11

개인정보 처리 업무 위탁 시 관리·감독

(작성 기준일: 2026. 9.)

근거

‣ 「개인정보 보호법」 제26조(업무위탁에 따른 개인정보의 처리 제한)

‣ 「개인정보 보호법 시행령」 제28조(개인정보의 처리 업무 위탁 시 조치)

‣ 「교육부 개인정보 보호지침」 제18조 ~ 제20조

세부

추진내용

□ 개념

개인정보처리자(위탁자)가 개인정보 수집‧이용 등의 처리 자체를 제3자(수탁자)에게 위탁하거나, 개인정보의 이용‧제공 등 처리가 수반되는 업무를 수탁자에게 위탁하는 것을 의미

□ 개인정보 위탁 관리 시 안전성 확보 조치

“2026년 개인정보 처리업무 위탁 현황 제출”

(학교안전총괄과-6430, 2026. 5. 11.) 공문 참고

① 위탁계약서 작성(반드시 문서에 의하여야 함) 및 위탁계약서에 필수 사항 반영

<개인정보 처리 위·수탁 문서에 포함해야하는 내용>

1. 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항

2. 개인정보의 기술적·관리적 보호조치에 관한 사항

3. 위탁업무의 목적 및 범위

4. 재위탁 제한에 관한 사항

5. 개인정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항

6. 위탁업무와 관련하여 보유하고 있는 개인정보의 관리 현황 점검 등 감독에 관한 사항

7. 수탁자가 준수하여야 할 의무를 위반한 경우의 손해배상 등 책임에 관한 사항

② 수탁자에 대한 교육 및 관리․감독 실시(수탁자 교육 및 실태점검)

※ 수탁자 교육은 계약 시 실시

③ 개인정보처리방침 내 개인정보처리 위탁 게시판을 통해 홈페이지 공개

④ 사업 종료 시 개인정보 반환 또는 파기여부 확인서 및 보안확약서 징구

□ 개인정보 위·수탁 예시

□ 홈페이지, 지문인식시스템 등 개인정보 접근이 가능한 유지보수 용역

□ 졸업앨범, 학생증, 공무원증, 교직원수첩 등의 외주제작

□ 여행사를 통한 단체여행 계약

□ 외부업체를 이용한 재학생 성적표 등의 우편발송, SMS발송 업무 등

벌칙규정

위반행위	벌칙
업무 위탁 시 같은 항 각 호의 내용이 포함된 문서에 의하지 아니한 자(법 제26조제1항 위반)	1천만원 이하의 과태료 (법 제75조제4항제4호)
위탁하는 업무의 내용과 수탁자를 공개하지 아니한 자(법 제26조제2항 위반)	1천만원 이하의 과태료 (법 제75조제4항제5호)
업무위탁(홍보 및 마케팅 업무)으로 인한 개인정보 제공 시 정보주체에게 알려야 할 사항을 알리지 아니한 자(법 제26조제3항 위반)	3천만원 이하의 과태료 (법 제75조제2항제1호)
위탁받은 해당 업무 범위를 초과하여 개인정보를 이용하거나 제3자에게 제공한 수탁자, 그 사정을 알면서도 영리 또는 부정한 목적으로 개인정보를 제공받은 자(법 제26조제5항 위반)	5년 이하의 징역 또는 5천만원 이하의 벌금 (법 제71조제2호)

관련자료

1. 개인정보 처리 위탁 단계별 수행 업무

2. 개인정보 처리 위탁계약서 예시

3. 개인정보 처리 수탁자 교육자료 예시

4. 수탁업체 개인정보 처리 실태점검표 예시

5. 개인정보 처리 위탁업무 자료 파기확인서 예시

6. 개인정보 처리 수탁자 교육 및 실태점검 기안문 예시 – 위탁자가 수행할 경우

7. 개인정보 처리 수탁자 교육 및 실태점검 기안문 예시 – 수탁자가 수행할 경우

8. 개인정보 처리 수탁자 교육 및 실태점검 결과 기안문 예시

1
		개인정보 처리 위탁 단계별 수행 업무

◉ 개인정보 처리 위탁 단계별 수행 업무 ◉

구분

절차 및 처리 내용

개인정보 처리 위·수탁 전

□ 위탁할 업무 범위 구분

□ 수탁자의 선정

□ 처리범위의 명확화

□ 위·수탁문서 작성: 표준 개인정보처리 위탁계약서 참조

↓

개인정보 처리 위·수탁 진행중

□ 개인정보 처리방침에 위탁에 관한 사항 공개(위탁업무 내용, 수탁자 정보)

□ 수탁자 교육: 체크리스트로 점검 가능

교육계획서, 교육결과보고서(증빙자료 포함)

• 교육 계획 수립

• 위탁자가 직접 교육 or 제3자 전문가가 교육 or 수탁자 스스로 교육(사전 협의 및 증빙 필요)

• 교육 결과 보고(증빙자료 첨부)

□ 수탁자 안전조치의무 준수 여부 등 점검

점검계획서, 점검결과보고서(증빙자료 포함)

• 수탁자 점검 계획 수립

• 자료제출 요구, 현장방문, 점검도구 배포 및 결과 취합 등: 체크리스트로 점검 가능

• 수탁자 점검 결과 보고(증빙자료 첨부)

↓

개인정보 처리 위·수탁 종료후

□ 수탁자에게 제공한 개인정보의 회수 또는 파기

파기계획서, 파기결과보고서(증빙자료 포함)

• 파기 계획 수립

• 현장에서 직접 파기 또는 수탁자가 스스로 파기하고 관련 증빙자료를 포함한 확인서 받음

• 내부 파기결과 보고서 작성

2
		개인정보 처리 위탁계약서 예시

기관(부서)의 사업 내용에 맞게 수정하여 사용하세요.

