본문 바로가기

개인정보 관리

웹사이트 개발/운영자를 위한 개인정보보호 가이드17_개인정보 파기 4. 개인정보의 파기 개인정보의 파기단계에서 개인정보보호를 위해 고려해야 할 세부사항들은 다음과 같다. (그림 3-33) 개인정보 파기단계에서의 개인정보보호 고려사항 가. 개인정보의 파기 의무 이용자의 개인정보는 사업자의 것이 아니라 원활하게 서비스를 제공하기 위해 이용자에게 잠시 빌려온 것에 불과하다. 따라서 이용자가 회원탈퇴 했거나 서비스가 종료되었을 때처럼 개인정보를 빌려온 목적이 없게 되면, 사업자가 보유하고 있는 개인정보는 당연히 파기하여 한다. (1) 개인정보 파기 시점 o 정보통신망법에서는 개인정보의 수집 및 이용목적이 달성하였거나, 이용자에게 동의를 받은 보유 및 이용기간이 도래하였거나, 사업을 폐업하는 경우에는 개인정보의 보유 목적 또한 사라지므로 해당 개인정보를 지체 없이 파기하도록 규.. 더보기
개인정보보호 컨설팅 - 공공기관 개인정보영향평가 방법1 개인정보보호법에 따라 공공기관은 운영중인 '개인정보 파일'에 대하여 '개인정보영향평가'를 수행해야 합니다.민간부문에서는 의무사항이 아니나 가급적 프라이버시 침해가 우려되는 사업을 시행할 때 '개인정보영향평가'를 시행할 것을 권장하고 있습니다. 점차 시간이 지나면 민간부문도 의무화가 되지 않을까 합니다. 행정안정부 및 KISA에서 발간한 '공공기관의 개인정보영향평가 수행 안내서'를 기초로 하여 관련 내용을 살펴보도록 하겠습니다. Ⅰ. 개인정보 영향평가 개요1. 개념● 개인정보 영향평가(PIA : Privacy Impact Assessment)란, 개인정보를 활용하는 새로운 정보시스템의 도입이나 개인정보 취급이 수반되는 기존 정보 시스템의 중대한 변경 시 동 시스템의 구축∙운영∙변경 등이 프라이버시에 미치는.. 더보기
웹사이트 개발/운영자를 위한 개인정보보호 가이드15_개인정보의 위탁 다. 개인정보 취급위탁 동의 사업자가 원활한 업무처리를 위해 이용자의 개인정보를 외부업체에 아웃소싱하는 경우가 있다. 이렇게 아웃소싱으로 외부업체에 개인정보를 제공하는 경우를 개인정보의 취급위탁이라 볼 수 있다. 개인정보의 취급위탁을 하게 될 때 사업자는 누구에게, 왜 주는지를 정보주체에게 알리고 동의를 얻어야 한다. 1. 수탁업체명(개인정보를 제공받는 업체) 2. 수탁 업무 내용 ※ 이 ※ 이용자가의 동의를 획득하여야 하는 업무가 여러 건인 경우 각 건별로 이용자 동의를 획득하여 이용자의 선택권을 보장하여야 하며, 이용자가 동의하지 않더라도 서비스 가입 및 이용에 제한이 없도록 하여야 한다. (그림 3-32) 개인정보 취급위탁 동의 예시 개인정보 취급업무를 위탁 시 동의를 얻어야 하는 사례로는 다음과 .. 더보기
웹사이트 개발/운영자를 위한 개인정보보호 가이드14_개인정보의 이용 및 제공 나. 개인정보 제3자 제공 동의 (1) 동의 항목 사업자는 제3자에게 이용자의 개인정보를 제공하는 경우에 이용자에게 정보톻신망법 제24조의2에 제시된 다음의 사항을 명확하게 알리고 동의를 받아야 한다. 1. 개인정보를 제공받는 자 2. 개인정보를 제공받는 자의 개인정보 이용목적 3. 제공하는 개인정보의 항목 4. 개인정보를 제공받는 자의 개인정보 보유 및 이용기간 (그림 3-29) 개인정보 제3자 제공 동의 예시 개인정보관리책임자는 최소한의 개인정보만을 제공하고 있는지, 또한 개인정보의 제공을 위한 적법한 절차를 취하며, 변경사항에 대해 즉각적이고 정확하게 통지하는지를 확인하고 책임져야 한다. 또한, 개인정보를 제공받는 제3자의 개인정보보호방침을 확인하여야 하며, 다음의 사항을 제공계약의 내용에 포함시키.. 더보기
웹사이트 개발/운영자를 위한 개인정보보호 가이드13_개인정보의 이용 및 제공 3. 개인정보의 이용 및 제공 개인정보의 이용 및 제공단계에서 개인정보보호를 위해 고려해야 할 세부사항들은 다음과 같다. (그림 3-26) 개인정보 이용단계에서의 개인정보보호 고려사항 가. 개인정보 제3자 제공과 취급위탁의 구분 사업자는 업무제휴, 아웃소싱 위하여 타 사업자에게 개인정보를 제공해야 하는 경우가 있다. 이때, 개인정보주체인 이용자의 개인정보 자기결정권을 위하여 반드시 이 사실을 이용자에게 알리고 동의를 획득해야 한다. 타 사업자에게 개인정보를 제공하는 것은 ‘제3자 제공’과 ‘취급위탁’으로 구분할 수 있고, 이 두 경우 동의 받기 위해 고지하는 내용이 다르므로 사업자는 명확하게 이를 구분하여 동의를 받을 필요가 있다. (1) 제3자 제공 개인정보의 제3자 제공은 “제공받는 측의 사업목적”을.. 더보기
