개인정보의 안전성 확보조치 기준 해설서 (제2019-47호 / 2019-07-10)

제정·개정이유 : 제2019-47호(2019.6.7. 개정)

◇ 제·개정 이유 
 개인정보처리시스템의 접속기록에 대한 관리기준을 명확하게 하여 개인정보 유출 및 오·남용과 같은 개인정보 침해사고의 사전 예방과 사후추적 관리를 강화하고자 함
    
◇ 주요내용 

  가. 접속기록의 기록항목 구체화(제2조)
    - 접속기록에 기록하여야 하는 항목을 육하원칙에 따라 보다 구체적으로 명시하여 규정
    
  나. 접속기록 보관기간을 최소 1년 이상 보관하도록 차등적 연장(제8조제1항) 

    ※ 6개월 이상 → 모든 개인정보처리시스템은 1년 이상, 다만, 5만명 이상 개인정보를 처리하거나 고유식별정보나 민감정보를 처리하는 시스템은 2년 이상

  다. 접속기록 점검에 관한 사항 개선(제4조 및 제8조제2항)
    - 내부 관리계획 이행실태 점검에 접속기록에 관한 사항 포함
    - 접속기록 점검 주기 단축 : 반기별 1회 이상 → 월 1회 이상
    - 개인정보를 다운로드한 경우 그 사유를 반드시 확인(신설)

[참고] 개인정보의 안전성 확보조치 기준 개요

□ 목 적

o 개인정보처리자가 개인정보를 처리함에 있어서 개인정보가 분실 도난 유출 위조 변조 또는 훼손되지 아니하도록 안전성 확보에 필요한 기술적 관리적 및 물리적 안전조치에 관한 최소한의 기준을 정함

□ 법적 근거

o 개인정보보호법 제23조(민감정보의 처리 제한), 제24조(고유식별 정보의 처리 제한), 제29조(안전조치의무)
o 동법 시행령 제21조(고유식별정보의 안전성 확보 조치), 제30조(개인정보의 안전성 확보 조치)

과징금 부과 및 벌칙

o 2년 이하의 징역 또는 2천만원 이하의 벌금(법 제73조제1호)
o 3천만원 이하의 과태료(법 제75조제2항제6호)

□ 적용 대상

o 개인정보처리자
o 개인정보처리자로부터 개인정보를 제공받은 자
o 개인정보처리자로부터 개인정보 처리를 위탁받은 자(이하 ‘수탁자’, 준용)

□ 성 격
o 반드시 준수해야 하는 최소한의 기준

□ 주요 내용

o 내부 관리계획의 수립 시행
o 접근 권한의 관리
o 접근통제
o 개인정보의 암호화
o 접속기록의 보관 및 점검
o 악성프로그램 등 방지
o 관리용 단말기의 안전조치
o 물리적 안전조치
o 재해 재난 대비 안전조치
o 개인정보의 파기

☞ 첨부파일 : 개인정보의 안전성 확보조치 기준 해설서

컨설팅 : ISMS, ISO27001  GDPR,PCI-DSS 

취약점 진단 및 모의 침투

개인정보 비식별화 솔루션

보안솔루션 공급

070-7867-3721, ismsbok@gmail.com

개인정보 보호 소홀히 한 8개 기관 명단 공개
- 행정안전부, 개인정보보호법 위반 기관 행정처분 결과 발표 -

□ 행정안전부는「개인정보보호법」제66조에 따라 개인정보보호법을 위반한 8개 기관의 위반내용 및 처분내용을 27일 공표했다.

□ 이번 공표는 2019년 1월부터 2019년 3월까지 행정처분을 받은 91개 기관 중 ‘과태료 1천만원 이상’을 부과 받은 8개 기관을 선정, 개인정보보호위원회의 심의·의결을 거쳐 이루어졌다.

○ 주요위반사항은 제15조제2항 개인정보 수집‧이용(고지)위반으로 개인정보 수집‧이용 시 정보주체에게 알려야 하는 사항*을 알리지 않았고

* 개인정보 수집·이용목적, 수집항목, 개인정보의 보유·이용 기간, 동의 거부권·거부 시 불이익

- 개인정보취급자에 대한 접근권한, 접근통제, 접속기록 관련 준수사항을 지키지 않는 등 제29조 안전성확보조치 준수를 위반하였다.

