개인정보보호법 안전성 확보 조치기준

뉴딜코리아 홈페이지 

☞ 첨부파일 :

 ㅇ개인정보보호법 주요내용(한국인터넷진흥원, 2017, 2018) (클릭연결)

 ㅇ개인정보보호법 안전성확보조치기준

■ 개인정보 보호 원칙

1. 처리 목적의 명확화, 목적 내에서 적법하고정당하게 최소 수집
2. 처리 목적 내에서 처리, 목적 외 활용 금지
3. 처리 목적 내에서 정확성·완전성·최신성보장
4. 정보주체의 권리침해 위험성 등을 고려하여 안전하게 관리
5. 개인정보 처리사항 공개, 정보주체의 권리보장
6. 사생활 침해 최소화 방법으로 처리
7. 가능한 경우 익명 처리
8. 개인정보처리자의책임 준수, 정보주체의신뢰성 확보

■ 정보주체의 권리
1. 개인정보의처리에관한 정보를제공받을권리
2. 개인정보의처리에관한동의여부, 동의범위등을선택, 결정할권리
3. 개인정보의처리 여부 확인, 개인정보 열람을요구할 권리(사본의 발급 포함)
4. 개인정보의 처리 정지, 정정·삭제및 파기를 요구할 권리
5. 개인정보의 처리 피해를 신속, 공정하게 구제받을 권리

ISMS 인증컨설팅 | 취약점 진단 및 모의 침투 | 보안솔루션 공급

(070-7867-3721, ismsbok@gmail.com)

 뉴딜코리아 홈페이지 

2018년 개인정보보호법 주요 개정내용과 준수해야 할 사항

1. 최근 개인정보보호법 개정 주요 내용

2. 개인정보의 안전성 확보조치 기준

3. 개인정보보호법 개정 추진 현황

4. 개인정보 유출 사례



■ 최근 개인정보보호법 개정 주요 내용


1) 주민번호 전자적 보관시 반드시 암호화

   적용시기 : - 100만명미만주민번호 : 2017.1.1.부터
                 - 100만명이상주민번호 : 2018.1.1.부터

   ※적용시점전까지,암호화,위험도분석또는영향평가결과에따라보관

2) 주민번호 처리 제한 강화

   적용대상 : 모든 개인정보처리자(민간/공공)

   처리기준 :
    ① 법령에서 구체적 요구 또는 허용
       법률, 대통령령, 국회규칙·대법원규칙·헌법재판소규칙·
       중앙선거관리위원회규칙및감사원규칙(2016.3.29.개정)
    ② 정보주체또는제3자의급박한생명, 신체, 재산상이익에필요
    ③ 행정자치부령으로 정하는 경우

    ※ 법령근거 없는 주민번호 2016.8.6.까지 파기의무(경과조치)

3) 민감정보 보호 강화
   민감정보가 분실·도난·유출·위조·변조·훼손되지 않도록 안전성 확보조치 수행

4) 고유식별정보 보호 강화
   고유식별정보의 안전성 확보조치를 하였는지 행정자치부가 2년 1회 이상 조사
   ▶ 의무대상 : 공공기관, 정보주체 5만명 이상의 고유식별정보처리자
   ▶ 조사방법: 온라인, 서면 조사

5) 정보주체 권리구제 강화

   ○ 징벌적 손해배상 : 고의·중과실로 개인정보를 유출한 기관에 가중된 책임을 물어 법원이 피해액의 최대 3배까지 배상액 부과

   ○ 법정 손해배상 : 개인정보유출등경우구체적피해액입증없이 법원을 통해 정해진 일정금액(300만원 이내)을 보상

6) 개인정보처리자 의무 강화

7) 개인정보보호 인증

8) 개인정보보호 책임자 지정 요건 강화
   개인정보 보호책임자를 사업주, 대표자, 개인정보 처리 관련업무 부서장, 임원으로 지정하도록 함

9) 정보주체 보호 강화

10) 유출 신고 강화
    개인정보가 유출된 경우 행정안전부, 전문기관(KISA)에 신고
    기존 : 1만명 이상의 정보주체에 관한 정보 유출
    개정 : 1천명 이상 유출시


☞ 첨부파일 : 2018년 개인정보보호법 주요 개정내용과 준수해야 할 사항(KISA 김호성)

ISMS 인증컨설팅 | 취약점 진단 및 모의 침투 | 보안솔루션 공급
(070-7867-3721, ismsbok@gmail.com)

