1

「개인정보 내부 관리계획」 수립·개정 및 시행

0

(작성 기준일 2024. 12.)

근거

‣ 「개인정보 보호법」 제29조(안전조치의무)

‣ 「개인정보 보호법 시행령」 제30조(개인정보의 안전성 확보 조치)

‣ 「개인정보의 안전성 확보조치 기준」 제4조(내부 관리계획의 수립·시행 및 점검)

세부

추진내용

□ 목적

「개인정보 보호법」제29조와 같은 법 시행령에 따라 개인정보처리자가 개인정보를 처리함에 있어서 개인정보가 분실·도난·유출·위조·변조·훼손되지 아니하도록 안전성을 확보하기 위한 기술적·관리적·물리적 조치 계획을 수립

□ 준수사항

① 내부 관리계획 수립·변경 시 개정현황을 포함하여야 하며, 개인정보  보호책임자의 결재를 받아야 함

‣ 내부 관리계획은 매년 수립할 필요는 없으며, 개인정보 처리 방법, 처리 환경 및 안전조치 사항 등 내부 관리계획에 중요한 변경이 있는 경우에 내부 관리계획을 수정·변경

② 내부 관리계획 수립 후에는 전 교직원을 대상으로 전파(공람, 교육 등)

③ 연1회 이상 내부 관리계획에 따른 접근권한 관리, 접속기록 보관 및 점검, 암호화 조치 등 기술적·관리적 및 물리적 안전조치의 이행 여부를 점검·관리

<내부 관리계획에 포함되어야 할 사항>

1. 개인정보 보호 조직의 구성 및 운영에 관한 사항

2. 개인정보 보호책임자의 자격요건 및 지정에 관한 사항

3. 개인정보 보호책임자와 개인정보취급자의 역할 및 책임에 관한 사항

4. 개인정보취급자에 대한 관리ㆍ감독 및 교육에 관한 사항

5. 접근 권한의 관리에 관한 사항

6. 접근 통제에 관한 사항

7. 개인정보의 암호화 조치에 관한 사항

8. 접속기록 보관 및 점검에 관한 사항

9. 악성프로그램 등 방지에 관한 사항

10. 개인정보의 유출, 도난 방지 등을 위한 취약점 점검에 관한 사항

11. 물리적 안전조치에 관한 사항

12. 개인정보 유출사고 대응 계획 수립ㆍ시행에 관한 사항

13. 위험 분석 및 관리에 관한 사항

14. 개인정보 처리업무를 위탁하는 경우 수탁자에 대한 관리 및 감독에 관한 사항

15. 개인정보 내부 관리계획의 수립, 변경 및 승인에 관한 사항

16. 그 밖에 개인정보 보호를 위하여 필요한 사항

벌칙규정

위반행위	벌칙
안전성 확보조치 의무 위반 (법 제29조 위반)	3천만원 이하 과태료 (법 제75조제2항제5호)

관련자료

1. 개인정보 내부 관리계획(안) 개정 기안문 예시

2. 개인정보 내부 관리계획(안) 예시

1
		개인정보 내부 관리계획(안) 개정 기안문 예시

청렴합니다. 우리는 부산교육人입니다.
		○○○학교
수신	내부결재
(경유)
제목	개인정보보호 내부 관리계획 개정(안)

1. 근거

가. 개인정보 보호법 제29조(안전조치의무) 및 같은 법 시행령 제30조(개인정보의 안전성 확보조치)

나. 개인정보의 안전성 확보조치 기준 제4조(내부 관리계획의 수립·시행 및 점검)

다.「개인정보 보호 내부 관리계획(안) 수립」(○○학교-000, 20 .  .  .)

2. 법령 개정에 따라 개인정보의 안전한 처리를 위한 “내부 관리계획”을 붙임과 같이 개정하고자 합니다.

붙임  1. 내부 관리계획(안) 주요 개정 내용 1부.

2. 내부 관리계획(안) 1부. 끝.

★																											교장
협조자
시행			○○학교-0000										(	0000. 00. 00.			)		접수											(			)
우	00000					부산광역시 ○○○																		/	http://www.
전화		051-0000							/전송		051-000-0000					/		○○○@○○○										/	비공개(5)

2
		개인정보 내부 관리계획(안) 예시

○○학교

개인정보 내부 관리계획(안)

20  .   .   .

붉은색으로 표기된 “○○학교” → “○○초등학교” 등으로

글자색과 학교명 및  빈 서식으로 된 부분을

학교(유치원) 실정에 맞도록 수정하여 사용하시기 바랍니다.

작성요령

ㄴ

◌◌학교

개인정보 내부 관리계획(안)

개 정 현 황
날 짜	내 용	작성자	비 고
2012. . .	- 개인정보 내부 관리계획 수립	○○○
2017. . .	- 개인정보 내부 관리계획 개정 • ○○ 추가 • ○○ 변경 등 “주요개정내용 및 개정이유 간략히 작성”	○○○
2019. . .	- 내부 관리계획 주요 개정내용 (개인정보의 안전성 확보조치 기준 개정 사항 반영) • 접속기록 기록항목에 “처리한 정보주체 정보” 추가 • 접속기록 보관·관리 : 6개월 이상 → 1년 이상 • 접속기록 점검 : 반기별 1회 이상 → 월 1회 이상 • 개인정보 다운로드 사유 확인 기준 책정	○○○
2021. . .	- 내부 관리계획 주요 개정내용 [시행 2020.8.5.] 『개인정보 보호법』 개정 주요 사항 반영 • 용어정의 추가: 가명정보, 익명정보 • 가명정보 처리 특례법에 대한 해당내용 추가 • 개인정보처리방침 공개 사항 추가: 개인정보의 파기절차 및 파기방법 • 개인정보의 추가적인 이용‧제공의 기준 추가 등	○○○
2024. . .	- 내부 관리계획 주요 개정내용 [시행 2023.9.15.] 『개인정보 보호법』 개정 주요 사항 반영 • 긴급 상황에서의 개인정보 처리 내용 추가	○○○

	목 차
Ⅰ. 총칙 1. 목적 2. 적용범위 3. 용어 정의 Ⅱ. 개인정보 보호조직에 관한 구성 및 운영 4. 개인정보 보호조직 구성 운영 5. 개인정보 보호책임자의 역할과 책임 6. 분야별책임자의 역할과 책임 7. 개인정보 보호담당자의 역할과 책임 8. 분야별담당자의 역할과 책임 9. 개인정보취급자의 범위 및 역할과 책임 Ⅲ. 개인정보 보호 교육 10. 개인정보 보호 교육 계획의 수립 11. 개인정보 보호 교육의 실시 Ⅳ. 개인정보의 기술적·관리적·물리적 안전조치 12. 접근 권한의 관리 13. 비밀번호 14. 접근통제 15. 개인정보의 암호화 16. 접속기록 보관 및 점검 17. 악성프로그램 등 방지 18. 관리용 단말기의 안전조치 19. 물리적 안전조치 Ⅴ. 목적 외 이용 및 제3자 제공 처리절차 20. 목적 외 이용 및 제3자 제공

	목 차
Ⅵ. 개인정보 파기 계획 및 절차 21. 개인정보 파기기준 22. 개인정보 파기절차 23. 개인정보 파기기한 24. 개인정보 파기방법 Ⅶ. 수탁자 관리 및 감독 25. 개인정보 처리업무 위탁관리 Ⅷ. 개인정보 유출사고 대응 계획 수립 및 시행 26. 추진 체계 27. 사고 조치 방법 Ⅸ. 가명정보 처리 28. 가명정보의 처리 Ⅹ. 내부 관리계획의 이행실태 점검‧관리 [별지 제1호 서식] 개인정보파일 파기 요청서 [별지 제2호 서식] 개인정보파일 파기 관리대장 [별지 제3호 서식] 개인정보 파기 관리대장 [별지 제4호 서식] 개인정보의 목적 외 이용 및 제3자 제공 대장 [별지 제5호 서식] 개인정보 침해사실 신고서 [별지 제6호 서식] 개인정보 유출신고(보고)서 [별지 제7호 서식] 개인정보처리시스템 접속기록 점검대장 [별지 제8호 서식] 개인정보처리시스템 접근권한 관리대장 [별지 제9호 서식] 개인정보 내부 관리계획 이행실태 점검표

Ⅰ. 총칙

□ 목적

○○학교 개인정보 내부 관리계획은 『개인정보 보호법』제29조와 같은 법 시행령 제30조 그리고 개인정보의 안전성 확보조치 기준에 따라 개인정보를 처리함에 있어서 개인정보가 분실·도난·유출·위조·변조 또는 훼손되지 아니하도록 안전성 확보에 필요한 기술적·관리적 및 물리적 안전조치에 관한 사항을 정하는 것을 목적으로 한다.

□ 적용범위

본 내부 관리계획은 정보통신망을 통하여 수집·이용·제공 또는 관리되는 개인정보 뿐만 아니라 서면 등 정보통신망 이외의 수단을 통해서 수집·이용·제공 또는 관리되는 개인정보에 대해서도 적용되며, 이러한 개인정보를 취급하는 내부 직원 및 외부업체 직원에 대해서도 적용된다.

