1 장 개요 / 4 개인정보의정의 / 5 개인정보의유형 / 5 법률의이해 / 7 2 장 개인정보수집최소화하기 / 11 신뢰할수있는앱개발툴이용하기 / 11 Secure coding 적용하기 / 12 앱서비스보안대책마련하기 / 13 개인정보보호관련법률검토하기 / 14
앱개발자를위한개인정보보호안내서 3 장 개인정보취급방침공개하기 / 15 개인정보수집및이용에대한동의획득하기 / 16 민감한개인정보는수집하지않기 / 19 개인정보취급위탁시이용자에게알리고동의획득하기 / 20 개인정보제3자제공시이용자에게알리고동의획득하기 / 21 미성년자개인정보수집시법정대리인동의획득하기 / 23 주민등록번호의사용제한 / 24 개인정보수집목적에대해서만이용하기 / 25 회원정보열람 정정등이용자권리보장하기 / 25 개인정보즉시파기하기 / 26 기술적보호조치구현하기 / 28 / 30
1 장 개인정보보호바로알기 개요 스마트폰, 태블릿 PC 등스마트기기의대중화와함께앱 (App) 이용이증가함에따라, 이를통한개인정보유 노출위험성또한높아지고있다. 앱을통한개인정보유ㆍ노출등의피해를최소화하기위해서는앱개발단계에서부터개인정보보호조치가이루어져야한다. 본안내서는개인정보보호에대한앱개발자와서비스제공자의이해를높이고, 앱개발시고려해야할개인정보보호관련법률준수사항을안내하기위해개발되었다. 본안내서는앱개발시준수해야할사항을개인정보보호관련법률과함께설명하고이에대한예시화면을제공함으로써, 앱개발자와서비스제공자가참조할수있도록하였다. 앱개발시준수해야할개인정보보호관련법률 정보통신망이용촉진및정보보호등에관한법률 ( 이하정보통신망법 ) 위치정보의보호및이용등에관한법률 ( 이하위치정보보호법 ) 적용범위 : 이용자의개인정보가서비스제공자에게전송ㆍ수집되는경우에는개인정보보호관련법률을준수해야하며, 개인정보의전송 수집없이스마트기기내에서만처리되는경우에는적용범위에서제외될수있다. 4
앱개발자를위한개인정보보호안내서 개인정보의정의 개인정보는 1생존하는개인에관한정보로써 2특정개인을식별하거나식별할수있는모든정보 를말한다. 1 생존하는개인에관한정보개인정보의주체가현재생존하는자연인 ( 自然人 ) 에관한정보이어야함을말하며법인 ( 法人 ) 또는단체의정보는해당되지않는다. 다만, 사망한자의정보라할지라도생존하는유족등후손과관련이있으면후손의개인정보로서보호대상이될수있다. 2 식별하거나식별할수있는정보개인정보로인정되기위해서는해당정보가특정개인을식별하거나식별가능하여야함을말한다. 해당정보만으로개인을식별할수있는정보뿐만아니라다른정보와용이하게결합해서개인식별이가능한경우의정보도개인정보로규정하고있다. 예를들어, 주민등록번호는개인마다고유한것이므로개인정보로활용될수있다. 하지만, 성명과같은정보는개인마다고유하지않고동일한유형에속하는사람이많기때문에그정보하나만으로는개인정보로보기어렵다. 그러나, 성명이주민등록번호나주소등의정보와결합되는경우에는특정개인을식별할수있어개인정보로볼수있다. 개인정보의유형 개인정보는주민등록번호등직접적으로개인을식별할수있는정보뿐만아니라나이, 사상, 학력, 구매내역등과같이해당정보만을이용해서는개인을식별할수없지만, 다양한정보와결합 조합하여개인을식별할수있다면해당정보또한 5
