사회복지시설의 개인정보보호 『사회복지시설 개인정보보호 가이드라인』중심 사회복지시설의 개인정보보호 『사회복지시설 개인정보보호 가이드라인』중심 2014. 04.

목 차 개인정보보호법 주요내용 사회복지시설 개인정보 처리기준 개인정보 처리단계별 조치기준

Ⅰ. 개인정보보호법 주요내용

개인정보보호법 제정 및 시행 개인정보보호법은 약 350만개 모든 공공기관과 사업자를 개인정보보호 2.0 시대의 개막 개인정보보호법은 약 350만개 모든 공공기관과 사업자를 규율 대상으로 확대하여, 법 적용 사각지대 해소 대통령 소속으로 ‘개인정보보호위원회’를 구성하여, 주요 정책사안 심의 및 의결 ‘공공기관의 개인정보보호에 관한 법률’ 폐지와 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법률’의 일부조항 흡수 4

법률 적용대상 및 적용범위 확대 법 시행 이전 공공기관, 정보통신사업자, 신용정보 제공·이용자 등 분야별 개별법이 있는 경우에 한하여 개인정보보호 의무 적용 - 공공기관: 공공기관의 개인정보보호에 관한 법률 - 정보통신사업자(영리사업자, 온라인 사업자): 정보통신망법 법 시행 이후 적용 대상 확대: 공공기관과 민간기관에 대한 통합 적용 - 국회·법원·헌법재판소·중앙선거관리위원회 등 공공기관 대상 확대 - 의료기관, 협회·동창회 등 비영리단체 대상 확대 - 온라인사업자에서 오프라인 사업자까지 대상 확대 적용범위 확대: 전자기록뿐 아니라 수기 기록 개인정보도 보호대상 확대 5

고유식별정보 처리 제한 법 시행 이전 주민등록번호 등 고유식별정보의 민간사용 사전적 제한 규정 없음 인터넷상에서 주민등록번호 외의 회원가입 방법 제공 의무화 (정보통신사업자 한정) 법 시행 이후 원칙적 처리금지 - 정보주체의 별도 동의, 법령의 근거가 있는 경우 등 예외 허용 인터넷상 주민등록번호 외 회원가입 방법 제공 의무화 대상 확대 (정보통신사업자 → 공공기관, 일 1만명 이상 개인정보처리자) 주민등록번호 등 고유식별정보 처리시 암호화 등 안전조치 확보의무 6

영상정보처리기기 규제 법 시행 이전 공공기관 설치·운영 폐쇄회로텔레비전(CCTV) - 범죄예방 및 교통단속 등 공익을 위하여 필요한 경우 - 녹음기능, 임의조작 금지 법 시행 이후 공공기관에서 민간기관까지 확대 - 법령, 범죄예방·수사, 시설안전 및 화재예방, 교통단속 등 - 녹음기능, 임의조작 금지 규율대상 확대 - 기존 ‘폐쇄회로텔레비전(CCTV)’에서 네트워크카메라 포함 7

유출통지, 집단분쟁조정 및 단체소송 개인정보 유출사실 통지 의무화 집단분쟁조정도입(재판상 화해 효력 부여) 법 시행 이전 관련 제도 없음 법 시행 이후 개인정보 유출사실 통지 의무화 집단분쟁조정도입(재판상 화해 효력 부여) - 개인정보 피해가 대부분 ·소액 사건인 점 고려 단체소송(권리침해 중지) 도입 - 재산피해 단체소송은 제외 8

개인정보보호위원회 및 분쟁조정위원회 법 시행 이전 법 시행 이후 개인정보보호위원회 설치 - 공공 및 민간부문 정책 심의ㆍ의결 공공기관개인정보보호심의위원회 - 공공부문 정책 심의 - 국무총리 소속 개인정보분쟁조정위원회 - 민간분야 분쟁조정 법 시행 이후 개인정보보호위원회 설치 - 공공 및 민간부문 정책 심의ㆍ의결 - 대통령 소속 개인정보분쟁조정위원회 기능 확대 (기존) 15인 이내(민간 한정) → (확대) 20인 이내(모든 공공·민간 포함) 9

주민번호 수집 법정주의(법 개정) 현행법 제24조 제1항 정보주체로부터 별도 동의를 받은 경우 법령에서 구체적으로 주민등록번호 처리를 요구ㆍ허용한 경우 개정법 제24조의2 제1항 법령에서 구체적으로 주민등록번호 처리를 요구ㆍ허용한 경우 정보주체 또는제3자의 급박한 생명, 신체, 재산ㆍ이익을 위해 명백히 필요하다고 인정되는 경우 기타 이에 준하는 경우로서 안정행정부령으로 정하는 경우 기 보유 주민번호 중 법령상 근거가 없는 경우 법 시행 후 2년 이내 파기 10

