[월:] 2018년 11월

● (개보법) 개인정보의 안전성 확보조치 기준

– 제5조(접근 권한의 관리)

① 개인정보처리자는 개인정보처리시스템에 대한 접근 권한을 업무 수행에 필요한 최소한의 범위로 업무 담당자에 따라 차등 부여하여야 한다.

② 개인정보처리자는 전보 또는 퇴직 등 인사이동이 발생하여 개인정보취급자가 변경되었을 경우 지체없이 개인정보처리시스템의 접근 권한을 변경 또는 말소하여야 한다.

③ 개인정보처리자는 제1항 및 제2항에 의한 권한 부여, 변경 또는 말소에 대한 내역을 기록하고, 그 기록을 최소 3년간 보관하여야 한다.

④ 개인정보처리자는 개인정보처리시스템에 접속할 수 있는 사용자계정을 발급하는 경우 개인정보취급자 별로 사용자계정을 발급하여야 하며, 다른 개인정보취급자와 공유되지 않도록 하여야 한다.

⑤ 개인정보처리자는 개인정보취급자 또는 정보주체가 안전한 비밀번호를 설정하여 이행할 수 있도록 비밀번호 작성규칙을 수립하여 적용하여야 한다.

⑥개인정보처리자는 권한 있는 개인정보취급자만이 개인정보처리시스템에 접근할 수 있도록 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력한 경우 개인정보처리시스템에 대한 접근을 제한하는 등 필요한 기술적 조치를 하여야 한다

– 제6조(접근통제)

① 개인정보처리자는 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 다음 각 호의 기능을 포함한 조치를 하여야 한다.

1. 개인정보처리시스템에 대한 접속 권한을 IP(Internet Protocol) 주소 등으로 제한하여 인가받지 않은 접근을 제한
2. 개인정보처리시스템에 접속한 IP (Internet Protocol)주소 등을 분석하여 불법적인 개인정보 유출 시도 탐지 및 대응

② 개인정보처리자는 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우 가상사설망(VPN : Virtual Private Network) 또는 전용선 등 안전한 접속수단을 적용하거나 안전한 인증수단을 적용하여야 한다.

③ 개인정보처리자는 취급중인 개인정보가 인터넷 홈페이지, P2P, 공유설정, 공개된 무선망 이용 등을 통하여 열람권한이 없는 자에게 공개되거나 유출되지 않도록 개인정보처리시스템, 업무용 컴퓨터, 모바일 기기 및 관리용 단말기 등에 접근 통제 등에 관한 조치를 하여야 한다.

④ 고유식별정보를 처리하는 개인정보처리자는 인터넷 홈페이지를 통해 고유식별정보가 유출·변조·훼손되지 않도록 연 1회 이상 취약점을 점검하고 필요한 보완 조치를 하여야 한다.

⑤개인정보처리자는 개인정보처리시스템에 대한 불법적인 접근 및 침해사고 방지를 위하여 개인정보취급자가 일정시간 이상 업무처리를 하지 않는 경우에는 자동으로 시스템 접속이 차단되도록 하여야 한다.

⑥ 개인정보처리자가 별도의 개인정보처리시스템을 이용하지 아니하고 업무용 컴퓨터 또는 모바일 기기를 이용하여 개인정보를 처리하는 경우에는 제1항을 적용하지 아니할 수 있으며, 이 경우 업무용 컴퓨터 또는 모바일 기기의 운영체제(OS : Operating System)나 보안프로그램 등에서 제공하는 접근 통제 기능을 이용할 수 있다.

⑦ 개인정보처리자는 업무용 모바일 기기의 분실·도난 등으로 개인정보가 유출되지 않도록 해당 모바일 기기에 비밀번호 설정 등의 보호조치를 하여야 한다.

⑧ [별표]의 유형1에 해당하는 개인정보처리자는 제2항, 제4항부터 제5항까지의 조치를 아니할 수 있다.

● (정통망법) 개인정보의 기술적·관리적 보호조치 기준

– 제4조(접근통제)

① 정보통신서비스 제공자등은 개인정보처리시스템에 대한 접근권한을 서비스 제공을 위하여 필요한 개인정보관리책임자 또는 개인정보취급자에게만 부여한다.

② 정보통신서비스 제공자등은 전보 또는 퇴직 등 인사이동이 발생하여 개인정보취급자가 변경되었을 경우 지체 없이 개인정보처리시스템의 접근권한을 변경 또는 말소한다.

③ 정보통신서비스 제공자등은 제1항 및 제2항에 의한 권한 부여, 변경 또는 말소에 대한 내역을 기록하고, 그 기록을 최소 5년간 보관한다.

