개인정보란? 1 개인위치정보란? 본론으로넘어가기전에여기서잠깐! 개인정보란? 개인위치정보란? 개인정보란생존하는개인에관한정보로서성명, 주민등록번호등에의하여특정개인을알아볼수있는부호, 문자, 음성및영상등의정보를말합니다. 개인정보의주체는자연인 ( 自然人 ) 이어야하며, 법인 (

Size: px

Start display at page:

Download "개인정보란? 1 개인위치정보란? 본론으로넘어가기전에여기서잠깐! 개인정보란? 개인위치정보란? 개인정보란생존하는개인에관한정보로서성명, 주민등록번호등에의하여특정개인을알아볼수있는부호, 문자, 음성및영상등의정보를말합니다. 개인정보의주체는자연인 ( 自然人 ) 이어야하며, 법인 ("

아셩 송
5 years ago
Views:

1 인터넷기업의 목차 개인정보보호 가이드라인 1 개인정보란? 개인위치정보란? 03 2 서비스기획및 UX 담당자를위한가이드라인 05 3 개발및인프라담당자를위한가이드라인 08 4 서비스운영및 CS 담당자를위한가이드라인 10 5 인사 구매등지원부서를위한가이드라인 12 Privacy Guideline For Online Service Providers 별첨 14 1) 개인정보생애주기 (Life-Cycle) 에따라살펴보는개인정보보호 2) 개인정보보호관련사이트 Provided by 출처를밝히시는경우, 누구라도본가이드라인을자유롭게사용하실수있습니다. 1 2

개인정보란생존하는개인에관한정보로서성명, 주민등록번호등에의하여특정개인을알아볼수있는부호, 문자, 음성및영상등의정보를말합니다.

따라서법인의상호, 영업소재지, 임원정보, 영업실적등의정보는개인정보보호관련법률에서보호하는개인정보의범위에해당되지않습니다.

문화활동및정치적성향과같은내면의비밀에이르기까지그종류가매우다양하고폭넓습니다.

2 개인정보란? 1 개인위치정보란? 본론으로넘어가기전에여기서잠깐! 개인정보란? 개인위치정보란? 개인정보란생존하는개인에관한정보로서성명, 주민등록번호등에의하여특정개인을알아볼수있는부호, 문자, 음성및영상등의정보를말합니다. 개인정보의주체는자연인 ( 自然人 ) 이어야하며, 법인 ( 法人 ) 또는단체의정보는해당되지않습니다. 따라서법인의상호, 영업소재지, 임원정보, 영업실적등의정보는개인정보보호관련법률에서보호하는개인정보의범위에해당되지않습니다. 개인정보는개인의성명, 주민등록번호등인적사항에서부터사회 경제적지위와상태, 교육, 건강 의료, 재산, 문화활동및정치적성향과같은내면의비밀에이르기까지그종류가매우다양하고폭넓습니다. 또한, 사업자의서비스에이용자가직접회원으로가입하거나등록할때사업자에게제공하는정보뿐만아니라, 이용자가서비스를이용하는과정에서생성되는통화내역, 로그기록, 구매내역등도개인정보가될수있습니다. ( 출처 : 개인정보보호포털 ( 위치정보란이동성이있는물건또는개인이특정한시간에존재하거나존재하였던장소에관한정보로서전기통신설비및전기통신회선설비를이용하여수집된정보를의미합니다. 그리고위치정보중특정개인의위치정보를개인위치정보라고합니다. 개인정보의유형과종류 < 출처 : 개인정보보호포털 ( 3 4