□  이번 공표는 개인정보 수집‧동의획득 시 고지사항 준수와 개인정보 안전성 확보조치를 이행해야함을 강조하기 위함

[붙임] 개인정보 보호법 위반한 공표 내용

========================================

◆ A사 :

========================================

○ 공표사유 : 1회 과태료 부과 총 금액이 1천만 원 이상
○ 계 : 과태료 1,400만원
○ 처분일자 : 2019.2.27.

▷ 위반조항 : 제15조 제2항 (과태료 600만원)
 o 위반 내용 : 개인정보 수집‧이용(고지)위반
  - 개인정보의 수집‧이용 시 정보주체에게 알려야 하는 사항을 알리지 않음
  * 개인정보의 보유 및 이용 기간, 동의 거부 권리 및 거부 시 불이익 내용

▷ 위반조항 : 제17조 제2항 (과태료 600만원)
 o 위반 내용 : 개인정보의 제공(고지) 위반
 - 제3자 제공 및 국외 제3자 제공 시 정보주체에게 알려야 하는 사항을 알리지 않음
  * 개인정보를 제공받는 자, 개인정보의 보유 및 이용 기간, 동의 거부 권리 및 거부 시 불이익 내용

▷ 위반조항 : 제22조 제1항 (과태료 200만원)
 o 위반 내용 : 동의를 받는 방법(구분 동의) 위반 (과태료 200만원)
 - 국외 본사에 제공된다는 사실을 알리고 동의를 받고 있으나, ‘개인정보 수집․이용 동의’와 ‘개인정보 제공 동의’를 구분하여 받지 않음

========================================

◆ B사 :

========================================

○ 공표사유 : 1회 과태료 부과 총 금액이 1천만 원 이상
○ 계 : 과태료 1,300만원
○ 처분일자 : 2019.2.27.

▷ 위반조항 : 제15조 제2항 (과태료 600만원)
 o 위반 내용 : 개인정보 수집‧이용(고지)위반
 - 서비스센터 방문하여 AS신청 시 사용하는 ‘수리접수증’에 개인정보 입력 시 4가지 사항을 정보주체에게 알리지 않음
  * 개인정보의 수집·이용 목적, 수집하려는 개인정보의 항목, 개인정보의 보유 및 이용 기간, 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용

▷ 위반조항 : 제26조 제1항 (과태료 100만원)
 o 위반 내용 : 업무위탁에 따른 개인정보의 처리 제한(문서) 위반
 - 개인정보 처리 위탁계약 시 문서에 의하지 않음 * 총 8개업체중 2개 업체 계약서 미비

▷ 위반조항 : 제29조 (과태료 600만원)
 o 위반 내용 : 개인정보의 안전성 확보조치 위반
 - 접속기록 내 수행업무를 누락함

========================================

◆ C사 :

========================================

○ 공표사유 : 1회 과태료 부과 총 금액이 1천만 원 이상
○ 계 : 과태료 3,200만원
○ 처분일자 : 2019.2.27.

▷ 위반조항 : 제15조제2항 (과태료 600만원)
 o 위반 내용 : 개인정보 수집‧이용(고지)위반
 - 개인정보의 수집‧이용 시 정보주체에게 알려야 하는 사항을 알리지 않음
  * 개인정보의 보유 및 이용 기간, 동의 거부 권리 및 거부 시 불이익 내용

▷ 위반조항 : 제17조제2항 (과태료 600만원)
 o 위반 내용 : 개인정보의 제공(고지) 위반
 - 제3자 제공 및 국외 제3자 제공 시 정보주체에게 알려야 하는 사항을 알리지 않음
 * 개인정보를 제공받는 자, 개인정보의 보유 및 이용 기간, 동의 거부 권리 및 거부 시 불이익 내용

▷ 위반조항 : 제21조제1항 (과태료 900만원)
 o 위반 내용 : 개인정보 파기 미이행
 - 보유기간의 경과, 개인정보의 처리 목적 달성 등 그 개인정보가 불필요하게 되었을 때 지체 없이 그 개인정보를 파기하지 않음

▷ 위반조항 : 제26조제2항 (과태료 200만원)
 o 위반 내용 : 업무위탁에 따른 개인정보처리 제한(공개)위반
- 개인정보 처리를 위탁하면서 수탁자 및 업무내용을 공개하지 않음

▷ 위반조항 : 제29조 (과태료 900만원)
 o 위반 내용 : 개인정보의 안전성 확보조치 위반
 - 내부 관리계획의 필수 사항 일부 내용 누락
 - 외부에서 개인정보처리시스템에 접속할 경우 안전한 접속수단을 적용하거나 안전한 인증수단 미적용
 - 개인정보처리시스템의 접속기록을 반기별로 1회 이상 점검하지 않음

========================================

◆ D사 :

========================================

○ 공표사유 : 1회 과태료 부과 총 금액이 1천만 원 이상
○ 계 : 과태료 1,400만원
○ 처분일자 : 2019.2.27.

