개인정보보호법 - 개인정보 관련 지식 메모

 

개인정보처리자, 개인정보취급자 관련

 

개인정보처리자와 개인정보취급자의 차이

구분	개인정보처리자	개인정보취급자
정의	업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 자	개인정보처리자의 지휘·감독을 받아 개인정보처리하는 자
대상	공공기관, 법인, 단체 및 개인	임직원, 파견근로자, 시간제근로자
유의 사항	- 개인정보취급자에 대한 관리·감독 의무 - 개인정보취급자에 대한 정기적 교육 의무 - 대표자, 개인정보보호책임자가 아닌 조직체	- 정규직, 비정규직, 하도급, 시간제 등 모든 근로형태를 불문 - 고용관계가 없더라도 개인정보취급자에 포함됨 - 개인정보 처리업무 등을 수탁받아 처리하고 있는 수탁자 포함

 

 

고유식별정보 관련

 

- '고유식별정보'란 법령에 따라 개인을 고유하게 구별하기 위하여 부여된 식별정보로서 대통령령으로 정하는 정보를 말한다.

- 주민등록번호, 여권번호, 운전면허번호, 외국인등록번호로 정하고 있다.

- 본인인증 등의 목적이라면 공공기관이 아닌 개인정보처리자도 고유식별정보를 처리할 수 있다.

- 보호위원회는 공공기관 또는 5만 명 이상 정보주체의 고유식별정보를 개인정보처리자에 대해서는 안전성 확보 조치를 하였는지를 3년마다 1회 이상 조사하여야 한다.

- 5만명 이상의 정보주체에 관한 개인정보를 처리하는 개인정보처리시스템에 해당하는 경우 접속기록을 보존·관리해야할 최소 기간을 2년으로 한다. 

- 공공기관이 소관업무를 처리하는 경우에는 고유식별정보로 보지 아니한다.

- 정보주체의 동의가 있어도 수집이 불가능하다.

- 법령에 의하여 회원가입 단계에서는 주민등록번호 대체 본인확인수단을 제공하여야 한다.

 

 

고정형 영상정보처리기기(CCTV) 관련

 

- 누구든지 원칙적으로 공개된 장소에 고정형 영상정보처리기기를 설치·운영하여서는 아니 된다.

- 고정형 영상정보처리기기운영자는 영상정보처리기기의 설치 목적과 다른 목적으로 영상정보처리기기를 임의로 조작하거나 다른 곳을 비춰서는 아니 되며, 녹음기능은 사용할 수 없다.

 

 

개인정보 처리방침 관련

 

[개인정보 처리방침 공개 방법]

 

1. 개인정보처리자의 사업장 등의 보기 쉬운 장소에 게시하는 방법

2. 관보(개인저보처리자가 공공기관인 경우만 해당한다)나 개인정보처리자의 사업자 등이 있는 시 · 도 이상의 지역을 주된 보급지역으로 하는 ... 일반일간신문, 일반주간신문 또는 인터넷신문에 싣는 방법

3. 같은 제목으로 연 2회 이상 발행하여 정보주체에게 배포하는 간행물 · 소식지 · 홍보지 또는 청구서 등에 지속적으로 싣는 방법

4. 재화나 용역을 제공하기 위하여 개인정보처리자와 정보주체가 작성한 계약서 등에 실어 정보주체에게 발급하는 방법

 

>> 인터넷 홈페이지, 사업장, 간행물, 신문, 관보, 계약서

 

 

개인정보보호책임자(CPO) 관련

 

[개인정보 보호책임자의 자격요건]

 

민간 기업

• 사업주 또는 대표자, 임원(임원이 없는 경우 개인정보 처리 업무 담당 부서장)
• 중소기업기본법에 따른 소기업 중 업종별 상시근로자수 5명 미만(광업, 제조업, 건설업 및 운수업은 10명 미만) 시 CPO 지정하지 않을 수 있으며 대표자가 CPO가 됨

