14

개인정보의 유출 통지 및 신고

(작성 기준일 2022. 3.)

근거

‣ 「개인정보 보호법」 제34조(개인정보의 유출 통지 등)

‣ 「개인정보 보호법 시행령」 제39조(개인정보 유출 신고의 범위 및 기관)

‣ 「개인정보 보호법 시행령」 제40조(개인정보 유출 통지의 방법 및 절차)

‣ 「교육부 개인정보 보호지침」 제50조 ~ 제53조의2

세부

추진내용

□ 개인정보의 유출

① 법령이나 개인정보처리자의 자유로운 의사에 의하지 않고, 개인정보처리자가 정보주체의 개인정보에 대한 통제 상실 또는 권한 없는 자의 접근을 허용하는 것을 말함

‣  즉 개인정보가 해당 개인정보처리자의 관리·통제권을 벗어나 당해 개인정보를 모르는 제3자가 그 내용을 알 수 있는 상태에 이르면 개인정보가 유출된 것

<개인정보 유출의 경우>

⦁ 개인정보가 포함된 서면, 이동식 저장장치, 휴대용 컴퓨터 등을 분실하거나 도난당한 경우

⦁ 개인정보가 저장된 데이터베이스 등 개인정보처리시스템에 정상적인 권한이 없는 자가 접근한 경우

⦁ 개인정보처리자의 고의 또는 과실로 인해 개인정보가 포함된 파일 또는 종이문서, 그 밖의 저장매체가 권한이 없는 자에게 잘못 전달된 경우

⦁ 그 밖에 권한이 없는 자에게 개인정보가 전달된 경우

□ 개인정보 유출사고 대응 체계

① 침해사고 대응 절차

① 침해사고 신고	⇨	② 사고접수 및 확인조사	⇨	③ 침해사고 대응팀 구성	⇨	④ 사고처리	⇨	⑤ 결과보고 및 개선 이행
민원인, 교직원		개인정보 보호책임자		개인정보 보호책임자		침해사고 개인정보취급자, 침해사고 대응팀		침해사고 개인정보취급자, 개인정보 보호책임자
침해·유출 사고 인지		침해·유출 사고 확인 및 보고		침해사고 대응체계 구성		긴급조치, 세부조사, 유출통지, 유출신고		보고서 작성보고 기술적·관리적 보완조치

② 교육(지원)청을 포함한 대응 체계도

	교육(지원)청
	개인정보 보호책임자
・조치사항 지시 ・사고대응팀 구성		↓↑				・침해사고 보고 ・조치사항 보고			교육부
	교육(지원)청 개인정보 침해사고 대응팀
・사고처리			↓↑						개인정보보호위원회 및 한국인터넷진흥원
	사고접수
	교육(지원)청 개인정보 보호담당자
・사고처리 지원 ・개선사항 지시				↓↑		・침해사고 신고
	사고접수, 사고신고
	학교(기관) 침해사고 대응팀

□ 개인정보 유출통지

통지방법		◾ 서면, 전자우편, 모사전송, 전화, 휴대전화 문자전송 또는 이와 유사한 방법을 통해 정보주체에게 고지 ※ 위의 통지방법과 동시에 홈페이지 등을 통하여도 공개할 수 있음 ◾ 단, 1천명 이상의 개인정보가 유출된 경우에는 서면 등의 개별 통지와 함께 인터넷 홈페이지에 정보주체가 알기 쉽도록 7일 이상 통지내용을 게재해야 함.
통지내용		1. 유출된 개인정보의 항목 2. 유출된 시점과 그 경위 3. 유출로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보 4. 개인정보처리자의 대응조치 및 피해구제절차 5. 정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처
통지시기		지체 없이(유출되었음을 알게 된 때로부터 5일 이내)
통지연기		◾ 개인정보 유출 확산방지를 위해 긴급한 조치가 필요한 경우 그 조치를 한 후 지체 없이(그로부터 5일 이내에) 정보주체에게 유출통지 가능 - 개인정보처리시스템 접속경로 차단(폐쇄), 접속권한 삭제·변경 - 네트워크, 방화벽 등 대·내외 시스템 보안점검 및 취약점 보완 조치 - 향후 수사에 필요한 외부의 접속기록 등 증거 보존 조치 등 ◾ 개인정보 처리자는 통지내용의 각 호의 사항을 모두 확인하기 어려운 경우에는, 정보주체에게 다음 각 항목의 사실만 우선 알리고, 추후 확인되는 즉시 알릴 수 있음 - 정보주체에게 유출이 발생한 사실 - 통지내용 중 확인된 사항