웹사이트 개발/운영자를 위한 개인정보보호 가이드10_기술적/관리적 방안 다. 개인정보의 기술적․관리적 보호조치 사업자는 개인정보를 취급하는 과정에서 안전하게 관리하지 않아 개인정보가 유출되는 사고가 빈발하여 사회문제로 대두되고 있다. 사업자는 이용자의 개인정보 취급에 있어 개인정보가 분실․도난․누출․변조 또는 훼손되지 않도록 안전성 확보에 필요한 기술적․관리적 조치를 취해야 한다. 개인정보에 대한 기술적․관리적 조치의 주요 내용은 다음과 같다. 1. 개인정보의 안전한 취급을 위한 내부관리계획의 수립 및 시행 2. 개인정보에 대한 불법적인 접근을 차단하기 위한 침입차단 시스템 등 접근통제장치의 설치․운영 - 접근권한의 부여․변경․말소 등에 관한 기준의 수집․시행 - 개인정보처리시스템에 대한 불법적인 접근을 차단하기 위한 침입차단시스템 및 침입탐지시스템의 설치․운영 - 비밀번호.. 더보기
웹사이트 개발/운영자를 위한 개인정보보호 가이드7_개인정보 관리 방안 2. 개인정보의 관리 개인정보의 관리 단계에서는 이용자가 제공한 개인정보들을 취급함에 있어 취급관리현황에 대해 알리고, 분실․도난․누출․유출․변조․훼손되지 아니하도록 기술적․관리적 보호조치를 하여야 한다. 개인정보 관리 단계에서 개인정보보호를 위해 고려해야 할 세부사항들은 다음과 같다. (그림 3-15) 개인정보 관리단계에서의 개인정보보호 고려사항 또한 이용자로부터 수집한 개인정보는 웹 서버를 통해 DB에 저장이 된다. 내부 관리자(개인정보 취급자)에 의한 개인정보 접근이 해킹의 경우 보다 용이 하기 때문에 업무 이외의 개인정보 접근은 그 의도의 불순 유무와 상관없이 개인정보의 노출위협이 될 수 있다. 따라서 개인정보관리책임자는 DB 접근 가능자의 감독과 관리를 해야 한다. (그림 3-16) 개인정보 관.. 더보기
넥슨 1,320만명 개인정보 유출 지난 주말 또 한 건이 터졌습니다. 주말에 집에 있는데 뉴스 보다가 속보로 넥슨, 메이플스토리 1,320만명 개인정보 유출되었다고 보도가 나오더군요. 9.30 새로운 개인정보보호법이 시행된 후 첫번째 대형 사고로 기록이 되겠습니다. 사실 전날 저는 데일리시큐 특집 기사에 넥슨 보안관리팀장의 넥슨의 보안관리 현황에 대한 기사를 읽었는데 나름 업계의 최고 보안관리를 하고 있다는 기사를 읽어터라 더 충격이 컸고, 넥슨 입장에서는 보면 전날 인터뷰 기사가 실리자마자 사고 뉴스가 터지니 더 입장이 곤란하지 않을까 생각했습니다. [넥슨 개인정보 유출 사과 공지 화면] 이번에 유출된 개인정보는 아이디, 이름, 주민등록번호, 비밀번호라고 합니다. 이 중 주민등록번호와 비밀번호는 암호화 되어 있다고 합니다. 다행히 많은.. 더보기
웹사이트 개발/운영자를 위한 개인정보보호 가이드5_개인정보 생명 주기에 따른 보호방침 다. 개인정보의 수집 제한 (1) 민감한 개인정보의 수집 제한 인종 및 민족, 사상, 출신지 및 본적지, 정치적 성향, 범죄기록, 과거 병력 및 성생활과 관련된 정보 등 개인의 권리․이익이나 사생활을 뚜렷하게 침해할 우려가 있는 개인정보를 통상 민감 개인정보라고 하며, 이러한 민감 개인정보는 이용자의 기본적 인권을 침해할 소지가 있으므로 원칙적으로 수집하여서는 안된다. 요금할인을 위해서 신체장애 여부를 확인해야 하는 등 불가피하게 민감 개인정보를 수집해야 한다면 반드시 해당 사실에 대하여 이용자의 동의를 획득해야 한다. ※ 정보주체의 명확한 인식을 위하여 사업자는 민감한 정보의 수집을 위한 이용자 동의절차를 다른 정보 동의 과정과는 구분하여 표시하도록 권고한다. (2) 개인정보의 최소 수집 사업자는 서비.. 더보기
웹사이트 개발/운영자를 위한 개인정보보호 가이드4_개인정보 생명 주기에 따른 보호방침 나. 만14세 미만 아동의 개인정보 수집(회원의 구분) 개인정보를 수집하려면 원칙적으로 정보주체인 해당 이용자의 동의를 얻어야 한다. 그러나 아동은 개인정보의 중요성에 관한 인식과 정보를 평가하거나 진위를 판단하는 능력이 부족해 자칫 사업자에게 정보를 제공하였다가 뜻하지 않은 불이익을 당할 수 있다. 이에, 정보통신방법에서는 만14세 미만 아동의 개인정보를 수집할 때에는 아동이 아닌 법정 대리인의 동의를 얻도록 규정하고 있어 회원가입시 14세 이상, 미만으로 구분하여 가입을 할 수 있도록 해야 한다. 14세 미만 아동의 개인정보 처리에 대하여 법정 대리인의 동의를 받기위한 기술적 조치로 페이지 내에 법정 대리인의 확인을 위한 링크 버튼을 위치시키거나, 공인전자서명, 전화, 신용카드 정보 확인 등의 방법이.. 더보기

티스토리툴바