개인정보 처리업무 위탁계약서

○○○학교(이하 “위탁자”라 한다)와 (주)△△△(이하 “수탁자”라 한다)는 “위탁자”의 “0000년 졸업앨범 제작”으로 인해 발생하는 개인정보 처리업무를 “수탁자”에게 위탁함에 있어 다음과 같은 내용으로 본 업무 위탁계약을 체결한다.

제1조 (목적) 이 계약은 “위탁자”가 개인정보 처리업무를 “수탁자”에게 위탁하고, “수탁자”는 이를 승낙하여 “수탁자”의 책임 아래 성실하게 업무를 완성하도록 하는데 필요한 사항을 정함을 목적으로 한다.

제2조 (용어의 정의) 본 계약에서 별도로 정의되지 아니한 용어는「개인정보 보호법」, 같은 법 시행령,「개인정보의 안전성 확보조치 기준」(개인정보보호위원회 고시) 및「표준 개인정보 보호지침」(개인정보보호위원회 고시) 등에서 정의된 바에 따른다.

제3조 (위탁업무의 목적 및 범위) “수탁자”는 계약이 정하는 바에 따라 “0000년 졸업앨범 제작” 목적으로 다음과 같은 개인정보 처리업무를 수행한다.

1. 학생 및 교직원 졸업사진 촬영 및 인쇄 처리

2. 학생 및 교직원의 반, 번호, 성명 등의 신상정보 관리 및 인쇄 처리

제4조 (위탁업무 기간) 이 계약서에 의한 개인정보 처리업무의 기간은 다음과 같다.

계약 기간: 20  년  월  일∼20  년  월  일

제5조 (재위탁 제한) ① “수탁자”는 “위탁자”의 동의를 얻은 경우를 제외하고 위탁받은 개인정보 처리 업무를 제3자에게 재위탁할 수 없다.

② “수탁자”가 “위탁자”의 동의를 받아 개인정보 처리 업무의 전부 또는 일부를 제3자에게 다시 위탁하는 경우에는 “위탁자”에게 재위탁받는 자 및 재위탁 업무의 범위를 알려야 한다. 다만, “수탁자”가 사전에 재위탁의 범위와 재위탁자를 정하여 “위탁자”에게 알리고 동의를 받았을 때에는 그러하지 아니하다.
③ “수탁자”는 이 규정에 따른 재위탁을 문서로 하여야 한다.
④ “수탁자”는 재위탁받는 자의 명칭과 그 업무 범위를 개인정보 처리방침으로 공개하여야 한다.

제6조 (개인정보의 안전성 확보조치 등) “수탁자”는「개인정보 보호법」제29조, 같은법 시행령 제30조 및「개인정보의 안전성 확보조치 기준」(개인정보보호위원회 고시)에 따라 개인정보의 안전성 확보에 필요한 관리적․기술적 및 물리적 안전조치를 하여야 한다.

제7조 (개인정보의 처리제한) “수탁자”는 계약 기간 동안은 물론 계약 종료 후에도 위탁업무 수행 목적 범위를 넘어 개인정보를 이용하거나 이를 제3자에게 제공 또는 누설하여서는 안 된다.

제8조 (수탁자에 대한 관리·감독 등) ① “위탁자”는 “수탁자”에 대하여 개인정보의 처리 위탁과 관련하여 다음 각 호의 사항을 관리하도록 요구할 수 있으며, “수탁자”는 특별한 사유가 없는 한 이에 응해야 한다.

1. 개인정보의 처리 현황

2. 개인정보의 접근 또는 접속 현황(기록)

3. 개인정보 접근 또는 접속 대상자

4. 목적 외 이용․제공 및 재위탁 제한 사항 준수 여부

5. 암호화 등 안전성 확보조치 이행 여부

6. 그 밖에 개인정보의 보호를 위하여 필요한 사항

② “위탁자”는 “수탁자”에 대하여 제1항 각 호의 사항에 대한 현황을 점검하거나 “수탁자” 또는 제3자에 의한 현황 점검을 요구할 수 있고, 점검 사항에 대하여 시정을 요구할 수 있다. “수탁자”는 특별한 사유가 없는 한 “위탁자”의 요구를 이행해야 한다.