▷ 위반조항 : 제15조제2항 (과태료 600만원)
 o 위반 내용 : 개인정보 수집 이용(고지)위반
 - 개인정보의 수집‧이용 시 정보주체에게 알려야 하는 사항을 알리지 않음
  * 개인정보의 보유 및 이용 기간, 동의 거부 권리 및 거부 시 불이익 내용

▷ 위반조항 : 제26조제2항 (과태료 200만원)
 o 위반 내용 : 업무위탁에 따른 개인정보처리 제한(공개)위반
 - 개인정보 처리를 위탁하면서 수탁자 및 업무내용을 공개하지 않음

▷ 위반조항 : 제29조 (과태료 600만원)
 o 위반 내용 : 개인정보의 안전성 확보조치 위반
 - 비밀번호 작성규칙 실제 적용하지 않음
 - 개인정보취급자가 일정시간 이상 업무처리를 하지 않는 경우 자동으로 접속이 차단되는 기술적 조치를 취하지 않음 - 계정정보 또는 비밀번호를 일정횟수 이상 잘못 입력한 경우 개인정보처리시스템에 대한 접근을 제한하는 등 필요한 기술적 조치를 취하지 않음

========================================

◆ E사 :

========================================

○ 공표사유 : 1회 과태료 부과 총 금액이 1천만 원 이상
○ 계 : 과태료 1,200만원
○ 처분일자 : 2019.2.27.

▷ 위반조항 : 제24조제3항 (과태료 600만원)
 o 위반 내용 : 고유식별정보의 안전성확보조치 위반
 - 주민등록번호를 정보통신망을 통하여 송신 시 이를 암호화하지 않음

▷ 위반조항 : 제29조 (과태료 600만원)
 o 위반 내용 : 개인정보 안전성 확보조치 위반
 - 비밀번호 작성규칙 실제 적용하지 않음
 - 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력한 경우 개인정보처리시스템에 대한 접근을 제한하는 등 조치하지 않음
 - 비밀번호를 저장 시 일방향 암호화를 적용하지 않음
 - 개인정보취급자가 개인정보처리시스템에 접속한 기록을 6개월 이상 보관 및 관리하지 않음

========================================

◆ F사 :

========================================

○ 공표사유 : 1회 과태료 부과 총 금액이 1천만 원 이상
○ 계 : 과태료 1,200만원
○ 처분일자 : 2019.2.27.

▷ 위반조항 : 제24조제3항 (과태료 600만원)
 o 위반 내용 : 고유식별정보의 안전성확보조치 위반
- 주민등록번호를 정보통신망을 통해 송신시 암호화 적용하지 않음

▷ 위반조항 : 제29조 (과태료 600만원)
 o 위반 내용 : 개인정보 안전성 확보조치 위반
- 개인정보취급자의 접근권한 부여·변경·말소에 대한 내역을 기록 및 관리하지 않음
- 안전한 비밀번호 작성규칙은 수립하였으나 이를 적용하지 않음
- 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력한 경우 개인정보처리시스템에 대한 접근제한을 하지 않음
- 인터넷 홈페이지를 통해 고유식별정보를 처리함에도 연 1회 이상 취약점 점검을 실시하지 않음
- 정보통신망을 통해 비밀번호 송신 시 암호화 조치를 하지 않음
- 개인정보취급자가 개인정보처리시스템에 접속한 기록을 6개월 이상 보관 및 관리하지 않음

========================================

◆ G사 :

========================================

○ 공표사유 : 1회 과태료 부과 총 금액이 1천만 원 이상
○ 계 : 과태료 1,200만원
○ 처분일자 : 2019.2.27.