④ 정보통신서비스 제공자등은 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속이 필요한 경우에는 안전한 인증 수단을 적용하여야 한다.

⑤ 정보통신서비스 제공자등은 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 다음 각 호의 기능을 포함한 시스템을 설치·운영하여야 한다.

1. 개인정보처리시스템에 대한 접속 권한을 IP주소 등으로 제한하여 인가받지 않은 접근을 제한
2. 개인정보처리시스템에 접속한 IP주소 등을 재분석하여 불법적인 개인정보 유출 시도를 탐지

⑥ 전년도 말 기준 직전 3개월간 그 개인정보가 저장·관리되고 있는 이용자 수가 일일평균 100만명 이상이거나 정보통신서비스 부문 전년도(법인인 경우에는 전 사업연도를 말한다) 매출액이 100억원 이상인 정보통신서비스 제공자등은 개인정보처리시스템에서 개인정보를 다운로드 또는 파기할 수 있거나 개인정보처리시스템에 대한 접근권한을 설정할 수 있는 개인정보취급자의 컴퓨터 등을 물리적 또는 논리적으로 망분리하여야 한다.

⑦ 정보통신서비스 제공자등은 이용자가 안전한 비밀번호를 이용할 수 있도록 비밀번호 작성규칙을 수립하고, 이행한다.

⑧ 정보통신서비스 제공자등은 개인정보취급자를 대상으로 다음 각 호의 사항을 포함하는 비밀번호 작성규칙을 수립하고, 이를 적용·운용하여야 한다.

1. 영문, 숫자, 특수문자 중 2종류 이상을 조합하여 최소 10자리 이상 또는 3종류 이상을 조합하여 최소 8자리 이상의 길이로 구성
2. 연속적인 숫자나 생일, 전화번호 등 추측하기 쉬운 개인정보 및 아이디와 비슷한 비밀번호는 사용하지 않는 것을 권고
3. 비밀번호에 유효기간을 설정하여 반기별 1회 이상 변경

⑨ 정보통신서비스 제공자등은 취급중인 개인정보가 인터넷 홈페이지, P2P, 공유설정 등을 통하여 열람권한이 없는 자에게 공개되거나 외부에 유출되지 않도록 개인정보처리시스템 및 개인정보취급자의 컴퓨터와 모바일 기기에 조치를 취하여야 한다.

⑩ 정보통신서비스 제공자등은 개인정보처리시스템에 대한 개인정보취급자의 접속이 필요한 시간 동안만 최대 접속시간 제한 등의 조치를 취하여야 한다.

개인정보보호법의 일원화된 운용을 위해 공공/민간분야의 운용체계를 아래와 같이 일원화하여 운영하고 있다.

보호위원회(심의/의결) – 행정안전부(총괄 집행) – 부처(소관 집행)

※ 예외적 적용사항
– 헌법기관(국회/법원/헌재/선관위):기본계획 및 시행계획의 수립시행 권한
– 방통위, 과학기술정보통신부: 정보통신분야에서의 개인정보보호관련 집행
– 금감위:  금융/신용 분야의 개인정보보호관련 집행

2016년 7월 25일 시행된 개정법에 의해 개인정보보호위원회의 총괄조정이 강화되어 개인정보보호위원회가 개인정보 침해요인 평가, 기본계획 수립·자료제출 진술요구권한과 분쟁조정위원회의 위원 임명(위촉)권한을 갖게 됨

■ 개인정보보호위원회

개인정보보호위원회는 법이 정하는 개인정보보호에 관한 사항을 심의·의결하기 위하여 대통령소속으로 설립된 독립적인 감독기구로 법 제 7조가 정한바에 따라 그 권한에 속하는 업무를 독립하여 심의·의결함

1. 개인정보보호위원회의 구성
– 대통령이 위촉한 위원장 1명 (공무원이 아닌 사람)
– 대통령이 임명하거나 위촉한 15명이내의 위원
(상임위원은 정무직 공무원으로 임명)
※ 위원장과 위원의 임기는 3년, 1차에 한하여 연임 가능
※ 위원장이 필요하다고 인정하거나 제적 위원 1/4이상의 요구가 있을 때 위원회가 소집되며 재적위원 과반수 출석과 출석위원 과반수 찬성으로 의결함