공공기관

• 국회, 법원, 헌법재판소, 중앙선거관리위원회 : 고위공무원단
• 정무직공무원을 장으로 하는 국가기관 : 3급 이상 공무원 또는 그에 상당하는 공무원
• 3급 공무원을 장으로하는 국가 기관 : 4급 이상 공무원 또는 그에 상당하는 공무원
• 기타 국가기관(소속기관 포함) : 해당 기관의 개인정보 처리 관련 업무를 담당하는 부서의 장
• 시 · 군 및 자치구 : 4급 이상 공무원 또는 그에 상당하는 공무원
• 각급 학교 : 행정사무를 총괄하는 사람

 

 

 

개인정보 이용내역 통지

 

관련 법령(개인정보보호법 제20조의 2)

1. 대통령령으로 정하는 기준에 해당하는 개인정보처리자는 이 법에 따라 수집한 개인정보의 이용 ·제공 내역이나 이용 ·제공 내역을 확인할 수 있는 정보시스템에 접속하는 방법을 주기적으로 정보주체에게 통지하여야 한다. 

 

이용내역 통지 개인정보처리자 대상

- 5만명 이상의 정보주체에 관하여 민감정보 또는 고유식별정보를 처리하는 자

- 100만명 이상의 정보주체에 관하여 개인정보를 처리하는 자

 

연 1회 이상, 서면 ·전자우편 ·전화 ·문자전송 등 정보주체가 통지 내용을 쉽게 확인할 수 있는 방법

 

 

손해배상 책임(개인정보보호법 제39조의 2)

 

[법정 손해배상제도]

정보주체는 개인정보처리자의 고의 또는 과실로 인하여 개인정보가 분실 ·도난 ·유출 ·위조 ·변조 또는 훼손된 경우에는 300만 원 이하의 범위에서 상당한 금액을 손해액으로 하여 배상을 청구할 수 있다. 이 경우 해당 개인정보처리자는 고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다. 

 

- 기업이 고의·과실 사실이 없음을 입증/피해자에 대한 피해액 입증책임 면제

- 사실상 피해입증이 어려운 정신적 피해

- 300만 원 이하의 범위

 

[징벌적 손해배상제도]

- 기업의 고의·중과실로 개인정보 유출 또는 동의 없이 활영하여 피해 발생

- 피해액은 피해자가 입증

- 재산 및 정신적 피해 모두 포함

- 실제 피해액의 5배 이내 배상

 

 

개인정보 유출 신고 관련

 

[개인정보 유출 신고기준]

구분	개인저보처리자(개인정보보호법 제34조)
신고 대상 건수	- 1천명 이상 정보주체에 관한 개인정보 유출 시 - 민감정보 또는 고유식별정보가 유출 등이 된 경우 - 개인정보처리시스템 또는 개인정보취급자가 개인정보 처리에 이용하는 정보기기에 대한 외부로부터의 불법적인 접근에 의해 개인정보가 유출 등
신고 시점	- 유출 등이 되었음을 알게 되었을 때에는 72시간 이내
신고 기관	- 보호위원회 또는 KISA
통지	1. 유출 등이 된 개인정보의 항목 2. 유츨 등이 된 시점과 그 경위 3. 유출 등으로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보 4. 개인정보처리자의 대응조치 및 피해 구제절차 5. 정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처
신고방법	- 전자우편, 팩스, 인터넷사이트를 통해 유출사고 신고 및 신고서 제출, 시간적 여유가 없거나 특별한 사정이 있는 경우 : 전화를 통하여 통지내용을 신고한 후, 유출 신고서를 제출할 수 있음
인터넷 홈페이지	- 30일 이상 게시(이용자 연락처를 알 수 없는 등 정당한 사유가 있는 경우)

 

[주의사항]

1. 유출된 개인정보의 수량, 종류, 시기 등은 따지지 않는다. 따라서 단 1건의 개인정보가 유출되었더라도 해당 정보주체에게 그 사실을 통지해야 한다. 유출된 개인정보가 암호화되어 있는 때에는 통지의무를 면제하고 있는 나라(미국 등)도 있지만 우리나라는 그와 같은 예외를 인정하고 있지 않다.

2. 개인정보의 유출 사실을 '알게 되었을 때'이므로, 유출사실이 일어났다고 해서 바로 통지의무가 발생하는 것이 아니며, 유출 사실을 개인정보처리자가 인지한 시점에서 유출 통지 의무가 발생한다.