과징금 및 징계권고 제도(법 개정) 현행법 관련 제도 없음 개정법 제34조의 2, 제76조, 제65조 주민등록번호 분실 · 도난 · 유출 ·변조 또는 훼손된 경우 5억원 이하 과징금 부과 ·징수 단, 주민번호 안전성 확보조치 이행시 과징금 면제 과징금 부과한 행위에 대해 과태료 부과 금지(과태료 규정 적용 특례) 안전행정부장관의 징계 권고 대상에 개인정보처리자의 대표자(CEO) 및 책임있는 임원이 포함되는 징계권고 제도 도입 11

개인정보보호법과 사회복지 관련법 사회복지 관련 법과의 적용 관계 개인정보보호법은 일반법이므로 다른 법률에 특별한 규정이 있는 경우를 제외하고는 개인정보보호법 적용 사회복지 관련 법령에 따른 사회복지 자원봉사활동 등을 위한 개인정보 수집·열람·제공은 사회복지 관련 법령이 우선적용 사회복지 관련 법령에 규정되어 있지 않은 사항은 개인정보보호법에 따라 처리 영상정보처리기기 설치운영 제한, 유출통지제, 집단분쟁조정제, 권리침해 중지 단체소송 등은 사회복지 관련 법령 수범자에게도 모두 적용 12

Ⅱ. 사회복지시설 개인정보 조치기준

1. 사회복지시설 이용자 개인정보 처리 이용자 개인정보 처리 공공부문 ▶ 이용자 등록단계에서 정보주체의 동의없이 수집 서비스 제공을 위한 최소한 개인정보 수집 법령에 따른 개인정보 수집 ▶ 이용자 등록단계에서 정보주체 동의를 받아 수집 최소한의 정보 이외 선택정보 수집 시 즉각적인 서비스 이용이 어려워 대기자 명단 등록 시 ▶ 개인정보 처리업무를 위탁할 경우 문서로 시행 위탁 사실을 인터넷 홈페이지 또는 사업장 등 보기 쉬운 장소에 게시 ▶ 수집 이용 목적을 달성한 경우 지체없이 개인정보 파기하는 것이 원칙 법령에 따라 보존이 필요한 경우, 해당 정보 기존 파일에서 분리 보관

2. 사회복지시설 입소자 개인정보 처리 입소자 개인정보 처리(1) 공공부문 ▶ 입소자 등록단계에서 정보주체의 동의없이 수집 입소계약 체결 및 이행을 위한 최소한 개인정보 수집 법령에 따른 개인정보 수집 ▶ 이용자 등록단계에서 정보주체 동의를 받아 수집 최소한의 정보 이외 선택정보 수집 시 즉시 입소가 어려워 대기자 명단 등록 시 ▶ 입소자가 계약을 체결할 수 없는 경우, 법정대리인이 계약 체결 시장·군수·구청장이 인정하는 경우, 입소대상자의 배우자 또는 부양의무자가 계약당사자 가능

2. 사회복지시설 입소자 개인정보 처리 입소자 개인정보 처리(2) 공공부문 ▶ 치매노인 상담 및 지원 시 치매환자 등록카드 별도 작성 보호자에게 개인정보 수집·이용·제공 동의를 받음 ▶ 사회복지시설에 협약 의료기관 및 촉탁의사를 두는 경우 입소자 진료기록부는 정보주체의 동의 없이 의료기관에 보관 가능 ▶ 사회복지사 승인 하에 입소자 본인 및 보호자에게 개인정보 열람 가능 장기요양급여제공일지, 배설관찰일지, 건강관리기록지, 투약관리기록지, 목욕급여제공기록지, 체위변경 및 욕창관찰기록지 등 ▶ 주민등록번호는 법령에 근거가 있는 경우에만 수집

2. 사회복지시설 입소자 개인정보 처리 입소자 개인정보 처리(3) 공공부문 ▶ 개인정보 처리업무를 위탁할 경우 문서로 시행 위탁 사실을 인터넷 홈페이지 또는 사업장 등 보기 쉬운 장소에 게시 ▶ 입소자가 사회복지시설을 변경하는 경우의 개인정보 정보주체의 동의를 얻어 변경하고자 하는 기관에 제공 ▶ 입소자 개인정보 처리 종료 수집 이용 목적을 달성한 경우 지체없이 개인정보 파기하는 것이 원칙 법령에 따라 보존이 필요한 경우, 해당 정보 기존 파일에서 분리 보관 입소자 사망 시 보호자에게 지체없이 통보하고, 행정기관에 사망 1개월 이내에 제반 관련 서식에 의거, 사망사실 보고 및 퇴소 처리

이용자 개인정보 처리기준 FAQ 개인정보보호 관련 동의서를 작성할 경우 도장, 서명 중 서명을 원칙으로 한다고 하는데 도장을 받은 경우에도 유효한가요? 개인정보보호법시행령 제17조1항에서는 서면에 동의를 받는 방법은 서명 또는 날인으로 명시되어 있으므로 도장을 받은 경우에도 유효 FAQ 이용자 인적사항을 사무실 현황판에 사용을 할 때도 동의를 받아야 하나요? 인적사항의 게재가 필요한 경우, 정보주체 동의 필요 FAQ 기관별 소식지 및 홈페이지에 이용자 얼굴이 나오는 사진을 게재할 경우 개인정보 수집・이용 동의서를 받아야 하나요? 사진 게재에 대하여, 정보주체의 개인정보 수집・이용에 대한 동의 필요 18