– 심의·의결사항에 대해 전문적으로 검토하기 위하여 분야별 전문위원회를 둘 수  있음
– 사무지원을 위해  사무국을 운영

2. 개인정보보호위원회의 주요 업무
– 기본·시행계획의 심의·의결
– 개인정보보호와 관련된 정책, 제도 개선, 권고 등에 대한 심의·의결
– 개인정보 오·남용 감시
– 이행실태 조사
– 공공기관 간의 의견조정
– 법령해석·운용에 대한 심의·의결
– 연차보고서의 작성·제출
– 영향평가결과에 대한 의견제시
– 개선방안 연구
– 개인정보 침해요인 평가
– 기본계획 수립·자료제출 진술요구 권한
– 분쟁조정위원회의 위원 임명(위촉) 권한

3. 개인정보보호 기본 계획의 수립
개인정보보호위원회는 개인정보 보호와 정보주체의 권익보장을 위해 3년마다 아래 내역이 포함된 개인정보 기본계획을 관계 중앙행정기관장과 협의하여 수립하고 있음

– 개인정보 보호의 기본목표와 추진방향
– 개인정보  호호와 관련된 제도 및 법령의 개선
– 개인정보 침해 방지를 위한 대책
– 개인정보 보호 자율규제의 활성화
– 개인정보 보호 교육·홍보의 활성화
– 개인정보 보호를 위한 전문인력의 양성
– 그밖의 개인정보 보호를 위하여 필요한 사항

※ 매년 12월 31일까지 차차년도 시행계획의 작성방법 등에 대한 지침을 마련하여 관계 중앙행정기관장에게 통보해야 함
※ 관계중앙행정기관장은 지침에 따라 기본계획중 차년도에 시행해야할 소관분야의 시행계획을 작성하여 매년 2월말까지 보호위원회에 제출해야 함
※ 보호위원회는 시행계획을 4월30일가지 심의·의결해야 함

■ 행정안전부

① 개인정보관리 수준 및 실태파악을 위한 조사를 실시할 수 있음
②  시행계획의 효율적인 수립,추진을 위해 자료제출이나 의견의 진술을 요구할 수  있음
– 개인정보처리자가  처리하는 개인정보 및 개인정보파일의 관리와 영상정보처리기기의 설치,운영에 관한  사항
– 개인정보 보호책임자의 지정여부에 관한  사항
– 개인정보의 안전성확보를 위한 기술적,관리적,물리적 조치에 관한  사항
– 정보주체의 열람, 개인정보의 정정·삭제·처리정비의 요구 및 조치현황에 관한 사항
– 그밖의 법령의 준수에 관한 사항 등 기본계획의 수립·추진을 위해 필요한 사항
③ 표준개인정보보호 지침을 정하여 개인정보처리자에게 준수를 요구할 수 있음
④ 개인정보처리자의 자율적인 개인정보보호활동을 촉진하고 지원하기 위해 다음의 필요한 시책을 마련해야 함
– 개인정보 보호에 관한 교육,홍보
– 개인정보 보호와 관련된 기관,단체의 육성 및 지원
– 개인정보 보호 인증마크의 도입,시행 지원
– 개인정보 처리자의 자율적인 규약의 제정, 시행 지원
⑤ 공공기관과 민간분야의 개인정보를 총괄 집행
⑥ 행정안전부의 주요 업무
– 표준개인정보보호지침의 제정
– 개인정보처리방침 작성지침의 제정,권고
– 개인정보열람창구 구축,운영
– 개인정보유출신고제도 운영
– 개인정보파일 등록 접수 및 현황 공개
– 자율규제 촉진 및 지원 시책
– 개인정보영향평가 관리,운영
– 법 위반행위 조사, 시정권고 및 명령, 과태료 부과

■ 기타 부처

각 소관부야의 개인정보처리와 관련된 개인정보 보호치침을 정하여 그 준수를 권장하고 개인정보 시행계획을 수립,시행함

※ 소관법률에 따라 소관분야의 개인정보처리실태 개선을 위한 권고 및 시정조치, 감독기능 수행
– 소관분야 법령등의 개선추지 평가
– 소관분야 자율규제 촉진 및 지원
– 법 위반행위 조사, 시정권고 및 명령, 과태료 부과

■ 개인정보 분쟁조정 위원회

개인정보보호위원회의 산하에 있으며 개인정보침해와 관련된 분쟁을 당사자 사이의 합리적이고 신속하게 해결하기 위한 기구로 심의를 통하여 손해배상을 결정하며 개인정보피해예방 활동, 법제도 개선 건의, 시정권고등을 통해 국민의 권리 보호 및 건전한 개인정보보호 이용환경 구축 등의 업무를 담당

■ 개인정보 침해신고 센터

개인정보침해와 관련된 신고접수와 상담을 수행하고 신고된 개인정보처리자의 법률위반 여부를 조사하여 후속조치 지원