[공공기관 개인정보보호] 실천 BEST 7-①동의서 양식 정비

“개인정보 수집, 이용 및 활용 동의서 양식부터 정비해야”

[보안뉴스=정환석 대구도시공사 개인정보보호담당] 2011년 9월부터 실시된 개인정보보호법이 벌써 만 3년이 되어 간다. 더불어 공공기관의 개인정보보호 관리수준 향상을 위한 노력 또한 계속 진행 중이다. 하지만 올해는 시작과 동시에 신용카드 3사와 K사의 개인정보 유출사건으로 인해 관리체계 수립이나 개인정보취급자 교육 등 내부관리의 중요성이 더욱 커지고 있다.

안전행정부는 개인정보보호법 시행 이전부터 공공기관들을 대상으로 개인정보보호 수준진단을 매년 실시하고 있다. 2011년까지는 물리적, 기술적 평가 항목 위주였으나, 2012년부터는 내부관리의 중요성을 인식하여 관리적 평가 위주로 바꾸어 실시 중에 있다. 진단대상 기관도 지속적으로 확대하여 2014년도에는 전체 공공기관 중 480여 기관에 대해 평가하고 있다.

또한 오는 8월 7일부터는 주민번호 수집 법정주의 시행, 주민번호 분실 등 사고발생 시 5억원 이하 과징금, 유출시 대표자 등 책임 있는 임원 징계 등 개인정보보호를 위한 법령이 더욱 강화돼 이에 따른 실천이 그 어느 때보다도 절실하다.

그럼 공공기관의 개인정보보호 관리수준 향상을 위한 준비사항과 실천사항은 무엇일까?

공공기관 개인정보보호 담당자로써 기관의 개인정보취급자가 지켜야 될 필수 실천항목은 위의 표와 같이 △개인정보 수집, 이용 및 활용 동의서 양식 정비 △개인정보 처리 업무 위탁 기준 준수(문서화, 교육, 감독 등) △수집 목적 외 이용 및 제3자 제공 기준 준수 △개인정보 수집 목적 달성 시 파기 기준 준수 △CCTV 설치 및 운영 및 관리 기준 준수 △업무용 PC관리 철저 △개인정보 침해사고 발생 시 대응절차 수립 및 준수 등 7가지로 구분할 수 있다.

이에 필자는 매주 7가지 항목에 대해 세부적으로 살펴볼 예정으로, 그 첫 번째로 개인정보 수집, 이용 및 활용 동의서 양식 정비방법에 대해 소개하고자 한다.

1. 개인정보 수집, 이용 및 활용 동의서 양식 정비

개인정보 수집 및 이용을 위해서는 법적으로 허용하는 부분 외에 동의를 받아 처리할 수 있다. 동의서만 잘 받더라도 개인정보보호법의 상당부분을 충족할 수 있다고 해도 과언이 아니다. 그 만큼 시작이 중요하다는 것이다.

아래의 표는 일반적으로 개인정보를 수집하는 양식부분이다.

▲그림 1. 개인정보 수집 및 활용 동의서

개인정보의 수집 및 이용을 위해서는 법령에서 허용한 사항 외에 정부주체에게 동의를 받은 후 처리할 수 있다. 하지만, 언제, 어떻게 동의를 받으면 될까? 가장 일반적인 방법으로, 정보주체가 목적달성(계약, 신청 등)을 위하여 개인정보처리자(공공기관 등)에게 서류 등을 접수할 시점에 해당정보(개인정보 포함) 처리를 위한 동의서를 받으면 된다. 이때 동의 방법은 위 표에서처럼 8가지 부분들에 대해 구분하여 동의를 받으면 되고, 필수 고지항목들에 대해서도 각각 구분하여 인지 후 동의를 받으면 된다.

▲ 그림 2. 일반적으로 사용 중인 응시원서 양식

▲대구도시공사 정환석 개인정보보호 담당

특히, 8월 7일부터는 법령에서 명백히 허용하는 경우를 제외하고는 주민번호 수집 및 처리가 금지된다. 따라서 위의 ‘고유식별정보 처리동의’ 부분에서 더 이상 주민번호 수집에 대해서는 동의를 받더라도 수집 및 처리할 수 없다(단, 금융정보처리 등 법령에 근거한 동의 후 처리 부분은 제외).

그림 1의 양식은 온라인이나 오프라인 모두 적용 가능하다. 특히 수집하는 항목들에 대해서는 필수항목과 선택항목을 나누어야 되며, 필수항목이라는 입증은 개인정보처리자인 공공기관에 있다는 점을 유의해야 한다(선택항목 미기재시 서비스제공거부등 금지).

특히, 채용부분 중 ‘응시원서’에 대해 통상적으로 주민번호를 수집하는 경향이 많다. 응시원서 접수단계에서는 지원자 확인(이름, 생년월일, 연락처 등) 및 직무수행능력 평가(학력, 경력, 성적, 자격사항 등)에 대해서는 정보주체의 동의 없이 수집은 가능하나, 주민번호 수집은 법령 위반사항이므로, 꼭 생년월일로 대체하고, 채용 확정 후 근로계약서나 임금대장 등의 작성 시에 주민번호를 수집해 처리해야 한다.

[글_ 정환석 대구도시공사 개인정보보호 담당(ISO27001/PIMS 심사원(보)(xpertstone@hanmail.net)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)