개인정보의 안전성 확보조치 기준 해설서 (제2019-47호 / 2019-07-10)

제정·개정이유 : 제2019-47호(2019.6.7. 개정)

◇ 제·개정 이유 
 개인정보처리시스템의 접속기록에 대한 관리기준을 명확하게 하여 개인정보 유출 및 오·남용과 같은 개인정보 침해사고의 사전 예방과 사후추적 관리를 강화하고자 함
    
◇ 주요내용 

  가. 접속기록의 기록항목 구체화(제2조)
    - 접속기록에 기록하여야 하는 항목을 육하원칙에 따라 보다 구체적으로 명시하여 규정
    
  나. 접속기록 보관기간을 최소 1년 이상 보관하도록 차등적 연장(제8조제1항) 

    ※ 6개월 이상 → 모든 개인정보처리시스템은 1년 이상, 다만, 5만명 이상 개인정보를 처리하거나 고유식별정보나 민감정보를 처리하는 시스템은 2년 이상

  다. 접속기록 점검에 관한 사항 개선(제4조 및 제8조제2항)
    - 내부 관리계획 이행실태 점검에 접속기록에 관한 사항 포함
    - 접속기록 점검 주기 단축 : 반기별 1회 이상 → 월 1회 이상
    - 개인정보를 다운로드한 경우 그 사유를 반드시 확인(신설)

[참고] 개인정보의 안전성 확보조치 기준 개요

□ 목 적

o 개인정보처리자가 개인정보를 처리함에 있어서 개인정보가 분실 도난 유출 위조 변조 또는 훼손되지 아니하도록 안전성 확보에 필요한 기술적 관리적 및 물리적 안전조치에 관한 최소한의 기준을 정함

□ 법적 근거

o 개인정보보호법 제23조(민감정보의 처리 제한), 제24조(고유식별 정보의 처리 제한), 제29조(안전조치의무)
o 동법 시행령 제21조(고유식별정보의 안전성 확보 조치), 제30조(개인정보의 안전성 확보 조치)

과징금 부과 및 벌칙

o 2년 이하의 징역 또는 2천만원 이하의 벌금(법 제73조제1호)
o 3천만원 이하의 과태료(법 제75조제2항제6호)

□ 적용 대상

o 개인정보처리자
o 개인정보처리자로부터 개인정보를 제공받은 자
o 개인정보처리자로부터 개인정보 처리를 위탁받은 자(이하 ‘수탁자’, 준용)

□ 성 격
o 반드시 준수해야 하는 최소한의 기준

□ 주요 내용

o 내부 관리계획의 수립 시행
o 접근 권한의 관리
o 접근통제
o 개인정보의 암호화
o 접속기록의 보관 및 점검
o 악성프로그램 등 방지
o 관리용 단말기의 안전조치
o 물리적 안전조치
o 재해 재난 대비 안전조치
o 개인정보의 파기

☞ 첨부파일 : 개인정보의 안전성 확보조치 기준 해설서

컨설팅 : ISMS, ISO27001  GDPR,PCI-DSS 

취약점 진단 및 모의 침투

개인정보 비식별화 솔루션

보안솔루션 공급

070-7867-3721, ismsbok@gmail.com

개인정보 보호 기본계획(제3차 , 2018년부터 2020년까지) 개인정보보호위원회

 뉴딜코리아 홈페이지 | 뉴딜코리아
http://cafe.naver.com/rapid7/2725

개인정보보호위원회,「제3차 개인정보 보호 기본계획」발표
- 2018년부터 2020년까지의 개인정보 보호 기본방향 제시 -

□ 개인정보보호위원회(위원장 이홍섭)는 26일 제23차 전체회의를 열고, 2018년부터 2020년까지의 개인정보 보호 추진 방향 및 과제 등을 담은 제3차 개인정보보호 기본계획(이하 ‘기본계획’)을 심의‧의결하였다.


□ 기본계획은『개인정보보호법』에 따라 3년마다 수립*하는 중기계획으로, 

    * 3년이 시작되는 해의 전전년도 말까지 수립 (『개인정보 보호법 시행령』 제11조1항)

 ○ 개인정보 보호의 기본목표, 추진방향, 관련 제도 및 법령 개선, 침해방지 대책 등 중요 사항을 담고 있으며, 각 중앙행정기관*은 이 기본계획에 따라 연차별 시행계획을 수립·시행하게 된다.  
    * 연차별 시행계획 작성대상 : 총 47개 중앙행정기관 (17부 5처 16청, 6위원회, 국정원, 감사원, 국무총리실)

 ○ 제1차(‘12~’14년), 제2차(‘15~’17년) 기본계획까지는 행정자치부가 수립하고 보호위원회가 심의‧의결하였으나, 보호위원회의 총괄‧조정 기능을 강화하는 내용으로『개인정보보호법』이 개정(‘15.7월)됨에 따라 제3차 기본계획(‘18~’20년)부터는 보호위원회가 직접 수립하게 되었다.


