9월 11일 개정 개인정보 보호법, 관리자 페이지에서 무엇부터 고쳐야 하나요?

9월 11일 개정 개인정보 보호법, 관리자 페이지에서 무엇부터 고쳐야 하나요?

처리방침 문구보다 기록과 권한이 먼저입니다. 이번 개정은 사고가 났을 때 "언제 무엇을 알았고 누가 무엇을 봤는지"를 회사가 증명할 수 있느냐를 묻는 방향으로 움직였습니다. 통지 기준이 유출뿐 아니라 위조·변조·훼손과 유출 가능성까지 넓어졌고, 인지 후 72시간 안에 정보주체에게 알려야 합니다(대한민국 정책브리핑, 2026-06-02). 72시간 안에 대상자를 추려내려면 접속기록과 권한 이력이 관리자 화면에서 바로 조회돼야 합니다. 개정 법률은 2026년 9월 11일 시행입니다(국가법령정보센터, 법률 제20897호).

무엇이 달라졌나

항목	달라진 점	시스템에서 필요한 것
통지 대상	분실·도난·유출에 더해 위조·변조·훼손, 유출 가능성까지	변조·삭제까지 잡히는 변경 이력
통지 시한	인지 후 72시간 이내 정보주체 통지	영향 범위를 기간·계정 단위로 뽑는 조회 기능
보호책임자(CPO)	지정·변경·해제 시 이사회 의결과 신고	담당자 변경 이력과 근거 문서 보관
제재	반복·중대 위반에 과징금 가중, 안전조치 위반 과태료 상향	안전조치 이행을 보여줄 로그

관리자 페이지에서 손볼 순서

1. 권한을 역할로 정리합니다. "관리자"가 하나뿐이고 전원이 전체 회원 목록을 여는 구조라면 여기부터입니다. 업무 단위로 역할을 나누고, 개인정보가 실제로 필요한 화면에만 권한을 답니다.
2. 조회도 기록에 남깁니다. 많은 백오피스가 수정·삭제만 로그로 남기고 조회는 남기지 않습니다. 유출 가능성을 판단하려면 누가 어떤 조건으로 무엇을 열었는지가 필요합니다.
3. 목록에서 원문을 지웁니다. 연락처·주민등록번호·계좌는 목록에서 마스킹하고, 원문은 사유를 남긴 뒤 상세에서만 보이게 합니다. 화면을 캡처해 외부에 공유해도 그대로 새 나가지 않습니다.
4. 내보내기를 통제합니다. 엑셀 내보내기는 조용히 대량 유출이 일어나는 통로입니다. 권한·건수 상한·사유 입력을 걸고 내보낸 사실을 기록합니다.
5. 영향 범위 조회를 만듭니다. "특정 기간에 이 계정이 접근한 정보주체 목록"이 한 번에 나오게 해 둡니다. 72시간 시계는 이 조회가 있느냐로 갈립니다.
6. 보관 기간과 파기를 자동화합니다. 탈퇴·계약 종료 후 보관 기간이 지난 데이터가 남아 있으면 사고 시 피해 범위만 커집니다.

지금 우리 상태는 어떻게 확인하나요

거창한 진단 없이 관리자 계정 하나로 30분이면 대강 드러납니다. 회원 목록을 열어 연락처가 그대로 보이는지, 계정 메뉴에서 누가 어떤 권한을 갖고 있는지 한 화면에서 확인되는지, 지난달에 특정 담당자가 무엇을 조회했는지 뽑아 볼 수 있는지, 엑셀 내보내기 버튼에 제한이 있는지, 탈퇴한 회원의 데이터가 아직 조회되는지를 차례로 눌러 보면 됩니다. 다섯 가지 중 답이 막히는 지점이 곧 이번 개정에서 설명하기 어려워지는 지점입니다.

여기서 나온 항목을 처리방침에 적힌 내용과 나란히 놓아 보면 우선순위가 정해집니다. 처리방침에는 "접근권한을 최소한으로 부여하고 접속기록을 보관한다"고 적혀 있는데 화면에는 그 기능이 없는 경우가 실무에서 가장 흔합니다.

개발 일정에는 어떻게 넣나요

1~3번은 대체로 기존 백오피스 위에서 처리할 수 있는 범위이고, 4~6번은 데이터 모델과 배치 작업까지 건드리는 일이라 범위가 더 큽니다. 저희가 운영 중인 관리자 시스템을 손볼 때도 권한 정리와 조회 로그를 먼저 넣고, 마스킹·내보내기 통제, 파기 배치 순으로 나눠 배포했습니다. 한 번에 전부 바꾸려 하면 검수할 것이 뒤엉켜 오히려 늦어집니다.

정리하면, 개정법이 요구하는 것은 새로운 기능이 아니라 이미 하고 있다고 말해 온 것을 증명할 수 있는 상태입니다. 처리방침과 실제 화면이 어긋나 있지 않은지부터 확인해 보시길 권합니다.