2

개인정보보호 업무 추진계획 수립(교육계획 포함) 및 시행

0

(작성 기준일 2024. 12.)

근거

‣ 「개인정보 보호법」 제28조(개인정보취급자에 대한 감독)

‣ 「개인정보 보호법」 제31조(개인정보 보호책임자의 지정 등)

‣ 「교육부 개인정보 보호지침」 제6조(개인정보 보호책임자의 업무 등)

‣ 「교육부 개인정보 보호지침」 제11조(개인정보보호 교육)

세부

추진내용

‣ 개인정보보호 추진 계획 수립

① 교육청의 “개인정보 보호 추진계획(개인정보 교육 계획 포함)”을 참고하여 자체 추진 계획을 수립하고, 개인정보 보호책임자의 결재를 받아야 함

※ 내부 관리계획 => 최초 1회 수립 후 수정 사항 발생 시에만 개정 후 이력 관리

‣ 개인정보보호 교육 계획 수립 및 이행

① 매년 당해 연도 개인정보 보호를 위한 교육계획을 수립·시행하여야 함

-  교육계획은 “○○년 개인정보 보호 추진계획” 또는 “○○년 개인정보 보호 교육계획”과 같은 문서를 통해 관리되어야 하며, 반드시 개인정보 보호책임자의 결재를 받아야 함

② 교육계획에는 다음의 항목이 반드시 포함되어야 함

<교육계획에 포함되어야 할 사항> - 지침 제11조

1. 교육목적   2. 교육대상   3. 교육내용   4. 교육일정   5. 교육방법

③ 개인정보 보호 교육 실시 및 결과 보고

- 개인정보 취급자(전 직원) 교육의 경우 교육대상의 70%이상이 참석할 수 있도록 독려(미참석자에 대한 전달교육 또는 사이버교육 이수 등 실시)

- 교육 실시 후 관련 증빙자료(참석자 명단, 전달교육 결과 등)를 첨부하여 반드시 결과 보고

관련자료

1. 개인정보보호 업무 추진 계획 수립 기안문 예시

2. 개인정보보호 업무 추진 계획 예시

3. 개인정보보호 교육 결과 보고 기안문 예시

4. 개인정보보호 교육자료 예시

1
		개인정보보호 업무 추진 계획 수립 기안문 예시

청렴합니다. 우리는 부산교육人입니다.
		○○○학교
수신	내부결재
(경유)
제목	개인정보보호 업무 추진 계획 수립

1. 근거

가. 「개인정보 보호법」 및 같은 법 시행령, 「교육부 개인정보 보호지침」

나. 개인정보의 안전성 확보조치 기준(개인정보보호위원회 고시)

다. ○○학교-   (20 .  .  .)“개인정보 보호 내부 관리계획(안) 수립”

2. 개인정보보호 법적 필수사항 이행과 개인정보 관리의 실효성 제고를 위해 「20○○년 개인정보보호 업무 추진 계획」을 다음과 같이 수립하여 시행하고자 합니다.

붙임  1. 20○○년 개인정보보호 업무 추진 계획 1부.  끝.

★																											교장
협조자
시행			○○학교-0000										(	0000. 00. 00.			)		접수											(			)
우	00000					부산광역시 ○○○																		/	http://www.
전화		051-0000							/전송		051-000-0000					/		○○○@○○○										/	비공개(5)

2
		개인정보보호 업무 추진 계획 예시

20○○년 개인정보보호 업무 추진 계획(안)

□ 본교 보유 개인정보의 안전한 관리와 적법한 처리로 정보주체의 권리보호

□「개인정보 보호법」의 의무사항 이행으로 업무에 만전을 기하고자 함

Ⅰ

개요

1. 근거

□ 「개인정보 보호법」 및 같은 법 시행령, 개인정보의 안전성 확보조치 기준

□  ○○학교 개인정보 내부 관리계획(○○학교-0000, 2024.xx.xx.)

2. 추진체계

□ 개인정보보호 추진체계별 역할

구분	지정	역할 및 책임
개인정보 보호책임자	학교장	- 개인정보 보호 계획의 수립 및 시행 - 개인정보 처리 실태의 정기적인 조사 및 개선 - 개인정보 처리와 관련한 불만의 처리 및 피해 구제 - 개인정보 유출 및 오용·남용 방지를 위한 내부통제시스템의 구축 - 개인정보 보호 교육 계획의 수립 및 시행 - 개인정보파일의 보호 및 관리·감독 - 법 제30조에 따른 개인정보 처리방침의 수립·변경 및 시행 - 개인정보 보호 관련 자료의 관리 - 개인정보파일의 보유기간 산정 - 처리 목적이 달성되거나 보유기간이 지난 개인정보의 파기
개인정보보호 분야별책임자	교감, 행정실장	- 개인정보 처리 실태의 정기적인 조사 및 개선 - 개인정보 처리와 관련한 불만의 처리 및 피해 구제 - 개인정보파일의 보호 및 관리·감독 - 개인정보 처리방침의 수립·변경 및 시행 - 개인정보 보호 관련 자료의 관리 - 처리 목적이 달성되거나 보유기간이 지난 개인정보의 파기 - 그 밖에 해당부서의 개인정보 보호를 위해 필요한 사항 등
개인정보 보호담당자	업무 담당자	개인정보의 적절한 처리를 위해 필요한 사항 및 개인정보 보호책임자가 위임한 업무 수행 · 개인정보보호 계획 및 방침 수립, 개인정보 침해대응, 개인 정보보호 교육 등
개인정보 취급자	소속 교직원	- 관련 법령․지침․고시, 내부 관리계획 등 준수 및 이행 - 개인정보 처리 시 안전성 확보조치 기준 이행 등 - 그 밖의 개인정보보호를 위해 개인정보처리자가 요구한 개인정보보호 관련 업무

