11

개인정보 처리 업무 위탁 시 관리·감독

(작성 기준일 2023. 2.)

근거

‣ 「개인정보 보호법」 제26조(업무위탁에 따른 개인정보의 처리 제한)

‣ 「개인정보 보호법 시행령」 제28조(개인정보의 처리 업무 위탁 시 조치)

‣ 「교육부 개인정보 보호지침」 제18조 ~ 제20조

세부

추진내용

□ 개념

개인정보처리자(위탁자)가 개인정보 수집‧이용 등의 처리 자체를 제3자(수탁자)에게 위탁하거나, 개인정보의 이용‧제공 등 처리가 수반되는 업무를 수탁자에게 위탁하는 것을 의미

□ 개인정보 위탁 관리 시 안전성 확보 조치

① 위탁계약서 작성(반드시 문서에 의하여야 함) 및 위탁계약서에 필수 사항 반영

<개인정보 처리 위·수탁 문서에 포함해야하는 내용>

1. 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항

2. 개인정보의 기술적·관리적 보호조치에 관한 사항

3. 위탁업무의 목적 및 범위

4. 재위탁 제한에 관한 사항

5. 개인정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항

6. 위탁업무와 관련하여 보유하고 있는 개인정보의 관리 현황 점검 등 감독에 관한 사항

7. 수탁자가 준수하여야 할 의무를 위반한 경우의 손해배상 등 책임에 관한 사항

② 수탁자에 대한 교육 및 관리․감독 실시(수탁자 교육 및 실태점검)

※ 수탁자 교육은 계약 시 실시

③ 개인정보처리방침 내 개인정보처리 위탁 게시판을 통해 홈페이지 공개

④ 사업 종료 시 개인정보 반환 또는 파기여부 확인서 및 보안확약서 징구

□ 개인정보 위·수탁 예시

□ 홈페이지, 지문인식시스템 등 개인정보 접근이 가능한 유지보수 용역

□ 졸업앨범, 학생증, 공무원증, 교직원수첩 등의 외주제작

□ 여행사를 통한 단체여행 계약

□ 외부업체를 이용한 재학생 성적표 등의 우편발송, SMS발송 업무 등

벌칙규정

위반행위	벌칙
업무 위탁 시 같은 항 각 호의 내용이 포함된 문서에 의하지 아니한 자(법 제26조제1항 위반)	1천만원 이하의 과태료 (법 제75조제4항제4호)
위탁하는 업무의 내용과 수탁자를 공개하지 아니한 자(법 제26조제2항 위반)	1천만원 이하의 과태료 (법 제75조제4항제5호)
업무위탁(홍보 및 마케팅 업무)으로 인한 개인정보 제공 시 정보주체에게 알려야 할 사항을 알리지 아니한 자(법 제26조제3항 위반)	3천만원 이하의 과태료 (법 제75조제2항제1호)
위탁받은 해당 업무 범위를 초과하여 개인정보를 이용하거나 제3자에게 제공한 수탁자, 그 사정을 알면서도 영리 또는 부정한 목적으로 개인정보를 제공받은 자(법 제26조제5항 위반)	5년 이하의 징역 또는 5천만원 이하의 벌금 (법 제71조제2호)

관련자료

1. 개인정보 처리 위탁 단계별 수행 업무

2. 개인정보 처리 위탁계약서 예시

3. 개인정보 처리 수탁자 교육자료 예시

4. 수탁업체 개인정보 처리 실태점검표 예시

5. 개인정보 처리 위탁업무 자료 파기확인서 예시

6. 개인정보 처리 수탁자 교육 및 실태점검 기안문 예시 – 위탁자가 수행할 경우

7. 개인정보 처리 수탁자 교육 및 실태점검 기안문 예시 – 수탁자가 수행할 경우

8. 개인정보 처리 수탁자 교육 및 실태점검 결과 기안문 예시

1
		개인정보 처리 위탁 단계별 수행 업무

◉ 개인정보 처리 위탁 단계별 수행 업무 ◉

구분

절차 및 처리 내용

개인정보 처리 위·수탁 전

□ 위탁할 업무 범위 구분

□ 수탁자의 선정

□ 처리범위의 명확화

□ 위·수탁문서 작성: 표준 개인정보처리 위탁계약서 참조

↓

개인정보 처리 위·수탁 진행중

□ 개인정보 처리방침에 위탁에 관한 사항 공개(위탁업무 내용, 수탁자 정보)