▷ 위반조항 : 제24조제2항 (과태료 600만원)
 o 위반 내용 : 주민등록번호 암호화 위반
- 주민등록번호 저장 시 암호화를 조치하지 않음

▷ 위반조항 : 제29조 (과태료 600만원)
 o 위반 내용 : 개인정보 안전성 확보조치 위반
- 인사이동이 발생하여 개인정보취급자가 변경되었을 경우 지체 없이 개인정보처리시스템의 접근 권한을 변경 또는 말소하지 않음
- 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우 안전한 접속수단을 적용 하거나 안전한 인증수단을 적용하지 않음
- 비밀번호를 저장하는 경우 복호화 되지 아니하도록 일방향 암호화하여 저장하지 않음
- 개인정보취급자가 개인정보처리시스템에 접속한 기록을 6개월 이상 보관·관리하지 않음

========================================

◆ H사 : (병원)

========================================

○ 공표사유 : 1회 과태료 부과 총 금액이 1천만 원 이상
○ 계 : 과태료 1,100만원
○ 처분일자 : 2019.2.27.

▷ 위반조항 : 제21조제1항 (과태료 300만원)
 o 위반 내용 : 개인정보 파기 미이행
 - 보유기간의 경과, 개인정보의 처리 목적 달성 등 그 개인정보가 불필요하게 되었을 때 지체 없이 그 개인정보를 파기하지 않음

▷ 위반조항 : 제26조제1항 (과태료 200만원)
 o 위반 내용 : 업무위탁에 따른 개인정보의 처리 제한(문서) 위반
 - 개인정보 처리 위탁계약 시 문서에 의하지 않음

▷ 위반조항 : 제29조 (과태료 600만원)
 o 위반 내용 : 개인정보 안전성 확보조치 위반
 - 개인정보보호책임자가 내부관리계획의 이행실태를 점검 관리하지 않음
 - 개인정보처리시스템에 대한 접근권한을 업무담당자에 따라 차등부여하지 않음 등

컨설팅 : ISMS, ISO27001  GDPR,PCI-DSS 

취약점 진단 및 모의 침투

개인정보 비식별화 솔루션

보안솔루션 공급
070-7867-3721, ismsbok@gmail.com

방통위, 개인정보 보호 법규위반 시정명령 (2019-06-12)

 뉴딜코리아 홈페이지

방송통신위원회
2019년 제28차 위원회 결과 (2019-06-12)

가. C사의 개인정보 보호 법규위반에 대한 시정조치에 관한 건

o C사가 배포한 ‘C*App 발신자 정보․차단 앱’에 대해 언론에서 개인정보 불법 유출 문제가 제기(2017.6.23.)되고, (사)녹색소비자연대전국협의회가 개인정보 유출 가능성을 신고(2017.6.27.)함에 따라 개인정보 취급‧운영 실태조사(‘17.7.28.~’19.1.25.) 결과,

- 정보통신망법 제22조 등 위반의 사실이 확인되어, 시정명령과 함께 90만원의 과징금과 1,000만원의 과태료를 부과하기로 의결함.

< 정보통신망법 위반 행정처분 내역 >

▷ 위반내용 : 

o 개인정보 수집 동의 위반(제22조)
  - 이용자의 개인정보를 수집하면서 명시적인 동의를 받지 않음
  - 시정명령
  - 과징금 : 90만원

o 이용자의 권리 등(제30조제6항)
  - 시정명령
  - 과태료 : 1,000만원

나. 개인정보 및 위치정보보호 관련 법규 위반사업자에 대한 시정조치에 관한 건

⦁ 2018년 국정감사 시 국회에서 H자동차(주), K자동차(주) 2개사에 대해 위치정보 및 운행정보 수집 등과 관련하여 문제를 제기함에 따라 개인정보 및 위치정보 취급ㆍ운영 실태를 조사(‘18.10.23.~’19.1.3.)한 결과

• 정보통신망법 제25조, 제30조 및 위치정보법 제18조, 제19조, 제24조의 위반 사실이 확인된 2개사에 대하여,
  - 과징금 2,380만원,
  - 과태료 2,840만원,
  - 위반행위의 중지 및 재발방지대책 수립 시정명령,
  - 시정명령 이행결과 제출 등 행정처분을 의결함.

