개인정보보호법 관련 민간사업자 교육 일정(‘11.9월)

1. 지역 순회교육

○ 민간사업자 대상 순회교육  ※ 참가비 무료

- 주최 : 행정안전부, 해당 시․도(경기도, 대전, 광주, 부산)

- 사전등록 : 개인정보보호종합지원시스템(www.privacy.go.kr)에서 등록

※ ‘11.10월 중 수도권 제외 9개 지역에서 추가 교육 예정(확정시 별도 통보)

구분	일시	교육장소
1차	9.23(목) 14:00～17:00	경기 인재개발원 대강당
2차	9.26(월) 14:00～17:00	대전 컨밴션센터 2F
3차	9.27(화) 14:00～17:00	광주 공무원교육원 대강당
4차	9.28(수) 14:00～17:00	한국정보화진흥원 등촌동 청사
5차	9.30(금) 14:00～17:00	부산광역시청 국제회의실

2. 세미나 및 컨퍼런스

○ “사업자를 위한 개인정보보호” 컨퍼런스(9.22일 10:00~17:00)

- 주최 : 행정안전부 (주관 : 한국소프트웨어산업협회)

- 장소 : 서울교육문화회관 거문고홀  ※ 참가비 무료

- 사전등록 : 협회 홈페이지(www.sw.or.kr)에서 사전 접수

○ “개인정보보호법 대 해부” 컨퍼런스(9.27일 10:00~18:00)

- 주최 : 전자신문사 (후원 : 행정안전부 등)

- 장소 : 백범 김구 기념관 컨밴션홀  ※ 참가비 유료

- 사전등록 : 전자신문 홈페이지(www.etnews.com)에서 사전 접수

3. 기타 방문교육

○ 협회․단체 등이 교육지원 요청할 경우 전문강사 파견 및 교재 지원

- 최소 100명 이상이 참석할 경우 지원, 시간․장소 등은 별도 협의 필요

※ 현재 확보된 교육예산 소진시까지 운영할 예정이며 이후에는 강사 추천

4. 문의

○ 행정안전부 개인정보보호과(02-2100-3615), 한국정보화진흥원(02-2131-0815)

참가희망자 사전등록 방법

1. 개인정보보호종합지원시스템(www.privacy.go.kr) 접속

☞ 상단메뉴의 “교육”→ “참가신청” 클릭

2. 참석희망 교육과정을 선택하여 교육참가 신청

민간사업자 개인정보보호법 준수를 위한 참고자료

【 사업자 체크리스트 10계명 】

1. 이미 수집된 개인정보파일을 이용한 후에는 알아볼 수 없도록 파기

개인정보파일의 경우 많이 보유하고 있으면 있을수록 홍보나 마케팅에 활용할 수 있는 활용도가 높아 쉽게 파기하지 못하고 가지고 있는 중소기업들이 많다. 특히 이벤트 업체나 홍보·마케팅 업체의 경우 한 번 수집한 개인정보를 쉽게 파기하지 않는다. 하지만 정보주체의 동의를 받았다고 하더라도 개인정보보호법이 발효되면 이러한 개인정보 역시 보유이용기간이 끝난 경우, 이용목적을 달성한 경우에는 문서를 분쇄하거나 소각해 파기해야 한다. 만약 컴퓨터에 저장된 문서로 가지고 있는 경우라면 로우 레벨 포맷이나 삭제 소프트웨어를 사용해서 처리

2. 개인정보파일은 DB보안 프로그램이나 안전한 방법을 사용하여 보관

개인정보파일은 유출되었을 때 명의도용, 불법마케팅, 보이스피싱 등에 악용될 수 있으므로 안전한 방법으로 보관해야 한다. 안전하게 보관하기 위해서는 데이터베이스보안 프로그램을 사용해 암호화하고, DB에 접근권한 제한, 백신프로그램 설치, 방화벽 등 침입차단시스템을 설치하여야 한다.

3. 계약·청약철회서·분쟁처리문서 등 필수 보관시에는 예외사항 준수

기업이 고객의 개인정보가 담긴 계약서, 청약철회서처럼 보관하고 있지 않다면 불이익을 당할 수도 있는 문서를 보관해야 하는 경우에는 법률에서 지정한 예외사항을 숙지하고 이를 준수하는 것이 좋다. 계약청약철회 등에 관한 기록 5년, 대금 결제 및 재화 등의 공급 기록 5년, 소비자 불안분쟁처리관등의 기록의 경우 3년을 보관(전자상거래법)할 수 있다.

4. 개인정보보호에 관한 지침․문서를 명확하게 구비하고 열람청구에 대비

개인정보보호관련 문서를 명확하게 구비 하지 않았다면 개인정보가 유출되는 만약의 사태에 막중한 손해배상책임을 질 수 있다. 그렇기 때문에 기업에 개인정보 열람 청구서, 개인정보정정, 삭제 요구서를 비치하고 인터넷 웹사이트의 경우 회원정보 열람 정정메뉴, 회원탈퇴메뉴, 주문내역확인메뉴를 쉽게 찾을 수 있도록 준비

5. 무분별한 개인정보 수집 자제하고 수집시 암호화, 접근제한 등 보호조치

인터넷쇼핑몰 등 대다수의 경우 물품을 구매하는데 있어 주민등록번호나 생년월일은 필요치 않다. 이러한 정보는 다른 정보와 결합되었을 때 개인을 알아 볼 수 있는 정보에 해당하기 때문에 수집 시 암호화가 필요하다. 암호화를 해야 할 경우 업체에서 비용 부담이나 서버에 부담이 많이 가기 때문에 꼭 필요치 않을 경우에는 주민등록번호 등의 개인정보를 수집하지 않도록 하는 것이 현명하다.

6. 홍보판매목적 개인정보 위탁시 고객에게 고지하고 위탁자는 관리책임 철저히

개인정보보호법이 시행되면 개인정보를 위탁할 때 고객들에게 고지해야 한다. 예를들어 만약쇼핑몰 측에서 택배회사에 고객의 개인정보를 위탁하고 배송을 의뢰한 경우라면 고객에게 택배회사로 개인정보가 위탁된다는 사실을 알려야 한다. 또한 택배회사의 잘못으로 인해 고객의 개인정보가 유출되어 피해가 발생한 경우, 과거에는 택배회사의 잘못이었지만 개인정보보호법이 실행되면 개인정보를 맡긴 업체 즉 위탁자가 손해배상을 해야 하므로 더 각별한 주의가 필요하다.

7. 주민번호 등 고유식별정보 처리가 원칙적으로 금지되므로 특별히 주의

주민번호, 운전면허번호, 외국인등록번호, 운전면허번호는 정보주체의 별도의 동의 또는 법령에서 구체적으로 명시하거나 허용하는 경우을 제외하고는 처리할 수 없도록 규제가 강화된다. 개인정보 수집 이용 제공 파기 조항에 대한 일종의 특별조항이므로 수집시 법령에 근거가 있는지, 수집시 홈페이지에 별도의 동의 서식을 갖추고 있는 지 살펴서 법위반 사례가 없도록 조치

8. 기존 CCTV에 안내판의 설치, 녹음기능 사용여부 확인하여 미비점 보완

현재 민간에는 약250만대의 CCTV가 설치되어 있는데 법 시행이전에 설치하고 있는 CCTV의 경우에는 해당법률이 없어서 안내판이 설치되어 있지 않은 경우가 대다수다. 법 시행시 공개된 장소에 설치된 CCTV에는 안내판 설치, 녹음기능 사용금지, 설치시 공청회, 설명회 등 이해관계자 의견수렴 절차를 의무화 하고 있으므로 안내판을 새로 설치하는 등 위반사례가 없도록 보완

9. 개인정보 수집시 서비스 제공에 꼭 필요한 필수정보와 선택정보 구분

기업이 홈페이지 가입, 약관 동의 등 고객정보 수집시에 해당 서비스 제공과 관련없는 고객정보를 수집하는 것은 법위반이다. 예를 들어 신발판매 사이트에서 신발과 관련없는 부모의 취미를 수집하는 것은 선택정보로서 고객의 별도동의가 필요하고 이러한 선택정보를 고객이 입력하지 않았다고 해서 해당 서비스 제공을 거부하는 것은 과태료 부과사항이다. 또한 법적 분쟁시 필수정보와 선택정보가 적정한지 여부는 사업자가 입증책임을 부담한다.

10. 개인정보 유출통지, 집단분쟁조정, 단체소송에 대비

개인정보 수집을 최소화하고 주민번호 등은 될 수 있는한 보관 저장하지 않는 것이 분쟁과 소송으로 인한 막대한 피해를 예방하는 길이다.

개인정보 유출이 된 경우에는 사실확인, 홈페이지 차단, 아이디 패스워드 변경공지 등 초동조치를 신속히 하여야 한다. 유출 대응을 지연하는 경우에는 과태료와 함께 사회적 비난을 감수해야 하므로 신속하게 통지 신고하고 성실하게 대응하는 경우 손해배상이 감경될 수 있다.

참고 1	법 시행으로 달라지는 주요사항

구분	현 행 (공공기관개인정보법, 정보통신망법)	법 시행 (개인정보보호법)
규율대상	o 공공기관, 정보통신사업자, 신용정보 제공·이용자 등 분야별 개별법이 있는 경우에 한하여 개인정보보호의무 적용	o 공공·민간 통합 규율로 법적용대상 확대 - 현행법 적용을 받지 않던 오프라인 사업자, 의료기관, 협회·동창회 등 비영리단체, 국회·법원·헌법재판소·중앙선거관리위원회 등으로 확대
보호범위	o 공공기관은 컴퓨터등에 의해 처리되는 개인정보파일만을 보호대상으로 함	o 동사무소 민원신청서류 등 종이문서에 기록된 개인정보도 보호대상에 포함
수집·이용 및 제공기준	o 공공, 정보통신 등 분야별 개별법에 따른 처리기준 존재	o 공공·민간을 망라하는 개인정보 처리원칙과 기준 제시
고유식별정보 처리 제한	o 주민등록번호 등 고유식별정보의 민간사용을 사전적으로 제한하는 규정 없음	o 원칙적 처리금지 - 정보주체의 별도 동의, 법령의 근거가 있는 경우 등은 예외 허용
	o 인터넷상에서 주민등록번호 외의 회원가입방법 제공 의무화 (정보통신서비스제공자 한정)	o 인터넷상 주민등록번호 외의 회원가입방법 제공 의무화 대상 확대 (정보통신서비스제공자 → 공공기관, 일부 민간분야 개인정보처리자) ※ 대통령령에서 의무화대상 규정
		o 주민등록번호 등 고유식별정보 처리시 암호화 등 안전조치 확보의무 명시
영상정보 처리기기 규제	o 공공기관이 설치·운영하는 폐쇄회로텔레비전(CCTV)에 한하여 규율 - 범죄예방 및 교통단속 등 공익을 위하여 필요한 경우 전문가 및 이해관계인 의견 수렴을 거쳐 설치 - 녹음기능, 임의조작 금지	o 공개된 장소에 설치·운영하는 영상정보처리기기 규제를 민간까지 확대 - 법령, 범죄예방·수사, 시설안전 및 화재예방, 교통단속 등을 위해서 설치 가능 o 규율대상을 기존 ‘폐쇄회로텔레비전(CCTV)’에서 네트워크카메라도 포함 o 공중 화장실·목욕탕·탈의실 등 사생활 침해우려가 큰 장소는 설치 금지
텔레마케팅 등 규제	o ｢정보통신망법｣에 따라 정보통신서비스제공자에 한하여 규제 - 마케팅 목적으로 개인정보취급을 위탁하는 경우 정보주체 동의를 받아야 함	o 마케팅을 위해 개인정보처리에 대한 동의를 받을 때에는 다른 개인정보 처리에 대한 동의와 묶어서 동의를 받지 않도록 명시적으로 규정 - 정보주체가 알기 쉽도록 고지하고 동의를 받아야 함 o 모든 개인정보처리자는 마케팅 업무를 위탁시, 정보주체에게 위탁업무 내용 및 수탁자를 고지해야 함 (정보통신서비스제공자 → 모든 개인정보처리자로 규제대상 확대)
개인정보파일 등록·공개 및 영향평가	o 공공기관이 개인정보파일 보유시 행정안전부장관과 사전협의	o 공공기관이 개인정보파일 보유시 행정안전부장관에게 등록
	o 행안부장관은 사전협의파일 관보 공고	o 행안부장관은 등록사항 공개
		o 공공기관 대규모 개인정보파일 구축 등 침해위험이 높은 경우에는 사전영향평가 실시 의무화(민간은 자율시행)
유출 통지	o 관련 제도 없음	o 개인정보 유출사실 통지 의무화
집단분쟁조정	o 관련 제도 없음	o 개인정보 피해가 대부분 대량･소액 사건인 점을 고려하여 집단분쟁조정 도입(재판상 화해 효력부여)
단체소송	o 관련 제도 없음	o 단체소송(권리침해 중지) 도입 ※ 재산피해 단체소송은 제외
위원회	o 국무총리 소속 공공기관개인정보보호심의위원회 - 공공부문 정책 심의	o 대통령 소속 개인정보보호위원회 설치 - 공공·민간부문 개인정보보호정책을 심의․의결하는 기구
	o 개인정보분쟁조정위원회 - 민간분야 분쟁조정	o 개인정보분쟁조정위원회 기능 확대 - 공공·민간 분쟁조정

참고 2	개인정보 처리단계별 준수사항 및 위반 시 벌칙사항

구분	주요 내용	처벌 및 벌칙
수 집 ㆍ 이 용	민감정보(사상ㆍ신념ㆍ정당가입ㆍ건강 등) 처리기준 위반(제23조)	5년 이하 징역 또는 5천만원 이하 벌금
	고유식별정보(주민등록ㆍ여권ㆍ운전면허 번호 등) 처리기준 위반(제24조)
	부당한 수단이나 방법에 의해 개인정보를 취득하거나 개인정보처리에 관한 동의를 얻는 행위를 한자(제59조)	3년 이하 징역 또는 3천만원 이하 벌금
	개인정보의 수집기준 위반(제15조)	5천만원 이하 과태료
	만14세 미만 아동의 개인정보 수집시 법정대리인 동의획득여부 위반(제22조)
	탈의실ㆍ목욕실 등 영상정보처리기기 설치 금지 위반(제25조)
	최소한의 개인정보 외 정보의 미동의를 이유로 재화 또는 서비스 제공을 거부한 자(제16조, 제22조)	3천만원 이하 과태료
	주민등록번호를 제공하지 아니할 수 있는 방법 미제공(제24조)
	동의획득방법 위반하여 동의받은 자(제22조)	1천만원 이하 과태료
제 공 ㆍ 위 탁	정보주체의 동의 없는 개인정보 제3자 제공(17조)	5년 이하 징역 또는 5천만원 이하 벌금
	개인정보의 목적 외 이용ㆍ제공(제18조, 제19조, 제26조)
	개인정보 주체에게 알려야 할 사항을 알리지 아니한 자(제15조, 제17조, 제18조, 제26조)	3천만원 이하 과태료
	업무위탁 시 공개의무 위반(제26조)	1천만원 이하 과태료
개인정보안전관리	개인정보의 누설 또는 타인 이용에 제공(제59조)	5년 이하 징역 또는 5천만원 이하 벌금
	개인정보의 훼손, 멸실, 변경, 위조, 유출(제59조)
	영상정보처리기기 설치목적과 다른 목적으로 임의 조작하거나 다른곳을 비추는 자 또는 녹음기능을 사용한 자(제25조)	3년 이하 징역 또는 3천만원 이하 벌금
	직무상 알게 된 비밀을 누설하거나 직무상 목적 외 사용한 자(제60조)
	안전성 확보에 필요한 보호조치를 취하지 않아 개인정보를 도난ㆍ유출ㆍ변조 또는 훼손당하거나 분실한 자(제24조, 제25조, 제29조)	2년 이하 징역 또는 1천만원 이하 벌금
	안전성 확보에 필요한 조치의무 불이행(제24조, 제25조, 제29조)	3천만원 이하 과태료
	영상정보처리기기 설치ㆍ운영기준 위반(제25조)
	개인정보를 분리해서 저장ㆍ관리하지 아니한 자(제21조)	1천만원 이하 과태료
	개인정보처리방침 미공개(제30조)
	개인정보관리책임자 미지정(제31조)
	영상정보처리기기 안내판 설치 등 필요조치 불이행(제25조)
	개인정보영향평가(제33조,제29조)	3천만원 이하 과태료
정보주체권익보호	개인정보의 정정ㆍ삭제요청에 대한 필요한 조치를 취하지 않고, 개인정보를 계속 이용하거나 제2자에게 제공한 자(제36조)	2년 이하 징역 또는 1천만원 이하 벌금
	개인정보의 처리정지 요구에 따라 처리를 중단하지 않고 계속 이용하거나 제3자에게 제공한 자(제37조)
	개인정보 유출사실 미통지(제34조)	3천만원 이하 과태료
	정보주체의 열람 요구의 부당한 제한ㆍ거절(제35조)	1천만원 이하 과태료
	정보주체의 정정ㆍ삭제요구에 따라 필요 조치를 취하지 아니한 자(제36조)
	처리정지된 개인정보에 대해 파기 등의 조치를 하지 않은 자(제37조)
	시정명령 불이행(제64조)
	정보주체의 열람, 정정ㆍ삭제, 처리정보 요구 거부 시 통지의무 불이행(제35조, 제36조, 제37조)
	관계물품ㆍ서류 등의 미제출 또는 허위제출(제63조)
	출입ㆍ검사를 거부ㆍ방해 또는 기피한 자(제63조)
파기	개인정보 미파기(제21조)	3천만원 이하 과태료

