호텔·예약 플랫폼 운영자 점검: 개인정보 보호 지표 신설과 평가 감점 리스크

한 줄 결론

2026년 7월 1일부터 문화체육관광부 고시 개정에 따라 호텔업 등급평가 시 개인정보 보호 관리체계 운영 여부가 핵심 가점 및 감점 지표로 신설되며, 개인정보보호위원회는 이러한 개인정보 보호 활동 평가 지표를 향후 호텔업 외 다양한 타 업종의 자체 평가 및 심사 기준에도 확대 적용할 계획입니다.

적용 대상 빠른 판별

공식 자료로 확인된 변경 내용

1. 제도 개편의 배경 및 목적

개인정보보호위원회(위원장 송경희)와 문화체육관광부(장관 최휘영)의 협력에 따라 추진된 이번 제도 개편은 숙박 분야의 특수성을 깊이 있게 고려하여 마련되었습니다. 호텔업을 비롯한 숙박 관련 비즈니스는 내국인뿐만 아니라 외국인 투숙객의 여권번호, 상세한 투숙기록, 민감한 결제정보 등 다양하고 광범위한 개인정보를 대규모로 수집하고 취급하는 업종입니다. 따라서 개인정보 보호에 대한 고도화되고 체계적인 관리가 필수적으로 요구되는 상황입니다. 이에 개인정보보호위원회는 관련 업계가 수동적인 규제 준수를 넘어 자발적이고 적극적인 개인정보 보호 노력을 기울일 수 있도록 유인하는 실질적인 인센티브 체계를 마련하고자 문화체육관광부에 고시 개정을 적극적으로 요청하였고, 이것이 최종 반영되었습니다.

2. 관련 법령 및 시행 일정

• 개정 대상 법령: 문화체육관광부 고시 ｢호텔업 등급결정업무 위탁 및 등급결정에 관한 요령｣
• 시행 일자: 2026년 7월 1일 본격 시행
• 주요 골자: 호텔업 등급평가기준 내에 개인정보 보호 활동에 대한 명시적인 가점 및 감점 지표 신설

3. 신설된 가점 지표 상세 기준 (최대 10점 부여)

이번 개정을 통해 호텔 등급평가 가점 항목으로 ‘투숙객 개인정보 보호 관리체계 운영’ 지표가 새롭게 신설되었습니다. 평가 대상 사업자는 다음의 4가지 구체적인 개인정보 보호 활동 중 이행한 항목의 개수에 따라 차등적으로 가점을 부여받게 됩니다.

• 가점 인정 대상 4대 활동:
  • 개인정보 보호 주간 참여
  • 개인정보 자율규제 참여
  • 개인정보 전담조직 구성 및 운영
  • 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증 취득
• 가점 부여 기준 (차등 지급):
  • 위 4가지 활동 중 3개 이상을 이행한 경우: 10점 가점 부여
  • 위 4가지 활동 중 2개를 이행한 경우: 7점 가점 부여
  • 위 4가지 활동 중 1개를 이행한 경우: 4점 가점 부여

4. 신설된 감점 지표 상세 기준 (10점 감점)

가점 지표와 더불어, 개인정보 보호 관리에 소홀한 사업자에 대한 엄격한 페널티 부여를 위해 감점 항목에 ‘개인정보보호 관련 행정조치’ 지표가 추가되었습니다. 구체적인 감점 조건은 다음과 같습니다.

• 감점 조건: 개인정보 보호법 위반 사실이 적발되어 행정처분, 과태료 부과, 과징금 부과 등의 제재 조치가 발생한 경우
• 감점 규모: 해당 사유 발생 시 등급평가에서 10점 감점 부여

5. 타 업종으로의 정책 확대 적용 계획 (이커머스 사업자 주목)

이번 발표에서 이커머스 사업자가 가장 주목해야 할 부분은 개인정보보호위원회의 향후 정책 추진 방향입니다. 개인정보보호위원회는 이번 호텔업 등급결정 고시 개정에 그치지 않고, 호텔업 외에도 다양한 업종별 자체 평가 및 심사 기준에 민간 기업의 개인정보 보호 활동 지표가 적극적으로 반영될 수 있도록 관계 부처와 지속적으로 협력할 계획임을 공식적으로 밝혔습니다. 양청삼 개인정보보호위원회 사무처장은 개인정보 전담 조직 구성, 자율규제 참여 등 실질적 보호 활동이 등급 평가에 반영됨으로써, 개인정보 보호 문화가 호텔업계 전반에 확산될 것으로 기대된다고 언급하며, 앞으로도 관계 부처와 긴밀히 협력하여 민간 분야 개인정보 보호의 실효성을 높이기 위한 인센티브 발굴을 지속해 나가겠다고 강조했습니다. 이는 향후 이커머스, 통신판매업, 플랫폼 사업자 등을 대상으로 하는 각종 정부 지원 사업, 우수 기업 인증, 또는 플랫폼 자율 규제 평가 지표 등에도 이와 유사한 형태의 개인정보 보호 가점 및 감점 제도가 도입될 수 있음을 시사하는 매우 중요한 대목입니다.