이용자 개인정보 처리기준 FAQ 협회 또는 유관 기관에서 공문을 통해 사회복지시설 이용자 주민등록번호를 알려달라고 하는데 개인정보보호법 위반사항인가요? 단순히 공문에 근거하여 정보주체의 동의 없이 협회 또는 유관기관에 주민등록번호를 제공하는 것은 개인정보보호법 위반 FAQ 같은 기관의 다른 부서에서 다른 프로그램을 이용하는데 개인정보를 이용하여 처리하는 경우, 이에 관하여 별도 동의가 필요한가요? 동일 업무를 목적으로 정보 공유하는 경우, 별도 동의 없이 정보 이용 가능 FAQ 일자리 제공사업을 위한 산재보험 단체가입 시, 제공 동의를 받아야 하나요? 일자리 제공을 위해 산재가입 시, 고용보험 및 산업재해보상보험의 보험료징수 등에 관한 법률에 따라 동의 불필요 19

입소자 개인정보 처리기준 FAQ 사회복지시설 내 입소자의 외출 시 착용하는 실종방지인식표에 보호자의 연락처와 주소의 기재는 보호자의 동의가 필요한가요? 실종방지 보호서비스가 필요한 입소자의 착용 의상에 보호자의 연락처, 주소 등을 붙이는 사항은 사회복지기관, 환자, 보호자 간의 합의가 필요하므로, 보호자 동의필요 FAQ 우편물 DM작업 의뢰 시 발송 완료 후, 개인정보의 관리 책임은 제공하는 자와 수탁자 중 누구에게 있나요? DM 발송 처리업무를 제3자에게 위탁할 경우, 개인정보보호법 제26조에 해당하므로, 개인정보 관리를 위해 위탁자가 수탁자 관리감독 책임이 있음 손해배상 책임은 수탁자를 위탁자의 소속직원으로 간주 20

3. 사회복지시설 후원자 개인정보 처리 후원자 개인정보 처리 공공부문 ▶ 후원금 영수증의 교부, 사용내역 통보 등 필요 최소한 개인정보 수집 개인정보 수집 시 후원자별 동의 필요 단체후원에서도 연락망 작성을 위해 개별적인 개인정보 수집 동의 필요 후원자의 개인정보 처리 법령의 근거는 의무조항이 아니므로 동의 필요 후원자에게 후원금(품)의 사용 내역을 통보하기 위한 연락처 관리 가능. 단, 후원금 결과보고를 시·군·구청장에 제출할 때는 후원자 성명 비공개 ▶ CMS(Cash Management Service) 이용을 위한 개인정보 별도 동의 필요 「소득세법시행규칙 제101조20호의2」또는「법인세법시행규칙 제82조제6항3의3호」에 따라 기부금 영수증 양식으로 후원금 양식 교부 국세청의 연말정산 간소화 서비스 후원내역 자료제공 등

3. 사회복지시설 후원자 개인정보 처리 자원봉사자 및 방문자 개인정보 처리 공공부문 ▶ 자원봉사자 동의를 획득한 후, 개인정보 최소한의 범위로 수집 만 14세 미만의 아동의 경우, 법정 대리인 동의 필요 사회복지봉사활동 인증관리시스템(VMS)은 자원봉사자가 직접 회원가입 입력된 정보의 열람에 필요한 정보 및 기타 추가정보에 대해서만 최소한으로 수집하여야 하며, 이에 대한 동의가 필요 자원봉사자가 요구 시 자원봉사증명서 발급 및 관리 자원봉사 활동 확인 등을 달성하였을 경우, 개인정보 파기 ※ VMS 고유식별번호 처리 근거 사회복지사업법 제9조 ▶ 사회복지시설 방문자는 방문기록 카드 작성을 위하여 개인정보 수집에 대한 동의 획득 필요

자원봉사자 개인정보 처리기준 FAQ 자원봉사자(단체)의 자원봉사자가 자원봉사에 대해 증빙서류를 요청하는 경우에는 어떻게 해야 하나요? VMS(사회복지봉사활동인증관리시스템)을 통해 증빙서류 발급 VMS를 활용하지 않는 기관에서는 최소한의 보존을 위해 백업과 별도 보관을 통해 증빙서류를 발급 사회복지시설에서 법령에서 정한 보관기간이 지난 이후에도 자원봉사 증빙서류를 보관하고자 하는 경우, 정보주체 별도 동의 23