Ⅱ

20○○ 추진 계획

1. 개인정보 수집·이용 및 제3자 제공 동의서 서식 검토 및 개선

□  목적: 과도한 개인정보 수집 관행 및 개인정보 수집·이용 환경 개선

□  시기: 상시

- 개인정보 보호책임자(또는 분야별책임자) 책임 하에 자체 추진

□  내용

- 학생·학부모 등 개인정보 과다 수집으로 인한 민원이 발생하지 않도록 각종 양식 검토 및 개선 추진

- 기관 내부 검토회의를 통한 지속 운영 필요성, 최소 수집원칙 준수 여부, 등록 항목의 적정성 등 검토

- 개인정보 수집·이용(4가지) 및 제3자 제공 고지(5가지) 필수항목 확인 및 “중요한 내용의 표시”준수 여부 확인

2. 신학년·신학기 개인정보 유출 방지

□  목적: 개인정보 수집·이용이 집중되는 시기에 불필요한 개인정보 수집방지를 위해 전 직원 유의사항 안내

□  시기: 2월초

□  내용

- 개인정보 침해(유출)사고 예방을 위한 유의사항 전 직원 공람

- 개인정보 수집·이용 동의서 작성 시 검토사항, 일괄 동의서(예시) 제공

- 개인정보 침해(유출)사고 대응 절차서 교육 등

3. 홈페이지 등 개인정보 노출방지 강화 추진

□  목적: 개인정보 유·노출사고 사전 예방

□  시기: 매월

□  내용

- 학기초 반편성 신입생 명단, 학부모교육 참석자 명단 등 각종 명단 게시 시 주민등록번호 등 개인정보 노출 점검

- 학교운영위원회 심의결과 공개 시 강사 등 인적사항 노출 점검

- 홈페이지 개인정보 게재 여부 주기적 확인 및 소속직원 대상 교육 강화 등

4. 학교 홈페이지 회원정보 일제정비

□  목적: 보유기간 경과 및 목적달성 등의 파기대상 회원정보에 대하여 개인정보 보호 지침에 의거 정비(파기)함으로써 개인정보 침해사고 예방 및 정보주체의 권익을 보호

□  시기: 분기별

□  내용

- 장기(1년 이상) 미 접속 회원정보 정비(파기)

- 회원가입 2년 경과 회원의 재동의 진행(재동의가 없을 경우 삭제)

□  공지방법

- 회원가입 시 등록된 이메일로 안내 메일 발송(삭제일 30일 이전)

- 홈페이지 공지사항에 안내 자료 탑재(30일 이상)

□  파기절차

- 개인정보 보호책임자(분야별책임자)의 승인 절차 후 수행

- 회원정보 삭제(파기) 후 해당 내용을 기록·관리(개인정보 파일 파기 대장)

5. 개인정보 처리업무 수탁업체 관리‧감독 강화

□  목적: 업무 위탁으로 인하여 정보주체의 개인정보가 분실‧도난‧유출‧변조 또는 훼손되지 않도록 보호하기 위함

□  시기: 3 ~ 4월

□  내용

- 교내 부서의 개인정보 처리업무 위탁 현황 조사(현행화)

- 개인정보 처리 업무 위탁 시 개인정보 처리 위탁계약서 작성 여부 점검

- 수탁업체 개인정보 처리 관리‧감독(교육 및 실태점검) 실시

6. 개인정보파일 일제 정비

□  목적: 개인정보파일 중 과다보유, 불필요한 파일을 정비하여 개인정보 처리의 적정성과 투명성 확보

□  시기: 3 ~ 4월(시교육청 계획에 의함)

□  내용

- 개인정보 보호위원회 개인정보보호 종합지원시스템(http://intra.privacy.go.kr)에 기관 보유 개인정보파일 신규, 파기, 변경 등록

- 업무용 PC 보관된 개인정보(파일)의 삭제 또는 암호화 조치

- 홈페이지 개인정보 처리방침 현행화 등

7. 고유식별정보 안전조치 관리실태 점검

□  목적: 「개인정보 보호법」시행령 제21조에 의거 공공기관 고유식별정보 처리자의 안전성 확보 조치 이행여부를 3년마다 1회 이상 조사하도록 규정함에 따라 이에 따른 관리실태 조사 추진