□ 수탁자 교육: 체크리스트로 점검 가능

교육계획서, 교육결과보고서(증빙자료 포함)

• 교육 계획 수립

• 위탁자가 직접 교육 or 제3자 전문가가 교육 or 수탁자 스스로 교육(사전 협의 및 증빙 필요)

• 교육 결과 보고(증빙자료 첨부)

□ 수탁자 안전조치의무 준수 여부 등 점검

점검계획서, 점검결과보고서(증빙자료 포함)

• 수탁자 점검 계획 수립

• 자료제출 요구, 현장방문, 점검도구 배포 및 결과 취합 등: 체크리스트로 점검 가능

• 수탁자 점검 결과 보고(증빙자료 첨부)

↓

개인정보 처리 위·수탁 종료후

□ 수탁자에게 제공한 개인정보의 회수 또는 파기

파기계획서, 파기결과보고서(증빙자료 포함)

• 파기 계획 수립

• 현장에서 직접 파기 또는 수탁자가 스스로 파기하고 관련 증빙자료를 포함한 확인서 받음

• 내부 파기결과 보고서 작성

2
		개인정보 처리 위탁계약서 예시

파란색부분을 기관(부서)의 실정에 맞게 수정하여 사용하세요

개인정보처리 위탁계약서

OOOO(이하 “위탁자”이라 한다)와 (주)△△△(이하 “수탁자”이라 한다)는 “위탁자”의 (20○○년 ○○ 홈페이지 유지보수 용역 수행)으로 인해 발생하는 개인정보 처리업무를 “수탁자”에게 위탁함에 있어 다음과 같은 내용으로 본 업무위탁계약을 체결한다.

제1조 (목적) 이 계약은 “위탁자”가 개인정보처리업무를 “수탁자”에게 위탁하고, “수탁자”는 이를 승낙하여 “수탁자”의 책임아래 성실하게 업무를 완성하도록 하는데 필요한 사항을 정함을 목적으로 한다.

제2조 (용어의 정의) 본 계약에서 별도로 정의되지 아니한 용어는 「개인정보 보호법」, 같은법 시행령 및 고시, 「개인정보의 안전성 확보조치 기준」(개인정보보호위원회 고시) 및 「표준 개인정보 보호지침」(개인정보보호위원회 고시)에서 정의된 바에 따른다.

제3조 (위탁업무의 목적 및 범위) “수탁자”는 계약이 정하는 바에 따라 (○○ 홈페이지 유지보수) 목적으로 다음과 같은 개인정보 처리업무를 수행한다.

1. 홈페이지 최적화를 위한 DB접근

2. 홈페이지 백업 및 복구를 위한 DB접근

제4조 (위탁업무 기간) 이 계약서에 의한 개인정보 처리업무의 기간은 다음과 같다.

계약 기간 : 20oo년 o월 o일 ~ 20oo년 o월 o일

제5조 (재위탁 제한) ① “수탁자”는 “위탁자”의 사전 승낙을 얻은 경우를 제외하고 “위탁자”와의 계약상의 권리와 의무의 전부 또는 일부를 제3자에게 양도하거나 재위탁할 수 없다.

② “수탁자”가 다른 제3의 회사와 수탁계약을 할 경우에는 “수탁자”는 해당 사실을 계약 체결 7일 이전에  “위탁자”에게 통보하고 협의하여야 한다.

제6조 (개인정보의 안전성 확보조치) “수탁자”는 「개인정보 보호법」제23조제2항 및 제24조제3항 및 제29조, 같은법 시행령 제21조 및 제30조, 「개인정보의 안전성 확보조치 기준」(개인정보보호위원회 고시)에 따라 개인정보의 안전성 확보에 필요한 관리적․기술적 조치를 취하여야 한다.

제7조 (개인정보의 처리제한) ① “수탁자”는 계약기간은 물론 계약 종료 후에도 위탁업무 수행 목적 범위를 넘어 개인정보를 이용하거나 이를 제3자에게 제공 또는 누설하여서는 안 된다.

② “수탁자”는 계약이 해지되거나 또는 계약기간이 만료된 경우 위탁업무와 관련하여 보유하고 있는 개인정보를 「개인정보 보호법 시행령」제16조 및 「개인정보의 안전성 확보조치 기준」(개인정보보호위원회 고시)에 따라 즉시 파기하거나 “위탁자”에게 반납하여야 한다.

③ 제2항에 따라 “수탁자”는 개인정보를 파기한 경우 지체없이 “위탁자”에게 그 결과를 통보하여야 한다.