참고 3	개인정보보호법 주요내용

※ 시행령은 법제심사(~9.9), 차관회의(9.16)를 거쳐 9월말 공포예정

- 안전조치의무, 개인정보처리방침 공개, 보호책임자 지정

- 개인정보파일 등록 및 공개, 개인정보영향평가, 유출 통지

- 개인정보의 열람요구권, 정정․삭제요구권, 처리정지요구권

- 권리행사방법 및 절차, 손해배상책임

- 설치․구성, 위원 신분보장, 제척․기피․회피

- 조정신청, 처리기간, 자료요청, 조정 전 합의, 분쟁조정, 조정

거부 및 중지, 집단분쟁조정 등

- 소송대상, 전속관할, 대리인선임, 소송허가요건, 확정판결 효력 등

- 적용의 일부제외, 금지행위, 비밀유지의무

- 의견제시, 개선권고, 침해사실 신고, 자료제출요구 및 검사,

시정조치, 고발 및 징계권고, 결과공표, 권한위임․위탁 등

- 벌칙, 과태료 및 양벌 규정

- 시행일, 다른 법률의 폐지, 경과조치, 다른 법률의 개정 등

- 법률의 목적, 용어의 정의 (적용범위)

- 개인정보보호원칙, 정보주체의 권리, 다른 법률과의 관계

- 개인정보보호위원회 구성, 기능 등

- 개인정보보호 기본계획 및 시행계획의 수립

- 실태조사, 개인정보보호지침, 자율규제의 촉진시책, 국제협력

<제1절> 개인정보의 수집, 이용, 제공 등

- 개인정보 수집․이용기준, 제공기준 및 수집 제한, 목적외

이용․제공 제한, 개인정보의 파기, 동의받는 방법

<제2절> 개인정보의 처리 제한

- 민감정보와 고유식별정보 처리 제한, 영상정보처리기기 제한,

업무위탁에 따른 개인정보 처리 제한, 영업양도 등 이전제한

<제1장> 총칙

<제2장>

개인정보보호정책의

수립 등

<제3장>

개인정보의 처리

<제4장>

개인정보의 안전한 관리

<제5장>

정보주체의 권리 보장

<제6장>

개인정보분쟁조정

위원회

<제7장>

개인정보 단체소송

<제8장> 보칙

<제9장> 벌칙

부  칙

□ 총칙

□ 법2조 정의

○ ‘개인정보’는 업무를 목적으로 살아있는 개인에 관한 정보이며 해당정보만으로 개인을 식별할 수 없더라도 다른 정보와 쉽게 결합하여 알아볼수 있는 정보 포함

○ ‘처리’는 개인정보 수집, 생성, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정, 복구, 이용, 제공, 공개, 파기와 이와 유사한 행위

○ ‘정보주체’는 처리되는 개인정보에 의하여 알아볼 수 있는 사람으로서 정보의 주체가 되는 사람

○ ‘개인정보파일’은 개인정보를 쉽게 검색할 수 있도록 일정한 규칙에 따라 체계적으로 배열하거나 구성한 집합물

○ ‘개인정보처리자’는 업무를 목적으로 개인정보파일을 운용하기 위해 스스로 또는 다른사람을 통해 처리하는 공공기관, 법인, 단체 및 개인

○ ‘공공기관’은 ①국회, 법원, 헌법재판소, 중앙선관위, 중앙행정기관(소속기관 포함)과 소속기관, 지방자치단체 ② 국가인권위 ③공공기관운영법에 따른 공공기관 ④지방공기업법에 따른 지방공사 및 공단 ⑤특별법에 의해 설립된 특수법인 ⑥초중등교육법, 고등교육법 등에 따른 각급학교

○ ‘영상정보처리기기’는 일정한 공간에 지속적으로 설치되어 사람 또는 사물의 영상 등을 촬영하거나 이를 유무선 통신망을 통하여 전송하는 장치로서 ①폐쇄회로텔레비전 ②네트워크카메라

□ 법6조 다른 법률과의 관계

○ 일반법이므로 정보통신망법, 신용정보법 등 다른법률에 특별한 규정이 있는 경우를 제외하고는 개인정보보호법 적용

□ 보호정책 수립

□ 법7조~8조 개인정보 보호위원회

○ 개인정보에 관한 사항을 심의 의결하기 위해 대통령 소속 보호위원회 설치

- 위원장 1명(대통령 위촉), 상임위원 1명(정무직 공무원), 비상임위원 13명 등 15명 이내 구성(국회 선출 5인, 대법원 지명 5인)

- 위원은 시민단체, 소비자단체, 사업자단체 추천자, 학식과 경험이 풍부한자 중 임명․위촉(임기 3년, 1차 연임가능)

○ 위원회는 위원장, 재적의원 1/4이상 요구시 소집, 재적의원 과반수 출석과 출석위원 과반수 찬성으로 의결, 의사공개

○ 위원회 사무지원을 위해 사무국 설치하고 공공기관에 공무원 또는 임직원 파견 요청 가능

○ 위원회는 다음 사항 심의의결

-기본계획 및 시행계획, 정책․제도 및 법령의 개선사항, 공공기관간 개인정보처리 이견조정, 법령의 해석운용, 개인정보의 이용제공 영향평가 결과, 의견제시, 시정조치의 권고, 개인정보 처리결과의 공표, 연차보고서 제출에 관한 사항, 대통령․위원장․위원2인 이상이 회의에 부치는 사항, 기타 다른법령에 따른 심의의결사항

○ 위원회는 심의의결을 위해 관계 공무원, 전문가, 시민단체․사업자단체로부터 의견 청취 및 자료제출 요구 가능

□ 법9조, 11조 기본계획, 자료제출 요구 등

○ 행안부장관은 3년마다 관계 중앙행정기관의 장과 협의하여 보호위원회에 기본계획 제출하고 심의의결을 거쳐 시행

○ 기본계획은 ①기본목표와 방향 ②제도 및 법령 개선 ③침해방지 대책 ④자율규제 활성화 ⑤교육홍보 활성화 ⑥전문인력 양성 ⑦기타 필요한 사항 포함

○ 국회, 법원, 헌법재판소, 중앙선관위는 해당기관(소속기관 포함)의 기본계획을 자체 수립 시행

○ 행안부장관은 기본계획 수립을 위해 개인정보처리자, 중앙행정기관의 장, 지자체장, 단체 등에 법규준수 현황 및 개인정보 관리실태 등 자료제출이나 의견진술 요구 가능

□ 법10조, 11조 시행계획, 자료제출 요구 등

○ 중앙행정기관의 장은 매년 기본계획에 따라 시행계획 작성하여 보호위원회 심의의결을 거쳐 시행

○ 중앙행정기관의 장은 시행계획 수립을 위해 소관분야의 개인정보처리자에게 법규준수 현황 및 개인정보 관리실태 등 자료제출이나 의견진술 요구 가능

□ 법13조 자율규제 촉진

○ 행안부장관은 개인정보처리자의 자율적인 보호활동 촉진을 위해 필요한 시책 마련

- 교육홍보, 단체․기관 육성, 인증마크 도입시행 지원, 자율규약 제정 시행지원, 기타 필요한 사항

□ 법14조 국제협력

○ 정부는 국제적 환경에서 개인정보 보호수준 향상을 위해 필요한시책과 국외이전으로 인한 정보주체 권리침해 방지책 마련

□ 개인정보 처리

□ 법15조, 16조 개인정보의 수집 및 수집제한

○ 개인정보처리자는 수집목적의 범위내에서 최소한 수집하고 이용

- ①정보주체의 동의, ②법률의 특별규정 또는 법령상 의무준수를 위해 불가피한 경우, ③공공기관이 법령 등 소관업무 수행을 위해 불가피한 경우, ④정보주체와의 계약의 체결 및 이행을 위해 불가피한 경우, ⑤정보주체 또는 법정대리인이 의사표시 할수 없는 경우로서 주소불명 등 명백히 정보주체 또는 제3자의 생명․신체․재산의 이익을 위한 경우, ⑥개인정보처리자의 정당한 이익달성을 위해 명백하게 정보주체의 권리보다 우선하는 경우

○ 수집․이용시 동의사항

- 수집이용 목적, 수집 항목, 보유 및 이용기간, 동의 거부권 및 동의거부시 불이익의 내용

○ 수집목적에 필요한 최소한의 개인정보 수집

- 입증책임은 개인정보처리자 부담

○ 최소한의 정보외에 필요없는 개인정보 수집에 동의하지 아니하는 이유로 서비스 제공 금지

□ 법17조, 18조 개인정보의 제공 및 제한

○ 개인정보처리자는 해당 사유가 있을시 개인정보를 제3자에 제공

- ①정보주체의 동의 ②법률의 특별규정 또는 법령상 의무준수를 위해 불가피한 경우 ③공공기관이 법령 등 소관업무 수행을 위해 불가피한 경우 ④정보주체 또는 법정대리인이 의사표시 할수 없는 경우로서 주소불명 등 명백히 정보주체 또는 제3자의 생명․신체․재산의 이익을 위한 경우

※ 수집 이용시 비교하여 정보주체와의 계약의 체결 및 이행을 위해 불가피한 경우, 개인정보처리자의 정당한 이익달성을 위해 명백하게 정보주체의 권리보다 우선하는 경우는 제외

○ 수집이용 요건과 제공요건 초과하여 목적외 이용제공 금지

○ 목적외 이용제공 특례

- ①정보주체 별도동의 ②다른 법률의 규정 ③정보주체 또는 법정대리인이 의사표시 할수 없는 경우로서 주소불명 등 명백히 정보주체 또는 제3자의 생명․신체․재산의 이익을 위한 경우 ④ 통계조사 및 학술연구를 우해 특정개인을 식별할 수 없는 형태로 제공하는 경우 ⑤다른 법률의 소관업무를 수행할 수 없어 보호위원회 심의의결 거치는 경우 ⑥조약, 국제협정의 이행, 외국정부와 국제기구 제공하는 경우 ⑦범죄의 수사 및 공소제기․유지를 위해 필요한 경우 ⑧형 및 감호, 보호처분의 집행을 위해 필요한 경우

○ 목적외 제공을 위해 정보주체 별도동의 항목

- 제공받는자, 이용목적, 개인정보 항목, 보유 및 이용기간, 동의 거부권 및 거부시 불이익 내용

□ 법20조 정보주체이외로부터 수집한 개인정보의 출처고지

○ 정보주체이외로부터 수집한 개인정보 처리시 정보주체의 요구가 있으면 수집출처, 처리목적, 개인정보 처리정지권의 내용을 즉시 고지(신문, 인터넷 등)

□ 법21조 개인정보의 파기

○ 개인정보처리자는 처리 목적달성, 보관기간 경과시 지체없이 개인정보를 복원이 불가능한 방법으로 파기

- 다만, 법령에 보존기간이 특정되어 있는 경우 예외인정

- 개인정보 일부파기의 경우, 다른 개인정보파일과 분리저장

□ 법22조 동의를 받는 방법

○ 정보주체의 동의를 받을시 정보주체와의 계약체결 등 동의없이 처리할 수 있는 개인정보(필수정보)와 동의가 필요한 개인정보(선택정보)를 구분하여 동의 받아야 함

- 필수정보와 선택정보의 처리 입증책임은 개인정보처리자 부담

○ 재화 및 서비스 홍보나 판매권유를 위해 동의를 받을시에는 정보주체에게 고지하고 동의 획득

○ 개인정보처리자는 정보주체가 선택정보 동의하지 아니하는 경우, 목적외 제공에 대한 정보주체의 별도동의를 얻지 아니하는 것을 이유로 재화와 서비스 거부 금지

○ 만14세 미만 아동의 개인정보 처리시 법정대리인의 동의 획득해야 하고 아동으로부터 대리인정보 최소한 수집 가능

□ 법23조 민감정보 처리제한

○ 사상신념, 노동조합, 성생활, 건강정보 등 개인의 사생활을 현저하게 침해우려가 있는 민감정보는 ① 정보주체의 별도동의 ②법령에서 처리를 요구하거나 허용하는 경우외에 처리금지

□ 법24조 고유식별정보 처리제한

○ 주민번호, 여권번호, 운전면허번호, 외국인 등록번호와 같은 고유식별정보는  ① 정보주체의 별도동의 ②법령에서 구체적으로 처리를 요구하거나 허용하는 경우외에 처리금지

○ 공공기관, 일일평균 1만명이상 개인정보처리자는 웹사이트를 통해 회원가입시 주민번호외에 회원으로 가입하는 방법 제공의무화

- I-PIN, 전자서명, 공인인증서, OTP 등

○ 주민번호 등 고유식별정보의 도난, 훼손, 유출방지를 위해 암호화 등 안전성 확보조치 의무화

□ 법25조 영상정보처리기기 설치 운영 제한

○ 누구든지 공개된 장소에 해당 사유외에는 설치 금지

- ①법령에서 허용하는 경우 ②범죄예방 및 수사 ③시설안전 및 화재예방 ④교통단속 ⑤교통정보의 수집분석 및 제공

○ 누구든지 목욕실, 화장실, 발한실, 탈의실 등 내부볼수 있는 곳에 영상정보처리기기 설치 금지

- 다만, 정신보건시설, 교도소 등 감금시설에 예외적으로 허용

○ 공공기관장과 감금시설 운영자는 전문가와 이해관계인 의견수렴

○ 공개된 장소에 설치하는 영상정보처리기기는 안내판 설치, 임의조작 금지, 녹음기능 사용금지, 안전성 확보조치, 영상정보처리기기 운영관리방침 공개(개인정보 처리방침 대체가능)

□ 법26조 업무위탁

○ 제3자에게 업무위탁시 위탁내용 문서화하고 위수탁자 홈페이지 등에 공개

- ① 위탁업무 수행 목적외 개인정보 처리금지 ②기술적 관리적 보호조치 등

○ 위탁자가 재화, 서비스 홍보하거나 판매권유시 위탁업무 내용과 수탁자를 정보주체에 고지(변경시 동일)

