사업자 개인정보보호, 이런 점에 유의해야

사업자 개인정보보호 10가지 원칙 공개

[보안뉴스 호애진] 사업자들이 개인정보를 취급할 때 유의해야 할 사항을 정리한 ‘사업자 개인정보보호 10가지 원칙’이 나왔다.

행정안전부는 기업에 대한 개인정보보호 실태점검 및 질의·응답 등을 통해 도출된 내용을 바탕으로 사업자들이 유의해야 할 사항을 정리해 개인정보보호 종합지원포털(www.privacy.go.kr)에 게재했다.

행정안전부가 조사한 사례를 보면, 고객 개인정보 수집 시 제3자 제공 동의는 별도로 받아야 하지만 수집 동의와 한꺼번에 받거나 제3자 제공에 동의하지 않을 시 회원가입을 제한하는 경우가 있었다.

아울러 실제 수집항목과 고객에게 수집대상으로 고지한 항목이 불일치하거나 필수적이지 않은 정보를 필수항목으로 수집하는 경우 등이 있는 것으로 나타났다.

행정안전부가 정리한 ‘사업자 개인정보보호 10가지 원칙’의 주요 내용은 △서비스 제공에 필요한 최소한의 개인정보 수집 원칙 △주민등록번호 등 고유 식별번호나 건강정보 등 민감정보 처리 금지 원칙 △개인정보 제3자 제공 및 위탁 시 정보주체에게 고지 의무 △수집한 개인정보를 안전하게 관리할 의무 △개인정보 수집 목적 달성이나 보유기간 경과 후 파기 의무 △내부관리계획 등 개인정보보호에 관한 지침·문서 구비 의무 △CCTV 운영 시 설치목적·촬영범위 등을 알리는 안내판 설치 등 의무 △개인정보 유출 시 정보주체에게 통지 의무 등을 명시하고 있다.

황서종 행정안전부 정보기반정책관은 “개인정보보호법이 시행된 올 9월 30일 이후 정부의 적극적인 홍보와 교육으로 기업들의 개인정보 보호에 대한 인식이 많이 개선된 것으로 보고 있다”며 “하지만 기업활동에 개인정보보호 문화가 완전히 정착되기 위해서는 좀 더 시간이 필요할 것으로 보고 계속해서 기업이나 영세사업자 등에 대해 관리적·기술적 지원을 해 나갈 계획”이라고 밝혔다.

행정안전부는 지난 9월 30일 개인정보보호법 표준지침 발간에 이어 11월 중 법령·지침 해설서를 발간하고 ‘개인정보 기술지원센터’를 통해 중소·영세사업자에게 취약점 원격진단, 암호화 솔루션 보급, 온라인 전문 컨설팅 등을 지원해 나갈 예정이다.

또한 법 시행 후 6개월 간(‘11.9.30~’12.3.29)은 엄격한 단속보다는 계도 중심의 현장점검을 통해 개인정보보호 제도가 기업활동과 국민의 일상생활에 안정적으로 정착될 수 있도록 관리·지원해 나갈 방침이다.

