1

「개인정보 내부 관리계획」 수립·개정 및 시행

0

(작성 기준일: 2026. 9.)

근거

‣ 「개인정보 보호법」 제29조(안전조치의무)

‣ 「개인정보 보호법 시행령」 제30조(개인정보의 안전성 확보 조치)

‣ 「개인정보의 안전성 확보조치 기준」 제4조(내부 관리계획의 수립·시행 및 점검)

세부

추진내용

□ 목적

「개인정보 보호법」제29조와 같은 법 시행령에 따라 개인정보처리자가 개인정보를 처리함에 있어서 개인정보가 분실·도난·유출·위조·변조·훼손되지 아니하도록 안전성을 확보하기 위한 기술적·관리적·물리적 조치 계획을 수립

□ 준수사항

① 내부 관리계획 수립·변경 시 개정현황을 포함하여야 하며, 개인정보  보호책임자의 결재를 받아야 함

‣ 내부 관리계획은 매년 수립할 필요는 없으며, 개인정보 처리 방법, 처리 환경 및 안전조치 사항 등 내부 관리계획에 중요한 변경이 있는 경우에 내부 관리계획을 수정·변경

② 내부 관리계획 수립 후에는 전 교직원을 대상으로 전파(공람, 교육 등)

③ 연1회 이상 내부 관리계획에 따른 접근권한 관리, 접속기록 보관 및 점검, 암호화 조치 등 기술적·관리적 및 물리적 안전조치의 이행 여부를 점검·관리

<내부 관리계획에 포함되어야 할 사항>

1. 개인정보 보호 조직의 구성 및 운영에 관한 사항

2. 개인정보 보호책임자의 자격요건 및 지정에 관한 사항

3. 개인정보 보호책임자와 개인정보취급자의 역할 및 책임에 관한 사항

4. 개인정보취급자에 대한 관리ㆍ감독 및 교육에 관한 사항

5. 접근 권한의 관리에 관한 사항

6. 접근 통제에 관한 사항

7. 개인정보의 암호화 조치에 관한 사항

8. 접속기록 보관 및 점검에 관한 사항

9. 악성프로그램 등 방지에 관한 사항

10. 개인정보의 유출, 도난 방지 등을 위한 취약점 점검에 관한 사항

11. 물리적 안전조치에 관한 사항

12. 출력·복사시 안전조치에 관한 사항

13. 개인정보의 파기에 관한 사항

14. 개인정보 유출사고 대응 계획 수립ㆍ시행에 관한 사항

15. 위험 분석 및 관리에 관한 사항

16. 개인정보 처리업무를 위탁하는 경우 수탁자에 대한 관리 및 감독에 관한 사항

17. 개인정보 내부 관리계획의 수립, 변경 및 승인에 관한 사항

18. 그 밖에 개인정보 보호를 위하여 필요한 사항

벌칙규정

위반행위	벌칙
안전성 확보조치 의무 위반 (법 제29조 위반)	3천만원 이하 과태료 (법 제75조제2항제5호)

관련자료

1. 개인정보 내부 관리계획(안) 개정 기안문 예시

2. 개인정보 내부 관리계획(안) 예시

1
		개인정보 내부 관리계획(안) 개정 기안문 예시

청렴합니다. 우리는 부산교육人입니다.
		○○○학교
수신	내부결재
(경유)
제목	개인정보보호 내부 관리계획 개정(안)

1. 근거

가. 개인정보 보호법 제29조(안전조치의무) 및 같은 법 시행령 제30조(개인정보의 안전성 확보조치)

나. 개인정보의 안전성 확보조치 기준 제4조(내부 관리계획의 수립·시행 및 점검)

다.「개인정보 보호 내부 관리계획(안) 수립」(○○학교-000, 20 .  .  .)

2. 법령 개정에 따라 개인정보의 안전한 처리를 위한 “내부 관리계획”을 붙임과 같이 개정하고자 합니다.

붙임  1. 내부 관리계획(안) 주요 개정 내용 1부.

2. 내부 관리계획(안) 1부. 끝.

★																											교장
협조자
시행			○○학교-0000										(	0000. 00. 00.			)		접수											(			)
우	00000					부산광역시 ○○○																		/	http://www.
전화		051-0000							/전송		051-000-0000					/		○○○@○○○										/	비공개(5)

2
		개인정보 내부 관리계획(안) 예시

개인정보 내부 관리계획(안)

20  .   .   .

○○학교

※ 학교(기관) 실정에 맞도록 수정하여 사용하시기 바랍니다.

개 정 현 황
날 짜	내 용	작성자	비 고
2012. . .	- 개인정보 내부 관리계획 수립	○○○
2017. . .	- 개인정보 내부 관리계획 개정 • ○○ 추가 • ○○ 변경 등 “주요개정내용 및 개정이유 간략히 작성”	○○○
2019. . .	- 개인정보 내부 관리계획 개정 • 개인정보보호법 및 개인정보의 안전성 확보조치 기준 개정에 따른 변경 “주요개정내용 및 개정이유 간략히 작성”	○○○
2021. . .	- 개인정보 내부 관리계획 개정 •『개인정보 보호법』개정‧시행에 따른 주요 사항 반영 “주요개정내용 및 개정이유 간략히 작성”	○○○
2024. . .	- 개인정보 내부 관리계획 개정 •『개인정보 보호법』개정‧시행에 따른 주요 사항 반영 “주요개정내용 및 개정이유 간략히 작성”	○○○
. . .	. . .
2026. 7. .	- 개인정보 내부 관리계획 개정 • 『개인정보의 안전성 확보조치 기준』 고시 일부개정에 따른 주요 사항 반영	○○○

	목 차
제1장 총칙 제1조 목적 제2조 적용범위 제3조 용어 정의 제2장 내부 관리계획의 수립 및 시행 제4조 내부 관리계획의 수립 및 승인 제5조 내부 관리계획의 공표 제6조 내부 관리계획의 이행실태 점검·관리 제3장 개인정보 보호조직에 관한 구성 및 운영 제7조 개인정보 보호조직 구성 제8조 개인정보 보호책임자의 지정 제9조 개인정보 보호책임자의 역할과 책임 제10조 개인정보 보호담당자 역할 제11조 개인정보취급자의 범위 및 역할과 책임 제4장 개인정보 보호 교육 제12조 개인정보 보호 교육 계획의 수립 제13조 개인정보 보호 교육의 실시 제5장 개인정보의 기술적·관리적·물리적 안전조치 제14조 접근 권한의 관리 제15조 위험 분석 및 관리 제16조 접근통제 제17조 개인정보의 암호화 제18조 접속기록 보관 및 점검 제19조 악성프로그램 등 방지 제20조 개인정보 유출, 도난 방지 등을 취약점 점검 제21조 물리적 안전조치 제22조 출력·복사시 안전조치

	목 차
제6장 목적 외 이용 및 제3자 제공 처리절차 제23조 목적 외 이용 및 제3자 제공방법 및 절차 제7장 개인정보 파기 계획 및 절차 제24조 파기기준 및 파기기한 제25조 파기절차 제26조 파기방법 제8장 개인정보 처리의 위탁 및 수탁자 관리· 감독 제27조 개인정보 처리 위탁 및 공개 제28조 수탁자 교육 및 관리·감독 제9장 개인정보 유출사고 대응 계획 제29조 개인정보 유출 등 신고체계 제10장 가명정보의 처리 제30조 가명정보의 처리 등 제31조 가명정보에 대한 안전조치의무 등 제32조 가명정보 처리 시 금지의무 등 [별지 제1호 서식] 개인정보처리시스템 접근권한 관리대장 [별지 제2호 서식] 개인정보처리시스템 접속기록 점검대장 [별지 제3호 서식] 개인정보의 목적 외 이용 및 제3자 제공 대장 [별지 제4호 서식] 개인정보 파기 관리대장 [별지 제5호 서식] 개인정보파일 파기 요청서 [별지 제6호 서식] 개인정보파일 파기 관리대장 [별지 제7호 서식] 개인정보 유출등 신고서 [별지 제8호 서식] 가명정보 관리대장 [별지 제9호 서식] 개인정보 내부관리계획 이행실태 점검표

제1장 총칙

제1조(목적)

OOO학교 개인정보 내부 관리계획(이하 “내부 관리계획”이라 한다)은 「개인정보 보호법」(이하 “법”이라 한다) 제29조와 같은 법 시행령(이하 "영"이라 한다) 제16조제2항, 제30조 및 제30조의2에 따라 개인정보처리자가 개인정보를 처리함에 있어서 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 안전조치에 관한 최소한의 기준을 정하는 것을 목적으로 한다.

