1만명 이상 유출사고 통지안하면 과태료
이용목적ㆍ수집항목 등 반드시 알려야
안전관리 기술적ㆍ물리적 조치는 기본
이용목적ㆍ수집항목 등 반드시 알려야
안전관리 기술적ㆍ물리적 조치는 기본
■ 스마트 시큐리티 시대 열자
3-1. D-23, 막바지 준비작업 한창
개인정보보호법이 발효된다는 내용은 많이 알려졌지만 구체적으로 이 법을 지키려면 어떤 노력을 기울이고 무엇을 준비해야할지 아직도 혼란스러워하는 기업이나 사람이 적지 않다.
특히 개인정보를 보유한 사업자들의 경우 기본적인 법 내용에 대해 숙지하고 이를 어겨 벌금을 물지 않기 위해 대비하는 노력이 필요하다.
우선, 사업자가 보유한 방대한 데이터베이스 중 무엇이 개인정보인지 판단해야 한다. 개인정보보호법에서 정의하는 개인정보는 살아있는 개인에 관한 정보로, 개인을 알아볼 수 있는 정보를 뜻한다. △일반정보(성명, 주민등록번호, 주소, 연락처) △경제정보(소득, 재산상황, 신용, 부채) △사회정보(학력, 성적, 병역, 직업, 자격) △통신정보(전자우편, 통화내용, 인터넷 접속IP, 로그(log)) △민감정보(사상, 신념, 노동조합, 정당의 가입탈퇴, 건강 등) 등이 있다.
이 같은 개인정보를 취급하는 사업자들이 주의해야 할 조치사항은 우선 회원, 멤버십 가입, 이벤트 개최 등을 위해 개인정보를 수집할 때 원칙적으로 정보주체(고객, 회원 등)의 동의를 받아 수집해야한다는 점이다. 특히 △개인정보 수집, 이용 목적 △수집하려는 항목 △개인정보의 보유ㆍ이용기간 △동의를 거부할 권리가 있다는 사실 등 4가지 사항을 정보주체에게 알리고 동의를 받아야 한다. 만약 이 원칙을 위반할 경우에는 5000만원 이하의 과태료가 부과된다.
개인정보 처리를 대리점, 위탁점, 콜센터 등 외부에 위탁하는 경우에도 정보주체에게 위탁하는 업무의 내용과 개인정보 처리업무를 위탁받은 자(수탁자)에 대한 사실을 알려야한다. 사업자는 수탁자가 개인정보를 안전하게 처리하는지를 감독해야 하며, 이를 위반할 경우 3000만원 이하의 과태료가 부과된다.
또 개인정보를 안전하게 관리하기 위해서 △관리적 조치(개인정보 내부관리계획 수립 등) △기술적 조치(개인정보 접근통제, 암호화, 보안프로그램 설치 등) △물리적 조치(개인정보 보관장소의 출입통제 등) 등을 취해야 한다. 이 같은 조치를 취하지 않아 개인정보가 유출된 경우에는 2년 이하의 징역 또는 1000만원 이하의 벌금이 부과된다.
이 같은 조치를 취했음에도 불구하고 개인정보 유출사고가 발생했다면 지체 없이 정보주체에게 사실을 알리고 피해 최소화를 위한 대책을 마련해야 한다. 특히 정보주체에겐 △유출된 개인정보의 항목 △유출된 시점과 경위 △유출 피해 최소화를 위해 정보주체가 할 수 있는 방법 △개인정보처리자의 대응조치 및 피해구제 절차 △정보주체가 신고할 수 있는 담당부서ㆍ연락처 등을 알려줘야 한다. 그리고 1만 명 이상의 개인정보가 유출된 경우에는 정보주체에 대한 통지 결과 및 조치결과를 행정안전부나 전문기관에 신고해야 한다. 개인정보 유출사실을 통지하지 않으면 3000만원 이하의 과태료가 부과된다.
이 외에도 사업자들은 회원의 개인정보뿐 아니라 직원(근로자)의 개인정보도 보호대상이 된다는 사실을 숙지해야 한다. 따라서 직원 채용 때부터 개인정보 수집, 이용에 대한 동의를 획득(근로기준법 등 참조)해야 하며, 인사 관리 목적으로만 직원 정보를 이용하고 그 외의 목적으로는 이용이 금지된다. 또 직원이 퇴직할 경우에는 복무기록 발급, 사회보험 증명 등을 위해 보존 필요성이 있는 경우에만 관련 법률에 근거하거나 직원 동의 하에 보존할 수 있다.
김지선기자 dubs45@
◆사진설명 : 행안부가 지난 달 공공기관 대상 개인정보보호 특별교육을 실시한 가운데, 중앙부처 및 광역자치단체 인사, 정보화부서장 120여명이 교육을 받고 있다.