③ “수탁자”는 다음 각 호 중 어느 하나에 해당하는 경우에는 그러한 사정을 “위탁자”에게 알리고 위탁받은 개인정보의 처리 업무에 대한 점검 결과를 “수탁자”에게 ○개월의 단위로 정기적으로 보고하는 것으로 위 각 항에 따른 “위탁자”와 “수탁자”의 의무 이행에 갈음할 수 있다. “위탁자”에 대한 “수탁자”의 보고의 시기 등에 대하여는 “위탁자”와 “수탁자”가 협의하여 정할 수 있다.

1.「개인정보 보호법」제32조의2에 따른 개인정보 보호 인증(ISMS-P)을 취득하여 주기적으로 점검을 받고 있는 경우

2. 그 외 위 1호에 준하는 경우로서, “위탁자”와 “수탁자”가 합의하여「개인정보 보호법」제31조 제7항의 개인정보 보호책임자 협의회 등에 의한 점검 등을 주기적으로 받고 있는 경우

④ 제3항에 경우에도 “수탁자”는 “수탁자”의 처리위탁 업무와 관련하여「개인정보 보호법」위반 또는 본 계약 위반의 사항이 발생한 경우에는 즉시 이를 “위탁자”에게 통지하여야 하고, “위탁자”의 지시에 따라야 한다.

제9조 (수탁자에 대한 교육) ① “위탁자”는「개인정보 보호법」제26조 제4항에 따라 개인정보 처리 업무의 위탁으로 인하여 정보주체의 개인정보가 분실·도난·유출·변조 또는 훼손되지 아니하도록 “수탁자”를 교육할 수 있으며, “수탁자”는 이에 응하여야 한다. “수탁자”는 “위탁자”와 협의하여 “수탁자”의 책임하에 그의 개인정보 취급자 등에게 교육을 실시할 수 있다.
② 제1항에 따른 교육은 집합교육, 온라인 교육 등의 방식 등 교육 목적을 달성할 수 있는 범위 내에서 다양한 방식으로 진행될 수 있으며, 구체적인 방식에 대하여는 “위탁자”와 “수탁자”는 별도로 협의하여 정할 수 있다, 다만, “수탁자”가 자체적으로 또는 제3자인 전문업체를 통해 교육을 실시하는 경우 “수탁자”는 교육의 시행 여부 및 결과 등을 “위탁자”에게 증빙자료와 함께 보고하여야 하고, “위탁자”은 보고 내용을 주기적으로 점검할 수 있다.

③ 그 밖에 구체적으로 교육의 시기와 방법 등에 대해서는 “위탁자”와 “수탁자”가 협의하여 시행한다.

제10조 (정보주체 권리보장) “수탁자”는 정보주체의 개인정보 열람, 정정·삭제, 처리 정지 요청 등에 대응하기 위한 연락처 등 민원 창구를 마련해야 한다.

제11조 (개인정보의 파기) ① “수탁자”는 계약이 해지되거나 계약 기간이 만료된 경우 위탁업무와 관련하여 보유하고 있는 개인정보를「개인정보 보호법 시행령」제16조에 따라 즉시 파기하거나 “위탁자”에게 반환하여야 한다.
② 제1항에 따라 “수탁자”가 개인정보를 파기한 경우에는 지체없이 “위탁자”에게 그 결과를 통보해야 한다.

제12조 (손해배상) ① “수탁자”가 이 계약에 따른 의무를 위반하여 정보주체 또는 제3자에게 손해가 발생할 경우 “위탁자”와 “수탁자”는 정보주체 또는 제3자의 손해를 배상하기로 한다.

② 제1항과 관련하여 정보주체 또는 제3자의 손해를 배상한 당사자는 상대방에게 자신의 부담 비율을 초과하는 부분에 대하여 구상할 수 있다.

20  년  월  일

“위탁자” ○○광역시 ○○구 ○○로 ○○ ○○○학교장 홍길동 (직인)	“수탁자“ ○○광역시 ○○구 ○○로 ○○ (주)△△△ 김유신 (직인)

3
		개인정보 처리 수탁자 교육자료 예시

개인정보 처리 수탁자 교육 자료(예시)

관련 법규 준수

Ⅰ

1. 「개인정보 보호법」, 같은 법 시행령

2. 「개인정보의 안전성 확보조치 기준」(개인정보보호위원회 고시)

3. 「표준 개인정보 보호지침」(개인정보보호위원회 고시)

4. 「교육부 개인정보 보호지침」(교육부훈령)

○○사업에서 처리하는 개인정보

Ⅱ

1. ○○○

2. △△△

개인정보 처리 업무의 수탁 시 「위탁 계약서」 징구 및 준수

Ⅲ

1. 위탁업무 수행 목적 외 개인정보의 처리 금지

2. 개인정보의 기술적·관리적 보호조치 실시

3. 명시된 위탁업무의 목적 및 범위 준수

4. 재위탁 금지

5. 개인정보에 대한 접근 제한 등 안전성 확보 조치

6. 준수의무 위반 시 손해배상 등 책임 등

개인정보 안전성 확보를 위해 필요한 조치 수행

Ⅳ

1. 개인정보의 저장 시 암호화 수행

2. 개인정보의 전송 시 SSL 암호화 적용

□ 회원가입, 로그인, 개인정보(회원정보) 수정, 아이디/비밀번호 찾기 등

3. 회사 내 개인정보처리시스템의 접근권한 관리

□ 최소한의 범위로 접근 권한 차등 부여

□ 비밀번호를 일정 횟수 이상 잘못 입력한 경우 접근 제한 설정

□ 인사이동에 따른 직원 변경 시 접근권한 변경 및 말소(PC, 노트북, 접근 계정 등의 ID/비밀번호 변경 등)

