[보안]개인정보 개요

개인정보 개요

 

 

1) 개인정보의 정의와 판단기준

① 개인정보의 정의

・살아 있는 개인에 관한 정보로서 개인을 알아볼 수 있는 정보이다.

・해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보를 포함한다.

 

②개인정보의 판단기준

・'생존하는' '개인에 관한' 정보여야 한다.

・'정보'의 내용・형태 등은 제한이 없다.

・개인을 '알아볼 수 있는 정보여야 한다.

ー 다른 정보와 '쉽게 결합하여' 개인을 알아볼 수 있는 정보도 포함한다.

 

개인정보의 예
성명, 전화번호, 주소, 주민등록번호나 운전면허번호, 학번 또는 회사의 사번 등

 

2) 개인정보의 이전

 개인정보가 다른 사람(제3자)에게 이전되거나 공동으로 처리하게 하는 것이다.

개인정보의 처리 위탁과 제3자 제공으로 분류된다.

 

①개인정보의 처리 위탁

개인정보 처리자의 업무를 처리할 목적으로 제3자에게 이전되는 것이다.

개인정보를 제공하는 자의 업무 처리와 이익을 위하는 경우이다.

개인정보를 제공받는 자의 업무 처리와 이익을 위하는 경우이다.

 

②개인정보의 제3자 제공

해당 정보를 제공받는 자의 고유한 업무를 처리할 목적 및 이익을 위하여 개인정보가 이전되는 것이다.

 

3) 개인정보의 보호

① 개인정보의 보호조치

・조직 내부의 정보보안 방침과 개인정보보호법에 위배되지 않도록 개인정보보호 가이드라인을 점검한다.

・데이터를 외부에 공개하는 경우 가이드라인에서 정한 규칙을 준수하는지 반드시 확인한다.

・가이드라인에 명시되지 않은 경우 관계기관이나 조직 내부의 법무가이드를 받은 후 적절한 범위 안에서 데이터를 활용하도록 한다.

・개인정보 보호를 위해 주기적인 패스워드 변경, 시스템 패스워드 관리 보안 강화, 의심스러운 메일 열람 금지, 정기적인 보안교육 참여 등을 유도한다.

・백신의 설치 및 최신버전으로 유지하고, 개인정보를 과하게 요구하는 사이트의 가입을 자제한다.

 

개인정보 자기결정권
자신에 관한 정보가 언제, 누구에게 어느 범위까지 알려지고 또 이용되도록 할 것인지를 스스로 결정할 수 있는 권리

 

 

② 빅데이터 개인정보보호 가이드라인(방송통신위원회)

구분	내용
비식별화	<수집 시부터 개인식별 정보에 대한 철저한 비식별화 조치> ● 개인정보가 포함된 공개된 정보 및 이용내역정보는 비식별화 조치를 취한 후 수집・저장 ・조합 ・분석 및 제3자 제공 등이 가능하다.
투명성 확보	<빅데이터 처리 사실・목적 등의 공개를 통한 투명성 확보> ● 개인정보 취급방침을 통해 비식별화 조치 후 빅데이터 처리 사실・목적・수집출처 및 정보 활용 거부권 행사 방법 등을 이용자에게 투명하게 공개한다. ー (개인정보 취급방침) 비식별화 조치 후 빅데이터 처리 사실・목적 등을 이용자 등에게 공개하고 '정보활용 거부 페이지 링크'를 제공하여 이용자가 거부권을 행사할 수 있도록 조치한다. ー (수집 출처 고지) 이용자 이외의 자로부터 수집한 개인정보 처리 시 '수집 출처・목적, 개인정보 처리 정지 요구권'을 이용자에게 고지한다.
재식별 조치	<개인정보 재식별 시, 즉시 파기 및 비식별화 조치> ● 빅데이터 처리 과정 및 생성정보에 개인정보가 재식별될 경우, 즉시 파기하거나 추가적인 비식별화 조치하도록 한다.
민감정보 및 비밀정보 처리	<민감정보 및 통신비밀의 수집・이용・분석 등 처리 금지> ● 특정 개인의 사상・신념, 정치적 견해 등 민감정보의 생성을 목적으로 정보의 수집・이용・저장・조합・분석 등 처리 금지한다. ● 이메일, 문자 메시지 등 통신 내용의 수집・이용・저장・조합・분석 등 처리 금지한다.
기술적・관리적 보호조치	<수집된 정보의 저장・관리 시 '기술적・관리적 보호조치’ 시행> ● 비 식별화 조치가 취해진 정보를 저장・관리하고 있는 정보 처리시스템에 대한 기술적・관리적 보호조치를 적용한다. ー (보호 조치) 침입차단시스템 등 접근 통제장치 설치, 접속 기록에 대한 위・변조 방지 조치, 백신 소프트웨어 설치・운영 등 악성 프로그램에 의한 침해 방지 조치한다.

 

③ 개인정보 보호를 위한 고려사항

・기업은 적법하게 정보주체의 권리를 보호하면서 데이터의 효율적인 이용 방안을 모색하는 것이 중요하다.

・데이터와 관련된 주요 법령 및 규제기관의 가이드라인을 지속적으로 파악하고 내부 프로세스를 사전에 검토하여야 한다.

・적용되는 법령에 따른 내부 개인정보 컴플라이언스 체계를 구축하여야 한다.

・데이터를 이전할 경우에는 관련 법률에 따른 적법한 프로세스를 마련하여야 한다.

 

4) 개인정보보호 관련 법률

・비즈니스 모델과 처리하는 데이터에 따라 「개인정보 보호법」과 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」그리고 「신용정보의 이용 및 보호에 관한 법률」등을 기본적으로 검토하여야 한다.(데이터 3법)

 

・이 외 경우에 따라 「위치정보의 보호 및 이용 등에 관한 법률」과 「정보통신 기반 보호법」및 「국가정보화 기본법」과 「전자정부법」등을 추가적으로 검토하여야 한다.