개인정보 보호 소홀히 한 8개 기관 명단 공개
- 행정안전부, 개인정보보호법 위반 기관 행정처분 결과 발표 -

□ 행정안전부는「개인정보보호법」제66조에 따라 개인정보보호법을 위반한 8개 기관의 위반내용 및 처분내용을 27일 공표했다.

□ 이번 공표는 2019년 1월부터 2019년 3월까지 행정처분을 받은 91개 기관 중 ‘과태료 1천만원 이상’을 부과 받은 8개 기관을 선정, 개인정보보호위원회의 심의·의결을 거쳐 이루어졌다.

○ 주요위반사항은 제15조제2항 개인정보 수집‧이용(고지)위반으로 개인정보 수집‧이용 시 정보주체에게 알려야 하는 사항*을 알리지 않았고

* 개인정보 수집·이용목적, 수집항목, 개인정보의 보유·이용 기간, 동의 거부권·거부 시 불이익

- 개인정보취급자에 대한 접근권한, 접근통제, 접속기록 관련 준수사항을 지키지 않는 등 제29조 안전성확보조치 준수를 위반하였다.

□  이번 공표는 개인정보 수집‧동의획득 시 고지사항 준수와 개인정보 안전성 확보조치를 이행해야함을 강조하기 위함

[붙임] 개인정보 보호법 위반한 공표 내용

========================================

◆ A사 :

========================================

○ 공표사유 : 1회 과태료 부과 총 금액이 1천만 원 이상
○ 계 : 과태료 1,400만원
○ 처분일자 : 2019.2.27.

▷ 위반조항 : 제15조 제2항 (과태료 600만원)
 o 위반 내용 : 개인정보 수집‧이용(고지)위반
  - 개인정보의 수집‧이용 시 정보주체에게 알려야 하는 사항을 알리지 않음
  * 개인정보의 보유 및 이용 기간, 동의 거부 권리 및 거부 시 불이익 내용

▷ 위반조항 : 제17조 제2항 (과태료 600만원)
 o 위반 내용 : 개인정보의 제공(고지) 위반
 - 제3자 제공 및 국외 제3자 제공 시 정보주체에게 알려야 하는 사항을 알리지 않음
  * 개인정보를 제공받는 자, 개인정보의 보유 및 이용 기간, 동의 거부 권리 및 거부 시 불이익 내용

▷ 위반조항 : 제22조 제1항 (과태료 200만원)
 o 위반 내용 : 동의를 받는 방법(구분 동의) 위반 (과태료 200만원)
 - 국외 본사에 제공된다는 사실을 알리고 동의를 받고 있으나, ‘개인정보 수집․이용 동의’와 ‘개인정보 제공 동의’를 구분하여 받지 않음

========================================

◆ B사 :

========================================

○ 공표사유 : 1회 과태료 부과 총 금액이 1천만 원 이상
○ 계 : 과태료 1,300만원
○ 처분일자 : 2019.2.27.

▷ 위반조항 : 제15조 제2항 (과태료 600만원)
 o 위반 내용 : 개인정보 수집‧이용(고지)위반
 - 서비스센터 방문하여 AS신청 시 사용하는 ‘수리접수증’에 개인정보 입력 시 4가지 사항을 정보주체에게 알리지 않음
  * 개인정보의 수집·이용 목적, 수집하려는 개인정보의 항목, 개인정보의 보유 및 이용 기간, 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용

▷ 위반조항 : 제26조 제1항 (과태료 100만원)
 o 위반 내용 : 업무위탁에 따른 개인정보의 처리 제한(문서) 위반
 - 개인정보 처리 위탁계약 시 문서에 의하지 않음 * 총 8개업체중 2개 업체 계약서 미비

▷ 위반조항 : 제29조 (과태료 600만원)
 o 위반 내용 : 개인정보의 안전성 확보조치 위반
 - 접속기록 내 수행업무를 누락함

========================================

◆ C사 :

========================================

○ 공표사유 : 1회 과태료 부과 총 금액이 1천만 원 이상
○ 계 : 과태료 3,200만원
○ 처분일자 : 2019.2.27.

▷ 위반조항 : 제15조제2항 (과태료 600만원)
 o 위반 내용 : 개인정보 수집‧이용(고지)위반
 - 개인정보의 수집‧이용 시 정보주체에게 알려야 하는 사항을 알리지 않음
  * 개인정보의 보유 및 이용 기간, 동의 거부 권리 및 거부 시 불이익 내용

▷ 위반조항 : 제17조제2항 (과태료 600만원)
 o 위반 내용 : 개인정보의 제공(고지) 위반
 - 제3자 제공 및 국외 제3자 제공 시 정보주체에게 알려야 하는 사항을 알리지 않음
 * 개인정보를 제공받는 자, 개인정보의 보유 및 이용 기간, 동의 거부 권리 및 거부 시 불이익 내용

▷ 위반조항 : 제21조제1항 (과태료 900만원)
 o 위반 내용 : 개인정보 파기 미이행
 - 보유기간의 경과, 개인정보의 처리 목적 달성 등 그 개인정보가 불필요하게 되었을 때 지체 없이 그 개인정보를 파기하지 않음

▷ 위반조항 : 제26조제2항 (과태료 200만원)
 o 위반 내용 : 업무위탁에 따른 개인정보처리 제한(공개)위반
- 개인정보 처리를 위탁하면서 수탁자 및 업무내용을 공개하지 않음

▷ 위반조항 : 제29조 (과태료 900만원)
 o 위반 내용 : 개인정보의 안전성 확보조치 위반
 - 내부 관리계획의 필수 사항 일부 내용 누락
 - 외부에서 개인정보처리시스템에 접속할 경우 안전한 접속수단을 적용하거나 안전한 인증수단 미적용
 - 개인정보처리시스템의 접속기록을 반기별로 1회 이상 점검하지 않음

========================================

◆ D사 :

========================================

○ 공표사유 : 1회 과태료 부과 총 금액이 1천만 원 이상
○ 계 : 과태료 1,400만원
○ 처분일자 : 2019.2.27.

▷ 위반조항 : 제15조제2항 (과태료 600만원)
 o 위반 내용 : 개인정보 수집 이용(고지)위반
 - 개인정보의 수집‧이용 시 정보주체에게 알려야 하는 사항을 알리지 않음
  * 개인정보의 보유 및 이용 기간, 동의 거부 권리 및 거부 시 불이익 내용

▷ 위반조항 : 제26조제2항 (과태료 200만원)
 o 위반 내용 : 업무위탁에 따른 개인정보처리 제한(공개)위반
 - 개인정보 처리를 위탁하면서 수탁자 및 업무내용을 공개하지 않음

▷ 위반조항 : 제29조 (과태료 600만원)
 o 위반 내용 : 개인정보의 안전성 확보조치 위반
 - 비밀번호 작성규칙 실제 적용하지 않음
 - 개인정보취급자가 일정시간 이상 업무처리를 하지 않는 경우 자동으로 접속이 차단되는 기술적 조치를 취하지 않음 - 계정정보 또는 비밀번호를 일정횟수 이상 잘못 입력한 경우 개인정보처리시스템에 대한 접근을 제한하는 등 필요한 기술적 조치를 취하지 않음

========================================

◆ E사 :

========================================

○ 공표사유 : 1회 과태료 부과 총 금액이 1천만 원 이상
○ 계 : 과태료 1,200만원
○ 처분일자 : 2019.2.27.