1 장 앱에서의개인정보보호바로알기 개인정보에포함된다. 앱서비스의경우, 회원가입절차등을통해수집한이용자의주민등록번호등의직접적인개인정보뿐만아니라, 서비스이용과정에서생성되는통화내역, 로그기록, 구매내역등도다른정보와결합 조합하여개인을식별할수있다면개인정보로취급해야한다. 개인정보로취급될수있는정보의유형과그구체적인예는다음과같다. 특히, 위치정보의경우개인위치정보유출 오용 남용시개인의생명및신체에즉각적인위험을초래할수있어별도의법률 ( 위치정보보호법 ) 로규정하고있다. 유형인적정보신체적정보정신적정보재산적정보사회적정보 개인정보로취급될수있는정보의예성명, 주민등록번호, 주소, 본적지, 연락처, 생년월일, 이메일주소, 사진, 가족관계및가족구성원정보등 ( 신체정보 ) 얼굴, 지문, 홍채, 음성, 유전자정보, 키, 몸무게등 ( 의료 / 건강정보 ) 건강상태, 진료기록, 신체장애, 장애등급, 병력등 ( 기호 / 성향정보 ) 도서 비디오등대여기록, 잡지구독정보, 물품구매내역, 웹사이트검색내역등 ( 내면의비밀등 ) 사상, 신조, 종교, 가치관, 정당 노조가입여부및활동내역등 ( 개인금융정보 ) 소득, 신용카드번호, 통장계좌번호, 동산 부동산보유내역, 저축내역등 ( 신용정보 ) 신용평가정보, 대출또는담보설정내역, 신용카드사용내역등 ( 교육정보 ) 학력, 성적, 출결상황, 자격증보유내역, 상벌기록등 ( 법적정보 ) 전과 범죄기록, 재판기록, 과태료납부내역등 ( 근로정보 ) 직장, 근무처, 근로경력, 상벌기록, 직무평가기록등 ( 병역정보 ) 병역여부, 군번, 계급, 근무부대등 스마트기기에서개인정보로취급될수있는정보의예 전화번호, 주소록, 통화내역, 위치정보, SMS, 사진, 동영상, 브라우저접근기록, 캘린더, USIM 카드일련번호등 6
앱개발자를위한개인정보보호안내서 법률의이해 1 기본원칙 개인정보보호를위한기본원칙은이용자의 개인정보자기결정권 을보장하는것이다. 이용자의개인정보자기결정권 누가어떤목적으로자신의개인정보를수집하고이용하는지정보제공이전에명확하게인지하고 언제든지자신의개인정보를열람 정정할수있으며 개인정보이용을원하지않을경우, 이용에대한동의철회또는파기를요청할수있는권리를보장받아야한다. 위와같은이유로, 앱개발자는이용자의개인정보를수집 이용ㆍ제공할때에는 이용자에게그사실을알리고동의를받도록하며목적이달성되었으면해당정보를파기 하도록구현해야한다. 2 보호대상 이용자의개인정보가보호되어야하며, 이용자란 사업자가제공하는서비스를이용하는자 를의미한다. 이용자유형 온라인회원같이계속적으로서비스를이용하는경우 일회성또는비정기적으로서비스를이용하는경우 다시말해, 앱을통해개인정보를수집 이용하는경우에는해당앱을이용하는이용자의개인정보가보호대상이된다. 7
1 장 앱에서의개인정보보호바로알기 3 적용대상 개인정보보호규정은 정보통신망법의정보통신서비스제공자 와 위치정보보호법의위치정보사업자및위치기반서비스사업자 에대해적용된다. 개인정보보호규정의적용대상 정보통신서비스제공자 : 유 무선통신망을통하여정보제공또는매개하는자를말하며, 앱서비스를제공하는자는정보통신서비스제공자에해당된다. - 이동통신사업자, 포탈사업자, 쇼핑몰사업자등 위치정보사업자 : 위치정보를수집하여위치기반서비스사업자에게위치정보를제공하는자를말한다. - 이동통신사업자, 단말기OS제조사등 위치기반서비스사업자 : 위치정보사업자로부터위치정보를전송 ( 제공 ) 받아이용자에게서비스를제공하는자를말하며, 위치정보를활용한앱서비스를제공하는자는위치기반서비스사업자에해당된다. - 친구찾기앱, 물류앱, 지도안내앱등 4 법규및벌칙조항 앱개발자는개인정보보호와관련된주요법률와위반시벌칙조항을숙지하고위반하지않도록주의해야한다. 구분주요내용벌칙 개인정보수집 이용 제공 개인정보취급방침공개 ( 정보통신망법제27조의 2) 개인위치정보수집 이용 제공관련사항을이용약관에명시 ( 위치정보보호법제18조및제19 조 ) 필요최소한의개인정보만을수집 ( 정보통신망법제23조 ) 이용자가필요최소한의개인정보이외의정보를미제공한다는이유로서비스거부금지 ( 정보통신망법제23조 ) 개인정보수집 이용시동의획득 ( 정보통신망법제22조 ) 2 천만원이하과태료 1 천만원이하과태료 1 천만원이하과태료 3 천만원이하과태료 5 년이하징역또는 5 천만원이하벌금 8