□ 법27조 영업양도 개인정보 이전제한

○ 영업의 전부 또는 일부 이전시 정보주체에게 고지

- 이전사실, 이전받는자, 이전을 원하지 아니하는 경우 조치방법 및 절차

○ 양수자는 지체없이 정보주체에게 이전사실 고지(양도자가 이미 고지시 면제)

□ 법28조 개인정보취급자 감독

○ 개인정보처리자는 임직원, 파견근로자, 시간제근로자 등에게 관리감독 및 정기적으로 필요한 교육실시

□ 개인정보 안전한 관리

□ 법29조 안전조치 의무

○ 개인정보처리자는 개인정보의 안전한 관리를 위해 관리적, 기술적, 물리적 조치 의무화

- 내부관리계획 수립, 접근권한의 제한관리, 저장 및 전송 암호화, 침해발생시 접속기록의 보관, 백신 등 보안프로그램 설치, 전산실 잠금장치 등 물리적 보안장치

□ 법30조 개인정보 처리방침 수립 및 공개

○ 개인정보처리자는 개인정보처리방침 수립하여 홈페이지 등에 공개

- 처리목적, 처리 및 보유기간, 제3자제공사항, 위탁사항, 정보주체의 권리의무 및 행사방법 등

- 처리방침과 개인정보처리자와 정보주체와의 계약내용이 다른 경우 정보주체에게 유리한 것 적용

□ 법31조 개인정보보호 책임자 지정

○ 개인정보처리자는 책임자 의무지정

- 보호책임자는 ①보호계획 수립 ②처리실태 및 관행 조사개선 ③ 처리관련 불만의 처리 및 피해구제 ④유출, 오남용 방지를 위한 내부통제시스템 구축 ⑤ 교육계획 수립 시행 ⑥개인정보파일의 관리감독, 파기 관리감독 등

□ 법32조 개인정보파일의 등록 및 공개

○ 공공기관의 장이 개인정보파일 운용하는 경우 해당사항을 행안부장관에 등록(변경시 포함)하고 행안부장관은 등록사항과 내용을 검토하여 개선권고하며 등록현황을 일반에게 공개

- 파일명칭, 파일 운영근거 및 목적, 개인정보 항목, 처리방법, 보유기간, 반복적인 경우 제공받는자, 기타 사항

- 파일에 대한 영향평가를 거친 경우, 평가결과를 첨부하여 등록

- 파일 등록 예외사항은 ①국가안전, 외교상 비밀 등 국가 중대한 이익에 관한 사항을 기록한 파일 ②범죄수사, 공소제기 및 유지, 형 및 감호의 집행, 교정처분, 보호처분, 보안관찰 처분과 출입국 관리에 관한 사항을 기록한 파일 ③조세범처벌법에 다른 범칙행위 조사에 관한 사항을 기록한 파일 ④공공기관 내부적 업무처리만을 위한 파일 ⑤다른 법령에 비밀로 분류된 파일

○ 국회, 법원, 헌법재판소, 중앙선관위는 (해당 소속기관 포함) 파일 등록공개에 관하여 국회규칙, 대법원규칙, 헌법재판소규칙, 중앙선관위규칙으로 정함

□ 법33조 개인정보 영향평가

○ 공공기관의 장은 ① 정보주체수가 5만명이상인 개인정보파일 신규 구축하거나 변경하는 경우(민감정보 또는 고유식별정보 포함) ②다른 개인정보파일과 연계하여 정보주체수가 50만명 이상인 경우 ③연평균 정보주체 수가 100만명 이상인 개인정보 파일에 대하여 개인정보 침해가 우려되는 경우 위험요인의 분석과 개선사항의 도출을 위한 영향평가를 실시하고 그 결과를 행안부장관에게 제출(민간은 자율시행)

- 행안부장관은 평가기관 지정 및 지정 취소

- 영향평가시 고려사항은 처리하는 개인정보의 수, 제3자 제공여부, 정보주체 권리침해 가능성 및 위험정도, 기타사항

○ 행안부장관은 영향평가 결과에 대해 보호위원회 심의의결을 거쳐 의견제시 가능하고, 관계 전문가 육성, 평가기준 개발보급 등 필요한 조치 마련

○ 국회, 법원, 헌법재판소, 중앙선관위는 (해당 소속기관 포함) 영향평가에 관한 사항은 국회규칙, 대법원규칙, 헌법재판소규칙, 중앙선관위규칙으로 정함

□ 법34조 개인정보 유출통지

○ 개인정보처리자는 유출사실 인지시 지체없이 정보주체에게 해당사항 고지

- ① 유출 개인정보 항목 ②유출시점과 경위 ③ 피해 최소화 방법 ④대응조치 및 피해구제 절차 ⑤ 피해발생시 신고접수 담당자 및 연락처

○ 1만명이상 개인정보 유출된 개인정보처리자는 행안부 및 한국정보화진흥원 또는 한국인터넷진흥원에 신고하여 기술지원 등 추가피해 방지

□ 정보주체 권리보장

□ 법35조~38조 개인정보의 열람, 정정삭제, 처리정지권 행사

○ 정보주체는 자신의 개인정보에 대해 개인정보처리자에게 열람, 정정삭제, 처리정지 요구

- 열람할 수 없는 정당한 사유가 있을시에는 정보주체에게 사유를 알리고 열람 연기 가능

○ 열람 제한․거절 사유

- ①법률에 열람금지․제한 ②다른 사람의 생명․신체․재산을 해하거나 부당하게 침해할 우려가 있는 경우 ③ 공공기관의 업무수행에 중대한 지장초래하는 경우(조세부과․징수․환급/ 교육기관의 성적평가 또는 입학자 선발/ 학력․기능 및 채용시험, 자격심사, 보상금 산정 등 진행중인 평가업무/ 법률에 따른 감사․조사 업무)

○ 다른 법령에 개인정보가 수집대상인 경우, 정정․삭제 요청시 정보주체에게 고지

○ 개인정보 처리정지 요구 거절 사유

- ①법률의 특별한 규정 또는 법령상 의무준수를 위해 불가피한 경우 ②다른 사람의 생명․신체․재산을 해하거나 부당하게 침해할 우려가 있는 경우 ③공공기관이 해당 개인정보 처리하지 아니하면 법률상 소관사무 수행할 수 없는 경우 ④해당 해인정보 처리하지 아니하면 정보주체와 약정한 서비스 제공 등 계약이행이 곤란한 경우로서 정보주체가 계약해지 의사를 명확하게 밝히지 않은 경우

- 처리정지 거절시 지체없이 정보주체에게 사유 고지

- 처리정지된 개인정보는 지체없이 파기

- 만 14세 미만 아동의 법정대리인은 아동의 열람 등 청구가능

○ 개인정보처리자는 열람 등 요구자에게 수수료와 우송료 실비청구가능하고, 열람요구 등 구체적인 방법과 절차, 불복시 이의제기절차 마련하여 공개 및 안내

□ 법39조 손해배상책임

○ 정보주체는 개인정보처리자에게 손해배상 청구가능

- 다만, 개인정보처리자는  고의 또는 과실없음을 입증하여야 책임면제

□ 분쟁조정 및 단체소송

□ 법40조 분쟁조정위 설치 및 구성

○ 분쟁조정위는 위원장 1명 포함 20인 이내로 구성(1인은 상임위원)

- 위원은 ①중앙행정기관 고위공무원단 공무원 또는 이에 상당하는 공공부문 및 단체에 재직하거나 하였던 자로서 유경험자, ②대학이나 연구기관의 부교수 이상 또는 이에 상당하는 직에 있거나 있었던 자, ③판검사․변호사로 재직하거나 하였던 자, ④시민단체 또는 소비자단체, 사업자 단체로부터 추천받은자로 구성

- 위원장은 위원 중 공무원이 아닌자로 행안부장관이 임명

- 위원임기 2년(1차연임 가능)이나 공무원인 위원은 재직기간 재임

- 효율적 분쟁조정을 위해 조정사건 분야별로 5인이내의 조정부 구성하고 이 경우 의결사항은 분쟁조정위원회 의결로 갈음

- 분쟁조정위, 조정부는 재적의원 과반수 출석으로 개의하며 출석의원 과반수 찬성으로 의결하고 행안부장관은 전문기관에 사무국 지정

□ 법49조 집단분쟁조정

○ 국가, 지자체, 단체, 정보주체, 개인정보처리자는 권리침해가 다수에게 비슷한 유형으로 발생하는 경우 분쟁조정위원회에 일괄하여 분쟁조정 신청 가능

- 분쟁조정위원회는 개인정보처리자가 집단분쟁조정을 수락한 경우, 당사자가 아닌 피해자에 대한 보상계획서를 작성하여 제출하도록 권고 가능

- 집단분쟁조정 가간은 공고 종료일의 다음날로부터 60일 이내

□ 법51조 단체소송 대상

○ 개인정보처리자가 집단분쟁조정을 거부하거나 분쟁조정 결과를 수락하지 아니한 경우, 법원에 권리침해 중지정지를 구하는 단체소송 제기 가능

- 원고적격 : ① 소비자기본법 29조에 의해 공정위에 등록한 소비자단체(정관명시, 정회원수 1,000명이상, 등록후 3년경과)

②비영리민간단체 지원법상 단체(100명이상 동일피해자에게 소송제기 요청받을 것, 정관명시 및 3년이상활동, 구성원수 5천명 이상, 중앙행정기관에 등록)

□ 보칙과 벌칙, 부칙

□ 법58조 적용 일부예외

○ ①공공기관이 통계법에 따라 수집하는 개인정보 ② 국가안전보장 관련 정보분석을 목적으로 수집․제공 요청 정보 ③공중위생 등 긴급한 필요에 의해 일시처리하는 정보 ④언론, 종교단체, 정당 등이 취재보도․선교․선거 입후보자 추천 등 고유목적 달성위해 수집․처리하는 개인정보는 15조(개인정보 수집이용)부터 57조(단체소송의 민사소송 준용)까지 미적용

○ 공개된 장소의 영상정보처리기기에 의한 영상정보는 동의를 받는 방법(22조), 영업양도시 개인정보 이전제한(27조), 개인정보 유출통지(34조), 개인정보 처리정지(37조) 미적용

○ 동창회, 동호회 등 친목도모를 위한 개인정보처리시 개인정보의 수집이용(15조), 개인정보처리방침 수립공개(30조), 개인정보보호책임자지정(31조) 미적용

○ 적용 예외시 최소한의 기간에 최소한의 정보만을 처리하며 안전한 관리를 위해 보호조치, 고충처리 등 필요한 조치 시행

□ 법59조 금지행위

○ 개인정보 처리하거나 처리하였던 자는 다음 행위 금지

- ① 거짓, 부정수단으로 개인정보 취득하거나 처리하는 행위

②업무상 알게된 개인정보 누설 및 권한없이 타인에게 이용․제공하는 행위 ③정당한 권한없이 또는 권한 초과하여 타인의 개인정보를 훼손, 멸실, 변경, 위조, 유출하는 행위

□ 법60조 비밀유지

○ 보호위원회 업무, 영향평가 업무, 분쟁조정 업무에 종사하거나 또는 종사하였던 자는 직무상 알게 된 비밀을 타인에게 누설하거나 직무목적 외의 용도로 이용 금지

- 다만, 다른 법률에 특별한 규정이 있는 경우 예외 인정

□ 법61조 의견제시 및 개선권고

○ 행안부장관은 법령, 조례에 대하여 보호위원회 심의의결을 거쳐 관계기관에 의견제시 가능

- 개인정보처리자에게 처리실태 개선권고 가능하고 권고받은 개인정보처리자는 조치결과를 행안부장관에 통보

｣○ 관계 중앙행정기관의 장은 소관법률에 따라 처리실태 개선권고 가능

○ 중앙행정기관, 지자체, 국회, 법원, 헌법재판소, 중앙선관위는 소속기관 및 소속 공공기관에 의견제시나 지도점검 가능

□ 법62조 침해사실의 신고

○ 개인정보에 관한 권리 또는 이익 침해받은 자는 행안부장관에게 침해사실 신고 가능

○ 행안부장관은 전문기관(한국인터넷진흥원) 지정하고 전문기관은 ‘침해신고센터’ 설치 운영

- 침해신고센터의 업무는 ①신고 접수상담 및 부수업무 ②사실의 조사확인 및 관계자 의견청취 및 부수업무(행안부는 공무원 파견가능)

□ 법63조 자료제출 요구 및 검사

○ 행안부장관은 개인정보처리자에게 관계 물품, 서류 등 자료제출 요구 가능

- ①법위반사항 발견 및 혐의가 있음을 알게 된 경우 ②법위반 신고나 민원접수 받은 사항 ③유출사고 발생하였거나 발생할 상당한 가능성이 있는 경우

○ 행안부장관은 개인정보처리자가 자료제출에 불응하거나 법위반 사실이 인정되면 공무원으로 하여금 사업장에 출입하여 업무상황, 장부․서류 검사 가능(공무원은 증표를 관계인에게 제시)

○ 관계 중앙행정기관의 장은 소관법률에 따라 개인정보처리자에게 자료제출 요구 및 검사 가능

○ 자료제출 및 검사로 얻은 자료는 제3자 제공 및 일반 공개 금지

- 전산망을 통해 얻은 자료, 전자화한 자료는 유출이 되지 않도록 제도적․기술적 보완조치

□ 법63조 시정조치

○ 행안부장관은 개인정보 침해를 판단할 상당한 근거가 있고 방치하는 경우 회복하기 어려운 피해가 발생할 우려가 있는 경우, 법위반자에게 ①침해행위 중지 ②처리 일시정지 ③기타 필요한 조치 명령 가능

- 다만, 중앙행정기관, 지자체, 국회, 법원, 헌법재판소, 중앙선관위는 제외

○ 관계 중앙행정기관의 장은 개인정보 침해를 판단할 상당한 근거가 있고 방치하는 경우 회복하기 어려운 피해가 발생할 우려가 있는 경우, 소관법률에 따라 법위반자에게 ①침해행위 중지 ②처리 일시정지 ③기타 필요한 조치 명령 가능

○ 지자체, 국회, 법원, 헌법재판소, 중앙선관위는 소속기관 및 소관 공공기관이 법위반시 ①침해행위 중지 ②처리 일시정지 ③기타 필요한 조치 명령 가능

○ 보호위원회는 중앙행정기관, 지자체, 국회, 법원, 헌법재판소, 중앙선관위가 법위반시 해당 기관장에게 ①침해행위 중지 ②처리 일시정지 ③기타 필요한 조치 권고 가능

□ 법65조 고발 및 징계권고

○ 행안부장관은 법규위반에 따른 범죄혐의가 있다고 인정할 만한 상당한 이유가 있을시 관할 수사기관에 고발 가능하고 책임있는자를 징계할 것을 기관장에게 권고 가능(해당기관은 조치사항을 행안부장관에 통보)

○ 관계 중앙행정기관의 장은 소관법률에 따라 고발 및 징계권고 가능(해당기관은 중앙행정기관의 장에게 조치사항 통보)

□ 법66조 결과의 공표

○ 행안부장관은 개선권고(61조), 시정조치 명령(64조), 고발 및 징계권고(65조), 과태료 부과의 내용과 결과(75조)에 대하여 보호위원회의 심의의결을 거쳐 공표 가능