▶김지선기자의 블로그 : http://blog.dt.co.kr/blog/?mb_id=dubsrep
[저작권자 ⓒ디지털타임스 무단 전재-재배포 금지]
3-1. D-23, 막바지 준비작업 한창
개인정보보호법이 발효된다는 내용은 많이 알려졌지만 구체적으로 이 법을 지키려면 어떤 노력을 기울이고 무엇을 준비해야할지 아직도 혼란스러워하는 기업이나 사람이 적지 않다.
특히 개인정보를 보유한 사업자들의 경우 기본적인 법 내용에 대해 숙지하고 이를 어겨 벌금을 물지 않기 위해 대비하는 노력이 필요하다.
우선, 사업자가 보유한 방대한 데이터베이스 중 무엇이 개인정보인지 판단해야 한다. 개인정보보호법에서 정의하는 개인정보는 살아있는 개인에 관한 정보로, 개인을 알아볼 수 있는 정보를 뜻한다. △일반정보(성명, 주민등록번호, 주소, 연락처) △경제정보(소득, 재산상황, 신용, 부채) △사회정보(학력, 성적, 병역, 직업, 자격) △통신정보(전자우편, 통화내용, 인터넷 접속IP, 로그(log)) △민감정보(사상, 신념, 노동조합, 정당의 가입탈퇴, 건강 등) 등이 있다.
이 같은 개인정보를 취급하는 사업자들이 주의해야 할 조치사항은 우선 회원, 멤버십 가입, 이벤트 개최 등을 위해 개인정보를 수집할 때 원칙적으로 정보주체(고객, 회원 등)의 동의를 받아 수집해야한다는 점이다. 특히 △개인정보 수집, 이용 목적 △수집하려는 항목 △개인정보의 보유ㆍ이용기간 △동의를 거부할 권리가 있다는 사실 등 4가지 사항을 정보주체에게 알리고 동의를 받아야 한다. 만약 이 원칙을 위반할 경우에는 5000만원 이하의 과태료가 부과된다.
개인정보 처리를 대리점, 위탁점, 콜센터 등 외부에 위탁하는 경우에도 정보주체에게 위탁하는 업무의 내용과 개인정보 처리업무를 위탁받은 자(수탁자)에 대한 사실을 알려야한다. 사업자는 수탁자가 개인정보를 안전하게 처리하는지를 감독해야 하며, 이를 위반할 경우 3000만원 이하의 과태료가 부과된다.
또 개인정보를 안전하게 관리하기 위해서 △관리적 조치(개인정보 내부관리계획 수립 등) △기술적 조치(개인정보 접근통제, 암호화, 보안프로그램 설치 등) △물리적 조치(개인정보 보관장소의 출입통제 등) 등을 취해야 한다. 이 같은 조치를 취하지 않아 개인정보가 유출된 경우에는 2년 이하의 징역 또는 1000만원 이하의 벌금이 부과된다.
이 같은 조치를 취했음에도 불구하고 개인정보 유출사고가 발생했다면 지체 없이 정보주체에게 사실을 알리고 피해 최소화를 위한 대책을 마련해야 한다. 특히 정보주체에겐 △유출된 개인정보의 항목 △유출된 시점과 경위 △유출 피해 최소화를 위해 정보주체가 할 수 있는 방법 △개인정보처리자의 대응조치 및 피해구제 절차 △정보주체가 신고할 수 있는 담당부서ㆍ연락처 등을 알려줘야 한다. 그리고 1만 명 이상의 개인정보가 유출된 경우에는 정보주체에 대한 통지 결과 및 조치결과를 행정안전부나 전문기관에 신고해야 한다. 개인정보 유출사실을 통지하지 않으면 3000만원 이하의 과태료가 부과된다.
이 외에도 사업자들은 회원의 개인정보뿐 아니라 직원(근로자)의 개인정보도 보호대상이 된다는 사실을 숙지해야 한다. 따라서 직원 채용 때부터 개인정보 수집, 이용에 대한 동의를 획득(근로기준법 등 참조)해야 하며, 인사 관리 목적으로만 직원 정보를 이용하고 그 외의 목적으로는 이용이 금지된다. 또 직원이 퇴직할 경우에는 복무기록 발급, 사회보험 증명 등을 위해 보존 필요성이 있는 경우에만 관련 법률에 근거하거나 직원 동의 하에 보존할 수 있다.
김지선기자 dubs45@
◆사진설명 : 행안부가 지난 달 공공기관 대상 개인정보보호 특별교육을 실시한 가운데, 중앙부처 및 광역자치단체 인사, 정보화부서장 120여명이 교육을 받고 있다.
▶김지선기자의 블로그 : http://blog.dt.co.kr/blog/?mb_id=dubsrep
[저작권자 ⓒ디지털타임스 무단 전재-재배포 금지]
