UTM 보안

로비·공용 복도·안내데스크·열려 있는 주차장처럼 외부인도 드나드는 곳은 개인정보 보호법에 따로 있는 조항을 따릅니다. 범죄 예방과 수사, 시설 안전과 화재 예방 같은 목적이 분명하면 설치할 수 있습니다. 그런데 출입문을 잠가 두고 직원만 들어가는 사무실이나 작업 공간은 그 조항이 보는 공개된 장소로 보지 않습니다. 그러면 영상을 일반 개인정보로 다루는 규정으로 넘어가서, 근로자 동의 같은 별도 근거가 필요하다고 해설 자료들이 적고 있습니다. 한 층에 두 경우가 섞여 있는 건물이 많아서 카메라마다 따로 봐야 합니다.

출입을 통제한 공간에 달더라도 특정한 사람의 책상을 정면으로 오래 비추는 구성은 피하는 편이 좋습니다. 개인정보보호위원회가 직원 근무 공간과 컴퓨터 화면까지 하루 종일 찍어 저장하는 운영을 사생활 침해 우려가 크다고 본 사례가 법무법인 해설에 소개돼 있습니다. 설치할 때 복도를 보게 해 두었다가 나중에 각도만 사무실 안쪽으로 돌리는 경우도 안내판에 적어 둔 촬영 범위와 어긋나게 됩니다.

의료법 제23조 제2항은 전자의무기록을 쓰는 의료기관이 안전하게 관리·보존하는 데 필요한 시설과 장비를 갖추도록 하고 있고, 무엇을 갖출지는 보건복지부 고시 「전자의무기록의 관리·보존에 필요한 시설과 장비에 관한 기준」이 정합니다. 고시는 의료기관 안에 두든 밖에 두든 적용되는 공통 조치와 밖에 둘 때만 붙는 추가 조치로 나뉘고, 공통 조치에 기록을 만들고 저장하는 장비, 이력관리 장비, 백업 저장장비가 들어갑니다. 차트를 의료기관 밖에 두는 것은 2016년 8월부터 가능해진 선택이지 의무가 아닙니다. 외부에 둔다면 백업 데이터 위변조 방지, 백업 설비 분리 운영, 무중단 백업과 복구, 네트워크 이중화, 인증받은 보안 제품, 보존 장소 출입통제와 감시 장비, 재해 예방 시설이 추가로 붙습니다. 2023년 12월 개정으로 국내외 보안인증을 받은 클라우드 서비스를 쓰면 인증과 겹치는 지표는 빠지고 이중화된 네트워크와 저장 장소의 국내 한정 요건이 남습니다. 미이행 시 제재 수준은 1차 자료로 확인되지 않아 적지 않습니다.

진료실이나 사무실 컴퓨터 옆에 저장장치 한 대를 붙여 두고 그것을 백업으로 보는 곳이 많습니다. 그 장치가 평소에 켜져 있고 같은 네트워크에 연결돼 있으면, 파일을 잠그는 사고가 났을 때 원본과 백업본이 함께 잠깁니다. 백업본은 감염될 수 있는 컴퓨터와 네트워크에서 떨어진 곳에 두는 구성이어야 합니다. 백업이 돌아가는 것과 복원이 되는 것도 다른 일이라, 한 달에 한 번 파일 하나만 되살려 보는 확인이 필요합니다. 마지막 백업 날짜가 며칠 전에 멈춰 있는데 아무도 모르고 지나가는 경우가 가장 흔합니다.

현장 모니터에서 보이는데 휴대폰으로만 안 보이면 카메라와 녹화기는 정상입니다. 막힌 곳은 건물 밖에서 인터넷을 거쳐 녹화기로 들어오는 접속 경로입니다. 공유기를 새것으로 바꾸면 그 안에 저장돼 있던 포트포워딩 설정이 같이 없어지고, 회선을 옮기거나 상품을 바꾸면 건물 공인 IP가 바뀝니다. 둘 다 인터넷은 그대로 되기 때문에 바꾼 당일에는 모르고 지나갑니다. 건물 안에서 휴대폰 와이파이를 끄고 접속해 보면 어느 구간인지 바로 구분됩니다.

주소가 바뀌는 회선이어도 장비의 DDNS를 걸어 두면 대부분 해결됩니다. 카메라 몇 대를 휴대폰 하나로 보는 정도면 DDNS로 충분합니다. 매장이 여러 곳이어서 본사에서 한 화면으로 모아 보거나 관제 서비스를 붙일 때는 고정IP가 관리하기 쉽습니다. 고정IP는 따로 신청하는 상품이라 요금은 회선 상품과 개수에 따라 달라 상담 시 확인해야 합니다.