▷ 위반조항 : 제24조제3항 (과태료 600만원)
 o 위반 내용 : 고유식별정보의 안전성확보조치 위반
 - 주민등록번호를 정보통신망을 통하여 송신 시 이를 암호화하지 않음

▷ 위반조항 : 제29조 (과태료 600만원)
 o 위반 내용 : 개인정보 안전성 확보조치 위반
 - 비밀번호 작성규칙 실제 적용하지 않음
 - 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력한 경우 개인정보처리시스템에 대한 접근을 제한하는 등 조치하지 않음
 - 비밀번호를 저장 시 일방향 암호화를 적용하지 않음
 - 개인정보취급자가 개인정보처리시스템에 접속한 기록을 6개월 이상 보관 및 관리하지 않음

========================================

◆ F사 :

========================================

○ 공표사유 : 1회 과태료 부과 총 금액이 1천만 원 이상
○ 계 : 과태료 1,200만원
○ 처분일자 : 2019.2.27.

▷ 위반조항 : 제24조제3항 (과태료 600만원)
 o 위반 내용 : 고유식별정보의 안전성확보조치 위반
- 주민등록번호를 정보통신망을 통해 송신시 암호화 적용하지 않음

▷ 위반조항 : 제29조 (과태료 600만원)
 o 위반 내용 : 개인정보 안전성 확보조치 위반
- 개인정보취급자의 접근권한 부여·변경·말소에 대한 내역을 기록 및 관리하지 않음
- 안전한 비밀번호 작성규칙은 수립하였으나 이를 적용하지 않음
- 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력한 경우 개인정보처리시스템에 대한 접근제한을 하지 않음
- 인터넷 홈페이지를 통해 고유식별정보를 처리함에도 연 1회 이상 취약점 점검을 실시하지 않음
- 정보통신망을 통해 비밀번호 송신 시 암호화 조치를 하지 않음
- 개인정보취급자가 개인정보처리시스템에 접속한 기록을 6개월 이상 보관 및 관리하지 않음

========================================

◆ G사 :

========================================

○ 공표사유 : 1회 과태료 부과 총 금액이 1천만 원 이상
○ 계 : 과태료 1,200만원
○ 처분일자 : 2019.2.27.

▷ 위반조항 : 제24조제2항 (과태료 600만원)
 o 위반 내용 : 주민등록번호 암호화 위반
- 주민등록번호 저장 시 암호화를 조치하지 않음

▷ 위반조항 : 제29조 (과태료 600만원)
 o 위반 내용 : 개인정보 안전성 확보조치 위반
- 인사이동이 발생하여 개인정보취급자가 변경되었을 경우 지체 없이 개인정보처리시스템의 접근 권한을 변경 또는 말소하지 않음
- 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우 안전한 접속수단을 적용 하거나 안전한 인증수단을 적용하지 않음
- 비밀번호를 저장하는 경우 복호화 되지 아니하도록 일방향 암호화하여 저장하지 않음
- 개인정보취급자가 개인정보처리시스템에 접속한 기록을 6개월 이상 보관·관리하지 않음

========================================

◆ H사 : (병원)

========================================

○ 공표사유 : 1회 과태료 부과 총 금액이 1천만 원 이상
○ 계 : 과태료 1,100만원
○ 처분일자 : 2019.2.27.

▷ 위반조항 : 제21조제1항 (과태료 300만원)
 o 위반 내용 : 개인정보 파기 미이행
 - 보유기간의 경과, 개인정보의 처리 목적 달성 등 그 개인정보가 불필요하게 되었을 때 지체 없이 그 개인정보를 파기하지 않음

▷ 위반조항 : 제26조제1항 (과태료 200만원)
 o 위반 내용 : 업무위탁에 따른 개인정보의 처리 제한(문서) 위반
 - 개인정보 처리 위탁계약 시 문서에 의하지 않음

▷ 위반조항 : 제29조 (과태료 600만원)
 o 위반 내용 : 개인정보 안전성 확보조치 위반
 - 개인정보보호책임자가 내부관리계획의 이행실태를 점검 관리하지 않음
 - 개인정보처리시스템에 대한 접근권한을 업무담당자에 따라 차등부여하지 않음 등

컨설팅 : ISMS, ISO27001  GDPR,PCI-DSS 

취약점 진단 및 모의 침투

개인정보 비식별화 솔루션

보안솔루션 공급
070-7867-3721, ismsbok@gmail.com

14세 미만 아동의 법정대리인 동의의 확인방법 (정보통신망법 시행령, 2019.06.24)

방송통신위원회는 14세 미만 아동의 개인(위치)정보 보호를 강화하기 위해 법정대리인이 동의했는지를 확인하는 방법을 「정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령」(이하 ‘정보통신망법 시행령’)과「위치정보의 보호 및 이용 등에 관한 법률 시행령」(이하 ‘위치정보법 시행령’)에 구체적으로 명시하도록 개정


이번 개정은 정보통신서비스제공자등과 위치정보사업자등이 만 14세 미만 아동의 개인(위치)정보를 수집‧이용‧제공하는 경우 법정대리인이 동의했는지를 확인하도록 한 정보통신망법(‘18.12.24. 공포, ’19.6.25. 시행)과 위치정보법(‘18.12.24. 공포, ’19.6.25. 시행) 개정에 따른 후속조치


그간 정보통신망법과 위치정보법에 따르면 만 14세 미만 아동의 동의를 받는 경우 법정대리인의 동의를 받도록 규정은 하고 있었으나 그 구체적인 방법에 대해서는 미비한 실정

이에, 동의 받는 일반적인 방법을 규정하고 있는 개인정보보호법을 참고하여 서면, 전화, 전자우편 등의 방법을 활용할 수 있도록 하는 한편, 인터넷 사이트를 통한 동의의 경우에는 휴대전화 문자메시지, 신용카드, 본인인증 등을 통해 동의했는지를 알리거나 확인 등을 하도록 규정

이는 개인정보 법령 간 정합성을 도모하면서도 온라인 환경의 특수성을 고려하여 아동의 개인정보 보호를 강화한 것

< 법정대리인 동의의 확인 방법 주요내용 >

『 1. 동의 내용을 게재한 인터넷 사이트에 법정대리인이 동의 여부를 표시하도록 하고 정보통신서비스 제공자등(또는 위치정보사업자등)이 그 동의 표시를 확인했음을 법정대리인의 휴대전화 문자메시지로 알리는 방법  』

『 2. 동의 내용을 게재한 인터넷 사이트에 법정대리인이 동의 여부를 표시하도록 하고 법정대리인의 신용카드ㆍ직불카드 등의 카드정보를 제공받는 방법 』

『 3. 동의 내용을 게재한 인터넷 사이트에 법정대리인이 동의 여부를 표시하도록 하고 법정대리인의 휴대전화 본인인증 등을 통해 본인 여부를 확인하는 방법 』

