일반사업자를 위한 개인정보보호 서비스

개인정보의 안전한 관리

개인정보보호 관리적 보호조치

1. 개인정보의 안전한 처리를 위한 내부 관리계획을 수립하고 시행해야 합니다.

(소상공인은 내부관리계획을 수립하지 않을 수 있음)

1) 개인정보 보호책임자의 지정에 관한 사항

2) 개인정보 보호책임자 및 개인정보취급자의 역할 및 책임에 관한 사항

3) 접근 권한의 관리 및 물리적 접근방지에 따른 개인정보의

안전성 확보에 필요한 조치에 관한 사항

4) 개인정보취급자에 대한 교육에 관한 사항

5) 그 밖에 개인정보 보호를 위하여 필요한 사항

2. 회사 업무자료 등 일반 데이터와 분리하여 보관,

유지함으로써 일반 데이터 보다 접근이 어렵도록 통제컴퓨터를 이용하여

이용자의 개인정보를 처리하는 경우에는 개인정보에 대한 접근권한을

가진 담당자 및 관리자를 지정하여 접근 계정(ID) 및 비밀번호를 부여합니다.

3. 개인정보의 접근 계정(ID)은 일반 직원 계정과 관리자 계정으로 분리하여

 관리하고 인사이동 등이 있을 경우 ID 변경, 말소 등 필요한 조치를 합니다.

4. 접근 권한의 관리

1) 개인정보처리자는 개인정보처리시스템에 대한 접근권한을 업무 수행에 필요한

 최소한의 범위로 업무 담당자에 따라 차등 부여합니다.

2) 개인정보처리자는 전보 또는 퇴직 등 인사이동이 발생하여 개인정보취급자가

변경되었을 경우 지체 없이 개인정보처리시스템의 접근권한을 변경 또는

말소합니다.(내역을 기록하고 최소 3년간 보관해야 함)

3) 개인정보처리자는 개인정보처리시스템에 접속할 수 있는 사용자 계정을

 발급하는 경우, 개인정보취급자 별로 한 개의 사용자계정을 발급,

다른 개인정보취급자와 공유되지 않도록 하여야 합니다.

개인정보보호 기술적 보호조치

1. 네트워크를 통한 접근 통제 및 보안조치

1) 인터넷 홈페이지 등 정보통신망을 통하여 회원가입, 계약체결, 서비스 제공시

 이용자의 신용카드번호, 은행결제계좌 및 신용카드 사용내역 등 개인정보를

수집하거나 이용자가 직접 자신의 개인정보를 열람, 수정할 수 있도록 하는 경우

식별 계정(ID) 및 비밀번호 확인, 전자서명 등을 통해 당해 이용자가

 진정한 본인임을 확인하도록 합니다.>

2) 네트워크상에서 개인정보를 안전하게 전송할 수 있도록 SSL, SET 등

암호알고리즘을 이용한 보안조치 마련. 정보통신망을 통해 개인정보를 저장,

 처리하는 정보시스템에 불법하게 접근하는 행위. (해킹)를 방지차단하기 위해

정보보호 시스템 또는 프로그램 설치 등 필요한 기술적 조치를 취합니다.>

2. 접근통제 시스템 설치 및 운영

1) 개인정보처리자는 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해

다음 각 기능을 포함한 시스템을 설치·운영하여야 합니다.

개인정보처리시스템에 대한 접속 권한을 IP(Internet Protocol)주소 등으로

제한하여 인가받지 않은 접근을 제한 개인정보처리시스템에

접속한 IP(Internet Protocol)주소 등을 재분석하여 불법적인

개인정보 유출 시도를 탐지

 2) 개인정보처리자는 개인정보취급자가 정보통신망을 통해 외부에서

개인정보처리시스템에 접속하려는 경우에는

가상사설망(VPN : Virtual Private Network) 또는 전용선 등 안전한

접속수단을 적용하여야 합니다.

3) 개인정보처리자가 별도의 개인정보처리시스템을 이용하지 아니하고

 업무용 컴퓨터만을 이용하여 개인정보를 처리하는 경우에는

1번의 방법을 적용하지 아니할 수 있으며,

이 경우 업무용 컴퓨터의 운영체제(OS : Operating System)나

 보안프로그램 등에서 제공하는 접근통제 기능을 이용할 수 있습니다.

3. 개인정보의 암호화

1) 개인정보처리자는 개인정보를 정보통신망을 통하여

송·수신하거나 보조저장매체 등을 통하여 전달하는 경우에는

이를 암호화하여야 합니다.

내부망 내에서 송·수신되는 고유식별정보는 업무상 필요할 경우

암호화 대상에서 제외할 수 있으나, 비밀번호와 바이오정보는

반드시 암호화하여야 합니다.

전용선을 이용하여 개인정보를 송·수신하는 경우,

암호화가 필수는 아니나 내부자에 의한 개인정보 유출 등을 대비해서

 가급적 암호화 전송을 권장합니다.