앱개발자를위한개인정보보호안내서 구분주요내용벌칙 개인정보수집 이용 제공 개인정보관리 민감한개인정보수집시동의획득 ( 정보통신망법제23조 ) 개인정보제3자제공시동의획득 ( 정보통신망법제24조의 2) 개인정보취급위탁시동의획득 ( 정보통신망법제25조 ) 제3자제공및취급위탁은개인정보수집 이용동의와구분하여동의획득. 미동의시서비스제공거부금지 ( 정보통신망법제24의 2) 개인위치정보수집 이용 제공시이용약관에따른동의획득 ( 위치정보보호법제18조및제19조 ) 개인위치정보를개인위치정보주체가지정하는제3자제공시제공받는자, 제공일시및제공목적등을고지및동의획득 ( 위치정보보호법제19조 ) 14세미만아동은법정대리인동의획득 ( 정보통신망법제31조 ) 14세미만아동은법정대리인동의획득 ( 위치정보보호법제25조 ) 동의받은목적과다른목적으로개인정보이용금지 ( 정보통신망법제24조 ) 개인위치정보수집 이용 제공사실을이용약관에명시또는고지한범위를넘어이용하거나제3자제공금지 ( 위치정보보호법제21조 ) 개인위치정보를개인위치정보주체가지정하는제3자제공시매회제공내역즉시통보 ( 위치정보보호법제19조 ) 주민등록번호의사용제한 ( 정보통신망법제23조의 2) 개인정보보호조치수행 ( 정보통신망법제28조 ) 위치정보보호조치수행및위치정보수집 이용 제공사실기록보존 ( 위치정보보호법제16조 ) 개인정보보호조치미수행으로개인정보유출 ( 정보통신망법제28조 ) 5 년이하징역또는 5 천만원이하벌금 5 년이하징역또는 5 천만원이하벌금 5 년이하징역또는 5 천만원이하벌금 1 천만원이하과태료 5 년이하징역또는 5 천만원이하벌금 1 천만원이하과태료 5 년이하징역또는 5 천만원이하벌금 1 천만원이하과태료 5 년이하징역또는 5 천만원이하벌금 5 년이하징역또는 5 천만원이하벌금 1 천만원이하과태료 3 천만원이하과태료 3 천만원이하과태료 1 년이하징역또는 2 천만원이하벌금 2 년이하징역또는 1 천만원이하벌금 9
1 장 앱에서의개인정보보호바로알기 구분주요내용벌칙 개인정보파기 이용자권리 기타 지체없이개인정보파기 ( 정보통신망법제29조 ) 지체없이개인위치정보파기 ( 위치정보보호법제23조 ) 이용자동의철회, 열람 정정요구방법마련및조치 ( 정보통신망법제30조 ) 개인위치정보수집 이용 제공에대한일시중지요구처리및수단제공 ( 위치정보보호법제24조 ) 개인정보오류정정요구시지체없이처리한후개인정보제공 이용 ( 정보통신망법제30조 ) 개인위치정보수집등에대한열람 고지 정정요구처리 ( 위치정보보호법제24조 ) 위치정보사업허가 ( 위치정보보호법제5조 ) 위치정보사업변경허가 신고 ( 위치정보보호법제5조 ) 위치기반서비스사업신고 ( 위치정보보호법제9조 ) 위치기반서비스사업변경신고 ( 위치정보보호법제9조 ) 위치정보이용약관신고 ( 위치정보보호법제12조 ) 위치정보이용약관변경신고 ( 위치정보보호법제12조 ) 3 천만원이하과태료 1 년이하징역또는 2 천만원이하벌금 3 천만원이하과태료 2 천만원이하과태료 5 년이하징역또는 5 천만원이하벌금 1 천만원이하과태료 5 년이하징역또는 5 천만원이하벌금 3 년이하징역또는 3 천만원이하벌금 3 년이하징역또는 3 천만원이하벌금 1 년이하징역또는 2 천만원이하벌금 1 천만원이하과태료 1 천만원이하과태료 10