제2조(적용범위)

내부 관리계획은 온라인(홈페이지 등) 및 오프라인(서면, 전화, 팩스 등)을 통해 수집, 이용, 제공 또는 관리되는 개인정보에 대해 적용되며, 이러한 개인정보를 처리 또는 취급하는 내부직원(계약직 등 비정규직 포함) 및 수탁업체 직원에 대해서도 적용된다.

제3조(용어의 정의)

내부 관리계획에서 사용하는 용어의 뜻은 다음과 같다.

1.“개인정보”란 살아있는 개인에 관한 정보로서 다음 어느 하나에 해당하는 정보를 말한다.

가. 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보

나. 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보. 이 경우 쉽게 결합할 수 있는지 여부는 다른 정보의 입수 가능성 등 개인을 알아보는데 소요되는 시간, 비용, 기술 등을 합리적으로 고려해야 한다.

다.“가”또는“나”의 정보를 가명처리*함으로써 원래의 상태로 복원하기 위한 추가 정보의 사용·결합 없이는 특정 개인을 알아볼 수 없는 정보(이하“가명정보”라 한다)

* 가명처리: 개인정보의 일부를 삭제하거나 일부 또는 전부를 대체하는 등의 방법으로 추가 정보 없이는 특정 개인을 알아볼 수 없도록 처리하는 것

2.“정보주체”란 처리되는 정보에 의하여 알아볼 수 있는 사람으로서 그 정보의 주체가 되는 사람을 말한다.

3.“개인정보파일”이란 개인정보를 쉽게 검색할 수 있도록 일정한 규칙에 따라 체계적으로 배열하거나 구성한 개인정보의 집합물(集合物)을 말한다.

4.“개인정보처리자”란 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등을 말한다.

5.“개인정보 보호책임자”란 개인정보처리자의 개인정보 처리에 관한 업무를 총괄해서 책임지는 자로서 법 제31조 및 시행령 제32조에 해당하는 자를 말한다.

6.“개인정보 보호담당자”란 각급 기관(학교)의 실질적인 개인정보 보호업무를 담당하는 자로 개인정보처리자가 지정한 자를 말한다.

7.“개인정보취급자”란 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 업무를 담당하는 자로서 교직원, 파견근로자, 시간제근로자 등을 말한다.

8.“개인정보처리시스템”이란 데이터베이스시스템 등 개인정보를 처리할 수 있도록 체계적으로 구성한 응용시스템을 말한다.

9.“비밀번호”란 정보주체 또는 개인정보취급자 등이 개인정보처리시스템, 업무용 컴퓨터 또는 정보통신망 등에 접속할 때 식별자와 함께 입력하여 정당한 접속 권한을 가진 자라는 것을 식별할 수 있도록 시스템에 전달해야 하는 고유의 문자열로서 타인에게 공개되지 않는 정보를 말한다.

10.“정보통신망”이란 전기통신설비와 컴퓨터 및 컴퓨터의 이용기술을 활용하여 정보를 수집·가공·저장·검색·송신 또는 수신하는 정보통신체계를 말한다.

11.“공개된 무선망”이란 불특정 다수가 무선접속장치(AP)를 통하여 인터넷을 이용할 수 있는 망을 말한다.

12.“모바일 기기”란 무선망을 이용할 수 있는 PDA, 스마트폰, 태블릿PC 등 개인정보 처리에 이용되는 휴대용 기기를 말한다.

13.“생체정보”란 지문, 얼굴, 홍채, 정맥, 음성, 필적 등 개인의 신체적, 생리적, 행동적 특징에 관한 정보로서 특정 개인을 인증·식별하거나 개인에 관한 특징을 알아보기 위해 일정한 기술적 수단을 통해 처리되는 정보를 말한다.

13의2.“생체인식정보”란 생체정보 중 특정 개인을 인증 또는 식별할 목적으로 일정한 기술적 수단을 통해 처리되는 정보를 말한다.

14.“휴대용 저장매체”란 이동형 하드디스크, USB메모리, CD(Compact Disk), DVD(Digital Versatile Disk) 등 자료를 저장할 수 있는 매체로서 개인정보처리시스템 또는 개인용 컴퓨터 등과 용이하게 연결·분리할 수 있는 저장매체를 말한다.

15.“수탁자”란 개인정보 처리 업무를 위탁받아 처리하는 자를 말한다.

16.“접속기록”이란 개인정보취급자 등이 개인정보처리시스템에 접속하여 수행한 업무내역에 대하여 개인정보취급자 등의 계정, 접속일시, 접속지 정보(접속한 자의 PC, 모바일기기 등 단말기 정보 또는 서버의 IP주소 등), 처리한 정보주체 정보, 수행업무(수집, 생성, 연계, 연동, 기록, 저장, 보유 가공, 편집, 검색, 출력, 정정, 복구, 이용, 제공, 공개, 파기 등) 등을 전자적으로 기록한 것을 말한다. 이 경우 "접속"이란 개인정보처리시스템과 연결되어 데이터 송신 또는 수신이 가능한 상태를 말한다.

17.“관리용 단말기”란 개인정보처리시스템의 관리, 운영, 개발, 보안 등의 목적으로 개인정보처리시스템에 직접 접속하는 단말기(PC)를 말한다.

18.“추가정보”란 개인정보의 전부 또는 일부를 대체하는데 이용된 수단이나 방식(알고리즘 등), 가명정보와의 비교·대조 등을 통해 삭제 또는 대체된 개인정보 부분을 복원할 수 있는 정보를 말한다.

19.“과학적 연구”란 기술의 개발과 실증, 기초연구, 응용연구 및 민간 투자 연구 등 과학적 방법을 적용하는 연구를 말한다.

20.“공익적 기록보존”이란 공공의 이익을 위해 지속적으로 열람할 가치가 있는 기록정보를 보존하는 것을 말한다.

21.“가명정보취급자”란 가명정보를 처리하는 개인정보처리자의 지휘·감독을 받아 가명정보를 처리하는 직원, 파견근로자, 시간제근로자 등을 말한다.

22.“익명정보”란 시간·비용·기술 등을 합리적으로 고려할 때 다른 정보를 사용해도 더 이상 개인을 알아볼 수 없는 정보를 말한다.

23.“익명처리”란 개인정보의 전부 또는 일부를 데이터 값 삭제, 가명처리, 총계처리, 범주화 등 다양한 기술을 적용함으로써 더 이상 특정 개인을 알아볼 수 없도록 익명정보로 처리하는 것을 말한다.

24. “이용자”란 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조제1항제4호에 따른 정보통신서비스 제공자가 제공하는 정보통신서비스를 이용하는 자를 말한다.

25. “P2P(Peer to Peer)”란 정보통신망을 통해 서버의 도움 없이 개인과 개인이 직접 연결되어 파일을 공유하는 것을 말한다.

제2장 내부 관리계획의 수립 및 시행

제4조(내부 관리계획의 수립 및 승인)

① 개인정보 보호책임자는 개인정보 보호와 관련한 법령 및 규정 등을 준수할 수 있도록 내부 관리계획을 수립하여야 한다.

② 개인정보 보호책임자는 개인정보 보호담당자가 보고한 내부 관리계획의 타당성을 검토하여 내부 관리계획을 승인하여야 한다.

③ 개인정보 보호담당자는 개인정보 보호와 관련한 법령 및 규정의 제·개정 사항을 반영하기 위하여 내부 관리계획의 타당성과 개정 필요성을 검토하여야 하며, 개정할 필요가 있다고 판단될 경우 내부 관리계획의 개정안을 작성하여 개인정보 보호책임자에게 보고하여 승인을 받아야 한다.

④ 개인정보 보호담당자는 내부 관리계획의 이력을 보관·관리하여야 한다.

제5조(내부 관리계획의 공표)

① 개인정보 보호책임자는 제4조에 따라 승인된 내부 관리계획을 모든 교직원 및 관련자에게 알림으로써 이를 준수하도록 하여야 한다.