3. 개인정보가 개인정보처리자의 관리 · 통제권을 벗어나 제3자가 그 개인정보를 알 수 있는 상태에 이르렀다는 사실을 알게 되었을 때도 이에 해당한다.

4. 가명정보가 유출된 경우에는 적용되지 않는다.

 

 

영리목적의 광고성 정보 전송 제한(정보통신망법 제 50조)

 

1. 누구든지 전자적 전송매체를 이용하여 영리목적의 광고성 정보를 전송하려면 그 수신자의 명시적인 사전 동의를 받아야 한다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 사전 동의를 받지 아니한다. 

  1. 재화등의 거래관계를 통하여 수신자로부터 직접 연락처를 수집한 자가 대통령령으로 정한 기간 이내에 자신이 처리하고 수신자와 거래한 것과 같은 종류의 재화 등에 대한 영리목적의 광고성 정보를 전송하려는 경우(e.g. 거래처 사장)

  2. "방문판매 등에 관한 법률"에 따른 전화권유판매자가 육성으로 수신자에게 개인정보의 수집출처를 고지하고 전화권유를 하는 경우

 

2. 전자적 전송매체를 이용하여 영리목적의 광고성 정보를 전송하려는 자는 제1항에도 불구하고 수신자가 수신거부의사를 표시하거나 사전 동의를 철회한 경우에는 영리목적의 광고성 정보를 전송하여서는 아니 된다. 

 

3. 오후 9시부터 그 다음 날 오전 8시까지의 시간에 전자적 전송매체를 이용하여 영리목적의 광고성 정보를 전송매체를 이용하여 영리목적의 광고성 정보를 전송하는 자는 제1항에도 불구하고 그 수신자로부터 별도의 사전 동의를 받아야 한다. 다만, 대통령령으로 정하는 매체의 경우에는 그러하지 아니한다. 

 

4. 전자적 전송매체를 이용하여 영리목적의 광고성 정보를 전송하는 자는 대통령령으로 정하는 바에 따라 다음 각 호의 사항 등을 광고성 정보에 구체적으로 밝혀야 한다. 

 

   1. 전송자의 명칭 및 연락처

   2. 수신의 거부 또는 수신동의 철회 의사표시를 쉽게 할 수 있는 조치 및 방법에 관한 사항

 

 

개인정보의 파기

 

개인정보가 불필요하게 되었을 때 지체없이(5일 이내) 파기

 

 

 

인증심사원(ISMS) 등급

 

심사원보 > 심사원 > 선임심사원 > 책임심사원

 

심사원보 : 인터넷진흥원이 수행하는 인증심사원 양성과정 통과하여 자격을 취득한 자

심사원 : 인증심사에 4회 이상 참여, 심사일 수의 합 20일 이상

선임심사원 : ISMS-P를 3회 이상 참여하고 심사일 수의 합이 15일 이상

책임심사원 : KISA에 매년 책임심사원을 지정(ISMS-P 2회 포함 하여 4회 이상 참여, 심사일 수 20일 이상)

 

ISMS 인증 대상

 

1. ISP(정보통신망서비스를 제공하는 자)

2. IDC(집적정보통신시설 사업자)

3. 연간 매출액 1,500억원 이상인 상급종합병원, 재학생 수 1만명 이상인 학교

4. 매출액 100억원 이상인 쇼핑몰, 포털, 게임사 등

5. 전년도 직전 3개월 간 일일평균 이용자 수가 100만명 이상인 쇼핑몰, 포털, 게임사, 예약 등

 

 

ISMS-P 인증 절차

 

- 준비 단계에서는 인증기준에 따른 관리체계 구축 운영을 2개월 이상 하여야 한다. 

- 신청 단계에서는 신청기관이 심사기관에 신청서류를 반드시 신청서, 명세서가 포함된 공문으로 신청한다. 

- 신청 단계에서는 먼저 인증범위 및 신청기업 준비상태에 대한 예비 점검을 수행한다. 

- 심사 단계에서는 심사 시 발견된 결함에 대한 보완조치를 40일간 수행한다. 심사팀장은 보완조치를 현장에서 확인하고, 필요 시 재보완 요청을 수행한다. 

- 인증 단계에서는 인증위원회의 심의결과 검토와 심의를 통해 유효기간 3년의 인증서가 발급된다.