개인정보 접속기록은 얼마나 보관하고 어떻게 점검해야 합니까

보관 기간은 1년, 조건에 따라 2년

개인정보 보호법 제29조는 접속기록 보관을 안전조치 의무의 하나로 정하고, 세부 기준은 개인정보보호위원회 고시인 「개인정보의 안전성 확보조치 기준」 제8조가 정합니다. 개인정보처리시스템의 접속기록은 1년 이상 보관해야 하고, 다음 중 하나에 해당하면 2년 이상 보관해야 합니다.

• 5만 명 이상의 정보주체에 관한 개인정보를 처리하는 시스템
• 고유식별정보 또는 민감정보를 처리하는 시스템
• 전기통신사업법에 따라 등록·신고한 기간통신사업자

개정 고시는 보관 대상도 넓혔습니다. 개정 전 고시는 「개인정보취급자」의 접속기록을 대상으로 했고, 개정 고시(2026년 11월 1일 시행)는 「개인정보처리시스템에 접속한 자(정보주체 제외)」를 대상으로 합니다. 개인정보보호위원회는 개정 이유로 오픈마켓 판매자처럼 계정을 받아 시스템에 접속하는 제3자까지 적용을 넓히는 것을 들고 있습니다.

개인정보처리시스템은 데이터베이스만을 뜻하지 않습니다. 고시는 이를 「데이터베이스시스템 등 개인정보를 처리할 수 있도록 체계적으로 구성한 시스템」으로 정의하므로, 고객 상담 화면, 회원 관리용 관리자 페이지, 데이터를 내려받는 내부 도구처럼 사람이 개인정보를 조회·수정·다운로드하는 창구가 모두 대상이 될 수 있습니다. 보관 기간을 정하기 전에 이런 창구가 몇 개인지부터 목록으로 만들어 두어야 빠짐이 없습니다.

접속기록과 혼동하기 쉬운 것이 권한 부여·변경·말소 내역입니다. 같은 고시 제5조는 이 내역을 별도로 최소 3년간 보관하도록 정합니다. 「누가 들어와 무엇을 했나」와 「누구에게 언제 권한을 줬나」는 서로 다른 기록입니다.

무엇이 남아야 접속기록인가

고시는 접속기록을 개인정보처리시스템에 접속한 사람이 수행한 업무 내역을 식별자, 접속일시, 접속지 정보, 처리한 정보주체 정보, 수행업무 등으로 전자적으로 기록한 것이라고 정의합니다. 이 중 시스템을 설계할 때 빠지기 쉬운 것이 「처리한 정보주체 정보」입니다.

클라우드 로그는 접속기록을 대신하지 못합니다

AWS CloudTrail은 AWS 계정 안에서 사용자·역할·서비스가 수행한 API 호출을 기록합니다. 누가 데이터베이스 설정을 바꿨는지는 남지만, 관리자 화면에서 어느 회원의 정보를 조회했는지는 남지 않습니다. 애플리케이션 안에서 일어난 일이기 때문입니다. 데이터베이스 감사 로그는 쿼리를 남길 수 있지만, 애플리케이션이 하나의 DB 계정으로 접속하는 구조라면 실제 사람을 식별하기 어렵습니다.

1. 관리자 화면 조회·수정·다운로드
2. 애플리케이션이 접속기록 생성
3. 운영과 분리된 저장소로 전송
4. 위·변조 방지 보관
5. 정기 점검과 사후 조치

그래서 접속기록은 애플리케이션이 직접 남기도록 설계하는 것이 원칙입니다. 고시 제8조는 접속기록이 위·변조되거나 도난·분실되지 않도록 안전하게 보관하라고도 정하므로, 운영 관리자가 지울 수 없는 별도 저장소나 별도 계정에 두는 구성이 적합합니다. 클라우드 API 로그와 데이터베이스 감사 로그는 이를 보완하는 기록으로 함께 보관합니다.

보완 기록도 보관 기간을 따로 챙겨야 합니다. CloudTrail은 계정을 만들면 기본으로 켜져 있지만, 콘솔의 이벤트 기록(Event history)은 리전별로 최근 90일의 관리 이벤트만 보여 줍니다. 1년 이상의 기록이 필요하다면 추적(trail)이나 이벤트 데이터 저장소를 만들어 별도 저장소에 쌓아야 합니다. 「기본으로 켜져 있으니 남아 있을 것」이라는 가정은 사고 조사 단계에서 확인하면 이미 늦습니다.

개정 고시의 점검 기준(2026년 11월 1일 시행)

2025년 10월 31일 발령된 개정 고시(제2025-9호)는 접속기록 보관·점검 조항을 「발령한 날의 1년 후부터 시행」하도록 했고, 개인정보보호위원회 안내서(2025.11.)는 이를 2026년 11월 1일 시행으로 표기합니다. 개정 후에는 처리 환경에 맞게 회사가 점검 주기와 방법을 정할 수 있지만, 그만큼 정한 기준과 이행 기록을 스스로 입증해야 합니다. 주기를 정할 때는 보유 규모와 정보 유형, 다운로드 빈도를 근거로 남겨 두는 편이 안전합니다.

실무에서는 두 층으로 나누면 운영이 쉬워집니다. 대량 다운로드나 업무 시간 외 접속처럼 기계가 판단할 수 있는 신호는 자동 알림으로 받고, 사람이 맥락을 봐야 하는 항목은 정해진 주기의 정기 검토로 확인합니다. 점검 결과에는 확인한 사람, 이상 여부, 소명을 요청했는지와 그 결과를 함께 남깁니다. 또 관리자 본인의 접속기록을 본인이 점검하는 구조는 피해야 합니다. 개인정보보호위원회 안내서도 점검의 객관성을 위해 개인정보를 취급·운영하는 부서가 아닌 별도 부서가 점검하도록 안내합니다.

점검에서 눈여겨볼 신호는 대체로 정해져 있습니다.

• 평소보다 많은 건수의 조회·다운로드
• 업무 시간 외나 평소와 다른 위치에서의 접속
• 퇴사 예정자·권한 변경 직후 계정의 활동
• 업무와 관계없는 정보주체 조회(예: 담당하지 않는 회원의 정보 조회)
• 다운로드가 확인된 건의 사유 확인과 그 기록

참고 자료

• 개인정보의 안전성 확보조치 기준(개인정보보호위원회 고시) — 국가법령정보센터
• 개인정보 보호법 제29조(안전조치의무) — 국가법령정보센터
• 개인정보의 안전성 확보조치 기준 안내서(2025.11.) — 개인정보보호위원회
• Working with CloudTrail event history — AWS 문서