2 장 앱개발준비하기 개인정보수집최소화하기 앱을통해개인정보수집시최소한의개인정보만을수집해야한다. 앱설계시 1서비스에필요한개인정보종류를조사하고, 2서비스를위해필수수집해야하는지또는미수집해도되는지여부를검토해야한다. 3수집하는개인정보는필수및선택항목으로구분하고이용자가선택항목을입력하지않는다고해서서비스이용을금지해서는안된다. 특히, 모든개인정보를회원가입시일괄수집하지않도록하고, 필요한시점에수집하도록한다. 신뢰할수있는앱개발툴이용하기 앱개발시신뢰할수있는앱개발툴 (API, SDK 등 ) 을이용해야한다. 출처를알수없는개발툴이용시, 개인정보유 노출위험이있으므로주의해야한다. 신뢰된개발툴이용시에도주요기능, 취급하는개인정보등을검토하여불필요한개인정보수집 이용을최소화해야한다. 11
2 장 앱개발준비하기 Tip 앱개발과관련된 Open API, S/W모듈등에관한자세한사항은방송통신위원회와한국인터넷진흥원에서운영하는 스마트모바일앱개발지원센터 (www.smac.or.kr) 홈페이지참조 1 국내 / 외 Open API - 공공, 포털, 이통사, 기타등 2 S/W모듈 - 운영체제별 (iphone, android, Windows phone, 기타운영체제등 ) - 이용형태별 ( 그래픽소스, 멀티미디어, 프로그래밍, 기획 / 마케팅, 이용형태등 ) 또한, 앱스토어나 OS업체가운영하는 개발자지원홈페이지 참조 1 SKT(dev.tstore.co.kr) 2 KT(seller.ollehmarket.com) 3 LG U + (devpartner.lguplus.co.kr) 4 구글 (developer.android.com) 5 애플 (developer.apple.com) Secure Coding 적용하기 앱개발자는소스코드상취약점을최소화하기위해노력해야한다. 소스코드의안전성을확보하여해킹등을통한개인정보유 노출사고발생을최소화할수있다. 앱개발자는소스코드상의취약점을최소화하기위해 Secure Coding을적용해앱을개발해야한다. Tip Secure Coding 가이드라인 ( 국내 ) 에대한세부내용및개발방법은 행정안전부홈페이지 (www.mopas.go.kr) 정책자료 참고자료실 참조 1 정보시스템 SW 개발보안가이드 - JAVA 시큐어코딩가이드 - C 시큐어코딩가이드 - Android-JAVA 시큐어코딩가이드 12
앱개발자를위한개인정보보호안내서 이외, 국외의 Secure Coding 가이드라인은아래를참조 1 CERT Secure Coding Standards(www.cert.org Developers) - The CERT Oracle Secure Coding Standard for Java - The CERT C Secure Coding Standard - The CERT C++ Secure Coding Standard 2 Secure Coding Guide(developer.apple.com) 앱서비스보안대책마련하기 앱개발자와서비스제공자는서비스전반에대한보안대책을마련해야한다. 데이터전송구간및시스템등에대한보안대책미적용시, 해당취약점을통해개인정보가유출될수있다. 앱개발자와서비스제공자는개인정보보호관련보호기준등을적용함으로서서비스전반의보안대책을수립할수있다. Tip 정보보호시스템운영및개인정보보호관련보안대책세부방법은 한국인터넷진흥원홈페이지 (www.kisa.or.kr) 자료실 참조 1 개인정보보호관련보호기준 - 개인정보의기술적 관리적보호조치기준및해설서 - 위치정보보호를위한관리적 기술적보호조치권고및해설서 - I-PIN 2.0 도입안내서등 2 정보보호시스템운영관련보안대책 - 보안서버구축안내서 - 패스워드선택및이용안내서 - 암호이용 / 암호기술구현안내서 - 와이브로보안기술안내서 - 암호알고리즘및키길이이용안내서 - 스마트폰백신이용안내서등 13