□ 스스로의 환경에 맞는 인증수단(비밀번호, 생체인증, SMS 인증 등)을 적용·관리

□ 다른 직원과 계정, 비밀번호 등의 공유 금지

□ 안전한 비밀번호 설정을 위한 작성규칙 수립․적용

□ 관리자 페이지는 사용자 페이지와 구분(관리자 페이지가 노출되지않도록 외부 IP 차단, 로그인 페이지 별도 설정)

4. 회사 내 개인정보처리시스템의 접근통제 실시

□ 인가된 사용자만 접근할 수 있도록 통제 정책 적용(PC, 노트북, 접근계정 등의 ID/비밀번호 설정 등)

□ 인터넷 홈페이지, P2P, 공유, 공개무선망 등에 개인정보가 공개되지 않도록 조치

5. 악성프로그램 방지

□ 보안프로그램의 자동업데이트 기능 사용 또는 1회 이상 업데이트 실시

□ 악성프로그램 경보 발생 시 즉시 업데이트 실시

6. 개인정보가 포함된 서류, 보조저장매체 등은 잠금장치가 있는 안전한 장소에 보관하고, 정기적으로 점검 및 관리

7. 위탁업무와 관련한 산출물 및 제공받은 개인정보는 개인PC, 메일함, 공유사이트 등에 무단으로 보관 금지

8. 개인정보 취급자에 대한 개인정보 보호 보안서약서 작성

개인정보의 파기

Ⅴ

개인정보 보유기관 경과, 처리목적 달성 시 복구 또는 재생이 되지 않는 방법으로 지체 없이 파기

개인정보의 유출 통지

Ⅵ

수탁자에 의한 개인정보 유출 발생 시 즉시 위탁자에게 보고하고, 추가유출 및 피해방지를 위해 필요한 조치를 수행해야 함

개인정보의 보호 교육 실시

Ⅶ

수탁업체 자체 개인정보 보호 교육을 실시하여, 수탁업체 직원들이 개인정보 보호를 위한 준수사항 및 조치방법을 숙지하도록 안내

준수사항 위반 시 처벌 규정

Ⅷ

처벌 규정	위반행위
10년 이하의 징역 또는 1억원 이하의 벌금 (법 제70조)	공공기관의 개인정보 처리업무를 방해할 목적으로 공공기관에서 처리하고 있는 개인정보를 변경하거나 말소하여 공공기관의 업무 수행의 중단ㆍ마비 등 심각한 지장을 초래한 자
	거짓이나 그 밖의 부정한 수단이나 방법으로 다른 사람이 처리하고 있는 개인정보를 취득한 후 이를 영리 또는 부정한 목적으로 제3자에게 제공한 자와 이를 교사ㆍ알선한 자
5년 이하의 징역 또는 5천만원 이하의 벌금 (법 제71조)	정보주체의 동의를 받지 아니하고 개인정보를 제3자에게 제공한 자 및 그 사정을 알면서도 개인정보를 제공받은 자
	법령에서 정한 예외 사유 없이 수집 목적 외로 개인정보를 이용하거나 제3자에게 제공한 자 및 그 사정을 알면서도 영리 또는 부정한 목적으로 개인정보를 제공받은 자
	법정대리인의 동의를 받지 아니하고 만 14세 미만인 아동의 개인정보를 처리한 자
	법령에서 정한 사유 없이 정보주체의 동의를 받지 않고 민감정보를 처리한 자
	법령에서 정한 사유 없이 정보주체의 동의를 받지 않고 고유식별정보를 처리한 자
	보호위원회 또는 관계 중앙행정기관의 장으로부터 전문기관으로 지정받지 아니하고 가명정보를 결합한 자
	전문기관의 장의 승인을 받지 아니하고 결합을 수행한 기관 외부로 결합된 정보를 반출하거나 이를 제3자에게 제공한 자 및 그 사정을 알면서도 영리 또는 부정한 목적으로 결합된 정보를 제공받은 자
	특정 개인을 알아보기 위한 목적으로 가명정보를 처리한 자
	업무상 알게 된 개인정보를 누설하거나 권한 없이 다른 사람이 이용하도록 제공한 자 및 그 사정을 알면서도 영리 또는 부정한 목적으로 개인정보를 제공받은 자
	다른 사람의 개인정보를 이용, 훼손, 멸실, 변경, 위조 또는 유출한 자
3년 이하의 징역 또는 3천만원 이하의 벌금 (법 제72조)	고정형 영상정보처리기기의 설치 목적과 다른 목적으로 고정형 영상정보처리기기를 임의로 조작하거나 다른 곳을 비추는 자 또는 녹음 기능을 사용한 자
	거짓이나 그 밖의 부정한 수단이나 방법으로 개인정보를 취득하거나 개인정보 처리에 관한 동의를 받는 행위를 한 자 및 그 사정을 알면서도 영리 또는 부정한 목적으로 개인정보를 제공받은 자
	직무상 알게 된 비밀을 누설하거나 직무상 목적 외에 이용한 자
2년 이하의 징역 또는 2천만원 이하의 벌금 (법 제73조)	개인정보의 정정·삭제 요구가 받아들여졌음에도 정정ㆍ삭제 등 필요한 조치를 하지 아니하고 개인정보를 계속 이용하거나 이를 제3자에게 제공한 자
	정보주체의 개인정보 처리정지 요구가 받아들여졌음에도 개인정보의 처리를 정지하지 아니하고 개인정보를 계속 이용하거나 제3자에게 제공한 자
	법원의 비밀유지명령을 위반한 자. 비밀유지명령을 신청한 자의 고소가 없으면 공소를 제기할 수 없다.
	보호위원회의 자료제출 요구에 대하여 법 위반사항을 은폐 또는 축소할 목적으로 자료제출을 거부하거나 거짓의 자료를 제출한 자
	보호위원회의 출입ㆍ검사 시 자료의 은닉ㆍ폐기, 접근 거부 또는 위조ㆍ변조 등을 통하여 조사를 거부ㆍ방해 또는 기피한 자
5천만원 이하 과태료 (법 제70조제1항)	법령에서 정한 예외 시설이 아닌 불특정 다수가 이용하며 개인의 사생활을 현저히 침해할 우려가 있는 장소에 고정형 영상정보처리기기를 설치ㆍ운영한 자
	법령에서 정한 예외의 경우에 해당하지 않으면서 불특정 다수가 이용하며 개인의 사생활을 현저히 침해할 우려가 있는 장소에 이동형 영상정보처리기기로 사람 또는 그 사람과 관련된 사물의 영상을 촬영한 자