○ 관계 중앙행정기관의 장은 소관법률에 따라 보호위원회 심의의결을 거쳐 공표 가능

□ 법67조 연차보고

○ 보호위원회는 관계기관의 자료 제출받아 매년 보호시책의 수립시행에 대한 보고서 작성하여 정기국회 개회전 까지 국회제출

- 정보주체 권리침해 및 구제, 처리실태 조사결과, 보호시책 추진현황 및 실적, 해외 입법․정책 동향, 기타 공개 또는 보고사항

□ 법68조 권한의 위임․위탁

○ 행안부장관과 관계 중앙행정기관의 장은 권한의 일부를 광역자치단체장 또는 전문기관에 위임하거나 위탁 가능

- 위임․위탁받은 기관은 업무처리결과를 행안부장관 또는 관계 중앙행정기관의 장에게 통보

○ 행안부장관은 전문기관에 위임․위탁하는 경우 경비 출연 가능

□ 법69조 벌칙적용시 공무원 의제

○ 행안부장관 또는 관계 중앙행정기관의 장의 권한을 위탁받은 업무에 종사하는 전문기관의 임직원은 형법조항 적용시 공무원으로 의제

□ 법70조~74조 벌칙, 양벌규정

○ 공공기관의 개인정보 처리업무를 방해할 목적으로 공공기관에서 처리하는 개인정보를 변경, 말소하여 심각한 지장 초래한 자는 10년 이하의 징역 또는 1년이하의 벌금

- 법인의 대표자, 법인 또는 개인의 대리인, 사용인, 종업원이 위반한 경우, 행위자 처벌외에 법인 또는 개인에게 7천만원 이하의 벌금 부과(단, 상당한 주의와 감독을 한 경우 면제)

○ 법위반행위의 경중에 따라 ①5년이하의 징역 또는 5천만원이하의 벌금, ②3년이하의 징역 또는 3천만원 이하의 벌금, ③2년이하의 징역 또는 1천만원이하의 벌금형 부과

- 법인의 대표자, 법인 또는 개인의 대리인, 사용인, 종업원이 위반한 경우, 행위자 처벌외에 법인 또는 개인에게 각각의  벌금 부과(단, 상당한 주의와 감독을 한 경우 면제)

□ 법75조 과태료

○ 법위반행위의 경중에 따라 ①5천만원이하 과태료 ②3천만원이하 과태료 ③1천만원 이하 과태료 부과

- 과태료는 행안부장관 또는 중앙행정기관의 장이 부과 징수

- 관계 중앙행정기관의 장은 소관분야 개인정보처리자에게 과태료 부과징수

□ 부칙 1조 시행일

○ 법 시행은 공포 후 6개월이 경과한 날부터 시행

- 다만, 인터넷상 주민번호 대체수단 제공 의무화 및 과태료(3천만원) 조항은 공포 후 1년 경과한 날부터 시행

□ 부칙 2조 다른법률의 폐지

○ 공공기관개인정보보호법 전부와  정보통신망법 일부(33조, 33조의2, 34조~40조, 66조제1호, 67조 삭제

□ 부칙 3조 분쟁조정위원회 경과조치

○ 이법 시행당시 정보통신망법에 의한 분쟁조정위 관련 행위 및 는 개인정보호법에 따른 행위로 의제

- 다만, 벌칙 적용시에는 종전의 해당법률 적용

□ 부칙 4조 처리중인 개인정보에 대한 경과조치

○ 이법 시행전에 다른 법령에 따라 적법하게 처리된 개인정보는 개인정보보호법에 따라 처리된 것으로 의제\

참고 4	사업자 질의응답 (FAQ)

Q1. ‘개인정보’, ‘처리’ 등의 용어에 대해 개인정보보호법은 어떻게 정의하고 있나요?

A. ‘개인정보’란 살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함한다)를 말한다(제2조제1호).

‘처리’란 개인정보의 수집, 생성, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정(訂正), 복구, 이용, 제공, 공개, 파기(破棄), 그 밖에 이와 유사한 행위를 말한다(제2조제2호).

‘정보주체’란 처리되는 정보에 의하여 알아볼 수 있는 사람으로서 그 정보의 주체가 되는 사람을 말한다(제2조제3호).

‘개인정보파일’이란 개인정보를 쉽게 검색할 수 있도록 일정한 규칙에 따라 체계적으로 배열하거나 구성한 개인정보의 집합물(集合物)을 말한다(제2조제4호). 이 개인정보파일에는 정보통신망에 의해 전자적으로 처리한 개인정보파일 뿐만 아니라 수기작성물, 종이문서출력물 등 모든 개인정보파일이 포함된다.

‘개인정보처리자’란 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등을 말한다(제2조제5호).

☞ 좀 더 알아 봅시다

□ 개인정보의 개념

일반적으로 “특정 개인을 식별하거나 식별할 수 있는 정보”를 말한다. 즉, 개인과 관련된 일체의 정보는 모두 ‘개인정보’에 해당될 수 있다(예 : 성명, 주소, 연락처, 직업 등). 개인정보에는 해당 개인과 직접 관련이 있는 정보 뿐만 아니라 그 개인에 대한 타인의 의견, 평가, 견해 등 제3자에 의해 생성된 간접적인 정보(예 : 신용평가 정보 등)도 해당될 수 있다.

1) 개인에 관한 정보

- 개인정보보호법상의 개인정보는 “자연인(自然人)에 관한 정보”만 해당된다. 법인(法人)이나 단체의 정보는 법률에 따라 보호되는 개인정보의 범위에 해당되지 않는다. 따라서 협력사의 사업자등록번호에 대해서는 개인정보보호 조치를 취할 필요가 없다.

2) 생존하는 개인에 관한 정보

- 법률상의 개인정보는 “생존하는” 자연인에 관한 정보만 해당된다. 따라서 이미 사망했거나 민법에 의한 실종선고 등 관계 법령에 의해 사망한 것으로 간주되는 자에 관한 정보는 개인정보보호법상의 개인정보로 볼 수 없다. 그리고 아직 출생하지 아니한 태아에 관한 정보도 개인정보로 볼 수 없다.

3) 생존하는 특정 개인을 알아볼 수 있는 정보

- 개인정보보호법상의 개인정보에 해당되기 위해서는 그 정보로 “특정 개인을 알아볼(식별할)” 수 있어야 하며, 해당 정보만으로는 특정 개인을 식별할 수 없다 하더라도 “다른 정보와 쉽게 결합”해 식별 가능하다면 개인정보에 해당된다. 예를 들어, 단순히 ‘성명’ 정보만 있다면 동명이인 등으로 특정 개인을 식별하는 것이 쉽지 않으나, 개개인의 ‘주소’나 ‘연락처’ 등과 결합돼 특정한 개인을 식별할 수 있다면 개인정보로 볼 수 있다.

- 그러나 만약 통계적 목적으로 변환돼 개인을 식별할 수 있는 요소가 제거된 상태라면 개인정보로 보기 어렵다.

□ 개인정보보호의 의미

‘개인정보보호’란 개인정보를 취급하는 사업자가 정보주체(고객, 이용자, 피고용인 등)의 개인정보를 수집·이용하는 과정에서 정보주체의 동의를 받는 등 정당하게 개인정보를 수집·이용하고, 개인정보를 보관·관리하는 과정에서 내부자의 고의나 관리부주의 또는 외부의 공격으로부터 유출·변조·훼손되지 않도록 하며, 정보주체의 개인정보 자기결정권이 제대로 행사될 수 있도록 보장하는 일련의 행위·조치를 의미한다.

여기서 ‘개인정보 자기결정권’이란 정보주체가 자신의 개인정보가 언제, 어디서, 어떻게, 어느 범위까지 수집·이용·제공되는지에 대해 스스로 판단·결정할 수 있는 권리를 말한다. 개인정보 자기결정권은 헌법재판소에서 국민의 기본권으로 인정하고 있으며, ‘개인정보보호법’ 및 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법률’ 등 관련 법률에서 수집ㆍ이용 등에 대한 동의권과 열람ㆍ정정ㆍ삭제요구권 등으로 구체적으로 반영돼 있다.

정보통신망 이용촉진 및 정보보호 등에 관한 법률

‘개인정보’란 생존하는 개인에 관한 정보로서 성명·주민등록번호 등에 의하여 특정한 개인을 알아볼 수 있는 부호·문자·음성·음향 및 영상 등의 정보(해당 정보만으로는 특정 개인을 알아볼 수 없어도 다른 정보와 쉽게 결합하여 알아볼 수 있는 경우에는 그 정보를 포함한다)를 말한다(제2조제1항제6호).

신용정보의 이용 및 보호에 관한 법률

‘신용개인정보’란 신용정보 중 개인의 신용도와 신용거래능력 등을 판단할 때 필요한 정보로서 대통령령으로 정하는 정보를 말한다(제2조제2호).

‘신용정보주체’란 처리된 신용정보로 식별되는 자로서 그 신용정보의 주체가 되는 자를 말한다(제2조제3호).

‘신용정보제공·이용자’란 고객과의 금융거래 등 상거래를 위하여 본인의 영업과 관련하여 얻거나 만들어 낸 신용정보를 타인에게 제공하거나 타인으로부터 신용정보를 제공받아 본인의 영업에 이용하는 자와 그 밖에 이에 준하는 자로서 대통령령으로 정하는 자를 말한다(제2조제7호).

Q2. 개인정보보호법 외에 공공·민간 부문에 적용되는 관련 법률들은 무엇이 있나요?

A. 민간 부문은 분야별로 다양한 개인정보보호 관련 법률이 존재하고 있다. 이 중에서도 개인정보의 취급단계별로 상세한 보호규정을 두고 있는 것은 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법률’과 ‘위치정보의 보호 및 이용 등에 관한 법률’이다.

- 공공 부문은 주민등록정보, 정보공개, 교육 분야 등에서 개인정보 보호에 관련된 법률을 두고 있다. 한편 그동안 공공부문의 개인정보 보호에 관련된 대표적인 법률로 ‘공공기관의 개인정보 보호에 관한 법률’이 있었으나, 그 내용은 개인정보보호법에 흡수되고 2011년 9월 30일부로 폐지되었다.

- 그 밖에 금융ㆍ신용정보업, 의료업 등의 분야에서도 개인정보 보호와 관련 법률이 있다. 이 법률들은 주로 민간기관ㆍ사업자에게 적용되지만, 관련 분야의 공공기관에도 적용된다.

분야	법률
정보통신서비스 제공자	정보통신망 이용촉진 및 정보보호 등에 관한 법률 통신비밀보호법, 전기통신사업법 등
위치정보사업 및 위치기반서비스사업	위치정보의 보호 및 이용 등에 관한 법률
금융·신용정보업	신용정보의 이용 및 보호에 관한 법률 금융실명거래 및 비밀보장에 관한 법률 등
의료업	의료법, 건강검진기본법, 응급의료에 관한 법률 생명윤리 및 안전에 관한 법률 등
공공ㆍ행정분야	주민등록법, 전자정부법, 공공기관의 정보공개에 관한 법률
교육분야	교육기본법, 초ㆍ중등교육법

Q3. 개인정보보호법과 다른 법률과의 관계는 어떻게 되나요?

A. 개인정보보호법은 개인정보 보호에 관하여는 ‘정보통신 이용촉진 및 정보보호 등에 관한 법률’, ‘신용정보의 이용 및 보호에 관한 법률’ 등 다른 법률에 특별한 규정이 있는 경우를 제외하고는 이 법에서 정하는 바에 따르도록 하고 있다(제6조). 따라서 모든 개인정보 보호에 관하여는 개인정보보호법이 일반적으로 적용되고, 다른 법률에서 특별히 다르게 규정한 내용이 있으면 그 부분에 한하여 그 법률이 제한적으로 적용된다.

Q4. 개인정보보호법이 시행되는 2011년 9월 30일 이전에 수집한 개인정보는 다시 동의를 받아야 하나요?

A. 개인정보보호법 시행 전에 다른 법령에 따라 적법하게 처리된 개인정보는 이 법에 따라 처리된 것으로 본다(부칙 제4조). 즉, 종전의 다른 법령에 따라 이루어진 개인정보처리의 경우에는 다시 동의를 받지 않아도 되며, 개인정보보호법 시행 이후에 이루어지는 개인정보 처리(수집ㆍ이용, 제공, 처리위탁, 파기 등)는 이 법에 따라야 한다.

- 그리고 ‘공공기관의 개인정보보호에 관한 법률’이 개인정보보호법의 시행과 동시에 폐지됨에 따라, 개인정보보호법 시행 당시 다른 법령에서 종전의 ‘공공기관의 개인정보보호에 관한 법률’ 또는 그 규정을 인용하고 있는 경우 이 법 중 그에 해당하는 규정이 있을 때에는 종전의 규정을 갈음하여 이 법 또는 이 법의 해당 규정을 인용한 것으로 한다(부칙 제7조).

Q5. 개인정보보호법이 시행되는 2011년 9월 30일 이전에 다른 법률을 위반한 행위는 어떻게 되나요?

A. 개인정보보호법 시행 전에 종전의 ‘공공기관의 개인정보보호에 관한 법률’이나 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법률’을 위반한 행위에 대하여 벌칙을 적용할 때에는 종전 법률에 따른다(부칙 제5조제1항 및 제2항).

Q6. 개인정보보호법이 담고 있는 모든 규정은 9월 30일부터 모두 시행되어 적용되나요?

A. 한마디로는 그렇지 않다. 개인정보보호법 제24조제2항 및 제75조제2항제5호는 공포 후 1년이 경과한 2012년 3월 29일부터 시행되기 때문이다(부칙 제1조).

제24조제2항은 “대통령령으로 정하는 기준에 해당하는 개인정보처리자는 정보주체가 인터넷 홈페이지를 통하여 회원으로 가입할 경우 주민등록번호를 사용하지 아니하고도 회원으로 가입할 수 있는 방법을 제공하여야 한다”고 하여, I-PIN 등 주민등록번호 대체수단 제공의무를 규정하고 있다.

제75조제2항제5호은 위 제24조제2항을 위반하여 정보주체가 주민등록번호를 사용하지 아니할 수 있는 방법을 제공하지 아니한 자에게 5천만원 이하의 과태료를 부과하도록 하고 있다.

☞ 좀 더 알아 봅시다

‘정보통신망 이용촉진 및 정보보호 등에 관한 법률’은 주민등록번호 외의 회원가입 방법에 관한 규정을 2008년 6월에 신설하였다.

제23조의2제1항은 “정보통신서비스 제공자로서 제공하는 정보통신서비스의 유형별 일일 평균 이용자 수가 대통령령으로 정하는 기준에 해당하는 자는 이용자가 정보통신망을 통하여 회원으로 가입할 경우에 주민등록번호를 사용하지 아니하고도 회원으로 가입할 수 있는 방법을 제공하여야 한다.”고 하여 주민등록번호 대체수단의 제공을 의무화 하였다.

제23조의2제2항은 “제1항에 해당하는 정보통신서비스 제공자는 주민등록번호를 사용하는 회원가입 방법을 따로 제공하여 이용자가 회원가입 방법을 선택하게 할 수 있다”고 규정하였다.

그리고 2011년 4월 5일 개정에서는 본인확인기관의 지정과 본인확인업무의 정지 및 지정취소에 관한 규정을 신설됐다.

Q7. ‘개인정보처리자’의 범위를 어디까지로 봐야 하나요?

A. ‘개인정보처리자’란 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등을 말한다(제2조제5호). 따라서 개인정보를 직접 또는 위탁하여 처리하는 모든 사업자, 단체, 기관, 개인, 공공기관 등은 개인정보처리자에 해당한다.

- 다만, 업무를 목적으로 하는 개인정보파일을 운용하지 않고 개인정보를 수집ㆍ이용 등 처리하는 자는 개인정보처리자에 해당되지 아니한다.

여기서 “개인정보파일”이란 개인정보를 쉽게 검색할 수 있도록 일정한 규칙에 따라 체계적으로 배열하거나 구성한 개인정보의 집합물(集合物)을 말한다(제2조제4호).

- 한편, 개인정보보호법은 언론ㆍ종교단체ㆍ정당, 동창회ㆍ동호회 등 친목단체에 대해서는 법적용을 일부 제외하도록 하고 있다.