제8조 (수탁자에 대한 관리·감독 등) ① “위탁자”는 “수탁자”에 대하여 다음 각 호의 사항을 관리하도록 요구할 수 있으며, “수탁자”는 특별한 사유가 없는 한 이에 응하여야 한다.

1. 개인정보의 처리 현황

2. 개인정보의 접근 또는 접속 현황

3. 개인정보 접근 또는 접속 대상자

4. 목적외 이용‧제공 및 재위탁 금지 준수 여부

5. 암호화 등 안전성 확보조치 이행 여부

6. 그 밖에 개인정보의 보호를 위하여 필요한 사항

② “위탁자”는 “수탁자”에 대하여 제1항 각 호의 사항에 대한 실태를 점검하여 시정을 요구할 수 있으며, “수탁자”는 특별한 사유가 없는 한 이행하여야 한다.

③ “위탁자”는 처리위탁으로 인하여 정보주체의 개인정보가 분실·도난·유출·변조 또는 훼손되지 아니하도록 1년에 (  )회 “수탁자”를 교육할 수 있으며, “수탁자”는 이에 응하여야 한다.

④ 제1항에 따른 교육의 시기와 방법 등에 대해서는 “위탁자”는 “수탁자”와 협의하여 시행한다.

제9조 (정보주체 권리보장) “수탁자”는 정보주체의 개인정보 열람, 정정·삭제, 처리정지 요청 등에 대응하기 위한 연락처 등 민원 창구를 마련해야 한다.

제10조 (개인정보의 파기) “수탁자”는 제4조의 위탁업무기간이 종료되면 특별한 사유가 없는 한 지체 없이 개인정보를 파기하고 이를 “위탁자”에게 확인받아야 한다.

제11조 (손해배상) ① “수탁자” 또는 “수탁자”의 임직원 기타 “수탁자”의 수탁자가 이 계약에 의하여 위탁 또는 재위탁받은 업무를 수행함에 있어 이 계약에 따른 의무를 위반하거나 “수탁자” 또는 “수탁자”의 임직원 기타 “수탁자”의 수탁자의 귀책사유로 인하여 이 계약이 해지되어 “위탁자” 또는 개인정보주체 기타 제3자에게 손해가 발생한 경우 “수탁자”는 그 손해를 배상하여야 한다.

② 제1항과 관련하여 개인정보주체 기타 제3자에게 발생한 손해에 대하여 “위탁자”이 전부 또는 일부를 배상한 때에는 “위탁자”는 이를 “수탁자”에게 구상할 수 있다.

본 계약의 내용을 증명하기 위하여 계약서 2부를 작성하고, “위탁자”와 “수탁자”가 서명 또는 날인한 후 각 1부씩 보관한다.

20○○년     월     일(유지보수 계약일 입력)

“위탁자” ○○시 ○○구 ○○동 ○○번지 ○○○○학교장 (직인)	“수탁자” ○○시 ○○구 ○○동 ○○번지 (주)○○○ 김유신 (직인)

3
		개인정보 처리 수탁자 교육자료 예시

개인정보처리 수탁자 교육 자료

관련 법규 준수

Ⅰ

□ 「개인정보 보호법」, 같은 법 시행령

□ 「개인정보의 안전성 확보조치 기준」(개인정보보호위원회 고시)

□ 「표준 개인정보 보호지침」(개인정보보호위원회 고시)

□ 「교육부 개인정보 보호지침」(교육부훈령)

개인정보 처리 업무의 수탁 시  「위탁계약서」 내용

Ⅱ

□ 위탁업무 수행목적 외 개인정보의 처리 금지

□ 개인정보의 기술적·관리적 보호조치 실시

□ 위탁업무의 목적 및 범위 명시

□ 재위탁 금지

□ 개인정보에 대한 접근 제한 등 안전성 확보조치

□ 준수의무 위반 시 손해배상 등 책임

개인정보 안전성 확보를 위해 필요한 조치 수행

Ⅲ

1. 개인정보의 전송·저장 시 암호화 수행

구분	대상			방법
정보통신망, 보조저장매체를 통한 송신 시	비밀번호, 생채인식정보, 고유식별정보			암호화 송신
개인정보처리시스템에 저장 시	비밀번호			일방향 암호화 저장
	생채인식정보			암호화 저장
	고유 식별 정보	주민등록번호		암호화 저장
		여권번호, 외국인등록번호, 운전면허번호	인터넷, DMZ 구간	암호화 저장
			내부망	영향평가, 위험도 분석 결과에 따른 암호화
업무용 컴퓨터, 모바일 기기에 저장 시	비밀번호, 생채인식정보, 고유식별정보			암호화 저장