표준 개인정보 유출사고 대응 매뉴얼

뉴딜코리아 홈페이지  표준 개인정보 유출사고 대응 매뉴얼 1. 개요 1.1 목적 ‘개인정보 유출사고 대응 매뉴얼’은 ‘개인정보 보호법’ 및 같은법 시행령, 시행규칙에 따라 개인정보 유출사고에 대한 신속하고 체계적인 대응을 목적으로 한다.  ※ 관련근거 : 표준 개인정보 보호지침 제29조(개인정보 유출 사고 대응 매뉴얼 등) 1.2 법적 근거 o 개인정보 보호법 및 시행령, 시행규칙 o 표준 개인정보보호 지침 o 개인정보의 안전성 확보조치 기준 1.3 적용범위 o 해킹, 분실, 도난 등으로 인해 개인정보가 내·외부자에 의하여 유출된 경우에 적용된다. o 유출된 개인정보의 종류, 수량, 암호화 여부, 유출시기, 개인정보취급자의 고의?과실 여부 등을 묻지 아니한다. 2. 가이드 o 단 1건만 유출되어도 정보주체(예: 고객, 회원)에 대한 통지 등 의무를 이행하고, 1천명 이상 유출 된 경우 행정자치부 및 한국인터넷진흥원에 신고 o 유출된 정보(예: 비밀번호, 계좌번호 등)가 암호화되어 있어도 정보주체 통지 의무 이행 3. 개인정보 유출의 개념 표준 개인정보보호지침 제25조(개인정보의 유출) 개인정보의 유출은 법령이나 개인정보처리자의 자유로운 의사에 의하지 않고, 정보주체의 개인정보에 대하여 개인정보처리자가 통제를 상실하거나 권한 없는 자의 접근을 허용한 것으로서 다음 각 호의 어느 하나에 해당하는 경우를 말한다.  1). 개인정보가 포함된 서면, 이동식 저장장치, 휴대용 컴퓨터 등을 분실하거나 도난당한 경우  2). 개인정보가 저장된 데이터베이스 등 개인정보처리시스템에 정상적인 권한이 없는 자가 접근한 경우  3). 개인정보처리자의 고의 또는 과실로 인해 개인정보가 포함된 파일 또는 종이문서, 기타 저장 매체가 권한이 없는 자에게 잘못 전달된 경우  4). 기타 권한이 없는 자에게 개인정보가 전달된 경우 첨부파일 : 표준 개인정보 유출사고 대응 매뉴얼 (2017.12) ISMS/P 인증 컨설팅 뉴딜코리아 컨설팅사업부 (070-7867-3721, ismsbok@gmail.com)   댓글쓰기 1/1 이전 다음

개인정보보호 (4차 산업혁명·EU GDPR 대응) 세미나 자료집 (20170705)

 뉴딜코리아 홈페이지 

개인정보보호 (4차 산업혁명·EU GDPR 대응) 세미나

(개인정보보호위원회)

■ 4차 산업혁명·EU GDPR 대응 「개인정보보호 (4차 산업혁명·EU GDPR 대응 ) 세미나

□ 이번 행사는 유럽 일반개인정보보호규정(EU GDPR) 시행('18.5.25)을 계기로 우리 제도의 개선과제와  발전방향을 논의하기 위해 기획 ( EU GDPR이라는 새로운 규제 환경에 국내 기업들의 대응 방안과 향후 우리나라 개인정보보호 제도의 발전을 논의)

□ 기조연설 : EU GDPR과 우리 법제의 비교 분석 및 입법수요 도출 / 서울대 고학수 교수

□ 발표내용
   세션 1 : 정보주체의 개인정보 자기결정권 강화를 위한 법 개선과제 (고려대 박노형 교수)
   세션 2 : 빅데이터· AI 시대 개인정보의 안전한 활용을 위한 법 개선과제 (법무법인 민후 김경환 변호사)
   세셴 3 : EU GDPR 발효가 미치는 영향과 대응방안 (가천대 최경진 교수)

☞  자세한 내용은 첨부된 4차 산업혁명·EU GDPR 대응「개인정보보호 세미나」 자료를 참고하시기 바랍니다. (http://cafe.naver.com/rapid7/3001)

EU GDPR 대응 컨설팅 & 교육

뉴딜코리아 컨설팅 사업부 (070-7867-3721, ismsbok@gmail.com)

개인정보보호 연차보고서 (2017)

뉴딜코리아 홈페이지               

                                     

개인정보보호 연차보고서(2017년)
(Annual Report on Personal Information Protection)

개인정보 보호법 제67조에 따라 개인정보보호위원회에서 작성하여 국회에 제출한 개인정보보호 연차보고서입니다

1. 지난 1년간 개인정보보호 정책의 추진성과 및 해외 주요국가 동향 등 수록

□ 이 보고서는  법령에 대한 개인정보 침해요인 평가, 관계기관에 대한 제도개선 권고 등‘17년부터 대폭 강화된 위원회 역할과 활동성과를 소개하고,

 ❍ 법·제도 동향, 산업환경 변화 등 국내·외 정책 환경을 분석하였으며,

 ❍ 정보주체의 권리보장 강화 및 분쟁조정, 침해요인 사전예방 등 2015년 대비 달라진 정책을 중심으로 이해하기 쉽도록 추진성과를 집약하였다.