□ 개인정보 유출신고

신고대상		◾ 1명이라도 개인정보 유출 시, 교육(지원)청을 경유하여 교육부에 보고 ◾ 단, 1천명 이상의 정보주체에 관한 개인정보가 유출된 경우 교육(지원)청을 경유하여 교육부 보고와 동시에 개인정보보호위원회 및 한국인터넷진흥원에 신고
신고시기		지체 없이(5일 이내)
신고방법		◾ 공문을 통해 유출사고 신고 및 신고서 제출 ◾ 시간적 여유가 없거나 특별한 사정이 있는 경우 - 유선으로 신고 후, 유출신고서를 제출할 수 있음
신고내용		◾ 유출내용, 정보주체 통지여부 및 조치결과를 신고 - 정보주체 통지여부, 유출된 개인정보 항목·규모, 유출 시점·경위, 유출피해 최소화 대책·조치 및 결과, 정보주체가 할 수 있는 피해 최소화 방법 및 구제절차, 담당부서·담당자 연락처 등
신고양식		개인정보 유출신고(보고)서

벌칙규정

위반행위	벌칙
개인정보 유출 통지사항을 알리지 아니한 자 (법 제34조제1항 위반)	3천만원 이하의 과태료 (법 제75조제2항제8호)
조치 결과의 신고를 하지 아니한 자 (법 제34조제3항 위반)	3천만원 이하의 과태료 (법 제75조제2항제9호)

관련자료

개인정보 침해(유출)사고 대응 절차서

2. 개인정보 침해사고 신고서(사고 접수)

3. 개인정보 유출신고(보고)서

1
		개인정보 침해(유출)사고 대응 절차서

개인정보 침해(유출)사고 대응 절차서

□ 침해사고 대응팀 구성

구분			주요역할
시교육청 침해사고 대응팀 ○○교육지원청 침해사고 대응팀			□ 침해사고 대응 협조
우리학교 침해사고 대응팀	팀장	개인정보 보호책임자(CPO)	□ 개인정보 침해사고 분석·대응 및 복구 지원 총괄
	팀원	개인정보 보호담당자	□ 개인정보 침해사고 접수 □ 개인정보 침해사고 분석 □ 침해사고 대응 및 복구 지원 □ 필요 시 관련자 및 기관에 보고

※ 유출신고 콜센터 : 교육(지원)청 및 우리학교 개인정보 보호담당자

※ 교육(지원)청 침해사고 대응팀 협조

구 분		연락처
시교육청	안전기획과	8600-512 8600-513
서부교육지원청	학교지원과	250-0542
남부교육지원청	학교지원과	640-0367
북부교육지원청	학교지원과	330-1352
동래교육지원청	학교지원과	550-0292
해운대교육지원청	학교지원과	709-0382

□ 사고 대응 체계

1. 침해사고 대응절차

① 침해사고 신고	⇨	② 사고접수* 및 확인조사	⇨	③ 침해사고 대응팀 구성	⇨	④ 사고처리*	⇨	⑤ 결과보고 및 개선 이행*
민원인, 교직원		개인정보 보호책임자		개인정보 보호책임자		침해사고 개인정보취급자, 침해사고 대응팀		침해사고 개인정보취급자, 개인정보 보호책임자
침해․유출 사고 인지*		침해․유출 사고 확인* 및 보고		침해사고 대응체계 구성		긴급조치, 세부조사, 유출통지*, 유출신고*.		보고서 작성보고 기술적․관리적 보완조치
별지 제1호 서식		별지 제2호 서식						별지 제2호 서식

2. 교육(지원)청을 포함한 대응 체계도

		교육(지원)청
		개인정보 보호책임자
	・조치사항 지시 ・사고대응팀 구성		↓↑				・침해사고 보고 ・조치사항 보고			교육부
		교육(지원)청 개인정보 침해사고 대응팀
	・사고처리			↓↑						개인정보보호위원회 및 한국인터넷진흥원
		사고접수
		교육(지원)청 개인정보 보호담당자
	・사고처리 지원 ・개선사항 지시				↓↑		・침해사고 신고
		사고접수[별지 제1호 서식], 사고신고[별지 제2호 서식].
		우리학교 침해사고 대응팀