□ 제1·2차 기본계획이 법‧제도‧조직 등 개인정보보호 추진 인프라 확충 및 역량강화를 강조한 반면, 

 ○ 이번 제3차 계획은 개인정보보호 체계를 고도화하고 유기적으로 작동할 수 있도록 함으로써, 급변하는 정책 환경에 능동적으로 대처하는 데 역점을 두었다고 보호위원회는 밝혔다.

《 참고 》 제1·2·3차 개인정보 보호 기본계획 비교

구 분	제1차 기본계획	제2차 기본계획	제3차 기본계획
대상시기	2012~2014년	2015~2017년	2018~2020년
수립주체	행정안전부	안전행정부	개인정보보호위원회 (개인정보보호법 개정)
비 전	개인의 존엄과 가치가 존중받는 선진 정보사회	좌동	개인의 존엄과 가치가 구현되는 지능정보사회
목 표	보호체계 정립, 보호 역량 강화, 침해 예방 및 대응 강화, 사회적 인식제고	거버넌스 구조 선진화, 보호‧관리체계 강화, 보호 실천문화 조성, 선순환 생태계 조성	이해관계자들의 능동적 개인정보 보호 활동 강화, 개인정보 보호 제도의 현실화 및 글로벌 수준 제고
주요 추진과제	법 체계 정비, 범정부 협의체 구축, 처리실태 점검, 침해예방 대책 수립, 홍보 강화 등	조직 내 전담체계 마련 및 역량 강화, 기술개발, 전문 인력 양성, 개인영상정보 보호·관리 체계 구축 등	Privacy by Design* 가이드라인 개발·보급, 지능정보사회 대응방안 마련, 영세사업자 지원 확대, 국제사회와의 글로벌 협력 강화 등

* Privacy by Design : 제품‧서비스 설계단계부터 개인정보 보호에 최적화되도록 설계

□ 이에 따라 보호위원회는 “개인의 존엄과 가치가 구현되는 지능정보사회”를 비전으로 설정하고, 4대 분야* 11개 과제를 선정하여 추진할 계획이다. 

    * 4대 분야 : 정보주체, 개인정보 처리자, 정부, 거버넌스

 ○ 주요 과제를 보면, 정보주체 부문에서는 개인정보 자기결정권을 실질적으로 보장하고 유사시 피해구제가 적절히 이루어질 수 있도록 관련 제도를 정비한다.

 ○ 개인정보 처리자 부문에서는 업종별로 자율규제를 활성화하고, 영세 사업자에 대한 기술적 보호조치 지원을 강화하며, 제품‧서비스 개발시 설계단계부터 개인정보 보호 최적화 설계(Privacy by Design)를 할 수 있도록 가이드라인을 개발‧보급한다. 

 ○ 정부 부문은 법‧제도 발전을 위한 개인정보 보호 실태조사를 확대하고, 관련 법령 간 정합성을 확보할 수 있도록 법체계를 정비하며, EU의 개인정보 보호 적정성 평가를 추진하는 등 글로벌 국제협력을 강화한다. 

 ○ 거버넌스 부문에서는 중앙정부-지자체 간 협력을 통해 취약분야에 대한 점검을 강화하고, 관계기관‧사업자 등과 공동으로 개인정보 유출‧노출에 대한 상시 모니터링을 확대하며, 지능정보사회에서의 개인정보 보호 방안에 대한 사회적 논의를 강화한다. 

「제3차 개인정보 보호 기본계획」 원문 : 개인정보보호위원회 홈페이지(www.pipc.go.kr) 참조

□ 이홍섭 개인정보보호위원회 위원장은 “지능정보사회로의 진화에 따라 개인정보 보호에 대한 관심이 날로 커져 가는 상황에서, 국민적 기대에 부응하는 기본계획을 마련하기 위해 노력했다”고 밝히고, “향후 각급 기관이 이에 따라 자체계획을 충실히 수립·시행해 나가도록 지원을 아끼지 않겠다”고 말했다.   



[참고] 제3차 개인정보보호 기본계획 수립경과 및 주요내용


□ 개인정보보호 기본계획 개요

  ❍ 수립배경 : 개인정보 처리원칙 등을 규정하고 개인정보에 대한 권리‧이익을 보장하기 위한『개인정보보호법』이 제정‧시행(‘11.9)됨에 따라 3개년 단위의 중기 기본계획 수립 시작  

  ❍ 관련근거 :『개인정보보호법』제9조*
     * 보호위원회는 개인정보의 보호와 정보주체의 권익 보장을 위하여 3년마다 개인정보 보호 기본계획을 관계 중앙행정기관의 장과 협의하여 수립한다. 