□  시기: 5 ~ 7월(시교육청 계획에 의함)

□  내용: 고유식별정보 보유현황 및 안전조치 자체점검 결과 등록

8. 개인정보 내부 관리계획 이행실태 점검

□  목적: 개인정보의 안전한 관리 및 정보주체의 권익 보호 증진

□  시기: 8 ~ 9월(시교육청 계획에 의함)

□  내용

- 내부 관리계획에 필수 항목 반영 여부 확인

- 내부 관리계획 항목에 대한 이행실태 점검 등

Ⅲ

20○○년 개인정보보호 교육

1. 목적

□ 「개인정보 보호법」에 대한 이해 제고 및 현장 실무 능력 배양

□  정보보호 역량 제고에 따른 침해사고 예방 및 신속 대응

2. 근거

□ 「개인정보 보호법」 제28조(개인정보취급자에 대한 감독)

□ 「교육부 개인정보 보호지침」 제11조(개인정보보호 교육)

□ 「부산광역시교육청 정보보안 기본지침」 제8조(정보보안 교육)

3. 전년도 추진 실적

가. 이수 현황

구분	대상	이수인원	시기(장소)	내용
집 합	소속 교직원	○○	3월(강당)	- 개인정보 수집·등록 방법 - 보유 목적 외 이용 및 제3자 제공 절차 - 개인정보처리 위탁 절차 등
원 격	소속 교직원	○○	1 ~ 12월	교직원 법정의무교육 통합과정 원격연수 이수(개인정보보호)
유인물 배포	소속 교직원	○○	5월	상반기 개인정보 처리 유의사항 등
：	：	：	：	：
합 계		○○

※ 집합교육, 유인물배포 시 교육이수는 교육참석자의 확인 서명, 전결권자에게 보고(전자결재, 메모보고 등)된 문서를 통해 인정

나. 결과 분석 및 개선방안

□ 개인정보취급자 교육 참석률 미흡

☞ 미참석자에 대해서는 전달교육 또는 사이버교육을 이수하도록 안내

□ 개인정보 업무 위탁 시 수탁자 교육은 법 의무사항임에도 불구하고 교육 실적이 미흡

☞ 위탁계약 시 수탁업체 담당자에 대한 개인정보 교육 실시

☞ 개인정보처리 위탁에 대한 실적 관리 등

4. 20○○년 추진 계획

구분	대상	시기	인원	장소	내용
개인정보 취급자 (일반직원)	전체 교직원	3월	70	학교 강당	- 개인정보 수집·등록 방법 - 보유 목적 외 이용 및 제3자 제공 절차 - 개인정보처리 위탁 절차 - 침해사고 대응 절차 - 안전성 확보 조치 방안 등
		1~12월	70	원격연수	- 교원/행정 법정의무교육 통합과정 원격 연수(개인정보보호)
		5월	20	유인물 배포	- 상반기 개인정보 처리 유의사항 등
수탁사	수탁사 직원	수시	미정	위탁 사업별 선정 장소	- 개인정보 수탁에 따른 준수사항 - 손해배상책임 등

※ 상기 일정은 사정에 따라 변경될 수 있음

※ 개인정보취급자에 대한 교육은 연 1회 이상 실시(방법은 선택 가능)

Ⅳ

기대효과

□ 개인정보보호 인식 제고 및 역량 강화로 개인정보 관리의 실효성 확보

□ 개인정보 유·노출 사고 예방 및 정보주체의 권익 보호

3
		개인정보보호 교육 결과 보고 기안문 예시

청렴합니다. 우리는 부산교육人입니다.
		○○○학교
수신	내부결재
(경유)
제목	20○○년 개인정보보호 교육 결과 보고

1. 근거

가.「개인정보 보호법」제28조(개인정보취급자에 대한 감독)

나.「20○○년 개인정보보호 추진 계획 수립」(○○○학교-000, 0000.00.00.)

2. 20○○년 전 직원을 대상으로 실시한 개인정보보호 교육 실시 결과를 다음과 같이 보고합니다.

가. 교육일시: 20○○.00.00.(   ), 00:00 ~ 00:00

나. 교육장소: ○○○

다. 주요 교육내용(예시)

- 개인정보 보호 내부 관리계획

- 개인정보 수집·이용·제공·파기 등 처리 단계별 준수사항

- 개인정보 위탁, 수탁자 관리 방법

- 개인정보 유출사고 대응방법 및 절차 등

라. 교육 참석 현황: 붙임 등록부 참조

교육 대상자	교육 참석자	참석률	비고
00명	00명	00%

붙임 1. 교육 등록부 1부.

2. 교육자료 1부.  끝.

★																											교장
협조자
시행			○○학교-0000										(	0000. 00. 00.			)		접수											(			)
우	00000					부산광역시 ○○○																		/	http://www.
전화		051-0000							/전송		051-000-0000					/		○○○@○○○										/	비공개(6)

4
		개인정보보호 교육자료 예시

개인정보보호 및 정보보안 교육자료(예시)

개인정보보호

Ⅰ

1. 개인정보 수집·이용

○ 고려사항

- 법령에 근거하고 있는 수집인가?