실무자가 오해하기 쉬운 부분

• 호텔업에만 국한된 지엽적인 이슈라는 오해: 당장의 법적 시행 대상은 ｢호텔업 등급결정업무 위탁 및 등급결정에 관한 요령｣의 적용을 받는 호텔업계입니다. 그러나 공식 발표문에 명시된 바와 같이, 규제 당국은 이를 다양한 업종별 자체 평가 및 심사 기준으로 확대하려는 명확한 의지를 가지고 있습니다. 따라서 일반 이커머스 판매자나 자사몰 운영자 역시 이를 강 건너 불구경하듯 넘겨서는 안 되며, 자사의 개인정보 보호 체계를 선제적으로 점검하는 계기로 삼아야 합니다.
• 가점 요건을 모두 충족해야만 혜택을 받는다는 오해: 신설된 가점 지표는 전부 아니면 전무의 방식이 아닙니다. 제시된 4가지 활동(보호 주간 참여, 자율규제 참여, 전담조직 구성, ISMS-P 인증)을 모두 완벽하게 이행하지 못하더라도, 단 1개의 활동만 이행하면 4점, 2개를 이행하면 7점의 부분 가점을 획득할 수 있도록 세밀하게 설계되어 있습니다. 따라서 기업의 현재 규모와 예산 상황에 맞추어 가장 빠르게 도입할 수 있는 항목부터 순차적으로 공략하는 전략이 유효합니다.
• 단순한 행정 지도나 권고도 감점 대상이 된다는 오해: 감점 10점이 부여되는 조건은 단순히 규제 당국의 개선 권고나 행정 지도를 받은 수준이 아닙니다. 명확하게 개인정보 보호법 위반으로 인하여 행정처분, 과태료, 과징금 등 실질적이고 법적인 제재 조치가 발생한 경우에 한하여 감점이 적용됩니다. 따라서 평소 개인정보 유출 사고를 방지하고 법적 컴플라이언스를 철저히 준수하는 것이 감점 리스크를 원천 차단하는 핵심입니다.

지금 할 일

본 정책 변경은 2026년 7월 1일부터 시행되므로, 관련 사업자들은 충분한 준비 기간을 확보하고 있습니다. 이 기간 동안 다음의 사항들을 체계적으로 점검하고 실행에 옮겨야 합니다.

• 개인정보 취급 현황 전수 조사 및 리스크 진단: 자사 쇼핑몰이나 플랫폼에서 수집하고 있는 고객의 민감 정보(특히 숙박 및 여행 카테고리의 경우 여권번호, 상세 투숙기록, 결제정보 등)의 수집, 보관, 암호화, 파기 프로세스가 개인정보 보호법을 엄격하게 준수하고 있는지 전면적인 감사를 실시하십시오.
• 가점 획득을 위한 단계별 이행 로드맵 수립: 가점 요건인 4가지 활동 중 자사의 리소스로 즉시 실행 가능한 항목을 식별하십시오. 예를 들어 개인정보 전담조직 구성 및 운영이나 개인정보 보호 주간 참여는 비교적 단기간에 추진이 가능할 수 있으나, ISMS-P 인증 취득은 상당한 시간과 비용이 소요되므로 장기적인 예산 편성과 프로젝트 기획이 필요합니다.
• 과거 위반 이력 점검 및 재발 방지 대책 강화: 최근 수년 내에 개인정보 보호법 위반으로 인한 과태료나 과징금 부과 이력이 있는지 법무 담당자를 통해 확인하고, 동일한 사유로 인한 행정처분이 재발하여 치명적인 10점 감점을 받지 않도록 사내 보안 교육 및 시스템 접근 통제를 대폭 강화하십시오.
• 타 업종 확대 적용에 대비한 선제적 컴플라이언스 구축: 호텔업에 종사하지 않는 일반 이커머스 사업자라 하더라도, 향후 정부 부처의 인센티브 발굴 및 평가 지표 확대 기조에 발맞추어 사내에 최소한의 개인정보 전담 인력을 지정하고 자율규제 활동에 참여하는 등 선제적인 컴플라이언스 포트폴리오를 구축해 두는 것이 장기적인 비즈니스 경쟁력 확보에 유리합니다.