사업자 개인정보보호 10가지 원칙

원칙		설 명
1	무분별한 개인정보 수집자제	- 인터넷쇼핑몰 등 대다수업종에서 물품판매 등 서비스 제공 시에는 주민등록번호나 생년월일 수집은 필요하지 않다. 불필요하게 개인정보를 수집하는 경우, 관리소홀로 인해 해킹 등 유출사고 시 책임이 크게 증가하므로 서비스제공에 필요한 최소한의 개인정보 수집이 현명하다.
2	개인정보 수집 시 서비스 제공에 꼭 필요한 필수정보와 선택정보 구분	- 고객정보 수집 시 해당서비스 제공과 관련 없는 개인정보(생일, 결혼기념일 등)나 제3자 제공 동의 여부는 고객이 선택적으로 입력할 수 있도록 하여야 한다. 선택정보를 고객이 입력하지 않았다고 해서 해당 서비스 제공을 거부하는 것은 과태료 3천만원 부과사항이다. 법적분쟁 시 필수정보(해당서비스 제공에 필수적인 정보)와 선택정보가 적정한지의 여부는 사업자가 입증책임을 부담하여야 한다.
3	주민등록번호 등 고유식별정보와 종교, 건강정보 등 민감정보는 원칙적 처리금지	- 고유식별정보와 민감정보는 ①정보주체의 별도의 동의 ②법령에서 구체적으로 명시하거나 허용하는 경우를 제외하고는 처리(수집·관리)할 수 없으며, 수집하는 경우에도 다른 정보와 구분하여 별도의 동의를 받아야 한다. 수집 시 관련 법령에 근거가 있는지, 홈페이지 또는 서식에 일반정보와 구분해 별도로 동의를 받고 있는지 살펴서 법위반사례가 없도록 한다.
4	홍보·판매 목적으로 개인정보 위탁 시 고객에게 고지하고 철저히 관리	- 홍보·판매 목적으로 개인정보처리업무를 위탁할 때에는 고객들에게 고지해야 한다. 또한 수탁자의 잘못으로 개인정보가 유출되어 피해가 발생한 경우, 위탁자가 손해배상을 해야 한다. 위탁자는 수탁자를 관리감독할 책임이 부과되므로 수탁자 교육 등을 철저히 이행해야 한다.
5	개인정보파일은 DB보안프로그램, 암호화소프트웨어 등 안전한 방법을 사용해 보관	- 개인정보파일은 유출되었을 때 명의도용, 불법마케팅, 보이스피싱 등에 악용될 수 있으므로 안전한 방법으로 보관해야 한다. 안전하게 보관하기 위해서는 DB 접근권한제한, 백신프로그램 설치, 방화벽 등 침입차단시스템을 설치하고 필요한 보호조치를 취해야 한다.
6	보관이 필요한 증빙 서류는 법령에서 정한 보유기간 숙지하여 준수	- 고객의 개인정보가 담긴 계약서, 청약철회서처럼 보관하고 있지 않으면 불이익을 당할 수 있는 문서를 보관해야 하는 경우에는 법령에서 지정한 보유기간(전자상거래법의 거래기록 보존규정 등)을 숙지하고 이를 준수하는 것이 좋다.
7	개인정보파일수집 당시 사용목적에 따라 이용한 후에는 알아볼 수 없도록 파기	- 개인정보의 보유이용기간이 끝난 경우, 이용목적을 달성한 경우에는 문서를 분쇄하거나 소각해 파기해야 한다. 컴퓨터로 저장된 문서를 가지고 있는 경우라면 복원할 수 없는 방법으로 파기처리한다.
8	CCTV에는 반드시 안내판 설치	- 민간에는 약 250만대 이상의 CCTV가 설치되어 있는 것으로 추정된다. 그 동안 이에 대한 관리감독 근거법률이 없었으나, 개인정보보호법 제정으로 설치운영이 제한되며, 필요한 경우라도 반드시 설치목적 등이 포함된 안내판을 설치해야 한다. 또한 녹음기능 사용, 당초 설치목적을 벗어난 각도조절도 할 수 없다.
9	개인정보보호에 관한 지침·문서 등을 반드시 구비	- 개인정보보호 관련문서를 명확하게 구비하지 않았다면, 개인정보가 유출되는 경우에 책임이 보다 커질 수 있다. 내부관리계획 작성·구비, 개인정보열람청구서 등을 비치, 인터넷 사이트의 경우 회원정보열람 정정메뉴, 회원탈퇴 메뉴를 쉽게 찾을 수 있도록 조치한다.
10	개인정보유출통지, 집단분쟁조정, 단체소송에 대비	- 개인정보가 유출된 경우 정보주체에게 즉시 알리고, 사실확인, 홈페이지차단, 비밀번호변경공지 등 초동조치를 신속히 해야 한다. 또한 유출 피해자는 분쟁조정위원회에 집단분쟁조정 또는 법원에 권리침해중지 단체소송을 제기할 수 있으므로 철저히 대비해야 한다.

[호애진 기자(boan5@boannews.com)]

최근 발생한 크라우드 스트라이크의 보안 SW 업데이트 오류 사태처럼 SW 공급망에 보안이슈가 발생할 경우 관련된 각종 시스템 및 IT 인프라 마비가 일어날 수 있다는 게 드러났습니다. 이러한 공급망 보안을 위협하는 가장 큰 요인은 무엇이라고 생각하시나요?
	랜섬웨어, 피싱 등의 사이버 공격
	SW 업데이트 및 SW 교체 과정에서의 오류
	SW 자체에 존재하는 보안 취약점
	시스템 관리자의 운영상 실수 및 관리 미흡
	기타(댓글로)