개인정보26 개인정보 안전성 확보조치 (9. 출력 복사 시 안전조치) 개인정보처리시스템에서 개인정보의 출력시(인쇄, 화면표시, 파일생성 등) 용도를 특정 용도에 따라 출력 항목을 최소화 개인정보가 포함된 종이 인쇄물, 개인정보가 복사된 외부 저장매체 등 개인정보의 출력ㆍ복사물을 안전하게 관리하기 위해 필요한 안전조치 기술적 관리적 보호조치에만 존재하던 조항이 모든 개인정보처리자에게 적용 2023. 11. 29. 개인정보 안전성 확보조치 (8. 재해 재난 대비 안전조치) 화재, 홍수, 단전 등의 재해ㆍ재난 발생 시 개인정보처리시스템 보호를 위해 다음 조치 적용 위기대응 매뉴얼 등 대응절차를 마련하고 정기적으로 점검 개인정보처리시스템 백업 및 복구를 위한 계획을 마련 안전성 확보조치에만 존재하던 조항을 모든 개인정보처리자에게 적용하도록 개정 대상 10만명 이상의 정보주체에 관하여 개인정보를 처리하는 대기업ㆍ중견기업ㆍ공공기관 100만명 이상의 정보주체에 관하여 개인정보를 처리하는 중소기업ㆍ단체 2023. 11. 29. 개인정보 안전성 확보조치 (7. 물리적 안전조치) 전산실, 자료보관실 등 개인정보를 보관하고 있는 물리적 보관 장소를 별도로 두고 있는 경우에는 이에 대한 출입통제 절차를 수립ㆍ운영 개인정보가 포함된 서류, 보조저장매체 등을 잠금장치가 있는 안전한 장소에 보관 개인정보가 포함된 보조저장매체의 반출ㆍ입 통제를 위한 보안대책 마련 별도의 개인정보처리시스템을 운영하지 아니하고 업무용 컴퓨터 또는 모바일 기기를 이용하여 개인정보를 처리하는 경우, 예외 가능 기존 안전성 확보조치와 기술적 관리적 보호조치와 유사 2023. 11. 29. 개인정보 안전성 확보조치 (5. 접속기록의 보관 및 점검) 개인정보취급자의 개인정보처리시스템에 대한 접속기록을 1년 이상 보관ㆍ관리 다음의 경우에는 2년 이상 보관ㆍ관리 (안전성 확보조치와 기술적 관리적 보호조치에 존재하던 예외 조항 통합) 5만명 이상의 정보주체에 관한 개인정보를 처리하는 개인정보처리시스템에 해당하는 경우 고유식별정보 또는 민감정보를 처리하는 개인정보처리시스템에 해당하는 경우 개인정보처리자로서 「전기통신사업법」제6조제1항에 따라 등록을 하거나 같은 항 단서에 따라 신고한 기간통신사업자에 해당하는 경우 개인정보의 오ㆍ남용, 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손 등에 대응하기 위하여 개인정보처리시스템의 접속기록 등을 월 1회 이상 점검 개인정보 다운로드가 확인된 경우, 내부 관리계획 등으로 정하는 바에 따라 사유 확인 접속기록이 위ㆍ변조 및 도난,.. 2023. 11. 29. 개인정보 안전성 확보조치 (4. 개인정보의 암호화) 비밀번호, 생체인식정보 등 인증정보 저장 또는 정보통신망을 통하여 송ㆍ수신하는 경우, 안전한 암호 알고리즘으로 암호화 다만, 비밀번호를 저장하는 경우, 일방향 암호화 저장 이용자의 개인정보는 안전한 암호 알고리즘으로 암호화 하여 저장 이용자의 개인정보 (암호화 대상) 주민등록번호 여권번호 운전면허번호 외국인등록번호 신용카드번호 (정보통신서비스 제공자에게만 해당되었던 조항) 계좌번호 (정보통신서비스 제공자에게만 해당되었던 조항) 생체인식정보 이용자가 아닌 정보주체의 개인정보를 다음과 같이 저장하는 경우 암호화 적용 인터넷망 구간 및 인터넷망 구간과 내부망의 중간 지점(DMZ : Demilitarized Zone)에 고유식별정보를 저장하는 경우 내부망에 고유식별정보를 저장하는 경우 다만, 주민등록번호 외의 .. 2023. 11. 29. 개인정보 안전성 확보조치 (2. 접근 권한 관리) 개인정보처리시스템에 대한 접근 권한 부여 시 개인정보취급자에게만 업무수행에 필요한 최소한의 범위로 차등 부여 개인정보취급자 또는 개인정보취급자의 업무가 변경되었을 경우, 지체 없이 개인정보처리시스템의 접근 권한을 변경 또는 말소 (*업무가 변경되었을 경우에도 해당 업무에 맞도록 적절한 권한 관리 필요) *업무가 변경된 경우의 예는 조직 내 임직원의 전보, 퇴직, 휴직 등 인사이동, 조직 변경, 업무 조정 등 권한 부여, 변경 또는 말소 내역 기록 및 최소 3년간 보관 (안전성 확보조치와 기술적/관리적 보호조치에서 서로 상이하던 부분이 통일) 개인정보처리시스템에 접근할 수 있는 계정 발급 시, 정당한 사유가 없는 한 개인정보취급자 별로 계정 발급 (정당한 사유란 root 등 기술적으로 개별 발급이 불가능한.. 2023. 