□ 용어 정의

용어

정의

개인정보

살아 있는 개인에 관한 정보로서 다음의 정보를 포함

가. 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수  있는 정보

나. 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보. 이 경우 쉽게 결합할 수 있는지 여부는 다른 정보의 입수 가능성 등 개인을 알아보는 데 소요되는 시간, 비용, 기술 등을 합리적으로 고려하여야 함

가명정보

개인정보를 가명처리 함으로써 원래의 상태로 복원하기 위한 추가정보의 사용‧결합 없이는 특정 개인을 알아볼 수 없는 정보[신설]

가명처리

개인정보의 일부를 삭제하거나 일부 또는 전부를 대체하는 등의 방법으로 추가정보가 없이는 특정 개인을 알아볼 수 없도록 처리하는 것[신설]

익명정보

시간‧비용‧기술 등을 합리적으로 고려할 때 다른 정보를 사용하여도 더 이상 개인을 알아볼 수 없는 정보(법 제58조의2에 따라 개인정보 보호법 적용 대상에는 제외)[신설]

개인정보 처리

개인정보의 수집, 생성, 연계, 연동, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정(訂正), 복구, 이용, 제공, 공개, 파기(破棄), 그 밖에 이와 유사한 행위

정보주체

처리되는 정보에 의하여 알아볼 수 있는 사람으로서 그 정보의 주체가 되는 사람

개인정보파일

개인정보를 쉽게 검색할 수 있도록 일정한 규칙에 따라 체계적으로 배열하거나 구성한 개인정보의 집합물(集合物)(수기문서 포함)

개인정보처리자

업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인을 말함

개인정보 보호책임자

개인정보처리자의 개인정보의 처리에 관한 업무를 총괄해서 책임지는 자로서 시행령 제32조제3항에 해당하는 자

개인정보 보호담당자

각급기관의 실질적인 개인정보 보호업무를 담당하는 자로 개인정보처리자가 지정한 자

개인정보보호 업무

분야별책임자

업무를 위하여 개인정보파일을 처리하는 부서의 장으로 개인정보 보호책임자가 지정한 자(이하 “분야별책임자”라 한다)

개인정보보호 업무

분야별담당자

개인정보보호 업무 분야별책임자의 지휘‧감독을 받아 업무부서의 개인정보 보호  업무를 담당(이하 “분야별담당자”라 한다)

개인정보취급자

개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 임직원, 파견근로자, 시간제근로자 등을 말함

개인정보처리시스템

데이터베이스시스템 등 개인정보를 처리할 수 있도록 체계적으로 구성한 시스템

고유식별정보

주민등록번호, 여권번호, 운전면허번호, 외국인등록번호

민감정보

사상‧신념, 노동조합‧정당의 가입‧탈퇴, 정치적 견해, 건강, 성생활, 유전정보, 범죄경력 정보 등에 관한 정보와 그 밖의 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보

바이오정보

지문, 얼굴, 홍채, 정맥, 음성, 필적 등 개인을 식별할 수 있는 신체적 또는 행동적 특징에 관한 정보로서 그로부터 가공되거나 생성된 정보

영상정보처리기기

일정한 공간에 지속적으로 설치되어 사람 또는 사물의 영상 등을 촬영하거나 이를 유·무선망을 통하여 전송하는 일체의 장치로서 시행령 제3조에 따른 폐쇄회로 텔레비전(CCTV) 및 네트워크 카메라를 말함

접근권한

홈페이지에 접속하여 개인정보를 생성·변경·열람·삭제 등을 할 수 있는 권한

접속기록

개인정보취급자 등이 개인정보처리시스템에 접속하여 수행한 업무내역에 대하여 개인정보 취급자 등의 계정, 접속일시, 접속지 정보, 처리한 정보주체 정보, 수행업무 등을 전자적으로 기록한 것을 말함. 이 경우 “접속”이란 개인정보처리시스템과 연결되어 데이터 송신 또는 수신이 가능한 상태를 말함

보조저장매체

이동형 하드디스크, USB 메모리, CD, DVD 등 자료를 저장할 수 있는 매체로서 개인정보처리시스템 또는 개인용 컴퓨터 등과 용이하게 연결·분리할 수 있는 저장매체

비밀번호

정보주체 또는 개인정보취급자 등이 개인정보처리시스템, 업무용 컴퓨터 또는  정보통신망 등에 접속할 때 식별자와 함께 입력하여 정당한 접속 권한을 가진 자라는 것을 식별할 수 있도록 시스템에 전달해야 하는 고유의 문자열로서 타인에게 공개되지 않는 정보

공개된 무선망

불특정 다수가 무선접속장치(AP)를 통하여 인터넷을 이용할 수 있는 망

내부망

물리적 망분리, 접근 통제시스템 등에 의해  인터넷 구간에서의 접근이 통제 또는 차단되는 네트워크 구간

정보통신망

「전기통신기본법」 제2조제2호에 따른 전기통신설비를 이용하거나 전기통신설비와 컴퓨터 및 컴퓨터의 이용기술을 활용하여 정보를 수집·가공·저장·검색·송신 또는 수신하는 정보통신체계

모바일 기기

무선망을 이용할 수 있는 PDA, 스마트폰, 태블릿PC 등 개인정보 처리에 이용되는 휴대용 기기

관리용 단말기

개인정보처리시스템의 관리, 운영, 개발, 보안 등의 목적으로 개인정보처리시스템에 직접 접속하는 단말기

본 내부 관리계획에서 사용하는 용어의 정의는 다음과 같다.

Ⅱ. 개인정보 보호 조직에 관한 구성 및 운영

□ 개인정보 보호조직 구성 운영

개인정보 보호를 위하여 다음과 같이 개인정보 보호조직을 구성·운영한다.

			개인정보 보호책임자 (학교장)
			교감
									개인정보 보호담당자
분야별 책임자(부장)			분야별 책임자(부장)			분야별 책임자(부장)
분야별담당자			분야별담당자			분야별담당자
개인정보취급자 ː			개인정보취급자 ː			개인정보취급자 ː

□ 개인정보 보호책임자의 역할과 책임

1. 개인정보 보호책임자는 다음 각 호의 업무를 수행한다.

가. 개인정보 보호 계획의 수립 및 시행(내부 관리계획)

나. 개인정보 처리 실태의 정기적인 조사 및 개선

다. 개인정보 처리와 관련한 불만의 처리 및 피해 구제

라. 개인정보 유출 및 오용·남용 방지를 위한 내부통제시스템의 구축

마. 개인정보 보호 교육 계획의 수립 및 시행

바. 개인정보파일의 보호 및 관리·감독

사. 개인정보 처리방침의 수립·변경 및 시행

아. 개인정보 보호 관련 자료의 관리

자. 개인정보파일의 보유기간 산정

차. 처리 목적이 달성되거나 보유기간이 지난 개인정보의 파기

카. 개인정보 보호책임자 교육 이수

2. 개인정보 보호책임자는 개인정보취급자를 업무상 필요한 한도 내에서 최소한으로 지정하고 수시로 관리․감독하여야 하며, 개인정보 보호 교육 및 보안서약서 등을 통해 개인정보를 안전하게 관리한다.

3. 개인정보 보호책임자는 주요 개인정보를 취급하는 부서의 장을 분야별책임자로 지정할 수 있다.

4. 개인정보 보호책임자는 개인정보 보호 관련업무의 실무를 총괄하고 담당하는 개인정보 보호담당자를 지정한다.

□ 분야별책임자의 역할과 책임

분야별책임자는 다음 각 호의 업무를 수행한다.

1. 부서 내 개인정보 처리 실태의 정기적인 조사 및 개선

2. 부서 내 개인정보 처리와 관련한 불만의 처리 및 피해 구제

3. 부서보유 개인정보파일의 보호 및 관리·감독

4. 부서보유 개인정보처리시스템의 개인정보 처리방침의 수립·변경 및 시행

5. 부서보유 개인정보 보호 관련 자료의 관리

6. 처리 목적이 달성되거나 보유기간이 지난 개인정보의 파기

7. 그 밖에 해당부서의 개인정보 보호를 위해 필요한 사항 등

□ 개인정보 보호담당자의 역할과 책임

개인정보의 적절한 처리를 위해 필요한 사항 및 개인정보 보호책임자가 위임한 업무를 수행한다.

1. 관련 법령의 개정 사항 등을 검토‧반영한 내부 관리계획의 개정 보고

2. 개인정보 처리방침의 개정 보고 및 공개

3. 개인정보 처리 실태의 정기적인 조사 및 개선

4. 개인정보 처리와 관련한 요구 처리 및 유출 통지, 피해 구제

5. 개인정보취급자 관리‧감독과 교육 실시

6. 개인정보파일 등록‧공개 및 관리

7. 개인정보보호 관련 자료 관리 및 제출 등

8. 그 밖에 개인정보보호를 위해 필요한 사항의 이행 등

□ 분야별담당자의 역할과 책임

분야별책임자가 위임한 업무를 수행한다.

□ 개인정보취급자의 범위 및 역할과 책임

1. 개인정보취급자의 범위는 다음과 같다.

○○학교의 지휘‧감독을 받아 개인정보를 처리하는 업무를 담당하는 자로서 모든 교직원 및 계약직, 시간제근로자 및 계약에 의한 외부용역업체 직원 등을 말한다.

2. 개인정보취급자는 개인정보 보호와 관련하여 다음과 같은 역할 및 책임을 이행한다.

가. 개인정보 보호 활동 참여

나. 개인정보보호 관련 법령‧지침‧고시, 내부 관리계획 등의 준수 및 이행

다. 개인정보의 기술적·관리적·물리적 안전조치 기준 이행

라. 개인정보파일 대장 관리

마. 정보주체의 민원 신청접수 및 처리(열람, 정정, 변경, 삭제)

바. 교직원 또는 제3자에 의한 위법·부당한 개인정보 침해행위에 대한 점검 등

사. 월1회 사이버보안 진단의 날 PC 점검, 고유식별정보 정비 및 암호화 관리

아. 기타 개인정보보호를 위해 필요한 사항의 이행

Ⅲ. 개인정보 보호 교육

개인정보 보호 교육 계획의 수립

1. 개인정보 보호책임자는 다음 각 호의 사항을 포함하는 연간 개인정보 보호 교육계획을 매년 수립·운영한다.