4. 근무인력 개인정보 처리기준(1) 1. 채용 준비단계 ▶ 인재선발을 위해 필요한 개인정보는 정보주체 동의 없이 수집·이용 가능 - 범죄 및 성폭력범죄 결격사유 기록조회 가능(사회복지사업법 제35조의 2) - 성범죄자 취업 또는 노무 제공 제한 가능(장애인복지법 제59조의 3) - 사회복지시설은 지원자의 요구가 있는 경우, 개인정보의 수집 출처, 개인정보 처리 목적, 개인정보 처리 정지 요구권 고지 ▶ 주민등록번호의 수집은 법령에서 구체적으로 허용한 경우에만 수집 가능 ▶ 지원자 개인정보의 안전한 관리 - 채용전형단계별 개인정보취급자 최소한 지정 - 채용대행업체에 위탁할 경우 위탁계약을 문서로 하고, 안전한 관리 및 감독 24

4. 근무인력 개인정보 처리기준(2) 2. 채용 결정단계 ▶ 근로계약서, 임금대장 등을 위한 개인정보 수집은 정보주체 동의 없이 가능 - 주민등록번호 수집도 동의 없이 수집 가능(근로기준법 시행령 제27조) - 민감정보 수집은 별도 동의 필요 - 업무상 반드시 필요한 개인정보 제3자 제공 및 공개는 정보주체 동의 확보 ▶ 법령상 의무준수를 위한 주민등록번호 수집·이용은 동의 없이 처리 가능 - 소득세법에 따른 연말정산 등 ▶ 가족의 동의 없이 개인정보를 수집․이용 가능 - 근로자 가족 복리후생을 위한 업무 처리 25

4. 근무인력 개인정보 처리기준(3) 3. 고용유지단계 ▶ 근로계약 이행에 필요한 개인정보는 근로자의 동의 없이 활용 가능 - 인력배치 및 전보, 파견, 휴직 등 - 징계처분, 해고 등 불이익 처분을 공개하고자 하는 경우, 근로자의 동의 필요 ▶ 전보, 승진 등 인사발령 외부로 공개 시, 정보주체 동의를 받아 공개 ▶ 근로자 객관적인 성과․실적 등 인사평가정보는 정보주체에게 공개 ▶ 사회복무요원 복무관리 결과는 병무청, 보건복지부 등에 동의 없이 제공 ▶ 급여 등을 노동조합, 공공기관 등 제3자 제공시 정보주체 동의 필요 26

4. 근무인력 개인정보 처리기준(4) 4. 고용종료단계 ▶ 퇴직 사회복지인력의 개인정보 지체없이 파기 - 사회복지인력의 경력 증명에 관한 정보는 퇴직 후 최소 3년간 별도 보관 (근로기준법 제39조 및 같은 법 시행령 제19조) - 퇴직 근로자의 경력증명 정보를 3년 이상 보관하고자 하는 경우, 퇴직 시점에 퇴직 근로자의 동의를 받아 보관 ▶ 퇴직 근로자의 개인정보 제3자 제공 시, 정보주체 동의 필요 - 순수 친목단체 퇴직 근로자 모임은 동의 없이 개인정보 수집가능 - 단, 사회복지기관이 제공하고자 할 경우에는 퇴직 근로자 동의 필요 27

사회복지인력 개인정보 처리기준 FAQ 사회복지시설이 입사지원자의 개인정보를 수집하고자 할 때 개인정보의 수집 동의서를 별도로 받아야 하나요? 입사지원은 근로계약 체결의 일부로 입사지원자의 동의 없이 채용에 필요한 최소한의 정보 수집 가능 단, 주민등록번호는 입사 후 수집 가능 FAQ 임직원 복리후생을 위해 가족의 개인정보를 수집하는 경우 가족구성원의 동의를 받아야 하는 지요? 사회복지시설은 임직원 및 임직원의 가족에 대한 복리후생 제공을 위하여 가족의 개인정보 수집 및 이용이 가능하며, 가족구성원의 동의를 필요로 하지 않음 단, 주민등록번호 등 고유식별번호와 건강정보 등 민감정보는 동의 필요 28

사회복지인력 개인정보 처리기준 FAQ 개인정보보호법 시행 전부터 보관하고 있던 퇴직 근로자 개인정보의 보관을 위하여 별도의 동의를 받아야 하나요? 아니면 파기하여야 하나요? 경력증명 등을 위한 목적으로 보관․이용하고 있던 퇴직근로자 개인정보는 법령에서 규정한 퇴직 후 3년간 별도로 보관 법령에서 정한 기간 이후에는 퇴직근로자의 동의를 받은 경우 보관 FAQ 퇴직한 근로자의 개인정보는 언제 파기하여야 하나요? 보존기간이 종료된 후 5일 이내에 파기 근로기준법 제39조에 따르면 사회복지기관의 장은 근로자가 퇴직한 후라도 사용기간, 업무 종류, 지위와 임금, 그 밖에 필요한 사항에 관한 증명서 발급 사용증명서를 청구할 수 있는 기한은 퇴직 후 3년 이내(근로기준법 시행령 제19조) 29