3천만원 이하 과태료 (법 제70조제2항)	정보주체가 필요한 최소한의 정보 외의 개인정보 수집에 동의하지 아니한다는 이유로 정보주체에게 재화 또는 서비스의 제공을 거부한 자
	정보주체 이외로부터 수집한 개인정보에 대해 정보주체의 요구가 있었으나 수집 출처, 처리 목적, 개인정보의 처리 정지를 요구하거나 동의를 철회할 권리가 있다는 사실을 알리지 않은 자
	개인정보의 이용ㆍ제공 내역이나 이용ㆍ제공 내역을 확인할 수 있는 정보시스템에 접속하는 방법을 통지하지 아니한 자
	보유기간의 경과, 개인정보의 처리 목적 달성, 가명정보의 처리 기간 경과 등 그 개인정보가 불필요하게 되었을 때 개인정보의 파기 등 필요한 조치를 하지 아니한 자
	민감정보 및 고유식별정보의 처리, 고정형 영상정보처리기기의 설치 및 운영, 가명정보의 처리 시 안전성 확보에 필요한 조치를 하지 아니한 자
	민감정보의 공개 가능성 및 비공개를 선택하는 방법을 알리지 아니한 자
	법령에서 정한 주민등록번호 처리 가능한 경우가 아님에도 불구하고 주민등록번호를 처리한 자
	주민등록번호의 암호화 조치를 하지 아니한 자
	정보주체가 인터넷 홈페이지를 통하여 회원으로 가입하는 단계에서 주민등록번호를 사용하지 아니할 수 있는 방법을 제공하지 아니한 자
	법령에서 정한 예외의 경우에 해당되지 않으면서 공개된 장소에 고정형 영상정보처리기기를 설치ㆍ운영한 자
	법령에서 정한 예외의 경우에 해당되지 않으면서 공개된 장소에서 사람 또는 그 사람과 관련된 사물의 영상을 촬영한 자
	위탁자가 재화 또는 서비스를 홍보하거나 판매를 권유하는 업무를 위탁하면서 위탁하는 업무의 내용과 수탁자를 정보주체에게 알리지 아니한 자
	가명정보를 처리하는 과정에서 특정 개인을 알아볼 수 있는 정보가 생성되었음에도 이용을 중지하지 아니하거나 이를 회수·파기하지 아니한 자
	개인정보를 국외로 이전하면서 보호조치를 하지 아니한 자
	개인정보 보호 인증을 받지 아니하였음에도 거짓으로 인증의 내용을 표시하거나 홍보한 자
	개인정보 영향평가의 대상이나 영향평가를 하지 아니하거나 그 결과를 보호위원회에 제출하지 아니한 자
	개인정보 유출 시 정보주체에게 법령에서 정하는 사항을 알리지 아니한 자
	개인정보 유출 시 보호위원회 또는 대통령령으로 정하는 전문기관에 신고하지 아니한 자
	정보주체의 개인정보의 열람 신청 시 정당한 사유가 없음에도 열람을 제한하거나 거절한 자
	개인정보관리 전문기관 지정을 받지 아니하고 개인정보 전송시스템의 구축 및 표준화 업무를 수행한 자
	개인정보관리 전문기관이면서 법령에서 금지하는 행위를 한 자
	정보주체의 정정·삭제 요구를 받았으나, 다른 법령에 특별한 절차가 규정되어 있지 않음에도 정정·삭제 등 필요한 조치를 하지 아니한 자
	정보주체의 요구에 따라 처리가 정지된 개인정보에 대하여 파기 등 필요한 조치를 하지 아니한 자
	정보주체가 자동화된 결정을 거부하거나 이에 대한 설명 등을 요구하였으나 정당한 사유 없이 정보주체의 요구에 따르지 아니한 자
	보호위원회에서 제출 요구를 하였으나, 관계 물품ㆍ서류 등 자료를 제출하지 아니하거나 거짓으로 제출한 자
	보호위원회에서 요청한 자료를 제출하지 아니하여 개인정보처리자 및 해당 법 위반사실과 관련한 관계인의 사무소나 사업장에 출입·검사를 시행 시, 거부·방해 또는 기피한 자
	보호위원회에의 시정조치 명령에 따르지 아니한 자
2천만원 이하 과태료 (법 제70조제3항)	위탁자의 동의를 받지 아니하고 제3자에게 다시 위탁한 자
	국내대리인을 지정하여야 함에도 지정하지 아니한 자
	국내에 주소 또는 영업소가 없는 국내대리인을 지정하거나, 개인정보처리자가 설립하거나 지배적인 영향력을 행사하는 국내 법인으로서 대통령령으로 정하는 법인이 있음에도 타 국내대리인을 지정한 자
	국내대리인을 관리ㆍ감독하지 아니한 자
1천만원 이하 과태료 (법 제70조제4항)	정당한 사유 없이 개인정보 보호수준 평가에 필요한 자료를 제출하지 아니하거나 거짓으로 제출한 자
	파기하지 않고 보존하여야 하는 개인정보를 분리하여 저장ㆍ관리하지 아니한 자
	법령에서 정하지 아니한 방법으로 개인정보의 처리 동의를 받은 자
	업무 위탁 시 볍령에서 정하는 내용이 포함된 문서로 하지 아니한 자
	위탁하는 업무의 내용과 수탁자를 공개하지 아니한 자
	정보주체에게 개인정보의 이전 사실을 알리지 아니한 자
	가명정보의 처리와 관련한 기록을 작성하여 보관하지 않은 자
	개인정보 처리방침을 정하지 아니하거나 이를 공개하지 아니한 자
	개인정보 보호책임자를 지정하지 아니한 자
	국내대리인을 지정하였으나, 국내대리인의 성명ㆍ주소ㆍ전화번호 및 전자우편 주소를 개인정보 처리방침에 포함하지 아니한 자
	개인정보의 열람, 정정·삭제, 처리정지 조치 시 정보주체에게 알려야 할 사항을 알리지 아니한 자
	분쟁조정위원회에서 요청한 자료를 정당한 사유 없이 제출하지 아니하거나 거짓으로 제출한 자
	분쟁조정위원회에서 사실 확인을 위해 필요한 관련 장소에 대한 출입ㆍ조사ㆍ열람을 정당한 사유 없이 거부ㆍ방해 또는 기피한 자