 ❍ 특히, 보고서 도입부분에서는 2016년 성과를 한눈에 볼 수 있도록‘개인정보보호 정책, 이렇게 달라졌습니다.’와, ‘데이터로 보는  정책 성과’를 인포그래픽 형태로 구성해 정책환경의 변화와 성과를 한눈에 볼 수 있도록 하였다.


□ 주요성과로는 개인정보보호 관련 핵심제도 선진화 및 유사법률 간 정합성 제고를 위해 「개인정보 보호법」, 정보통신망법, 신용정보법을 개정함으로써 주민등록번호 수집 법정주의 강화, 징벌적 손해배상제도 시행, 개인정보 수집출처 고지 의무 강화 등 개인정보보호 정책 기반을 더욱 견고히 한 것으로 나타났다.

 ❍ 행정자치부가 ‘법령상 주민등록번호 처리 허용 5대 기준’을 마련하여 일제 정비를 시행한 결과 주민등록번호 수집 근거법령수가 41% 감소 하였으며, - 개인정보보호 실태조사 결과 민간기업의 개인정보보호 담당부서는  전년대비 34% 증가하여 개인정보보호를 위한 기반이 강화되었다

❍ 한편, 보호위원회는 “개인의 존엄과 가치가 구현되는 지능정보사회”를 비전으로 설정하고 4대 분야 11개 과제를 선정하는 등 2018년부터 2020년까지의「제3차 개인정보 보호 기본계획」을 수립하였는가 하면,

 ❍ 중앙행정기관이 소관법령을 제·개정하고자 할 경우 보호위원회로부터 사전평가·심의 절차를 이행하도록 하는‘개인정보 침해요인 평가제도’를 2016년 7월부터 시행한 결과, 평가대상 총64건 중 41건(64%)에 대하여 개선 권고했다고 밝혔다.


□ 2017 개인정보보호 연차보고서의 구성은
▲ 제1편 개인정보보호 정책환경 및 현황,
▲ 제2편 개인정보보호 정책 추진성과,
▲ 제3편 기관별 실적과 향후계획, 
▲ 제4편 해외 동향으로

구성되어 개인정보보호 관련 정책현황은 물론 지난 1년간의 정책 추진성과, 각 기관별 실적, 해외 정책동향 등을 조망할 수 있도록 하였다.

□ 이번 연차보고서는 국제적 환경변화 및 ICT 고도화에 따라 끊임없이 새로운 이슈가 발생하는 개인정보보호 정책환경을 살펴보고, 지난 2016년 한 해 동안의 정책성과를 쉽게 이해할 수 있도록 구성하였다”며 “4차 산업혁명 도래, EU GDPR 시행 등 갈수록 큰 폭으로  변화하는 환경에 따른 개인정보보호의 중요성을 재확인하고 이에 대비하는 유용한 가이드가 될 것

□ 연차보고서는 「개인정보 보호법」 제67조에 따라 국회에 보고되며,    각 정부기관 및 지방자치단체, 국‧공립도서관 등 공공기관과 대학교에 배부하여 개인정보보호에 대한 인식 제고와 제도발전을 위한 길라잡이로 활용  되도록 할 계획이다.

2. 연차보고서 편별 주요내용 및 목차

□ 연차보고서 편별 주요내용

 ❍ 제1편에서는 관련 법령 제·개정, 침해요인 평가제도 등의 도입으로 한층 강화된 국내 개인정보보호 정책의 주요이슈와 빅데이터, 자율주행차,  핀테크, 인공지능 등 산업 각 분야의 개인정보보호 주요이슈를 담아 ICT 기술 발전에 따른 정책환경의 변화를 분석하였다.

또한, 2014년부터   추진된 개인정보보호 정상화 대책 추진현황과 실태조사 결과, 역대 최고 과징금 부과 등의 행정처분 및 주요판례 등을 수록하였다.

 ❍ 제2편에서는 관련 법령에 따른 보호위원회의 주요 활동을 비롯해 주민등록번호 수집·이용 최소화를 위한 「개인정보 보호법」 개정 등의 법령 및 제도 정비, 침해요인 평가제도 시행, 개인정보 실태점검, 교육 및 홍보, 국제협력 강화 등 한층 강화된 개인정보보호 정책 기능을 알기 쉽게 정리하였다.

 ❍ 제3편에서는 4개 헌법기관과 46개 중앙행정기관, 17개 지방자치단체가 지난 1년 동안 추진한 개인정보 영향평가 수행, 정보주체의 권리 보장 강화, 개인정보 유·노출 및 침해사고 예방 활동 등 개인정보보호 정책 추진 실적을  수록하였다.