□ 사고 조치 방법

1. 단계별 조치 방법

조치방법	세부 조치 사항
사고 인지	□ 침해·유출 사고 상황 파악 □ 개인정보보호 분야별책임자(부장, 부서장 등)에게 보고 □ 유출 신고 콜센터(개인정보 보호담당자)로 신고
사고 접수	□ 신고 접수내용을 침해사고 대응팀장(개인정보 보호책임자)에게 보고
사고 확인	□ 침해 사고 내용(원인, 규모 등) 세부조사 □ 침해사고 대응팀 협조 요청(필요시)
유출 통지	□ 정보주체에게 5일이내 통지
사고 처리	□ 확인조사 결과에 따른 분석을 통해 추가 유출가능성 및 피해 확산 여부 확인 □ 사고 유형별 조치 □ 개인정보 보호책임자에게 결과 보고
유출 신고	□ 교육부에 5일이내 신고 - 1천명 이상의 개인정보가 유출된 경우에는 교육부 보고와 동시에 개인정보보호위원회 및 한국인터넷진흥원에 신고
개선 및 이행점검	□ 개선 이행 사항에 대한 이행 점검(개인정보 보호책임자)

2. 사고 인지

가. 개인정보취급자는 개인정보 침해사고를 인지한 경우 또는 침해 발생이 의심되는 경우 지체 없이 분야별책임자에게 보고 후 유출신고 콜센터로 신고

나. 분야별책임자는 보고 받은 즉시 침해사고 처리를 위한 자체 업무 추진

3. 사고 접수

개인정보 보호담당자는 침해사고 관련 신고 접수 후 지체 없이 침해사고 대응팀장에게 보고 후 사고 조치 지원

4. 사고 확인

가. 분야별책임자는 사고 조사 및 현황 파악 자체점검을 위한 자료(서비스 종류 및 로그값)를 확보하고, 현장 확인조사를 통해 과실여부, 침해규모, 경위, 방법 등을 조사

나. 사고 분석 및 조치와 관련하여 지원이 필요할 경우 우리학교 침해사고 대응팀에 지원 요청

5. 유출 통지

가. 분야별책임자는 유출사고가 발생한 것으로 확인된 때에는 5일 이내에 정보주체에게 유출 사실을 통지하여야 함

나. 정보주체에게 통지 항목

① 유출된 개인정보의 항목

② 유출 시점과 그 경위

③ 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 사항

④ 기관의 대응조치 및 피해구제 절차

⑤ 정보주체에게 피해가 발생할 경우 신고 등을 접수할 수 있는 담당부서 및 연락처

다. 유출 통지문 예시

개인정보 유출에 대한 안내 및 사과의 말씀

개인정보 유출 사실을 통지해 드리며, 깊이 사과드립니다.

귀하의 소중한 개인정보를 안전하게 보호, 관리하고자 최선의 노력을 다해왔으나, 귀하의 개인정보가 OOOO년 O월 O일 유출되었음을 알려드리며, 진심으로 사과를 드립니다.

귀하의 개인정보는 홈페이지 서버에 저장되어 관리되어 왔으나 서버 변경 작업을 하다가 안전 조치를 다하지 못해 해킹에 의해 유출되었습니다. (유출경위 설명)

유출된 개인정보 항목은 OOO, OOOO, OOO, OOOOOO 등 총 O개입니다.

(유출된 개인정보 항목)

추가적인 피해 방지를 위해 기존에 사용하시던 비밀번호를 새로운 비밀번호로 교체해주시기를 당부 드립니다.

저희 기관에서는 유출 사실을 인지한 후 즉시 해당 IP와 불법접속 경로를 차단하고, 취약점 점검과 보완 조치를 하였습니다. (개인정보처리자의 대응 조치)

피해가 발생하였거나 예상되는 경우에는 아래의 담당부서에 신고하시면 성실하게 안내와 상담을 해드리겠습니다. (피해 구제절차)

앞으로 개인정보 보호 강화를 위해 내부 관리 체계를 재검토하고 직원 교육을 강화하여, 향후 다시는 이와 유사한 사례가 발생하지 않도록 최선의 노력을 다하겠습니다.
(개인정보처리자의 향후 대응 계획)

- 피해 접수 담당 부서: OOO실

- 피해 접수 전화번호: OOO-OOO-OOOO  (피해 신고 접수 담당부서 및 연락처)

OOOO년 OO월 OO일

OO학교 직원 일동

라. 유출 통지 방법

1) 서면, 전자우편, 모사전송, 전화, 휴대전화 문자전송

2) 연락처가 없어 개별통지가 어려운 경우, 인터넷 홈페이지에 지속 게재

3) 1천명 이상의 정보주체에 관한 개인정보가 유출된 경우, 정보주체에게 통지하는 동시에, 인터넷 홈페이지에 필수 유출 통지 5개 항목을 7일 이상 게재

