분야별 개인정보보호 > 정보통신 분야의 개인정보보호 > 정보통신서비스 제공자의 개인정보보호 의무 > 개인정보 관리의무 (본문)

개인정보 관리의무

인쇄체크

개인정보 보호책임자의 지정

지정 의무

개인정보처리자는 개인정보의 처리에 관한 업무를 총괄해서 책임질 개인정보 보호책임자를 지정해야 합니다(「개인정보 보호법」 제31조제1항).

※ 이를 위반하여 개인정보 처리방침을 정하지 않은 자는 1천만원 이하의 과태료를 부과받습니다(

「개인정보 보호법」 제75조제4항제8호).

개인정보처리자는 개인정보 보호책임자를 지정하려는 경우에는 다음에 따라 지정해야 합니다(「개인정보 보호법」 제31조제1항 및 「개인정보 보호법 시행령」 제32조제2항).

구분		개인정보 보호책임자
공공기관	1. 국회, 법원, 헌법재판소, 중앙선거관리위원회의 행정사무를 처리하는 기관 및 중앙행정기관	고위공무원 또는 그에 상당하는 공무원
	2. 1. 외에 정무직공무원을 장(長)으로 하는 국가기관	3급 이상 공무원(고위공무원을 포함) 또는 그에 상당하는 공무원
	3. 1. 및 2. 외에 고위공무원, 3급 공무원 또는 그에 상당하는 공무원 이상의 공무원을 장으로 하는 국가기관	4급 이상 공무원 또는 그에 상당하는 공무원
	4. 1.~ 3. 외의 국가기관(소속 기관을 포함)	해당 기관의 개인정보 처리 관련 업무를 담당하는 부서의 장
	5. 시·도 및 시·도 교육청	3급 이상 공무원 또는 그에 상당하는 공무원
	6. 시·군 및 자치구	4급 공무원 또는 그에 상당하는 공무원
	7. 각급 학교	해당 학교의 행정사무를 총괄하는 사람
	8. 1.~7. 외의 공공기관	개인정보 처리 관련 업무를 담당하는 부서의 장(개인정보 처리 관련 업무를 담당하는 부서의 장이 2명 이상인 경우에는 해당 공공기관의 장이 지명하는 부서의 장)
공공기관 외의 개인정보처리자		다음의 어느 하나에 해당하는 사람 √ 사업주 또는 대표자 √ 임원(임원이 없는 경우에는 개인정보 처리 관련 업무를 담당하는 부서의 장)

지정 업무

개인정보 보호책임자는 다음의 업무를 수행해야 합니다(「개인정보 보호법」 제31조제2항 및 「개인정보 보호법 시행령」 제32조제1항).

개인정보 보호 계획의 수립 및 시행

개인정보 처리 실태 및 관행의 정기적인 조사 및 개선

개인정보 처리와 관련한 불만의 처리 및 피해 구제

개인정보 유출 및 오용·남용 방지를 위한 내부통제시스템의 구축

개인정보 보호 교육 계획의 수립 및 시행

개인정보파일의 보호 및 관리·감독

개인정보 처리방침의 수립·변경 및 시행

개인정보 보호 관련 자료의 관리

처리 목적이 달성되거나 보유기간이 지난 개인정보의 파기

개인정보 보호책임자는 위의 업무를 수행함에 있어서 필요한 경우 개인정보의 처리 현황, 처리 체계 등에 대하여 수시로 조사하거나 관계 당사자로부터 보고를 받을 수 있습니다(「개인정보 보호법」 제31조제3항).

인쇄체크

개인정보 처리방침

처리방침

개인정보처리자는 다음의 사항이 포함된 개인정보의 처리 방침(이하 "개인정보 처리방침"이라 함)을 정해야 합니다(

「개인정보 보호법」 제30조제1항).

개인정보의 처리 목적

개인정보의 처리 및 보유 기간

개인정보의 제3자 제공에 관한 사항(해당되는 경우에만 정함)

개인정보의 파기절차 및 파기방법(개인정보를 보존하여야 하는 경우에는 그 보존근거와 보존하는 개인정보 항목을 포함함)

개인정보처리의 위탁에 관한 사항(해당되는 경우에만 정함)

정보주체와 법정대리인의 권리·의무 및 그 행사방법에 관한 사항

개인정보 보호책임자의 성명 또는 개인정보 보호업무 및 관련 고충사항을 처리하는 부서의 명칭과 전화번호 등 연락처

인터넷 접속정보파일 등 개인정보를 자동으로 수집하는 장치의 설치·운영 및 그 거부에 관한 사항(해당하는 경우에만 정함)

처리하는 개인정보의 항목

개인정보의 안전성 확보 조치에 관한 사항

※ 개인정보 처리방침을 정하지 않거나 공개하지 않은 자는 1천만원 이하의 과태료를 부과받습니다(

「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제76조제4항제4호).