『 4. 동의 내용이 적힌 서면을 법정대리인에게 직접 발급하거나, 우편 또는 팩스를 통하여 전달하고 법정대리인이 동의 내용에 대하여 서명날인 후 제출하도록 하는 방법 』

『5. 동의 내용이 적힌 전자우편을 발송하여 법정대리인으로부터 동의의 의사표시가 적힌 전자우편을 전송받는 방법 』

『 6. 전화를 통하여 동의 내용을 법정대리인에게 알리고 동의를 얻거나 인터넷주소 등 동의 내용을 확인할 수 있는 방법을 안내하고 재차 전화 통화를 통하여 동의를 얻는 방법 』

『 7. 그 밖에 제1호부터 제6호까지의 규정에 따른 방법에 준하는 방법으로 법정대리인에게 동의 내용을 알리고 동의의 의사표시를 확인하는 방법 』


☞ 첨부파일 : 법정대리인_동의의_확인방법_구체화_자료(6.24)

컨설팅 : ISMS-P, ISO27001  GDPR,PCI-DSS 

취약점 진단 및 모의 침투

개인정보 비식별화 솔루션

보안솔루션 공급
070-7867-3721, ismsbok@gmail.com

2018년 개인정보 분쟁조정 사례집(2019.04)

2018년 개인정보 분쟁조정 사례집 | 2019.04 발행

본 사례집은 2018년 한 해 동안 개인정보분쟁조정위원회에서 처리한 주요 분쟁조정사건과 조정전 당사자간 자율적으로 합의한 사건 등을 주요 내용으로 담고 있습니다.

사례집이 정보주체 및 정보처리자 모두에게 개인정보 보호에 대한 이해와 관심을 고취시키고 개인정보 침해로 인한 분쟁의 사전 예방에 유용하게 활용되기를 기대합니다.

■ 침해유형별 분쟁조정 사례

Ⅰ. 동의 없는 개인정보 수집

1. 웹사이트에 공개한 휴대전화번호를 수집하여 광고문자를 발송한 것에 대한 손해배상 등 요구
2. 보험금 지급 심사에 필요하다며 문답서 등으로 개인정보 수집 동의를 요구한 것에 대한 손해배상 등 요구
3. 병원 진료실에서 동의 없이 CCTV 촬영한 것에 대한 손해배상 등 요구
4. 고객센터에서 주민등록번호의 입력 요구 행위에 대한 중지 요구
5. 채권이 없음에도 채권추심 목적으로 개인정보를 수집·이용한 행위에 대한 손해배상 등 요구
6. 동의 없이 개인정보를 내부 민원처리에 활용한 것에 대한 손해배상 등 요구
7. 전자우편 주소를 동의 없이 수집하여 신용카드 발급에 이용한 행위에 대한 손해배상 등 요구
8. 동의 없이 개인정보를 수집하여 교통사고 조사에 이용한 행위에 대한 손해배상 등 요구
9. 홈페이지에 공개된 개인정보의 수집·이용에 대한 재발방지 요구
10. 신청인의 동의 없이 명함을 습득하여 광고문자를 발송한 행위에 대한 손해배상 등 요구

Ⅱ. 수집한 목적 외 이용 또는 제3자 제공

1. 보험사에서 개인정보를 파기하지 않고 보관하다가 소송의 증거자료로 이용한 것에 대한 손해배상 등 요구
2. 외국어 학원에서 시험 성적을 동의 없이 타 위원회에 제공한 것에 대한 손해배상 요구
3. 교육사이트에서 회원 탈퇴를 했음에도 동의 없이 홍보 이메일을 발송한 행위에 대한 손해배상 등 요구
4. 병원에서 촬영된 CCTV 화면을 동의 없이 간담회 자료로 활용한 것에 대한 사과 요구
5. 보험사에서 계약 해지심사 과정에 최근의 교통위반 기록을 이용한 행위에 대한 손해배상 요구
6. 학교법인의 진상조사 기록을 동의 없이 교원소청심사위원회에 제출한 것에 대한 손해배상 등 요구
7. 보험금 지급 심사를 위해 개인 의료정보를 외부기관에 동의 없이 제공한 것에 대한 손해배상 요구
8. 보험 정보를 동의 없이 조회하고 가족에게 제공한 것에 대한 손해배상 등 요구
9. 성형수술 전후 사진을 동의 없이 병원 홍보에 이용한 것에 대한 손해배상 등 요구
10. 동의 없이 청약서를 보관하고 전송한 행위에 대한 손해배상 등 요구
11. 부당해고 증거자료를 확보할 목적으로 동의 없이 개인정보를 이용한 행위에 대한 손해배상 등 요구
12. 신청인의 동의가 없는 제3기관에 금융정보를 제공한 행위에 대한 손해배상 등 요구
13. 개인정보의 목적 외 이용 및 열람요구를 거절한 통신사업자에 대한 손해배상 등 요구

Ⅲ. 보유시간 경과나 목적달성 후 개인정보 미파기

1. 채권추심업자가 소멸시효 경과한 개인정보를 파기하지 않고 추심행위를 지속한 것에 대한 손해배상 등 요구
2. 휴면 처리된 계정의 개인정보를 이용한 행위에 대한 손해배상 요구

Ⅳ. 개인정보보호 기술적·관리적·물리적 조치 미비

1. 신청인의 성명, 주민등록번호 등 개인정보를 해킹당한 여행사에 대한 손해배상 등 요구
2. 신청인의 소속 학교명, 생년월일·성별을 유출시킨 기관에 대한 손해배상 등 요구
3. 게임계정을 본인 확인 없이 제3자에게 이전한 행위에 대한 손해배상 요구

Ⅴ. 개인정보취급자에 의한 누설·유출·훼손 등

1. 취업사이트 운영자가 신청인의 최종 학력정보를 사실과 다르게 변경한 행위에 대한 재발방지 요구

Ⅵ. 열람·정정·삭제·처리정지·동의철회 요구 불응
1. 게임사이트에서 동의 없이 광고성 정보를 전송하고 계정정보를 삭제 처리한 것에 대한 손해배상 요구
2. 전자상거래 관련 문의내역과 구매내역의 삭제 요청 불응에 대한 개선 요구
3. 주차장에서 촬영된 CCTV 열람 요청 거부에 대한 손해배상 등 요구
4. 체육시설업체를 양수한 자가 동의 없이 회원정보를 수집하고 광고성 문자를 발송한 것에 대한 손해배상 등 요구
5. 국민신문고에 접수한 민원에 표기된 신청인 개인정보 삭제 요구
6. 사회복지기관이 보유한 신청인의 개인정보 삭제 요구

Ⅶ. 기타 개인정보 침해

1. 종합유선방송 사업자가 동의서 작성 과정에서 주민등록번호를 요구한 행위에 대한 재발방지 요구
2. 유효하지 않은 전자우편 주소로 개인정보 파기 예정 사실을 안내한 것에 대한 손해배상 등 요구

