[시큐리티 Q&A] 제공받은 개인정보의 효과적인 관리법

제3자로부터 제공받은 개인정보 이력은 어떻게 관리해야 효율적이고 누락이 없을까요?

[보안뉴스 원병철 기자] 개인정보를 제3자에게 제공할 경우에는 제3자 제공 대장에 기록하고 관리해야 한다고 법에 명시하고 있습니다. 개인정보를 제공받았을 경우에도 관리대장을 만들어 찾기 쉽게 기록 관리해야 합니다. 여러 가지 방법이 있겠지만, 컴퓨터 파일로 제공받았을 경우에는 파일명에 이름과 날짜를 명시하여 순서대로 정렬 보관하고, 안전한 별도의 저장장치에 보관해야 합니다. 수기나 출력물로 제공받은 경우에는 파일철에 번호를 붙여 안전한 캐비닛에 보관하시거나 출력물을 스캔하여 파일로 관리하는 방법도 좋겠습니다.
[장진섭 한국정보보호심사원협회 이사(goldseeds@naver.com)]
　
해당 개인정보를 기업에서 어떤 용도로 사용하느냐에 따라 관리 방식이 달라 자세히 말씀드리기는 어렵습니다. 가장 좋은 방법은 개인정보 관리 솔루션을 구입하여 사용하는 것입니다. 만약 따로 구입하지 않고 관리하실 경우에는 개인정보보호법과 정보통신망법 등 개인정보 활용과 관련되는 법과 제도를 반드시 확인하시고 해당 사항에 맞게 관리 체계를 구성해야 합니다.

제공받은 개인정보를 저장할 수 있는 DB를 구성하고 저장하되, 암호화 할 내용과 아닌 내용을 반드시 구분해야 합니다. 이처럼 DB를 활용하여 저장하고 해당 내용을 주기적으로 백업할 경우 누락의 발생은 최소화 할 수 있습니다. 효율적인 관리는 개인정보의 활용 용도에 따라 다르겠지만 일반적으로는 동일하게 DB를 활용해 저장하는 방법이 가장 효율적일 것입니다. 주의하실 것은 개인정보를 다룰 때 관련 법규에 대한 확인이 반드시 선행되어야 한다는 점입니다.
[한국산업기술보호협회 중소기업기술지킴센터]
　
제3자에게 제공받은 개인정보는 제공받은 시점으로부터 개인정보 수집으로 여기고 처리해야 합니다. 개인정보 수집부터 파기 시점이 도래할 때까지 개인정보보호법 제29조, 동법 시행령 30조 및 개인정보의 안전성 확보조치 기준(행정자치부 고시 제 2014-7호)을 준수해 안전하게 보관·관리해야 하며, 만약 공공기관의 경우 업무처리 목적을 파악해 해당 개인정보파일을 행정자치부에 등록해야 합니다.

특히, 개인정보 처리목적이 달성된 경우 지체 없이 파기해 개인정보가 오남용되지 않도록 해야 합니다. 개인정보를 제공받은 시점부터 파기 시점이 도래할 때까지 안전하게 관리하고, 파기시점에 정확하게 파기될 수 있도록 관리가 필요합니다.

※ 해당 법령 : 개인정보보호법 제19조(개인정보를 제공받은 자의 이용·제공 제한), 제20조(정보주체 이외로부터 수집한 개인정보의 수집 출처 등 고지), 제21조(개인정보의 파기), 제29조(안전조치의무), 제32조(개인정보파일의 등록 및 공개), 동법 시행령 제30조(개인정보의 안전성 확보조치), 제33조(개인정보파일의 등록사항), 제34조(개인정보파일의 등록 및 공개 등), 개인정보의 안전성 확보조치 기준 고시(제3조~제10조)
[김세정 이지서티 선임연구원, 김가영 전임연구원]
[원병철 기자(boanone@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)