 ❍ 제4편에서 국제연합(UN), 경제협력개발기구(OECD), 아시아·태평양경제 협력체(APEC) 등 국제기구 및 국제협의체를 비롯해 EU GDPR 시행을 앞둔 유럽연합, 미국과 캐나다, 일본과 중국 등 세계 주요국의 개인정보보호 관련 정책동향을 실어 우리나라 개인정보보호 정책의 현주소를   가늠할 수 있도록 하였다.

□ 연차보고서 목차

2016 한눈에 보는 개인정보보호 정책 성과
 - 개인정보보호 정책, 이렇게 달라졌습니다
 - 데이터로 보는 정책 성과

제1편 개인정보보호 정책환경 및 현황

제1장 정책환경
   제1절 개인정보보호 주요 이슈
   제2절 개인정보보호 주요 동향
   제3절 개인정보보호 정상화 대책 추진현황 및 실적
   제4절 개인정보보호 실태조사 결과

제2장 행정처분 및 판례
   제1절 개인정보보호 관련법 위반 행정처분
   제2절 개인정보보호 주요 판례

제2편 개인정보보호 정책 추진성과

제1장 개인정보보호위원회 활동
   제1절 개인정보보호위원회 운영 및 조직 강화
   제2절 개인정보보호 기본정책 수립 및 정책연구 강화
   제3절 법령의 개인정보 침해요인 평가
   제4절 법령의 해석 등에 관한 의결
   제5절 개인정보 분쟁조정
   제6절 국제협력 및 국민 인식 강화

제2장 개인정보보호 정책 및 제도 개선
   제1절 개인정보보호 관련 법·제도 개선
   제2절 국제 공조 및 국제협력 강화

제3장 개인정보보호 기반 강화
   제1절 개인정보 침해 사고 예방 강화
   제2절 정보주체 권리 보장
   제3절 개인정보 실태 점검 및 개선
   제4절 개인정보 환경 개선과 기술 지원
   제5절 자율규제 촉진 

제4장 개인정보보호 인식 제고
    제1절 개인정보보호 교육
    제2절 개인정보보호 홍보

제3편 기관별 실적 및 향후계획

제1장 헌법기관
제2장 중앙기관  
제3장 지방자치단체

제4편 해외 동향

제1장 국제기구·국제협의체
   제1절 국제연합(UN)
   제2절 경제협력개발기구(OECD)
   제3절 아시아·태평양경제협력체(APEC)
   제4절 아시아·태평양 프라이버시 감독기구(APPA) 포럼
   제5절 국제개인정보보호감독기관회의(ICDPPC)
   제6절 국제프라이버시네트워크(GPEN)

제2장 유럽
   제1절 유럽연합
   제2절 영국
   제3절 프랑스
   제4절 독일

제3장 미주
   제1절 미국
   제2절 캐나다

제4장 아시아·태평양
   제1절 일본
   제2절 중국
   제3절 싱가포르
   제4절 호주

<부록>  인용 법률 발췌문


[참고] 2016 한눈에 보는 개인정보보호 정책 성과

[첨부파일]
- 개인정보보호 연차보고서_보도자료(2017)
- 개인정보보호_연차보고서_2017(뉴딜코리아)

뉴딜코리아 컨설팅사업부

( 070-7867-3721, ismsbok@gmail.com)

영업양도 등에 따른 개인정보의 이전 제한 정리 (개인정보보호법)

▣ 영업양도 등에 따른 개인정보의 이전 제한

□ 영업양도, 합병 등으로 영업자산을 다른 사업자에게 이전할 때에는 기존 사업자가 가지고 있던 개인정보DB 등에 관한 권리·의무도 포괄적으로 다른 사업자에게 승계된다.

그 결과 정보주체에게 원치 않는 결과가 초래될 수 있으므로 영업양도, 합병 등으로 인한 개인정보의 이전 시에는 정보주체가 회원탈퇴, 동의철회 등의 권리를 행사할 수 있는 기회를 미리 부여하여야 한다.

이 때의 영업양도,합병 등은 민간사업자를 대상으로 한다.


○ 법률 : 개인정보 보호법 [시행 2017.3.30.]
           제27조(영업양도 등에 따른 개인정보의 이전 제한)

○ 시행령 : 개인정보 보호법 시행령 [시행 2017.6.27.]
               제29조(영업양도 등에 따른 개인정보 이전의 통지)


1. 영업양도․양수자 등의 통지의무(제1항, 제2항)

2. 영업양도․양수 등의 통지방법(제1항, 제2항, 영 제29조)

3. 영업양도․양수 등의 통지시기(제1항, 제2항)

4. 개인정보의 목적외 이용․제공금지(제3항)

5. 회사의 분할 및 분할합병에의 적용 여부

6. 다른 법률과의 관계
  - 정보통신망 이용촉진 및 정보보호 등에 관한 법률
  - 정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령
  - 신용정보의 이용 및 보호에 관한 법률