CCTV를 두면 촬영 사실을 알 수 있게 안내판을 설치해야 합니다(개인정보 보호법). 설치 목적과 장소, 촬영 범위와 시간, 관리책임자 연락처를 적어야 합니다. 안내판 없이 운영하다 적발되면 과태료가 부과될 수 있습니다. 금액은 위반 내용에 따라 달라져 확인이 필요합니다.

업종에 따라 갈립니다. 일반 사업장은 법으로 며칠이라고 정해 둔 기준이 없고, 개인정보 보호법이 필요한 기간만 두고 지나면 지우도록 하고 있습니다. 반대로 기간이 정해진 업종이 있습니다. 어린이집은 60일 이상이고(영유아보육법), 장기요양기관도 60일 이상입니다. 그래서 요양 시설과 어린이집은 녹화기를 고를 때 그 일수가 나오는 용량인지부터 확인해야 합니다. 며칠로 잡느냐에 따라 용량이 달라지니 대수·화질과 같이 계산합니다.

여러 사람이 쓰는 목욕실·화장실·발한실·탈의실 내부는 개인정보 보호법에서 설치를 금지합니다. 손님이 쉬는 객실은 공개된 장소로 보지 않아 설치 후보에서 빠집니다. 남는 설치 장소는 복도·계단·로비·카운터·출입구·주차장이고, 대수는 면적보다 복도가 몇 방향으로 갈리는지에서 나옵니다. 층이 늘면 그만큼 늘어납니다.

본인이 찍힌 영상은 열람을 요청할 수 있지만, 같은 화면에 다른 사람이 있으면 알아볼 수 없게 가린 뒤에 보여 드려야 합니다. 복도 영상은 옆 사람이 같이 찍혀 이 처리가 거의 항상 따라옵니다. 요청이 들어온 날 알아보기 시작하면 보관 일수 안에 못 끝낼 수 있어서, 누가 요청을 받고 어떤 장비로 가림 처리를 할지 미리 정해 둬야 합니다.

본인이 찍힌 영상은 개인정보 보호법 제35조에 따라 열람을 요구할 수 있고, 요구를 받은 날부터 10일 안에 보여 드리거나 못 보여 드리는 사유를 알려 드려야 합니다. 현장에서 많이 쓰는 「경찰 신고하고 오세요」, 「경찰관 입회 없이는 안 됩니다」, 「다른 손님이 같이 찍혀 있어서 안 됩니다」는 정당한 거절 사유로 인정되지 않습니다. 개인정보보호위원회는 2025년 6월에 이런 이유로 열람을 거부한 아파트 관리사무소와 호텔 식음료 매장에 과태료 부과를 의결했습니다. 금액은 위반 내용에 따라 달라 확인이 필요합니다.

같은 화면에 다른 사람이 있으면 알아볼 수 없게 가린 뒤에 보여 드려야 합니다. 복도와 주차장 영상은 거의 매번 이 처리가 따라옵니다. 가림 처리와 구간 잘라내기가 녹화기에서 바로 되는 기종이면 그날 끝나고, 안 되는 기종이면 영상을 내보내 따로 작업하는 동안 10일이 지나갑니다. 설치할 때 이 기능을 확인해 두면 요구가 들어와도 접수부터 열람까지 당일에 정리됩니다.

병원에서 제일 많이 어긋나는 부분입니다. 복도 영상은 본인이 찍혔으면 개인정보 보호법 제35조로 열람을 요구할 수 있고 열흘 안에 처리해야 하는데, 수술실 영상은 같은 방식으로 열람을 요구할 수 없습니다. 열람·제공이 되는 경우가 셋으로 정해져 있습니다 — 수사·재판기관의 요청, 의료분쟁 조정·중재 절차가 시작된 뒤 환자나 보호자 동의를 받은 중재원의 요청, 그리고 환자와 그 수술에 참여한 의료인 등 찍힌 사람 모두의 동의입니다. 환자분 요청만으로는 세 번째에 해당하지 않아 의료인 동의를 모아야 합니다. 그래서 요청이 들어온 뒤에 절차를 알아보기 시작하면 보관 기간 안에 끝나지 않습니다. 촬영 자체도 요청서를 받아 두고, 촬영이 가능하다는 사실을 환자가 미리 알 수 있게 안내문으로 알려야 합니다.