개인정보 처리 시 유의사항

Ⅸ

1. 계약 기간 및 계약 종료 후에도 위탁업무 수행 목적 범위를 초과하여 개인정보를 이용하거나 제3자에게 제공 또는 누설 금지

2. 수탁자 및 수탁자의 임직원이 위탁받은 업무의 개인정보를 처리하는 과정에서 계약에 따른 의무를 위반하거나 개인정보 보호법을 위반하여 손해가 발생한 경우 손해배상

별첨

•  홈페이지 보안 조치  •

1. 개인정보 수집 최소화를 위한 방안 마련

□ 수집목적에 필요한 최소한의 개인정보를 수집

□ 개인정보 수집 동의는 이용자가 개인정보를 입력하기 전 단계에 동의 사항을 공지하고, 동의 여부를 선택할 수 있도록 해야 함

□ 개인정보 수집 시 정보주체의 동의 획득(4개 항목)

	1) 개인정보의 수집·이용 목적 2) 개인정보의 항목 3) 개인정보의 보유 및 이용기간 4) 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용

□ 개인정보 수집 동의 획득 시 유의사항

	∙ 이용자의 직접 동의: 이용자가 동의여부를 능동적으로 결정할 수 있도록 하기 위해 미리 동의에 선택이 되어 있지 않도록 하여야 한다. ∙ 14세 미만 아동 개인정보 수집: 반드시 법정대리인의 동의를 받아야 하며, 이 경우 법정대리인의 동의를 받기 위하여 필요한 최소한의 정보는 법정대리인의 동의 없이 해당 아동으로부터 직접 수집할 수 있다. ∙ 별도 동의를 받아야 하는 항목: 기본 제공 서비스와 무관한 서비스 제공을 위해 수집이 필요한 ▲민감정보, ▲선택 동의 항목, ▲취급위탁, ▲제3자 제공 ∙ 순차적인 동의 요구 : (예시) ① [필수] 필수동의 항목에 대한 수집·이용 동의 → ② [선택] 선택동의 항목에 대한 수집·이용 동의 → ③ [선택] 취급위탁 동의 → ④ [선택] 제3자 제공 동의 ∙ 일괄동의 기능: 이용자가 동의 내용을 확인한 후 개별 동의가 가능하고, 동의 여부는 강제가 아닌 선택 사항이라는 점을 명시적으로 알려야 한다. 일괄동의 기능의 항목에 선택 동의 사항이 있는 경우 이 사실을 알린 후 동의를 받아야 한다.