7. 벌칙규정
   - 영업양도 등에 따른 개인정보 이전사실 미통지 (제27조제1항 및 제2항 위반)
     . 1천만원 이하의 과태료 (제75조제3항제6호)

   - 이전 당시의 본래 목적외로 개인정보를 이용하거나 제3자에게 제공 (제27조제3항 위반)
     . 5년이하의 징역 또는 5천만원 이하의 벌금(제71조제2호)


▶ 추가상세 내용 : 영업양도 등에 따른 개인정보의 이전 제한(뉴딜코리아)

개인정보 보호법에서의 동의, 고지, 통지, 공개의 차이

 뉴딜코리아 홈페이지 

 개인정보 보호법 및 하위법령, 고시 등에서는 각각의 개인정보 처리요건에 대해 동의, 고지, 통지, 공개 등의 용어가 사용되고 있어 이의 명확한 의미 및 규정예시를 정리함


▶ 동의

o 정보주체가 개인정보의 처리에 대해 허락･승낙하겠다는 의사표시(명시적 의사표시를 의미함)

※ (규정예시) 개인정보 수집･이용(제15조), 제3자 제공(제17조), 목적외이용 또는 제3자 제공(제18조), 민감정보 또는 고유식별정보 처리(제23조 또는 제24조) 등


▶ 고지

o 개인정보 처리에 대한 동의를 받는 경우, 처리목적 등에 관한 사항을 동의서 등에 명시하거나 구두로 정보주체에게 알려주는 행위

※ (규정예시) 개인정보 수집･이용(제15조), 제3자 제공(제17조), 목적외이용 또는 제3자 제공(제18조), 민감정보 또는 고유식별정보 처리(제23조 또는 제24조) 등


▶ 통지

o 개인정보 보호법이 정하는 일정 사항을 정보주체 개개인에게 도달되도록 알리는 행위 (서면, e-mail, 팩스, 전화, 문자전송 등)

※ 개인정보보호법에서는 “정보주체에게 알려야 한다”는 표현도 사용하고 있음

※ (규정예시) 홍보･판매권유 위탁 통지(제26조제3항), 영업양도 통지(제27조제1항), 개인정보 유출통지(제34조), 정정･삭제 및 처리정지 결과 통지(제36조, 제37조) 등

※ 수집출처 고지의무(제20조)는 ‘고지’라는 표현을 사용하고 있으나 해석상 ‘통지’에 보다 가까움


▶ 공개

o 개인정보 보호법이 정하는 일정 사항을 정보주체 누구나 용이하게 열람･확인 가능한 상태로 두는 것

※ (규정예시) 처리위탁 공개(제26조제2항), 개인정보 처리방침 공개(제30조), 영상정보처리기기 운영관리방침 공개(시행령 제25조), 개인정보 보호책임자 공개(표준지침 제23조), 개인정보파일 공개(제32조) 등

뉴딜코리아 컨설팅 사업부 (070-7867-3721, ismsbok@gmail.com)

 

개인정보 수집 동의서 개정 예고(2017년 7월 13일)

 뉴딜코리아 홈페이지 

개인정보 수집 동의서

개인정보 보호법 시행령 및 시행규칙 개정 예정 (2017년 7월 13일)

□ 이젠 개인정보 수집 동의서 읽기가 한결 쉬워진다

- 자신의 개인정보 열람 및 삭제 요청 절차도 간편하게 개선 -


☏ 개인정보보호 컨설팅 전문기업 뉴딜코리아는

   " 이번 제도 개선을 통해 국민의 개인정보 수집 동의권이 보다 강화되고, 스팸 전화·메일 등으로 인한 국민 불편이 줄어들 것으로 기대된다.”라며,

   " 앞으로 정보주체의 의사를 명확히 확인하고, 개인정보 처리를 투명하게 하는 등 보다 성숙한 개인정보 보호문화가 정착되기를 바란다.”라고 말했다.

☞ 상세내용 : http://cafe.naver.com/rapid7/2937

EU 개인정보보호법제(GDPR) 분석

 뉴딜코리아 홈페이지
 

EU 개인정보보호법제(GDPR) 분석 및 개인정보보호법제 개선 입법수요

■ 연구의 내용

1) GDPR과 개인정보보호법 비교 분석

GDPR은 아동에 대한 특별한 보호의 필요성을 강조하고 투명성, 잊혀질 권리등 관련 여러 조항에 명시적으로 언급하고 있다.

둘째, 정보주체의 권리는 개인정보보호법에서 규정된 정보주체의 권리를 모두 포함할 뿐만 아니라, 자기정보 이전에 관한 권리, 반대권 등 개인정보보호법에서 다루고 있지 않는 권리를 다루고 있다.