3 서비스기획및 UX 담당자를위한가이드라인 이용자의개인정보및프라이버시보호는서비스기획단계에서부터반영되어야합니다. 2 개인정보의이용및저장 ( 보관 ) 1) 기존에수집한개인정보를활용하는경우수집당시이용자에게동의받은범위내에서의이용인지확인해주세요. 만약이용자에게동의받은범위를벗어나는이용이라면목적외이용에대해추가동의가필요합니다. 2) 보안서버필수적용개인정보및인증정보전송구간에는보안서버 ( 예 : SSL 인증서 ) 를적용하도록기획서에포함해주세요. 3) 안전한암호화적용수집하는개인정보중에암호화대상이있다면저장시에암호화여부도함께표시해주세요. 관련법령에따라비밀번호는복호화되지않도록일방향암호화를해야하며, 고유식별정보 ( 주민등록번호, 여권번호, 운전면허번호, 외국인등록번호 ), 신용카드번호, 계좌번호, 바이오정보는안전한암호화알고리듬을적용하여암호화해야합니다. ( 관련법령 : 개인정보의기술적 관리적보호조치기준제6조 ) 1. 기획하는서비스에서 개인정보혹은개인위치정보를처리 하는경우에는아래내용을확인해주세요. 개인정보의수집 1) 신규로개인정보를수집하는경우서비스제공을위해개인정보수집이반드시필요한지다시한번검토하고, 최소한의개인정보수집인지확인해주세요. 회원가입당시수집한개인정보외에추가로개인정보수집이필요할때는개인정보추가수집에대해이용자의동의를받아야합니다. 2) 적법한동의구현개인정보수집이반드시필요하다면, 법률에의해적법하게동의를받고있는지확인해주세요. 최소한의개인정보수집이맞는지, 수집하는개인정보에대하여필수항목과선택항목을구분하였는지, 민감정보및고유식별정보는개별동의를구현하였는지, 법령에의하여수집이허용된경우가아닌데도주민등록번호를수집하는경우는없는지, 만 14세미만아동의경우법정대리인동의가구현되어있는지등을모두확인해야합니다. 서비스제공과정에서개인위치정보의처리가발생한다면? 회사의위치기반서비스사업자및이용약관의방송통신위원회신고유무를확인해야합니다. 또한이용자들에게위치기반서비스이용약관동의를받아야합니다. 개인정보수집및이용동의문구수집및이용목적, 수집항목, 보유및이용기간을포함하고, 이용자가내용확인후명시적인동의의사를표시할수있도록구현해야합니다. 만약개인정보보호법을적용받는경우라면동의를거부할권리와그불이익에대한내용까지포함하고, 주요내용은법령에따라크기, 색깔, 굵기, 밑줄등으로명확히표시해야합니다. 개인정보의제공및위탁 1) 개인정보의제3자제공서비스제휴등제공받는자의사업목적을위하여개인정보를제공하는경우라면 개인정보를제공받는자, 개인정보를제공받는자의개인정보이용목적, 제공하는개인정보의항목, 개인정보를제공받는자의개인정보보유및이용기간 에대해이용자에게동의를받아야합니다. 2) 개인정보의처리위탁서비스제공에관한계약을이행하고이용자의편의증진을위해개인정보를외부에위탁하는경우라면 개인정보처리방침 에수탁사와수탁사의업무내역을공개하거나이용자통지로동의를대신할수있습니다. 하지만서비스제공에관한계약을이행하고이용자의편의증진을위해필요한처리위탁사항이아니라면법률에따른고지및동의를받아야합니다. 개인정보의파기 1) 파기정책의수립개인정보는수집 이용목적이달성되면지체없이파기해야합니다. 따라서신규서비스를기획하는과정에서새로운개인정보의수집이발생한다면해당개인정보에대한적절한파기정책을계획당시부터수립해야합니다. 2) 개인정보유효기간제이행 개인정보유효기간제 란 1년동안서비스를이용하지않는이용자의개인정보를파기하거나별도보관해야하는제도입니다. 해당제도의준수를위해서비스를 1년간이용하지않는경우파기하거나별도보관하도록서비스가기획되어있는지확인해야합니다. 수집하는개인정보를살펴보고, 회원혹은서비스해지시지체없이개인정보가파기되도록구현되어있는지, 관련법령에의해보존기간이명시된정보는없는지, 만약내부정책에따라별도보관이필요한경우가있다면이용자동의를얻고있는지등을모두고려해야합니다. 5 6