가. 교육목적 및 대상

나. 교육내용

다. 교육 일정 및 방법

2. 개인정보 보호책임자는 수립한 개인정보 보호 교육 계획을 실시한 이후에 교육의 성과와 개선 필요성을 검토하여 다음해 교육 계획 수립에 반영한다.

3. 연간 개인정보 보호 교육 계획은 다음과 같이 하고, 개별 교육을 실시할 경우 별도의 세부 교육 계획을 수립하여 실시한다.

□ 연간 개인정보 보호 교육 계획

일정 대상	교육 시기	교육방법	교육내용
개인정보 보호책임자	연내	감독기관의 CPO 교육 이수 또는 CPO 워크숍 참석
개인정보 보호담당자	연내	감독기관의 교육 이수
개인정보 취급자	00월	집합교육 또는 원격교육	- 개인정보보호 내부 관리계획 · 개인정보 수집·이용 방법 · 목적 외 이용 및 제3자 제공 및 절차 · 개인정보 위탁, 수탁자 관리 방법 · 안전성 확보 조치 - 개인정보 침해사고 대응방법 및 절차 - 개인정보 위반 사례 등
	00월	유인물 배포(필요 시)
전입자	전입 시	집합교육 및 개별교육
수탁자	개인정보 처리 업무 위탁 시	위탁계약 시 개별교육	- 개인정보 위탁에 따른 수탁자 책임과 의무 - 개인정보 처리방법 및 안전성 확보조치 - 위탁계약서 및 과태료 부과기준 등

개인정보 보호 교육의 실시

1. 개인정보 보호책임자는 개인정보 보호에 대한 직원들의 인식제고를 위해 노력해야 하며, 개인정보의 오․남용 또는 유출 등을 적극 예방하기 위해 교직원을 대상으로 매년 정기적으로 연 1회 이상 교육을 실시한다.

2. 교육 방법은 집합교육뿐만 아니라, 사이버교육 등 다양한 방법을 활용하여 실시하고, 필요한 경우 외부 전문기관이나 전문 강사를 초빙하여 교육을 실시할 수 있다.

3. 개인정보 보호에 대한 중요한 전파 사례가 있거나 개인정보 보호 업무와 관련하여 변경된 사항이 있는 경우, 개인정보 보호책임자는 회의 등을 통해 수시 교육을 실시할 수 있다.

Ⅳ. 개인정보의 기술적·관리적·물리적 안전조치

접근 권한의 관리

1. ○○학교는 개인정보처리시스템에 대한 접근 권한을 업무 수행에 필요한 최소한의 범위로 업무 담당자에 따라 차등 부여한다.

2. ○○학교는 전보 또는 퇴직 등 인사이동이 발생하여 개인정보취급자가 변경되었을 경우 지체없이 개인정보처리시스템의 접근 권한을 변경 또는 말소한다.

3. ○○학교는 제1항 및 제2항에 의한 권한 부여, 변경 또는 말소에 대한 내역을 기록 관리하고, 기록을 최소 3년간 보관한다.( [별지 제8호 서식] 활용)

4. ○○학교는 개인정보처리시스템에 접속할 수 있는 사용자 계정을 발급하는 경우 개인정보취급자 별로 사용자계정을 발급하여야 하며, 다른 개인정보취급자와 공유되지 않도록 한다.

5. ○○학교는 정당한 권한 보유자만 개인정보처리시스템에 접근할 수 있도록 계정정보 또는 비밀번호를 5회 이상 잘못 입력한 경우 개인정보처리시스템에 대한 접근을 제한하는 등의 기술적 조치를 취한다.

비밀번호

1. ○○학교는 개인정보취급자 또는 정보주체가 안전한 비밀번호를 설정하여 이행할 수 있도록 비밀번호 작성규칙을 수립하여 적용한다.

2. 비밀번호는 다음 각 호의 사항을 반영하여 문자와 숫자, 특수문자 등을 혼합하여 9자리 이상으로 정하고 분기별 1회 이상 주기적으로 변경 사용하여야 한다.

가. 사용자 계정, 개인 신상정보 및 부서명칭 등 사용 금지

나. 일련번호 또는 전화번호 등 쉬운 문자열 사용 금지

다. love, happy등 사전에 등록된 단어와 키보드 상 나란히 있는 문자열 포함 금지

라. 사용된 비밀번호 재사용 금지 및 동일한 비밀번호 공유 금지

마. 응용프로그램 등을 이용한 자동 비밀번호 입력기능 사용금지

접근통제

1. ○○학교는 개인정보처리시스템을 운영할 경우 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 다음의 사항을 포함한 시스템을 설치·운영한다.

가. 개인정보처리시스템에 대한 접속 권한을 IP(Internet Protocol)주소로 제한하여 인가받은 자만 접근할 수 있도록 제한한다.

나. 개인정보처리시스템에 접속한 IP(Internet Protocol)주소 등을 분석하여 불법적인 개인정보 유출 시도를 탐지하고 대응한다.

2. ○○학교는 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우에는 가상사설망이나 전용선을 이용하여 접속할 수 있도록 한다.

3. ○○학교는 취급중인 개인정보가 인터넷 홈페이지, P2P, 공유설정, 공개된 무선망 이용 등을 통하여 열람권한이 없는 자에게 공개되거나 유출되지 않도록 개인정보처리시스템, 업무용 컴퓨터, 모바일 기기 및 관리용 단말기 등에 접근통제 등에 관한 조치를 취한다.

4. ○○학교는 고유식별정보를 처리할 경우 인터넷 홈페이지를 통하여 고유식별정보가 유출·변조·훼손되지 않도록 연 1회 이상 취약점을 점검하고 취약점 발견 시 보완 조치를 취한다.

5. ○○학교는 개인정보취급자가 일정시간 이상 업무처리를 하지 않는 경우 자동으로 시스템 접속이 차단되도록 기술적 조치를 취한다.

6. ○○학교가 업무용 컴퓨터를 이용하여 개인정보를 처리하는 경우에는 제1항을 적용하지 아니할 수 있으며, 이 경우 업무용 컴퓨터의 운영체제(OS)나 보안프로그램 등에서 제공하는 접근통제 기능을 이용한다.

7. ○○학교는 업무용 모바일 기기를 사용할 경우 분실·도난 등으로 개인정보가 유출되지 않도록 해당 모바일 기기에 비밀번호 설정 등의 보호조치를 취한다.

개인정보의 암호화

1. ○○학교는 고유식별정보, 비밀번호, 바이오정보를 정보통신망을 통하여 송신하거나 보조저장매체(USB, CD) 등을 통하여 전달할 경우 암호화하여 전달한다.

2. ○○학교는 비밀번호 및 바이오정보는 암호화하여 저장하여야 한다.
다만, 비밀번호는 복호화되지 않도록 일방향 암호화하여 저장한다.

3. ○○학교는 고유식별정보를 저장할 경우 암호화하여야 한다.

4. 개인정보를 암호화할 경우 안전한 암호화 알고리즘으로 암호화하여 저장한다.

접속기록의 보관 및 점검

1. ○○학교는 개인정보처리시스템에 접속한 기록을 1년 이상 보관 및 관리한다.

2. ○○학교는 개인정보의 분실·도난·유출·위조·변조 또는 훼손 등에 대응하기 위하여 개인정보처리시스템의 접속기록 등을 월 1회 이상 점검 한다.

( [별지 제7호 서식] 활용)

3. 개인정보 다운로드 시 사유 확인이 필요한 기준 책정

가. (다량의 다운로드) 일평균 개인정보 처리 건수 보다 5배 이상의 정보주체에 대한 개인정보를 다운로드 한 경우 사유 확인

나. (반복적 다운로드) 개인정보취급자가 1시간 내 다운로드한 횟수가 20건 이상일 경우 단시간에 수차례에 걸쳐 개인정보를 다운로드 한 행위에 대한 사유 확인

다. (업무시간 외 다운로드 수행) 새벽시간, 휴무일 등 업무시간 외 개인정보를 다운로드 한 경우 사유 확인

4. ○○학교는 개인정보취급자의 접속기록이 위·변조 및 도난, 분실되지 않도록 해당 접속기록을 안전하게 보관한다.

악성프로그램 등 방지

○○학교는 악성 프로그램으로부터 정보주체의 개인정보가 손상․유출이 되지 않도록 업무용 컴퓨터에 백신 소프트웨어 등의 보안 프로그램을 설치․운영하여야 하며, 다음 사항을 준수한다.

1. 자동 업데이트 기능을 사용하여 일 1회 이상 업데이트 실시로 최신의 상태 유지

2. 악성 프로그램 관련 경보 발령 시 또는 사용 중인 응용 프로그램이나 운영체제에 대한 보안 업데이트 공지 시 즉시 이에 따른 업데이트 실시

3. 악성프로그램 발견 시 즉시 삭제 등 대응 조치 실시

관리용 단말기의 안전조치

○○학교는 개인정보 유출 등 개인정보 침해사고 방지를 위하여 관리용 단말기에 대하여 다음 사항에 대한 안전조치를 취한다.

1. 비인가자의 관리용 단말기 접근제한으로 임의 조작을 못하도록 조치

2. 목적 내에서만 사용될 수 있도록 접근제한 및 접근통제 조치

3. 관리용 단말기에 개인정보 저장금지 및 방치 금지

4. 백신프로그램 설치 및 주기적 업데이트로 악성프로그램 등 감염 방지 조치

물리적 안전조치

1. ○○학교는 전산실, 자료보관실 등 개인정보를 보관하는 장소를 별도로 두고 있는 경우에는 물리적 장소에 대한 출입통제 절차를 수립·운영 한다.