■ 조정 전 합의 사례

Ⅰ. 동의 없는 개인정보 수집

1. 신청인의 동의 없이 가족의 개인정보를 수집·이용한 행위에 대한 손해배상 등 요구
2. 동의 없이 개인정보를 수집·이용한 금융기관에 대한 손해배상 등 요구
3. 동의 없이 전자우편 주소를 수집하고 대출이자 납입안내에 이용한 금융관련 업체에 대한 침해행위의 중지 등 요구
4. 동의 없이 개인정보를 수집·이용한 금융관련 업체에 대한 손해배상 요구
5. 동의 없이 수집한 휴대전화번호를 금융대출 홍보에 이용한 금융관련 업체에 대한 침해행위의 중지 등 요구
6. 동의 없이 가전제품 렌탈 멤버십 서비스에 가입시킨 행위에 대한 손해배상 등 요구
7. 사전 안내 및 동의 없이 상담실 내에서 CCTV를 촬영한 것에 대한 손해배상 및 영상 삭제 요구
8. 동의 없이 신청인 신상정보를 이용한 직장 동료에 대한 손해배상 등 요구
9. 동의 없이 신상정보 무단수집 행위에 대한 침해행위 중지 요구

Ⅱ. 수집한 목적 외 이용 또는 제3자 제공

1. 구직 합격자들에게 모든 신청자 자료를 제공한 행위에 대한 손해배상 등 요구
2. 공개된 웹사이트 게시판에 개인정보를 노출시킨 온라인 쇼핑몰업체에 대한 손해배상 등 요구
3. 피신청인의 관계사에서 동의 없이 신청인에게 홍보물을 발송한 행위에 대한 손해배상 및 재발방지 요구
4. 편의점에서 동의 없이 제3자에게 휴대전화번호를 알려준 것에 대한 손해배상 요구
5. 개인신용정보를 유사카드 발급과 광고성 문자 전송에 이용한 금융기관에 대한 손해배상 등 요구
6. 동의하지 않은 선택정보를 동의한 것으로 처리하고 상품안내에 이용한 카드사에 대한 손해배상 등 요구
7. 쇼핑몰 사업자가 동의 없이 개인정보를 수집·이용한 행위에 대한 손해배상 등 요구
8. 동의 없이 광고문자메시지를 전송한 통신사업자에에 대한 손해배상 요구
9. 동의 없이 아동 학습지 배달 주소지를 과거 주소지로 변경하여 학습지 미수령에 따른 손해배상 요구

Ⅲ. 열람·정정·삭제·처리정지·동의철회 요구 불응

1. 개인정보 삭제 요구에 응하지 않고 홍보물 발송에 계속 이용한 것에 대한 손해배상 요구
2. 수신거부 후에도 광고 문자를 계속 전송한 것에 대한 손해배상 등 요구
3. 회원 계정을 정지한 온라인서비스 업체에 대한 회원탈퇴 및 개인정보 삭제 요구
4. 신청인과 상담사 간 통화녹취파일 제공 요청을 거부한 운동용품업체에 대한 손해배상 등 요구
5. 수신거부의사 표시 이후에도 광고성 전화를 한 카드회사에 대한 손해배상 등 요구
6. 포털 홈페이지에 작성한 신청인 게시글 삭제 요구에 대한 불응
7. 홈페이지 회원탈퇴 요구에 대한 거부
8. 수신 거부 의사표시에도 영리 목적의 광고성 정보를 전송한 행위에 대한 손해배상 등 요구
9. 피신청인의 웹사이트 회원 가입후 탈퇴 신청하였으나 거부당하여 회원탈퇴와 개인정보 삭제 조치 요구

Ⅳ. 개인정보 취급자에 의한 누설·유출·훼손 등

1. 웹사이트에 개인정보가 노출된 것에 대한 손해배상 등 요구
2. 신청인 로그인 정보를 잘못 처리한 행위에 대한 손해배상 요구
3. 보험료 자동이체 계좌를 동의 없이 등록 해지한 계좌로 변경해버린 행위에 대한 손해배상 등 요구
4. 포털사이트 검색창에서 신청인의 아이디로 검색시 개인정보가 노출되어 손해배상 요구
5. 피신청인 소속 직원이 동의 없이 개인정보를 열람한 행위에 대한 손해배상 등 요구
6. 피신청인 교육사이트 해킹으로 회원 개인정보 유출에 대한 손해배상 요구

Ⅴ. 개인정보보호 기술적·관리적·물리적 조치 미비

1. 홈페이지 회원정보 해킹으로 피해를 입힌 여행사에 대한 손해배상 요구
2. 탈퇴 회원의 개인정보 관리 소홀로 회비를 잘못 결제한 아동 학습지 판매기업에 대한 손해배상 등 요구
3. 등록 말소된 저작물의 저작권자인 신청인 개인정보가 홈페이지에서 검색·공개되지 않도록 조치 요구

Ⅵ. 과도한 개인정보 수집

1. 아파트 승강기 사용료 반환에 따른 개인정보 제공을 요구한 아파트 관리사무소에 대한 제도개선 등 요구
2. 치료문의 상담과정에서 취득한 주민등록번호 등 개인정보 삭제 요구

Ⅶ. 기타 개인정보 침해

1. 동명이인의 휴대전화 할부금 미납 안내를 신청인에게 통보한 행위에 대한 손해배상 요구
2. 신청인이 가입하지 않은 이동통신사에서 요금미납을 이유로 통신사 가입제한에 대한 구제조치 요구
3. 타인의 물품 구매 관련 문자 메시지를 반복적으로 전송한 행위에 대한 중지 요구

■ 개인정보 분쟁조정 FAQs

o 분쟁조정은 무엇인가요?
o 개인정보 분쟁조정위원회에 신청하면 사업자가 처벌받을 수 있나요?
o 개인정보 분쟁조정위원회는 국가기관인가요?
o 개인정보 분쟁조정위원회와 개인정보 보호위원회는 어떻게 다른가요?
o 분쟁조정 신청은 아무나 할 수 있나요? 어떤 방법으로 하나요?
o 개인정보 분쟁조정의 대상은 무엇이며, 어떠한 내용으로 신청할 수 있나요?
o 온라인 조정신청을 하는 경우 증빙자료는 어떤 방법으로 제출하나요?
o 분쟁조정 신청서 작성 시 분량에 제한이 있나요?
o 분쟁조정을 신청하는 경우 상대방에게 나의 개인정보가 알려지나요?
o 개인이 분쟁조정을 신청한 이후 절차는 어떻게 되나요?
o 분쟁조정 진행 경과를 어디서 확인할 수 있나요?
o 피신청인이 일방적으로 조정을 거부할 경우 어떻게 되나요?
o 분쟁조정에 소요되는 기간은 어떻게 되나요?
o 분쟁조정의 법적 효력은 어떻게 되나요? 상대방이 조정안을 이행하지 않으면 어떡하나요?
o 집단분쟁조정의 대상과 신청절차는 어떻게 되나요?
o 집단분쟁조정 성립의 법적 효력은 어떻게 되나요?

☞ 첨부파일 : 2018년 개인정보 분쟁조정 사례집

컨설팅 : ISMS, ISO27001  GDPR,PCI-DSS 

취약점 진단 및 모의 침투

개인정보 비식별화 솔루션

보안솔루션 공급
070-7867-3721, ismsbok@gmail.com

유럽 개인정보보호법(GDPR)과 국내 데이터 제도 개선방안

 뉴딜코리아 홈페이지 

유럽 개인정보보호법(GDPR)과 국내 데이터 제도 개선방안

데이터가 매개하는 디지털 전환이 전 산업과 사회 부문으로 확산하면서 개인정보를 활용하는 비즈니스도 증가하고 있다.