  ❍ 주요내용 : 기본목표, 추진방향, 관련 제도 및 법령 개선, 침해방지 대책, 자율규제 활성화, 교육‧홍보 활성화, 전문인력의 양성 등


□ 제3차 기본계획 수립 경과

  ❍ 기본계획 합동기획단 구성ㆍ운영(’16.2〜10월)
     * 학계‧법조계‧산업계 전문가, 관계부처 및 한국인터넷진흥원 등 참여
  ❍ 각 부처의 부문별 계획 검토ㆍ반영(’16.9〜10월)
  ❍ 공청회 개최, 전 중앙행정기관 및 전문가 의견 수렴(’16.10〜11월)


□ 제3차 기본계획의 방향 및 특징   ❍ 기본방향 : 개인정보보호 시스템을 보다 체계적으로 고도화하고, 급변하는 정책환경에 능동적으로 대처
    * 제1‧2차 기본계획 : 법‧제도‧조직 등 추진체계 정비 및 역량강화 등에 역점

 ❍ 주요 특징
   - 지능정보사회 진입에 따른 정책환경 및 수요변화 반영
   - 개인정보보호법 개정 및 정상화대책에 따른 제도개선 사항 반영
   - 정보주체 및 처리자의 적극적‧능동적 보호활동을 위한 추진과제 마련 등 


□ 제3차 기본계획의 비전 및 전략

□ 주요 추진 과제

분 야	세부 추진과제
정보주체	실질적인 권리 강화 및 보호 실천의 생활화
		① 개인정보 자기결정권 실질화 ② 개인정보 침해사고 상담 체계 및 피해구제 제도 고도화 ③ 정보주체의 권리와 책임의식 제고
개인정보처리자	자율적이고 책임 있는 개인정보 보호 활동 강화
		④ 자율적인 개인정보 보호 체계 강화 ⑤ 지능정보 기반의 개인정보 보호 및 산업 활성화 ⑥ 개인정보 보호 전문인력 양성 및 역량 강화
정부	규제의 현실화 및 글로벌 협력 강화
		⑦ 환경변화에 따른 제도 적용 현실성 제고 ⑧ 개인정보 보호 법령 간 정합성 확보 및 제도 선진화 ⑨ 글로벌 리더십 확보 및 협력 강화
거버넌스	신뢰 기반의 동반자적 상호협력 체계 정착
		⑩ 피해 방지 및 최소화를 위한 협력 강화 ⑪ 발전적 법·제도 개선을 위한 사회적 논의 강화

자세한 내용은 첨부 파일을 참조하시기 바랍니다.

업무상 일시적으로 알게 된 개인정보 유출도 유죄

 뉴딜코리아 홈페이지 | 뉴딜코리아
http://cafe.naver.com/rapid7/2689

업무상 일시적으로 알게 된 개인정보 유출도 유죄

대법 “'개인정보 유출' 아파트 경비원 유죄”…파기환송

아파트 동대표 해임투표 과정에서 아파트 관리소장이 해임에 찬성한 주민 명단을 유출한 것은 개인정보보호법 위반으로 처벌할 수 있다는 대법원 판결이 나왔다.

대법원 2부(주심 박상옥 대법관)는 개인정보보호법 위반 혐의로 기소된 서울의 한 아파트 전직 관리소장 정모씨(60)에게 무죄를 선고한 원심을 깨고 유죄 취지로 사건을 서울북부지법에 돌려보냈다고 22일 밝혔다.

재판부는 아파트 관리소장은 업무상 입주자들의 인적사항을 수집, 보관하고 있는 '개인정보처리자'로 볼 여지가 많고 설령 개인정보처리자가 아니라 해도 개인정보보호법은 정보유출 자체를 처벌하는 법률인 만큼 처벌대상이 된다는 취지다.

서울 노원구의 한 아파트 관리소장으로 근무하던 정씨는 2014년 2월 아파트 동대표 해임에 찬성한 주민 명단 등이 적힌 '동대표 해임동의서'를 보관하던 중 해임 요구 대상인 동대표에게 명단을 유출한 혐의로 기소됐다.

명단을 확보한 동대표 김모씨는 이를 근거로 자신을 해임하려한 사람들을 형사고소했다.

1.2심 법원은 "아파트 관리소장이 개인정보처리자에 해당한다고 볼 수 없다"며 "법률에서 정한 범죄구성요건에 해당하지 않는다"는 이유를 들어 무죄를 선고했다.


그러나 대법원은 "개인정보보호법은 업무상 알게 된 개인정보를 누설하거나 다른 사람에게 이용하도록 제공하는 행위를 처벌하는 것"이라며 '개인정보처리자'가 아니어도 처벌대상이 된다고 지적했다.

아울러 "개인정보처리자가 아니더라도 '개인정보를 처리했던 사람'도 처벌대상"이라며 "개인정보처리자 외의 사람에 의해 이뤄지는 개인정보 침해행위로 인한 폐해를 막아 사생활 보호 등 개인정보 보호법의 입법목적을 달성하려 한 것으로 볼 수 있다"고 판시했다.

특히 "아파트 관리소장은 효율적 관리업무를 위해 입주자들의 성명, 생년월일, 전화번호 등 개인정보를 수집한 뒤 동.호수 등 일정한 규칙에 따라 체계적으로 배열한 입주자카드 등 개인정보 집합물을 운용하고 있었을 것인 만큼 아파트 관리소장이 '개인정보처리자'에 해당한다고 볼 여지도 많았다"고 덧붙였다. 
​