2. ○○학교는 개인정보가 포함된 서류, 보조저장매체 등은 잠금장치가 있는 안전한 장소에 보관한다.

3. ○○학교는 개인정보가 포함된 보조저장매체의 반출·입 통제를 위한 보안대책을 마련한다. 다만 별도의 개인정보처리시스템을 운영하지 아니하고 업무용 컴퓨터 또는 모바일 기기를 이용하여 개인정보를 처리하는 경우에는 이를 적용하지 아니할 수 있다.

Ⅴ. 목적 외 이용 및 제3자 제공 처리절차

목적 외 이용 및 제3자 제공

1. ○○학교는 개인정보의 목적 외 이용 및 제3자 제공 처리절차를 수립하여 시행한다.

□ 목적 외 이용 및 제3자 제공 처리절차

□ 기본원칙

▷ 자료제공 판단 기준

: 자료제공이 필요한 경우 목적의 정당성, 수단의 적합성, 침해의 최소성, 법익의 균형성에 대하여 종합적으로 검토한 후 필요한 최소한의 범위 내에서 제공하여야 한다.

∙ 목적의 정당성: 구체적으로 어떠한 목적을 위하여 당해 개인정보가 필요한지?

∙ 수단의 적합성: 당해 개인정보를 제공함으로써 공익목적을 달성할 수 있는 것인지?

∙ 침해의 최소성: 목적달성을 위하여 필요한 최소한의 정보는 어디까지인지?

∙ 법익의 균형성: 제공에 따른 이익과 정보주체가 받을 수 있는 예상피해를 비교하여 전자가 우월하다고 할 수 있는지 여부 판단

▷ 요청 기관의 적격 여부 확인

: 자료제공이 필요한 경우 제공가능 여부를 아래의 기준에 따라 확인하고 제공하여야 한다.

∙ 요청 기관의 개별법에 자료요청의 근거조항이 구체적으로 명시된 경우 제공 가능

∙ 요청 기관의 개별법에 자료요청 근거법이 없는 경우, 정보주체의 동의가 있었는지 여부 등 예외적 제공가능 사항에 해당되는지 확인한 후 제공 여부 결정

▷ 제공항목 판단

- 직접 수집한 정보 여부를 확인하여야 한다.

□ 학교에서 직접 수집·생산한 정보가 아닌 경우 자료제공 불가

※ 단, 정보주체의 별도 동의가 있는 경우 제공 가능

□ 요청 목적에 부합하는 최소 항목만 제공(개인정보 최소 제공 원칙)

- 주민등록번호는 법령(법률, 시행령)에서 처리를 요구(허용)한 경우만 처리 가능

□ 개인정보의 제공 가능범위

▷ 수집목적 범위 내에서 제공하는 경우

: 『개인정보 보호법』 제15조제1항‧제2호‧제3호 및 제5호부터 제7호까지에 따라 개인정보를 수집한 목적 범위에서 개인정보를 제공하는 경우 제3자 제공이 가능하다.

▷ 수집목적 외의 용도로 제공하는 경우

: 『개인정보 보호법』 제18조 제2항에 해당하는 경우 예외적으로 제공 가능함.

∙ 정보주체로부터 별도의 동의를 받은 경우

∙ 다른 법률에 특별한 규정이 있는 경우

∙ 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우

∙ 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하지 아니하면 다른 법률에서 정하는 소관 업무를 수행할 수 없는 경우로서 보호위원회의 심의ㆍ의결을 거친 경우

∙ 조약, 그 밖의 국제협정의 이행을 위하여 외국정부 또는 국제기구에 제공하기 위하여 필요한 경우

∙ 범죄의 수사와 공소의 제기 및 유지를 위하여 필요한 경우

∙ 법윈의 재판업무 수행을 위하여 필요한 경우

∙ 형 및 감호, 보호처분의 집행을 위하여 필요한 경우 등

∙ 공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우

- 다만, 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 경우 제공이 불가함

▷ 업무의 일부 또는 전부를 위탁하는 경우

: 개인정보 처리 업무를 위탁 시, 위탁업무의 목적 등이 포함된 문서에 의하여야 하며 위탁사항에 구체적으로 표기된 범위 내에서 제공하여야 한다.

☞ 위탁자의 이익을 위해 처리하는 경우는 업무 위탁에 해당되며, 개인정보를 제공 받는 제3자의 이익을 위해 처리하는 경우에는 제3자 제공에 해당 함.

□ 개인정보 목적 외 이용 및 제3자 제공 처리절차

▷ 목적 외 이용·제3자 제공 시 절차

절 차	주요내용
1. 법적근거 검토	□ 목적 외 이용·제3자 제공이 가능한 경우에 해당하는지 법적근거 검토
↓
2. 동의절차 이행	□ 법적 근거가 없는 경우 정보주체로부터 별도의 동의를 받아야 함
↓
3. 제공 승인 획득	□ 개인정보 보호책임자로부터 목적 외 이용·제공 승인 절차 진행 ※ 업무 협조 또는 메모 보고 등
↓
4. 대장 기록·관리	□‘개인정보의 목적 외 이용 및 제3자 제공 대장’을 기록·관리하여야함 ※ [별지 제4호 서식] 개인정보의 목적 외 이용 및 제3자 제공 대장 활용
↓
5. 안전조치 요구	□ 제3자 제공시에는 이용목적, 이용방법, 이용기간, 이용형태 등을 제한하거나 개인정보의 안전성 확보를 위하여 필요한 조치(“안전성 확보 조치” 참조)를 마련하도록 문서로 요청
↓
6. 조치결과 제출	□ 안전성 확보조치 요청을 받은 자(제공받는 자)는 그에 따른 조치를 취한 후, 그 결과를 개인정보를 제공한 학교에게 문서로 알려야 함
↓
7. 주요내용 공개	□ 30일 이내에 관보 또는 인터넷 홈페이지에 10일 이상 계속 개재

▷ 제공에 따른 기록 및 관리

: 분야별책임자는 개인정보를 목적 외의 용도로 이용하거나 제3자에게 제공하는 경우에는 [별지 제4호 서식] 개인정보의 목적 외 이용 및 제3자 제공대장에 기록·관리

▷ 목적 외 이용 및 제3자 제공 시 주요내용 공개

: 『개인정보 보호법』제18조(개인정보의 목적 외 이용·제공 제한) 제2항 제2호부터 제6호까지, 제8호부터 제10호까지에 따라 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하는 경우에는 1개월 이내에 이용 또는 제공의 법적 근거 목적 및 범위 등에 관한 사항을 홈페이지 등에 10일 이상 게재하여야 한다.

제공하는 개인정보	제공받는 기관	제공 한 날짜 (필수)	제공근거 (필수)	제공받는 자의 이용목적 (필수)	제공하는 개인정보 항목(필수)	제공받는 자의 보유 및 이용기간

□ 안전성 확보 조치

▷ 제공자의 의무

- 개인정보 자료 제공은 문서로 시행되어야 하며, 문서에 제공 목적 이외의 이용금지, 사용 목적 달성 후 폐기, 사후관리 실태 확인 등의 안전성 확보 조치 문구를 표기하여 시행

- 제공받는 자에게 이용 목적·방법·기간·형태 등을 제한하거나 개인정보 안전성 확보를 위하여 구체적인 조치를 마련하도록 문서로 요청(전자문서 포함)하여야 한다.

- 제공받는 자가 요구하는 안전성 확보 조치를 하지 않거나 목적 외의 용도로 이용 또는 제3자에게 제공할 경우 자료제공을 중지하고 제공한 자료를 회수 또는 파기를 요구할 수 있다.

▷ 제공받는 자의 의무

- 안전성 확보조치를 취하고 그 사실을 제공자에게 문서로 통지

- 정보주체의 별도 동의 또는 법률에 규정이 있는 경우를 제외하고는 개인정보를 목적 외의 용도로 이용하거나 제3자에게 제공 금지

2. 개인정보의 목적 외 이용 및 제3자 제공은 적법한 절차와 규정을 준수하여 제공하고, 세부적인 사항은 다음의 목적 외 이용 및 제3자 제공 처리절차에 따른다.

Ⅵ. 개인정보 파기 계획 및 절차

개인정보 파기기준

○○학교는 개인정보의 보유기간 경과, 가명정보의 처리기간 경과, 처리목적 달성 등 그 개인정보가 불필요하게 되었을 때에는 지체없이 해당 개인정보를 파기하여야한다. 다만, 다른 법률에 따라 보존하여야 하는 경우에는 관련법에 따라 처리한다.

개인정보 파기절차

개인정보취급자는 보유기간 경과 및 처리목적을 달성한 개인정보(파일)은 다음의 세부적인 파기 절차에 따른다.