4 2. 서비스변동발생시 개인정보처리방침 및 개인정보이용내역 에도반영이되어야합니다. 신규서비스제공및기존서비스개편등으로개인정보추가수집및수정사항이발생하는경우 개인정보처리방침 개정이필요하며, 사전에이용자에게개정공지가진행되어야합니다. 또한전년도말기준직전 3개월간저장 / 관리되고있는개인정보가일일평균 100만명이상이거나정보통신서비스부문전년도 ( 법인의경우에는전사업연도 ) 매출액이 100억원이상인경우, 연 1회이용자에게통지해야하는 개인정보이용내역 에도해당내용을반영하여최신성을유지해야합니다. 3. 이용자에게선택권을보장해야합니다. 이용자가체감할수있는프라이버시침해에대한우려와불안에대한배려, 그리고국내외사업자동향등을고려하여이용자에게선택권을부여해주어야하는기능은없는지살펴봐야합니다. 즉, 개인정보라고볼수없는단순단말기및애플리케이션정보등의수집, 혹은블로그나 SNS의친구설정및외부공개여부등에대해이용자에게충분한설명을해주거나, 옵트인동의또는옵트아웃거부권을제공해주어야하는경우등이그러합니다. 따라서개인정보수집이외에도기타정보수집및이용자프라이버시와밀접한기능이있다면내부정보보호전담부서, 법무부서, 회원및 CS부서와함께충분한논의와협의를거쳐야합니다. 개발및인프라담당자를위한가이드라인 이용자개인정보를위한실제파수꾼, 바로개발자여러분들입니다. 1. 서비스개발시아래내용을준수해야합니다. 3 1) 보안서버의구축개인정보및인증정보의입력화면, 즉전송구간에는반드시보안서버 ( 예 : SSL 인증서 ) 가구축되어있어야합니다. 2) 이용자동의체크박스구현개인정보수집 제공등의동의절차중체크박스는반드시비워두어야합니다. 혹시체크된상태가기본설정으로되어있지는않는지확인해보세요. 3) 암호화적용법령에의한암호화대상은정보보관시반드시암호화하여야합니다. 일방향암호화대상 : 비밀번호 안전한알고리듬에의한암호화대상고유식별정보 ( 주민등록번호, 여권번호, 운전면허번호, 외국인등록번호 ), 신용카드번호, 계좌번호, 바이오정보 ( 출처 : 개인정보의기술적 관리적보호조치기준제6조 ) 7 8