② 내부 관리계획은 전 교직원 등이 언제든지 열람할 수 있는 방법으로 비치하거나 제공하여야 하며, 변경사항이 있는 경우에는 이를 공지하여야 한다.

제6조(내부 관리계획의 이행실태 점검·관리)

① 개인정보 보호책임자는 개인정보 보호를 위한 내부 관리계획 및 관련 법령 등에서 정하는 개인정보 보호 규정을 성실히 이행하는지를 연 1회 이상 점검·관리하여야 한다.

② 개인정보 보호책임자는 개인정보 보호를 위한 이행실태 점검 결과 개인정보의 관리·운영상의 문제점 및 개인정보취급자의 위반사항에 대하여 시정·개선 등 필요한 조치를 취하여야 한다.

제3장 개인정보 보호조직에 관한 구성 및 운영

제7조(개인정보 보호조직 구성)

① 개인정보처리자는 개인정보 보호를 위하여 조직을 구성·운영한다.

② 개인정보 보호조직 구성은 다음과 같이 구성·운영한다.

			개인정보 보호책임자 (학교장)
								개인정보 보호담당자
분야별 책임자			분야별 책임자			분야별 책임자
분야별담당자			분야별담당자			분야별담당자
개인정보취급자 ː			개인정보취급자 ː			개인정보취급자 ː

제8조(개인정보 보호책임자의 지정)

「개인정보 보호법」제31조와 같은 법 시행령 제32조에 따라 개인정보의 처리에 관한 업무를 총괄해서 책임질 개인정보 보호책임자를 교장으로 정한다.

제9조(개인정보 보호책임자의 역할과 책임)

① 개인정보 보호책임자는 보유한 개인정보 보호를 위하여 다음 각 호의 임무 수행을 총괄한다.

1. 내부 관리계획 및 개인정보 처리방침 등 개인정보 보호 관련 지침 수립·승인·시행

2. 각종 개인정보 처리 실태 조사 및 개선

3. 개인정보 처리와 관련한 불만 처리 및 피해 구제

4. 교직원 및 개인정보취급자 등에 대한 개인정보 보호 교육계획의 수립·시행

5. 개인정보파일의 보호 및 관리·감독

6. 개인정보 보호 관련 자료의 관리

7. 개인정보파일의 보유기간 산정

8. 처리 목적이 달성되거나 보유기간이 지난 개인정보의 파기

9. 가명정보 처리에 관한 사항

10. 기타 개인정보 보호에 필요한 사항

② 개인정보 보호책임자는 개인정보취급자를 최소한으로 제한하여 지정하고 수시로 관리·감독하여야 하며, 교직원에 대한 교육 및 보안서약 등을 통해 개인정보 침해사고를 사전에 예방하여야 한다.

③ 개인정보 보호책임자는 개인정보 관련 업무의 효율적 운영을 위하여 교직원 중 1인 이상을 개인정보 보호담당자로 임명한다.

제10조(개인정보 보호담당자 역할)

개인정보 보호담당자는 개인정보 보호책임자를 보좌하여 개인정보보호 업무에 대한 실무를 총괄하고 관리하며, 다음 각 호의 임무를 수행한다.

1. 관련 법령의 개정 사항 등을 검토·반영한 내부 관리계획의 개정 보고

2. 개인정보 처리방침의 변경사항 관리 및 공개

3. 개인정보 처리 실태의 정기적인 조사 및 개선

4. 개인정보 처리와 관련한 요구 처리 및 개인정보 침해대응

5. 개인정보취급자 관리·감독과 교육 실시

6. 개인정보파일 등록․공개 및 관리

7. 개인정보보호 관련 자료 관리 및 제출 등

제11조(개인정보취급자의 범위 및 역할과 책임)

① 개인정보취급자의 범위는 개인정보처리자의 지휘·감독을 받아 개인정보 처리 업무를 수행하는 자를 말하며, 모든 교직원, 계약직, 파견근로자, 시간제근로자 및 계약에 의한 개인정보 처리 위탁 외부용역업체 직원 등을 포함한다.

② 개인정보취급자는 개인정보 보호와 관련하여 다음과 같은 역할 및 책임을 이행한다.

1. 개인정보 보호 활동 참여

2. 내부 관리계획 및 관련 법령, 규정의 준수 및 이행

3. 개인정보의 관리적·기술적·물리적 안전조치 기준 이행

4. 개인정보파일 관리

5. 정보주체의 민원 신청접수 및 처리(열람, 정정, 변경, 삭제)

6. 교직원 또는 제3자에 의한 위법·부당한 개인정보 침해행위에 대한 점검

7. 개인정보 관련 개선 권고 및 시정 조치사항 이행

8. 월1회 사이버보안진단의 날 PC 점검 및 고유식별정보 정비 및 암호화 관리

9. 기타 개인정보 보호를 위해 필요한 사항의 이행

제4장 개인정보 보호 교육

제12조(개인정보 보호 교육 계획의 수립)

① 개인정보 보호책임자는 다음 각 호의 사항을 포함하는 연간 개인정보 보호 교육계획을 수립하여야 한다.

1. 교육목적 및 대상

2. 교육내용

3. 교육 일정 및 방법

② 교육계획 수립 시 교육대상(개인정보 보호책임자, 담당자, 취급자·수탁자 등)에 따라 교육내용을 차별화해야 한다.

③ 개인정보 보호책임자는 개인정보 보호 교육을 실시한 이후에 교육의 성과와 개선 필요성 등을 검토하여 다음년도 교육계획에 반영하여야 한다.

제13조(개인정보 보호 교육의 실시)

① 개인정보처리자는 개인정보 보호에 대한 직원들의 인식제고를 위해 노력해야 하며, 개인정보의 오․남용 또는 유출 등을 적극 예방하기 위해 매년 정기적으로 직원 교육을 실시하여야 한다.

② 교육 방법은 집합교육 뿐만 아니라, 사이버 교육 등 다양한 방법을 활용하여 실시하고, 필요한 경우 외부 전문기관이나 전문요원에 위탁하여 교육을 실시할 수 있다.

③ 개인정보 보호에 대한 중요한 전파 사례가 있거나 개인정보 보호 업무와 관련하여 법 개정 등 변경된 사항이 있는 경우, 개인정보 보호책임자는 회의 등을 통해 수시 교육을 실시할 수 있다.

④ 개인정보 보호책임자는 제5장에 따라 개인정보 보호 교육을 실시한 결과 또는 이를 입증할 수 있는 관련 자료 등을 기록·보관하여야 한다.

제5장 개인정보의 기술적·관리적·물리적 안전조치

제14조(접근 권한의 관리)

① 개인정보처리자는 개인정보처리시스템에 대한 접근 권한을 개인정보취급자에게만 업무 수행에 필요한 최소한의 범위로 차등 부여하여야 한다.

② 개인정보처리자는 개인정보취급자 또는 개인정보취급자의 업무가 변경되었을 경우 지체 없이 개인정보처리시스템의 접근 권한을 변경 또는 말소하여야 한다.

③ 개인정보처리자는 제1항 및 제2항에 의한 권한 부여, 변경 또는 말소에 대한 내역을 개인정보처리시스템 접근 권한 관리대장 [별지 제1호 서식]을 이용하여 기록 관리하고, 그 기록을 최소 3년간 보관하여야 한다.

④ 개인정보처리자는 개인정보처리시스템에 접속할 수 있는 사용자계정을 발급하는 경우 개인정보취급자 별로 사용자계정을 발급하여야 하며, 다른 개인정보취급자와 공유되지 않도록 하여야 한다.

⑤ 개인정보처리자는 개인정보취급자 또는 정보주체의 인증수단을 안전하게 적용하고 관리하여야 한다.

⑥ 개인정보처리자는 정당한 권한을 가진 개인정보취급자 또는 정보주체만이 개인정보처리시스템에 접근할 수 있도록 일정 횟수 이상 인증에 실패한 경우 개인정보처리시스템에 대한 접근을 제한하는 등 필요한 조치를 취하여야 한다.