□ 개인정보파일 파기 절차(※ 사업 폐지 등 업무 자체가 없어질 경우)

절차	주요내용	담당자	비고
1	□ 개인정보파일 파기 요청서 작성 및 제출 ☞ [별지 제1호 서식]“개인정보파일 파기 요청서” 작성 후 결재 요청	개인정보취급자
↓
2	□ 파기 요청 검토 및 승인·반려	개인정보 보호책임자
↓
3	□ 승인 시, 개인정보파일 파기 실시(접속로그 기록 확인) □ 개인정보파일 파기 관리대장 작성(업무 분야별 작성) ☞ [별지 제2호 서식]“개인정보파일 파기 관리대장” 작성 후 결재 □ 개인정보파일 파기 결과 보고	개인정보취급자
↓
4	□ 개인정보파일 파기 결과 확인	개인정보 보호책임자	담당 부서
↓
5	□ 개인정보보호위원회 개인정보보호 종합지원시스템에 등록된 개인정보파일 삭제 □ 개인정보 처리방침에 공개된 개인정보파일 삭제	개인정보 보호책임자	담당 부서

□ 개인정보 파기 (※ 회원 정보 정비 등 일부 개인정보를 삭제할 경우)

절차	주요내용	담당자	비고
1	□ 보유기간이 경과되거나 불필요하게 된 개인정보 현황 파악 □ 개인정보 파기 결재 요청	개인정보취급자
↓
2	□ 개인정보 파기 요청 검토 및 승인·반려	분야별책임자 (개인정보 보호책임자)
↓
3	□ 개인정보 파기 시행 □ 개인정보 파기 결과 보고 ☞ [별지 제3호 서식] 개인정보 파기 관리대장 활용	개인정보취급자
↓
4	□ 개인정보 파기 결과 확인	분야별책임자 (개인정보 보호책임자)

※ 홈페이지 회원정보는 분기별 파기 수행

개인정보 파기기한

개인정보는 개인정보의 보유기간이 경과된 경우 그리고 개인정보의 처리 목적 달성 등 그 개인정보가 불필요하게 되었을 때에는 정당한 사유가 없는 한 그로부터 지체없이(5일 이내)에 그 개인정보를 파기한다.

개인정보 파기방법

1. ○○학교는 종이에 출력된 개인정보는 분쇄기로 분쇄하거나 소각을 통하여 파기하고 전자적 파일 형태의 정보는 기록을 재생할 수 없는 기술적 방법을 사용하여 파기하여야 한다. 세부적인 파기 방법은 다음의 정보시스템 저장매체·자료별 파기방법을 따른다.

□ 정보시스템 저장매체·자료별 파기방법

저장자료 저장매체	공개자료	비공개 자료	대외비 자료	비밀 자료
광디스크 (CD, DVD 등)	자체 판단	물리적 파괴	물리적 파괴	물리적 파괴
반도체메모리 (SSD, USB 등)	포맷 또는 삭제	완전삭제 제품	물리적 파괴	물리적 파괴
하드디스크	포맷 또는 삭제	디가우징 또는 완전삭제 제품	물리적 파괴	물리적 파괴

☞ 부산광역시교육청 정보보안 기본지침 [부록2] 정보시스템 저장매체 불용처리 지침 참고

2. ○○학교가 개인정보의 일부만을 파기하는 경우, 가.의 방법으로 파기하는 것이 어려울 때에는 다음 사항의 조치를 취한다.

가. 전자적 파일 형태인 경우: 개인정보를 삭제한 후 복구 및 재생되지 않도록 관리 및 감독

나. 그 외의 기록물, 인쇄물, 서면, 그 밖의 기록매체인 경우: 해당 부분을 마스킹, 천공 등으로 삭제

Ⅶ. 수탁자 관리 및 감독

개인정보 처리업무 위탁관리

1. ○○학교는 개인정보 처리 업무를 위탁할 경우 수탁자 관리·감독 방안을 수립하여 시행한다.

2. 개인정보 처리 업무 위탁 시 위탁계약서를 작성하여야 하며, 수탁자 관리 및 감독에 대한 세부적인 사항은 다음의 개인정보 위탁업체(수탁자) 관리 및 감독에 따른다.

□ 개인정보 위탁업체(수탁자) 관리 및 감독

□ 위탁사업 현황 처리 내용

▷ 개인정보 처리 업무를 위탁하는 개인정보취급자는 인터넷 홈페이지 등에 위탁하는 업무의 내용과 수탁자의 정보를 지속적으로 게재하여야 한다.

▷ 개인정보처리자는 개인정보의 처리 업무에 대하여 제3자에게 위탁계약을 체결하는 경우에 위탁업무 수행 목적 외 개인정보의 처리 금지와 기술적·관리적 보호 조치 또는 그 밖에 안전한 관리를 위하여 다음 사항 중 하나의 방법으로 문서화하여야 한다.

- 개인정보 처리 위탁계약서를 활용하여 계약서 작성

- 『개인정보 보호법』제26조 및 같은 법 시행령 제28조의 필수 사항을 모두 포함한 계약서·협약서·특약서 등을 작성

□ 수탁자 교육 및 관리·감독 계획

위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 분실·도난·유출·변조 또는 훼손되지 않도록 수탁자를 교육하고, 처리현황을 점검하는 등 수탁자가 개인정보를 안전하게 처리하는지 감독하여야 한다.

▷ 수탁자 개인정보 보호 교육

□ 일정: 수탁자 점검 시 교육 실시

□ 교육내용

- 수탁자 책임과 의무사항 및 개인정보처리 방법

- 안전성 확보를 위한 조치 방법 및 위탁계약서 내용 등

□ 교육대상: 수탁자 중 개인정보를 취급·관리하는 전 직원 대상

☞ 개인적인 사정으로 교육 불참의 경우, 수탁자 자체 교육 실시 건도 교육으로 인정

▷ 수탁자 개인정보 처리 관리·감독: 연 1회 이상 관리·감독 실시

□ 위탁계약서 내용 준수 및 안전성 확보 준수 여부

□ 개인정보 유·노출시 대응 절차 및 파기 이행 여부 등

Ⅷ. 개인정보 유출사고 대응 계획 수립 및 시행

추진 체계

1. 침해사고 대응팀 구성

구분			주요역할
시교육청 침해사고 대응팀 ○○교육지원청 침해사고 대응팀			□ 침해사고 대응 협조
우리학교 침해사고 대응팀	팀장	개인정보 보호책임자	□ 개인정보 침해사고 분석·대응 및 복구 지원 총괄
	팀원	개인정보 보호담당자	□ 개인정보 침해사고 접수 □ 개인정보 침해사고 분석 □ 침해사고 대응 및 복구 지원 □ 필요 시 관련자 및 기관에 보고

※ 유출신고 콜센터 : 교육(지원)청 및 우리학교 개인정보 보호담당자

2. 사고 대응 체계

가. 침해사고 대응절차

① 침해사고 신고	⇨	② 사고접수 및 확인조사	⇨	③ 침해사고 대응팀 구성	⇨	④ 사고처리	⇨	⑤ 결과보고 및 개선 이행
민원인, 교직원		개인정보 보호책임자		개인정보 보호책임자		침해사고 개인정보취급자, 침해사고 대응팀		침해사고 개인정보취급자, 개인정보 보호책임자
침해․유출 사고 인지		침해․유출 사고 확인 및 보고		침해사고 대응체계 구성		긴급조치, 세부조사, 유출통지, 유출신고.		보고서 작성보고 기술적․관리적 보완조치
별지 제5호 서식		별지 제6호 서식						별지 제6호 서식

나. 교육(지원)청을 포함한 대응 체계도

	교육(지원)청
	개인정보 보호책임자
・조치사항 지시 ・사고대응팀 구성		↓↑			・침해사고 보고 ・조치사항 보고			교육부
	교육(지원)청 개인정보 침해사고 대응팀
・사고처리			↓↑					개인정보보호위원회 및 한국인터넷진흥원
	사고접수
	교육(지원)청 개인정보 보호담당자
・사고처리 지원 ・개선사항 지시				↓↑	・침해사고 신고
	사고접수[별지 제5호 서식], 사고신고[별지 제6호 서식].
	우리학교 침해사고 대응팀

사고 조치 방법

1. 단계별 조치 방법

조치방법	세부 조치 사항
사고 인지	□ 침해·유출 사고 상황 파악 □ 개인정보보호 분야별책임자에게 보고 □ 유출 신고 콜센터로 신고
사고 접수	□ 신고 접수내용을 침해사고 대응팀장에게 보고
사고 확인	□ 침해 사고 내용(원인, 규모 등) 세부조사 □ 침해사고 대응팀 협조 요청(필요시)
유출 통지	□ 정보주체에게 5일이내 통지
사고 처리	□ 확인조사 결과에 따른 분석을 통해 추가 유출가능성 및 피해 확산 여부 확인 □ 사고 유형별 조치 □ 개인정보 보호책임자에게 결과 보고
유출 신고	□ 교육부에 5일이내 신고 - 1천명 이상의 개인정보가 유출된 경우에는 교육부 보고와 동시에 개인정보보호위원회 및 한국인터넷진흥원에 신고
개선 및 이행점검	□ 개선 이행 사항에 대한 이행 점검(개인정보 보호책임자)

2. 사고 인지

가. 개인정보취급자는 개인정보 침해사고를 인지한 경우 또는 침해 발생이 의심되는 경우 지체 없이 분야별책임자에게 보고 후 유출신고 콜센터로 신고

나. 분야별책임자는 보고 받은 즉시 침해사고 처리를 위한 자체 업무 추진

3. 사고 접수

개인정보 보호담당자는 침해사고 관련 신고 접수 후 지체 없이 침해사고 대응팀장에게 보고 후 사고 조치 지원

4. 사고 확인

가. 분야별책임자는 사고 조사 및 현황 파악 자체점검을 위한 자료(서비스 종류 및 로그값)를 확보하고, 현장 확인조사를 통해 과실여부, 침해규모, 경위, 방법 등을 조사

나. 사고 분석 및 조치와 관련하여 지원이 필요할 경우 우리학교 침해사고 대응팀에 지원 요청

5. 유출 통지

가. 분야별책임자는 유출사고가 발생한 것으로 확인된 때에는 5일 이내에 정보주체에게 유출 사실을 통지하여야 함

나. 정보주체에게 통지 항목

① 유출등이 된 개인정보의 항목

② 유출등이 된 시점과 그 경위

③ 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 사항

④ 기관의 대응조치 및 피해 구제절차

⑤ 정보주체에게 피해가 발생할 경우 신고 등을 접수할 수 있는 담당부서 및 연락처

다. 유출 통지문 예시

개인정보 유출에 대한 안내 및 사과의 말씀

개인정보 유출 사실을 통지해 드리며, 깊이 사과드립니다.