5 2. 개인정보처리가발생한다면, 개인정보처리시스템으로지정하여관리해야합니다. 신규로사내시스템을개발하였는데, 해당시스템에서개인정보처리가발생한다면개인정보처리시스템으로지정하여관리해야합니다. 또한개인정보처리시스템은아래의사항을모두준수해야합니다. 개인정보처리시스템에대한접근권한 - 서비스제공을위해반드시필요한개인정보보호책임자또는개인정보취급자에게만접근권한을부여해야합니다. - 전보또는퇴직등의인사변동으로개인정보취급자가변경되었을경우, 지체없이개인정보처리시스템의접근권한을변경또는말소해야합니다. - 개인정보처리시스템접근권한의부여, 변경또는말소에대한내역을기록하고, 그기록을최소 5년간보관해야합니다. - 개인정보취급자가정보통신망을통해외부에서개인정보처리시스템에접속할경우, 안전한인증수단을적용해야합니다. - 정보통신망을통한개인정보처리시스템의불법적인접근및침해사고를방지하기위한보안시스템을설치 / 운영해야합니다. - 전년도말기준직전 3개월간저장 / 관리되고있는개인정보가일일평균 100만명이상이거나정보통신서비스부문전년도 ( 법인의경우에는전사업연도 ) 매출액이 100억원이상인경우에는개인정보처리시스템에접속하는개인정보취급자컴퓨터등에외부인터넷망차단조치를해야합니다. - 개인정보처리시스템에대한개인정보취급자의접속은필요한시간동안만유지가되도록최대접속시간제한등의조치를취해야합니다. - 개인정보취급자가개인정보처리시스템에접속한기록을월1회이상정기적으로확인 감독하고, 접속기록이위 변조되지않도록별도의물리적인저장장치에보관해야합니다. - 개인정보처리시스템에는안전한비밀번호작성규칙을수립하여적용 운용해야합니다. 3. 개인정보의파기는재생이불가능한방법으로진행하여야합니다. 안전한개인정보파기를위해종이에출력된개인정보는분쇄기로분쇄하거나소각해야하고, 컴퓨터파일형태로저장된개인정보는하드디스크파쇄, 디가우져 (Degausser) 를이용한삭제, 영구삭제소프트웨어사용, 로우레벨포맷 ( 공장초기화포맷 ) 등의방법으로진행할수있습니다. 서비스운영및 4 CS 담당자를위한가이드라인 개인정보와관련하여이용자와직접컨택하는운영자, 가장중요한개인정보지킴이입니다. 1. 개인정보에의접근및열람을최소화해야합니다. 개인정보취급자는필요한범위에서적합하게개인정보를처리하여야하며, 목적외용도로활용하여서는안됩니다. 반드시업무목적으로만개인정보처리시스템에접근하고이용자의개인정보는최소한으로열람해야합니다. 2. 개인정보취급자는정기적으로개인정보보호교육을이수해야합니다. 관련법령에서는인터넷기업에게개인정보취급자에게개인정보의안전한처리에대하여교육을할것을규정하고있습니다. 이에따라정기적으로시행되는개인정보보호교육을개인정보취급자는성실히이수해야합니다. 3. 광고성정보전송시, 사전동의와통제권보장을해야합니다. 개인정보처리방침개정, 서비스업데이트안내등과같이이용자에게반드시안내해야하는공지가아니면영리목적의광고성정보로인정될수있습니다. 서비스이용을촉진하는 SMS, 이메일, 앱 PUSH 등을발송을하고자하는경우이용자에게사전동의를받고, ( 광고 ) 를표시해서발송해야합니다. 또한광고성정보전송시수신을거부할기능을제공하고, 야간에발송해서는안됩니다. 4. 개인정보의유출에각별히주의해야합니다. - 업무용개인단말기로개인정보를다운로드받거나복사하는것은매우위험합니다. 만약업무상불가피하게개인정보처리시스템으로부터업무용개인단말기에개인정보를보관해야할일이발생한다면해당개인정보도압축프로그램이나 OS에서자체제공하는기능등을사용하여암호화하여보관해야합니다. 또한업무용개인단말기에보관한개인정보는업무가완료되는즉시삭제해야합니다. - 이용자의개인정보를출력하여하드카피형태로보관하는것도매우위험합니다. 단, 이벤트경품배송등을위하여이용자의개인정보를출력하는경우와같이업무상불가피하게필요한경우라면해당개인정보를반드시잠금장치가있는안전한장소에보관해야합니다. 또한업무가완료되는즉시분쇄기등을이용하여파기하고, 사무실내의일반휴지통에버리지않도록반드시주의해야합니다. 9 10