Ⅲ. 사회복지시설 개인정보 처리 단계별 조치요령 Ⅲ. 사회복지시설 개인정보 처리 단계별 조치요령

1. 개인정보의 수집·이용 (1) 동의 없이 수집·이용이 가능한 경우 공공부문 ▶ 법률에 특별한 규정이 있거나 법령상 의무 준수를 위해 불가피한 경우 사회복지사업법에 따른 시설입소자 및 퇴소자의 명부 노인복지법에 따른 시설입소자 및 퇴소자의 명부 근로기준법에 따른 근로자명부 및 임금대장 ▶ 계약의 체결 및 이행을 위하여 불가피하게 필요한 경우 노인돌봄종합서비스, 장애인활동지원, 가사간병방문도우미, 발달재활서비스 등 바우처사업 이행 ▶ 장애인, 노인 등 그 법정대리인이 의사표시를 할 수 없는 상태에 있거나 주소불명 등으로 사전 동의를 받을 수 없는 경우 31

1. 개인정보의 수집·이용 (2) 동의를 받아야 수집·이용이 가능한 경우 ▶ 14세 미만의 아동은 법정대리인의 동의 필요 법정대리인의 동의를 받기 위한 필요 최소한의 정보는 해당 아동으로부터 직접 수집할 수 있음 수집하는 개인정보처리자의 신분과 연락처, 법정대리인의 성명과 연락처를 수집하고자 하는 이유를 해당 아동에게 고지 ▶ 홈페이지 회원 개인정보 수집시, 정보주체의 동의 필요 온라인 가입시 정보주체 동의 필요 홍보를 위한 경우 반드시 별도 동의 필요 홈페이지 회원정보로 주민등록번호는 수집하지 않도록 해야 함 건강정보와 민감정보 수집 시, 별도 동의 필요 32

개인정보의 수집·이용 처리기준 FAQ 개인정보 수집⦁이용⦁제공 동의시 자필 서명이 아닌 전자 서명으로 하여도 효력이 동일한가요? 전자서명법 제3조제3항에 따르면 “전자서명은 당사자간의 약정에 따른 서명, 서명날인 또는 기명날인으로서의 효력을 가진다.”고 규정 환자 본인의 전자서명은 자필서명과 같은 효력 FAQ 동의를 받아야 하는 경우 반드시 서면으로 받아야 하나요? 반드시 서면으로 받을 필요는 없으며, 「개인정보보호법」에 따른 다음의 방법 - 직접 또는 우편, 팩스 등 방법으로 전달하고, 정보주체가 서명한 동의서 받는 방법 - 전화를 통하여 동의 내용을 정보주체에게 알리고 동의의 의사표시를 확인하는 방법 - 전화를 통하여 동의 내용을 정보주체에게 알리고, 인터넷주소 등을 통하여 동의 사항을 확인하도록 한 후 다시 전화를 통하여 그 동의의 의사표시를 확인하는 방법 - 인터넷 홈페이지 등에 동의 내용을 게재하고 정보주체가 동의 여부를 표시 - 동의 내용을 전자우편으로 발송하고, 정보주체로부터 동의 전자우편을 받는 방법 33

개인정보의 수집·이용 처리기준 FAQ 사회복지시설 출입시 방문자의 주민등록번호를 요구하는 것은 개인정보보호법 위반이 아닌가요? 사회복지시설에서 출입 보안 목적으로 방문자 주민번호를 수집하는 것은 필요 최소한의 목적을 벗어난 과도한 개인정보 수집으로 볼 수 있으므로 불필요한 주민번호는 수집하지 않아야 함 FAQ 사회복지시설에서 기부금영수증 발급을 위하여 후원자의 개인정보를 이용할 수 있나요? 기부금 영수증의 주민등록번호 기재는 소득세법 및 동법 시행규칙 별지 서식에 따라 후원자 정보주체 별도 동의 없이도 처리가 가능 34

개인정보의 수집·이용 처리기준 FAQ 다른 사람을 함부로 촬영하는 것은 개인정보침해 아닌가요? 사적․개인적 목적으로 영상을 촬영하는 행위는 개인정정보보호법이 적용되지 않음 다만, 다른 사람의 영상을 무단으로 촬영하여 인터넷 등에 올리는 경우 형법상 명예훼손 등에 따라 처벌받을 수 있음 35

2. 개인정보 제3자 제공 ▶ 정보주체의 동의를 받아 제3자에게 제공 ▶ 제3자 제공을 제공하기 위해 이용자에게 알려야 하는 사항 제공받는 자 제공받는 자의 개인정보 이용목적 제공하는 개인정보 항목 제공받는 자의 개인정보 보유 및 이용기간 동의거부 권리 및 동의 거부에 따른 불이익이 있는 경우 그 내용 ▶ 금지되는 개인정보 제공 행위 업무상 알게 된 개인정보 누설 또는 권한 없이 다른 사람이 이용하도록 제공하는 행위 금지 36