11. 29. 개인정보 안전성 확보조치 (1. 내부 관리계획과 교육) 개인정보보호법 시행 2023.09.15 반영 I. 개인정보 안전성 확보조치(내부 관리계획)의 개요 가. 개요 -개인정보처리자는 개인정보의 안전성 확보를 위해 기술적, 관리적, 물리적 안전조치 세부추진방안을 포함한 내부 관리계획을 수립/시행하여야 함 -1만명 미만의 정보주체에 관하여 개인정보를 처리하는 소상공인/개인/단체 등은 생략 가능 II. 내부 관리계획의 포함 내용 개인정보 보호 조직의 구성 및 운영에 관한 사항 개인정보 보호책임자의 자격요건 및 지정에 관한 사항 (CPO와 정보통신망법 제45조의3 CISO는 동일인 지정 또는 별도 지정 가능) 개인정보 보호책임자와 개인정보취급자의 역할 및 책임에 관한 사항 개인정보취급자에 대한 관리ㆍ감독 및 교육에 관한 사항 접근 권한의 관리에 관한 사항 접근 통제.. 2023. 11. 29. 개인정보의 안전성 확보조치 기준 개정안 요약 (23년 09월) 1. 개인정보 안전성 확보조치 기준 일부개정 사항의 취지 -개인정보 보호법 시행령의 정보통신서비스 특례규정(영 제48조의2)이 일반규정(영 제30조)으로 통합됨에 따라 「개인정보의 안전성 확보조치 기준」과 「개인정보의 기술적·관리적 보호조치 기준」을 통합 -「개인정보 보호법 시행령」의 제48조의2(개인정보의 안전성 확보 조치에 관한 특례)가 삭제됨에 따라 제48조의2 제3항에 따른 「(개인정보보호위원회) 개인정보의 기술적ᆞ관리적 보호조치 기준」 고시를 폐지 -개인정보 보호법 시행령에 공공시스템운영기관 등에 대한 특례 규정(영 제30조의2)이 신설 됨에 따라 고시 위임사항인 공공시스템 지정 기준 및 공공시스템운영기관의 안전조치 기준을 신설하여 공공시스템운영기관의 개인정보보호를 강화 2. 개정사항 (2단 비교) 2023. 8. 8. 개인정보 처리를 위한 동의 방식 구분 설명 옵트인(Opt-in) -정보주체에게 개인정보 수집·이용·제공에 대한 동의를 먼저 받은 후 개인정보를 처리하는 방식 -선동의 후사용 방식 -유럽, 우리나라 옵트아웃(Opt-out) -정보주체의 동의를 받지 않고 개인정보를 수집·이용하다가 정보주체가 거부 의사를 밝히면 활용을 중지하는 방식 -선사용 후배제 방식 -미국 -빅데이터 활용하는데 옵트인으로 인해 개인정보 활용에 어려움이 있어 옵트아웃 방식에 대한 필요성 언급 -국내 개인정보보호 관련 법률에서는 개인정보를 처리하는 경우, 정보주체의 선택권을 보장하고 권리를 보호하기 위해 옵트인 방식으로 동의를 받고 있음 하지만 최근 다양한 용도와 방법으로 개인정보를 처리하고, 빅데이터 활용의 중요성이 강조되면서 옵트아웃 방식에 대한 필요성 일부 언급되고 .. 2023. 4. 25. APEC CBPR 인증심사 1. APEC CBPR 인증심사의 개요 가. APEC CBPR 인증심사의 정의 -APEC 프라이버시 보호 원칙을 기반으로 기업의 개인정보보호체계를 평가하여 인증하는 글로벌 인증제도 나. APEC CBPR 인증심사의 특징 -(신뢰도 제고) 대외적으로 개인정보 보호체계를 갖추었음을 대외적으로 알려 기업의 신뢰도 제고 -(비용 절감) 제휴사, 수탁사 선정 시 대상 기업의 개인정보보호 수준을 확인하기 위한 비용과 시간 절감 -(국외 이전 처리) CBPR 인증 기업의 경우 보호 수준을 인정하여 이전 허용 -(자율 인증) 국가/기업의 CBPR 인증 참여는 자율적이며 각국별 CBPR 인증 효용을 최대화할 수 있는 다양한 정책 채택 가능 -(공신력 강화) CBPR 인증을 이행할 수 있는 법제도적 환경을 갖춘 국가에서만.. 2022. 10. 21. 