그에 따라 개인정보 보호가 중요한 사회 이슈로 부상하는 가운데 유럽 개인정보보호법(GDPR) 시행으로 개인정보 보호 제도가 새로운 국면에 진입하고 있다.

본 연구에서는 GDPR이 제기하는 여러 이슈 중 국내의 개인정보 제도 관점에서 볼 때 중요하다고 생각되는 쟁점 4가지를 선택하여 분석함으로써 국내 데이터 제도의 개선 방향에 대한 시사점 및 정책제언을 제시한다.

GDPR과 국내 개인정보 관련법을 비교해볼 때 주요 쟁점이 되는 4가지는
 1) 개인정보와 개인식별정보,
 2) 데이터 소유권과 데이터 활용을 위한 동의서 이슈,
 3) 데이터 이동권,
 4) 연구목적 데이터 활용이다.

4가지 쟁점 분석과 국내 데이터 환경을 고려할 때 국내 데이터 제도가 개선되기 위해서는
 ▶ 개인정보 관련 국내법의 명확성 확보를 위해 규제 재정비
 ▶ 데이터 활용을 위한 개인의 데이터 권리 인정 및 체계적인 동의서 개발과 실질적 동의 방법에 대한 탐색 필요
 ▶ 개인정보의 연구목적 활용을 높이기 위한 예외조항 신설을 정책과제로 제안하면서 7가지 세부과제를 함께 제시한다.


☞ 첨부파일 : 유럽 개인정보보호법(GDPR)과 국내 데이터 제도 개선방안

- 목차 -
Ⅰ. 논의의 배경
Ⅱ. 유럽 GDPR의 이해 및 분석
Ⅲ. 국내 개인정보 관련 4대 쟁점 분석
Ⅳ. 결론 및 정책제언


- GDPR 참고 사이트 -
 개인정보보호위원회 : http://www.pipc.go.kr/cmt/not/ntc/selectBoardList.do?bbsId=BBSMSTR_000000000121
 개인정보보호 종합포털:  https://www.privacy.go.kr/gdpr

컨설팅 : ISMS, ISO27001  GDPR,PCI-DSS 

취약점 진단 및 모의 침투

보안솔루션 공급
070-7867-3721, ismsbok@gmail.com

홈페이지 개인정보 노출예방 교육 (2018)

 뉴딜코리아 홈페이지

▣ 개인정보 유출 과 노출


1. 개인정보  "유출" 이란?

정보주체의 “개인정보”에 대하여 개인정보처리자가 통제를 상실하거나 또는 권한 없는 자의 접근을 허용한 경우(고의+부주의) “개인정보 노출”은 유출의 한 부분


2. 홈페이지를 통한 개인정보 노출 이란?

홈페이지 이용자가 해킹 등 특별한 방법을 사용하지 않고, 인터넷을 이용하면서 타인의 개인정보를 취득할 수 있도록 인터넷 상에서 관련 『정보가 방치』된 상태 주로 홈페이지 관리자 및 이용자의 부주의로 발생

[참고]
○ 게시판 상담요청 및 처리 시, 개인정보가 포함된 내용을 그대로 답변 등으로 게시할 경우(노출)
○ 검색엔진 등을 통한 사이트 내에 개인정보가 수집/저장 되어 일반인이 노출된 개인정보에 접근하게 하는 경우(노출)

○ 개인정보가 저장된 DB 등 개인정보처리시스템에 정상적인 권한이 없는 자가 접근한 경우(유출)
○ 개인정보처리자의 고의 또는 과실로 인해 개인정보가 포함된 파일, 문서, 저장매체 등이 잘못 전달된 경우(유출)

○ 개인정보가 포함된 서면, 이동식 저장장치, 휴대용 컴퓨터 등을 분실하거나 도난을 당한 경우(유출)


3. 개인정보 노출의 문제점

▶ 고유식별정보 등 사생활 침해가 우려되는 정보가 노출

노출되어서는 안 되는 고유식별정보(주민등록번호, 여권번호, 운전면허번호, 외국인 등록번호), 신용카드번호, 계좌번호, 바이오정보 등이 노출

- 주민등록번호는 본인의 동의가 있더라도 법적 근거가 없으면 처리 불가, 여권번호 등은 처리 시 본인의 동의 필요 및 암호화 보관하여야 하는 중요 정보
- 노출시 법적 제재의 대상이 될 수 있음

▶ 홈페이지에 노출된 개인정보는 구글 등 검색엔진에 2차 노출

홈페이지에 노출된 개인정보를 신속히 삭제하지 않을 경우, 구글 등 검색엔진에 의해 노출이 확산되거나, 제3자에 의해 수집됨

- 개인은 명의도용, 보이스피싱 등 범죄에 악용, 대량 스팸 수신 등 피해
* 노출된 정보는 수집되어 개인을 분석하는 자료로 악용(프라이버시 침해)

- 기업은 이미지 실추, 다수 피해자에 의한 손해배상 소송 제기


☞ 추가 내용은 첨부파일 참고 하세요  !!!

컨설팅(ISMS, ISO27001, GDPR, PCIDSS)

취약점 진단 및 모의 침투

보안솔루션 공급
070-7867-3721, ismsbok@gmail.com

 

주민등록번호 수집 법정주의 관련

 뉴딜코리아 홈페이지 

주민등록번호 수집 법정주의 관련

Q. 2014년 8월부터 주민등록번호 수집이 금지되었다고 들었습니다.
앞으로는 주민번호를 수집하는 경우가 줄어들 것이라고 합니다.
어떤 의미가 있는 것이고 어떠한 경우에 금지가 되는 것인가요?

A. 2014년 8월, 개정된 개인정보보호법이 시행되었습니다.
이제는 개인의 동의가 있더라도 법령에 구체적인 명시가 없다면 주민등록번호를 수집하지 못합니다.
민간의(금융, 의료 등 제외) 관례적인 주민등록번호 수집은 상당히 제한되었습니다.
그간 주민등록번호를 거의 모든 분야에서 사용하였기 때문에 어떠한 경우 수집이 금지되는지 외우기는 힘듭니다.
민간이나 공공에서 주민등록번호를 요구하는 경우 법령상 근거를 알려달라고 하는 편이 좋습니다.

■ 주민등록번호 수집 법정주의
- 개인정보보호법 개정으로 2014년 8월 7일부터 개인정보보호법 제24조의2가 신설되어 주민등록번호의 처리를 원칙적으로 금지했습니다.
​
□ 개인정보보호법 제24조의2(주민등록번호 처리의 제한)

① 제24조제1항에도 불구하고 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우를 제외하고는 주민등록번호를 처리할 수 없다. 1. 법령에서 구체적으로 주민등록번호의 처리를 요구하거나 허용한 경우 2. 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 명백히 필요하다고 인정되는 경우 3. 제1호 및 제2호에 준하여 주민등록번호 처리가 불가피한 경우로서 행정자치부령으로 정하는 경우

개인의 동의가 있다고 하더라도 주민등록번호를 수집할 수 없습니다. 
오직 법령에 구체적으로 주민등록번호의 처리를 요구하거나 허용한 경우에만 가능합니다.
지금까지는 PC방 등에서도 회원 관리를 위해서 주민등록번호를 수집하였으나 이제는 그러한 수집은 위법한 행위입니다.