보조저장 매체에 개인정보를 저장 후 분실할 경우,

 개인정보가 노출될 위험이 있으므로, 암호화 기능을 제공하는

 보조저장매체를 사용하거나 개인정보를 암호화 저장하여 분실되더라도

다른 사람이 알 수 없도록 조치하여야 합니다.

 2) 개인정보처리자는 비밀번호 및 바이오정보를 암호화하여

저장하여야 합니다.

단 비밀번호를 저장하는 경우에는 복호화되지 아니하도록

일방향 암호화하여 저장하여야 합니다.

3) 개인정보처리자는 인터넷 구간 및 인터넷 구간과

내부망의 중간 지점(DMZ : Demilitarized Zone)에

고유식별정보를 저장하는 경우에는 이를 암호화하여야 합니다.

4) 내부망에 고유식별정보를 저장하는 경우,

개인정보 영향평가 및 위험도 분석 결과에 따라 암호화 적용여부 및

 적용범위를 결정하여 시행할 수 있습니다.

개인정보보호법 시행령 제38조에 따라 영향평가의 대상이 되는

공공기관은 해당 개인정보 영향평가의 결과에 따라 암호화의 적용여부

및 적용범위를 정합니다. 개인정보 영향평가의 실시대상이 아니거나

공공기관 이외의 개인정보처리자는 위험도 분석을 실시한 후

그 결과에 따라 고유식별정보의 암호화 적용여부 및 적용범위를

정하여 시행합니다.

5) 고유식별정보를 업무용 컴퓨터에 저장하여 관리하거나,

개인정보처리시스템으로부터 개인정보취급자의 PC에 내려 받아 저장할 때는

안전한 암호화 알고리즘이 탑재된 암호화 소프트웨어 등을 이용하여

암호화함으로써 불법적인 노출 및 접근으로부터 차단하여야 합니다.

6) 개인정보를 암호화하는 경우 안전한 암호알고리즘으로 암호화하여

저장하여야 하며, 암호화 솔루션을 사용하는 것도 좋은 방안입니다.

안전한 암호 알고리즘이란 미국 NIST, 일본 CRYPTREC, 유럽 ECRYPT 등의

 외국 및 국내의 암호 연구기관에서 권고하는 알고리즘을 의미합니다.

4. 접속기록의 보관 및 위·변조방지

개인정보처리자는 개인정보취급자가 개인정보처리시스템에 접속한 기록을

 최소 6개월 이상 안전하게 보관·관리하여야 합니다.

5. 보안프로그램 설치 및 운영

개인정보처리자는 개인정보처리시스템 또는 업무용 컴퓨터에

악성 프로그램 등을 방지·치료할 수 있는 백신 소프트웨어 등의

보안 프로그램을 설치·운영하여야 하며, 다음 각 사항을 준수하여야 합니다.

보안 프로그램의 자동 업데이트 기능을 사용하거나,

또는 일 1회 이상 업데이트를 실시 악성 프로그램관련 경보가 발령된 경우

 또는 사용 중인 응용 프로그램이나 운영체제 소프트웨어의 제작업체에서

보안 업데이트 공지가 있는 경우, 즉시 이에 따른 업데이트를 실시

개인정보보호 물리적 보호조치

1. 개인정보가 저장·처리되는 정보시스템은 안전한 장소,

시설 등에 보관관리하며, 보안구역으로 지정하여 신원확인장치,

 잠금장치, 감시장치 등 물리적 접근제어 장치를 이용하여

인가된 자에 한하여 출입을 허용합니다.

1) 물리적 접근제어 장치 및 보안설비 예시

외부 침입자 차단을 위한 잠금장치(열쇠, 자물쇠)

보안 기능을 가진 전자적 잠금장치 (키카드, 스마트카드)

생체 특성을 이용한 잠금장치(지문, 홍채인식기, 적외선 감지기)

 단 접근 및 조작에 대한 경보시스템 (CCTV, 경보기) 등

2. 24시간 상시 관리감독이 가능토록 담당 인력을 상주시키거나

 원격 모니터링을 실시하며 출입자의 신원 및 출입 목적·

시간 등 을 기록·관리 합니다.

3. 출입통제활동을 방해하는 정전, 화재, 지진, 낙뢰 등

긴급 상황에 신속히 대처할 수 있는 장치시설을 마련합니다.

개인정보 위탁 시 확인사항

제 3자에게 업무를 위탁할 경우 다음을 포함한 문서를 통해 진행

1. 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항

2. 개인정보의 기술적·관리적 보호조치에 관한 사항

3. 위탁업무의 목적 및 범위

4. 재위탁 제한에 관한 사항

5. 개인정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항

(개인정보의 안전성 확보조치 기준 고시 참조)

6. 위탁업무와 관련하여 보유하고 있는 개인정보의 관리 현황 점검 등

감독에 관한 사항

7. 개인정보보호법 제26조 2항에 따른 수탁자(이하 “수탁자”라 한다)가

준수하여야 할 의무를 위반한 경우의 손해배상 등에 관한 사항

위탁의 업무 내용과 위탁받아 처리하는 자(수탁자)에 대한 공개

1. 개인정보 처리 업무를 위탁하는 개인정보처리자(위탁자)가 위탁자의

인터넷 홈페이지에 위탁하는 업무의 내용과 업무를 위탁받아

처리하는 자(수탁자)를 지속적으로 게재합니다.