< 위반 사업자 행정처분(안) >

■ H자동차(주)

▷ 위 반 내 용 :

o 개인정보의 처리위탁 (정보통신망법 &sect;25②, 시행령 &sect;10)

- ‘길안내’, ‘차량위치 공유’ 등 위치기반 커넥티비티 서비스를 위해 개인정보 및 위치정보를 위탁하고 있으나, 개인정보 처리방침에 공개하거나 전자우편‧서면‧모사전송‧전화 등을 통해 이용자에게 알리지 않음

o 이용자의 권리 (정보통신망법 &sect;30⑥)

- 이용자로부터 수집한 운행정보를 정기점검 리포트 또는 월간 리포트를 통해서 열람이 가능할 뿐, 이에 대한 삭제를 스마트폰 앱 또는 웹사이트 등에서 할 수 없고 XX링크 고객센터에 전화(18XX-0606) 또는 이메일(tmsmaster@hXXXX.com)로 요청하거나 서비스를 탈퇴하는 것 외에 다른 방법을 제공하지 않음

o 개인위치정보의 수집 (위치정보법 &sect;18①, 시행령 &sect;22)

 - UVO(유보) 서비스 이용자의 위치정보를 수집하면서 이용자에게 위치정보사업자 구분 및 ‘위치정보 수집사실 확인자료’의 보유근거 및 보유기간을 명시하지 않은 이용약관을 동의받음

o 개인위치정보주체의 권리 (위치정보법 &sect;24②)
- 이용자가 직접적으로 서비스를 “요청”하지 않는 경우에도 위치정보를 수집하고 있으나, 개인위치정보주체인 이용자가 개인위치정보의 수집, 이용 또는 제공의 일시적인 중지를 요구한 경우에 대한 기술적 수단을 갖추고 있지 않음

 ▷ 시정조치 : 
  o 시정명령
  o 과징금 : 2,190만원
  o 과태료 : 1,420만원

 ■ K자동차(주)

▷ 위 반 내 용 :

o 개인정보의 처리위탁 ( 정보통신망법 &sect;25②, 시행령 &sect;10 )
- 이용자에게 ‘UVO(유보)’서비스를 제공하기 위해 H자동차㈜에 개인정보 처리위탁을 하고 있으나, 개인정보 처리방침에 공개하거나 전자우편‧서면‧모사전송‧전화 등을 통해 이용자에게 알리지 않음

o 이용자의 권리 (정보통신망법 &sect;30⑥)

- 이용자로부터 수집한 운행정보를 정기점검 리포트 또는 월간 리포트를 통해서 열람이 가능할 뿐, 이에 대한 삭제를 스마트폰 앱 또는 웹사이트 등에서 할 수 없고 ‘UVO(유보)‘ 고객센터에 전화(18xx-2121) 또는 이메일(tmsmaster@kxx.com)로 요청하거나 서비스를 탈퇴하는 것 외에 다른 방법을 제공하지 않음

o 개인위치정보의 이용 또는 제공 (위치정보법 &sect;19①, 시행령 &sect;23)
- 이용자에게 위치정보사업자 구분 및 ‘위치정보 이용‧제공사실 확인자료*’의 보유근거 및 보유기간을 불명확하게 명시한 요약된 이용약관으로 동의받음

o 개인위치정보주체의 권리 (위치정보법 &sect;24②)
- 네비게이션에 교통상황을 표시하기 위해 이용자가 직접적으로 서비스를 “요청”하지 않는 경우에도 위치정보를 수집하고 있으나, 개인위치정보주체인 이용자가 개인위치정보의 수집, 이용 또는 제공의 일시적인 중지를 요구한 경우에 대한 기술적 수단을 갖추고 있지 않음

▷ 시정조치 : 
  o 시정명령
  o 과징금 : 190만원
  o 과태료 : 1,420만원

컨설팅 : ISMS, ISO27001  GDPR,PCI-DSS 

취약점 진단 및 모의 침투

개인정보 비식별화 솔루션

보안솔루션 공급
070-7867-3721, ismsbok@gmail.com

정보보호 관리체계(ISMS) 인증제도 설명회 발표자료 (2017. 04)

출처 : 뉴딜코리아 홈페이지

정보보호 관리체계(ISMS) 인증제도 설명회 발표자료

2017년 4월 27일 개최한 정보보호 관리체계(ISMS) 인증제도 설명회 발표자료를 게시합니다.
​
첨부파일 : 정보보호_관리체계(ISMS)_인증제도_설명회_발표자료

​

​

감사합니다. ( 뉴딜코리아 컨설팅 사업부)

​

스마트폰 앱 접근권한에 대한 이용자 동의권 강화(정보통신망법 개정, 2017.03.23 시행)

 뉴딜코리아 홈페이지 

정보통신망 이용촉진 및 정보보호 등에 관한 법률[시행 2017.3.23.] [법률 제14080호, 2016.3.22., 일부개정]