언론, 종교단체, 정당이 각각 취재·보도, 선교, 선거 입후보자 추천 등 고유 목적을 달성하기 위하여 수집·이용하는 개인정보의 경우에는 개인정보보호법 제3장부터 제7장까지를 적용하지 아니한다(제58조제1항).

개인정보처리자가 동창회, 동호회 등 친목 도모를 위한 단체를 운영하기 위하여 개인정보를 처리하는 경우에는 제15조, 제30조 및 제31조를 적용하지 아니한다(제58조제1항).

Q8. 사업자가 개인정보를 처리할 때에는 어떠한 개인정보 보호 원칙을 따라야 하나요?

A. 개인정보보호법 제3조제1항부터 제8항은 국제적인 개인정보보호 원칙을 반영하여 개인정보처리자가 준수해야 할 개인정보보호 8대 원칙을 제시하고 있다.

개인정보처리자는 개인정보의 처리 목적을 명확하게 하여야 하고 그 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집하여야 한다(제3조제1항).

개인정보처리자는 개인정보의 처리 목적에 필요한 범위에서 적합하게 개인정보를 처리하여야 하며, 그 목적 외의 용도로 활용하여서는 아니 된다(제3조제2항).

개인정보처리자는 개인정보의 처리 목적에 필요한 범위에서 개인정보의 정확성, 완전성 및 최신성이 보장되도록 하여야 한다(제3조제3항).

개인정보처리자는 개인정보의 처리 방법 및 종류 등에 따라 정보주체의 권리가 침해받을 가능성과 그 위험 정도를 고려하여 개인정보를 안전하게 관리하여야 한다(제3조제4항).

개인정보처리자는 개인정보 처리방침 등 개인정보의 처리에 관한 사항을 공개하여야 하며, 열람청구권 등 정보주체의 권리를 보장하여야 한다(제3조제5항).

개인정보처리자는 정보주체의 사생활 침해를 최소화하는 방법으로 개인정보를 처리하여야 한다(제3조제6항).

개인정보처리자는 개인정보의 익명처리가 가능한 경우에는 익명에 의하여 처리될 수 있도록 하여야 한다(제3조제7항).

개인정보처리자는 이 법 및 관계 법령에서 규정하고 있는 책임과 의무를 준수하고 실천함으로써 정보주체의 신뢰를 얻기 위하여 노력하여야 한다(제3조제8항).

Q9. 개인정보보호법은 개인정보처리자에게 개인정보의 보호를 위하여 의무적으로 어떠한 안전조치를 하도록 하고 있나요?

A. 개인정보보호법은  개인정보처리자에게 개인정보가 분실·도난·유출·변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적·관리적 및 물리적 조치를 하도록 하고 있다(제29조).

- 그리고 2011년 5월 24일 입법예고된 ‘개인정보보호법 시행령안’ 제33조는 개인정보처리자가 개인정보의 안전성 확보를 위하여 하여햘 관리적ㆍ기술적ㆍ물리적 조치의 내용을 상세히 규정하고 있다.

<관리적 조치>

1. 개인정보의 안전한 처리를 위한 내부관리계획의 수립 및 시행

2. 개인정보를 직접 처리하는 소속직원·수탁자 등에 대한 교육계획 수립 및 실시

3. 내부관리계획에 따른 정기적인 자체 감사의 실시

<기술적 조치>

1. 개인정보에 대한 접근 권한의 제한 및 관리 조치

2. 개인정보에 대한 접근 권한을 확인하기 위한 식별 및 인증조치

3. 개인정보에 대한 권한없는 접근을 차단하기 위한 시스템의 설치 등 조치

4. 개인정보가 안전하게 저장‧전송될 수 있도록 하기 위한 암호화 등 조치

5. 접속기록의 보관 및 위조·변조 방지를 위한 조치

6. 보안프로그램의 설치 및 주기적인 갱신·점검 조치

<물리적 조치>

1. 개인정보의 안전한 보관을 위한 출입통제·잠금장치 등

- 또한 행정안전부장관은 앞의 관리적ㆍ기술적ㆍ물리적 안전조치에 관한 세부기준을 정하여 고시할 수 있으며, 관계 중앙행정기관의 장은 소관 분야의 특성을 고려하여 소관분야의 지침에 반영할 수 있다.

☞ 좀 더 알아 봅시다

‘정보통신 이용촉진 및 정보보호 등에 관한 법률’은 제28조에서 개인정보의 보호조치를 명시하고 있다.

정보통신서비스 제공자등이 개인정보를 취급할 때에는 개인정보의 분실·도난·누출·변조 또는 훼손을 방지하기 위하여 대통령령으로 정하는 기준에 따라 다음 각 호의 기술적·관리적 조치를 하여야 한다(제28조제1항).

1. 개인정보를 안전하게 취급하기 위한 내부관리계획의 수립·시행

2. 개인정보에 대한 불법적인 접근을 차단하기 위한 침입차단시스템 등 접근 통제장치의 설치·운영

3. 접속기록의 위조·변조 방지를 위한 조치

4. 개인정보를 안전하게 저장·전송할 수 있는 암호화기술 등을 이용한 보안조치

5. 백신 소프트웨어의 설치·운영 등 컴퓨터바이러스에 의한 침해 방지조치

6. 그 밖에 개인정보의 안전성 확보를 위하여 필요한 조치사항

‘신용정보의 이용 및 보호에 관한 법률’은 제19조에서 ‘신용정보전산시스템의 안전보호’에 대해 명시하고 있다.

신용정보회사등은 신용정보전산시스템(제25조제6항에 따른 신용정보공동전산망을 포함한다. 이하 같다)에 대한 제3자의 불법적인 접근, 입력된 정보의 변경·훼손 및 파괴, 그 밖의 위험에 대하여 대통령령으로 정하는 바에 따라 기술적·물리적·관리적 보안대책을 세워야 한다(제19조제1항). 신용정보제공·이용자가 다른 신용정보제공·이용자 또는 신용조회회사와 서로 이 법에 따라 신용정보를 제공하는 경우에는 금융위원회가 정하여 고시하는 바에 따라 신용정보 보안관리 대책을 포함한 계약을 체결하여야 한다(제19조제2항).

Q10. 개인정보처리자가 하여야 하는 관리적 조치 중 내부관리계획은 어떤 것인가요?

A. 내부관리계획이란 사업자가 자신이 처리하는 개인정보를 보호하기 위해 마련해야 하는 내부 규정·지침을 의미한다.

사업자는 자신이 취급하는 개인정보가 분실·도난·누출·변조 또는 훼손되지 아니하도록 안전성을 확보하기 위하여 조직 내부의 개인정보 관리계획을 수립하고, 모든 임직원에게 주지시켜 이를 준수할 수 있도록 하여야 한다. 그리고 이를 기초로 세부 지침이나 안내서를 마련하여 임직원이 동일한 행동을 취할 수 있도록 할 필요도 있다.

☞ 좀 더 알아 봅시다

그렇다면 사업자는 어떻게 내부관리계획을 수립하고 시행해야 할까?

아직 개인정보보호법에 따른 세부기준이 나오지는 않았지만, 우선 2010년 12월 30일 제정된 행정안전부 ‘사업자의 개인정보 보호조치 기준’ 고시(제2010-86호)를 참조할 수 있을 것이다. 이 고시는 ‘정보통신 이용촉진 및 정보보호 등에 관한 법률’ 제28조제1항 및 동법 시행규칙 제9조의 사업자가 준수해야 할 보호조치에 대한 의무사항을 규정한 것이다.

이 고시는 내부관리계획의 수립·시행에 대해 사업자로 하여금 개인정보를 보호하기 위해 다음 각 호의 사항을 포함하여 내부관리계획을 수립·시행하도록 하고 있다(제4조제1항).

1. 내부관리계획의 수립 및 시행에 관한 사항

2. 개인정보관리책임자의 의무와 책임에 관한 사항

3. 개인정보의 처리단계별 기술적·관리적 보호조치에 관한 사항

4. 정기적 자체감사에 관한 사항

5. 개인정보취급자에 대한 교육 등 그 밖에 개인정보보호를 위해 필요한 사항

그리고 임직원을 위한 세부지침 또는 안내서의 작성과 관련해서는, 행정안전부의 ‘개인정보 보호조치 기준 및 해설서’에서 안내하고 있는 ‘개인정보 내부관리계획 목차(예시)’를 참고하면 된다. 또한 이 해설서 별표에는 ‘소상공인을 위한 자체감사 체크리스트’도 수록돼 있으니 참고할만하다.

Q11. 우리 회사의 개인정보 보호책임자는 누가 되어야 하나요?

A. 개인정보처리자는 개인정보의 처리에 관한 업무를 총괄해서 책임질 개인정보 보호책임자를 지정하여야 한다(제31조제1항)고 규정하고 있으며, 제2항에서는 다음과 같은 각 호의 업무를 개인정보 보호책임자가 수행해야 한다고 명시하고 있다.

1. 개인정보 보호 계획의 수립 및 시행

2. 개인정보 처리 실태 및 관행의 정기적인 조사 및 개선

3. 개인정보 처리와 관련한 불만의 처리 및 피해 구제

4. 개인정보 유출 및 오용·남용 방지를 위한 내부통제시스템의 구축

5. 개인정보 보호 교육 계획의 수립 및 시행

6. 개인정보파일의 보호 및 관리·감독

7. 그 밖에 개인정보의 적절한 처리를 위하여 대통령령으로 정한 업무

또한 개인정보 보호책임자는 제2항 각 호의 업무를 수행함에 있어서 필요한 경우 개인정보의 처리 현황, 처리 체계 등에 대하여 수시로 조사하거나 관계 당사자로부터 보고를 받을 수 있다(제31조제3항).

개인정보 보호책임자는 개인정보 보호와 관련하여 이 법 및 다른 관계 법령의 위반 사실을 알게 된 경우에는 즉시 개선조치를 하여야 하며, 필요한 소속 기관 또는 단체의 장에게 개선조치를 보고하여야 한다(제31조제4항).

개인정보처리자는 개인정보 보호책임자가 제2항 각 호의 업무를 수행함에 있어서 정당한 이유 없이 불이익을 주거나 받게 하여서는 아니 된다(제31조제5항).

- 2011년 5월 24일 입법예고된 개인정보보호법 시행령안은 공공부문이 아닌 민간부문의 개인정보처리자가 지정하는 개인정보 보호책임자는 임원 또는 그에 준하는 직원으로 하도록 하고 있다(시행령안 제35조제3항).

다만, 상시 근로자수가 50인 미만인 경우에는 이개인정보 보호책임자를 지정하지 아니할 수 있으며, 그 경우에는 그 사업주 또는 대표자가 개인정보 보호책임자가 된다(시행령안 제35조제4항).

☞ 좀 더 알아 봅시다

‘정보통신 이용촉진 및 정보보호 등에 관한 법률’은 정보통신서비스 제공자등은 이용자의 개인정보를 보호하고, 개인정보와 관련한 이용자의 고충을 처리하기 위하여 개인정보 관리책임자를 지정해야 한다. 다만, 종업원 수, 이용자 수 등이 대통령령으로 정하는 기준에 해당하는 정보통신서비스 제공자등의 경에는 지정하지 아니할 수 있다(제27조제1항)고 규정하면서 동법 시행령을 통해 개인정보와 관련하여 이용자의 고충처리를 담당하는 부서의 장(제13조제1항제2호) 등 개인정보 관리책임자의 자격요건 등을 더욱 상세했다.

‘신용정보의 이용 및 보호에 관한 법률’에서는 신용정보회사, 신용정보집중기관 및 대통령령으로 정하는 신용정보제공·이용자는 신용정보를 보호하고 신용정보와 관련된 신용정보주체의 고충을 처리하는 등 대통령령으로 정하는 업무를 하는 신용정보관리·보호인을 1명 이상 지정하여야 한다(제20조제3항)고 규정하고 있으며, 제3항에 따른 신용정보관리·보호인의 자격요건과 그 밖에 지정에 필요한 사항은 대통령령으로 정하고 있다(제20조제4항).

이에 대해 동법 시행령 제17조를 통해 신용정보관리·보호인의 지정 등을 상세하고 있다.

‘신용정보의 이용 및 보호에 관한 법률’ 제20조제3항에서 규정한 업무란 △신용정보 관리·보호 관련 내부관리 규정의 제정·개정(제17조제2항제1호) △신용정보 관리·보호 관련 고충의 처리(제17조제2항제2호) △임직원이 신용정보 관리·보호 관련 법령 및 내부관리규정 등을 준수하고 있는지에 대한 점검(제17조제2항제3호) △법에 따른 신용정보주체의 정당한 권리 행사에 성실하게 대응하고 있는지에 대한 점검(제17조제2항제4호) 등이다.

또한 ‘신용정보의 이용 및 보호에 관한 법률’ 제20조제3항에 따라 지정하는 신용정보관리·보호인은 △임원(제17조제3항제1호) △신용정보의 제공·활용·보호 및 관리 등을 총괄하는 위치에 있는 사람(제17조제3항제2호)이다.

단, 신용정보회사등은 제3항에도 불구하고 다른 법령에 따라 준법감시인을 두는 경우에는 그를 신용정보관리·보호인으로 지정할 수 있다. 이 경우 제2항에서 규정한 업무의 내용을 해당 법령에 따른 내부통제기준에 반영하여야 한다(제17조제4항)고 상세했다.

관련 FAQ

Q. 개인정보보호법 상의 ‘개인정보 보호책임자’와 정보통신 이용촉진 및 정보보호 등에 관한 법률 상의 ‘개인정보 관리책임자’는 다른 건가요?

A. 개인정보보호법에서의 ‘개인정보 보호책임자’는 개인정보보호 계획의 수립·시행, 불만처리 및 피해 구제, 유출 및 오·남용 방지를 위한 시스템 구축, 교육계획 수립·시행 등의 업무를 수행한다. 정보통신 이용촉진 및 정보보호 등에 관한 법률 상의 ‘개인정보 관리책임자’ 명칭이 변경됐을 뿐 제도의 취지는 동일하다고 인식해야 한다.

Q12. 소규모 개인사업자도 개인정보 보호책임자를 지정해야 하나요?

A. 개인정보보호법에서는 개인정보 보호책임자의 지정요건, 업무, 자격 요건, 그 밖에 필요한 사항은 대통령령으로 정한다(제31조제6항)고 규정하고 있으며, 개인정보 보호책임자의 지정 요건 및 자격요건 등은 동법 시행령에 규정할 예정이다.

참고로, 2011년 5월 24일 입법예고된 개인정보보호법 시행령안은 상시 근로자수가 50인 미만인 개인정보처리자(사업자)의 경우에는 개인정보 보호책임자를 지정하지 않아도 되도록 하고, 이 경우에는  그 사업주 또는 대표자가 개인정보 보호책임자는 된다고 규정하고 있다(시행령안 제35조제2항 및 제4항).

- 한편, ‘정보통신 이용촉진 및 정보보호 등에 관한 법률’은 원칙적으로 상시 종업원 수가 5명 미만인 ‘정보통신서비스 제공자’는 개인정보 관리책임자를 지정하지 아니할 수 있도록 하고 있으므로, ‘정보통신서비스 제공자’의 경우 상시 종업원 수가 5인 이상이면 개인정보 관리책임자를 지정하여야 한다.

‘정보통신 이용촉진 및 정보보호 등에 관한 법률’은 정보통신서비스 제공자등의 경우 상시 종업원 수가 5명 미만(인터넷으로 정보통신서비스를 제공하는 것을 주된 업으로 하는 정보통신서비스 제공자등의 경우에는 상시 종업원 수가 5명 미만으로서 전년도 말 기준으로 직전 3개월간의 일일평균이용자가 1천명 이하)인 때에는 개인정보보호 책임자를 지정하지 아니할 수 있도록 하고 있다(법률 제27조제1항 단서, 동법 시행령 제13조제2항).