제15조(위험 분석 및 관리)

① 개인정보처리자는 개인정보처리시스템을 자체적으로 운영 시 개인정보가 분실․도난․유출․위조․변조 또는 훼손되지 아니하도록 필요시 위험도 분석을 수행하고 보안조치 적용 등으로 대응한다.

② 제1항에 따른 위험도 분석은 개인정보 위험도 분석 기준을 활용하거나 위험요소를 식별 및 평가하는 등의 방법으로 수행할 수 있다.

[개인정보 위험도 분석절차도]

제16조(접근통제)

① 개인정보처리자는 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 다음 각 호의 안전조치를 하여야 한다.

1. 개인정보처리시스템에 대한 접속 권한을 IP(Internet Protocol)주소 등으로 제한하여 인가받지 않은 접근을 제한

2. 개인정보처리시스템에 접속한 IP주소 등을 분석하여 개인정보 유출 시도를 탐지 및 대응

② 개인정보처리자는 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우 가상사설망(VPN : Virtual Private Network) 또는 전용선 등 안전한 접속수단을 적용하거나, 인증서, 보안토큰, 일회용 비밀번호 등 안전한 인증수단을 적용하여야 한다.

③ 개인정보처리자는 정보주체가 인터넷 홈페이지에 회원으로 가입할 경우 주민등록번호를 사용하지 않고도 회원으로 가입할 수 있는 방법을 제공하여야 한다. 또한, 분야별책임자는 다른 법령에 근거하여 정보주체의 본인확인을 위해 주민등록번호를 사용할 수 있는 경우에도 인터넷 홈페이지에서는 다른 인증수단을 통하여 정보주체의 본인을 확인하여야 한다.

③ 개인정보처리자는 처리하는 개인정보가 인터넷 홈페이지, P2P, 공유설정 등을 통하여 권한이 없는 자에게 공개되거나 유출되지 않도록 개인정보처리시스템, 개인정보취급자의 컴퓨터 및 모바일 기기 등에 조치를 취하여야 한다.

⑥ 개인정보처리자가 별도의 개인정보처리시스템을 이용하지 아니하고 업무용 컴퓨터 또는 모바일 기기를 이용하여 개인정보를 처리하는 경우에는 제1항을 적용하지 아니할 수 있으며, 이 경우 업무용 컴퓨터 또는 모바일 기기의 운영체제(OS : Operating System)나 보안프로그램 등에서 제공하는 접근통제 기능을 이용할 수 있다.

④ 개인정보처리자는 업무용 모바일 기기의 분실․도난 등으로 개인정보가 유출되지 않도록 해당 모바일 기기에 비밀번호 설정 등의 보호조치를 하여야 한다.

⑤ 개인정보처리자는 개인정보처리시스템에 대한 불법적인 접근 및 침해사고 방지를 위하여 개인정보취급자가 일정시간 이상 업무처리를 하지 않는 경우에는 자동으로 시스템 접속이 차단되도록 하여야 한다.

제17조(개인정보의 암호화)

① 개인정보처리자는 비밀번호, 생체인식정보 등 인증정보를 저장 또는 정보통신망을 통하여 송ㆍ수신하는 경우에 이를 안전한 암호 알고리즘으로 암호화하여야 한다. 다만, 비밀번호를 저장하는 경우에는 복호화되지 아니하도록 일방향 암호화하여 저장하여야 한다.

② 개인정보처리자는 다음 각 호의 해당하는 이용자의 개인정보에 대해서는 안전한 암호 알고리즘으로 암호화하여 저장하여야 한다.

1. 고유식별정보(주민등록번호, 여권번호, 운전면허번호, 외국인등록번호)

2. 신용카드번호

3. 계좌번호

4. 생체인식정보

③ 개인정보처리자는 이용자가 아닌 정보주체의 개인정보를 다음 각 호와 같이 저장하는 경우에는 암호화하여야 한다.

1. 인터넷망 구간 및 인터넷망 구간과 내부망의 중간 지점(DMZ : Demilitarized Zone)에 고유식별정보를 저장하는 경우

2. 내부망에 고유식별정보를 저장하는 경우(다만, 주민등록번호 외의 고유식별정보를 저장하는 경우에는 다음 각 목의 기준에 따라 암호화의 적용여부 및 적용범위를 정하여 시행할 수 있다)

가. 법 제33조에 따른 개인정보 영향평가의 대상이 되는 공공기관의 경우에는 해당 개인정보 영향평가의 결과

나. 암호화 미적용시 위험도 분석에 따른 결과

④ 개인정보처리자는 개인정보를 정보통신망을 통하여 인터넷망 구간으로 송ㆍ수신하는 경우에는 이를 안전한 암호 알고리즘으로 암호화하여야 한다.

⑤ 개인정보처리자는 이용자의 개인정보 또는 이용자가 아닌 정보주체의 고유식별정보, 생체인식정보를 개인정보취급자의 컴퓨터, 모바일 기기 및 보조저장매체 등에 저장할 때에는 안전한 암호 알고리즘을 사용하여 암호화한 후 저장하여야 한다.

제18조(접속기록 보관 및 점검)

① 개인정보처리자는 개인정보취급자가 개인정보처리시스템에 접속기록을 1년 이상 보관·관리하여야 한다. 다만, 5만명 이상의 정보주체에 관하여 개인정보를 처리하거나, 고유식별정보 또는 민감정보를 처리하는 개인정보처리시스템의 경우에는 2년 이상 보관․관리하여야 한다.

② 개인정보처리자는 개인정보의 오․남용, 분실․도난․유출․위조․변조 또는 훼손 등에 대응하기 위하여 개인정보처리시스템의 접속기록 등을 개인정보처리시스템 접속기록 점검대장 [별지 제2호 서식]을 이용하여 월 1회 이상 점검하여야 한다. 특히 다음 각 호에 해당되는 개인정보 다운로드가 발견된 경우에는 그 사유를 반드시 확인하여야 한다.

1. 업무시간 외 개인정보를 다운로드 한 경우

단, 업무시간은 개인정보취급자의 초과근무시간도 포함한다.

2. 개인정보취급자가 단시간에 수차례에 걸쳐 개인정보를 다운로드 한 경우

3. 그 외 비정상적인 다운로드로 확인된 경우

③ 개인정보처리자는 개인정보취급자의 접속기록이 위·변조 및 도난, 분실 등이 되지 않도록 정기적인 접속기록의 분석과 백업을 수행하여 안전하게 보관하여야 한다.

제19조(악성프로그램 등 방지)

① 개인정보처리자는 악성프로그램 등을 방지·치료할 수 있는 보안 프로그램을 설치·운영하여야 하며, 다음 각 호의 사항을 준수하여야 한다.

1. 프로그램의 자동 업데이트 기능을 사용하거나, 정당한 사유가 없는 한 일 1회 이상 업데이트를 실시하는 등 최신의 상태로 유지

2. 발견된 악성프로그램 등에 대해 삭제 등 대응 조치

② 개인정보처리자는 악성프로그램 관련 경보가 발령된 경우 또는 사용 중인 응용 프로그램이나 운영체제 소프트웨어의 제작업체에서 보안 업데이트 공지가 있는 경우 정당한 사유가 없는 한 즉시 이에 따른 업데이트 등을 실시하여야 한다.

제20조(개인정보 유출, 도난 방지 등을 취약점 점검)

① 개인정보처리자는 개인정보처리시스템 등을 대상으로 연 1회 이상 정기적인 보안 취약점 점검을 실시하여야 한다.

② 신규 시스템을 구축하거나 운영 환경 및 주요 기능을 변경하는 경우 등 필요시 수시 점검을 실시하여야 한다.

③ 점검 대상에는 개인정보를 처리하는 웹·DB, 서버·네트워크 장비, 업무용 단말기(PC 등) 등이 포함되어야 한다.

④ 점검 결과 취약점이 발견된 경우, 즉시 개인정보취급자에게 개선 및 보완을 요구하고 조치 이행 여부를 반드시 확인하여야 한다.

⑤ 점검 내용 및 조치 결과에 대한 기록은 최소 3년 이상 안전하게 보관하여야 한다.

⑥ 내부 인력만으로 자체 점검이 어려운 경우, 외부 정보보호 전문기관에 의뢰하여 점검을 수행할 수 있다.