공개 방법

개인정보처리자가 개인정보 처리방침을 수립하거나 변경하는 경우에는 정보주체가 쉽게 확인할 수 있도록 다음의 어느 하나 이상의 방법으로 수립하거나 변경한 개인정보 처리방침을 공개해야 합니다(

「개인정보 보호법」 제30조제2항 및

「개인정보 보호법 시행령」 제31조제3항).

개인정보처리자의 사업장등의 보기 쉬운 장소에 게시하는 방법

관보(개인정보처리자가 공공기관인 경우만 해당함)나 개인정보처리자의 사업장등이 있는 시·도 이상의 지역을 주된 보급지역으로 하는

「신문 등의 진흥에 관한 법률」 제2조제1호가목·다목 및 같은 조 제2호에 따른 일반일간신문, 일반주간신문 또는 인터넷신문에 싣는 방법

같은 제목으로 연 2회 이상 발행하여 정보주체에게 배포하는 간행물·소식지·홍보지 또는 청구서 등에 지속적으로 싣는 방법

재화나 용역을 제공하기 위하여 개인정보처리자와 정보주체가 작성한 계약서 등에 실어 정보주체에게 발급하는 방법

인쇄체크

개인정보 유출 등의 신고와 피해구제 조치

개인정보 유출 통지 등

정보통신서비스 제공자와 그로부터 이용자의 개인정보를 제공받은 자(이하 "정보통신서비스 제공자등"이라 함)는 개인정보의 분실·도난·유출(이하 "유출등"이라 함) 사실을 안 때에는 지체 없이 다음의 사항을 해당 이용자에게 알리고 개인정보보호위원회 또는 한국인터넷진흥원에 신고해야 하며, 정당한 사유 없이 그 사실을 안 때부터 24시간을 경과하여 통지·신고해서는 안 됩니다(「개인정보 보호법」 제39조의4제1항 본문, 「개인정보 보호법 시행령」 제48조의4제1항 및 제2항).

1. 유출 등이 된 개인정보 항목

2. 유출 등이 발생한 시점

3. 이용자가 취할 수 있는 조치

4. 정보통신서비스 제공자 등의 대응 조치

5. 이용자가 상담 등을 접수할 수 있는 부서 및 연락처

다만, 이용자의 연락처를 알 수 없는 등 정당한 사유가 있는 경우에는 자신의 인터넷 홈페이지에 30일 이상 게시하는 것으로 통지를 갈음할 수 있습니다(「개인정보 보호법」 제39조의4제1항 단서 및 「개인정보 보호법 시행령」 제48조의4제4항).

개인정보 유출 통지 방법 및 절차

개인정보처리자는 개인정보가 유출되었음을 알게 되었을 때에는 서면등의 방법으로 지체 없이

「개인정보 보호법」 제34조제1항 각 호의 사항을 정보주체에게 알려야 합니다. 다만, 유출된 개인정보의 확산 및 추가 유출을 방지하기 위하여 접속경로의 차단, 취약점 점검·보완, 유출된 개인정보의 삭제 등 긴급한 조치가 필요한 경우에는 그 조치를 한 후 지체 없이 정보주체에게 알릴 수 있습니다(

「개인정보 보호법 시행령」 제40조제1항).

위에도 불구하고 개인정보처리자는 개인정보가 유출되었음을 알게 되었을 때나 유출 사실을 알고 긴급한 조치를 한 후에도

「개인정보 보호법」 제34조제1항제1호 및 제2호의 구체적인 유출 내용을 확인하지 못한 경우에는 먼저 개인정보가 유출된 사실과 유출이 확인된 사항만을 서면등의 방법으로 먼저 알리고 나중에 확인되는 사항을 추가로 알릴 수 있습니다(

「개인정보 보호법 시행령」 제40조제2항)

1천명 이상의 정보주체에 관한 개인정보가 유출된 경우에는 서면등의 방법과 함께 인터넷 홈페이지에 정보주체가 알아보기 쉽도록

「개인정보 보호법」 제34조제1항 각 호의 사항을 7일 이상 게재해야 합니다. 다만, 인터넷 홈페이지를 운영하지 않는 개인정보처리자의 경우에는 서면등의 방법과 함께 사업장등의 보기 쉬운 장소에 「개인정보 보호법 제34조제1항 각 호의 사항을 7일 이상 게시해야 합니다(

「개인정보 보호법 시행령」 제40조제3항).

위반 시 제재

이를 위반하여 정보주체에게 사실을 알리지 않거나 조치 결과를 신고하지 않은 자에게는 3천만원 이하의 과태료가 부과됩니다(

「개인정보 보호법」 제75조제2항제8호).