연번	조문	개정사항	위반시 처벌	시행일
1	제22조의2 신설 제76조제1항제1호 개정, 제1의2호 신설	스마트폰 앱 접근권한에 대한 이용자 동의권 강화	<3천만원 이하 과태료> 선택적 권한에 대해 미동의시 서비스 제공을 거부한 경우 접근권한에 대한 동의방법 마련 등 필요한 조치를 하지 않은 경우	'17.3.23
		스마트폰에 대한 접근권한 필요시 필수적 권한과 선택적 권한을 구분하여 이용자의 동의를 받도록 함 선택적 권한에 대해 미동의시 서비스 제공거부 금지

제4장 개인정보의 보호   제1절 개인정보의 수집·이용 및 제공 등

제22조(개인정보의 수집·이용 동의 등)

① 정보통신서비스 제공자는 이용자의 개인정보를 이용하려고 수집하는 경우에는 다음 각 호의 모든 사항을 이용자에게 알리고 동의를 받아야 한다. 다음 각 호의 어느 하나의 사항을 변경하려는 경우에도 또한 같다.
1. 개인정보의 수집·이용 목적
2. 수집하는 개인정보의 항목
3. 개인정보의 보유·이용 기간

② 정보통신서비스 제공자는 다음 각 호의 어느 하나에 해당하는 경우에는 제1항에 따른 동의 없이 이용자의 개인정보를 수집·이용할 수 있다.
1. 정보통신서비스의 제공에 관한 계약을 이행하기 위하여 필요한 개인정보로서 경제적·기술적인 사유로 통상적인 동의를 받는 것이 뚜렷하게 곤란한 경우
2. 정보통신서비스의 제공에 따른 요금정산을 위하여 필요한 경우
3. 이 법 또는 다른 법률에 특별한 규정이 있는 경우
[전문개정 2008.6.13.]


제22조의2(접근권한에 대한 동의) <본조신설 2016.3.22. / 시행 2017.3.23.>

① 정보통신서비스 제공자는 해당 서비스를 제공하기 위하여 이용자의 이동통신단말장치 내에 저장되어 있는 정보 및 이동통신단말장치에 설치된 기능에 대하여 접근할 수 있는 권한(이하 "접근권한"이라 한다)이 필요한 경우 다음 각 호의 사항을 이용자가 명확하게 인지할 수 있도록 알리고 이용자의 동의를 받아야 한다.
1. 해당 서비스를 제공하기 위하여 반드시 필요한 접근권한인 경우
가. 접근권한이 필요한 정보 및 기능의 항목
나. 접근권한이 필요한 이유
2. 해당 서비스를 제공하기 위하여 반드시 필요한 접근권한이 아닌 경우
가. 접근권한이 필요한 정보 및 기능의 항목
나. 접근권한이 필요한 이유
다. 접근권한 허용에 대하여 동의하지 아니할 수 있다는 사실

② 정보통신서비스 제공자는 해당 서비스를 제공하기 위하여 반드시 필요하지 아니한 접근권한을 설정하는 데 이용자가 동의하지 아니한다는 이유로 이용자에게 해당 서비스의 제공을 거부하여서는 아니 된다.

③ 이동통신단말장치의 기본 운영체제(이동통신단말장치에서 소프트웨어를 실행할 수 있는 기반 환경을 말한다)를 제작하여 공급하는 자와 이동통신단말장치 제조업자 및 이동통신단말장치의 소프트웨어를 제작하여 공급하는 자는 정보통신서비스 제공자가 이동통신단말장치 내에 저장되어 있는 정보 및 이동통신단말장치에 설치된 기능에 접근하려는 경우 접근권한에 대한 이용자의 동의 및 철회방법을 마련하는 등 이용자 정보 보호에 필요한 조치를 하여야 한다.

④ 제1항에 따른 접근권한의 범위 및 동의의 방법, 제3항에 따른 이용자 정보 보호를 위하여 필요한 조치 및 그 밖에 필요한 사항은 대통령령으로 정한다.
[본조신설 2016.3.22.]


