8

개인정보보호 실태점검 및 수준진단

(작성 기준일 2024. 12.)

근거

‣ 「개인정보 보호법」 제29조(안전조치의무)

‣ 「개인정보 보호법 시행령」 제30조(개인정보의 안전성 확보 조치)

‣ 「개인정보의 안전성 확보조치 기준」제4조(내부 관리계획의 수립·시행 및 점검)

세부

추진내용

□ 준수사항

① 연1회 이상 내부 관리계획에 따른 접근권한 관리, 접속기록 보관 및 점검, 암호화 조치 등 기술적·관리적 및 물리적 안전조치의 이행 여부를 점검·관리

② 개인정보 내부 관리계획 이행실태 자체점검 결과 내부결재(개인정보 보호책임자)

※ 교육청 업무 추진 시(교육청 공문 시행)

벌칙규정

위반행위	벌칙
안전성 확보조치 의무 위반 (「개인정보 보호법」제29조 위반)	3천만원 이하 과태료 (「개인정보 보호법」 제75조제2항제5호)

관련자료

1. 개인정보 내부 관리계획 이행실태 자체점검 결과 기안문 예시

2. 개인정보 내부 관리계획 이행실태 점검표

1
		개인정보 내부 관리계획 이행실태 자체점검 결과 기안문 예시

청렴합니다. 우리는 부산교육人입니다.
		○○○학교
수신	내부결재
(경유)
제목	개인정보 내부 관리계획 이행실태 자체점검 결과 보고

1. 근거

가. 개인정보 보호법 제29조(안전조치의무) 및 같은 법 시행령 제30조(개인정보의 안전성 확보조치)

나. 개인정보의 안전성 확보조치 기준 제4조(내부 관리계획의 수립·시행 및 점검)

다. ○○학교-   (20 .  .  .)“개인정보 보호 내부 관리계획(안) 수립”

2. 개인정보의 안전한 관리를 위하여 개인정보 내부 관리계획 이행실태 자체점검 결과를 붙임과 같이 보고합니다.

붙임  개인정보 내부 관리계획 이행실태 점검표 1부. 끝.

★																											교장
협조자
시행			○○학교-0000										(	0000. 00. 00.			)		접수											(			)
우	00000					부산광역시 ○○○																		/	http://www.
전화		051-0000							/전송		051-000-0000					/		○○○@○○○										/	비공개(5)