2. 인터넷 홈페이지에 게재할 수 없는 경우에는 다음 각 사항 중

하나 이상의 방법으로 위탁하는 업무의 내용과 수탁자를 공개하여야 합니다.

1) 위탁자의 사업장 등의 보기 쉬운 장소에 게시하는 방법

2) 관보(위탁자가 공공기관인 경우만 해당)나 위탁자의 사업장 등이

 있는 시ㆍ도 이상의 지역을 주된 보급지역으로 하는

「신문 등의 진흥에 관한 법률」 제2조제1호 및 제2호에 따른

일반일간신문, 일반주간신문 또는 인터넷신문에 싣는 방법

3) 같은 제목으로 연 2회 이상 발행하여 정보주체에게

배포하는 간행물ㆍ소식지ㆍ홍보지 또는 청구서 등에

지속적으로 싣는 방법

4) 재화나 용역을 제공하기 위하여 위탁자와 정보주체가

작성한 계약서 등에 실어 정보주체에게 발급하는 방법

3. 위탁자가 재화 또는 서비스를 홍보하거나 판매를 권유하는 업무를

위탁하는 경우에는 서면, 전자우편, 팩스, 전화, 문자전송 또는

이에 상당하는 방법에 따라 위탁의 업무 내용과 수탁자를

정보주체에게 알려야 합니다.

위탁받아 처리하는 자(수탁자) 교육

1. 위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가

 분실·도난·유출·변조 또는 훼손되지 아니하도록 수탁자를 교육하고,

처리 현황 점검 등 수탁자가 개인정보를 안전하게 처리하는지를

감독하여야 합니다.

2. 수탁자는 개인정보처리자로부터 위탁받은 해당 업무 범위를

초과하여 개인정보를 이용하거나 제3자에게 제공하여서는 안됩니다.

개인정보보호위반시 과태료

1. [개인정보보호법 제26조 1항 위반] 업무 위탁 시 같은 항 각 호의 내용이

포함된 문서에 의하지 않은 경우

2. [개인정보보호법 제26조 2항 위반] 위탁하는 업무의 내용과

수탁자를 공개하지 않은 경우

과태료의 부과기준(위반 1회-200만원, 2회-400만원, 3회-800만원)

과태료 부과기준(개인정보보호법 제63조 관련)

다음의 내용은 개인정보보호법(이하 '법’이라 합니다.)에

명시된 과태료 부과기준입니다.

< 일반기준 >

1. 위반행위의 횟수에 따른 과태료 부과기준은 최근 3년간 같은 위반행위로

과태료를 부과받은 경우에 적용하게 됩니다.

2. 행정안전부장관 또는 관계 중앙행정기관의 장은 다음의 사항 중 하나에

해당하는 경우에는 과태료 부과금액의 2분의 1의 범위에서 그 금액을

감경할 수 있습니다. (과태료 체납 중일 경우에는 제외됩니다.)

1) 위반행위자가 “질서위반행위규제법 시행령” 제2조의2제1항 각 호의

어느 하나에 해당하는 경우

“국민기초생활 보장법” 제2조에 따른 수급자

“한부모가족지원법” 제5조에 따른 보호대상자

“장애인복지법” 제2조에 따른 제1급부터 제3급까지의 장애인

“국가유공자 등 예우 및 지원에 관한 법률” 제6조의4에 따른

1급부터 3급까지의 상이등급 판정을 받은 사람

미성년자

2) 위반행위가 사소한 부주의나 오류로 인한 것으로 인정되는 경우

3) 위반행위자가 위법행위로 인한 결과를 시정하였거나 해소한 경우

4) 그 밖에 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여

 과태료를 감경할 필요가 있다고 인정되는 경우

3. 행정안전부장관 또는 관계 중앙행정기관의 장은

다음의 어느 하나에 해당하는 경우에는 과태료 부과금액의

2분의 1의 범위에서 그 금액을 가중할 수 있습니다.

(가중할 사유가 여러 개인 경우라도 개인정보보호법 제75조에 따른

과태료의 최고 한도를 넘을 수 없음)

1) 위반의 내용ㆍ정도가 중대하여 소비자 등에게 미치는 피해가

크다고 인정되는 경우

2) 법 위반상태의 기간이 3개월 이상인 경우

3) 그 밖에 위반행위의 정도, 위반행위의 동기와 그 결과 등을

고려하여 과태료를 가중할 필요가 있다고 인정되는 경우.

참조  개인정보보호 종합지원포털

http://www.privacy.go.kr

www.QAS.kr 큐 as