셋째, 국내법상 개인정보 영향평가는 공공기관을 대상이 대규모 개인정보파일의 처리하는 경우 그 위험성을 제3자인 평가기관으로 하여금 평가하도록 하는 반면, GDPR은 개인정보처리 이전에 개인정보처리자로 하여금 그러한 처리에 대한 위험성을 자체적으로 평가하도록 규정하고 있다.
평가 대상을 선정함에 있어서 산술적 기준에 근거하는 개인정보보호법과 달리, GDPR은 평가 대상이 되는 개인정보 처리의 유형을 규정하고 있으며, 평가의 결과에 따라 해당 개인정보의 처리가 위험하다고 판단되는 경우, GDPR은 사전협의 과정에서 감독당국으로 하여금 처리의 금지를 포함한 구속력있는 제재를 가할 수 있도록 규정하고 있다는 점에서 개인정보보호법의 영향평가와 차이를 보인다.

넷째, GDPR에 따른 행동강령의 제정은 특정 업종에 종사하는 개인정보처리자의 개인정보처리가 특정 상황에서 어떻게 규율될 수 있는지에 대한 자율적인 가이드라인 역할을 할 것으로 기대된다.

다섯째, GDPR은 국외이전에 대하여 구체적이고 세부적인 규정을 두어 유럽연합의 보호수준에 미치지 못하는 제3국 또는 국제기구로의 개인정보 이전을 금지하고 있다.

여섯째, GDPR에서 감독당국은 독립성이 보장된 국가기관으로 그 임무가 방대하고 권한이 막강하다.
향후 우리기업이 EU 역내 기업과 동등한 지위로 활동하기 위해서는 EU 개인정보보호 적합성 평가의 통과가 필요한바, 이를 위해서는 GDPR에서 요구하는 감독기관의 독립성과 임무와 권한을 개인정보보호위원회에 부여하여야 한다.

2) 빅데이터 분석 등 개인정보보호 활용방안

GDPR은 개인정보의 가치를 극대화하는 동시에, 정보주체의 권리를 보호하기 위해 익명처리와 가명처리를 구분하고, 재식별 가능성을 필연적으로 수반하는 가명처리정보를 개인정보로서 GDPR의 적용범위에 포섭시키는 한편 공익을 위한 기록보존, 과학 및 역사 연구, 통계 목적으로 개인정보를 처리하는 경우 예외를 인정하고 있다.

이와 달리, 미국과 일본의 개인정보보호법제는 재식별 가능성이 희박한 비식별정보 및 익명가공정보를 더 이상 개인정보로 취급하지 않는 동시에, 해당 정보가 재식별되는 것을 방지하기 위하여 재시별 금지 규정 등을 포함한 여러 관련 규정을 도입하고 있다.

빅 데이터 분석을 포함한 개인정보의 활용을 보다 폭 넓게 허용하기 위하여 GDPR을 반영하는 경우, 개인정보보호법은 가명처리정보의 목적 외 이용·제공을 허용하는 방식으로 해석·개정될 수 있다. 이와 달리, 개인정보보호법이 미국 및 일본의 법제를 반영하는 경우 – 즉, 비식별 처리된 개인정보를 더 이상 개인정보로 취급하지 않는 경우 – 학술연구 또는 통계목적 뿐만 아니라, 다른 목적에 근거한 비식별 정보의 활용 역시 허용될 수 있다.

3) 프로파일링과 동의 관련 규정 검토


개인정보보호법과 달리, GDPR은 빅 데이터 분석과 불가분의 관계에 있는 프로파일링을 포함한 대규모 자동처리 방식에 따른 개인정보의 처리를 별도로 규율하고 있다.

이에 따라 프로파일링을 시행하는 개인정보처리자는 반드시 해당 처리의 위험성을 사전에 예측하기 위하여 개인정보 영향평가를 시행하여야만 하며, 정보주체는 인간의 개입이 전혀 존재하지 않는 자동화된 방식의 개인정보처리 결과에 종속되지 않을 권리를 가진다.

또한 동의와 관련하여, 일반적으로 정보주체의 동의는 개인정보 수집을 포함한 처리를 적법하게 만드는 기본적인 법적 근거이다.

그러나 정보주체의 동의는 개인정보 처리를 위한 다양한 법적 근거 중의 하나에 불과하며, 이러한 동의는 언제든지 철회될 수 있다는 점에서 가장 안전한 또는 안정된 법적 근거가 될 수 없다.

그럼에도 불구하고, 정보주체의 동의가 자신의 개인정보 처리를 통제하는데 가장 좋은 수단이라는 사실에는 이견이 있을 수 없다.

정보주체의 동의에 근거하여 그의 개인정보를 처리하는 개인정보처리자는 동의가 주어지는 방식과 관련 문서가 GDPR의 관련 규정에 비추어 적절한지 유의하여야 하며, 특히 동의가 주어진 사실에 대한 입증책임이 개인정보처리자가 있음을 유의하여야 할 것이다.