2
		개인정보 내부 관리계획 이행실태 점검표

개인정보 내부 관리계획 이행실태 점검표

학교명: ○○○○○

구분	점검내용		점검 결과
1. 개인정보 내부 관리계획 수립·시행	1-1. 개인정보 내부 관리계획 수립(개정) 및 기관장(교장) 결재 여부		○/X
	내용	내부 관리계획 수립(개정) 및 기관장(교장) 결재 여부
	1-2. 개인정보 내부 관리계획을 직원 전파 여부		○/X
	내용	내부관리계획을 공람, 게시판 게시 등 전 직원에게 전파하고 공유했는지 여부
2. 개인정보 보호책임자 지정 및 역할 수행	2-1. 개인정보 보호책임자 지정 여부		○/X
	내용	내부 관리계획 및 개인정보 처리방침에 개인정보 보호책임자의 지정 여부 교육지원청: 4급 이상 공무원, 초·중·고: 교장, 직속기관: 개인정보 처리 부서장
	2-2. 개인정보 보호책임자 역할 수행 여부		○/X
	내용	내부 관리계획에 지정된 역할을 적절하게 수행하고 있는지 여부
	2-3. 개인정보보호 종합지원시스템(intra.privacy.go.kr) 현행화 여부		○/X
	내용	개인정보보호 종합지원시스템(intra.privacy.go.kr)에 책임자, 총괄관리자, 취급자 현행화 및 개인정보파일 현행화 여부
3. 개인정보 처리방침의 수립 및 공개	3-1. 개인정보 처리방침 수립(개정) 및 현행화 여부		○/X
	내용	개인정보 처리방침에 법 개정 사항 반영 및 개인정보 보호책임자 현행화 여부
	3-2. 개인정보 처리방침 공개 여부		○/X
	내용	수립(개정)된 개인정보 처리방침 홈페이지 공개 및 이력 관리 여부
4. 개인정보 보호 교육 실시	4-1. 개인정보 보호 교육계획 수립 여부		○/X
	내용	개인정보 보호 교육계획 수립 여부
	4-2. 개인정보 보호책임자 교육 이수 여부		○/X
	내용	연1회 이상의 개인정보 보호책임자(CPO) 교육 이수 여부
	4-3. 개인정보 보호담당자 교육 이수 여부		○/X
	내용	연 1회 이상의 개인정보 보호담당자 교육 이수 여부 ※ 신규 발령 개인정보 보호담당자는 15시간 이상의 교육 이수
	4-4. 개인정보취급자 교육 실시 여부		○/X
	내용	전직원(개인정보취급자) 교육 이수 여부
5. 접근 권한 관리	5-1. 개인정보처리시스템 권한 부여 및 관리 적정 여부(접근 권한 관리대장 작성 여부)		○/X
	내용	❍ 개인정보처리시스템 접근 권한 관리대장 작성 여부 - 대상: 교육정보시스템(나이스, K-에듀파인, 업무관리) 및 홈페이지 관리자페이지 등 - 개인정보처리시스템에 접근 권한을 최소한의 범위로 부여했는지 여부 점검 - 전보, 퇴직 등 인사이동 시 권한 변경 및 말소 여부 - 사용자(개인정보취급자)별 접속 계정 발급 및 공유금지의 이행 여부
6. 접근통제 및 단말기 안전조치	6-1. 업무용PC, 모바일 기기 등에 접근통제 여부		○/X
	내용	❍ 내PC지키미 실행 여부 - PC 운영체제나 보안프로그램 등의 접근통제 조치 - 비밀번호 설정 - 화면보호기 비밀번호 설정(10분이상)
	6-2. 홈페이지 관리자페이지 등에 대한 접근통제 여부		○/X
	내용	❍ 홈페이지 관리자페이지에 대한 접근을 IP주소 등으로 제한 ❍ 홈페이지 로그인(관리자페이지 로그인 포함) 후 일정시간 이상 업무를 처리하지 않을 경우 자동 접속차단(로그아웃 등) 등의 조치 ※ 학교 홈페이지의 경우는 웹호스팅 서비스에서 자동 접속차단 조치 완료
7. 암호화	7-1. 업무용PC에 고유식별정보(주민등록번호 등) 저장 시 암호화 실시 여부		○/X
	내용	❍ 개인정보가 있는 문서파일 중 불필요한 파일은 즉시 삭제, 필요한 파일은 암호화하여 저장(주민등록번호가 포함된 문서파일은 반드시 암호화) ❍ 방법: 암호화 프로그램(Privacy-i), 한글 또는 MS오피스 문서암호기능 등을 활용
	7-2. 홈페이지 등 개인정보처리시스템에 대한 암호화 조치 여부		○/X
	내용	❍ 고유식별정보, 비밀번호, 생체인식정보를 송수신하는 구간에 SSL적용 확인 ❍ 비밀번호를 저장하는 경우 일방향 암호화되어 저장되어 있는지 확인 ※ 학교 홈페이지의 경우는 웹호스팅 서비스에서 비밀번호 일방향 암호화 조치 완료
8. 접속기록 보관 및 점검	8-1. 홈페이지 등 개인정보처리시스템에 접속한 기록의 보관·관리 여부		○/X
	내용	❍ 개인정보취급자가 개인정보처리시스템에 접속하여 처리한 업무내역을 알 수 있도록 접속기록을 1년이상 기록·보관 - 접속기록: 계정, 접속일시, 접속지 정보, 처리한 정보주체 정보, 수행업무 등을 전자적으로 기록한 것 ※ 학교 홈페이지의 경우는 웹호스팅 서비스에서 접속기록 저장 조치 완료
	8-2. 홈페이지 등 개인정보처리시스템의 접속기록 점검		○/X
	내용	❍ ‘개인정보처리시스템 접속기록 점검대장’ 작성 여부 - 비인가된 개인정보의 처리, 대량의 개인정보의 조회·정정·다운로드‧삭제 등의 비정상 행위 여부를 월 1회 이상 점검
9. 악성 프로그램 방지	9-1. 업무용PC에 백신 소프트웨어 등의 보안프로그램 설치·운영 여부		○/X
	내용	❍ 업무용PC에 백신 소프트웨어가 설치되어 있고 자동 업데이트 또는 일 1회 이상 업데이트 될 수 있도록 설정되어 있는지 확인 ※ 설정확인: V3 → 환경설정 → 기타설정 → 사용환경 → 업데이트 설정 탭
10. 물리적 안전조치	10-1. 개인정보 보관 장소의 물리적 통제 절차 수립 여부		○/X
	내용	❍ 전산실, 평가실 등에 대한 통제(제한)구역설정, 출입명부관리, 잠금장치 설정 등 ❍ 개인정보 포함 서류, 휴대용 저장매체는 잠금장치가 있는 안전한 장소에 보관
11. 목적 외 이용 및 제3자 제공	11-1. 개인정보의 목적 외 이용 및 목적 외 제3자 제공 절차 준수 여부		○/X
	내용	❍ 개인정보 보호책임자의 승인을 거쳐 제공받는자에게 문서로 보호조치 요청 여부
	11-2. 개인정보의 목적 외 이용 및 제3자 제공 시 대장 기록 관리 및 공개 여부		○/X
	내용	❍ ‘개인정보의 목적 외 이용 및 제3자 제공 대장‘ 작성 여부 ❍ 목적 외 이용 및 제3자 제공 내역을 홈페이지 공개 ※ 정보주체의 별도 동의, 범죄의 수사를 위해 제공한 경우 공개 제외
12. 개인정보 파기	12-1. 목적 달성, 보유기간 경과한 개인정보(파일)의 파기 여부		○/X
	내용	❍ 목적 달성, 보유기간이 경과한 개인정보(파일) 파기 여부 ❍ 파기 요청서 및 개인정보(파일) 파기 관리대장 기록·관리 여부
13. 수탁자 관리·감독	13-1. 개인정보 처리업무 위탁 시 법 의무사항의 문서화 여부		○/X
	내용	❍ 최신 개정 법령이 적용된 개인정보 처리 위탁계약서 작성 여부 - 개인정보 처리업무 위탁은 반드시 법 의무사항이 명시된 문서에 의하여야 함 ❍ 위탁하는 업무의 내용과 수탁자 정보를 공개(개인정보 처리방침에 공개)
	13-2. 수탁자 교육 및 관리·감독을 수행 여부		○/X
	내용	❍ 수탁자를 대상으로 연1회 이상 개인정보 보호 교육 실시 ❍ 수탁자의 개인정보 처리 현황 및 실태, 개인정보의 안전성 확보조치 여부 등을 연1회 이상 실태 점검 실시 ❍ 위탁 종료 시 개인정보 파기(반환) 여부 확인(개인정보 파기 확인서 징구 등)