보안운영관리/인프라/컨설팅 - 개인정보보호/정보통신망법

*화이트햇 스쿨 2기에서 이수한 이론교육 내용을 바탕으로 작성되었습니다.

 

1. 개인정보의 수집이용 동의 요건

 

개인정보의 수집

원칙: 개인정보를 수집, 이용하려면 정보 주체의 동의를 받아야 함

- 동의를 받을 때에는 개인정보 보호법 시행령 제 17조에 따른 조건과 방법을 준수하여야 함

예외: 개인정보 보호법 제 15조 제 1항 제 2호부터 제7호까지의 요건 중 어느 하나를 충족하는 경우 정보 주체의 동의 없이 수집, 이용 가능

- 동의 없이 처리할 수 있는 개인정보라는 입증 책임은 개인정보처리자가 부담

- 동의 없이 처리할 수 없는 개인정보에 대해서는 그 항목과 처리의 법적 근거를 정보 주체의 동의를 받아 처리하는 개인정보와 구분하여 개인정보처리방침에 명시하여 공개하거나 전자우편 등을 통해 정보 주체에게 알려야 함

 

개인정보의 수집 요건

동의란?	개인정보처리자가 개인정보를 수집 및 이용하는 것에 대한 정보주체의 자발적인 승낙의 의사표시
정보 주체에게 알려야 할 항목	1. 개인 정보의 수집 및 이용 목적 2. 수집하려는 개인 정보의 항목 3. 개인 정보의 보유 및 이용 기간 4. 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용
정보 주체로부터 동의를 받을 때 충족해야 될 점	1. 정보 주체의 자유로운 의사에 따라 동의 여부를 결정할 수 있을 것 2. 동의를 받으려는 내용이 구체적이고 명확할 것 3. 그 내용을 쉽게 읽고 이해할 수 있는 문구를 사용할 것 4. 동의 여부를 명확하게 표시할 수 있는 방법을 정보 주체에게 제공할 것
필수적 동의, 선택적 동의 구분 방법	- 개인 정보를 수집하는 경우에는 그 목적에 필요한 최소한의 개인 정보를 수집하여야 함 (필수적 동의로 동의를 받고 수집  및 이용 가능) - 목적에 필요한 최소한의 번위를 벗어난 개인정보는 선택적 동의로서 필수적 동의와 구분하여 동의를 받아야 함
정보 주체에게 동의를 받는 방법	1. 서면, 우편, 팩스 2. 전화 3. 전화 + 인터넷 4. 인터넷 5. 이메일 6. 그 밖에 위 규정에 따른 방법에 준하는 방법으로 동의 내용을 알리고 동의의 의사표시를 확인하는 방법
민감정보, 고유식별정보의 경우 별도 동의	- 민감정보, 고유식별정보의 경우 별도 동의를 받아야 함

 

- 공개된 정보의 경우 동의 없이 이용 가능한지

- 법률에 특별한 규정이 있는 경우(제15조 제1항 제2호)

- 법령상 의무를 준수하기 위해 불가피한 경우(제15조 제1항 제2호)

- 공공기관이 법령 등에서 정하는 소관업무 수행을 위해 불가피한 경우(제15조 제1항 제3호)

- 정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보 주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우(제15조 제1항 제4호)

- 명백히 정보 주체 또는 제3자의 급박한 생명 신체 재산의 이익을 위하여 필요하다고 인정되는 경우(제15조 제1항 제5호)

- 개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우(제15조 제1항 제6호)

- CF. 친목단체 운영을 위한 경우

 

민간정보, 고유식별정보, 주민등록번호의 수집

민감정보	정보주체로부터 민감정보 처리에 관한 별도의 동의를 받은 경우, 법령에서 민감정보의 처리를 요구하거나 허용하는 경우에만 처리 가능
고유식별정보(주민등록번호 제외)	정보주체로부터 고유식별정보 처리에 관한 별도의 동의를 받은 경우, 법령에서 구체적으로 고유식별정보의 처리를 요구하거나 허용하는 경우에만 처리 가능
주민등록번호	정보주체의 동의가 있어도 법적 근거가 없으면 처리 불가능 가능한 경우: 1. 법률 대통령령 국회규칙 대법원규칙 헌법재판소규칙 중앙선거관리위원회규칙 및 감사원규칙에서 구체적으로 주민등록번호의 처리를 요구하거나 허용한 경우 2. 정보주체 또는 제 3자의 급박한 생명, 신체, 재산의 이익을 위하여 명백히 필요하다고 인정되는 경우 3. 제1호 및 제2호에 준하여 주민등록번호 처리가 불가피한 경우로서 보호위원회가 고시로 정하는 경우에만 처리 가능