‘정보통신 이용촉진 및 정보보호 등에 관한 법률 시행규칙’은 상시 종업원 수가 5명 미만인 정보통신서비스 제공자 외의 자는 개인정보 관리책임자를 지정하지 아니할 수 있다고 규정하고 있다(동법 시행규칙 제7조제2항).

☞ 좀 더 알아 봅시다

‘정보통신 이용촉진 및 정보보호 등에 관한 법률’ 제27조제1항에서 “대통령령으로 정하는 기준에 해당하는 정보통신서비스 제공자등”이란 상시 종업원 수가 5명 미만인 정보통신서비스 제공자등을 말한다. 다만, 인터넷으로 정보통신서비스를 제공하는 것을 주된 업으로 하는 정보통신서비스 제공자등의 경우에는 상시 종업원 수가 5명 미만으로서 전년도 말 기준으로 직전 3개월간의 일일평균이용자가 1천명 이하인 자를 말한다(동법 시행령 제13조제2항).

여기서 상시 종업원 수의 판단기준은 중소기업기본법 시행령을 참고할 수 있다.

상시 종업원(근로자) 수는 “직전 사업연도의 매월 말일 현재의 상시 근로자 수를 합하여 12로 나눈 인원(동법 시행령 제5조제2항제1호)”으로 이는 직전 사업연도의 사업기간이 12개월 이상인 기업이며, 전년도 또는 해당 연도에 창업하거나 합병한 기업으로서 제1호에 해당하지 않는 기업은 제2호에서 규정하고 있다.

또한 중소기업의 상시 종업원은 일용근로자(제5조제1항제1호) 및 3개월 이내의 기간을 정하여 근로하는 자(제5조제1항제2호)를 제외한 근로자를 말한다.

Q13. 사업자가 개인정보를 수집ㆍ이용하는 데 있어서 지켜야 할 법적 기준은 무엇인가요?

A. 개인정보보호법 제15조는 개인정보처리자가 개인정보를 어떻게 수집하고 이용하는 지 등을 규정하고 있다. 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다(제15조제1항).

1. 정보주체의 동의를 받은 경우

2. 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우

3. 공공기관이 법령 등에서 정하는 소관 업무의 수행을 위하여 불가피한 경우

4. 정보주체와의 계약의 체결 및 이행을 위하여 불가피하게 필요한 경우

5. 정보주체 또는 그 법정대리인이 의사표시를 할 수 없는 상태에 있거나 주소불명 등으로 사전 동의를 받을 수 없는 경우로서 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우

6. 개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우. 이 경우 개인정보처리자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우에 한한다.

개인정보처리자는 제1항제1호에 따른 동의를 받을 때에는 다음 각 호의 사항을 정보주체에게 알려야 한다. 다음 각 호의 어느 하나의 사항을 변경하는 경우에도 이를 알리고 동의를 받아야 한다(제15조제2항).

1. 개인정보의 수집·이용 목적

2. 수집하려는 개인정보의 항목

3. 개인정보의 보유 및 이용 기간

4. 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용

개인정보처리자는 제15조제1항 각 호의 어느 하나에 해당하여 개인정보를 수집하는 경우에는 그 목적에 필요한 최소한의 개인정보를 수집하여야 한다. 이 경우 최소한의 개인정보 수집이라는 입증책임은 개인정보처리자가 부담한다(제16조제1항).

또한 개인정보처리자는 정보주체가 필요한 최소한의 정보 외의 개인정보 수집에 동의하지 아니한다는 이유로 정보주체에게 재화 또는 서비스의 제공을 거부하여서는 아니 된다(제16조제2항).

그리고 개인정보처리자가 정보주체 이외로부터 수집한 개인정보를 처리하는 때에는 정보주체의 요구가 있으면 즉시 다음 각 호의 모든 사항을 정보주체에게 알려야 한다(제20조제1항).

1. 개인정보의 수집 출처

2. 개인정보의 처리 목적

3. 제37조에 따른 개인정보 처리의 정지를 요구할 권리가 있다는 사실

다만, 다음 각 호의 어느 하나에 해당하는 경우에는 앞의 고지의무를 적용하지 아니한다. 다만, 이 법에 따른 정보주체의 권리보다 명백히 우선하는 경우에 한한다.

1. 고지를 요구하는 대상이 되는 개인정보가 제32조제2항 각 호의 어느 하나에 해당하는 개인정보파일에 포함되어 있는 경우

2. 고지로 인하여 다른 사람의 생명·신체를 해할 우려가 있거나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우

☞ 좀 더 알아 봅시다

‘정보통신 이용촉진 및 정보보호 등에 관한 법률’에서는 ‘개인정보처리자’를 ‘정보통신서비스 제공자’로 명칭이 다를 뿐 같은 맥락에서 생각할 수 있으며, 동법은 제22조를 통해 개인정보의 수집·이용 동의 등의 내용을 규정하고 있다.

정보통신서비스 제공자는 이용자의 개인정보를 이용하려고 수집하는 경우에는 다음 각 호의 모든 사항을 이용자에게 알리고 동의를 받아야 한다. 다음 각 호의 어느 하나의 사항을 변경하려는 경우에도 또한 같다(제22조제1항).

1. 개인정보의 수집·이용 목적

2. 수집하는 개인정보의 항목

3. 개인정보의 보유·이용 기간

다만 정보통신서비스 제공자는 다음 각 호의 어느 하나에 해당하는 경우에는 제1항에 따른 동의 없이 이용자의 개인정보를 수집·이용할 수 있다(제22조제2항).

1. 정보통신서비스의 제공에 관한 계약을 이행하기 위하여 필요한 개인정보로서 경제적·기술적인 사유로 통상적인 동의를 받는 것이 뚜렷하게 곤란한 경우

2. 정보통신서비스의 제공에 따른 요금정산을 위하여 필요한 경우

3. 이 법 또는 다른 법률에 특별한 규정이 있는 경우

‘신용정보의 이용 및 보호에 관한 법률’은 신용정보의 정확성 및 최신성의 유지(제18조)를 강조하면서, 무엇보다 신용정보 관리책임의 명확화 및 업무처리기록의 보존(제20조)에 대해 규정하고 있다.

신용정보회사등은 신용정보의 수집·처리 및 이용 등에 대하여 금융위원회가 정하는 바에 따라 내부관리규정을 마련해야 한다(제20조제1항). 또한 의뢰인의 주소와 성명 또는 정보제공·교환기관의 주소와 이름 등의 기록을 신용정보회사등이 3년간 보존해야 한다(제20조2항)고 규정하고 있다.

또한 개인신용정보는 해당 신용정보주체가 신청한 금융거래 등 상거래관계(고용관계는 제외한다. 이하 같다)의 설정 및 유지 여부 등을 판단하기 위한 목적으로만 이용해야(제33조) 하며, 다만 다음 각 호의 어느 하나에 해당하는 경우에는 그러하지 않아도 된다고 규정하고 있다.

1. 생략

2. 개인이 직접 제공한 개인신용정보(그 개인과의 상거래에서 생긴 신용정보를 포함한다)를 제공받은 목적으로 이용하는 경우(상품과 서비스를 소개하거나 그 구매를 권유할 목적으로 이용하는 경우는 제외한다)

3.4. 생략

Q14. 개인정보보호법에는 정보주체의 동의를 받는 방법에 대해 규정하고 있는데, 그 내용은?

A. 개인정보처리자(사업자)는 정보주체의 동의를 받은 경우에 개인정보를 수집할 수 있다. 사업자가 정보주체의 개인정보를 이용하기 위해 수집하는 경우는 온라인·오프라인을 불문하고 회원가입, 이벤트 참여, 상품 판매 계약, 수강 등록 등 정보주체에게 개인정보를 요구하는 모든 경우를 의미한다.

개인정보처리자는 개인정보보호법에 따른 개인정보의 처리에 대하여 정보주체의 동의를 받을 때에는 각각의 동의 사항을 구분하여 정보주체가 이를 명확하게 인지할 수 있도록 알리고 각각 동의를 받아야 한다(제22조제1항).

또한 개인정보처리자는 개인정보의 처리에 대하여 정보주체의 동의를 받을 때에는 정보주체와의 계약 체결 등을 위하여 정보주체의 동의 없이 처리할 수 있는 개인정보와 정보주체의 동의가 필요한 개인정보를 구분하여야 한다. 이 경우 동의 없이 처리할 수 있는 개인정보라는 입증책임은 개인정보처리자가 부담한다(제22조제2항).

개인정보처리자는 정보주체에게 재화나 서비스를 홍보하거나 판매를 권유하기 위하여 개인정보의 처리에 대한 동의를 받으려는 때에는 정보주체가 이를 명확하게 인지할 수 있도록 알리고 동의를 받아야 한다(제22조제3항).

개인정보처리자는 정보주체가 제2항에 따라 선택적으로 동의할 수 있는 사항을 동의하지 아니하거나 제3항 및 제18조제2항제1호(정보주체로부터 별도의 동의를 받은 경우)에 따른 동의를 하지 아니한다는 이유로 정보주체에게 재화 또는 서비스의 제공을 거부하여서는 아니 된다(제22조제4항).

개인정보처리자는 만 14세 미만 아동의 개인정보를 처리하기 위하여 이 법에 따른 동의를 받아야 할 때에는 그 법정대리인의 동의를 받아야 한다. 이 경우 법정대리인의 동의를 받기 위하여 필요한 최소한의 정보는 법정대리인의 동의 없이 해당 아동으로부터 직접 수집할 수 있다(제22조제5항).

제1항부터 제5항까지에서 규정한 사항 외에 정보주체의 동의를 받는 세부적인 방법 및 제5항에 따른 최소한의 정보의 내용에 관하여 필요한 사항은 개인정보의 수집매체 등을 고려하여 대통령령으로 정한다(제22조제6항).

☞ 좀 더 알아 봅시다

‘정보통신 이용촉진 및 정보보호 등에 관한 법률’에서는 동의를 받는 방법에 대해 제26조의2를 통해 규정하고, 동의를 받는 방법은 개인정보의 수집매체, 업종의 특성 및 이용자의 수 등을 고려하여 대통령령으로 정하고 있으며, 이를 동법 시행령에서 동의획득방법을 규정하고 있다.

정보통신서비스 제공자 등이 법 제26조의2에 따라 동의를 얻는 방법은 다음 각 호의 어느 하나와 같다. 이 경우 정보통신서비스 제공자 등은 동의를 얻어야 할 사항(이하 ‘동의 내용’이라 한다)을 이용자가 명확하게 인지하고 확인할 수 있도록 표시하여야 한다(동법 시행령 제12조제1항).

1. 인터넷 사이트에 동의 내용을 게재하고 이용자가 동의 여부를 표시하도록 하는 방법

2. 동의 내용이 기재된 서면을 이용자에게 직접 교부하거나, 우편 또는 모사전송을 통하여 전달하고 이용자가 동의 내용에 대하여 서명날인 후 제출하도록 하는 방법

3. 동의 내용이 적힌 전자우편을 발송하여 이용자로부터 동의의 의의표시가 적힌 전자우편을 전송받는 방법

4. 전화를 통하여 동의 내용을 이용자에게 알리고 동의를 얻거나 인터넷주소 등 동의 내용을 확인할 수 있는 방법을 안내하고 재차 전화 통화를 통화여 동의를 얻는 방법

정보통신서비스 제공자 등은 개인정보 수집 매체의 특성상 동의 내용을 전부 표시하기 어려운 경우 이용자에게 동의 내용을 확인할 수 있는 방법(인터넷주소·사업장 전화번호 등)을 안내하고 동의를 얻을 수 있다(동법 시행령 제12조제2항).

‘신용정보의 이용 및 보호에 관한 법률’은 제32조를 통해 개인신용정보의 제공·활용에 대한 동의 내용을 규정하고 있다.

신용정보제공·이용자가 대출, 보증에 관한 정보 등 대통령령으로 정하는 개인신용정보를 타인에게 제공하려는 경우에는 대통령령으로 정하는 바에 따라 해당 개인으로부터 △서면 △공인전자서명이 있는 전자문서 △개인신용정보의 제공 내용 및 제공 목적 등을 고려하여 정보 제공 동의의 안정성과 신뢰성이 확보될 수 있는 유무선 통신으로 개인비밀번호를 입력하는 방식 및 그 밖에 대통령령으로 정하는 방식 등에 해당하는 방식으로 미리 동의를 받아야 한다(제32조제1항).

신용조회회사 또는 신용정보집중기관으로부터 대통령령으로 정하는 개인신용정보를 제공받으려는 자는 대통령령으로 정하는 바에 따라 해당 개인으로부터 제1항 각 호의 어느 하나에 해당하는 방식으로 동의를 받아야 한다. 이 때 개인신용정보를 제공 받으려는 자는 해당 개인에게 개인신용정보의 조회 시 신용등급이 하락할 수 있음을 고지하여야 한다(제32조제2항).

신용조회회사 또는 신용정보집중기관이 개인신용정보를 제2항에 따라 제공하는 경우에는 해당 개인신용정보를 제공받으려는 자가 제2항에 따른 동의를 받았는지를 대통령령으로 정하는 바에 따라 확인하여야 한다(제32조제3항).

이하 제32조에서는 제8항까지 이에 대한 규정을 하고 있다.

Q15. 이전에 경품 이벤트에 응모했던 고객 리스트를 활용해 신상품 출시를 안내하는 홍보 이메일을 보내도 문제가 없나요?

A. 경품 이벤트를 통해 개인정보를 수집하였는데 이벤트 활용 목적으로만 동의를 받고 ‘별도의 상품 광고’에 대해서는 동의를 받지 않았다면, 해당 개인정보는 상품 출시 안내 이메일 발송 등의 광고 목적으로 이용할 수 없다. 이를 이용하기 위해서는 별도의 동의를 받아야 한다.

즉 사업자가 수집한 개인정보는 정보주체로부터 동의 받은 ‘수집·이용목적’의 범위안에서만 이용할 수 있는 것이다. 만약 동의 받은 수집·이용목적이 변경되거나 추가된 경우에는 변경·추가된 목적에 대해 별도의 동의를 받아야 한다.

개인정보보호법은 개인정보처리자는 개인정보를 제15조제1항에 따른 범위를 초과하여 이용하거나 제17조제1항 및 제3항에 따른 범위를 초과하여 제3자에게 제공하여서는 아니 된다고 규정하고 있다(제18조제1항).

또한 제1항에도 불구하고 개인정보처리자는 ‘정보주체로부터 별도의 동의를 받은 경우(제18조제2항제1호)’ 등에 해당하는 경우에는 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고는 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공할 수 있다(제18조제2항).

☞ 좀 더 알아 봅시다

‘정보통신 이용촉진 및 정보보호 등에 관한 법률’은 정보통신서비스 제공자는 제22조 및 제23조제1항 단서에 따라 수집한 개인정보를 이용자로부터 동의받은 목적이나 제22조제2항 각 호에서 정한 목적과 다른 목적으로 이용하여서는 아니 된다(제24조)고 규정하고 있다.

즉 사업자는 이용자의 동의를 얻은 ‘수집·이용목적’ 범위 안에서만 개인정보를 이용해야 한다. ‘수집·이용목적’은 최대한 구체적으로 상세하게 설명되어야 하며, 사업자가 개인정보를 수집할 때에는 이용자에게 이를 알리고 동의를 획득하여야 한다. 일부의 경우 매우 모호하게 표현된 ‘수집·이용목적’을 이용자에 알리고 동의를 얻는 경우가 있는데 이는 허용되지 않는다.