2. 접근권한 관리

□ 직원 변경 시 접근권한 제한(PC, 노트북, 접근 계정 등의 ID/비밀번호 변경 등)

□ 다른 직원과 계정, 비밀번호 등의 공유 금지

□ 안전한 비밀번호 설정을 위한 작성규칙 수립․적용

3. 접근통제 실시

□ 인가된 사용자만 개인정보처리시스템에 접근할 수 있도록 통제 정책 적용(PC, 노트북, 접근계정 등의 ID/비밀번호 설정 등)

□ 인터넷 홈페이지, P2P, 공유, 공개무선망 등에 개인정보가 공개되지 않도록 조치

□ 일정시간 이상 업무처리를 하지 않을 경우에는 자동으로 개인정보처리시스템 접속이 차단되도록 설정

- 세션타임(session time) 설정을 하였더라도, 실제 접속 자동 차단되는지 반드시 확인

- 자동 로그아웃 후 다시 접속하고자 할 때는 최초의 로그인과 동일한 방법으로 접속하여야 함

4. 악성프로그램 방지

□ 보안프로그램의 자동업데이트 기능 사용 또는 1회이상 업데이트 실시

□ 악성프로그램 경보발생 시 즉시 업데이트 실시

5. 개인정보가 포함된 서류, 보조저장매체 등은 잠금장치가 있는 안전한 장소에 보관

6. 개인정보 취급자에 대한 개인정보 보호 서약서 작성

개인정보의 파기

Ⅳ

□ 개인정보 보유기관 경과, 처리목적 달성 시 복구 또는 재생이 되지 않는 방법으로 지체 없이(5일 이내) 파기

개인정보의 유출 통지

Ⅴ

□ 수탁자에 의한 개인정보 유출 발생 시 즉시 위탁자에게 보고하고, 추가유출 및 피해방지를 위해 필요한 조치를 수행해야 함

개인정보의 보호 교육 실시

Ⅵ

□ 수탁업체 자체 개인정보 보호 교육을 실시하여, 수탁업체 직원들의 개인정보 보호를 위한 준수사항 안내 및 조치방법 숙지

준수사항 위반 시 처벌 규정

Ⅶ

구분	주요내용	처벌 및 벌칙
수 집 ㆍ 이 용	개인정보의 목적 외 이용 위반(제18조, 제19조, 제26조)	5년 이하 징역 또는 5천만원 이하 벌금
	민감정보(사상, 신념, 노동조합·정당 가입여부, 정치적 견해, 건강, 성생활 등) 처리기준 위반(제23조)
	고유식별정보(주민등록번호, 여권번호, 면허번호, 외국인등록번호) 처리기준 위반(제24조)
	가명정보의 처리 기준을 위반하여 이용(제28조의2)
	가명정보의 결합 기준 위반하여 처리(제28조의3)
	거짓이나 그 밖의 부당한 수단이나 방법으로 개인정보를 취득하거나 처리에 관한 동의를 받는 행위를 한 자(제59조)	3년 이하 징역 또는 3천만원 이하 벌금
	개인정보의 수집기준 위반(제15조)	5천만원 이하 과태료
	만14세 미만 아동의 개인정보 수집시 법정대리인 동의획득여부 위반(제22조)
	탈의실·화장실·목욕실 등 영상정보처리기기 설치 금지 위반(제25조)
	개인정보 동의 시 고지사항 위반(제15조, 제17조, 제18조)	3천만원 이하 과태료
	필요한 최소한의 개인정보 외 정보의 미동의 또는 선택적 정보의 미동의를 이유로 재화 또는 서비스 제공을 거부한 자(제16조, 제22조)
	정보주체 이외로부터 수집한 개인정보를 미 고지한 자(제20조)
	주민등록번호 처리 금지(법령주의/이익명백한 경우 제외) 위반(제24조의2)
	주민등록번호를 제공하지 아니할 수 있는 방법 미제공(제24조의2)
	동의 획득 방법을 위반하여 동의받은 자(제22조)	1천만원 이하 과태료
제 공 ㆍ 위 탁	정보주체의 동의 없이 제3자 제공한 자 및 그 사정을 알면서도 제3자에게 제공 받은 자(제17조)	5년 이하 징역 또는 5천만원 이하 벌금