마. 분야별책임자는 긴급한 조치가 필요한 경우에는 해당 조치를 취한 후 지체 없이 개인정보주체에게 통지

1) 유출된 개인정보의 확산 및 추가유출 방지를 위한 접속경로 차단 유출된 정보의 삭제 및 외부 접근기록 등 증거 보존 조치

2) 취약점 점검․보완 등

바. 통지항목에 대하여 구체적인 내용을 확인하지 못한 경우 유출이 발생한 사실과 통지항목 중 확인된 사항을 먼저 알리고 나중에 확인되는 사항을 추가로 알림

6. 사고 처리

가. 확인조사 결과에 따른 분석을 통해 추가 유출 가능성 및 피해 확산 여부 확인

나. 사고 원인별 조치

유출 유형	조치 방법
개인정보가 포함된 서면, 이동식 저장장치, 휴대용 컴퓨터를 분실 또는 도난당한 경우	□ 보안USB의 경우 시스템을 통한 분실 신고 및 자동 삭제 처리 □ 개인정보취급자에 대한 정보보호 교육 실시
개인정보가 저장된 데이타베이스 등 개인정보처리시스템에 정상적인 권한이 없는 자가 접근한 경우	□ 보안시스템(방화벽, 침입방지 등) 점검 및 조치 □ 홈페이지 보안취약점 점검 □ 접속권한 적정성 여부 확인
고의 또는 과실로 인해 개인정보가 포함된 파일 또는 종이문서, 그 밖에 저장매체가 권한이 없는 자에게 잘못 전달한 경우	□ 권한이 없는 자에게 관련 자료 전량 회수 □ 관련자에 대한 개인정보 보호법에 대한 교육 실시 □ 관련자에게 보안서약서 징구
그 밖에 권한이 없는 자에게 개인정보가 전달되거나 개인정보처리시스템 등에 접근 가능하게 된 경우	□ 기술적·관리적·물리적 안전조치 점검 및 조치

다. 개인정보 보호책임자에게 결과 보고

7. 유출 신고

가. 1명이라도 정보주체에 관한 개인정보가 유출된 경우에는 유출내용 및 조치 결과를 5일 이내에 교육(지원)청을 경유하여 교육부로 공문 보고

나. 1천명 이상의 개인정보가 유출된 경우에는 교육(지원)청을 경유하여 교육부 보고와 동시에 개인정보보호위원회 및 한국인터넷진흥원으로 신고

※ 벌칙규정

위 반 행 위	벌 칙
개인정보 유출 통지사항을 알리지 아니한 자 (법 제34조제1항 위반)	3천만원 이하의 과태료 (법 제75조제2항제8호)
조치 결과의 신고를 하지 아니한 자 (법 제34조제3항 위반)	3천만원 이하의 과태료 (법 제75조제2항제9호)

[별지 제1호 서식]

개인정보 침해사실 신고서(사고 접수)

				담당자		교감	교장
신고인	성명
	전자우편
	전화번호		핸드폰 (선택기입)
접수 부서	기관명(부서명)
	성명
	전화번호
신고 내용
- 수집하는 개인정보는 민원처리 목적으로만 사용되며, 관련 담당자를 제외하고는 함부로 열람할 수 없으며, 수집된 개인정보는 '민원사무처리에 관한 법률' 에 근거, 3년간 보유하고 즉시 파기합니다. - 민원처리 시 신청인의 본인확인에 필요한 최소한의 정보는 피신청인에게 제공될 수 있습니다. - 사건처리를 위해서 필요할 경우 주민번호를 요청할 수도 있습니다. - 메일주소를 정확하게 기재하여 주시기 바랍니다. 답변은 메일을 통해 발송됩니다.
위와 같이 개인정보 침해 사실을 신고합니다. 첨부 : 년 월 일 신고인 : (서명 또는 인)

※ 작성시기: 개인정보 침해‧유출 사고 인지 후 민원인, 교직원 등이 학교에 사고 접수 시

[별지 제2호 서식]

개인정보 유출신고(보고)서

기관명
정보주체에의 통지 여부
유출된 개인정보의 항목 및 규모
유출된 시점과 그 경위
유출피해 최소화 대책ㆍ조치 및 결과
정보주체가 할 수 있는 피해 최소화 방법 및 구제절차
담당부서ㆍ담당자 및 연락처		성명		부서	직위		연락처
	개인정보 보호책임자
	개인정보 취급자
유출신고(보고) 접수기관	기관명		담당자명			연락처

※ 작성시기: 개인정보 침해‧유출 사고 확인 시[학교 -> 교육(지원)청에 신고]

2
		개인정보 침해사실 신고서(사고 접수)

개인정보 침해사실 신고서(사고 접수)