관련 FAQ

Q. 서점의 멤버십 회원을 대상으로 도서할인 이벤트 안내 이메일 발송하려 한다. 그런데 회원들이 작성했던 멤버십 가입신청서에는 ‘마케팅 활용’에 대한 고지사항이 따로 기재되어 있지 않았다면, 이메일을 보내는데 문제가 없나요?

A. 원래의 개인정보 수집·이용목적이 변경되거나 추가되는 경우에는 별도의 동의를 받아야 한다.

즉, 최초 멤버십 가입시에 기본적인 서비스 목적으로만 동의를 받고 ‘마케팅 활용’에 대해서는 따로 동의를 받지 않았다면 이벤트 안내 이메일 발송 등 마케팅 행위에 이용할 수 없으며, 이를 위해서는 별도의 동의를 받아야 한다.

Q16. 성형외과에서 성형 환자들의 성형 결과를 사진으로 촬영해 병원 홈페이지의 ‘성형 성공 사례’에 게시하는 경우에 문제가 없나요?

A. 사업자는 개인정보를 수집하는 경우 정보주체에게 ‘수집·이용목적’을 고지하고 동의를 얻어야 한다. 사업자가 수집한 개인정보는 그 수집·이용목적을 벗어나서 이용할 수 없다.

병원에서 환자의 성형결과 사진을 홍보 목적으로 활용하기 위해서는 ‘촬영한 사진을 병원의 홍보 목적’으로 게재한다는 사실을 정보주체(환자)에게 명확히 알리고 동의를 얻어야 한다.

만일 수집한 개인정보를 별도의 고지·동의 절차 없이 홍보 목적으로 임의로 사용한다면 이는 ‘개인정보의 목적외 이용 행위’에 해당된다.

☞ 좀 더 알아 봅시다

개인정보보호 관련 법률·제도가 체계화되기 이전에는 사업자가 자신의 고객 개인정보를 영업 활동에 사용하는 것에 대해 별다른 제약이 없었다. 그러나 최근에는 개인정보의 활용 가치가 높아지면서, 정보주체(개인)가 자신의 개인정보가 언제 어디서 어떻게 활용되는지에 대해 스스로 결정하고 통제할 수 있는 개인정보 자기결정권이 인정되게 되었다.

특히, 개인정보를 어떤 목적으로 어떻게 이용하겠다는 ‘수집·이용목적’의 범위 내에서만 이용되어야 하며, 이를 벗어나서 임의로 이용하는 것은 정보주체에 대한 개인정보 자기결정권을 침해하는 행위가 된다.

개인정보보호법은 사업자가 정보주체(고객)의 개인정보를 임의로 여러 목적에 이용하는 것을 금지하고 있으며, 고객의 동의를 얻은 ‘수집·이용목적’ 내에서만 이용하도록 하고 있다.

관련 FAQ

Q. 학교 졸업앨범, 동창회 명부 등 공개 정보를 이용한 마케팅은 문제가 없나요?

A. 이른바 ‘공개되어 있는 개인정보’는 당초 공개된 목적 내에서만 이용할 수 있다. 예컨대 동창회 명부라면 해당 회원들의 상호 연락 및 친목 도모에만 이용될 수 있으며, 회원의 동의를 얻지 않은 마케팅 행위 등에는 이용할 수 없다.

Q17. 개인정보보호법은 개인정보를 제3자에게 제공하는 경우와 개인정보의 처리 업무를 위탁하는 경우를 따로 규정하고 있는데, 구체적인 차이는 무엇인가요?

A. 개인정보보호법을 비롯해 개인정보 관련 법률에서는 ‘제3자에 대한 제공’ 및 ‘개인정보 처리 업무 위탁’을 각각 별도로 규정하고 있다.

개인정보 제3자 제공이란 ‘개인정보를 제공받는 자(제3자)의 목적’을 위해 개인정보를 제3자에게 제공하는 것을 말한다.

반면, 개인정보 위탁업무란 ‘사업자의 자신의 목적’을 위해 개인정보의 수집·처리·이용 등의 업무를 제3자에게 위탁하는 것을 말한다.

이에 따라서, 개인정보를 제3자에게 ‘제공’하는 경우에는 ‘제공받는 자의 이용 목적’을 알리고 동의를 받아야 한다. 한편 개인정보의 위탁업무를 제3자에게 ‘위탁’하는 경우에는 ‘위탁하는 업무의 내용’을 알리고 동의를 받도록 하고 있다.

☞ 좀 더 알아 봅시다

□ 제3자 제공 및 취급위탁의 구분

구분	제3자 제공	취급위탁
처리목적	개인정보를 제공받는 자의 이익·목적을 위해 개인정보를 제3자에게 제공	사업자의 이익·목적을 위해 개인정보 취급업무를 제3자에게 위탁
관리범위	개인정보를 제공받는 자(제3자)의 권리범위에 속함	취급위탁을 받은 자(수탁자)가 개인정보를 운영하지만, 사업자의 관리범위에 속함
예시	백화점(제공하는 자)이 신용카드사(제공 받는 자)와 업무제휴를 맺고, 백화점 고객 개인정보를 신용카드사에 제공 →신용카드사는 자사의 제휴카드 발급 마케팅에 백화점 고객정보를 이용	백화점(사업자)이 콜센터 업체(수탁자)와 위탁계약을 맺고, 백화점 고객 개인정보를 콜센터 업체에서 관리·운영 →콜센터 업체는 백화점의 고객상당 업무에 백화점 고객정보를 이용

Q18. 수집한 개인정보를 제3자에게 제공할 때 지켜야 할 사항은 무엇인가요?

A. 개인정보보호법은 개인정보처리자가 정보주체의 개인정보를 제3자에게 제공(공유를 포함한다)할 수 있는 경우를 열거하고 있다(제17조제1항)

1. 정보주체의 동의를 받은 경우

2. 개인정보를 수집한 목적 범위에서 개인정보를 제공하는 경우

또한 개인정보처리자가 개인정보를 국외의 제3자에게 제공할 때에는 정보주체에게 알리고 동의를 받아야 하며, 이 법을 위반하는 내용으로 개인정보의 국외 이전에 관한 계약을 체결하여서는 아니 된다(제17조제3항).

개인정보처리자는 개인정보를 동의 받은 범위 등을 초과하여 제3자에게 제공(국외 이전 포함)하여서는 아니 된다(제18조제1항). 다만, 사업자는 다음 어느 하나에 해당하는 경우에는 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고는 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공할 수 있다(제18조제2항).

1. 정보주체로부터 별도의 동의를 받은 경우

2. 다른 법률에 특별한 규정이 있는 경우

3. 정보주체 또는 그 법정대리인이 의사표시를 할 수 없는 상태에 있거나 주소불명 등으로 사전 동의를 받을 수 없는 경우로서 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우

4. 통계작성 및 학술연구 등의 목적을 위하여 필요한 경우로서 특정 개인을 알아볼 수 없는 형태로 개인정보를 제공하는 경우

또한 사업자는 앞의 경우에 해당하여 개인정보를 목적 외의 용도로 제3자에게 제공하는 경우에는 개인정보를 제공받는 자에게 이용 목적, 이용 방법, 그 밖에 필요한 사항에 대하여 제한을 하거나, 개인정보의 안전성 확보를 위하여 필요한 조치를 마련하도록 요청하여야 한다. 이 경우 요청을 받은 자는 개인정보의 안전성 확보를 위하여 필요한 조치를 하여야 한다(제18조제5항).

그리고 개인정보처리자로부터 개인정보를 제공받은 자는 다음 어느 하나에 해당하는 경우를 제외하고는 개인정보를 제공받은 목적 외의 용도로 이용하거나 이를 제3자에게 제공하여서는 아니 된다(제19조).

1. 정보주체로부터 별도의 동의를 받은 경우

2. 다른 법률에 특별한 규정이 있는 경우

☞ 좀 더 알아 봅시다

□ 개인정보 제3자 제공 규제의 취지

정보주체의 개인정보가 원래 수집한 사업자가 아닌 제3자에게 제공될 경우 해당 정보주체(고객)의 권익 침해가능성이 매우 높아지므로, 관련 법률에서는 개인정보가 제3자에게 제공되는 경우에 대해 정보주체의 동의를 받도록 하는 등 엄격한 규제를 두고 있다.

따라서, 사업자가 개인정보를 제3자에게 제공할 때에는 정보주체가 개인정보 제공에 대한 사실을 명확히 인지하도록 하고, 개인정보 제공 여부를 정보주체 스스로 선택할 수 있도록 조치하여야 한다.

□ ‘제공’의 의미

개인정보를 ‘제공’한다는 것의 사전적 의미는 개인정보를 제3자에게 건네는 행위를 말한다. 그러나 법률상의 개인정보 ‘제공’이란 정보주체의 개인정보를 저장매체(디스크, 테이프, USB, 플래시메모리 등)에 담아 직접 건네는 행위, 네트워크를 통해 제공하는 행위, 개인정보 DB를 제3자가 열람·복사할 수 있도록 접근권한을 부여하는 행위, 종이문서 형태의 개인정보파일 또는 그 복사본을 건네는 행위, 개인정보 DB시스템을 제3자와 공유하여 사용하는 행위 등이 모두 포함됨을 주의하여야 한다.

관련 FAQ

Q. ‘제3자’란 구체적으로 누구를 말하나요?

A. ‘제3자’란 정보주체의 개인정보 수집·보유하고 있는 사업자와 그 사업자로부터 개인정보 취급을 위탁받은 사업자(수탁자), 그 사업자로부터 영업을 양수한 자(영업양수자)를 제외한 모든 자를 의미한다.

Q19. 경찰로부터 수사를 위해 회원의 개인정보 제출 협조 문서를 받아 본인의 동의 없이 고객정보를 수사기관에 제공해도 되나요?

A. 원칙적으로 사업자는 정보주체의 개인정보를 제3자에게 제공하기 위해서는 정보주체의 동의를 얻어야 하지만, 법률에 특별한 규정이 있는 경우에는 동의 없이 개인정보를 제공할 수 있다.

형사소송법, 통신비밀보호법, 전기통신사업법 등은 검찰·경찰 등 수사기관에서 수사목적을 위해 정당한 법적 절차를 거쳐 요구하는 경우 관련 자료를 제출할 수 있도록 규정하고 있으므로, 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고는 정보주체의 동의 없이 개인정보 제공이 허용된다(제18조제2항).

그러나 범죄수사를 위해 관련 법률에 따라 개인정보를 제공하는 경우에도 수사에 필요한 최소한의 범위 개인정보를 제공해야 한다.

☞ 좀 더 알아 봅시다

정보주체의 동의 없이 개인정보를 제3자에게 제공하는 것은 원칙적으로 금지하고 있다. 다만 “다른 법률에 특별한 규정이 있는 경우”에는 동의 없이도 제공할 수 있다. 이는 공익을 달성하기 위한 목적으로 법률에 근거가 있는 개인정보 제공은 정보주체의 개인정보 자기결정권보다 우위에 있다고 인정하고 있는 것이다.

형사소송법은 수사기관이 수사 목적으로 필요한 조사를 할 수 있고(제199조제1항), 공무소 기타 공사단체에 조회하여 필요한 사항의 보고를 요구(제199조제2항)할 수 있도록 규정하고 있다. 따라서 수사기관이 정당한 수사목적을 위해 개인정보 제출을 요구하였다면 그 상대방은 특별한 사정이 없는 한 관련 자료를 제출해야 한다. 다만 회원 DB 전체의 제출을 요구하는 등 과도한 개인정보 요구에 대해서는 그 제출이유 및 근거 등을 수사기관에 확인해야 한다.

관련 FAQ

Q. 통신비밀보호법에 따르면 수사기관만 접속 로그기록 등의 통신사실 확인자료를 제공할 수 있도록 규정하고 있는데, 그렇다면 정보주체 본인에게도 제공하면 안되는가요?

A. 통신비밀보호법은 누구든지 동 법과 형사소송법 또는 군사법원법의 규정에 의하지 아니하고는 통신사실확인자료를 제공할 수 없도록 규정하고 있다(제3조1항). 따라서, 정보주체 본인이 통신사실확인자료 제공을 요구하는 경우에도 통신비밀보호법에 따른 제공근거가 없으므로 제공해서는 안된다는 견해가 있다.

그러나 통신비밀보호법은 수사기관에 대한 개인정보 제공의 요건과 절차를 규정한 법률이며, 정보주체는 자신의 개인정보에 대한 열람을 요구할 수 있으므로, 통신비밀보호법에 따른 통신사실확인자료 제공 제한은 정보주체 본인에게는 적용되지 않는다. 즉, 정보주체는 자신의 접속로그 기록 등을 사업자에게 요구하여 제공받을 수 있다.

Q20. 개인정보 처리업무를 제3자에게 위탁할 때 지켜야 할 사항은 무엇인가요?

A. 개인정보보호법에서는 개인정보처리자가 제3자에게 개인정보의 처리 업무를 위탁하는 경우에는 다음 각 호의 내용이 포함된 문서에 의하여야 한다고 규정하고 있다(제26조제1항).

1. 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항

2. 개인정보의 기술적·관리적 보호조치에 관한 사항

3. 그 밖에 개인정보의 안전한 관리를 위하여 대통령령으로 정한 사항

제1항에 따라 개인정보의 처리 업무를 위탁하는 개인정보처리자(이하 ‘위탁자’라 한다)는 위탁하는 업무의 내용과 개인정보 처리 업무를 위탁받아 처리하는 자(이하 ‘수탁자’라 한다)를 정보주체가 언제든지 쉽게 확인할 수 있도록 대통령령으로 정하는 방법에 따라 공개하여야 한다(제26조제2항).

위탁자가 재화 또는 서비스를 홍보하거나 판매를 권유하는 업무를 위탁하는 경우에는 대통령령으로 정하는 방법에 따라 위탁하는 업무의 내용과 수탁자를 정보주체에게 알려야 한다. 위탁하는 업무의 내용이나 수탁자가 변경된 경우에도 또한 같다(제26조제3항).

위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 분실·도난·유출·변조 또는 훼손되지 아니하도록 수탁자를 교육하고, 처리 현황 점검 등 대통령령으로 정하는 바에 따라 수탁자가 개인정보를 안전하게 처리하는지를 감독하여야 한다(제26조제4항).

수탁자는 개인정보처리자로부터 위탁받은 해당 업무 범위를 초과하여 개인정보를 이용하거나 제3자에게 제공하여서는 아니 된다(제26조제5항).

수탁자가 위탁받은 업무와 관련하여 개인정보를 처리하는 과정에서 이 법을 위반하여 발생한 손해배상책임에 대하여는 수탁자를 개인정보처리자의 소속 직원으로 본다(제26조제6항).

수탁자에 관하여는 개인정보보호법 제15조부터 제25조까지, 제27조부터 제31조까지, 제33조부터 제38조까지 및 제59조를 준용한다(제26조제7항).

☞ 좀 더 알아 봅시다

‘정보통신 이용촉진 및 정보보호 등에 관한 법률’에는 정보통신서비스 제공자와 그로부터 제24조의2제1항에 따라 이용자의 개인정보를 제공받은 자(이하 ‘정보통신서비스 제공자등’이라 한다)는 제3자에게 이용자의 개인정보를 수집·보관·처리·이용·제공·관리·파기 등(이하 ‘취급’이라 한다)을 할 수 있도록 업무를 위탁(이하 ‘개인정보 취급위탁’이라 한다)하는 경우에는 △개인정보 취급위탁을 받는 자(수탁자) △개인정보 취급위탁을 하는 업무의 내용의 사항 모두를 이용자에게 알리고 동의를 받아야 한다(제25조제1항)

반면, 개인정보보호법은 정보주체의 동의획득이 아니라 위탁업무의 내용과 수탁자를 정보주체가 쉽게 확인할 수 있게 하도록 함으로써 처리위탁 요건을 완화했다.