 

2. 개인정보의 제3자 제공 요건

 

개인정보의 '제3자 제공'과 '처리위탁'의 구분

- 개인정보 처리위탁: 개인정보처리자의 업무처리 범위 내에서 개인정보 처리가 행해지고 위탁자인 개인정보처리자의 관리 및 감독을 받음

제3자 제공: 제3자의 이익을 위해서 개인정보 처리가 행해지고 제3자가 자신의 책임 하에 개인정보를 처리하게 됨

 

개인정보의 제3자 제공

원칙	정보주체의 동의를 받아야 제공 가능함
예외	정보주체의 동의 없이 제공 가능한 경우 1. 개인정보 보호법 제15조 제1항 제2호, 제3호 및 제5호부터 제7호까지에 따라 개인정보를 수집한 목적 범위에서 개인정보를 제공하는 경우 2. 당초 수집 목적과 합리적으로 관련된 범위에서 정보주체에게 불이익이 발생하는지 여부, 암호화 등 안전성 확보에 필요한 조치를 하였는지 여부 등을 고려하여 대통령령으로 정하는 바에 따라 정보주체의 동의 없이 개인정보를 제공할 수 있음

 

수집사용 사유	정보주체 동의 없이 제3자 제공 가능 여부
법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우(2호)	정보주체 동의 없이 수집목적 범위 안에서 제공 가능
공공기관이 법령 등에서 정하는 소관 업무의 수행을 위하여 불가피한 경우(3호)	정보주체 동의 없이 수집목적 범위 안에서 제공 가능
정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우(4호)	정보주체로부터 제 3자 제공에 대한 별도의 동의 있어야 제공 가능
명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우(5호)	정보주체 동의 없이 수집목적 범위 안에서 제공 가능
개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우(6호)	정보주체 동의 없이 수집목적 범위 안에서 제공 가능
공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우(7호)	정보주체 동의 없이 수집목적 범위 안에서 제공 가능

 

3. 정보주체의 권리 보장

 

개인 정보 이용 및 제공 내역의 통지

통지 의무를 부담하는 개인정보처리자	1. 5만명 이상의 정보주체에 관하여 민감정보 또는 고유식별정보를 처리하는 자 2. 100만명 이상의 정보주체에 관하여 개인정보를 처리하는 자
통지 대상인 정보 주체	아래에 해당하지 않는 정보주체 1. 통지에 대한 거부 의사를 표시한 정보 주체 2. 개인정보처리자가 업무 수행을 위해 그에 소속된 임직원의 개인정보를 처리한 경우 해당 정보 주체 3. 개인정보처리자가 업무 수행을 위해 다른 공공기관, 법인, 단체의 임직원 또는 개인의 연락처 등의 개인 정보를 처리한 경우 해당 정보 주체 4. 법률에 특별한 규정이 있거나 법령 상 의무를 준수하기 위하여 이용 및 제공한 개인정보의 정보 주체 5. 공공기관이 법령 등에서 정하는 소관 업무의 수행을 위하여 이용 및 제공한 개인정보의 정보 주체
통지해야 하는 정보	1. 개인정보의 수집 및 이용 목적 및 수집한 개인정보의 항목 2. 개인정보를 제공받은 제3자와 그 제공 목적 및 제공한 개인정보의 항목
통지 주기	연 1회 이상
통지 방법	1. 서면, 전자 우편, 전화, 문자 전송 등 정보주체가 통지 내용을 쉽게 확인할 수 있는 방법 2. 재화 및 서비스를 제공하는 과정에서 정보 주체가 쉽게 알 수 있도록 알림창을 통해 제공하는 방법