□ 개인정보 처리방침을 동의받는 형식은 허용되지 않으므로 주의!

2. 개인정보 파기 방안 마련

□ 회원가입을 통해 정보주체의 개인정보를 수집할 때에는 회원가입 시 회원탈퇴 방법을 정보주체가 알기 쉽도록 알려야 함

□ 개인정보를 수집할 당시 정한 보유기간 경과, 처리 목적 달성 시 지체 없이 파기

- (회원탈퇴 시)

∙ 회원이 탈퇴를 완료한 후, 자동으로 탈퇴한 회원정보가 DB에서 삭제될 수 있도록 함

∙ 법령에 따라 회원탈퇴 후에도 보관이 필요한 경우 별도의 DB에 저장될 수 있도록 구성

- (보유기간 경과 시)

∙ 회원가입 시 개인정보 보유 기간을 DB에 함께 저장하여 보유기간이 경과한 개인정보는 자동 삭제되도록 함

□ 2년을 주기로 정보주체의 재동의 절차를 거쳐 동의한 경우에만 계속적으로 보유

□ 개인정보 파기에 관한 사항을 기록‧관리

3. 개인정보 저장 및 전송 시 암호화 적용

□ 사용자의 비밀번호는 복호화되지 아니하도록 일방향 암호화하여 저장

□ 개인정보 전송 시 암호화(SSL) 적용

- 회원가입, 로그인, 개인정보(회원정보) 수정, 아이디/비밀번호 찾기 등

4. 접속기록, 권한변경에 대한 로깅 및 저장관리

□ 접속기록, 권한변경에 대한 로깅 및 저장 관리

- 접속기록 1년 이상 기록·관리

(특히, 회원제 홈페이지 관리자 페이지에 대한 접속 기록 보존)

- 필수항목: 개인정보취급자 식별정보(ID), 접속일시, 접속지 정보(IP), 처리한 정보주체의 정보, 수행업무(열람, 수정, 삭제, 인쇄, 입력 등)

접속기록 항목(예시)
개인정보취급자 식별정보	정보주체 식별정보	접속일시	접속지	수행업무
홍길동 (K00050)	성춘향 (schabc)	20XX. 5. 1 15:00:00	192.168.11.1	삭제

□ 개인정보취급자(홈페이지관리자) 접근권한 부여, 변경·말소 기록은 최소 3년간 보관

5. 접속 자동 차단 조치

□ 일정시간 이상 업무를 하지 않을 경우 자동으로 개인정보처리시스템 접속이 차단되도록 설정

- 다시 접속하고자 할 때에도 최초의 로그인과 동일한 방법으로 접속

[예시] 자동 로그아웃 안내 팝업 후 로그인 화면으로 이동

4
		수탁업체 개인정보 처리 실태점검표 예시

수탁업체 개인정보처리 실태점검표

□ 위탁사업명:

□ 위탁기간:

□ 수탁업체명:

□ 점검내용

구분	점검내용	점검 결과	향후 조치 계획
표준 개인정보 처리 위탁계약 내용의 준수여부	표준 개인정보처리 위탁계약서에 포함된 다음 사항을 준수하고 있는가? □ 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항 □ 개인정보의 기술적·관리적 보호조치에 관한 사항 □ 위탁업무의 목적 및 범위 □ 재위탁 제한에 관한 사항 □ 개인정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항 □ 준수의무 위반 시 손해배상 등 책임에 관한 사항	이상 없음
교육실시	직원에 대한 수탁업체 자체 개인정보보호 교육을 실시하였는가?	4. 6. 실시
	개인정보 보호 교육 시 교육내용이 적절한가? (외주 용역사업 보안특약 조항 및 개인정보 보호 관련 등)	미흡	내용 수정 후 재 실시
개인정보 보호를 위한 안전성 확보	개인정보취급자에 대한 개인정보보호 서약서를 작성하고 있는가?	이상 없음
	개인정보에 대한 접근통제 및 접근권한의 제한을 하고 있는가?	이상 없음
	보유하고 있는 개인정보에 대한 암호화를 적용하고 있는가?	이상 없음
	바이러스 및 악성 프로그램 감염 예방을 위한 백신 소프트웨어 등 보안프로그램 설치 및 최신버전 업데이트를 실시하고 있는가?	이상 없음
	개인정보처리시스템은 비밀번호 설정 및 작성 규칙 수립하고 있는가?	이상 없음
	위탁 개인정보가 포함된 서류, 보조저장매체 등을 잠금장치가 있는 안전한 장소에 보관하고 있는가?	이상 없음
개인정보 유출통보	수탁자에 의한 개인정보 유출 시 위탁자에 통지하는 절차를 수립하고 있는가?	이상 없음