제21조(물리적 안전조치)

① 개인정보처리자는 전산실, 평가실, 자료보관실 등 개인정보를 보관하는 장소를 별도로 두고 있는 경우에는 물리적 장소에 대한 출입통제 절차를 수립·운영 하여야 한다.

② 개인정보처리자는 개인정보가 포함된 서류, 휴대용 저장매체 등은 잠금장치가 있는 안전한 장소에 보관하여야 한다.

③ 개인정보처리자는 ‘부산광역시교육청 정보보안 기본지침’에 따라 보조저장매체의 반출·입을 통제하여야 한다.

제22조(출력·복사시 안전조치)

① 개인정보처리자는 개인정보처리시스템에서 개인정보의 출력시(인쇄, 화면표시, 파일생성 등) 용도를 특정하여야 하며, 용도에 따라 출력 항목을 최소화하여야 한다.

② 개인정보처리자는 개인정보가 포함된 종이 인쇄물, 개인정보가 복사된 외부 저장매체 등 개인정보의 출력·복사물을 안전하게 관리하기 위해 필요한 안전조치를 하여야 한다.

제6장 목적 외 이용 및 제3자 제공 처리절차

제23조(목적 외 이용 및 제3자 제공방법 및 절차)

① 개인정보처리자는 개인정보를 목적 외의 용도로 제3자에게 제공하는 경우 개인정보 보호책임자의 승인을 받아 제공하여야 하며, 승인 절차 진행 시 개인정보를 제공받는 자에게 이용 목적, 이용 방법, 이용 기간, 이용 형태 등을 제한하거나, 개인정보의 안전성 확보를 위하여 필요한 구체적인 조치를 마련하도록 문서(전자문서 포함)로 요청하여 개인정보의 안전성 확보 조치에 관한 책임관계를 명확히 하여야 한다.

② 개인정보처리자는 개인정보를 목적 외의 용도로 이용하거나 목적 외의 용도로 제3자에게 제공하는 경우, 개인정보의 목적 외 이용 및 제3자 제공 대장 [별지 제3호 서식]에 기록·관리하여야 한다.

③ 개인정보처리자는 개인정보를 목적 외의 용도로 이용하거나 목적 외의 용도로 제3자에게 제공하는 경우, 이용 또는 제공한 날부터 30일 이내에 법적 근거, 목적, 개인정보의 항목, 이용·제공한 날짜 등 필요한 사항을 홈페이지에 10일 이상 계속 게재하여 공개하여야 한다. 다만,「개인정보 보호법」제18조제2항1호에 의한 정보주체의 별도 동의를 받은 경우, 제18조제2항7호 수사 목적인 경우는 제외한다.

제7장 개인정보 파기 계획 및 절차

제24조(파기기준 및 파기기한)

① 개인정보 보유기간 경과, 개인정보 처리 목적 달성, 가명정보의 처리 기간 경과 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이(정당한 사유가 없는 한 그로부터 5일 이내) 그 개인정보를 파기한다. 파기할 때에는 복구 또는 재생되지 아니하도록 조치하여야 한다. 다만, 공공기록물법 등 다른 법령에 따라 보존해야 하는 경우에는 관련법에 따라 처리하며 해당 개인정보 또는 개인정보파일은 다른 개인정보와 분리하여 저장ㆍ관리한다.

② 빈번하게 개인정보를 파기해야 할 경우 월별 또는 분기별로 일괄 파기할 수 있다. 개인정보 파기 후 개인정보 파기 관리대장 [별지 제4호 서식]에 기록 관리하여야 한다. 단, 파기 전까지는 개인정보를 안전하게 보관 및 관리해야 한다.

제25조(파기절차)

① 개인정보처리자는 개인정보의 파기에 관한 사항을 기록·관리하여야 하며, 개인정보의 파기 시행 및 확인은 개인정보 보호책임자의 책임하에 수행되어야 한다.

② 개인정보취급자는 보유기간 경과 및 처리목적을 달성한 개인정보파일을 선정하고, 개인정보파일 파기 요청서 [별지 제5호 서식]에 기재하여 개인정보 보호책임자의 승인을 받아 개인정보를 파기하여야 하며, 개인정보 보호책임자는 파기가 시행된 후 파기 결과를 확인하고 개인정보파일 파기 관리대장 [별지 제6호 서식]에 기록 관리하여야 한다.

제26조(파기방법)

① 개인정보취급자는 개인정보를 파기할 경우 다음 각 호 중 어느 하나의 조치를 하여야 하며, 저장매체 불용 시 파기 방법은 아래 표에 따른다.

1. 완전파괴(소각·파쇄 등)

2. 전용 소자장비를 이용하여 삭제

3. 데이터가 복원되지 않도록 초기화 또는 덮어쓰기 수행

□ 저장매체 불용 시 파기방법

저장자료 저장매체	공개자료	비공개 자료	대외비 자료	비밀 자료
자기테이프 플로피디스크	자체 판단	물리적 파괴	물리적 파괴	물리적 파괴
광디스크 (CD, DVD 등)	자체 판단	물리적 파괴	물리적 파괴	물리적 파괴
반도체메모리 (SSD, USB 등)	포맷 또는 삭제	완전삭제 제품	물리적 파괴	물리적 파괴
하드디스크	포맷 또는 삭제	디가우징 또는 완전삭제 제품	물리적 파괴	물리적 파괴

☞ 부산광역시교육청 정보보안 기본지침 [부록2] 정보시스템 저장매체 불용처리지침 참고

② 개인정보처리자가 개인정보의 일부만을 파기하는 경우, 제1항의 방법으로 파기하는 것이 어려울 때에는 다음 각 호의 조치를 취한다.

1. 전자적 파일 형태인 경우: 개인정보를 삭제한 후 복구 및 재생되지 않도록 관리·감독

2. 제1호 외의 기록물, 인쇄물, 서면, 그 밖의 기록매체인 경우: 해당 부분을 마스킹, 천공 등으로 삭제

제8장 개인정보 처리의 위탁 및 수탁자 관리· 감독

제27조(개인정보 처리 위탁 및 공개)

① 개인정보처리자는 개인정보의 처리 업무를 위탁하는 경우에는 최신 법령에 따라 문서화(표준 개인정보처리위탁 계약서)하여야 한다.

② 개인정보처리자는 위탁하는 업무의 내용과 수탁자의 정보, 수탁자의 관리 현황 점검 결과 등 위탁에 관한 사항을 정보주체가 언제든지 쉽게 확인할 수 있도록 홈페이지에 지속적으로 게재하여 공개하여야 한다.

제28조(수탁자 교육 및 관리·감독)

① 개인정보처리자는 업무 위탁으로 인하여 정보주체의 개인정보가 분실·도난·유출·변조 또는 훼손되지 않도록 수탁자 교육계획에 따라 수탁자를 연1회 이상 교육하고, 위탁계약서 내용 준수 및 안전성 확보 준수 여부, 개인정보 처리현황 점검 등 수탁자가 개인정보를 안전하게 처리하는지 연 1회 이상 관리·감독하여야 한다.

② 수탁자 감독의 방법으로는 개인정보 처리량, 개인정보 위험성, 수탁자의 개인정보 보호 역량 등을 고려하여 현장방문 점검, 원격 점검, 자료제출 요구 및 확인 등 다양한 수단을 합리적으로 사용하여 감독을 시행할 수 있다.

③ 개인정보처리자는 수탁자를 교육하고 감독한 결과를 작성하여 보관하여야 한다.

④ 개인정보처리자는 업무가 종료되거나 개인정보 처리 목적이 달성되면 수탁자의 개인정보 파기(반환) 여부를 확인하여야 한다.

제9장 개인정보 유출사고 대응 계획

제29조(개인정보 유출 등 신고체계)

① 개인정보취급자는 1명이라도 정보주체에 관한 개인정보가 유출된 경우에는 즉시 [별지 제7호 서식]에 의거 개인정보 보호책임자 및 지도·감독기관에 보고하고, 개인정보 보호책임자는 유출내용 및 조치 결과를 72시간 이내에 상급기관을 경유 교육부에 보고하여야 한다. 다만 다음 각 호에 해당하는 경우 개인정보보호위원회 또는 한국인터넷진흥원에 신고하여야 한다.

