사옥에 외부 손님이 늘면 "이름, 연락처, 생년월일까지 다 받아야 하나" 고민이 생겨요. 방문자 출입 등록은 개인정보를 수집하는 일이라 개인정보 보호법의 기준을 따라요. 이 글은 방문자 등록과 방문증 관리만 다루고, CCTV나 위치추적, 보안구역 등 별도 규정이 필요한 경우는 제외해요.
방문자 정보는 무엇을 근거로 받나요?
출입 관리라는 목적에 맞는 근거가 있어야 해요. 개인정보 보호법 제15조는 정보주체의 동의, 법령상 의무 준수, 개인정보처리자의 정당한 이익 등을 수집 근거로 들고 있어요.
정당한 이익을 근거로 삼으려면 그 이익이 명백하게 정보주체의 권리보다 우선해야 하고, 정당한 이익과 상당한 관련이 있으며 합리적인 범위를 넘지 않아야 해요. 동의를 받는다면 수집 목적, 항목, 보유·이용 기간, 동의를 거부할 권리를 알려야 해요.
등록 항목은 어디까지가 적당한가요?
제16조는 목적에 필요한 최소한의 개인정보만 수집하라고 정하고 있어요. 최소한이라는 입증책임은 수집하는 쪽이 져요.
- 방문 일시, 방문자 성명, 소속, 만나는 담당자는 출입 확인에 직접 연결돼요.
- 연락처는 방문 중 연락이 필요한 경우에 한해 받는 것을 권해요.
- 생년월일처럼 목적과 연결이 약한 항목은 받지 않는 편이 안전해요. 이는 법 조문이 항목을 지정한 것이 아니라, 최소수집 원칙을 적용한 실무 판단이에요.
동의를 받아 수집하는 경우 필요한 최소한 외의 항목은 동의하지 않을 수 있다고 구체적으로 알려야 하고(제16조 제2항), 그 항목에 동의하지 않았다는 이유로 재화나 서비스의 제공을 거부해서는 안 돼요(제3항). 방문 허용이 여기서 말하는 서비스 제공에 해당하는지는 개별 사정에 따라 달라질 수 있어요.
그럼 동선 통제와 기록 보관은 어떻게 정하나요?
가상의 상황이에요. 직원 40명 규모의 사무실에 하루 5~10명이 방문하고, 1층 로비와 회의실만 열어 둔다고 해 볼게요.
이 경우 방문자는 로비에서 성명·소속·만날 담당자만 적고, 방문증을 받아 회의실까지 담당자가 동행해요. 사무 공간은 방문증이 있어도 담당자 동행 없이는 들어갈 수 없게 구역을 나눠요. 방문증은 퇴실 때 회수하고, 출입 대장은 잠글 수 있는 곳이나 접근 권한이 있는 시스템에 두는 방식을 내부 기준으로 삼아 보세요.
보관 기간은 방문자 등록부에 대해 특별히 정한 법정 기간을 이번 범위에서 확인하지 못했어요. 그래서 기간을 단정하지 않고, 회사가 목적에 비추어 정한 기간을 내부 기준에 적어 두세요. 정한 기간이 지나면 파기하는 절차도 내부 기준에 넣고, 종이 대장은 다른 사람이 볼 수 없게 두는 방안을 검토하세요. 파기와 안전조치의 구체 의무는 이 글에서 인용한 제15조·제16조 범위 밖이라 별도 확인이 필요해요.
실무 체크 포인트 수집 항목, 보관 기간, 대장 보관 장소를 한 장짜리 기준으로 먼저 정해 두세요.
오늘 바로 할 일
- 지금 받는 방문자 항목을 적고, 방문 목적과 무관한 항목은 뺄지 정해요.
- 출입 가능한 구역을 "자유 출입"과 "동행 필요"로 나눠요.
- 방문 기록의 보관 기간과 파기 방법, 대장 보관 장소를 정해요.
출처: 국가법령정보센터 「개인정보 보호법」 제15조(개인정보의 수집·이용), 제16조(개인정보의 수집 제한) [시행 2026. 9. 11.] https://www.law.go.kr/lsBdyPrint.do?chrClsCd=010202&efYd=20260911&joNo=0016%3A00&lsiSeq=283839, https://www.law.go.kr/lsBdyPrint.do?chrClsCd=010202&efYd=20260911&joNo=0015%3A00&lsiSeq=283839