제76조(과태료)

① 다음 각 호의 어느 하나에 해당하는 자와 제7호부터 제11호까지의 경우에 해당하는 행위를 하도록한 자에게는 3천만원 이하의 과태료를 부과한다. <개정 2011.3.29., 2012.2.17., 2013.3.23., 2014.5.28.,2015.6.22., 2015.12.1., 2016.3.22.>

1. 제22조의2제2항 또는 제23조제3항(제67조에 따라 준용되는 경우를 포함한다)을 위반하여 서비스의 제공을 거부한 자

1의2. <본조신설 2016.3.22. / 시행 2017.3.23.>  제22조의2제3항(제67조에 따라 준용되는 경우를 포함한다)을 위반하여 접근권한에 대한 이용자의 동의 및 철회방법을 마련하는 등 이용자 정보 보호를 위하여 필요한 조치를 하지 아니한 자

- 이 상 -

⊙ 위 내용은 2017년 04월 03일 기준으로. 작성되었습니다
⊙ 법제처 국가법령정보센터(http://www.law.go.kr/main.html)를 통하여 최신 정보를 확인하시기 바랍니다

 

개인정보 보호법 개정안(중요한 내용에 대한 가독성을 높이도록 의무화, 2017.03.30)

 뉴딜코리아 홈페이지  

개인정보 보호법 개정안 국회 통과 (행정자치부,  2017.03.30)

행정자치부 개인정보 처리에 관하여 서면 동의서를 작성하는 경우 중요한 내용에 대한 가독성을 높이도록 의무화 하는 개인정보 보호법 개정안이 3월30일 국회를 통과하였다고 밝혔다.

최근 대형마트 경품 응모권 뒤의 작은 글씨 동의서가 적절한지에 대한 논란이 있었는데, 피고 측은 작은 글씨로 작성되어 있다고 해도 문제될 게 없다는 입장인 반면, 원고 측은 지나치게 작은 글씨로 작성된 동의서는 실질적인 동의권 행사를 방해한 것으로 보았다.

이번 법 개정은 이러한 논란을 입법적으로 해결하기 위한 것으로, 동의 사항을 명확하게 인지할 수 있도록 알리고 동의를 받아야 한다는 현행 규정을 강화하여 동의 사항 중 중요한 내용을 명확히 표시하도록 하여야 한다는 의견이 제기된데 따른 것이다.

행정자치부는 법 시행일에 맞추어(공포 후 6개월이 경과한 날) 개정법의 위임에 따른 대통령령과 행정자치부령을 마련할 계획이다. 우선, 대통령령에는 눈에 잘 띄도록 표시해야 할 중요한 사항을 규정하고, 행정자치부령에는 ⅰ) 밑줄·괄호 등의 기호, ⅱ) 색깔, ⅲ) 굵고 큰 문자 등을 통해 눈에 잘 띄도록 표시하는 방법을 정하게 된다.

행정자치부는 동의서 작성 예시와 잘못 작성한 사례를 만들어 배포하여 업계에서 법규 수범에 대한 어려움이 없도록 할 계획이다.

장영환 행정자치부 개인정보보호정책관은 “이번 법 개정은 국민이 개인정보 동의권을 행사하는데 실질적인 도움이 될 것이다”라며,“개정법을 위반하는 경우 1천만원 이하의 과태료가 부과될 수 있는 만큼 사업자 등이 철저히 준비하길 바란다.”고 하였다.

[첨부파일 ] 눈 뜨고 당하는 개인정보 동의서, 이젠 안통한다!

◈ 경품행사로 생각하고 동의했는데, 보험권유 전화가 오네요! # 마트에서 창립기념으로 해외여행 기회를 주는 경품행사를 한단다. 김씨는 가족여행을 꿈꾸며 응모권에 이름과 연락처를 술술 적고 동의서에 서명도 했다. 연락처가 없으면 응모할 수 없다는 큰 글자를 보고 당첨 시 연락받을 상상도 했다. 그러던 어느 날 낯선 번호로 보험 상품을 홍보한단다. 어디서 전화번호를 알았는지 물어보니 마트에서 경품권 응모 시 제공 동의를 했다고 한다. 동의서 내용도 많고 여행권 준다는 내용만 눈에 띄어 별생각 없이 동의해 준건데, 여행은 못가고 보험권유 전화만 받고 보니 짜증이 난다.  ◈ 저는 요새 노안이 와서 동의서 읽기가 너무 불편합니다. 개선 좀 해주세요! # 40대 후반 이씨는 요새 노안이 와서 작은 글씨는 대충 포기하고 살고 있다. 그런데 최근 휴대폰 구입 차 대리점에 가서 계약서를 쓸 때 개인정보 수집 동의서도 같이 작성했는데, 작은 글씨로 된 동의서를 읽기가 어려워 직원이 표시해 준 곳에 그냥 서명만 했다. 그러면서도 나 몰래 내 개인정보가 다른 곳에 이용되거나 제공되지 않을까 걱정이 된다.