개인정보의 제공 처리기준 FAQ 사회복지시설은 고객에게 아무런 통보 없이 영업일체를 다른 회사에 양도해도 되는 건지요? 사회복지시설은 영업양도와 관련하여 개인정보 이전에 대한 동의는 받을 필요가 없으나, 정보주체(고객)에게 개인정보를 이전하려는 사실과 함께 개인정보를 이전받는 자(영업 양수자 등)의 성명(법인명칭), 주소, 전화번호, 기타 연락처는 물론 정보주체가 개인정보 이전을 원치 아니하는 경우의 조치방법과 절차에 관해 통지 FAQ 퇴직연금 사업자와의 계약체결 등을 위하여 근로자의 개인정보를 제공하는 것이 개인정보의 제3자 제공에 해당하는지 아니면 업무 위탁에 해당하나요? 퇴직급여제도의 설정ㆍ운영은 사용자의 의무 사용자가 퇴직연금사업자와의 계약체결을 통해 퇴직금 제도를 운영하도록 하는 것은 업무의 위탁에 해당 37

개인정보의 제공 처리기준 FAQ 다른 개인정보와 결합하지 않은 휴대전화번호만도 개인정보보호법에 따라 보호되는 개인정보에 해당하는지요? 휴대전화번호는 다른 정보와 쉽게 결합하여 개인을 알아볼 수 있고 정보주체와 직접 연락이 가능한 contact point로 홍보･마케팅에 활용될 수 있으므로 개인정보에 해당 38

3. 개인정보의 위탁관리 (1) 개인정보 처리 위탁시 문서화 ▶ 문서화에 포함되어야 할 내용 위탁업무 목적 외 개인정보 처리금지에 관한 사항 개인정보의 기술적·관리적 보호조치에 관한 사항 위탁업무의 목적 및 범위 재 위탁 제한에 관한 사항 개인정보에 대한 접근 제한 등 안전성 확보조치에 관한 사항 위탁업무관련 개인정보의 관리현황 점검 등 감독에 관한 사항 수탁자가 준수하여야 할 의무 위반 시 손해배상 등 책임에 관한 사항 39

3. 개인정보의 위탁관리 (2) 개인정보 처리 위탁시 공개 및 관리감독 등 ▶ 위탁 사실 공개 인터넷 홈페이지 개인정보 처리 위탁시 공개 및 관리감독 등 ▶ 위탁 사실 공개 인터넷 홈페이지 사업장 등 보기 쉬운 장소에 게시 ▶ 위탁에 대한 관리 감독 개인정보 분실, 도난, 유출, 변조, 훼손 되지 않도록 수탁자 감독 ▶손해배상 책임 수탁자가 개인정보보호 법을 위반하여 손해배상 책임이 있는 경우 개인정보처리자(위탁자)의 소속직원으로 간주 40

4. 개인정보의 안전한 관리(1) ▶ 안전성 확보에 필요한 관리적·기술적·물리적 조치 조치사항 안전성 확보조치 내용 관리적 조치 내부관리계획 수립 및 시행 기술적 조치 접근 권한의 관리 비밀번호 관리 접근통제 시스템 설치 및 운영 개인정보 암호화 접속기록의 보관 및 위․변조 방지 보안 프로그램의 설치 및 운영 물리적 조치 개인정보의 안전한 보관을 위한 보관시설 잠금장치 설치 41

4. 개인정보의 안전한 관리(2) ▶ 내부관리 계획 수립 및 시행 개인정보 보호책임자의 지정에 관한 사항 개인정보 보호책임자 및 개인정보취급자의 역할 및 책임에 관한 사항 개인정보의 안전성 확보에 관한 사항 개인정보취급자에 대한 교육에 관한 사항 그 밖에 개인정보 보호를 위하여 필요한 사항 ※ 예외) 상시근로자 수가 5명 미만인 소규모 사회복지시설의 경우에는 내부관리 계획을 수립하지 아니할 수 있음 ▶ 접근 권한 관리 업무별 사용자 그룹별 접근권한 설정 접근권한 부여, 변경, 말소 내역 기록 42

<참고> 개인정보보호 내부관리계획 가이드 제1장 총칙 제1조(목적) 제2조(적용범위) 제3조(용어 정의) 제2장 내부관리계획의 수립 및 시행 제4조(내부관리계획의 수립 및 승인) 제5조(내부관리계획의 공표) 제3장 개인정보보호책임자의 의무와 책임 제6조(개인정보보호책임자의 지정) 제7조(개인정보보호책임자의 의무와 책임) 제8조(개인정보취급자의 범위 및 의무와 책임) 제4장 개인정보의 처리단계별 기술적·관리적 안전조치 제9조(개인정보취급자 접근 권한 관리 및 인증) 제10조(접근통제) 제11조(개인정보의 암호화) 제12조(접근기록의 위변조 방지) 제13조(보안프로그램의 설치 및 운영) 제14조(물리적 접근제한) 제5장 개인정보보호 교육 제6장 개인정보 침해대응 및 피해구제 43

4. 개인정보의 안전한 관리(3) ▶ 비밀번호 관리 안전한 비밀번호 작성규칙 수립 및 적용 비밀번호 분실시, SMS 등 본인확인 절차로 비밀번호 재설정 ▶ 접근통제 시스템의 설치 · 운영 및 암호화 침입차단시스템(Firewall) 또는 침입방지시스템(IPS) 등 설치 및 운영 외부에서 개인정보처리시스템에 접속하려는 경우, 가상사설망(VPN ) 또는 전용선 등 안전한 접속수단 적용 개인정보 암호화 계획 수립 및 적용 44