동의에 근거한 개인정보의 처리가 어려운 경우, 특히 사업자인 개인정보처리자는 GDPR 제6(1)(f)에 규정된 개인정보처리자 또는 제3자의 정당한 이익에 근거한 개인정보 처리에 보다 더 큰 관심을 가질 것으로 보인다.


■ 기대효과
본 연구 결과는 EU GDPR와 국내 법제를 비교 분석하고 우리 법제의 개선방향을 제시함으로써 빅데이터 등 기술 발전 대응 및 국제적 상호운용성을 갖추기 위한 자료로 활용할 수 있다.


■ 첨부파일
GDPR(번역문) 포함

개인정보 실태점검 및 교육 수행

뉴딜코리아 컨설팅 사업부 / 070-7867-3721, ismsbok@gmail.com

개인정보 보호 기본계획(제3차 , 2018년부터 2020년까지) 개인정보보호위원회

 뉴딜코리아 홈페이지 | 뉴딜코리아
http://cafe.naver.com/rapid7/2725

개인정보보호위원회,「제3차 개인정보 보호 기본계획」발표
- 2018년부터 2020년까지의 개인정보 보호 기본방향 제시 -

□ 개인정보보호위원회(위원장 이홍섭)는 26일 제23차 전체회의를 열고, 2018년부터 2020년까지의 개인정보 보호 추진 방향 및 과제 등을 담은 제3차 개인정보보호 기본계획(이하 ‘기본계획’)을 심의‧의결하였다.


□ 기본계획은『개인정보보호법』에 따라 3년마다 수립*하는 중기계획으로, 

    * 3년이 시작되는 해의 전전년도 말까지 수립 (『개인정보 보호법 시행령』 제11조1항)

 ○ 개인정보 보호의 기본목표, 추진방향, 관련 제도 및 법령 개선, 침해방지 대책 등 중요 사항을 담고 있으며, 각 중앙행정기관*은 이 기본계획에 따라 연차별 시행계획을 수립·시행하게 된다.  
    * 연차별 시행계획 작성대상 : 총 47개 중앙행정기관 (17부 5처 16청, 6위원회, 국정원, 감사원, 국무총리실)

 ○ 제1차(‘12~’14년), 제2차(‘15~’17년) 기본계획까지는 행정자치부가 수립하고 보호위원회가 심의‧의결하였으나, 보호위원회의 총괄‧조정 기능을 강화하는 내용으로『개인정보보호법』이 개정(‘15.7월)됨에 따라 제3차 기본계획(‘18~’20년)부터는 보호위원회가 직접 수립하게 되었다.


□ 제1·2차 기본계획이 법‧제도‧조직 등 개인정보보호 추진 인프라 확충 및 역량강화를 강조한 반면, 

 ○ 이번 제3차 계획은 개인정보보호 체계를 고도화하고 유기적으로 작동할 수 있도록 함으로써, 급변하는 정책 환경에 능동적으로 대처하는 데 역점을 두었다고 보호위원회는 밝혔다.

《 참고 》 제1·2·3차 개인정보 보호 기본계획 비교

구 분	제1차 기본계획	제2차 기본계획	제3차 기본계획
대상시기	2012~2014년	2015~2017년	2018~2020년
수립주체	행정안전부	안전행정부	개인정보보호위원회 (개인정보보호법 개정)
비 전	개인의 존엄과 가치가 존중받는 선진 정보사회	좌동	개인의 존엄과 가치가 구현되는 지능정보사회
목 표	보호체계 정립, 보호 역량 강화, 침해 예방 및 대응 강화, 사회적 인식제고	거버넌스 구조 선진화, 보호‧관리체계 강화, 보호 실천문화 조성, 선순환 생태계 조성	이해관계자들의 능동적 개인정보 보호 활동 강화, 개인정보 보호 제도의 현실화 및 글로벌 수준 제고
주요 추진과제	법 체계 정비, 범정부 협의체 구축, 처리실태 점검, 침해예방 대책 수립, 홍보 강화 등	조직 내 전담체계 마련 및 역량 강화, 기술개발, 전문 인력 양성, 개인영상정보 보호·관리 체계 구축 등	Privacy by Design* 가이드라인 개발·보급, 지능정보사회 대응방안 마련, 영세사업자 지원 확대, 국제사회와의 글로벌 협력 강화 등

* Privacy by Design : 제품‧서비스 설계단계부터 개인정보 보호에 최적화되도록 설계

□ 이에 따라 보호위원회는 “개인의 존엄과 가치가 구현되는 지능정보사회”를 비전으로 설정하고, 4대 분야* 11개 과제를 선정하여 추진할 계획이다. 

    * 4대 분야 : 정보주체, 개인정보 처리자, 정부, 거버넌스

 ○ 주요 과제를 보면, 정보주체 부문에서는 개인정보 자기결정권을 실질적으로 보장하고 유사시 피해구제가 적절히 이루어질 수 있도록 관련 제도를 정비한다.