□ 앞으로는 위 사례와 같이 개인정보 동의서의 중요한 내용을 제대로 읽지 못하고 동의하는 사례가 대폭 줄어들 전망이다. 개인정보의 수집 이용, 제공에 관한 동의서의 중요한 내용을 알아보기 쉽게 표시하도록 개인정보 보호법이 개정되었기 때문이다.

□ 행정자치부는 법 시행일에 맞추어(공포 후 6개월이 경과한 날) 개정법의 위임에 따른 대통령령과 행정자치부령을 마련할 계획이다.

○ 우선, 대통령령에는 눈에 잘 띄도록 표시해야 할 중요한 사항*을규정하고,
* ⅰ) 개인정보의 수집 이용 목적,
   ⅱ) 수집하려는 개인정보의 항목,
   ⅲ) 개인정보 이용 및 보유기간,
   ⅳ) 개인정보를 제3자에게 제공하려는 경우 제공받는 자 등

○ 행정자치부령에는
ⅰ) 밑줄 괄호 등의 기호,
ⅱ) 색깔,
 ⅲ) 굵고 큰 문자 등을 통해 눈에 잘 띄도록 표시하는 방법을 정하게 된다.

○ 행정자치부는 동의서 작성 예시와 잘못 작성한 사례를 만들어 배포하여 업계에서 법규 수범에 대한 어려움이 없도록 할 계획이다.

▣ 관련문의

 - 담당 : 개인정보보호정책과 정영수 (02-2100-4106)

대학과 대형학원의 허술한 개인정보 관리 바로 잡는다

카페 > 뉴딜코리아 홈페이지 | 뉴딜코리아
http://cafe.naver.com/rapid7/2420

대학과 대형학원의 허술한 개인정보 관리 바로 잡는다

개인정보 관리취약 교육기관 일제 현장점검 실시

담당 : 개인정보안전과 이왕진 (02-2100-3481)

작성일 : 2016-05-02 작성자 : 개인정보안전과

행정자치부(장관 홍윤식)는 전국의 대학과 대형 학원 및 온라인 교육업체 등의 개인정보 관리실태에 대한 현장점검을 5월 12일부터 5월 31일까지 3주간 실시한다. 

전국 400여개 대학은 학사, 입시, 평생교육 등 각종 업무시스템과 홈페이지에서 학생, 교직원, 일반인의 개인정보를 처리하고 있으며, 전국 7만 6천여개 학원은 수강생 및 학부모 등의 개인정보를 관리하고 있다.

대학의 경우 학사, 인사 시스템 등의 개인정보는 비교적 잘 관리되고 있으나, 어학교육원 등 부속기관, 학과 등의 업무관리시스템과 홈페이지의 개인정보 보호 수준이 미흡하다. 

학원 등 교육관련 업체의 경우에도 2015년 자율점검과 보완을 통해 어느 정도 개선되었지만, 아직 개인정보 수집과 학원 홍보를 위한 동의절차 및 개인정보의 안전성 확보 조치 등에서 취약한 실정이다.

이번 현장점검은 홈페이지 온라인 점검에서 위반사항이 발견된 대학이나 학원을 우선적으로 점검 대상에 포함하되, 개인정보 보유량이 많거나 지금까지 한 번도 현장점검을 받지 않은 대학이나 교육관련 업체도 점검대상으로 선정하였다.

검사방법은 대상 대학과 학원을 방문하여 자료 조사, 담당자 인터뷰, 시스템 접속검사 등을 통하여 이루어지며,

※ 주요 검사 항목은

① 개인정보 수집 및 홍보/마케팅 등 동의방법 적정성,
② 보존기간이 경과된 입시관련 개인정보, 학원 수강생 정보 파기여부,
③ 개인정보 위탁업무처리 적정성 여부, 수탁사 관리감독 여부,
④ 개인정보처리시스템의 접근권한 관리, 접근통제, 암호화, 접속기록의 보관 및 위·변조 방지 조치 여부 등이다.

이인재 행정자치부 전자정부국장은 “교육기관이 이번 점검을 통해 개인정보를 보다 안전하게 관리하는 계기가 되기를 바란다.”라며, “이번 현장점검에서 법 위반사항이 적발될 경우 과태료 부과 등 엄정한 행정처분을 실시할 예정이다.”라고 밝혔다.


문의 : 뉴딜코리아 컨설팅 사업부 (ismsbok@gmail.com)