	개인정보처리자/제공받은 자/수탁자의 목적 외 제공 위반 및 그 사정을 알면서도 개인정보를 제공받은 자(제18조, 제19조, 제26조)
	가명정보의 처리 기준을 위반하여 제3자 제공 및 그 사정을 알면서도 제공받은 자(제28조의2)
	가명정보 결합 제한 기준을 위반하여 제3자 제공한 자 및 그 사정을 알면서도 가명정보를 제공받은 자(제28조의3)
	업무상 알게 된 개인정보를 권한 없이 다른 사람이 이용하도록 제공한 자 및 그 사정을 알면서도 제공 받은 자(제59조)
	거짓이나 그 밖의 부당한 수단이나 방법으로 취득하거나 처리한 개인정보를 알면서도 부정한 목적으로 제공 받은 자(제59조)	3년 이하 징역 또는 3천만원 이하 벌금
	업무위탁(홍보 및 마케팅 업무)으로 인한 개인정보 제공 시 정보주체에게 알려야 할 사항을 알리지 아니한 자(제26조)	3천만원 이하 과태료
	업무위탁 시 포함되어야할 내용이 문서에 의하지 아니한 자(제26조)	1천만원 이하 과태료
	업무위탁 시 공개의무 위반(제26조)
개인정보안전관리	가명정보 재식별 금지를 위반하여 특정 개인을 알아보기 위한 목적으로 처리한 자(제28조의5)	5년 이하 징역 또는 5천만원 이하 벌금
	업무상 알게 된 개인정보를 누설(제59조)
	개인정보의 훼손, 멸실, 변경, 위조, 유출(제59조)
	영상정보처리기기 설치목적과 다른 목적으로 임의 조작하거나 다른곳을 비추는 자 또는 녹음기능을 사용한 자(제25조)	3년 이하 징역 또는 3천만원 이하 벌금
	안전성 확보에 필요한 조치를 하지 아니하여 개인정보를 분실·도난·유출·위조·변조 또는 훼손당한 자(제23조, 제24조, 제25조, 제28조4, 제29조)	2년 이하 징역 또는 2천만원 이하 벌금
	주민등록번호에 대한 암호화 조치 위반(제24조의2)	3천만원 이하 과태료
	민감정보, 고유식별정보, 가명정보, 영상정보처리기기에 대한 안전성 확보에 필요한 조치의무 불이행(제23조, 제24조, 제25조, 제28조4, 제29조)
	영상정보처리기기 설치ㆍ운영기준 위반(제25조)
	개인을 알아볼 수 있는 정보가 생성되었음에도 이용을 중지하지 아니하거나 이를 회수‧파기하지 아니한 자(제28조의5)
	개인정보를 분리해서 저장ㆍ관리하지 아니한 자(제21조)	1천만원 이하 과태료
	영상정보처리기기 안내판 설치 등 필요조치 불이행(제25조)
	가명정보에 대한 안전조치의무를 위반하여 관련 기록을 작성하여 보관하지 아니한 자(제28조의4)
	개인정보처리방침 미수립 또는 미공개(제30조)
	개인정보보호책임자 미지정(제31조)
정보주체권익보호	개인정보의 정정ㆍ삭제요청에 대한 필요한 조치를 취하지 않고, 개인정보를 계속 이용하거나 제3자에게 제공한 자(제36조)	2년 이하 징역 또는 2천만원 이하 벌금
	개인정보의 처리정지 요구에 따라 처리를 중단하지 않고 계속 이용하거나 제3자에게 제공한 자(제37조)
	개인정보 유출사실 미통지 및 조치결과 미신고(제34조)	3천만원 이하 과태료
	정보주체의 열람 요구의 부당한 제한ㆍ거절(제35조)
	정보주체의 정정ㆍ삭제요구에 따라 필요 조치를 취하지 아니한 자(제36조)
	처리정지된 개인정보에 대해 파기 등의 조치를 하지 않은 자(제37조)
	시정명령 불이행(제64조)
	정보주체의 열람, 정정ㆍ삭제, 처리정지 요구 거부 시 통지의무 불이행(제35조, 제36조, 제37조)	1천만원 이하 과태료
	관계물품ㆍ서류 등의 미제출 또는 허위제출(제63조)
	출입ㆍ검사를 거부ㆍ방해 또는 기피한 자(제63조)
파기	개인정보 미파기(제21조)	3천만원 이하 과태료

