에 관한 사항16. 개인정보 처리업무를 위탁하는 경우 수탁자에 대한 관리 및 감독에 관한 사항17. 개인정보 내부 관리계획의 수립, 변경 및 승인에 관한 사항18. 그 밖에 개인정보 보호를 위하여 필요한 사항② 개인정보처리자는 다음 각 호의 사항을 정하여 개인정보 보호책임자 및 개인정보취급자를 대상으로 사업규모, 개인정보 보유 수, 업무성격 등에 따라 차등화하여 필요한 교육을 정기적으로 실시하여야 한다.1. 교육목적 및 대상2. 교육 내용3. 교육 일정 및 방법③ 개인정보처리자는 제1항 각 호의 사항에 중요한 변경이 있는 경우에는 이를 즉시 반영하여 내부 관리계획을 수정하여 시행하고, 그 수정 이력을 관리하여야 한다.④ 개인정보 보호책임자는 접근 권한 관리, 접속기록 보관 및 점검, 암호화 조치 등 내부 관리계획의 이행 실태를 연1회 이상 점검ㆍ관리 하여야 한다.

출처

1. 법제처 국가법령정보센터 · 개인정보 보호법 제21조
2. 법제처 국가법령정보센터 · 개인정보의 안전성 확보조치 기준 제2조 제5조 제7조 제8조 제10조 제12조 제13조 제4조
3. 법제처 국가법령정보센터 · 개인정보 보호법 제28조
4. 법제처 국가법령정보센터 · 개인정보 보호법 제23조