 ○ 개인정보 처리자 부문에서는 업종별로 자율규제를 활성화하고, 영세 사업자에 대한 기술적 보호조치 지원을 강화하며, 제품‧서비스 개발시 설계단계부터 개인정보 보호 최적화 설계(Privacy by Design)를 할 수 있도록 가이드라인을 개발‧보급한다. 

 ○ 정부 부문은 법‧제도 발전을 위한 개인정보 보호 실태조사를 확대하고, 관련 법령 간 정합성을 확보할 수 있도록 법체계를 정비하며, EU의 개인정보 보호 적정성 평가를 추진하는 등 글로벌 국제협력을 강화한다. 

 ○ 거버넌스 부문에서는 중앙정부-지자체 간 협력을 통해 취약분야에 대한 점검을 강화하고, 관계기관‧사업자 등과 공동으로 개인정보 유출‧노출에 대한 상시 모니터링을 확대하며, 지능정보사회에서의 개인정보 보호 방안에 대한 사회적 논의를 강화한다. 

「제3차 개인정보 보호 기본계획」 원문 : 개인정보보호위원회 홈페이지(www.pipc.go.kr) 참조

□ 이홍섭 개인정보보호위원회 위원장은 “지능정보사회로의 진화에 따라 개인정보 보호에 대한 관심이 날로 커져 가는 상황에서, 국민적 기대에 부응하는 기본계획을 마련하기 위해 노력했다”고 밝히고, “향후 각급 기관이 이에 따라 자체계획을 충실히 수립·시행해 나가도록 지원을 아끼지 않겠다”고 말했다.   



[참고] 제3차 개인정보보호 기본계획 수립경과 및 주요내용


□ 개인정보보호 기본계획 개요

  ❍ 수립배경 : 개인정보 처리원칙 등을 규정하고 개인정보에 대한 권리‧이익을 보장하기 위한『개인정보보호법』이 제정‧시행(‘11.9)됨에 따라 3개년 단위의 중기 기본계획 수립 시작  

  ❍ 관련근거 :『개인정보보호법』제9조*
     * 보호위원회는 개인정보의 보호와 정보주체의 권익 보장을 위하여 3년마다 개인정보 보호 기본계획을 관계 중앙행정기관의 장과 협의하여 수립한다. 

  ❍ 주요내용 : 기본목표, 추진방향, 관련 제도 및 법령 개선, 침해방지 대책, 자율규제 활성화, 교육‧홍보 활성화, 전문인력의 양성 등


□ 제3차 기본계획 수립 경과

  ❍ 기본계획 합동기획단 구성ㆍ운영(’16.2〜10월)
     * 학계‧법조계‧산업계 전문가, 관계부처 및 한국인터넷진흥원 등 참여
  ❍ 각 부처의 부문별 계획 검토ㆍ반영(’16.9〜10월)
  ❍ 공청회 개최, 전 중앙행정기관 및 전문가 의견 수렴(’16.10〜11월)


□ 제3차 기본계획의 방향 및 특징   ❍ 기본방향 : 개인정보보호 시스템을 보다 체계적으로 고도화하고, 급변하는 정책환경에 능동적으로 대처
    * 제1‧2차 기본계획 : 법‧제도‧조직 등 추진체계 정비 및 역량강화 등에 역점

 ❍ 주요 특징
   - 지능정보사회 진입에 따른 정책환경 및 수요변화 반영
   - 개인정보보호법 개정 및 정상화대책에 따른 제도개선 사항 반영
   - 정보주체 및 처리자의 적극적‧능동적 보호활동을 위한 추진과제 마련 등 


□ 제3차 기본계획의 비전 및 전략

□ 주요 추진 과제

분 야	세부 추진과제
정보주체	실질적인 권리 강화 및 보호 실천의 생활화
		① 개인정보 자기결정권 실질화 ② 개인정보 침해사고 상담 체계 및 피해구제 제도 고도화 ③ 정보주체의 권리와 책임의식 제고
개인정보처리자	자율적이고 책임 있는 개인정보 보호 활동 강화
		④ 자율적인 개인정보 보호 체계 강화 ⑤ 지능정보 기반의 개인정보 보호 및 산업 활성화 ⑥ 개인정보 보호 전문인력 양성 및 역량 강화
정부	규제의 현실화 및 글로벌 협력 강화
		⑦ 환경변화에 따른 제도 적용 현실성 제고 ⑧ 개인정보 보호 법령 간 정합성 확보 및 제도 선진화 ⑨ 글로벌 리더십 확보 및 협력 강화
거버넌스	신뢰 기반의 동반자적 상호협력 체계 정착
		⑩ 피해 방지 및 최소화를 위한 협력 강화 ⑪ 발전적 법·제도 개선을 위한 사회적 논의 강화

자세한 내용은 첨부 파일을 참조하시기 바랍니다.