[공공기관 개인정보보호] 실천 BEST 7-②개인정보 처리

관리계획 수립·문서화·공개·관리·감독·교육 등 실천 중요

[보안뉴스=정환석 대구도시공사 개인정보보호담당] 공공기관에서 개인정보를 처리하는 업무를 위탁하는 경우, 위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 분실, 도난, 유출, 변조 또는 훼손되지 아니하도록 수탁자를 교육하고, 수탁자의 개인정보 처리현황 및 실태, 목적 외 이용, 제공 여부, 재위탁 여부, 안전성 확보조치 여부 등을 정기적으로 관리·감독하여야 한다(법 제26조, 시행령 제28조).

개인정보 처리 업무위탁을 위하여 공공기관이 지켜야 할 절차는 아래와 같다.

계획수립 : 개인정보 처리 업무 위탁 시에는 이를 위한 관리계획 수립이 필요하다. 어떤 업무에 대해 위탁할 것이며, 위탁 시 문서화 방법이나 문서화시 포함해야 될 내용, 처리현황 파악 등 관리 및 감독방법, 수탁기관 개인정보취급자들에 대한 정기적인 교육방법 등이 종합적으로 계획되어야 한다.

또한 활동 결과의 처리방안에 대해서도 명시되어야 한다. 즉, 수탁기관의 개인정보 유출사고시 처리방안, 정기점검시 미흡사항 처리방안, 취급자 교육방법 등 수탁기관을 위탁기관의 한 소속기관으로 보고 관리계획을 수립 및 시행해야 한다.

문서화 : 개인정보 처리업무의 위탁 시에는 처리에 대한 사항 등 법 의무사항에 대해 문서화해야 한다. 문서화의 방법은 여러 가지가 있으나, 반드시 위·수탁업체의 인감·서명날인 등이 포함된 계약문서 형태여야 한다. 또한, 문서 내용에는 아래 7가지 항목이 반드시 포함되어야 한다.

① 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항

② 개인정보의 기술적·관리적 보호조치에 관한 사항

③ 위탁업무의 목적 및 범위

④ 재위탁 제한에 관한 사항

⑤ 개인정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항

⑥ 위탁업무와 관련해 보유하고 있는 개인정보의 관리 현황 점검 등 감독에 관한 사항

⑦ 수탁자가 준수하여야 할 의무를 위반한 경우의 손해배상 등에 관한 사항

이 문서는 위탁 업무별로 작성해야 되며, 하나라도 미 작성시 법률위반으로 처리 될 수 있다. 이러한 위탁업무에 대해 엄격히 처리하는 이유는 수탁자의 실수로 인하여 개인정보 유출 등 정보주체에게 손해를 끼칠 경우, 해당 직원을 위탁자의 직원으로 간주해 처리하므로, 손해배상 책임은 개인정보 처리 업무 위탁기관인 공공기관에 있기 때문이다.

물론 문서화를 하지 않은 상태에서 위탁업체에게 개인정보를 제공한다면, 이는 수집목적외 개인정보 제3자 제공에 해당되거나 위탁 기준을 어기게 된 것이므로, 법에 의하여 과태료, 과징금, 징역 등에 처해질 수 있다.

▲ 개인정보 처리 업무위탁 절차

공개 : 위탁 계약 후에는 위탁 사실에 대하여 공개해야 한다. 위탁자의 홈페이지(개인정보처리방침 등) 또는 관보, 일반 일간신문, 간행물 등에 공개해도 된다. 이때, 위탁하는 업무의 내용과 수탁자 정보는 반드시 포함해야 한다.

관리·감독 : 문서가 준비되어 있고, 개인정보를 위탁자에게 제공하여 처리 중에 있다면, 그 다음으로는 수탁자가 개인정보를 안전하게 처리하는지에 대해 정기적으로 관리·감독을 실시해야 된다. 위탁업무별 또는 위탁업체별로 관리·감독해야 될 일반적인 점검항목은 다음과 같다.

(1)개인정보보호책임자의 지정여부

(2)내부관리계획의 수립여부

(3)개인정보처리방침의 수립 및 공개 여부

(4)개인정보취급자의 개인정보보호 서약서 작성 여부

(5)개인정보취급자에 대한 개인정보보호 관련 교육 실시 여부

(6)개인정보의 암호화 보관 여부(PC 내 고유식별번호의 암호화, PC↔Web서버 구간암호화 등)

(7)접근통제솔루션의 도입 및 적용 여부(침입차단시스템, 비인가 사이트 차단 등)

(8)개인정보처리시스템에 대한 보안프로그램 설치 및 정기적 업데이트 수행 여부

(9)물리적 접근방지 (전산실, 문서고 등 출입통제 및 물리적 보안 조치) 여부

(10)개인정보처리시스템에 대한 접근권한 차등 부여 여부

(11)개인정보처리시스템에 대한 접근기록 보관 및 점검 여부

(12)개인정보 수집 목적 달성 시 파기 여부(전자파일 및 종이문서 등)

(13)재 위탁(제3자 제공 포함) 금지 준수 여부

(14)위탁 업무에 대한 처리 목적 외 사용 여부

(15)개인정보 취급 업무용 PC의 안전성 확인 여부(패치, 백신 업데이트 등)

(16)위탁업무처리를 위해 제공된 개인정보의 유·노출 사실 여부

(17)침해사고 대응절차 수립 및 전파 여부

(18)기타 법령 또는 계약사항 위반 여부

(19) 개인정보처리현황 및 실태 파악

▲ 대구도시공사 정환석 개인정보보호 담당

교육 : 이와는 별개로 수탁기관 개인정보취급자에 대하여 개인정보가 분실, 도난, 유출, 변조 또는 훼손되지 않도록 정기적으로 교육을 실시해야 한다.

위탁자가 직접 수탁자를 불러 기관 내 개인정보보호 교육에 참석토록 해도 되고, 수탁자가 직접 온라인이나 오프라인 교육에 개인정보취급자가 참석토록 해 개인정보 취급에 따른 이해도 향상 및 개인정보의 중요성과 유출 시 위험성 등 법령사항들에 대해 숙지토록 해야 한다. 아울러 개인정보 유출 시 위탁기관의 대응절차 등 기관 특성에 맞는 교육도 필요하다.

※ 참고. 온라인 교육 : www.privacy.go.kr - 배움터 - 사이버교육

[글_ 정환석 대구도시공사 개인정보보호 담당(ISO27001/PIMS 심사원(보)(xpertstone@hanmail.net)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)