1. 1천명 이상의 정보주체에 관한 개인정보가 유출등이 된 경우

2. 민감정보, 고유식별정보가 유출등이 된 경우

3. 외부로부터의 불법적인 접근에 의해 개인정보가 유출등이 된 경우

② 또한 유출되었음을 알게 된 때에는 정당한 사유가 없는 한 72시간 이내에 해당 정보주체에게 서면, 전자우편, 모사전송, 전화, 휴대전화 문자전송 등의 방법을 통해 다음 각 호의 사항을 알려야 한다. 다만, 유출된 개인정보의 확산 및 추가 유출 방지를 위한 긴급한 조치(접속경로의 차단, 취약점 점검·보완, 유출된 개인정보의 삭제 등) 필요 시 조치 후 지체 없이 알릴 수 있다.

1. 유출된 개인정보의 항목

2. 유출된 시점과 그 경위

3. 유출로 인하여 발생할 수 있는 피해 최소화를 위해 정보주체가 할 수 있는 방법 등

4. 개인정보처리자의 대응조치 및 피해 구제절차

5. 정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처

③ 제2항에도 불구하고 정보주체의 연락처를 알 수 없는 등 정당한 사유가 있는 경우 인터넷 홈페이지에 정보주체가 알아보기 쉽도록「개인정보 보호법 시행령」제39조제3항에 따라 유출 통지 사항을 인터넷 홈페이지에 30일 이상 게재함으로 제1항 및 제2항의 통지를 갈음할 수 있다.

④ 그 외 개인정보 유출통지 방법과 신고 관련 세부적인 내용은“부산광역시교육청 개인정보 유출등 사고 대응 매뉴얼”에 따른다.

제10장 가명정보의 처리

제30조(가명정보의 처리 등)

① 개인정보처리자는 통계작성, 과학적 연구, 공익적 기록보존 등을 위해 정보주체의 동의 없이 가명정보를 처리할 수 있다.

② 개인정보처리자는 제1항에 따라 가명정보를 제3자에게 제공하는 경우, 특정 개인을 알아보기 위해 사용될 수 있는 정보를 포함해서는 아니 된다.

③ 제1항에도 불구하고 통계작성, 과학적 연구, 공익적 기록보존 등을 위해 서로 다른 개인정보처리자 간 가명정보의 결합은 개인정보보호위원회 또는 교육부장관이 지정하는 전문기관이 수행하며, 결합을 수행한 기관 외부로 결합된 정보를 반출할 때에는 가명정보 또는 익명정보로 처리한 뒤 전문기관 장의 승인을 받아야 한다.

④ 가명정보 처리에 대한 세부 절차는“교육분야 가명ㆍ익명 처리 가이드라인”따른다.

제31조(가명정보에 대한 안전조치의무 등)

① 개인정보처리자는 가명정보를 처리하는 경우, 원래 상태로 복원하기 위한 추가 정보를 별도로 분리하여 보관·관리하는 등 해당 정보가 분실·도난·유출·위조·변조 또는 훼손되지 않도록 안전성 확보에 필요한 기술적·관리적·물리적 조치를 하여야 한다.

1. 본 내부 관리계획 제5장에 따른 안전성 확보 조치

2. 가명정보와 추가정보의 분리 보관. 다만, 추가정보가 불필요한 경우에는 추가정보를 파기해야 한다.

3. 가명정보와 추가정보에 대한 접근 권한의 분리

② 개인정보처리자는 가명정보를 처리하고자 하는 경우, 가명정보 처리에 관한 사항을 [별지 제8호 서식] 가명정보 관리대장에 기록·보관하여야 한다.

제32조(가명정보 처리 시 금지의무 등)

① 누구든지 특정 개인을 알아보기 위한 목적으로 가명정보를 처리해서는 아니 된다.

② 개인정보처리자는 가명정보를 처리하는 과정에서 특정 개인을 알아볼 수 있는 정보가 생성된 경우에는 즉시 해당 정보의 처리를 중지하고, 지체 없이 회수·파기하여야 한다.

[별지 제1호 서식]

개인정보처리시스템 접근권한 관리대장

□ 개인정보처리시스템명: ○○학교 홈페이지

연번	부서명	성명	ID	접근권한	권한부여사유	등록일	처리자	권한 변경 내역
								변경일	변경내역	사유
1	진로진학부	홍길동	abc123	열람, 입력, 수정, 삭제	2024.1.1.자 인사발령	2024.1.2.	○○○	2025.1.1.	‘삭제’ 권한 삭제	업무분장 변동
2	과학정보부	이순신	zxy987	열람, 입력, 수정, 다운로드	2024.1.1.자 인사발령	2024.1.2	○○○	2026.7.1.	접근권한 및 사용자계정 말소	인사발령

* 이력관리: 최소 3년 보관

[별지 제2호 서식]

개인정보처리시스템 접속기록 점검대장(2025년 9월)

결재	담당자	분야별 책임자	개인정보 보호책임자

- 점검일자: 2025. 9. 4.(목)

- 대상기간: 2025. 8. 1.(금)~8. 31.(일)

- 개인정보처리시스템명: OOOO

□ 접속기록 내 비정상 행위 점검 결과

점검 항목	점검 내용	점검 결과	비고
계정	접근권한이 없는 계정, 혹은 사용이 중지된 계정으로 접속한 행위 분석	정상/비정상
접속일시	출근시간 전, 퇴근시간 후, 휴무일 등 업무시간 외 접속 행위 분석	정상/비정상
접속지정보	인가되지 않은 단말기 또는 지역(IP)에서 접속한 행위 분석	정상/비정상
처정보주체정보	특정 정보주체에 대하여 과도하게 조회, 다운로드 등의 행위 분석	정상/비정상
수행업무	대량의 개인정보에 대한 조회, 정정, 다운로드, 삭제 등의 행위 분석	정상/비정상
기타	그 밖에 단시간에 하나의 계정으로 여러 지역(IP)에서 접속한 행위 등	정상/비정상
비정상 행위에 대한 후속조치	접속기록 점검 결과 비정상 행위가 있을 경우, 조치 및 결과 작성 (이상이 없을 경우, “해당 없음” 명시)

□ 개인정보 다운로드 시 사유 확인 점검 결과

점검 내용	점검 결과		비 고
	해당 여부	다운로드 사유 확인 결과
다량의 다운로드 일평균 개인정보 처리 건수 보다 5배 이상의 정보주체에 대한 개인정보를 다운로드 한 경우	유/무	정상/비정상
반복적 다운로드 개인정보취급자가 1시간 내 다운로드한 횟수가 20건 이상일 경우, 단시간에 수차례에 걸쳐 개인정보를 다운로드 한 경우	유/무	정상/비정상
업무시간 외 다운로드 새벽시간, 휴무일 등 업무시간 외 개인정보를 다운로드 한 경우	유/무 예) 유	정상/비정상 예) 정상	예) 지방공무원 인사업무 수행
다운로드 사유 확인 대상에 대한 후속조치	다운로드 사유 확인 결과 특이사항(개인정보 오·남용, 유출 등)이 확인되는 경우, 다운로드한 개인정보를 회수·파기하는 등 조치 내용 작성 (다운로드 사유 확인 대상 건이 없을 경우, “해당 없음” 명시)

※ 접속기록 점검은 월 1회 이상 수행

[별지 제3호 서식]

개인정보의 목적 외 이용 및 제3자 제공 대장
개인정보 또는 개인정보파일 명칭
이용 또는 제공 구분	［ ］목적 외 이용 ［ ］제3자 제공
목적 외 이용기관의 명칭 (목적 외 이용의 경우)		담당자	소 속
			성 명
			전화번호
제공받는 기관의 명칭 (제3자 제공의 경우)		담당자	성 명
			소 속
			전화번호
이용하거나 제공한 날짜, 주기 또는 기간
이용하거나 제공한 형태
이용 또는 제공의 법적 근거
이용 목적 또는 제공받는 목적
이용하거나 제공한 개인정보의 항목
「개인정보 보호법」 제18조제5항에 따라 제한을 하거나 필요한 조치를 마련할 것을 요청한 경우에는 그 내용

[별지 제4호 서식]