과태료 부과 대상입니다.

이는 새로운 원칙을 창설한 것이 아닙니다.
원래의 원칙을 재확인한 것에 불과합니다.
주민등록번호 부여를 규정하고 있는 주민등록법의 입법목적은 “주민을 등록하게 함으로써 주민의 거주관계 등 인구의 동태를 항상 명확하게 파악하여 주민생활의 편익을 증진시키고 행정사무를 적정하게 처리”하는데 있습니다.
즉, 애초부터 주민등록번호는 주민등록사무와 주민관리사무에 한정하여 도입된 것입니다.
​
그럼에도 불구하고 주민등록번호는 오랫동안 공공·민간을 가리지 않고 거의 모든 분야에서 무분별하게 사용되었습니다. 국민 통제에 목을 맸던 정부가 주민등록번호를 이용한 본인인증을 부추겼고, 기업은 이를 이윤추구에 마음껏 활용했습니다.
정부와 기업의 관리소홀로 주민등록번호는 1991년부터 현재까지 언론에 보도된 것만 4억 여건이 넘게 유출되었습니다.
언론에 보도되지 않은 유출과 2, 3차 유출은 이미 헤아릴 수 없습니다.
​
늦었지만 이제라도,
주민등록번호의 목적 외 사용을 최대한 제한하려는 것이 개인정보보호법 개정의 목적입니다. 개인정보보호법에서 주민등록번호 처리를 금지하면서 “법령에서 구체적으로 주민등록번호의 처리를 요구하거나 허용한 경우” 라는 예외를 둔 것도 같은 맥락에서 이해해야 합니다.
이 예외 규정은 그동안 주민등록번호가 널리 이용되어 온 현실을 고려하여 불가피한 경과규정 정도로 해석해야 합니다.

□ 처벌 및 벌칙

 - 5천만원 이하의 과태료

□ 첨부파일 :

 - 주민번호 수집 법정주의 설명자료

GDPR 교육 및 컨설팅 | ISMS 인증 컨설팅
(070-7867-3721, ismsbok@gmail.com)

개인정보 보호법에서의 동의, 고지, 통지, 공개의 차이

 뉴딜코리아 홈페이지 

 개인정보 보호법 및 하위법령, 고시 등에서는 각각의 개인정보 처리요건에 대해 동의, 고지, 통지, 공개 등의 용어가 사용되고 있어 이의 명확한 의미 및 규정예시를 정리함


▶ 동의

o 정보주체가 개인정보의 처리에 대해 허락･승낙하겠다는 의사표시(명시적 의사표시를 의미함)

※ (규정예시) 개인정보 수집･이용(제15조), 제3자 제공(제17조), 목적외이용 또는 제3자 제공(제18조), 민감정보 또는 고유식별정보 처리(제23조 또는 제24조) 등


▶ 고지

o 개인정보 처리에 대한 동의를 받는 경우, 처리목적 등에 관한 사항을 동의서 등에 명시하거나 구두로 정보주체에게 알려주는 행위

※ (규정예시) 개인정보 수집･이용(제15조), 제3자 제공(제17조), 목적외이용 또는 제3자 제공(제18조), 민감정보 또는 고유식별정보 처리(제23조 또는 제24조) 등


▶ 통지

o 개인정보 보호법이 정하는 일정 사항을 정보주체 개개인에게 도달되도록 알리는 행위 (서면, e-mail, 팩스, 전화, 문자전송 등)

※ 개인정보보호법에서는 “정보주체에게 알려야 한다”는 표현도 사용하고 있음

※ (규정예시) 홍보･판매권유 위탁 통지(제26조제3항), 영업양도 통지(제27조제1항), 개인정보 유출통지(제34조), 정정･삭제 및 처리정지 결과 통지(제36조, 제37조) 등

※ 수집출처 고지의무(제20조)는 ‘고지’라는 표현을 사용하고 있으나 해석상 ‘통지’에 보다 가까움


▶ 공개

o 개인정보 보호법이 정하는 일정 사항을 정보주체 누구나 용이하게 열람･확인 가능한 상태로 두는 것

※ (규정예시) 처리위탁 공개(제26조제2항), 개인정보 처리방침 공개(제30조), 영상정보처리기기 운영관리방침 공개(시행령 제25조), 개인정보 보호책임자 공개(표준지침 제23조), 개인정보파일 공개(제32조) 등

뉴딜코리아 컨설팅 사업부 (070-7867-3721, ismsbok@gmail.com)

 

스마트폰 앱 접근권한에 대한 이용자 동의권 강화(정보통신망법 개정, 2017.03.23 시행)

 뉴딜코리아 홈페이지 

정보통신망 이용촉진 및 정보보호 등에 관한 법률[시행 2017.3.23.] [법률 제14080호, 2016.3.22., 일부개정]

연번	조문	개정사항	위반시 처벌	시행일
1	제22조의2 신설 제76조제1항제1호 개정, 제1의2호 신설	스마트폰 앱 접근권한에 대한 이용자 동의권 강화	<3천만원 이하 과태료> 선택적 권한에 대해 미동의시 서비스 제공을 거부한 경우 접근권한에 대한 동의방법 마련 등 필요한 조치를 하지 않은 경우	'17.3.23
		스마트폰에 대한 접근권한 필요시 필수적 권한과 선택적 권한을 구분하여 이용자의 동의를 받도록 함 선택적 권한에 대해 미동의시 서비스 제공거부 금지

제4장 개인정보의 보호   제1절 개인정보의 수집·이용 및 제공 등

제22조(개인정보의 수집·이용 동의 등)

① 정보통신서비스 제공자는 이용자의 개인정보를 이용하려고 수집하는 경우에는 다음 각 호의 모든 사항을 이용자에게 알리고 동의를 받아야 한다. 다음 각 호의 어느 하나의 사항을 변경하려는 경우에도 또한 같다.
1. 개인정보의 수집·이용 목적
2. 수집하는 개인정보의 항목
3. 개인정보의 보유·이용 기간

② 정보통신서비스 제공자는 다음 각 호의 어느 하나에 해당하는 경우에는 제1항에 따른 동의 없이 이용자의 개인정보를 수집·이용할 수 있다.
1. 정보통신서비스의 제공에 관한 계약을 이행하기 위하여 필요한 개인정보로서 경제적·기술적인 사유로 통상적인 동의를 받는 것이 뚜렷하게 곤란한 경우
2. 정보통신서비스의 제공에 따른 요금정산을 위하여 필요한 경우
3. 이 법 또는 다른 법률에 특별한 규정이 있는 경우
[전문개정 2008.6.13.]