개인정보 처리 시 유의사항

Ⅷ

□ 수탁자는 개인정보보호 관련 법 및 규정 준수

□ 계약기간 및 계약 종료 후에도 위탁업무 수행 목적 범위를 초과하여 개인정보를 이용하거나 제3자에게 제공 또는 누설 금지

□ 수탁자 및 수탁자의 임직원이 위탁받은 업무의 개인정보를 처리하는 과정에서 계약에 따른 의무를 위반하거나 개인정보 보호법을 위반하여 손해가 발생한 경우 손해배상

□ 개인정보가 포함된 서류, 휴대용저장매체(이동형 하드디스크, USB메모리, CD, DVD 등) 등은 잠금장치가 있는 캐비닛 등에 안전하게 보관하고, 정기적으로 점검 및 관리

□ 위탁업무와 관련한 산출물 및 제공받은 개인정보는 개인PC, 메일함, 공유사이트 등에 무단으로 보관 금지

□ 위탁받은 개인정보가 분실․도난․유출․변조․훼손되지 않도록 「개인정보 보호법」 제29조, 같은 법 시행령 제30조 「개인정보의 안전성 확보조치 기준 고시」에 따른 관리적․기술적․물리적 조치

- 비밀번호 작성규칙, SSL 보안 프로토콜 적용, 개인정보 암호화 저장, 접근 권한 차등부여 및 비밀번호를 일정 횟수 이상 잘못 입력한 경우 접근 제한 등

※ 특히, 홈페이지 개발 및 유지관리 시 [별첨] 참조

□ 계약기간 만료 또는 계약 해지 시 위탁업무와 관련하여 보유하고 있는 개인정보 즉시 파기 또는 반납(개인정보가 파기 되었다는 확인서 및 증빙자료 제출)

□ 위탁자의 사전 승인을 얻은 경우를 제외하고 계약상의 권리와 의무의 전부 또는 일부를 제3자에게 양도하거나 재위탁 금지

별첨

•  홈페이지 보안 조치  •

1. 개인정보 수집 최소화를 위한 방안 마련

□ 수집목적에 필요한 최소한의 개인정보를 수집

□ 개인정보 수집 동의는 이용자가 개인정보를 입력하기 전 단계에 동의 사항을 공지하고, 동의 여부를 선택할 수 있도록 해야 함

□ 개인정보 수집 시 정보주체의 동의 획득(4개 항목)

	1) 개인정보의 수집·이용 목적 2) 개인정보의 항목 3) 개인정보의 보유 및 이용기간 4) 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용

□ 개인정보 수집 동의 획득 시 유의사항

	∙ 이용자의 직접 동의: 이용자가 동의여부를 능동적으로 결정할 수 있도록 하기 위해 미리 동의에 선택이 되어 있지 않도록 하여야 한다. ∙ 14세 미만 아동 개인정보 수집: 반드시 법정대리인의 동의를 받아야 하며, 이 경우 법정대리인의 동의를 받기 위하여 필요한 최소한의 정보는 법정대리인의 동의 없이 해당 아동으로부터 직접 수집할 수 있다. ∙ 별도 동의를 받아야 하는 항목: 기본 제공 서비스와 무관한 서비스 제공을 위해 수집이 필요한 ▲민감정보, ▲선택 동의 항목, ▲취급위탁, ▲제3자 제공 ∙ 순차적인 동의 요구 : (예시) ① [필수] 필수동의 항목에 대한 수집·이용 동의 → ② [선택] 선택동의 항목에 대한 수집·이용 동의 → ③ [선택] 취급위탁 동의 → ④ [선택] 제3자 제공 동의 ∙ 일괄동의 기능: 이용자가 동의 내용을 확인한 후 개별 동의가 가능하고, 동의 여부는 강제가 아닌 선택 사항이라는 점을 명시적으로 알려야 한다. 일괄동의 기능의 항목에 선택 동의 사항이 있는 경우 이 사실을 알린 후 동의를 받아야 한다.

□ 개인정보 처리방침을 동의받는 형식은 허용되지 않으므로 주의!