개인정보 파기 관리대장

번호	개인정보파일명	파기일	파기사유	처리담당자 (서명)	처리부서장 [분야별책임자] (서명)
예시	○○ 홈페이지 회원정보	20○○.○.○	보유기간 만료	○○○	○○○
예시	학교 운영위원회 명부	20○○.○.○	보유기간 만료	○○○	○○○
예시	○○ 명부	20○○.○.○	PC교체 (하드디스크파기)	○○○	○○○

※ 회원정보는 2년마다 재동의(분기별 파기 작성 수행)

※ 작성시기: 회원정보 정비 등 일부 개인정보를 삭제할 경우

※ 파기방법: 제26조(파기방법) 참고(16페이지)

[별지 제5호 서식]

개인정보파일 파기 요청서

작성일		작성자
파기 대상 개인정보파일
생성일자				개인정보취급자
주요 대상업무				현재 보관건수
파기 사유
파기 일정
특기사항
파기 승인일			승인자 (개인정보 보호책임자)
파기 장소
파기 방법
파기 수행자		입회자
파기 확인 방법
백업 조치 유무
매체 파기 여부

※ 작성시기: 사업폐기 등 업무 자체가 없어질 경우

[별지 제6호 서식]

개인정보파일 파기 관리대장

번호	개인정보 파일명	자료의 종류	생성일	파기일	파기사유	처리담당자	처리부서장
예시	○○홈페이지 회원정보	홈페이지 회원정보	20○○.○.○	20○○.○.○	홈페이지 폐쇄	○○○	○○○
예시	○○홈페이지 회원정보	홈페이지 회원정보	20○○.○.○	20○○.○.○	비회원제로 전환	○○○	○○○
예시	○○홈페이지 회원정보	홈페이지 회원정보	20○○.○.○	20○○.○.○	홈페이지 통폐합	○○○	○○○

※ 작성시기: [별지 제5호 서식] 결재 완료 후 작성

[별지 제7호 서식]

개인정보 유출등 신고서
기관명
유출등이 된 개인정보 항목 및 규모
유출등이 된 시점과 그 경위
유출등 피해 최소화를 위해 정보주체가 할 수 있는 방법 등
개인정보처리자의 대응 조치 및 피해 구제절차
정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처
유출등 신고(보고) 담당자		성명		부서	직위		연락처
	개인정보 보호책임자
	담당자 (취급자)
유출등 신고 접수기관	기관명		담당자명			연락처

※ 개인정보 유출 확인 시, 상위 기관 필수 보고

[별지 제8호 서식]

가명정보 관리대장

번호	기간	목적	항목	치리 및 보유기간	제공받는 자 등	위탁 사항	제한 사항	처리 구분	기타 (추가정보)	가명처리 수행자	책임자
1	가명처리 시작일 ~ 종료일			필요시 기재 예) 처리기간(2년), 보유기간(1년)				예) 생성, 결합, 제공, 공개 등	예) 추가정보 동시 파기	홍길동	이순신

[별지 제9호 서식]