2 장 앱개발준비하기 개인정보보호관련법률검토하기 앱이개인정보와위치정보를수집 이용 제공할경우, 정보통신망법과위치정보보호법을준수해야한다.( 제1장 4. 법률의이해참조 ) 앱개발자는서비스형태에따라준수해야하는법률을검토하고앱개발시반영해야한다. Tip 개인정보보호관련법률의세부내용은 한국인터넷진흥원홈페이지 (www.kisa.or.kr) 자료실, (privacy.kisa.or.kr)>> 기업자료실 참조 1 정보통신서비스제공자를위한개인정보보호가이드 2 위치정보의보호및이용등에관한법률해설서 14
3 장 법규준수하여앱개발하기 개인정보취급방침공개하기 이용자가알아야할개인정보보호에관한사항을 개인정보취급방침 으로정하여공개해야한다. 관련근거 : 정보통신망법제 27 조의 2( 개인정보취급방침의공개 ) Tip 개인정보취급방침에포함될세부내용및작성방법은 한국인터넷진흥원홈페이지 (guide.kisa.or.kr) 에서 개인정보취급방침작성예시 참조 개인정보취급방침은이용자가언제나쉽게확인할수있도록앱실행시첫화면에공개하며, 링크기능을통해전문을볼수있도록구현한다. 15
3 장 앱개발하기 개인정보수집및이용에대한동의획득하기 이용자의개인정보를수집및이용하는경우이용자에게동의를획득해야한다. 일시적인이벤트또는비회원에게서비스를제공하기위한개인정보수집도포함된다. 관련근거 : 정보통신망법제 22 조 ( 개인정보의수집 이용동의등 ) 개인정보수집및이용에대한동의획득시, 어떤개인정보를왜수집하고언제까지보유할것인지에대해이용자가쉽고명확하게인지할수있어야한다. 예시화면과같이 3가지항목을별도로안내하고동의를획득하는절차를마련한다. 1 수집하는개인정보의항목 ( 예 : 성명, 이메일주소등 ) 2 개인정보의수집 이용목적 ( 예 : 정보제공, 물품배송등 ) 3 개인정보의보유및이용기간 ( 예 : 회원탈퇴시지체없이파기 ) 16
앱개발자를위한개인정보보호안내서 위치정보사업자및위치기반서비스사업자가개인위치정보를수집 이용 제공하기위해서는위치정보이용약관을통해이용자로부터동의를획득해야한다. 관련근거 : 위치정보보호법제 18 조 ( 개인위치정보의수집 ) 위치정보보호법제 19 조 ( 개인위치정보의이용또는제공 ) 이용약관에는 1서비스내용, 2개인위치정보수집및이용등사실확인자료의보유근거및보유기간, 3이용자및법정대리인의권리와그행사방법, 4사업자의상호, 주소, 전화번호등서비스제공자정보 5 이외개인위치정보보호를위하여필요한사항이포함되어야한다. 또한, 개인또는이동성이있는물건의위치정보를수집 이용 제공할경우에도이용자또는소유자의동의를획득해야하며, 위치정보이용약관이나별도의팝업창을통해동의를획득할수있다. 관련근거 : 위치정보보호법제15조 ( 위치정보의수집등의금지 ) 17
3 장 앱개발하기 Tip < 위치정보란?> 이동성이있는물건또는개인이특정한시간에존재하거나존재하였던장소에관한정보로서전기통신설비및전기통신회선설비 ( 휴대전화, GPS 등 ) 를이용하여수집 < 개인위치정보란?> 특정개인의위치정보 ( 위치정보만으로는특정개인의위치를알수없는경우에도다른정보와용이하게결합하여특정개인의위치를알수있는것도포함 ) 를의미 < 위치정보사업허가 > 위치정보사업을하고자하는자 ( 위치정보사업자 ) 는위치정보보호법제5조에따라방송통신위원회에허가를받아야한다. 