제22조의2(접근권한에 대한 동의) <본조신설 2016.3.22. / 시행 2017.3.23.>

① 정보통신서비스 제공자는 해당 서비스를 제공하기 위하여 이용자의 이동통신단말장치 내에 저장되어 있는 정보 및 이동통신단말장치에 설치된 기능에 대하여 접근할 수 있는 권한(이하 "접근권한"이라 한다)이 필요한 경우 다음 각 호의 사항을 이용자가 명확하게 인지할 수 있도록 알리고 이용자의 동의를 받아야 한다.
1. 해당 서비스를 제공하기 위하여 반드시 필요한 접근권한인 경우
가. 접근권한이 필요한 정보 및 기능의 항목
나. 접근권한이 필요한 이유
2. 해당 서비스를 제공하기 위하여 반드시 필요한 접근권한이 아닌 경우
가. 접근권한이 필요한 정보 및 기능의 항목
나. 접근권한이 필요한 이유
다. 접근권한 허용에 대하여 동의하지 아니할 수 있다는 사실

② 정보통신서비스 제공자는 해당 서비스를 제공하기 위하여 반드시 필요하지 아니한 접근권한을 설정하는 데 이용자가 동의하지 아니한다는 이유로 이용자에게 해당 서비스의 제공을 거부하여서는 아니 된다.

③ 이동통신단말장치의 기본 운영체제(이동통신단말장치에서 소프트웨어를 실행할 수 있는 기반 환경을 말한다)를 제작하여 공급하는 자와 이동통신단말장치 제조업자 및 이동통신단말장치의 소프트웨어를 제작하여 공급하는 자는 정보통신서비스 제공자가 이동통신단말장치 내에 저장되어 있는 정보 및 이동통신단말장치에 설치된 기능에 접근하려는 경우 접근권한에 대한 이용자의 동의 및 철회방법을 마련하는 등 이용자 정보 보호에 필요한 조치를 하여야 한다.

④ 제1항에 따른 접근권한의 범위 및 동의의 방법, 제3항에 따른 이용자 정보 보호를 위하여 필요한 조치 및 그 밖에 필요한 사항은 대통령령으로 정한다.
[본조신설 2016.3.22.]


제76조(과태료)

① 다음 각 호의 어느 하나에 해당하는 자와 제7호부터 제11호까지의 경우에 해당하는 행위를 하도록한 자에게는 3천만원 이하의 과태료를 부과한다. <개정 2011.3.29., 2012.2.17., 2013.3.23., 2014.5.28.,2015.6.22., 2015.12.1., 2016.3.22.>

1. 제22조의2제2항 또는 제23조제3항(제67조에 따라 준용되는 경우를 포함한다)을 위반하여 서비스의 제공을 거부한 자

1의2. <본조신설 2016.3.22. / 시행 2017.3.23.>  제22조의2제3항(제67조에 따라 준용되는 경우를 포함한다)을 위반하여 접근권한에 대한 이용자의 동의 및 철회방법을 마련하는 등 이용자 정보 보호를 위하여 필요한 조치를 하지 아니한 자

- 이 상 -

⊙ 위 내용은 2017년 04월 03일 기준으로. 작성되었습니다
⊙ 법제처 국가법령정보센터(http://www.law.go.kr/main.html)를 통하여 최신 정보를 확인하시기 바랍니다

 

개인정보 보호법 개정안(중요한 내용에 대한 가독성을 높이도록 의무화, 2017.03.30)

 뉴딜코리아 홈페이지  

개인정보 보호법 개정안 국회 통과 (행정자치부,  2017.03.30)

행정자치부 개인정보 처리에 관하여 서면 동의서를 작성하는 경우 중요한 내용에 대한 가독성을 높이도록 의무화 하는 개인정보 보호법 개정안이 3월30일 국회를 통과하였다고 밝혔다.

최근 대형마트 경품 응모권 뒤의 작은 글씨 동의서가 적절한지에 대한 논란이 있었는데, 피고 측은 작은 글씨로 작성되어 있다고 해도 문제될 게 없다는 입장인 반면, 원고 측은 지나치게 작은 글씨로 작성된 동의서는 실질적인 동의권 행사를 방해한 것으로 보았다.

이번 법 개정은 이러한 논란을 입법적으로 해결하기 위한 것으로, 동의 사항을 명확하게 인지할 수 있도록 알리고 동의를 받아야 한다는 현행 규정을 강화하여 동의 사항 중 중요한 내용을 명확히 표시하도록 하여야 한다는 의견이 제기된데 따른 것이다.

행정자치부는 법 시행일에 맞추어(공포 후 6개월이 경과한 날) 개정법의 위임에 따른 대통령령과 행정자치부령을 마련할 계획이다. 우선, 대통령령에는 눈에 잘 띄도록 표시해야 할 중요한 사항을 규정하고, 행정자치부령에는 ⅰ) 밑줄·괄호 등의 기호, ⅱ) 색깔, ⅲ) 굵고 큰 문자 등을 통해 눈에 잘 띄도록 표시하는 방법을 정하게 된다.

행정자치부는 동의서 작성 예시와 잘못 작성한 사례를 만들어 배포하여 업계에서 법규 수범에 대한 어려움이 없도록 할 계획이다.

장영환 행정자치부 개인정보보호정책관은 “이번 법 개정은 국민이 개인정보 동의권을 행사하는데 실질적인 도움이 될 것이다”라며,“개정법을 위반하는 경우 1천만원 이하의 과태료가 부과될 수 있는 만큼 사업자 등이 철저히 준비하길 바란다.”고 하였다.

[첨부파일 ] 눈 뜨고 당하는 개인정보 동의서, 이젠 안통한다!

◈ 경품행사로 생각하고 동의했는데, 보험권유 전화가 오네요! # 마트에서 창립기념으로 해외여행 기회를 주는 경품행사를 한단다. 김씨는 가족여행을 꿈꾸며 응모권에 이름과 연락처를 술술 적고 동의서에 서명도 했다. 연락처가 없으면 응모할 수 없다는 큰 글자를 보고 당첨 시 연락받을 상상도 했다. 그러던 어느 날 낯선 번호로 보험 상품을 홍보한단다. 어디서 전화번호를 알았는지 물어보니 마트에서 경품권 응모 시 제공 동의를 했다고 한다. 동의서 내용도 많고 여행권 준다는 내용만 눈에 띄어 별생각 없이 동의해 준건데, 여행은 못가고 보험권유 전화만 받고 보니 짜증이 난다.  ◈ 저는 요새 노안이 와서 동의서 읽기가 너무 불편합니다. 개선 좀 해주세요! # 40대 후반 이씨는 요새 노안이 와서 작은 글씨는 대충 포기하고 살고 있다. 그런데 최근 휴대폰 구입 차 대리점에 가서 계약서를 쓸 때 개인정보 수집 동의서도 같이 작성했는데, 작은 글씨로 된 동의서를 읽기가 어려워 직원이 표시해 준 곳에 그냥 서명만 했다. 그러면서도 나 몰래 내 개인정보가 다른 곳에 이용되거나 제공되지 않을까 걱정이 된다.

□ 앞으로는 위 사례와 같이 개인정보 동의서의 중요한 내용을 제대로 읽지 못하고 동의하는 사례가 대폭 줄어들 전망이다. 개인정보의 수집 이용, 제공에 관한 동의서의 중요한 내용을 알아보기 쉽게 표시하도록 개인정보 보호법이 개정되었기 때문이다.