일반 건물은 어디에 달지를 운영하는 쪽에서 정합니다. 장기요양기관은 2023년 6월 22일부터 설치·관리가 의무가 되면서 달아야 하는 곳이 목록으로 정해졌습니다. 각 공동거실(복도 포함)·침실·현관·물리(작업)치료실·프로그램실·식당·시설이 자체 운영하는 엘리베이터에 1대 이상씩 두고, 사각지대가 최소가 되게 달아야 합니다. 그래서 층마다 그 목록에 해당하는 곳을 세면 대수가 나옵니다. 복도 하나에 한 대로 잡아 온 견적이 모자라는 이유가 여기 있습니다. 꺾인 복도는 한 대로 반대쪽이 안 보입니다.

장기요양기관은 찍힌 영상을 60일 이상 보관해야 합니다. 60일이 되기 전에 수급자의 안전 확인 등을 이유로 열람 요청을 받은 영상은 보관 기간이 지나도 지울 수 없고, 그 사유가 끝난 뒤에 지웁니다. 보호자가 영상을 찾는 시점이 사고 당일이 아니라 며칠에서 2주 뒤인 경우가 많아, 60일 보관이 실제로 필요합니다. 오래된 영상부터 덮어쓰는 녹화기에서 덮어쓰기가 60일보다 먼저 시작되면, 카메라를 규정대로 달아도 보관 기준을 어기게 됩니다. 침실에 달 때는 동의 요건이 따로 붙습니다. 설치 기준이나 보관 의무를 어긴 것이 확인되면 과태료가 부과될 수 있고, 금액은 1차 자료로 확인하지 못해 적지 않습니다.

화장실·탈의실·휴게실처럼 사생활 침해 우려가 있는 곳은 설치할 수 없습니다. 사무실 내부에 두는 경우에도 근로자에게 알리는 절차가 따로 있어서, 설치 위치를 정하기 전에 확인하는 편이 안전합니다.

시행규칙과 고시가 정해 둔 것은 설치할 공간, 고해상도(HD)급 이상 화질, 60일 이상 저장용량입니다. 같이 묶여 돌아다니는 「초당 10장 이상」은 2016년 보건복지부 가이드라인이 권하는 녹화 설정이고 시행규칙 본문의 수치는 아닙니다. 화질을 「130만 화소 이상」으로 아는 경우도 많은데, 그 숫자는 2015년 입법예고안에 있던 값입니다. 130만 화소(1280×960)와 100만 화소(1280×720)가 보는 화질에 차이가 없고 숫자로 못을 박으면 가장 보편적인 1280×720 제품이 빠진다는 지적이 있어, 최종 시행규칙에서 HD급 이상이라는 등급 기준으로 바뀌었습니다. 그래서 견적서의 화소 숫자보다 HD급 이상인지를 봅니다. 권고라서 안 지켜도 된다는 뜻은 아닙니다. 프레임을 낮게 두면 넘어지는 순간처럼 짧게 지나가는 장면이 빠집니다.

CCTV 설치·관리 의무는 노인장기요양보험법과 그 시행규칙이 장기요양기관(요양원·노인요양공동생활가정 등)에 지운 것입니다. 2023년 6월 22일부터 신규 기관, 그전부터 운영한 기관은 같은 해 12월 21일까지가 기한이었습니다. 요양병원은 의료법이 적용되는 의료기관이라 이 규정의 대상에서 빠져 있고, 당시 보도에서도 사각지대라는 지적이 함께 나왔습니다. 그래서 요양병원은 설치할 곳과 보관 일수를 병원이 정해 운영·관리 방침에 적어야 합니다. 둘을 섞으면 요양병원에 없는 의무를 지키려 하거나, 반대로 요양원에서 침실 동의 요건을 빠뜨리는 쪽으로 갈립니다. 전신마취 수술을 하는 의료기관의 수술실 CCTV는 의료법에 따른 별도 의무라 그쪽은 따로 봅니다.

법이 일수를 못 박아 둔 업종(학원·사무실·매장 등)은 시설이 보유 기간을 정하고 그 기간을 지키는 구조입니다. 기간을 산정하기 곤란하면 표준 개인정보 보호지침이 촬영 후 30일 이내로 정하도록 권하고 있습니다. 30일을 넘겨 둘 수도 있지만, 그때는 그 기간이 영상정보처리기기 운영·관리 방침에 미리 들어가 있어야 합니다. 민원이 들어온 뒤에 「우리는 90일 보관입니다」라고 말하는 순서가 아닙니다. 정한 일수는 안내판에도 적고, 녹화기에서 그 일수만큼 거슬러 올라가 재생되는지 확인해 둬야 실제로 지켜지는 숫자가 됩니다.