귀하의 소중한 개인정보를 안전하게 보호, 관리하고자 최선의 노력을 다해왔으나, 귀하의 개인정보가 OOOO년 O월 O일 유출되었음을 알려드리며, 진심으로 사과를 드립니다.

귀하의 개인정보는 홈페이지 서버에 저장되어 관리되어 왔으나 서버 변경 작업을 하다가 안전 조치를 다하지 못해 해킹에 의해 유출되었습니다. (유출경위 설명)

유출된 개인정보 항목은 OOO, OOOO, OOO, OOOOOO 등 총 O개입니다.

(유출된 개인정보 항목)

추가적인 피해 방지를 위해 기존에 사용하시던 비밀번호를 새로운 비밀번호로 교체해주시기를 당부 드립니다.

저희 기관에서는 유출 사실을 인지한 후 즉시 해당 IP와 불법접속 경로를 차단하고, 취약점 점검과 보완 조치를 하였습니다. (개인정보처리자의 대응 조치)

피해가 발생하였거나 예상되는 경우에는 아래의 담당부서에 신고하시면 성실하게 안내와 상담을 해드리겠습니다. (피해 구제절차)

앞으로 개인정보 보호 강화를 위해 내부 관리 체계를 재검토하고 직원 교육을 강화하여, 향후 다시는 이와 유사한 사례가 발생하지 않도록 최선의 노력을 다하겠습니다.
(개인정보처리자의 향후 대응 계획)

- 피해 접수 담당 부서: OOO실

- 피해 접수 전화번호: OOO-OOO-OOOO  (피해 신고 접수 담당부서 및 연락처)

OOOO년 OO월 OO일

OO학교 직원 일동

라. 유출 통지 방법

1) 서면, 전자우편, 모사전송, 전화, 휴대전화 문자전송

2) 연락처가 없어 개별통지가 어려운 경우, 인터넷 홈페이지에 지속 게재

3) 1천명 이상의 정보주체에 관한 개인정보가 유출된 경우, 정보주체에게 통지하는 동시에, 인터넷 홈페이지에 필수 유출 통지 5개 항목을 7일 이상 게재

마. 분야별책임자는 긴급한 조치가 필요한 경우에는 해당 조치를 취한 후 지체 없이 개인정보주체에게 통지

1) 유출된 개인정보의 확산 및 추가유출 방지를 위한 접속경로 차단 유출된 정보의 삭제 및 외부 접근기록 등 증거 보존 조치

2) 취약점 점검․보완 등

바. 통지항목에 대하여 구체적인 내용을 확인하지 못한 경우 유출이 발생한 사실과 통지항목 중 확인된 사항을 먼저 알리고 나중에 확인되는 사항을 추가로 알림

6. 사고 처리

가. 확인조사 결과에 따른 분석을 통해 추가 유출 가능성 및 피해 확산 여부 확인

나. 사고 원인별 조치

유출 유형	조치 방법
개인정보가 포함된 서면, 이동식 저장장치, 휴대용 컴퓨터를 분실 또는 도난당한 경우	□ 보안USB의 경우 시스템을 통한 분실 신고 및 자동 삭제 처리 □ 개인정보취급자에 대한 정보보호 교육 실시
개인정보가 저장된 데이터베이스 등 개인정보처리시스템에 정상적인 권한이 없는 자가 접근한 경우	□ 보안시스템(방화벽, 침입방지 등) 점검 및 조치 □ 홈페이지 보안취약점 점검 □ 접속권한 적정성 여부 확인
고의 또는 과실로 인해 개인정보가 포함된 파일 또는 종이문서, 그 밖에 저장매체가 권한이 없는 자에게 잘못 전달한 경우	□ 권한이 없는 자에게 관련 자료 전량 회수 □ 관련자에 대한 개인정보 보호법에 대한 교육 실시 □ 관련자에게 보안서약서 징구
그 밖에 권한이 없는 자에게 개인정보가 전달되거나 개인정보처리시스템 등에 접근 가능하게 된 경우	□ 기술적·관리적·물리적 안전조치 점검 및 조치

다. 개인정보 보호책임자에게 결과 보고

7. 유출 신고

가. 1명이라도 정보주체에 관한 개인정보가 유출된 경우에는 유출내용 및 조치결과를 5일 이내에 교육(지원)청을 경유하여 교육부로 공문 보고

나. 1천명 이상의 개인정보가 유출된 경우에는 교육(지원)청을 경유하여 교육부 보고와 동시에 개인정보보호위원회 및 한국인터넷진흥원으로 신고

Ⅸ. 가명정보 처리

가명정보의 처리

1. ○○학교는 통계작성, 과학적 연구, 공익적 기록보존 등을 위하여 정보주체의 동의 없이 가명정보를 처리할 수 있으며, 가명정보를 제3자에게 제공하는 경우에는 특정 개인을 알아보기 위하여 사용될 수 있는 정보를 포함해서는 안된다.

2. 가명정보는 다음과 같이 적법한 절차와 규정을 준수하여 처리하고 세부 사항은 『교육분야 가명정보 처리 가이드라인』에서 제시하는 기준을 만족하도록 처리한다.

□ 가명정보의 처리 원칙

□ 기본원칙

▷ 누구든지 특정 개인을 알아보기 위한 목적으로 가명정보를 처리 해서는 안된다.

▷ 가명정보를 처리하는 과정에서 특정 개인을 알아볼 수 있는 정보가 생성된 경우에는 즉시 해당 정보의 처리를 중지하고, 지체 없이 회수‧파기하여야 한다.

▷ 서로 다른 개인정보처리자 간의 가명정보의 결합은 개인정보보호위원회 또는 교육부장관이 지정하는 전문기관이 수행한다.

□ 안전조치 사항

▷ 가명정보 및 가명정보를 원래의 상태로 복원하기 위한 추가정보에 대해 다음 각 호의 기술적‧관리적 및 물리적 안전성 확보 조치 필요

① 시행령 제30조에 따른 안전성 확보 조치

② 가명정보와 추가정보의 분리 보관. 다만, 추가정보가 불필요한 경우에는 추가정보를 파기해야 한다.

③ 가명정보와 추가정보에 대한 접근권한의 분리. 다만, 접근권한의 분리가 어려운 정당한 사유가 있는 경우에는 업무 수행에 필요한 최소한의 접근권한만 부여하고 보유 현황을 기록으로 보관하는 등 접근 권한을 관리‧통제해야 한다.

▷ 분야별책임자는 가명정보 또는 추가정보의 접근권한 관리책임자를 지정하고 가명정보 취급자 관리 및 교육 실시

□ 가명정보 처리하는 경우 다음 호에 대한 기록 작성 및 보관

① 가명정보 처리의 목적                   ② 가명처리한 개인정보의 항목

③ 가명정보의 이용내역                    ④ 제3자 제공 시 제공받는 자

⑤ 가명정보의 처리 기간(가명정보의 처리 기간을 별도로 정한 경우 한정)

⑥ 그 밖에 가명정보의 처리 내용을 관리하기 위하여 보호위원회가 필요하다고 인정하여 고시하는 사항

□ 가명정보에 대한 적용 예외

① 정보주체 이외로부터 수집한 개인정보의 수집 출처 등 고지(법 제20조)

② 개인정보의 파기(법 제21조)

③ 개인정보 유출 시 정보주체에게 통지(법 제34조제1항)

④ 개인정보의 열람/정정‧삭제/처리정지(법 제35조 ~ 제37조)

Ⅹ. 내부 관리계획의 이행실태 점검‧관리

개인정보 보호책임자는 내부 관리계획의 이행실태를 연 1회 이상 점검‧관리해야 한다.

점검방법은 내부 관리계획 이행 실태 점검표[별지 제9호 서식]을 활용할 수 있다.