6 5. 이용자의개인정보자기결정권을보장해주어야합니다. 이용자가개인정보의수집 이용 제공등에대한동의를철회할경우, 지체없이수집된개인정보를복구 재생할수없도록파기하는등필요한조치를취해야합니다. 또한이용자의개인정보열람 제공요구가있을경우에도지체없이필요한조치를취해야합니다. 단, 만14세미만아동의경우에는법정대리인 ( 부모등 ) 이이용자의권리를행사할수있습니다. 6. 외부로부터개인정보제공요청접수시, 임의로정보제공을하지않도록합니다. 외부수사기관혹은타인의개인정보에대한요청이접수될경우에는사내의정보보호전담부서및법무부서와즉시연락하여검토를받도록하며, 임의로정보제공등을해서는안됩니다. 인사 구매등 지원부서를위한 가이드라인 5 개인정보보호, 먼나라이야기라고요? 아니요, 이제모두의이야기입니다. 1. 인사 노무업무과정에서처리하는임직원의개인정보도 개인정보보호법 이적용됩니다. 근로자, 입사지원자, 퇴직근로자의개인정보처리시에도 개인정보보호법 이적용되니아래의필수조치사항을 꼭기억해주세요. 1) 꼭필요한정보만수집 - 근로자의개인정보도반드시필요한최소한의정보만을수집해야합니다. - 법령에근거가없는경우원칙적으로주민등록번호와민감정보수집은불가합니다. ( 단, 민감정보는반드시필요한경우에한해별도동의를받고수집가능합니다.) 2) 수집한개인정보는안전하게보관 - 근로자개인정보가있는 PC는비밀번호설정, 백신설치, 방화벽기능등을적용합니다. 3) 법령근거확인또는근로자동의를받고제3자제공 - 퇴직근로자경력의제3자제공도퇴직자의동의는필수로받아야합니다. 4) 적법한방법으로개인정보처리위탁진행 - 인사, 급여지급등을위해근로자개인정보처리를외부에위탁하는경우, 법령에따른개인정보처리위탁방법에따라실시해야합니다. - 근로자가위탁업체처리내용등을쉽게확인할수있도록내부게시판등에공개해야합니다. - 업무위탁과관리감독에관한계약서를반드시마련하고관리를철저히해야합니다. 5) 보존목적이사라진개인정보는지체없이파기 - 입사지원자의개인정보는채용전형종료후지체없이 (5일이내 ) 파기하되, 상시채용을위해보관할경우동의를받고보관해야합니다. - 퇴직근로자는경력증명을위해 3년간보존하며, 3년이후의경력증명서발급을위한자료보관은동의를얻어서해야합니다. < 출처 : 개인정보보호가이드라인 - 인사 노무편 ( 행정안전부 고용노동부, 2012) 중발췌 > 11 12

7 2. 협력업체임직원의개인정보를처리할때에도 개인정보보호법 이적용됩니다. 계약체결 이행을위해불가피하게필요한경우에한해정보주체에게고지 동의없이도개인정보를수집할수 별첨 있습니다. 하지만 불가피하게필요한경우 라는단서가있으므로본조항은제한적으로해석이되어야하며, 일반적으로는협력업체임직원의개인정보수집 이용에도사전고지 동의가필요하고기타개인정보보호조치등도준수되어야합니다. 3. 개인정보보호법에서는개인정보이외에 CCTV 에관한규정이있습니다. 개인의사생활침해우려가있는장소에 CCTV( 영상정보처리기기 ) 를설치 운영하여서는안되며, 공개된장소에 CCTV 를설치 운영하는경우안내판설치등의필요한조치를취해야합니다. 안내판에는설치목적및장소, 1. 개인정보생애주기 (Life-Cycle) 에따라살펴보는개인정보보호 촬영범위및시간, 관리책임자성명및연락처가포함되어야하며, CCTV 를설치목적과다른목적으로 임의조작해서는안되고법령에따라관리및운영하여야합니다. 개인정보수집및이용 ( 적절한 ) 동의민감정보및고유식별정보 / 생성정보 / 위치정보 필요최소한의개인정보수집 수집 수집및이용목적달성시, 즉시파기 법령상요구되는보존기간준수 동의받은범위내에서의이용 안전한저장및관리 안전한파기 파기 개인정보보호 이용 저장 제공 위탁 개인정보제 3 자제공 ( 적절한 ) 동의 - 제 3 자제공 VS 처리위탁 개인정보위 수탁계약및수탁자관리 개인정보저장 / 이용시 의기타준수사항 개인정보처리방침작성및게시 개인정보기술적 관리적보호조치 통신비밀의보호 이용자프라이버시권보장 주민등록번호사용제한정책 광고성정보전송제한 개인정보이용내역통지제 개인정보유효기간제 개인정보유출통지제 13 14