2. 개인정보 파기 방안 마련

□ 회원가입을 통해 정보주체의 개인정보를 수집할 때에는 회원가입 시 회원탈퇴 방법을 정보주체가 알기 쉽도록 알려야 함

□ 개인정보를 수집할 당시 정한 보유기간 경과, 처리 목적 달성 시 지체 없이 파기

- (회원탈퇴 시)

∙ 회원이 탈퇴를 완료한 후, 자동으로 탈퇴한 회원정보가 DB에서 삭제될 수 있도록 함

∙ 법령에 따라 회원탈퇴 후에도 보관이 필요한 경우 별도의 DB에 저장될 수 있도록 구성

- (보유기간 경과 시)

∙ 회원가입 시 개인정보 보유 기간을 DB에 함께 저장하여 보유기간이 경과한 개인정보는 자동 삭제되도록 함

□ 2년을 주기로 정보주체의 재동의 절차를 거쳐 동의한 경우에만 계속적으로 보유

□ 개인정보 파기에 관한 사항을 기록‧관리

3. 개인정보 저장 및 전송 시 암호화 적용

□ 사용자의 비밀번호는 복호화되지 아니하도록 일방향 암호화하여 저장

□ 개인정보 전송 시 암호화(SSL) 적용

- 회원가입, 로그인, 개인정보(회원정보) 수정, 아이디/비밀번호 찾기 등

4. 접속기록, 권한변경에 대한 로깅 및 저장관리

□ 접속기록, 권한변경에 대한 로깅 및 저장 관리

- 접속기록 1년 이상 기록·관리

(특히, 회원제 홈페이지 관리자 페이지에 대한 접속 기록 보존)

- 필수항목: 개인정보취급자 식별정보(ID), 접속일시, 접속지 정보(IP), 처리한 정보주체의 정보, 수행업무(열람, 수정, 삭제, 인쇄, 입력 등)

접속기록 항목(예시)
개인정보취급자 식별정보	정보주체 식별정보	접속일시	접속지	수행업무
홍길동 (K00050)	성춘향 (schabc)	20XX. 5. 1 15:00:00	192.168.11.1	삭제

□ 개인정보취급자(홈페이지관리자) 접근권한 부여, 변경·말소 기록은 최소 3년간 보관

5. 접속 자동 차단 조치

□ 일정시간 이상 업무를 하지 않을 경우 자동으로 개인정보처리시스템 접속이 차단되도록 설정

- 다시 접속하고자 할 때에도 최초의 로그인과 동일한 방법으로 접속

[예시] 자동 로그아웃 안내 팝업 후 로그인 화면으로 이동

4
		수탁업체 개인정보 처리 실태점검표 예시

수탁업체 개인정보처리 실태점검표

□ 위탁사업명:

□ 위탁기간:

□ 수탁업체명:

□ 점검내용

구분	점검내용	점검 결과 (양호, 미흡)	향후 조치 계획
표준 개인정보 처리 위탁계약 내용의 준수여부	표준 개인정보처리 위탁계약서에 포함된 다음 사항을 준수하고 있는가? □ 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항 □ 개인정보의 기술적·관리적 보호조치에 관한 사항 □ 위탁업무의 목적 및 범위 □ 재위탁 제한에 관한 사항 □ 개인정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항 □ 준수의무 위반 시 손해배상 등 책임에 관한 사항
교육실시	직원에 대한 수탁업체 자체 개인정보보호 교육을 실시하였는가?
개인정보 보호를 위한 안전성 확보	개인정보취급자에 대한 개인정보보호 서약서를 작성하고 있는가?
	개인정보에 대한 접근통제 및 접근권한의 제한을 하고 있는가?
	보유하고 있는 개인정보에 대한 암호화를 적용하고 있는가?
	바이러스 및 악성 프로그램 감염 예방을 위한 백신 소프트웨어 등 보안프로그램 설치 및 최신버전 업데이트를 실시하고 있는가?
	개인정보처리시스템은 비밀번호 설정 및 작성 규칙 수립하고 있는가?
	위탁 개인정보가 포함된 서류, 보조저장매체 등을 잠금장치가 있는 안전한 장소에 보관하고 있는가?
개인정보 유출통보	수탁자에 의한 개인정보 유출 시 위탁자에 통지하는 절차를 수립하고 있는가?

년      월      일

□ 점검자 :            (인)         □ 확인자(수탁자) :           (인)

5
		개인정보 처리 위탁업무 자료 파기확인서 예시

개인정보처리 위탁업무 자료 파기확인서

파기대상 개인정보
개인정보의 정보주체 수
파기 사유
생성 일자		파기일자
파기 장소		(업체)파기 처리자
		(업체)입회자
파기 방법
백업 조치 유무
특이사항

상기와 같이 개인정보가 안전하게 파기되었음을 확인하였으며, 이 사실과 다르게 개인정보 미파기로 인한 사고 발생 시 관련 법에 의해 책임 있음을 인정합니다.