개인정보 내부 관리계획 이행실태 점검표

구분	점검내용	점검 결과
1. 개인정보 보호조직 구성·운영	1. 개인정보 보호조직 구성·운영 여부	○/X
	- 처리하는 개인정보의 종류·중요도 및 보유량, 개인정보를 처리하는 방법 및 환경 등을 고려하여 개인정보 보호조직을 구성하고 운영
2. 개인정보 보호책임자 자격요건 및 지정	2-1. 자격요건에 부합하는 개인정보 보호책임자 지정 여부	○/X
	- 자격요건에 부합하는 개인정보 보호책임자 지정 ㆍ교육지원청: 4급이상 공무원, 직속기관: 개인정보 처리 부서장, 초·중·고: 교장 - 내부 결재 및 개인정보 처리방침 공개
	2-2. 개인정보보호 종합지원시스템 현행화 여부	○/X
	- 개인정보보호 종합지원시스템(intra.privacy.go.kr)에 개인정보 보호책임자 현행화
3. 개인정보 보호책임자 ·취급자의 역할 및 책임	3-1. 개인정보 보호책임자 역할·책임 수행 여부	○/X
	- 내부 관리계획에 지정된 역할·책임을 수행하고 있는지 여부
	3-2. 개인정보 보호취급자 역할·책임 수행 여부	○/X
	- 내부 관리계획에 지정된 역할·책임을 수행하고 있는지 여부
4. 개인정보 취급자에 대한 관리 ·감독 및 교육	4 개인정보취급자에 대한 관리·감독 및 교육 수행 여부	○/X
	- 개인정보취급자에 대한 개인정보 보호책임자 및 분야별책임자의 법령 및 내부관리계획 숙지 및 준수 여부 확인, 시스템 접근 권한 등 관리·감독 수행 - 개인정보 보호책임자의 개인정보 취급자 교육 실시 - 개인정보 취급자의 법령 및 내부 관리계획 위반 시, 시정조치·징계 등 조치
5. 접근 권한 관리	5-1. 개인정보처리시스템 접근 권한 관리	○/X
	- 접근 권한을 업무 수행에 필요한 최소한의 범위로 차등 부여 - 인사이동 등에 따른 개인정보취급자 변경 또는 개인정보취급자의 업무 변경 시 지체없이 접근 권한 변경·말소 - 개인정보취급자별 계정 발급 및 공유금지 - 개인정보취급자 또는 정보주체의 인증수단을 안전하게 관리 - 일정 횟수 이상 인증 실패 시 개인정보처리시스템 접근 제한 등 필요 조치 실행 ◎ 개인정보처리시스템 ◎ 교육정보시스템(나이스, K-에듀파인, 업무관리) 및 홈페이지 관리자페이지 등
	5-2. 개인정보처리시스템별 접근 권한 대장 관리	○/X
	- 개인정보처리시스템별 접근 권한 관리대장 작성·관리 - 권한 부여, 변경 또는 말소에 대한 내역 등 기록 작성 - 개인정보처리시스템 접근 권한 관리대장 최소 3년간 보관
6. 접근통제	6-1. 업무용PC 접근통제(내PC지키미 실행) 여부	○/X
	- PC 운영체제나 보안프로그램 등의 접근통제 조치 - 비밀번호 설정, 공유폴더 점검 - 화면보호기 비밀번호 설정(10분이상) 등
	6-2. 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위한 노력 여부	○/X
	- 개인정보처리시스템 접속 권한을 IP주소 등으로 제한하여 인가받지 않은 접근 제한 일정시간 이상 업무를 하지 않는 경우 자동 접속차단(로그아웃 등) 등의 조치 ※ 학교 홈페이지의 경우는 웹호스팅 서비스에서 자동 접속차단 조치 완료
7. 개인정보 암호화 조치	7-1. 업무용PC에 고유식별정보(주민등록번호 등) 저장 시 암호화 실시 여부	○/X
	- 개인정보가 있는 문서파일 중 불필요한 파일은 즉시 삭제, 필요한 파일은 암호화하여 저장(주민등록번호가 포함된 문서파일은 반드시 암호화) - 방법: 암호화 프로그램(Privacy-i), 한글 또는 MS오피스 문서암호기능 등 활용
	7-2. 안전한 암호 알고리즘으로 암호화 조치 여부	○/X
	- 개인정보(고유식별정보, 신용카드번호, 계좌번호, 생체인식정보)를 정보통신망을 통하여 인터넷망 구간으로 송ㆍ수신 시 SSL적용 - 인증정보(비밀번호) 저장 시 일방향 암호화 후 저장 ※ 학교 홈페이지의 경우는 웹호스팅 서비스에서 비밀번호 일방향 암호화 조치 완료
8. 접속기록 보관 및 점검	8-1. 개인정보처리시스템에 접속한 기록 보관·관리 여부	○/X
	- 개인정보취급자가 개인정보처리시스템에 접속하여 처리한 업무 내역을 알 수 있도록 접속기록을 1년 이상 전자적으로(수기×) 기록·보관 ㆍ접속기록: 계정, 접속일시, 접속지 정보, 처리한 정보주체 정보, 수행업무 등 기록 ㆍ5만명 이상 정보주체 및 고유식별정보 또는 민감정보를 처리하는 시스템: 2년 이상 보관 ※ 학교 홈페이지의 경우는 웹호스팅 서비스에서 접속기록 저장 조치 완료
	8-2. 개인정보처리시스템의 접속기록 점검 및 점검 대장 작성 여부	○/X
	- 비인가된 개인정보의 처리, 대량의 개인정보 조회·정정·다운로드‧삭제 등의 비정상 행위 여부를 월 1회 이상 점검
9. 악성 프로그램 등 방지	9. 업무용PC에 백신 소프트웨어 등의 보안프로그램 설치·운영 여부	○/X
	- 업무용PC에 백신 소프트웨어가 설치되어 있고 자동 업데이트 또는 일 1회 이상 업데이트 될 수 있도록 설정되어 있는지 확인 ㆍ설정확인: V3 → 환경설정 → 기타설정 → 사용환경 → 업데이트 설정 탭 - 악성 프로그램 발견 시 삭제 등 대응 조치 여부
10. 취약점 점검	10. 개인정보처리시스템 등 보안 취약점 점검 여부	○/X
	- 개인정보처리시스템 등 보안 취약점 점검 연 1회 실시 ㆍ점검대상: 개인정보를 처리하는 웹·DB, 서버·네트워크 장비 등 ㆍ점검방법: 내부 인력으로 자체 점검 또는 외부 정보보호 전문 기관에 의뢰 ㆍ점검 결과 취약점 발견 시 개선·보완 요구 및 조치 이행(기록 3년 보관) - 신규 시스템을 구축하거나 운영 환경 및 주요 기능을 변경하는 경우 등 필요시 취약점 수시 점검 ※ 교육정보시스템 및 학교 홈페이지의 경우 운영 부서에서 취약점 점검 완료
11. 물리적 안전조치	11. 개인정보 보관 장소의 물리적 통제 절차 수립 여부	○/X
	- 전산실, 자료보관실 등 개인정보가 보관된 물리적 장소가 있는 경우 통제(제한)구역설정, 출입명부관리, 잠금장치 설정 등 관리 - 개인정보 포함 서류, 보조저장매체 등을 잠금장치가 있는 안전한 장소에 보관 - 각 기관의 정보보안 지침에 따른 보조저장매체의 반·출입 통제
12. 출력·복사 시 안전 조치	12. 출력·복사 시 안전조치 수립 여부	○/X
	- 개인정보처리시스템에서 개인정보의 출력시(인쇄, 화면표시, 파일생성 등) 용도 특정 및 용도에 따라 출력 항목 최소화 여부 - 개인정보가 포함된 종이 인쇄물, 개인정보가 복사된 외부 저장매체 등 개인정보의 출력ㆍ복사물을 안전하게 관리하기 위한 조치(출력물 워터마크 등) 실시
13. 개인정보 파기	13. 목적 달성 및 보유기간이 경과한 개인정보(파일)의 파기 여부	○/X
	- 목적 달성, 사업 종료 등 개인정보 처리 불필요 시 개인정보(파일) 5일 이내 파기 - 개인정보 (일부)파기 시 복구 또는 재생되지 않도록 조치(소각·파쇄·덮어쓰기 등) - 파기 요청서 및 개인정보(파일) 파기 관리대장 기록·관리
14. 유출사고 대응	14. 개인정보 유출 등 사고 대응 매뉴얼 수립·시행 여부	○/X
	- 개인정보 유출 시 보고 체계, ‘개인정보 유출등 사고 대응팀’ 구성, 사전 조치, 정보주체 통지 및 유출 신고 방법, 피해 최소화 노력, 대응 조치 및 구제절차 등 수립 - (해당시) 개인정보 유출등 사고 발생 시 매뉴얼에 따른 절차 이행
15. 위험분석 및 관리	15. 위험도 분석 시행 및 대응방안 마련 여부	○/X/해당 없음
	- 내부망에 이용자가 아닌 정보주체의 고유식별정보(주민등록번호 예외)를 저장하는 경우 암호화 적용 여부와 범위를 정하기 위해 위험도 분석을 시행 ※ 교육정보시스템 및 학교 홈페이지의 경우 “해당없음” 으로 제출 ※ 기관에서 직접 운영하는 개인정보처리시스템의 경우 위의 경우에 해당하지 않을 시 “해당없음” 으로 제출
16. 수탁자 관리·감독	16-1. 개인정보 처리업무 위탁 시 법 의무사항의 문서화 여부	○/X
	- 최신 개정 법령이 적용된 개인정보 처리 위탁계약서 작성 - 위탁업무의 내용과 수탁자 정보(재수탁자 포함)를 개인정보 처리방침에 공개
	16-2. 수탁자 교육 및 관리·감독을 수행 여부	○/X
	- 수탁자를 대상으로 연1회 이상 개인정보 보호 교육 실시 - 수탁자의 안전성 확보조치 여부 등 연1회 이상 실태 점검 실시 - 위탁 종료 시 개인정보 파기(반환) 등 사후 조치 확인(개인정보 파기 확인서)
17. 내부 관리계획 수립·변경 및 승인	17-1. 개인정보 내부 관리계획 수립·변경 및 승인	○/X
	내부 관리계획 수립(개인정보처리자-기관장 승인) 내용 변경 시 즉시 개정(개인정보처리자 승인) 및 이력 보관·관리
	17-2. 개인정보 내부 관리계획 직원 전파 여부
	- 내부관리계획을 공람, 게시판 게시 등 전 직원에게 전파 및 공유
18. 개인정보 보호 교육 실시	18-1. 개인정보 보호 교육계획 수립 여부	○/X
	- 개인정보 보호 교육계획 수립 여부
	18-2. 개인정보 보호책임자 교육 이수 여부	○/X
	- 연1회 이상의 개인정보 보호책임자(CPO) 교육 이수 여부 ※ 교육청 주관 개인정보 보호책임자 교육(2026. 7. 8.) 인정
	18-3. 개인정보 보호담당자 교육 이수 여부	○/X
	- 연1회 이상의 개인정보 보호담당자 교육 이수 여부 ㆍ신규 발령 개인정보 보호담당자는 15시간 이상의 교육 이수 ※ 교육청 주관 개인정보 보호담당자 교육(2026. 5. 19.) 인정
	18-4. 개인정보취급자 교육 실시 여부	○/X
	- 전직원(개인정보취급자) 교육 이수 여부
19. 목적 외 이용 및 제3자 제공	19-1. 개인정보의 목적 외 이용 및 목적 외 제3자 제공 절차 준수 여부	○/X
	- 개인정보 보호책임자의 승인을 거쳐 제공받는자에게 문서로 보호조치 요청 여부
	19-2. 개인정보의 목적 외 이용 및 제3자 제공 시 대장 기록 관리 및 공개 여부	○/X
	- ‘개인정보의 목적 외 이용 및 제3자 제공 대장‘ 작성 여부 - 목적 외 이용 및 제3자 제공 내역을 홈페이지 공개 ㆍ정보주체의 별도 동의, 범죄의 수사를 위해 제공한 경우 공개 제외
20. 개인정보 처리방침 수립 및 공개	20-1. 개인정보 처리방침 수립(개정) 및 현행화 여부	○/X
	- 개인정보 처리방침에 법 개정 사항 반영 및 내용 현행화
	20-2. 개인정보 처리방침 공개 여부	○/X
	- 수립(개정)된 개인정보 처리방침 홈페이지 공개 및 이력 관리 여부
21. 가명정보 처리	21. 가명정보 처리 준수 여부	○/X/해당 없음
	※ 가명정보 관련 업무를 하지 않을 시 “해당없음” 으로 제출 가명정보를 개인정보와 동일하게 관리 통계작성, 과학적 연구, 공익적 기록보존을 목적으로 처리 서로 다른 개인정보처리자 간의 가명정보의 결합 시 개인정보보호위원회 또는 관계 중앙행정기관의 장이 지정하는 전문기관이 수행 관리책임자 지정 및 역할 수행 가명처리 완료 시 가명처리 전 개인정보, 가명정보 및 추가정보 분리 보관 가명처리 완료 시 가명정보 또는 추가정보의 접근권한 차등 부여 가명정보 및 추가정보 안전성 확보조치 수행 가명정보를 처리자 교육 실시 가명정보에 대한 기록(목적, 항목, 이용내역, 제공받는 자, 처리기간)을 작성 및 보관, 파기 시 파기한 날로부터 3년 이상 보관 개인정보 처리방침 공개 - 가명정보의 재식별 행위 금지