- 법령의 근거가 없을 경우, 정보주체의 동의를 얻고 있는가?

- 정보주체의 동의 획득 시 정보주체에게 필수 고지내용을 알려주는가?

- 수집의 목적을 분명하게 하고 목적 내 이용하고 있는가?

- 수집목적을 위해 필요한 최소범위에서의 개인정보만을 수집하고 있는가?

* 최소한의 개인정보 수집이라는 입증책임은 개인정보처리자가 부담

잘못된 사례

‣ 학사업무와 무관한 학부모의 직업, 학력 등 개인정보를 과도하게 수집하는 사례

(☞ 개인정보 최소수집 위반)

○ 개인정보의 수집·이용 기준

1. 정보주체의 동의를 받은 경우

2. 법률에 특별한 규정, 법령상 의무 준수를 위해 불가피한 경우

3. 법령 등에서 정한 공공기관의 소관업무 수행을 위해 불가피한 경우

4. 정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우

5. 명백히 정보주체 또는 제3자의 생명, 신체, 재산의 이익 보호를 위해 필요한 경우

6. 개인정보처리자의 정당한 이익 달성을 위해 필요한 경우

(명백하게 정보주체의 권리보다 우선, 정보주체의 과도한 프라이버시 침해는 허용 불가)

7. 공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우

○ 정보주체의 동의 획득 시 필수 고지사항

① 수집·이용 목적           ② 수집 항목

③ 보유·이용 기간      ④ 동의 거부 권리 및 동의 거부 시 불이익 내용

<개인정보 수집 시 동의 예시>

◆ 개인정보의 수집·이용

1. 수집·이용 목적: 현장체험학습 운영

2. 수집 항목: 학교, 성명, 학년반, 보호자 성명

3. 보유 및 이용 기간: 1년

4. 개인정보 수집을 거부할 수 있으며, 미동의 시 현장체험학습 참가에 제한을 받을 수 있습니다.

개인정보 수집·이용에              □동의합니다.    □동의하지 않습니다.

□‘보유 및 이용기간’은 법령에서 정한 중요한 내용으로, 최소 9포인터 이상, 다른 고지 내용보다 20% 크게, 색깔‧굵기‧밑줄 등을 사용하여 명확하게 드러나게 표시

○ 만 14세 미만 아동의 개인정보의 처리

- 만 14세 미만 아동의 경우 법정대리인의 동의를 받아야 함

- 법정대리인의 동의를 받기 위한 최소한의 정보(성명, 연락처)는 학생으로부터 받을 수 있음

2. 고유식별정보 및 민감정보 원칙적 처리 금지(위반 시 5년 이하 징역 또는 5천만원 이하 벌금)

☞ 고유식별정보: 주민등록번호, 여권번호, 운전면허번호, 외국인등록번호

☞ 민감정보: 사상, 신념, 노동조합‧정당가입, 건강정보, 유전정보, 범죄경력 정보 등

○ 정보주체에게 별도 동의를 얻거나, 법령(법률, 시행령, 시행규칙)에서 구체적으로 처리를  허용하는 경우에 한하여 예외적으로 처리 허용

○ 단, 고유식별정보 중 주민등록번호는 정보주체의 별도 동의를 받아도 처리 불가

- 법률, 대통령령 등에서 구체적으로 주민등록번호 처리를 요구하거나 허용한 경우에만 처리 가능     법률상 근거없이 보유중인 주민등록번호는 즉시 파기

법률상 근거하여 보유중인 주민등록번호는 문서 암호 설정 등 안전조치 이행

※ 인력 채용준비 단계에서 주민등록번호 수집 금지(이력서 서식 등 주민번호 항목 기재 금지)

3. 개인정보 제3자 제공

○ 개념: 제3자(제공받는 자)의 이익이나 목적을 위하여 개인정보를 이전

○ 고려사항

- 제공 시 법적 근거가 있는가?

- 법령상 요청 근거가 없을 경우, 정보주체의 동의를 받고 제공하는가?

- 요청한 목적에 필요한 최소한의 개인정보인가?

○ 개인정보의 수집 목적 內 제3자 제공 기준(개인정보 보호법 제17조)

1. 정보주체의 동의를 받은 경우

2. 법률의 특별한 규정, 법령상 의무 준수를 위해 불가피한 경우

3. 공공기관이 법령 등에서 정한 소관업무를 위해 불가피한 경우

4. 명백히 정보주체 등의 급박한 생명, 신체, 재산의 이익을 위해 필요한 경우로서 정보주체의 사전 동의를 받을 수 없는 경우

5. 개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우(이 경우 개인정보처리자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우에 한함)

6. 공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우

○ 정보주체의 동의 획득 시 필수 고지사항

① 개인정보를 제공받는 자  ② 제공받는 자의 개인정보 이용 목적

③ 제공하는 개인정보의 항목      ④ 제공받는 자의 개인정보 보유·이용기간

⑤ 동의거부 권리 및 동의거부 시 불이익 내용

<개인정보 제3자 제공 시 동의 예시>

◆ 개인정보의 제3자 제공

1. 개인정보를 제공받는 자: 00은행

2. 제공받는 자의 개인정보 이용 목적: 수납 및 환불, 수납자 관리

3. 제공하는 개인정보 항목: 학부모성명, 은행명, 계좌번호, 연락처

4. 제공받는 자의 개인정보 보유 및 이용기간: 5년

5. 개인정보 제공을 거부할 수 있으며, 미동의 시 자동이체 출금이 불가하여 각종 납부금을 학교에 방문 납부하셔야 합니다.