20   년      월       일

업체명 :

확 인 자       직  위 :

(업체대표)       성  명 :                  (서명)

○○○ 기관 귀하

6
		개인정보 처리 수탁자 교육 및 실태점검 기안문 예시 – 위탁자가 수행할 경우

청렴합니다. 우리는 부산교육人입니다.
		○○○학교
수신자	○○○○(수탁업체)
(경유)
제목	개인정보 처리 수탁자 교육 및 실태점검 실시 안내

1. 근거

가.「개인정보보호법」제26조(업무위탁에 따른 개인정보의 처리 제한)

나.「개인정보보호법 시행령」제28조(개인정보의 처리 업무 위탁 시 조치)

2. 개인정보 처리업무 위탁에 따른 수탁자 교육 및 개인정보 처리 실태점검을 다음과 같이 실시하고자 하오니 협조하여 주시기 바랍니다.

가. 수탁자 교육일시 및 장소: 20○○.○○.○○ 00:00 ~ 00:00, △△△(2층)

나. 수탁업체 실태점검 실시

1) 대상업체: ○○○○(수탁업체)

2) 방문일시: 20○○.○○.○○

3) 점검자: 담당자 홍길동

붙임  1. 수탁자 교육자료 1부.

2. 수탁업체 개인정보 처리 실태점검표 1부.  끝.

★																											교장
협조자
시행			○○학교-0000										(	0000. 00. 00.			)		접수											(			)
우	00000					부산광역시 ○○○																		/	http://www.
전화		051-0000							/전송		051-000-0000					/		○○○@○○○										/	공개

7
		개인정보 처리 수탁자 교육 및 실태점검 기안문 예시 – 수탁자가 수행할 경우

청렴합니다. 우리는 부산교육人입니다.
		○○○학교
수신자	○○○○(수탁업체)
(경유)
제목	개인정보 처리 수탁자 교육 및 관리실태 점검 결과 제출 협조

1. 근거

가.「개인정보보호법」제26조(업무위탁에 따른 개인정보의 처리 제한)

나.「개인정보보호법 시행령」제28조(개인정보의 처리 업무 위탁 시 조치)

2. 개인정보 처리업무 위탁에 따른 개인정보 수탁자 교육결과 및 개인정보 관리실태   점검결과를 다음과 같이 제출하여 주시기 바랍니다.

가. 제출기간: 20○○.○○.○○

나. 제출자료

1) 개인정보 교육 실적 증빙자료(집합교육 결과, 사이버교육 이수증 등)

※ [붙임1] 수탁자 교육자료 참고

2) 개인정보 처리 실태점검표: [붙임2]

붙임  1. 수탁자 교육자료 1부.

2. 수탁업체 개인정보 처리 실태점검표 1부.  끝.

★																											교장
협조자
시행			○○학교-0000										(	0000. 00. 00.			)		접수											(			)
우	00000					부산광역시 ○○○																		/	http://www.
전화		051-0000							/전송		051-000-0000					/		○○○@○○○										/	공개

8
		개인정보 처리 수탁자 교육 및 실태점검 결과 기안문 예시

청렴합니다. 우리는 부산교육人입니다.
		○○○학교
수신자	내부결재
(경유)
제목	개인정보 처리 수탁자 교육 및 실태점검 결과 보고

1. 근거

가.「개인정보보호법」제26조(업무위탁에 따른 개인정보의 처리 제한)

나.「개인정보보호법 시행령」제28조(개인정보의 처리 업무 위탁 시 조치)

다.「개인정보 처리 수탁자 교육 및 점검 실시 안내」(△△△△-000, 20○○.○○.○○)

또는

「개인정보 처리 수탁자 교육 및 관리실태 점검 결과 제출 협조」(△△△△-000, 20○○.○○.○○)

2. 개인정보 처리 수탁자 교육결과 및 개인정보 처리실태 점검 결과를 다음과 같이 보고합니다.

붙임  1. 수탁자 교육결과 1부.

2. 수탁업체 개인정보 처리 실태점검표 1부.  끝.

★																											교장
협조자
시행			○○학교-0000										(	0000. 00. 00.			)		접수											(			)
우	00000					부산광역시 ○○○																		/	http://www.
전화		051-0000							/전송		051-000-0000					/		○○○@○○○										/	비공개(6)