4. 개인정보의 안전한 관리(4) ▶ 접속기록의 보관 및 위 · 변조 접속기록 최소 6개월 보관·관리 위·변조 및 도난, 분실되지 않도록 안전하게 보관 ▶ 보안프로그램 설치 및 운영 백신 소프트웨어 등의 보안 프로그램을 설치․운영 자동 업데이트 기능을 사용하거나 일 1회 이상 업데이트 실시 ▶ 물리적 보안 사무실, 상담실, 자료보관실 등 출입통제 계획 마련 및 시행 개인정보 포함 자료 잠금장치가 있는 안전한 장소 보관 45

개인정보 안전성 확보 처리기준 FAQ 홈페이지 비밀번호를 전화로 문의 시 본인 확인은 어느 수준까지 하나요? 홈페이지의 비밀번호는 ‘개인정보 안전성 확보조치 기준’에 따라 암호화 암호화된 비밀번호는 알려줄 수 없는 개인정보 본인확인을 거쳐 임시로 비밀번호 부여 ‘비밀번호 작성규칙’에 따라 본인이 직접 비밀번호를 새로이 작성한 후 이용 사회복지기관은 비밀번호가 복호화 되지 않도록 일방향 암호화 FAQ 개인정보의 안전성을 확보하기 위하여 개인정보 서류를 별도의 보관시설이나 잠금장치의 설치 등과 같은 물리적 조치를 하여야 하나요? 개인정보의 안전한 보관을 위하여 보관시설을 마련하거나 잠금장치 설치 업무시간 중에 수시로 사용하는 진료기록은 잠금장치를 해제한 채 이 가능 업무시간이 종료된 이후에는 잠금장치를 통해 물리적 보호조치 46

개인정보 안전성 확보 처리기준 FAQ 업무용 PC에서 주민등록번호와 같은 고유식별번호를 처리하는 경우 개인정보 암호화는 어떻게 해야 하나요? PC에 저장된 개인정보의 경우 상용프로그램(한글, 엑셀 등)에서 제공하는 비밀번호 설정기능을 사용하여 암호화를 적용하거나, DRM 등과 같이 안전한 암호화 알고리즘을 이용하는 소프트웨어를 사용하여 암호화 FAQ 개인이 본인의 개인정보가 포함된 게시물을 작성하여 게시판에 올린 경우 어떻게 처리해야 하나요? 홈페이지 이용자가 인터넷 게시판을 이용하면서 부주의로 자신의 개인정보를 게재하지 않도록 피해가능성 등에 대한 경고문을 사전에 안내하고, 개인정보 유출 방지를 위한 안전조치 필요 47

개인정보 안전성 확보 처리기준 FAQ 개인정보보호에 관한 사항을 회사규칙으로 마련한 경우에도 개인정보보호법에 따른 내부관리계획을 별도로 마련해야 하는지요? 회사규칙에 내부관리계획에 포함되어야 하는 내용(개인정보 보호책임자의 지정에 관한 사항, 개인정보 보호책임자 및 개인정보 취급자의 역할 및 책임에 관한 사항, 개인정보의 안전성 확보에 필요한 조치에 관한 사항, 그 밖에 개인정보 보호를 위하여 필요한 사항)이 모두 포함되어 있다면, 별도의 내부관리계획을 마련하지 않아도 됨 48

5. 개인정보 처리방침 ▶ 개인정보 처리방침 수립 및 홈페이지 등을 통해 공개 개인정보의 처리 목적 개인정보의 처리 및 보유 기간 개인정보의 제3자 제공에 관한 사항(해당되는 경우) 개인정보처리의 위탁에 관한 사항(해당되는 경우) 정보주체의 권리·의무 및 그 행사방법에 관한 사항 처리하는 개인정보의 항목 개인정보의 파기에 관한 사항 개인정보 보호책임자에 관한 사항 개인정보 처리방침의 변경에 관한 사항 개인정보의 안전성 확보조치에 관한 사항 49

6. 개인정보 보호책임자 ▶ 개인정보 보호책임자로 사회복지기관의 대표자 또는 개인정보 처리 관련 업무 부서의 장 또는 개인정보 보호에 관한 소양이 있는 사람 지정 개인정보 보호 계획의 수립 및 시행 개인정보 처리 실태 및 관행의 정기적인 조사 및 개선 개인정보 처리와 관련한 불만의 처리 및 피해 구제 개인정보 유출 및 오용·남용 방지를 위한 내부통제시스템의 구축 개인정보 보호 교육 계획의 수립 및 시행 개인정보파일의 보호 및 관리·감독 개인정보 처리방침 수립·변경 및 시행 개인정보 보호 관련 자료의 관리 처리목적이 달성되거나 보유기간이 경과한 개인정보 파기 개인정보침해 관련 민원의 접수․처리 그 밖에 개인정보 보호를 위하여 필요한 업무 51