개인정보위, ‘개인정보의 기술적·관리적 보호조치 기준 해설서’ 개정 1) 소기업이 아닌 경우에도 침입 차단·탐지 시스템으로 공개용 소프트웨어와 클라우드 서비스 등에서 제공하는 보안서비스 활용 가능 2) 고시 개정사항을 반영해 ‘바이오정보’ 용어를 생체정보와 생체인식정보로 구분 안내 2022. 8. 26. 블록체인 등 신기술을 활용한 개인정보 처리 쉬워진다 2022년 7월 12일 국무회의 에서 「개인정보 보호법 시행령」개정안 의결(7월 중 공포 예정) 가. 개정 목적 -산업계의 애로사항 해소 -블록체인 등 신기술 특성에 맞게 규제를 합리적으로 개선 -과징금 부과 시 경제상황 등을 고려하여 추가 감경과 면제 가능 요구 반영 나. 개정 내용 구분 특징 설명 신기술 분야 특성 고려 블록체인 등 신기술 분야 금융, 에너지, 헬스케어, 의료 등 규제샌드박스 실증특례 제도에서 블록체인 기술 기반 시험 검증 결과 반영 신기술 분야의 특성을 고려 하여 ‘개인을 알아볼 수 없는 정보로 처리하여 복원이 불가능하도록 조치’한 경우에도 개인정보를 파기한 것으로 허용 과징금 추가 감경 또는 면제 경제상황 피해배상 정도 부담 능력 등 과징금 산정 시 경제상황, 정보주체 배상 정도 .. 2022. 7. 14. 개인정보 보호의 정의 제3절 개인정보 보호의 정의 제１항 개인정보의 정의 개인정보 보호법 제2조(정의) 제1항에서 “개인정보”란 살아있는 개인에 대한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보 또는 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보라고 정의하고 있다. 개인을 알아볼 수 있는 정보는 개인에게 고유한 특성을 상징하거나 그러한 상징을 내포할 수 있는 유일한 식별자를 의미하는 것으로 주민등록번호, 운전면허번호, 외국인등록번호, 여권번호, 사원번호, 회원번호 등이 해당된다. 해당 정보만으로 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보는 우편번호, 성별, 생년월일 정보를 결합하여 개인을 식별하는 경우가.. 2022. 3. 11. (ISMS-P) 3.4.1. 개인정보의 파기 (항목) 3.4.1. 개인정보의 파기 (내용) 개인정보의 보유기간 및 파기 관련 내부 정책을 수립하고 개인정보의 보유기간 경과, 처리목적 달성 등 파기 시점이 도달한 때에는 파기의 안전성 및 완전성이 보장될 수 있는 방법으로 지체 없이 파기하여야 한다. 2021. 12. 10. (ISMS-P) 3.3.1. 개인정보 제3자 제공 (항목) 3.3.1. 개인정보 제3자 제공 (내용) 개인정보를 제3자에게 제공하는 경우 법적 근거에 의하거나 정보주체(이용자)의 동의를 받아야 하며, 제3자에게 개인정보의 접근을 허용하는 등 제공 과정에서 개인정보를 안전하게 보호하기 위한 보호대책을 수립·이행하여야 한다. 2021. 12. 9. (ISMS-P) 3.2.5. 개인정보 목적 외 이용 및 제공 (항목) 3.2.5. 개인정보 목적 외 이용 및 제공 (내용) 개인정보는 수집 시의 정보주체(이용자)에게 고지·동의를 받은 목적 또는 법령에 근거한 범위 내에서만 이용 또는 제공하여야 하며, 이를 초과하여 이용·제공하려는 때에는 정보주체(이용자)의 추가 동의를 받거나 관계 법령에 따른 적법한 경우인지 확인하고 적절한 보호대책을 수립·이행하여야 한다. 2021. 12. 9. (ISMS-P) 3.2.2. 개인정보 품질 보장 (항목) 3.2.2. 개인정보 품질 보장 (내용) 수집된 개인정보는 처리 목적에 필요한 범위에서 개인정보의 정확성·완전성·최신성이 보장되도록 정보주체(이용자)에게 관리절차를 제공하여야 한다. 2021. 12. 7. (ISMS-P) 3.1.1. 개인정보 수집 제한 (항목) 3.1.1. 개인정보 수집 제한 (내용) 개인정보는 서비스 제공을 위하여 필요한 최소한의 정보를 적법하고 정당하게 수집하여야 하며, 필수정보 이외의 개인정보를 수집하는 경우에는 선택항목으로 구분하여 해당 정보를 제공하지 않는다는 이유로 서비스 제공을 거부하지 않아야 한다. 2021. 12. 7. 이전 1 2 다음