[별지 제1호 서식]

개인정보파일 파기 요청서

작성일	20○○.○.○	작성자		○○○
파기 대상 개인정보파일	○○홈페이지 회원정보
생성일자	20○○.○.○	개인정보취급자		○○○
주요 대상 업무	개인정보 파일삭제	현재 보관건수		○,○○○
파기 사유	학교 통·폐합으로 인한 ○○홈페이지 서비스 종료
파기 일정	20○○.○.○
특기사항	-
파기 승인일	20○○.○.○		승인자 (개인정보 보호책임자)		20○○.○.○
파기 장소	교육연구정보원
파기 방법	DB삭제
파기 수행자	○○○		입회자			○○○
폐기 확인 방법	파기 후 회원현황 DB 건수 0건 확인
백업 조치 유무	무
매체 폐기 여부

※ 작성시기: 사업폐기 등 업무 자체가 없어질 경우

[별지 제2호 서식]

개인정보파일 파기 관리대장

번호	개인정보 파일명	자료의 종류	생성일	폐기일	폐기사유	처리담당자 (서명)	처리부서장 [분야별책임자] (서명)
예시	○○홈페이지 회원정보	홈페이지 회원정보	20○○.○.○	20○○.○.○	홈페이지 폐쇄	○○○	○○○
예시	○○홈페이지 회원정보	홈페이지 회원정보	20○○.○.○	20○○.○.○	비회원제로 전환	○○○	○○○
예시	○○홈페이지 회원정보	홈페이지 회원정보	20○○.○.○	20○○.○.○	홈페이지 통폐합	○○○	○○○

※ 작성시기: [별지 제1호 서식] 결재 완료 후 작성

[별지 제3호 서식]

개인정보 파기 관리대장

번호	개인정보파일명	파기일	파기사유	처리담당자 (서명)	처리부서장 [분야별책임자] (서명)
예시	○○ 홈페이지 회원정보	20○○.○.○	보유기간 만료	○○○	○○○
예시	발전기금기탁자 관리	20○○.○.○	보유기간 만료	○○○	○○○

※ 회원정보는 2년마다 재동의(분기별 파기 작성 수행)

※ 작성시기: 회원정보 정비 등 일부 개인정보를 삭제할 경우

[별지 제4호 서식]

개인정보의 목적 외 이용 및 제3자 제공 대장

개인정보 또는 개인정보파일 명칭	직원 명부
이용 또는 제공 구분	［ ］목적 외 이용 ［√ ］목적 외 제3자 제공
목적 외 이용기관의 명칭 (목적 외 이용의 경우)		담당자	소 속
			성 명
			전화번호
제공받는 기관의 명칭 (목적 외 제3자 제공의 경우)	감사원	담당자	성 명 ○○○
			소 속 ○○○
			전화번호 ○○○-○○○○
이용하거나 제공한 날짜, 주기 또는 기간	20○○.○○.○○
이용하거나 제공한 형태	전자문서
이용 또는 제공의 법적 근거	「국정감사 및 조사에 관한 법률」제10조(감사 또는 조사의 방법)
이용 목적 또는 제공받는 목적	국정감사 요구에 따른 자료 제공
이용하거나 제공한 개인정보의 항목	소속, 성명, 연락처
「개인정보 보호법」 제18조제5항에 따라 제한을 하거나 필요한 조치를 마련할 것을 요청한 경우에는 그 내용	1. 제공하는 자료는 개인의 사생활과 밀접한 관련이 있는 개인정보이므로 「개인정보 보호법」 등 관계 법령을 준수하여 이용·관리하시기 바랍니다. 2. 요청 목적 외의 용도로 이용하거나, 정보주체의 동의 없이 다른 기관에 다시 제공하는 행위는 금지됩니다. 3. 개인정보를 제공받은 목적이 달성된 후에는 반드시 완전 파기하는 등 「개인정보 보호법」에 따라 안전성 확보를 위한 조치를 해주시기 바랍니다.

[별지 제5호 서식]

개인정보 침해사실 신고서(사고 접수)

					담당자		교감	교장
신고인	성명
	전자우편
	전화번호			핸드폰 (선택기입)
접수 부서	기관명(부서명)
	성명
	전화번호
신고 내용
- 수집하는 개인정보는 민원처리 목적으로만 사용되며, 관련 담당자를 제외하고는 함부로 열람할 수 없으며, 수집된 개인정보는 '민원사무처리에 관한 법률' 에 근거, 3년간 보유하고 즉시 파기합니다. - 민원처리 시 신청인의 본인확인에 필요한 최소한의 정보는 피신청인에게 제공될 수 있습니다. - 사건처리를 위해서 필요할 경우 주민번호를 요청할 수도 있습니다. - 메일주소를 정확하게 기재하여 주시기 바랍니다. 답변은 메일을 통해 발송됩니다.
위와 같이 개인정보 침해 사실을 신고합니다. 첨부 : 년 월 일 신고인 : (서명 또는 인)

※ 작성시기: 개인정보 침해‧유출 사고 인지 후 민원인, 교직원 등이 학교에 사고 접수 시

[별지 제6호 서식]

개인정보 유출신고(보고)서

기관명	○○학교
정보주체 통지 여부	▪통지일자: 20○○.○.○ ▪통지방법: SMS, 이메일, 홈페이지 팝업 ▪통지대상: 정보주체 ○○○명(학생 ○○○명, 학부모 ○○○명)
유출된 개인정보의 항목 및 규모	▪유출규모: ○○○명(중복제거 후 ○○○명) ▪유출항목: 이름, ID, 비밀번호, 주소, 핸드폰번호, 이메일
유출된 시점과 그 경위	▪사고발생 인지경로 - 20○○.○.○ 10:00 월별 개인정보처리시스템 접속로그 점검 시 특정 IP로부터 다량의 개인정보 다운로드 기록 확인 - 20○○.○.○ 11:00 개인정보처리시스템의 로그 확인 결과 알 수 없는 개인정보 압축 파일 발견 - 20○○.○.○ 12:00 IP Table, NAC 등을 확인하여 개인정보를 다운로드한 특정 IP의 PC(용역업체 개인 PC) 확인 ▪유출 시점 및 경위 - 20○○.○.○ 16:00 용역업체 A씨는 개인정보처리시스템에 접속하여 다량의 개인정보파일을 생성 후 PC로 다운로드 - 20○○.○.○ 21:00 PC내 보안 솔루션(NAC 등)에 의하여 상용 이메일 접근 불가 확인 후 개인 이메일 서버로 파일 전송
유출피해 최소화 대책ㆍ조치 및 결과	▪정보주체가 할 수 있는 피해최소화 방법 ① 2차 피해 방지를 위하여 개인정보 유출 여부 조회(학교 홈페이지 등) ② 유출사고 발생 후 홈페이지 로그인시 개인정보 유출에 따른 비밀번호 변경 ▪피해자 구제절차 ① 2차 피해 접수를 위한 피해 접수 담당 창구 운영(051-○○○-○○○, aaa@korea.kr) ② 개인정보 유출 관련 개인정보 분쟁조정 신청 창구 안내(1833-6972)
정보주체가 할 수 있는 피해 최소화 방법 및 구제절차	▪사고발생 후 조치사항 ① 부산광역시교육청 개인정보 유출사고 대응 매뉴얼에 따라 침해사고 대응반 구축 ② 개인정보 침해 접수 창구 및 민원 대응 창구 구축 ③ 유출 항목 및 발생 상황 인지 후 유출 통지문 작성 및 관련 내용 통지, 교육부 개인정보 유출 신고 ④ 유출 원인에 따른 개인정보처리시스템에 대한 접근권한 관리체계 강화 ⑤ 재발방지 대책을 위한 보안강화 계획(안）수립 ▪향후계획 ① 개인정보 파일 운영 강화를 위한 보안 솔루션 도입(DLP, DRM 등) ② 용역업체(유지보수 등)가 접속할 수 있는 별도의 계정 생성 ③ 개인정보취급자(용역업체 직원 포함) 대상 개인정보보호 교육 강화 ④ 모든 개인정보처리시스템 대상 개인정보 보호법 등 관련 법률에 따라 개인정보 안전성 확보 조치 이행사항 확인 및 관련 내용 점검
담당부서ㆍ담당자 및 연락처		성명		부서	직위		연락처
	개인정보 보호책임자	홍길동		·	교장		051-○○○-○○○
	개인정보 보호담당자	○○○			○○○		051-○○○-○○○
	개인정보 취급자	임꺽정		○○○	△△△		051-○○○-○○○
유출신고(보고) 접수기관	기관명		담당자명			연락처

※ 작성시기: 개인정보 침해‧유출 사고 확인 시[학교 -> 교육(지원)청에 신고]

[별지 제7호 서식]

개인정보처리시스템 접속기록 점검대장

□ 개인정보처리시스템명: ○○학교 홈페이지

연번	점검일	점검 결과				결 재
		비정상적 행위 유무	개인정보 다운로드 시 사유확인 필요 사항			담당자	담당	분야별 책임자
			다량의 다운로드	반복적 다운로드	업무시간 외 다운로드
예시	20○○.○.○	유 /	유 /	유 /	유 /	○○○	○○○	○○○
			(사유) 홈페이지에 다운로드 기능 자체가 없음
예시	20○○.○.○	유 /	유 /	유 /	유 /	○○○	○○○	○○○
			(사유) 홈페이지에 다운로드 기능 자체가 없음
		유 / 무	유 / 무	유 / 무	유 / 무
			(사유)
		유 / 무	유 / 무	유 / 무	유 / 무
			(사유)
		유 / 무	유 / 무	유 / 무	유 / 무
			(사유)
		유 / 무	유 / 무	유 / 무	유 / 무
			(사유)

※ 접속기록 점검은 월 1회 이상 수행

◇ 접속기록 내 비정상 행위 예시

․ 계정: 접근권한이 부여되지 않은 계정으로 접속한 행위 등

․ 접속일시: 출근시간 전, 퇴근시간 후, 새벽시간, 휴무일 등 업무시간 외에 접속한 행위 등

․ 접속지 정보: 인가되지 않은 단말기 또는 지역(IP)에서 접속한 행위 등

․ 정보주체 정보: 특정 정보주체에 대하여 과도하게 조회, 다운로드 등의 행위 등

․ 수행업무: 대량의 개인정보에 대한 조회, 정정, 다운로드, 삭제 등의 행위 등

․ 그 밖에 짧은 시간에 하나의 계정으로 여러 지역(IP)에서 접속한 행위 등

◇ 개인정보 다운로드 시 사유확인이 필요한 기준

․ (다량의 다운로드) 일평균 개인정보 처리 건수 보다 5배 이상의 정보주체에 대한 개인정보를 다운로드 한 경우 사유 확인

․ (반복적 다운로드) 개인정보취급자가 1시간 내 다운로드한 횟수가 20건 이상일 경우 단시간에 수차례에 걸쳐 개인정보를 다운로드 한 행위에 대한 사유 확인