					담당자		교감	교장
신고인	성명
	전자우편
	전화번호			핸드폰 (선택기입)
접수 부서	기관명(부서명)
	성명
	전화번호
신고 내용
- 수집하는 개인정보는 민원처리 목적으로만 사용되며, 관련 담당자를 제외하고는 함부로 열람할 수 없으며, 수집된 개인정보는 '민원사무처리에 관한 법률' 에 근거, 3년간 보유하고 즉시 파기합니다. - 민원처리 시 신청인의 본인확인에 필요한 최소한의 정보는 피신청인에게 제공될 수 있습니다. - 사건처리를 위해서 필요할 경우 주민번호를 요청할 수도 있습니다. - 메일주소를 정확하게 기재하여 주시기 바랍니다. 답변은 메일을 통해 발송됩니다.
위와 같이 개인정보 침해 사실을 신고합니다. 첨부 : 년 월 일 신고인 : (서명 또는 인)

※ 작성시기: 개인정보 침해‧유출 사고 인지 후 민원인, 교직원 등이 학교에 사고 접수 시

3
		개인정보 유출신고(보고)서

개인정보 유출신고(보고)서

기관명	○○학교
정보주체에의 통지 여부	▪통지일자: 20○○.○.○ ▪통지방법: SMS, 이메일, 홈페이지 팝업 ▪통지대상: 정보주체 ○○○명(학생 ○○○명, 학부모 ○○○명)
유출된 개인정보의 항목 및 규모	▪유출규모: ○○○명(중복제거 후 ○○○명) ▪유출항목: 이름, ID, 비밀번호, 주소, 핸드폰번호, 이메일
유출된 시점과 그 경위	▪사고발생 인지경로 - 20○○.○.○ 10:00 월별 개인정보처리시스템 접속로그 점검 시 특정 IP로부터 다량의 개인정보 다운로드 기록 확인 - 20○○.○.○ 11:00 개인정보처리시스템의 로그 확인 결과 알 수 없는 개인정보 압축 파일 발견 - 20○○.○.○ 12:00 IP Table, NAC 등을 확인하여 개인정보를 다운로드한 특정 IP의 PC(용역업체 개인 PC) 확인 ▪유출 시점 및 경위 - 20○○.○.○ 16:00 용역업체 A씨는 개인정보처리시스템에 접속하여 다량의 개인정보파일을 생성 후 PC로 다운로드 - 20○○.○.○ 21:00 PC내 보안 솔루션(NAC 등)에 의하여 상용 이메일 접근 불가 확인 후 개인 이메일 서버로 파일 전송
유출피해 최소화 대책ㆍ조치 및 결과	▪정보주체가 할 수 있는 피해최소화 방법 ① 2차 피해 방지를 위하여 개인정보 유출 여부 조회(학교 홈페이지 등) ② 유출사고 발생 후 홈페이지 로그인시 개인정보 유출에 따른 비밀번호 변경 ▪피해자 구제절차 ① 2차 피해 접수를 위한 피해 접수 담당 창구 운영(051-○○○-○○○, aaa@korea.kr) ② 개인정보 유출 관련 개인정보 분쟁조정 신청 창구 안내(1833-6972)
정보주체가 할 수 있는 피해 최소화 방법 및 구제절차	▪사고발생 후 조치사항 ① 부산광역시교육청 개인정보 유출사고 대응 매뉴얼에 따라 침해사고 대응반 구축 ② 개인정보 침해 접수 창구 및 민원 대응 창구 구축 ③ 유출 항목 및 발생 상황 인지 후 유출 통지문 작성 및 관련 내용 통지, 교육부 개인정보 유출 신고 ④ 유출 원인에 따른 개인정보처리시스템에 대한 접근권한 관리체계 강화 ⑤ 재발방지 대책을 위한 보안강화 계획(안）수립 ▪향후계획 ① 개인정보 파일 운영 강화를 위한 보안 솔루션 도입(DLP, DRM 등) ② 용역업체(유지보수 등)가 접속할 수 있는 별도의 계정 생성 ③ 개인정보취급자(용역업체 직원 포함) 대상 개인정보보호 교육 강화 ④ 모든 개인정보처리시스템 대상 개인정보 보호법 등 관련 법률에 따라 개인정보 안전성 확보 조치 이행사항 확인 및 관련 내용 점검
담당부서ㆍ담당자 및 연락처		성명		부서	직위		연락처
	개인정보 보호책임자	홍길동		·	교장		051-○○○-○○○
	개인정보 취급자	임꺽정		○○○	△△△		051-○○○-○○○
유출신고(보고) 접수기관	기관명		담당자명			연락처