8 2. 개인정보보호관련사이트 네이버 네이버개인정보보호공식블로그 ( 네이버프라이버시센터 ( 상담 / 신고 개인정보보호종합포털 ( 개인정보및개인정보보호법소개, 개인정보보호교육및기타관련자료제공 경찰청사이버안전국 ( 사이버범죄신고 / 상담, 예방정보 ( 공지사항, 예방수칙, 예방홍보물, 예방교육등 ) 제공 한국인터넷진흥원 ( 개인정보보호분야지원 ( 개인정보보호소개, 위치정보보호및산업활성화, 불법스팸, 개인정보정보보호침해사고신고안내, GDPR 안내 ) 1) KISA 개인정보침해신고센터 ( 개인정보소개, 기업 공공기관개인정보보호관련법령질의서비스제공 2) KISA 보호나라 & Kr CERT ( 웹보안서비스및정보보호컨설팅지원, 상담및신고 ( 해킹, 피싱, 바이러스 ), 자료실 ( 보안공지, 취약점정보, 가이드및매뉴얼, 최신동향등 ) 서비스제공 3) KISA 온라인개인정보보호포털 ( 개인정보보호소개 ( 개인정보, 관련법제도, 이용수칙 ), 기술지원 ( 주민번호대체수단헬프데스크, 주민번호전환기술지원, 개인정보보호관리체계인증 ), 개인정보유출신고, 온라인교육 ( 개인정보보호, 위치정보보호, 업종별 ) 서비스제공 방송통신위원회 ( 정책 / 정보센터 > 법령정보 ( 법령현황, 고시, 규칙, 훈령 / 예규, 가이드라인, 입법예고, 법령개정상황공개 ) 행정안전부 ( 업무안내 > 전자정부국 > 개인정보보호 ( 개념및법제도소개, 개인정보영향평가, 공공아이핀 마이핀등 ), 정보화표준 지침자료실 ( 개인정보보호관련가이드라인, 해설서 ), 개인정보관련뉴스, 법령, 정책정보제공 개인정보보호위원회 ( 개인정보보호국내외동향, 개인정보소개 ( 개념, 법제, 현황, 보호요령, 분쟁조정, 인증제도 ), 위원회소개, 자료실 ( 국내외연구보고서, 개인정보보호관련각종법령가이드라인, 지침, GDPR 안내등 ) Copyright NAVER Corp. All Rights Reserved

개인정보란? 개인위치정보란? 1 2 서비스기획및 UX 담당자를위한가이드라인 본론으로들어가기전에여기서잠깐! 개인정보란? 개인위치정보란? 이용자의개인정보및프라이버시보호는서비스기획단계부터반영이되어야합니다. 개인정보란생존하는개인에관한정보로서성명, 주민등록번호등에의하여특정개인을

개인정보란? 개인위치정보란? 1 2 서비스기획및 UX 담당자를위한가이드라인 본론으로들어가기전에여기서잠깐! 개인정보란? 개인위치정보란? 이용자의개인정보및프라이버시보호는서비스기획단계부터반영이되어야합니다. 개인정보란생존하는개인에관한정보로서성명, 주민등록번호등에의하여특정개인을 인터넷기업의 목차 개인정보보호 가이드라인 Privacy Guideline For Online Service Providers 1 개인정보란? 개인위치정보란? p3 2 서비스기획및 UX 담당자를위한가이드라인 p4 3 개발및인프라담당자를위한가이드라인 p6 4 서비스운영및 CS 담당자를위한가이드라인 p8 5 인사 구매등지원부서를위한가이드라인 p9 Provided