개인정보 제3자 제공에                □동의합니다.      □동의하지 않습니다.

□‘개인정보를 제공받는 자, 제공받는 자의 목적, 보유 및 이용기간’은 법령에서 정한 중요한 내용으로, 최소 9포인트 이상, 다른 고지 내용보다 20% 크게, 색깔‧굵기‧밑줄 등을 사용하여 명확하게 드러나게 표시

○ 개인정보 제3자 제공 예시

□ 교육활동 홍보를 위하여 언론사, 홍보지, 불특정 홈페이지에 제공(정보주체 동의 필요)

□ 외부대회(행사)에 참가하기 위해 제공(정보주체 동의 필요)

□ 스쿨뱅킹 등 계좌연동을 위하여 개인정보를 금융기관에 제공하는 경우(정보주체 동의 필요)

□ 학교생활기록부, 건강기록부를 전출교 및 상급학교에 제공(초중등교육법 제25조에 따름)

□ 여행자보험 가입을 위하여 보험사와 직접 계약하여 제공하는 경우(정보주체 동의 필요)

4. 개인정보의 목적 외 이용 및 제3자 제공

○ 개념: 개인정보처리자가 당초에 수집 목적을 벗어나 다른 목적으로 개인정보를 이용하거나, 다른 목적으로 이용하기 위해 제3자에게 제공하는 것

○ 고려사항

- 목적 외 이용 및 제공할 수 있는 예외적인 사항에 포함되는가?

- 법령상 허용 기준이 없을 경우, 정보주체의 별도의 동의를 받고 제공하는가?

- 요청한 목적에 필요한 최소한의 개인정보인가?

- 적절한 보안대책 등 처리정보에 대한 안전성 확보조치가 이루어졌는가?

○ 개인정보의 수집 목적 外 이용 및 제3자 제공 가능 범위(개인정보 보호법 제18조)

- 원칙적으로는 개인정보의 목적 외 이용 및 제3자 제공 금지

	<개인정보의 목적 외 제3자 제공 허용기준>
1. 정보주체의 별도의 동의를 받은 경우 2. 다른 법률에 특별한 규정이 있는 경우 3. 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익에 필요한 경우 4. 개인정보를 목적 외로 이용하거나 이를 제3자에게 제공하지 않으면 다른 법률에서 정하는 소관 업무 수행 불가한 경우로 보호위원회의 심의·의결을 거친 경우 5. 조약, 국제협정 이행을 위해 외국정부 등 제공에 필요한 경우 6. 범죄의 수사와 공소의 제기 및 유지를 위하여 필요한 경우 7. 법원의 재판업무 수행을 위하여 필요한 경우 8. 형(刑) 및 감호, 보호처분의 집행을 위하여 필요한 경우 9. 공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우

○ 정보주체의 별도의 동의 획득 시 필수 고지사항

① 개인정보를 제공받는 자  ② 제공받는 자의 개인정보 이용 목적

③ 제공하는 개인정보의 항목      ④ 제공받는 자의 개인정보 보유·이용기간

⑤ 동의거부 권리 및 동의거부 시 불이익 내용

○ 개인정보 목적 외 이용 및 제3자 제공에 따른 이행 사항

① 개인정보를 제공받는 자에게 이용 목적, 이용 방법, 그 밖에 필요한 사항에 대하여 제한을 하거나, 개인정보의 안전성 확보를 위하여 필요한 조치를 마련하도록 문서로 요청

②‘개인정보 목적 외 이용 및 제3자 제공 대장’기록·관리

③ 개인정보처리방침 내 개인정보처리 위탁 게시판을 통해 홈페이지 공개

(단, 정보주체의 별도 동의를 받았거나, 범죄의 수사와 공소의 제기 및 유지를 위하여 제공한 경우는 제외)

○ 개인정보 목적 외 이용 및 제3자 제공 예시

□ 병역법 제20조의3에 따른 병무청에 학적 및 학적변경 자료 제공

□ 감사원법 제27조에 따른 감사원 요구에 따른 자료 제공

□ 국회법 제128조에 따른 국회 요구에 의한 자료 제공

□ 범죄의 수사와 공소의 제기 및 유지를 위해 경찰서에서 요구하는 경우

5. 개인정보 처리 위·수탁

○ 개념: 개인정보처리자(위탁자)가 개인정보 수집‧이용 등의 처리 자체를 제3자(수탁자)에게 위탁하거나, 개인정보의 이용‧제공 등 처리가 수반되는 업무를 수탁자에게 위탁하는 것을 의미