년      월      일

□ 점검자 :            (인)         □ 확인자(수탁자) :           (인)

5
		개인정보 처리 위탁업무 자료 파기확인서 예시

개인정보처리 위탁업무 자료 파기확인서

파기대상 개인정보
개인정보의 정보주체 수
파기 사유
생성 일자		파기일자
파기 장소		(업체)파기 처리자
		(업체)입회자
파기 방법
백업 조치 유무
특이사항

상기와 같이 개인정보가 안전하게 파기되었음을 확인하였으며, 이 사실과 다르게 개인정보 미파기로 인한 사고 발생 시 관련 법에 의해 책임 있음을 인정합니다.

20   년      월       일

업체명 :

확 인 자       직  위 :

(업체대표)       성  명 :                  (서명)

○○○ 기관 귀하

6
		개인정보 처리 수탁자 교육 및 실태점검 기안문 예시 – 위탁자가 수행할 경우

청렴합니다. 우리는 부산교육人입니다.
		○○○학교
수신자	○○○○(수탁업체)
(경유)
제목	개인정보 처리 수탁자 교육 및 실태점검 실시 안내

1. 근거

가.「개인정보보호법」제26조(업무위탁에 따른 개인정보의 처리 제한)

나.「개인정보보호법 시행령」제28조(개인정보의 처리 업무 위탁 시 조치)

2. 개인정보 처리업무 위탁에 따른 수탁자 교육 및 개인정보 처리 실태점검을 다음과 같이 실시하고자 하오니 협조하여 주시기 바랍니다.

가. 수탁자 교육일시 및 장소: 20○○.○○.○○ 00:00 ~ 00:00, △△△(2층)

나. 수탁업체 실태점검 실시

1) 대상업체: ○○○○(수탁업체)

2) 방문일시: 20○○.○○.○○

3) 점검자: 담당자 홍길동

붙임  1. 수탁자 교육자료 1부.

2. 수탁업체 개인정보 처리 실태점검표 1부.  끝.

★																											교장
협조자
시행			○○학교-0000										(	0000. 00. 00.			)		접수											(			)
우	00000					부산광역시 ○○○																		/	http://www.
전화		051-0000							/전송		051-000-0000					/		○○○@○○○										/	공개

7
		개인정보 처리 수탁자 교육 및 실태점검 기안문 예시 – 수탁자가 수행할 경우

청렴합니다. 우리는 부산교육人입니다.
		○○○학교
수신자	○○○○(수탁업체)
(경유)
제목	개인정보 처리 수탁자 교육 및 관리실태 점검 결과 제출 협조

1. 근거

가.「개인정보보호법」제26조(업무위탁에 따른 개인정보의 처리 제한)

나.「개인정보보호법 시행령」제28조(개인정보의 처리 업무 위탁 시 조치)

2. 개인정보 처리업무 위탁에 따른 개인정보 수탁자 교육결과 및 개인정보 관리실태   점검결과를 다음과 같이 제출하여 주시기 바랍니다.

가. 제출기간: 20○○.○○.○○

나. 제출자료

1) 개인정보 교육 실적 증빙자료(집합교육 결과, 사이버교육 이수증 등)

※ [붙임1] 수탁자 교육자료 참고

2) 개인정보 처리 실태점검표: [붙임2]

붙임  1. 수탁자 교육자료 1부.

2. 수탁업체 개인정보 처리 실태점검표 1부.  끝.

★																											교장
협조자
시행			○○학교-0000										(	0000. 00. 00.			)		접수											(			)
우	00000					부산광역시 ○○○																		/	http://www.
전화		051-0000							/전송		051-000-0000					/		○○○@○○○										/	공개

8
		개인정보 처리 수탁자 교육 및 실태점검 결과 기안문 예시

청렴합니다. 우리는 부산교육人입니다.
		○○○학교
수신자	내부결재
(경유)
제목	개인정보 처리 수탁자 교육 및 실태점검 결과 보고

1. 근거

가.「개인정보보호법」제26조(업무위탁에 따른 개인정보의 처리 제한)

나.「개인정보보호법 시행령」제28조(개인정보의 처리 업무 위탁 시 조치)

다.「개인정보 처리 수탁자 교육 및 점검 실시 안내」(△△△△-000, 20○○.○○.○○)

또는

「개인정보 처리 수탁자 교육 및 관리실태 점검 결과 제출 협조」(△△△△-000, 20○○.○○.○○)

2. 개인정보 처리 수탁자 교육결과 및 개인정보 처리실태 점검 결과를 다음과 같이 보고합니다.

붙임  1. 수탁자 교육결과 1부.

2. 수탁업체 개인정보 처리 실태점검표 1부.  끝.

★																											교장
협조자
시행			○○학교-0000										(	0000. 00. 00.			)		접수											(			)
우	00000					부산광역시 ○○○																		/	http://www.
전화		051-0000							/전송		051-000-0000					/		○○○@○○○										/	비공개(6)