□ 행정자치부는 법 시행일에 맞추어(공포 후 6개월이 경과한 날) 개정법의 위임에 따른 대통령령과 행정자치부령을 마련할 계획이다.

○ 우선, 대통령령에는 눈에 잘 띄도록 표시해야 할 중요한 사항*을규정하고,
* ⅰ) 개인정보의 수집 이용 목적,
   ⅱ) 수집하려는 개인정보의 항목,
   ⅲ) 개인정보 이용 및 보유기간,
   ⅳ) 개인정보를 제3자에게 제공하려는 경우 제공받는 자 등

○ 행정자치부령에는
ⅰ) 밑줄 괄호 등의 기호,
ⅱ) 색깔,
 ⅲ) 굵고 큰 문자 등을 통해 눈에 잘 띄도록 표시하는 방법을 정하게 된다.

○ 행정자치부는 동의서 작성 예시와 잘못 작성한 사례를 만들어 배포하여 업계에서 법규 수범에 대한 어려움이 없도록 할 계획이다.

▣ 관련문의

 - 담당 : 개인정보보호정책과 정영수 (02-2100-4106)

결제대행사 고객의 개인정보에 관한 조치 위반 (안전한 인증 수단 미흡 등 ) 과태료 처분

출처 : 뉴딜코리아 홈페이지

결제대행 사업자 개인정보에 관한 조치위반 (접근통제 미흡 등 ) 과태료

[No. 1] 결제대행 사업 A사, B사 등을 포함한 총 8개사가 고객의 개인정보에 관한 조치를
제대로 이행하지 않아 각 1000만원 과태료 처분을 받았다.

결제대행사란 온라인 쇼핑몰이나 통신사 등에서 사용자가 돈을 낼 때 결제를 중계하는 정보통신 사업자를 뜻한다.

15일(2017.03) 방송통신위원회는 전체회의를 열고 이같은 내용의 국내 8개 결제대행사에 대해 각각 1천만원의 과태료를 부과하는 시정조치(개인정보 보호 법규 위반 사업자에 대한 시정조치 안건)를 의결했다.

이에 따라  A사, B사등 8개 사업자는 과태료1000만원을 각각 내야한다.
(사업자의 법인 대표와 개인정보보호 책임자, 개인정보취급자 등은 정기적 교육을 진행해야 하며 교육결과와 재발방지책 등을 마련해 보고해야 한다.)

조사결과, 이번 과태료 1000만원 처분을 받은 8개사들은 자사들의 결제서비스를 이용하는 가맹점들이 접속할 때 아이디와 비밀번호만으로 접근이 가능하도록 허술한 관리를 했다.
(이 업체들은 외부 가맹점이 고객 개인정보가 저장된 자사 시스템에 접속할 때 '보안토큰' '휴대전화 인증' '일회용 비밀번호' 등 관련 법이 정한 보안 조처를 적용하지 않은 것으로 조사됐다.)

 가맹점 편의만 생각해 단순히 ID와 PW(비밀번호)만 치면 개인정보 시스템에 접속할 수 있게 해 해킹이나 개인정보 유출 등 위험을 키웠다는 것이다.

방통위 관계자는 "보안 조처를 강화하면 가맹점이 서비스가 불편하다며 다른 결제대행사로 옮겨갈 수 있어
보안이 부실해진 측면이 있었다"며 "모든 결제대행사가 같은 보안 조처를 이행할 수 있도록 모니터링하겠다"고 설명했다.

[관련법령]                                                국가법령정보센터(http://www.law.go.kr/main.html)

▶ 개인정보의 기술적 관리적 보호조치 기준     [시행 2015.5.19] [방송통신위원회고시 제2015-3호, 2015.5.19, 일부개정] ~생략~  제4조(접근통제) ① 정보통신서비스 제공자등은 개인정보처리시스템에 대한 접근권한을 서비스 제공을 위하여 필요한 개인정보관리책임자 또는 개인정보취급자에게만 부여한다. ② 정보통신서비스 제공자등은 전보 또는 퇴직 등 인사이동이 발생하여 개인정보취급자가 변경되었을 경우 지체없이 개인정보처리시스템의 접근권한을 변경 또는 말소한다. ③ 정보통신서비스 제공자등은 제1항 및 제2항에 의한 권한 부여, 변경 또는 말소에 대한 내역을 기록하고, 그 기록을 최소 5년간 보관한다. ④ 정보통신서비스 제공자등은 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속이 필요한 경우에는 안전한 인증 수단을 적용하여야 한다. ~ 생략 ~

[No. 2] 정보통신망법 위반사항이 적발된 C회계법인은 시정명령을 받았다.

C회계법인은 자격증 응시 등을 위한 홈페이지를 영리목적으로 운영하는 정보통신망법 사업자로서,
'마케팅 광고 활용' 에 이용자들이 동의하지 않으면 회원가입을 불가능하게 한 사실이 드러나 시정명령을 받게 됐다.

[관련법령]                                              국가법령정보센터(http://www.law.go.kr/main.html)

개인정보 보호법[시행 2016.9.30.] [법률 제14107호, 2016.3.29., 일부개정] 제3장 개인정보의 처리 제1절 개인정보의 수집, 이용, 제공 등 제16조(개인정보의 수집 제한) ① 개인정보처리자는 제15조제1항 각 호의 어느 하나에 해당하여 개인정보를 수집하는경우에는 그 목적에 필요한 최소한의 개인정보를 수집하여야 한다. 이 경우 최소한의 개인정보 수집이라는 입증책임은 개인정보처리자가 부담한다. ② 개인정보처리자는 정보주체의 동의를 받아 개인정보를 수집하는 경우 필요한 최소한의 정보 외의 개인정보 수집에는 동의하지 아니할 수 있다는 사실을 구체적으로 알리고 개인정보를 수집하여야 한다.<신설 2013.8.6.> ③ 개인정보처리자는 정보주체가 필요한 최소한의 정보 외의 개인정보 수집에 동의하지 아니한다는 이유로 정보주체에게 재화 또는 서비스의 제공을 거부하여서는 아니 된다.<개정 2013.8.6.> [ 개인정보_보호법_해설서(20160329)] (http://cafe.naver.com/rapid7/2721) 4. 재화 등 제공 거부 금지 필요 최소한의 정보 외의 개인정보 수집에 동의하지 아니한다는 이유로 정보주체에게 재화 또는 서비스 제공을 거부해서는 안 된다. 서비스 제공에는 회원 가입도 포함된다. 유료의 경우는 물론이고 무료의 경우도 마찬가지이다. 이는 개인정보 수집·이용에 대해 강요된 동의를 막기 위한것이다. 따라서 정보주체의 동의를 받으면서 선택정보에 대한 동의를 거부할 경우 재화 또는 서비스의 이용이 제한될 수 있다고 알리는 것은 가능하다. 5. 벌칙 규정 - 위반행위 필수정보 이외의 정보 수집에 동의하지 않는다는 이유로 재화 또는 서비스의 제공을 거부한 자 (제16조제3항 위반) - 벌칙 3천만원 이하 과태료 (제75조제2항제2호)

     

개인정보보호/ISMS/PIMS/ISO27001 컨설팅