○ 개인정보 위탁 관리 시 안전성 확보 조치 (필수 3가지 이행)

① 위탁계약서 작성 및 위탁계약서에 필수 사항 반영

② 수탁자에 대한 교육 및 관리․감독 실시(수탁자 교육 및 실태점검)

※ 수탁자 교육은 계약 시 실시

③ 개인정보처리방침 내 개인정보처리 위탁 게시판을 통해 홈페이지 공개

④ 사업 종료 시 개인정보 반환 또는 파기여부 확인서 및 보안확약서 징구

○ 개인정보 위·수탁 예시

□ 홈페이지, 지문인식시스템 등 개인정보 접근이 가능한 유지보수 용역

□ 졸업앨범, 학생증, 공무원증, 교직원수첩 등의 외주제작

□ 여행사를 통한 단체여행 계약

□ 외부업체를 이용한 재학생 성적표 등의 우편발송, SMS발송 업무 등

6. 개인정보 파기

○ 처리목적이 달성되거나, 해당 서비스 및 사업이 종료된 경우, 정당한 사유가 없는 한 5일 이내에 개인정보 파기

○ 개인정보 파기는 반드시 개인정보 보호책임자(분야별책임자)의 책임하에 수행되어야 하며, 개인정보 보호책임자는 파기 결과를 확인하여야 함

○ 다른 법령에 따라 보존하여야 하는 경우 다른 개인정보와 분리하여 저장․관리

○ 개인정보 파기에 관한 사항은 기록·관리하여야 함

○ 각종 서면 동의서 파기 관리

- 오프라인(신청서를 통한 서면 수집 등) 방식으로 생산된 기록물에 포함된 개인정보 중 다음의 경우 기록·관리 대상이 됨

‣ 「공공기록물 관리에 관한 법률」 및 해당 업무수행과 관련된 개별 법령에서 기록물로 등록하여 관리하도록 규정되어 있는 경우

‣ 민원의 소지가 있거나 법적 증거력의 확보를 위해 관리해야 하는 경우

- 기록·관리 대상은 「공공기록물 관리에 관한 법률」 적용 대상이며, 「공공기록물 관리에 관한 법률」의 규정에 따라 관리

‣ 기록관리 대상(각종 동의서 등)은 업무관리시스템에 등록하여 관리

‣ 기록물(과제카드) 보존기관 만료 시 「공공기록물 관리에 관한 법률 시행령」 제43조에 따라 기록물의 평가 및 폐기 등 절차 수행

- 기록 관리대상에 해당하지 않은 경우 → 「개인정보 보호법」에 따라 파기

‣ 회원제 홈페이지 회원정보는 「개인정보 보호법」에 따라 개인정보 파기

7. 개인정보 유출사고 대응

○ 개인정보 유출사고 대응 절차

① 침해사고 신고	⇨	② 사고접수 및 확인조사	⇨	③ 침해사고 대응팀 구성	⇨	④ 사고처리	⇨	⑤ 결과보고 및 개선 이행
민원인, 교직원		개인정보 보호책임자		개인정보 보호책임자		침해사고 개인정보취급자, 침해사고 대응팀		침해사고 개인정보취급자, 개인정보 보호책임자
침해․유출 사고 인지		침해․유출 사고 확인 및 보고		침해사고 대응체계 구성		긴급조치, 세부조사, 유출통지, 유출신고		보고서 작성보고 기술적․관리적 보완조치

※ 「신학년·신학기 개인정보 침해(유출)사고 예방을 위한 유의사항」(안전기획과-1208, 22.2.10.) [붙임 5] 참고

개인정보 유출사고 발생 또는 의심되는 상황 발생 시 지체 없이

개인정보 보호책임자(담당자)에게 신고

8. 개인정보의 안전성 확보조치

❍ 개인정보가 분실‧도난‧유출‧위조‧변조 또는 훼손되지 아니하도록 안전성 확보에 필요한 기술적‧관리적 및 물리적 조치 이행(개인정보 보호법 제29조)

❍ 개인정보처리시스템에 대한 접근 권한을 업무 수행에 필요한 최소한의 범위로 업무 담당자에 따라 차등 부여

- 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력한 경우 개인정보처리시스템에 대한 접근 제한

- 유추가능한 ID/PW 일괄 부여 지양

(특히 비밀번호는 사용자 계정, 개인 신상정보 및 부서명칭 등 사용 금지)

잘못된 사례

‣ 학교 안심알리미 서비스 등 개인정보처리시스템에 유추가능한 사용ID/PW 일괄 부여

- 사용ID는 “학교명+2022년+학년반”, 초기 비밀번호는 “학교 대표번호(교무실)”

‣ 초기 비밀번호를 변경하지 않아도 사용가능할 수 있도록 하고, 비밀번호 변경 시 비밀번호 생성 규칙에 부합하지 않아도 변경이 가능(☞ 안전성 미확보)