또한, 방송통신위원회에 소명하지 않거나 거짓으로 한 사람은 3천만원 이하의 과태료를 부과받습니다(

「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제76조제1항제2호의4).

피해에 대한 피해구제 조치 등

개인정보처리자는 개인정보가 유출된 경우 그 피해를 최소화하기 위한 대책을 마련하고 필요한 조치를 해야 합니다. 또한 개인정보처리자는 1천명 이상의 정보주체에 관한 개인정보가 유출된 경우에는 위에 따른 통지 및 조치 결과를 지체 없이 개인정보보호위원회 또는 한국인터넷진흥원에 신고해야 합니다(

「개인정보 보호법」 제34조2항·제3항 및

「개인정보 보호법 시행령」 제39조).

인쇄체크

개인정보의 보호조치

기술적·관리적 보호조치

개인정보처리자는 개인정보가 분실·도난·유출·위조·변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 다음에 따라 안전성 확보에 필요한 기술적·관리적 및 물리적 조치를 해야 합니다(

「개인정보 보호법」 제29조,

「개인정보 보호법 시행령」 제30조제1항 및 제48조의2제1항).

개인정보의 안전한 처리를 위한 내부 관리계획의 수립·시행

√ 개인정보 보호책임자의 지정 등 개인정보 보호 조직의 구성·운영에 관한 사항

√ 정보통신서비스 제공자등의 지휘·감독을 받아 이용자의 개인정보를 처리하는 자(이하 이 조에서 "개인정보취급자"라 함)의 교육에 관한 사항

√ 제2호부터 제6호까지의 규정에 따른 조치를 이행하기 위하여 필요한 세부 사항

개인정보에 대한 접근 통제 및 접근 권한의 제한 조치

√ 개인정보를 처리할 수 있도록 체계적으로 구성한 데이터베이스시스템(이하 이 조에서 "개인정보처리시스템"이라 한다)에 대한 접근 권한의 부여·변경·말소 등에 관한 기준의 수립·시행

√ 개인정보처리시스템에 대한 침입차단시스템 및 침입탐지시스템의 설치·운영

√ 개인정보처리시스템에 접속하는 개인정보취급자의 컴퓨터 등에 대한 외부 인터넷망 차단[전년도 말 기준 직전 3개월간 그 개인정보가 저장·관리되고 있는 이용자 수가 일일평균 100만명 이상이거나 정보통신서비스(「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조제1항제2호에 따른 정보통신서비스를 말한다. 이하 같다) 부문 전년도(법인인 경우에는 전 사업연도를 말한다) 매출액이 100억원 이상인 정보통신서비스 제공자등만 해당한다]

√ 비밀번호의 생성 방법 및 변경 주기 등의 기준 설정 및 운영

√ 그 밖에 개인정보에 대한 접근 통제를 위하여 필요한 조치

개인정보를 안전하게 저장·전송할 수 있는 암호화 기술의 적용 또는 이에 상응하는 조치

√ 비밀번호의 일방향 암호화 저장

√ 주민등록번호, 계좌정보 및 제18조제3호에 따른 정보 등 보호위원회가 정하여 고시하는 정보의 암호화 저장

√ 정보통신망을 통하여 이용자의 개인정보 및 인증정보를 송신·수신하는 경우 보안서버 구축 등의 조치

√ 그 밖에 암호화 기술을 이용한 보안조치

개인정보 침해사고 발생에 대응하기 위한 접속기록의 보관 및 위조·변조 방지를 위한 조치

√ 개인정보취급자가 개인정보처리시스템에 접속하여 개인정보를 처리한 경우 접속일시, 처리내역 등의 저장 및 이의 확인·감독

√ 개인정보처리시스템에 대한 접속기록을 별도의 저장장치에 백업 보관

개인정보에 대한 보안프로그램의 설치 및 갱신

√ 개인정보처리시스템 및 개인정보취급자가 개인정보 처리에 이용하는 정보기기에 컴퓨터바이러스, 스파이웨어 등 악성프로그램의 침투 여부를 항시 점검·치료할 수 있도록 하기 위한 백신소프트웨어 설치 및 주기적 갱신·점검 조치

개인정보의 안전한 보관을 위한 보관시설의 마련 또는 잠금장치의 설치 등 물리적 조치

위반 시 제재

이를 위반하여 안전성 확보에 필요한 조치를 하지 않은 자에게는 3천만원 이하의 과태료가 부가됩니다(

「개인정보 보호법」 제75조제2항제6호).

바로가기

전체메뉴

분야별 개인정보보호

하위 메뉴

현재위치 및 공유하기

본문 영역

기타 의견

설문조사

하단 영역