관련 FAQ - 1

Q. 여행사를 운영하면서 예약확인 및 고객 상담업무를 전문 콜센터에서 처리하고 있는데, 자사에서 진행하는 고객 대상 이벤트와 여행상품 홍보 업무도 해당 콜센터에서 모두 진행하려고 한다. 법률 상 문제가 없는 건가요?

A. 사업자가 제3자에게 개인정보의 수집, 보관 등 취급업무를 위탁하는 경우에는 수탁자 및 취급위탁을 하는 업무의 내용을 고지하고 정보주체의 동의를 받아야 한다.

다만, 서비스 제공계약의 이행을 위해 필요한 경우에는 위의 고지·동의절차를 거치지 않고, 수탁자 및 취급위탁을 받는 업무의 내용을 개인정보 취급방침에 공개하거나 정보주체에게 통지하여, 이를 대신할 수 있다.

질의와 같이 본래의 서비스 이행을 위한 취급위탁 업무가 아닌 별도의 이벤트, 홍보 등의 업무를 위탁하기 위해서는 정보주체의 별도 동의를 받아야 한다.

관련 FAQ - 2

Q. 요금고지서를 우편 DM으로 발송하는 업무를 외부 업체에 위탁하려 하는 경우에 고객이 우편 DM 발송의 위탁에 대해 동의하지 않는다면, 본사에서 일일이 직접 배송을 해야 하나요?

A. 요금고지서 DM 발송, 상담, A/S 등 ‘서비스 제공에 관한 계약을 이행하기 위해 필요한 개인정보 취급위탁’은 정보주체의 동의 없이도 가능하다.

이 경우 사업자는 위탁업무의 내용 및 수탁자를 개인정보 취급방침에 공개하거나 정보주체에 대해 통지해야 한다.

관련 FAQ - 3

Q. 병원과 의료정보 전달시스템 관리업체 간에 환자의 정보를 공유하는 것도 취급위탁에 따른 동의를 받아야 하나요?

A. 의료법 등에 따른 전자처방전, 전자의무기록 등의 공유·제공을 위해 관리업체를 활용하는 것은 ‘서비스 제공에 관한 계약을 이행하기 위해 필요한 개인정보 취급위탁’에 해당하므로 별도의 동의획득 없이 정보주체에 대한 공개·통지만으로 위탁이 가능하다.

관련 FAQ - 4

Q. 대리점 직원이 고객의 개인정보를 부정 이용해 고객에게 피해를 입혔다면, 대리점 직원의 행위에 대해 본사도 책임이 있는 건가요?

A. 위탁자(본사)는 수탁자(대리점)에 대해 법률의 개인정보보호 규정을 준수하도록 관리·감독할 의무가 있으며, 수탁자가 법령을 위반해 정보주체에게 손해를 발생시킨 경우에는 위탁자가 이에 대한 책임을 지도록 하고 있다.

따라서 대리점 직원의 행위에 대해서는 본사가 손해배상 책임을 부담한다.

관련 FAQ - 5

Q. 전화로 개인정보를 수집할 경우, 고지사항을 모두 알리고 동의를 받으려면 통화시간이 매우 길어질 수 있는데 이때 정보주체의 동의획득을 위한 다른 방법은 없을까요?

A. 법률은 인터넷 사이트, 서면, 전자우편, 전화 등 각각의 서비스 유형에 따른 동의획득 방법을 규정하고 있다.

전화로 개인정보 수집에 대한 동의를 얻고자 하는 경우에는, 동의 내용을 정보주체에게 알리고 구두로 동의를 얻거나, 또는 고지사항이 기재된 인터넷 주소 등을 안내하고 추후 구두로 동의를 얻는 방법을 이용할 수 있다.

Q21. 사업자는 ‘개인정보 처리방침’을 수립해서 이를 공개해야 한다고 하는데, 구체적으로 어떠한 내용을 담아야 하나요?

A. 사업자는 개인정보 처리방침을 정하고, 정보주체가 언제든지 쉽게 확인할 수 있도록 공개해야 한다. 개인정보보호법 제30조는 위와 같은 개인정보 처리방침의 수립 및 공개 내용을 규정하고 있다.

개인정보 처리방침에는 아래의 사항이 반드시 포함되어야 하며, 그 외에도 정보주체가 추가적으로 알아야 할 개인정보보호 관련 사항이 있다면 포함하여 공개해야 한다.

1. 개인정보의 처리 목적

2. 개인정보의 처리 및 보유 기간

3. 개인정보의 제3자 제공에 관한 사항(해당되는 경우에만 정한다)

4. 개인정보처리의 위탁에 관한 사항(해당되는 경우에만 정한다)

5. 정보주체의 권리·의무 및 그 행사방법에 관한 사항

6. 그 밖에 개인정보의 처리에 관하여 대통령령으로 정한 사항

특히 개인정보 처리방침의 내용과 개인정보처리자와 정보주체 간에 체결한 계약의 내용이 다른 경우에는 정보주체에게 유리한 것을 적용한다는 것을 사업자는 명심해야 한다(제30조제3항).

한편, 개인정보처리자가 동창회, 동호회 등 친목 도모를 위한 단체를 운영하기 위하여 개인정보를 처리하는 경우에는 적용하지 아니한다(제58조제3항).

☞ 좀 더 알아 봅시다

‘정보통신 이용촉진 및 정보보호 등에 관한 법률’은 제27조의2를 통해 개인정보 취급방침의 공개 내용을 규정하고 있다.

제1항에 따른 개인정보 취급방침에는 다음 각 호의 사항이 모두 포함되어야 한다(제27조의2제2항).

1. 개인정보의 수집·이용 목적, 수집하는 개인정보의 항목 및 수집방법

2. 개인정보를 제3자에게 제공하는 경우 제공받는 자의 성명(법인인 경우에는 법인의 명칭을 말한다), 제공받는 자의 이용 목적과 제공하는 개인정보의 항목

3. 개인정보의 보유 및 이용 기간, 개인정보의 파기절차 및 파기방법(제29조 각 호 외의 부분 단서에 따라 개인정보를 보존하여야 하는 경우에는 그 보존근거와 보존하는 개인정보 항목을 포함한다)

4. 개인정보 취급위탁을 하는 업무의 내용 및 수탁자(해당되는 경우에만 취급방침에 포함한다)

5. 이용자 및 법정대리인의 권리와 그 행사방법

6. 인터넷 접속정보파일 등 개인정보를 자동으로 수집하는 장치의 설치·운영 및 그 거부에 관한 사항

7. 개인정보 관리책임자의 성명 또는 개인정보보호 업무 및 관련 고충사항을 처리하는 부서의 명칭과 그 전화번호 등 연락처

□ 개인정보 취급방침의 공개 의무화

사업자의 개인정보 처리기준과 보호조치 등을 외부에 공개하도록 의무화함으로써, 정보주체(고객)는 그 사업자가 어떻게 개인정보를 처리하고 보호하는지를 쉽게 확인할 수 있으며, 자기 개인정보의 수집·이용·제공 여부를 판단할 수 있다. 또한, 사업자는 대외적으로 개인정보 처리의 투명성을 높이고 부족한 부분을 개선할 수 있도록 함으로써 자율적인 개인정보보호 노력을 장려할 수 있다.

□ 개인정보 취급방침 작성 시 유의점

개인정보 취급방침에 포함되는 사항은 그 사업자의 서비스 현황을 반영하여 최대한 구체적이고 정확하게 표현하여야 한다. 예를 들어, ‘개인정보의 수집·이용 목적’을 단순히 ‘서비스 제공’, ‘다양한 콘텐츠 제공’ 등과 같이 추상적이고 모호한 표현으로 기재하는 것은 바람직하지 않다.

또한, 개인정보 취급방침에 명시된 사항들은 그 사업자가 정보주체(고객)에게 동의를 받기 위해 알리는 사항들과 일치해야 한다. 예를 들어, 개인정보 취급방침에 기재된 ‘개인정보의 수집·이용 목적’은 개인정보 수집시 정보주체에게 알리고 동의를 받는 ‘개인정보의 수집·이용 목적’과 일치해야 한다.

아울러 개인정보 취급방침은 단순히 인터넷 웹사이트에서 개인정보 처리현황만을 다루는 것이 아니라, 그 사업자가 서비스를 제공하는 모든 영역에 있어서의 개인정보 처리기준을 명시·공개하는 것임을 유의해야 한다. 즉, 인터넷 웹사이트 외에 전화·서면 등을 통해서도 회원 가입을 받고 있다면, 개인정보 취급방침에도 ‘전화·서면을 통한 개인정보 수집과 관련한 사항’이 모두 명시돼 있어야 한다.

Q22. 내부 직원의 개인정보 유출을 방지하려면 어떻게 해야 하나요?

A. 사업자는 내부 직원 등에 의한 개인정보의 유출을 방지하기 위하여 내부 관리 계획 수립은 물론 접속기록 보관 등 안전성 확보에 필요한 조치를 해야 한다.

개인정보처리자는 개인정보가 분실·도난·유출·변조 또는 훼손되지 아니하도록 내부 관리 계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적·관리적 및 물리적 조치를 하여야 한다(제29조).

개인정보보호법 시행령(안) 제33조에서는 개인정보의 안전한 관리를 위해 개인정보처리자는 법 제29조에 따라 개인정보의 안전성 확보를 위하여 다음 각 호의 관리적 조치를 하여야 한다(동법 시행령안 제33조제1항).

1. 개인정보의 안전한 처리를 위한 내부관리계획의 수립 및 시행

2. 개인정보를 직접 처리하는 소속직원·수탁자 등에 대한 교육계획 수립 및 실시

3. 내부관리계획에 따른 정기적인 자체 감사의 실시

특히 제2항에서는 개인정보의 안전성 확보를 위해 다음 각 호의 기술적 조치를 해야 한다고 규정하고 있다.

1. 개인정보에 대한 접근 권한의 제한 및 관리 조치

2. 개인정보에 대한 접근 권한을 확인하기 위한 식별 및 인증조치

3. 개인정보에 대한 권한없는 접근을 차단하기 위한 시스템의 설치 등 조치

4. 개인정보가 안전하게 저장·전송될 수 있도록 하기 위한 암호화 등 조치

5. 접속기록의 보관 및 위조·변조 방지를 위한 조치

6. 보안프로그램의 설치 및 주기적인 갱신·점검 조치

그리고 개인정보처리자는 법 제29조에 따라 개인정보의 안전한 보관을 위한 출입통제·잠금장치 등 물리적 조치를 하여야 한다(동법 시행령안 제33조제3항).

☞ 좀 더 알아 봅시다

□ 접속기록 위·변조 방지조치 취지

개인정보의 대량 유출사고는 해킹과 같은 외부의 공격으로 발생하는 경우도 있으나, 내부의 직원(본사 직원, 대리점·영업점 직원 등)에 의해 유출되는 경우도 상당수 발생하고 있다.

그러나 만일 내부 직원의 개인정보처리시스템 접속 현황에 대한 기록이 없거나 위·변조되었다면, 실제 내부 직원에 의한 개인정보 유출이 발생했다 하더라도 유출사고의 원인조차 파악할 수 없게 된다.

따라서 개인정보처리시스템의 접속기록을 보존하고 해당 접속기록이 위·변조되지 않도록 관리하는 것은 내부 직원에 의한 악의적인 접근·유출시도를 예방하고, 사고 발생시 사고원인을 파악할 수 있는 중요한 수단이 된다. 이러한 취지에서 법률은 개인정보처리시스템에 대한 접속기록을 보존하고 위·변조 되지 않도록 조치를 취할 것을 규정하고 있다.

□ 접속기록 위·변조 방지조치 세부 내용

사업자는 개인정보 취급자(직원 등)가 개인정보처리시스템에 접속한 기록을 최소 6개월 이상 보존·관리해야 하며, 월 1회 이상 정기적으로 확인·감독하여야 한다.

접속기록의 항목에는 개인정보 취급자의 식별정보, 정보주체(고객)의 식별정보, 접속일시, 접속지, 수행업무 등이 포함되어야 한다.

관련 FAQ

Q. 규모가 작은 중소기업도 꼭 암호화를 해야 하나요?

A. 회원수도 많지 않고 보유하고 있는 개인정보도 성명, ID, 비밀번호, 주민등록번호, 주소 등 비교적 단순한 경우라 할지라도 사업자는 개인정보를 안전하게 저장·전송하기 위하여 암호화 기술 등을 이용한 보안조치를 위하여야 한다.

Q23. 고객의 개인정보가 유출됐는데, 어떻게 해야 하나요?

A. 개인정보보호법은 개인정보처리자는 개인정보가 유출되었음을 알게 되었을 때에는 지체 없이 해당 정보주체에게 알려야 한다고 규정하고 있으며(제34조제1항), 정보주체에게 알려야 하는 내용은 다음 각 호와 같다.

1. 유출된 개인정보의 항목

2. 유출된 시점과 그 경위

3. 유출로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보

4. 개인정보처리자의 대응조치 및 피해 구제절차

5. 정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처

또한 개인정보처리자는 개인정보가 유출된 경우 그 피해를 최소화하기 위한 대책을 마련하고 필요한 조치를 해야 한다(제34조제2항).

개인정보처리자는 대통령령으로 정한 규모 이상의 개인정보가 유출된 경우에는 제1항에 따른 통지 및 제2항에 따른 조치 결과를 지체 없이 행정안전부장관 또는 대통령령으로 정하는 전문기관에 신고하여야 한다. 이 경우 행정안전부장관 또는 대통령령으로 정하는 전문기관은 피해 확산방지, 피해 복구 등을 위한 기술을 지원할 수 있다(제34조제3항).

관련 FAQ - 1

Q. 개인정보 유출 신고의 범위는?

A. 개인정보보호법 시행령(안) 제42조에서는 법 제34조제3항에서 ‘대통령령으로 정한 규모’란 1만명의 정보주체에 관한 개인정보를 말한다(제42조제1항)고 규정하고 있다.

또한 법 제34조제3항에 ‘대통령령이 정하는 전문기관’으로 한국정보화진흥원, 한국인터넷진흥원으로 규정하고 있다(제42조제2항).

관련 FAQ - 2

Q. 그렇다면 개인정보 유출 통지 방법 및 절차는?

A. 개인정보보호법 시행령(안) 제43조에서 이를 규정하고 있다.

개인정보처리자는 개인정보 유출이 발생한 사실을 안 때에는 서면·전자우편·모사전송·전화·휴대전화 문자전송 또는 이와 유사한 방법을 통하여 지체 없이 법 제32조제1항 각 호의 사항을 정보주체에게 알려야 한다. 다만, 개인정보의 유출 확산 방지를 위하여 접속경로의 차단, 취약점 점검·보완, 유출된 개인정보의 삭제 등 긴급한 대응조치가 필요한 경우에는 해당 조치를 취한 후 지체 없이 정보주체에게 알릴 수 있다(제43조제1항).

제1항에도 불구하고 개인정보처리자는 개인정보의 유출사실을 알았거나 긴급한 대응조치를 취한 후에 법 제32조제1항 각 호의 사항을 확인하지 못한 경우에는 정보주체에게 유출이 발생한 사실 및 법 제32조제1항 각 호 중에서 확인된 사항만을 일차적으로 알리고 추후 확인되는 즉시 추가적으로 알릴 수 있다(제43조제2항).

개인정보처리자는 법 제34조제3항에 따른 신고대상이 되는 경우 제1항에 따라 법 제32조제1항 각 호의 사항을 정보주체에게 알리는 것과 동시에 인터넷 홈페이지의 첫 화면에 별도의 창과 고객센터, 공지사항 등 정보주체가 알아보기 쉬운 위치에 최소 30일 이상 게시하여야 한다. 다만, 인터넷 홈페이지를 운영하지 않는 개인정보처리자의 경우에는 점포·영업소·사무소·사업장 등의 보기 쉬운 장소에 게시하여야 한다(제43조제3항).