- 전보 또는 퇴직 등 인사이동이 발생하여 개인정보취급자가 변경되었을 경우 지체없이 개인정보처리시스템의 접근 권한을 변경 또는 말소

- 개인정보처리자는 권한 부여, 변경 또는 말소에 대한 내역을 기록하고, 그 기록을 최소 3년간 보관

❍ 개인정보처리시스템에 접속한 기록이 위·변조 및 도난, 분실되지 않도록 해당 접속기록을 안전하게 보관 및 점검

- 일반적인 개인정보처리시스템은 1년 이상 보관‧관리하여야함

- 개인정보처리시스템의 접속기록을 월 1회 이상 점검

정보보안

Ⅱ

1. 사이버보안 진단의 날 실시

○ 시기: 매월 세 번째 수요일(공휴일인 경우 다음날)

○ 대상: 업무용 PC(노트북 포함)

※ 교육용 PC: 자율점검

○ PC 보안 진단 프로그램(내PC지키미) 실행 및 취약점 제거 조치(10개 항목 모두 안전 만들기)

- 악성코드 백신 설치 및 실행 점검

- 악성코드 백신 최신 보안 패치 점검

- 운영체제, MS Office 최신 보안 패치 점검

- 한글 프로그램 최신 보안 패치 점검

- 로그온 패스워드 안전성 점검

- 로그온 패스워드 사용 기간 점검

- 화면보호기 설정 점검

- 사용자 공유 폴더 설정 금지

- USB 자동 실행 설정 점검

- 미사용 ActiveX 프로그램 점검

○ 월별 중점점검 후 취약점 발견 시 보완 조치

○ 사이버보안진단의 날 이행 점검표 작성하여 보관

○ 반기 1회(4월, 10월) 개인정보스캐너(Privacy-i)를 이용하여 업무용 PC에 보관 중인 개인정보 삭제 또는 암호화

2. PC 등 단말기 보안 관리

○ CMOS 비밀번호 및 로그인 비밀번호를 설정, 분기별 1회 이상 변경

※ 비밀번호 : 숫자와 문자, 특수문자를 혼합하여 9자리 이상 설정

○ 10분 이상 PC 작업 중단 시 비밀번호가 적용된 화면보호 조치

○ 운영체제 및 응용프로그램(한글, MS Office, Acrobat 등)의 최신 보안패치 유지

○ 바이러스 백신 설치 및 최신 보안패치 유지

○ 업무상 불필요한 응용프로그램 설치 금지 및 공유 폴더의 삭제

○ 출처가 불분명한 이메일 첨부파일이나 웹사이트 열람 금지

○ 보안이 취약한 웹사이트나 불법 파일공유사이트 방문 금지

3. 디지털 복합기 보안관리

※ 디지털 복합기 : 저장매체를 내장하고 네트워크 기능이 포함 복합기·복사기·프린터 등

○ 저장매체가 있거나 장착이 가능한 경우, 자료 완전삭제 또는 디스크 암호화 기능이 탑재된 기기 도입

○ 암호화 저장 기능 사용, 정기적으로 저장된 작업내용(출력․스캔 등) 완전 삭제

○ 공유 저장소 사용 제한 및 접근 제어 등

○ 복합기의 저장매체에 저장된 자료 완전 삭제

- 복합기 사용연한이 경과하여 폐기‧양여할 경우

- 복합기의 저장매체 또는 전체를 교체할 경우, 고장 수리를 위한 외부 반출할 경우

- 그 밖에 저장자료의 삭제가 필요하다고 판단되는 경우

4. 휴대용 저장매체 보안관리

○ 휴대용 저장매체는 일반용/비밀용으로 구분하여 관리

- 개인용 휴대용 저장매체(공인인증서만 저장하는 경우도 포함)도 일반용으로 구분하여 관리

○ ‘휴대용 저장매체 관리대장’의 최종 현황 유지

○ 월1회 이상 휴대용 저장매체 수량 및 보관상태 점검 후 ‘휴대용 저장매체 점검대장’ 작성

※ 보유한 휴대용 저장매체가 없는 경우에도 점검대장 작성 필수

○ 휴대용 저장매체 반출‧입 시‘휴대용 저장매체(전산장비 포함) 반출‧입 대장’작성

○ 휴대용 저장매체 불용 처리 시 절차 준수

5. 정보시스템 보안관리

○ 정보시스템(PC 등) 관리자 및 관리책임자 지정·운용

※ 관리책임자는 정보시스템을 실제 운용하는 부서의 장

○ 정보시스템 관리책임자는 정보시스템 관리대장을 작성 및 최종 현황 유지

○ PC․노트북 등 단말기를 외부 반출·입 시 대장 작성 후 부서장 승인하여 관리

○ 정보시스템(PC․노트북 등) 또는 저장매체 외부수리·교체․반납․양여·폐기·불용 처리할 경우 저장된 자료가 외부에 유출되지 않도록 자료 삭제 등 보안조치 실시