 

열람요구권

열람요구권이란	정보주체가 개인정보처리자에게 자신의 개인정보에 대한 열람을 요구할 수 있는 권리
개인정보처리자의 의무	개인정보처리자는 열람 요구를 받았을 때 10일 이내에 열람할 수 있도록 하여야 함
정당한 거절 사유	1. 법률에 따라 열람이 금지되거나 제한되는 경우 2. 다른 사람의 생명, 신체를 해할 우려가 있거나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우 3. 공공기간이 업무를 수행할 때 중대한 지장을 초래하는 경우

 

정정/삭제권

정정/삭제권이란	열람요구권을 행사하여 개인정보를 열람한 정보주체가 개인정보처리자에게 자신의 개인정보에 대한 정정/삭제를 요구할 수 있는 권리
개인정보처리자의 의무	정정/삭제 요구를 받았을 때 지체 없이 정정/삭제 등을 한 후 결과를 정보주체에게 알려야함
삭제 방법	복구/재생되지 않도록 삭제해야 함

 

처리정지, 동의철회권

처리정지, 동의철회권	정보주체가 개인정보처리자에게 자신의 개인정보에 대한 처리정지를 요구하거나 철회할 수 있는 권리
개인정보처리자의 의무	- 처리정지 요구를 받은 경우: 지체 없이 처리를 정지해야 함 - 동의를 철회한 경우: 지체 없이 개인정보를 복구/재생되지 않도록 파기해야 함
거절 사유	1. 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우 2. 다른 사람의 생명, 신체를 해할 우려가 있거나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우 3. 공공기관이 개인정보를 처리하지 아니하면 다른 법률에서 정하는 소관 업무를 수행할 수 없는 경우

 

자동화된 결정에 대한 거부/설명요구권

- 완전히 자동화된 시스템으로 개인정보를 처리하여 이루어지는 결정이 자신의 권리 또는 의무에 중대한 영향을 미치는 경우 그 결정을 거부하거나 그 결정에 대하여 설명을 요구할 수 있는 권리

 

4. 영상정보처리기기 설치, 운영

 

'고정형'과 '이동형', '공개된 장소'와 '비공개 장소'

'고정형' 영상정보처리기기	일정한 공간에 설치되어 지속적 또는 주기적으로 사람 또는 사물의 영상 등을 촬영하거나 이를 유, 무선망을 통하여 전송하는 장치로서 폐쇄회로 텔레비전, 네트워크 카메라
'이동형' 영상정보처리기기	사람이 신체에 착용 또는 휴대하거나 이동 가능한 물체에 부착 또는 거치하여 사람 또는 사물의 영상 등을 촬영하거나 이를 유, 무선망을 통하여 전송하는 장치
공개된 장소	공원, 지하철, 주차장 등
비공개 장소	정보주체가 접근하거나 통행하는데 제한을 받는 장소

 

5. 개인정보의 안전성 확보조치

 

개인정보 처리자의 개인정보의 안전성 확보 조치 의무

개인정보처리자의 안전성 확보조치 의무	1. 내부 관리계획의 수립 및 시행 및 점검 의무 2. 접근 권한의 관리 의무 3. 접근 통제 의무
공공시스템 운영기관 등에 대한 추가적 안전성 확보조치 의무	1. 공공시스템운영기관의 안전조치 기준 적용 2. 공공시스템 운영기관의 내부 관리 계획의 수립 및 시행 3. 공공시스템운영기관의 접근 권한의 관리 4. 공공시스템운영기관의 접속기록의 보관 및 점검

 