7. 개인정보의 파기 ▶ 파기 방법 ▶ 파기 대상 개인정보의 수집․이용 목적이 달성된 경우 개인정보의 보유 및 이용 기간이 끝난 경우 이용자가 동의를 철회한 경우 사회복지시설 사업을 폐업한 경우 ▶ 파기 방법 개인정보가 기록된 출력물, 서면 등 : 파쇄 또는 소각 전자적 파일 형태 : 복원이 불가능 하도록 영구 삭제 52

8. 정보주체의 열람·정정·삭제 ▶ 정보주체의 열람 요구 10일 이내에 조치 통보 열람 제한․거절사유에 해당하는 경우, 정보주체에게 그 사유를 알리고 열람을 제한하거나 거절 ▶ 개인정보의 정정·삭제 요구 본인 개인정보에 대한 정정·삭제 요청 시, 10일 이내 조치 ▶ 개인정보의 처리정지 요구 본인 개인정보에 대한 처리정지 요청 시, 10일 이내 조치 처리 정지된 개인정보는 파기 등 필요한 조치 필요 53

9. 개인정보의 유출·침해시 조치방법 ▶ 개인정보 유출 시 통지 정보주체에게 지체없이 (5일이내) 유출항목, 유출시점 및 경위, 유출에 따른 피해최소화 정보, 개인정보처리자의 대응조치, 피해신고부서 및 연락처 등 고지 1만명 이상 개인정보유출시 행정안전부나 한국정보화진흥원(NIA), 한국인터넷진흥원(KISA)에 신고 ▶ 개인정보 침해 신고를 통한 침해 구제절차 ① 개인정보침해 신고센터(전화 118)에 침해사례 접수 ② 개인정보침해신고센터의 사실조사(서면, 방문조사 등) ③ 사실조사 결과 통보 및 위법사실 발견시 조치(수사의뢰, 과태료 등) ④ 손해배상, 침해 행위 중지, 재발 방지 등에 대한 분쟁조정신청(privacy.go,kr) ⑤ 분쟁조정위원회 자료 조사 및 조정안 작성 ⑥ 조정안 제시(당사자들이 조정안 수용시 재판상 화해 효력) ⑦ 분쟁조정이 실패할 경우 민사소송 또는 단체소송제기 가능(관할 지방법원) 54

10. 영상정보처리기기의 설치 및 운영(1) ▶ 공개된 장소의 영상정보처리기기 설치 법령에서 구체적으로 허용한 경우 범죄의 예방 및 수사를 위하여 필요한 경우 시설안전 및 화재 예방을 위하여 필요한 경우 교통단속, 교통정보의 수집· 분석 및 제공을 위하여 필요한 경우 ▶ 사생활을 현저히 침해할 우려 장소에서의 영상정보처리기기 설치 금지 화장실, 탈의실 등 ▶ 영상정보처리기기 임의조작 및 녹음 금지 55

10. 영상정보처리기기의 설치 및 운영(2) ▶ 안내판 설치를 통한 설치 · 운영 사실 공개 설치 목적 및 장소 촬영 범위 및 시간 관리책임자의 성명(직책) 및 연락처 (영상정보처리기기설치 · 운영을 위탁한 경우) 위탁받는 자의 명칭 및 연락처 ▶ 영상정보처리기기 운영 및 영상정보의 관리 녹음은 정보주체의 동의를 받은 경우 가능(통신비밀보호법 제3조) 촬영자료는 개인정보처리방침, 안전성확보조치 등 개인정보보호법상의 모든 규정 적용 ※ 영상정보처리기기 운영·관리 방침을 별도로 수립하여 홈페이지에 게시하거나 개인정보 처리방침에 포함해 공개 56

영상정보처리기기 개인정보 처리기준 FAQ 건물 내에 영상정보처리기기 대표 안내판 부착해도 되는지요? 아니면 영상정보처리기기 한 대당 안내판을 각각 부착해야 하는 것인지요? 사회복지시설 건물 안에 여러 개의 영상정보처리기기를 설치하는 경우에는 각각의 기기에 대해 개별적으로 안내판을 설치하지 않아도 되며, 출입구 등 잘 보이는 곳에 해당 시설 또는 장소 전체가 영상정보처리기기 설치지역임을 표시 FAQ CCTV를 설치할 경우 안내판을 어디에 부착해야 하며, 안내판에 기재할 사항이나 별도의 안내판 규격이 정해져 있는지요? 안내판에 대한 별도 규격은 정해져 있지 않으나, 촬영범위 내에서 정보주체가 알아 보기 쉬운 장소에 설치하고 정보주체가 손쉽게 인식할 수 있는 크기로 설치 58

영상정보처리기기 개인정보 처리기준 FAQ 시설안전, 화재예방 및 범죄예방의 목적으로 설치하여 수집한 영상정보를 근로자의 근태관리를 위해 이용할 수 있는지요? 시설안전 및 화재와 범죄예방 목적으로 설치한 CCTV에 녹화된 영상정보는 해당 목적으로만 이용해야 하므로 근로자의 근태관리, 부정행위 감시 목적 이용 불가 59

감사합니다