○ 저장매체 불용시 자료 삭제 방법

저장 자료 저장 매체	공개 자료	비공개 자료	대외비 자료	비밀 자료
자기테이프,플로피 디스크, 광디스크	자체 판단	물리적 파괴	물리적 파괴	물리적 파괴
반도체메모리 (SSDㆍUSB 등)	포맷 또는 삭제	완전삭제 제품	물리적 파괴	물리적 파괴
하드디스크	포맷 또는 삭제	디가우징 또는 완전삭제 S/W	물리적 파괴	물리적 파괴

6. 용역사업(유지보수사업 포함) 보안관리

○ 용역사업 추진․계약 시

- 제안요청서(과업지시서)․입찰공고․계약서 등에 ‘누출금지 대상정보’, ‘부정당업자 제재조치’ 등 기밀유지 의무 및 위반 시 불이익 등을 정확히 공지

○ 용역사업 수행 시

- 보안서약서 징구(대표명의, 용역사업 참여인력)

- 용역사업 참여업체․인력에 대하여 보안교육 및 보안점검 실시

- 용역 사업 관련 자료 제공 시 인계‧인수 대장 작성(인계자․인수자 직접 서명) 후 제공

- 노트북 등 용역 사업 관련 장비의 반출․입 시 악성코드 감염여부 및 자료 무단 반출 여부 확인

- 정보시스템 유지보수 사업관리 철저

‣ 유지보수 절차에 따라 정기적으로 정보시스템 정비를 실시

‣ 정보시스템의 결함이 의심되거나 발생한 결함, 예방(점검) 및 유지보수에 대한 기록 보관

○ 용역사업 완료 시

- 용역업체에 제공한 자료, 중간․최종 산출물 등 용역과 관련된 제반자료는 전량 회수

- 업체에 복사본 등 별도 보관 여부 확인 및 용역사업관련 자료를 보유하고 있지 않다는 대표 명의 확약서 징구

7. 개인별 정보보안 준수 사항

○ 단말기 보안

- 매월 내PC지키미 실행 및 조치 철저

- 개별사용자는 단말기에 대하여 다음의 보안대책을 준수

- CMOS·로그온·자료 암호화 비밀번호의 정기적 변경사용

- 단말기 작업을 10분 이상 중단 시 비밀번호 등을 적용한 화면보호 조치

- 최신 백신 소프트웨어 설치

- 운영체제 및 응용프로그램에 대한 최신 보안패치 유지

- 출처, 유통경로 및 제작자가 불분명한 응용프로그램의 사용 금지

- 인터넷을 통해 자료(파일) 획득 시 신뢰할 수 있는 인터넷사이트를 활용하고 자료(파일) 다운로드 시 최신 백신 소프트웨어로 검사 후 활용

- 인터넷 파일공유·메신저·대화방 프로그램 등 업무상 불필요한 프로그램의 설치 금지 및 공유 폴더 삭제

- 웹브라우저를 통해 서명되지 않은 액티브-X 등이 다운로드·실행되지 않도록 보안 설정

○ 비밀번호 보안

- 각종 비밀번호는 숫자·문자·특수문자 등을 혼합하여 안전하게 설정하고 정기적으로 변경·사용하여야 함

- 사용자 계정(아이디)과 동일하지 않은 것

- 개인 신상 및 부서 명칭 등과 관계가 없는 것

- 일반 사전에 등록된 단어의 사용을 피할 것

- 동일한 단어 또는 숫자를 반복하여 사용하지 말 것

- 사용된 비밀번호는 재사용하지 말 것

- 동일한 비밀번호를 여러 사람이 공유하여 사용하지 말 것

- 응용프로그램 등을 이용한 자동 비밀번호 입력기능을 사용하지 말 것

○ 인증서 보안 관리

- 인증서가 분실, 훼손, 도난, 유출되지 않도록 안전하게 관리

- 인증서를 메일함 또는 클라우드 저장소에 보관 금지

○ 비공개 업무자료 유출방지

- 상용메일(구글메일, 네이버메일, 다음메일 등), 상용메신저(카카오톡 등) 등에서 비공개 업무자료 처리 금지

○ 전자우편(e-mail) 보안

- 수신된 전자우편에 포함된 첨부파일이 자동 실행되지 않도록 기능설정

- 첨부파일을 다운로드 할 경우 최신 백신 소프트웨어로 악성코드 은닉여부 검사 필요

- 출처가 불분명하거나 의심되는 제목의 전자우편은 열람하지 말고 해킹메일로 의심될 경우 즉시 정보보안담당자에게 신고

○ 랜섬웨어 피해예방 수칙 준수

- 모든 소프트웨어와 백신은 최신버전으로 업데이트하여 사용

- 출처가 불명확한 이메일과 사이트 등에서 파일 다운로드 및 실행에 주의

- PC에 저장된 중요 자료는 정기적으로 백업

교육내용에 대한 자세한 자료는 『2023년 정보보호 실무 매뉴얼』을 참고하시기 바랍니다.

□ 탑재위치: 부산광역시교육청 “업무포털 > 정보보호게시판”