접근 통제 의무

불법적인 접근 및 침해사고 방지를 위한 조치	- 개인정보처리시스템에 대한 접속 권한을 인터넷 프로토콜 주소 등으로 제한하여 인가받지 않은 접근을 제한(방화벽) - 개인정보처리리스템에 접속한 인터넷 프로토콜 주소 등을 분석하여 개인정보 유출 시도 탐지 및 대응
개인정보 접근통제 조치	- 불가피한 외부 접속 시 인증서, 보안 토큰, 일회용 비밀번호 등 안전한 인증수단을 적용하여야 함 - 개읹어보가 유출되지 않도록 웹 취약점 점검 수행 - 처리하는 개인정보가 인터넷 홈페이지,  P2P, 공유 설정 등을 통하여 권한이 없는 자에게 공개되거나 유출되지 않도록 개인정보처리시스템, 개인정보취급자의 컴퓨터 및 모바일 기기 등에 조치 - 개인정보취급자가 일정시간 이상 업무처리를 하지 않는 경우에는 자동으로 접속 차단 - 업무용 모바일 기기에 대한 비밀번호 설정 등의 보호 조치

 

접속 기록의 보관 및 점검 의무

접속기록 보관 의무(1년 이상)	- 개인정보취급자의 개인정보처리시스템 접속기록을 1년 이상 보관
접속기록 점검 의무(월 1회 이상)	- 개인정보의 오남용, 분실, 도난, 유출, 위조, 변조 또는 훼손 등에 대응하기 위하여 개인정보처리시스템의 접속기록 등을 월 1회 이상 점검하여야 함 - 개인정보의 다운로드가 확인된 경우 사유를 반드시 확인해야 함

 

악성프로그램 등 방지 의무

보안프로그램 설치, 운영 의무	악성프로그램 등을 방지 및 치료할 수 있는 보안 프로그램을 설치 및 운영하여야 하며, 아래 사항을 준수하여야 함
보안업데이트 실시 의무	아래의 경우 정당한 사유가 없는 한 즉시 이에 따른 업데이트 등을 실시하여야 함 - 악성프로그램 관련 경보가 발령된 경우 - 사용 중인 응용 프로그램이나 운영체제 소프트웨어의 제작업체에서 보안 업데이트 공지가 있는 경우

 

출력 및 복사시 안전 조치 의무, 개인정보 파기 의무

출력 및 복사 시 안전 조치	- 개인정보처리시스템에서 개인정보의 출력시 용도를 특정해야 함 - 용도에 따라 출력 항목을 최소화하여야 함 - 개인정보가 포함된 종이 인쇄물, 개인정보가 복사된 외부 저장매체 등 개인정보의 출력 및 복사물을 안전하게 관리하기 위해 필요한 안전조치를 하여야 함
개인정보 파기 방법	1. 완전파괴 2. 전용 소자 장비를 이용하여 삭제 3. 데이터가 복원되지 않도록 초기화 또는 덮어쓰기 수행

 

 

6. 개인정보 유출시 신고, 통지 의무

 

개인정보 유출 발생 시 개인정보처리자의 주요 의무

- 정보주체에 대한 통지 의무

- 신고 의무

- 피해 최소화 의무

 

정보주체에 대한 통지 의무

- 대상: 1명 이상의 개인정보가 유출된 경우 통지해야 함

- 통지 시점: 72시간 이내

- 통지 항목

  - 유출 등이 된 개인정보 항목

  - 유출 등이 된 시점과 그 경위

  - 유출 등으로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보 주체가 할 수 있는 방법 등에 관한 정보

  - 개인정보처리자의 대응조치 및 피해 구제절차

  - 정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당 부서 및 연락처 등을 알려야 함

 

개인정보 유출 시 피해 최소화 조치

해킹	-  시스템 분리/차단 조치 - 로그 등 증거자료 확보 - 유출 원인 분석 - 이용자 및 개인정보취급자 비밀번호 변경
내부자	- 유출 경로 확인 - 유출에 활용된 컴퓨터/USB/이메일/출력물 등 확보 - 취급자의 접근 권한 확인 - 비정상 접근 경로 차단 등
이메일	- 발송 이메일 즉시 회수, 수신자에게 오발송 메일 삭제 요청 - 첨부파일 서버를 따로 운영하는 경우 운영자에게 파일 삭제 요청
노출	- 검색엔진: 노출된 개인정보 삭제 요청, 로봇 배제 규칙 적용 - 시스템 오류: 소스코드, 서버 설정 등 원인 파악 및 수정 등 - 홈페이지 게시: 게시글 삭제, 첨부파일에서 개인정보 마스킹