․ (업무시간 외 다운로드) 새벽시간, 휴무일 등 업무시간 외 개인정보를 다운로드 한 경우 사유 확인

[별지 제8호 서식]

개인정보처리시스템 접근권한 관리대장

□ 개인정보처리시스템명: ○○학교 홈페이지

연번	부서명	성명	ID	접근권한	권한부여사유	등록일	처리자	권한 변경 내역
								변경일	변경내역	사유
1	진로진학부	홍길동	abc123	열람, 입력, 수정, 삭제	2020.1.1.자 인사발령	2020.1.2.	○○○	2021.1.1.	‘삭제’ 권한 삭제	업무분장 변동
2	과학정보부	이순신	zxy987	열람, 입력, 수정, 다운로드	2020.1.1.자 인사발령	2020.1.2	○○○	2021.1.1.	접근권한 및 사용자계정 말소	인사발령

* 이력관리: 최소 3년 보관

[별지 제9호 서식]

개인정보 내부 관리계획 이행실태 점검표

구분	점검내용		점검 결과
1. 개인정보 내부 관리계획 수립·시행	1-1. 개인정보 내부 관리계획 수립(개정) 및 기관장(교장) 결재 여부		○/X
	내용	내부 관리계획 수립(개정) 및 기관장(교장) 결재 여부
	1-2. 개인정보 내부 관리계획을 직원 전파 여부		○/X
	내용	내부관리계획을 공람, 게시판 게시 등 전 직원에게 전파하고 공유했는지 여부
2. 개인정보 보호책임자 지정 및 역할 수행	2-1. 개인정보 보호책임자 지정 여부		○/X
	내용	내부 관리계획 및 개인정보 처리방침에 개인정보 보호책임자의 지정 여부 교육지원청: 4급 이상 공무원, 초·중·고: 교장, 직속기관: 개인정보 처리 부서장
	2-2. 개인정보 보호책임자 역할 수행 여부		○/X
	내용	내부 관리계획에 지정된 역할을 적절하게 수행하고 있는지 여부
	2-3. 개인정보보호 종합지원시스템(intra.privacy.go.kr) 현행화 여부		○/X
	내용	개인정보보호 종합지원시스템(intra.privacy.go.kr)에 책임자, 총괄관리자, 취급자 현행화 및 개인정보파일 현행화 여부
3. 개인정보 처리방침의 수립 및 공개	3-1. 개인정보 처리방침 수립(개정) 및 현행화 여부		○/X
	내용	개인정보 처리방침에 법 개정 사항 반영 및 개인정보 보호책임자 현행화 여부
	3-2. 개인정보 처리방침 공개 여부		○/X
	내용	수립(개정)된 개인정보 처리방침 홈페이지 공개 및 이력 관리 여부
4. 개인정보 보호 교육 실시	4-1. 개인정보 보호 교육계획 수립 여부		○/X
	내용	개인정보 보호 교육계획 수립 여부
	4-2. 개인정보 보호책임자 교육 이수 여부		○/X
	내용	연1회 이상의 개인정보 보호책임자(CPO) 교육 이수 여부
	4-3. 개인정보 보호담당자 교육 이수 여부		○/X
	내용	연1회 이상의 개인정보 보호담당자 교육 이수 여부 ※ 신규 발령 개인정보 보호담당자는 15시간 이상의 교육 이수
	4-4. 개인정보취급자 교육 실시 여부		○/X
	내용	전직원(개인정보취급자) 교육 이수 여부
5. 접근 권한 관리	5-1. 개인정보처리시스템 권한 부여 및 관리 적정 여부(접근 권한 관리대장 작성 여부)		○/X
	내용	❍ 개인정보처리시스템 접근 권한 관리대장 작성 여부 - 대상: 교육정보시스템(나이스, K-에듀파인, 업무관리) 및 홈페이지 관리자페이지 등 - 개인정보처리시스템에 접근 권한을 최소한의 범위로 부여했는지 여부 점검 - 전보, 퇴직 등 인사이동 시 권한 변경 및 말소 여부 - 사용자(개인정보취급자)별 접속 계정 발급 및 공유금지의 이행 여부
6. 접근통제 및 단말기 안전조치	6-1. 업무용PC, 모바일 기기 등에 접근통제 여부		○/X
	내용	❍ 내PC지키미 실행 여부 - PC 운영체제나 보안프로그램 등의 접근통제 조치 - 비밀번호 설정 - 화면보호기 비밀번호 설정(10분이상)
	6-2. 홈페이지 관리자페이지 등에 대한 접근통제 여부		○/X
	내용	❍ 홈페이지 관리자페이지에 대한 접근을 IP주소 등으로 제한 ❍ 홈페이지 로그인(관리자페이지 로그인 포함) 후 일정시간 이상 업무를 처리하지 않을 경우 자동 접속차단(로그아웃 등) 등의 조치 ※ 학교 홈페이지의 경우는 웹호스팅 서비스에서 자동 접속차단 조치 완료
7. 암호화	7-1. 업무용PC에 고유식별정보(주민등록번호 등) 저장 시 암호화 실시 여부		○/X
	내용	❍ 개인정보가 있는 문서파일 중 불필요한 파일은 즉시 삭제, 필요한 파일은 암호화 하여 저장(주민등록번호가 포함된 문서파일은 반드시 암호화) ❍ 방법: 암호화 프로그램(Privacy-i), 한글 또는 MS오피스 문서암호기능 등을 활용
	7-2. 홈페이지 등 개인정보처리시스템에 대한 암호화 조치 여부		○/X
	내용	❍ 고유식별정보, 비밀번호, 생체인식정보를 송수신하는 구간에 SSL적용 확인 ❍ 비밀번호를 저장하는 경우 일방향 암호화 되어 저장되어 있는지 확인 ※ 학교 홈페이지의 경우는 웹호스팅 서비스에서 비밀번호 일방향 암호화 조치 완료
8. 접속기록 보관 및 점검	8-1. 홈페이지 등 개인정보처리시스템에 접속한 기록의 보관·관리 여부		○/X
	내용	❍ 개인정보취급자가 개인정보처리시스템에 접속하여 처리한 업무내역을 알 수 있도록 접속기록을 1년이상 기록·보관 - 접속기록: 계정, 접속일시, 접속지 정보, 처리한 정보주체 정보, 수행업무 등을 전자적으로 기록한 것 ※ 학교 홈페이지의 경우는 웹호스팅 서비스에서 접속기록 저장 조치 완료
	8-2. 홈페이지 등 개인정보처리시스템의 접속기록 점검		○/X
	내용	❍ ‘개인정보처리시스템 접속기록 점검대장’ 작성 여부 - 비인가된 개인정보의 처리, 대량의 개인정보의 조회·정정·다운로드‧삭제 등의 비정상 행위 여부를 월 1회 이상 점검
9. 악성 프로그램 방지	9-1. 업무용PC에 백신 소프트웨어 등의 보안프로그램 설치·운영 여부		○/X
	내용	❍ 업무용PC에 백신 소프트웨어가 설치되어 있고 자동 업데이트 또는 일 1회 이상 업데이트 될 수 있도록 설정되어 있는지 확인 ※ 설정확인: V3 → 환경설정 → 기타설정 → 사용환경 → 업데이트 설정 탭
10. 물리적 안전조치	10-1. 개인정보 보관 장소의 물리적 통제 절차 수립 여부		○/X
	내용	❍ 전산실, 평가실 등에 대한 통제(제한)구역설정, 출입명부관리, 잠금장치 설정 등 ❍ 개인정보 포함 서류, 휴대용 저장매체는 잠금장치가 있는 안전한 장소에 보관
11. 목적 외 이용 및 제3자 제공	11-1. 개인정보의 목적 외 이용 및 목적 외 제3자 제공 절차 준수 여부		○/X
	내용	❍ 개인정보 보호책임자의 승인을 거쳐 제공받는자에게 문서로 보호조치 요청 여부
	11-2. 개인정보의 목적 외 이용 및 제3자 제공 시 대장 기록 관리 및 공개 여부		○/X
	내용	❍ ‘개인정보의 목적 외 이용 및 제3자 제공 대장‘ 작성 여부 ❍ 목적 외 이용 및 제3자 제공 내역을 홈페이지 공개 ※ 정보주체의 별도 동의, 범죄의 수사를 위해 제공한 경우 공개 제외
12. 개인정보 파기	12-1. 목적 달성, 보유기간 경과한 개인정보(파일)의 파기 여부		○/X
	내용	❍ 목적 달성, 보유기간이 경과한 개인정보(파일) 파기 여부 ❍ 파기 요청서 및 개인정보(파일) 파기 관리대장 기록·관리 여부
13. 수탁자 관리·감독	13-1. 개인정보 처리업무 위탁 시 법 의무사항의 문서화 여부		○/X
	내용	❍ 최신 개정 법령이 적용된 개인정보 처리 위탁계약서 작성 여부 - 개인정보 처리업무 위탁은 반드시 법 의무사항이 명시된 문서에 의하여야 함 ❍ 위탁하는 업무의 내용과 수탁자 정보를 공개(개인정보 처리방침에 공개)
	13-2. 수탁자 교육 및 관리·감독을 수행 여부		○/X
	내용	❍ 수탁자를 대상으로 연1회 이상 개인정보 보호 교육 실시 ❍ 수탁자의 개인정보 처리 현황 및 실태, 개인정보의 안전성 확보조치 여부 등을 연1회 이상 실태 점검 실시 ❍ 위탁 종료 시 개인정보 파기(반환) 여부 확인(개인정보 파기 확인서 징구 등)