허가를받은사항중위치정보시스템을변경 ( 그변경으로개인위치정보보호를위한기술적수준이허가받은때보다저하되는경우에한한다 ) 하려는경우에는방송통신위원회의변경허가를받아야하고, 상호또는주된사무소의소재지를변경하려는경우에는방송통신위원회에변경신고를하여야한다. < 위치기반서비스사업신고 > 위치기반서비스사업을하고자하는자 ( 위치기반서비스사업자 ) 는위치정보보호법제9조에따라방송통신위원회에신고하여야한다. 신고한사항중상호, 주된사무소의소재지또는위치정보시스템을변경 ( 변경으로인하여개인위치정보보호를위한기술적수준이신고한때보다저하되는경우에한한다 ) 하고자하는때에는방송통신위원회에변경신고를하여야한다. 단, 위치정보가스마트기기에서만활용되고사업자서버로전송되지않는다면위치기반서비스사업신고대상에서제외된다. 위치정보가사업자서버로전송되는경우에는위치정보의서버저장기간과상관없이신고대상이된다. < 위치정보이용약관신고 > 위치정보사업자및위치기반서비스사업자는위치정보보호법제12조에따라사업개시 30일전까지방송통신위원회에위치정보이용약관을신고해야한다. 이용약관이변경될때에도신고하여야한다. * 사업허가 신고방법및세부내용은 방송통신위원회홈페이지 (www.kcc.go.kr) 정책 / 정보센터 자료마당 사업자제출자료 참조 18
앱개발자를위한개인정보보호안내서 민감한개인정보는수집하지않기 원칙적으로민감한개인정보수집은금지한다. 부득이하게민감한개인정보를수집할경우에는반드시이용자동의를획득해야한다. 관련근거 : 정보통신망법제 23 조 ( 개인정보의수집제한등 ) Tip < 민감한개인정보란?> 과거병력, 장애여부, 인종및민족, 사상, 출신지, 정치적성향, 범죄기록, 성생활관련정보등개인의권리 이익이나사생활을뚜렷하게침해할우려가있는개인정보를말한다. 민감한개인정보는이용자의동의를받거나다른법률에따라수집이허용된경우에한해수집할수있으며, 예시화면과같이다른개인정보와구분하여표시하도록한다. 19
3 장 앱개발하기 개인정보취급위탁시이용자에게알리고동의획득하기 개인정보취급업무를위탁할경우누구에게, 왜주는지에대해이용자동의를획득해야한다. 단, 이용자와계약을맺은서비스를제공하기위해불가피하게발생하는위탁업무에대해서는동의획득없이고지나통지로갈음할수있다. 관련근거 : 정보통신망법제25조 ( 개인정보의취급위탁 ) Tip < 취급위탁이란?> 사업자가자신의업무와직 간접적으로관련된업무를수행하기위해개인정보의수집 보관 처리 이용 제공 관리 파기등의취급업무를제3자에게위탁하는것 - 예 : 텔레마케팅을외부업체에아웃소싱, 고객만족도조사를위해리서치업체이용, 이벤트또는행사개최를대행사에아웃소싱 취급위탁시예시화면과같이 1개인정보취급을위탁받는자 ( 수탁자 ) 와 2취급위탁의업무내용에대해이용자에게알리고동의를획득하면된다. 취급위탁업체가 20
앱개발자를위한개인정보보호안내서 많을지라도해당업체를모두명시하여야한다. 특히, 취급위탁동의는개인정보의수집 이용이나제3자제공과는별도로동의를받아야하며, 이에동의하지아니한다는이유로서비스제공을거부해서는안된다. 개인정보제 3 자제공시이용자에게알리고동의획득하기 이용자의개인정보를제3자에게제공하는경우누구에게, 어떤이유로, 무엇을제공하며, 언제까지이용하게되는지를이용자에게알리고동의를획득해야한다. 관련근거 : 정보통신망법제 24 의 2( 개인정보의제공동의등 ) Tip < 제3 자제공이란?> 사업자가수집한개인정보를자신의업무와는관계없는제3자에게제공하는것 - 예 : 대형할인마트에서고객정보를보험사 ( 보험영업 ) 에제공, 정유사회원정보를쇼핑업체의상품이나서비스홍보를위해제공등 21
3 장 앱개발하기 예시화면과같이다음 4가지항목을알리고동의를획득해야한다. 1 개인정보를제공받는자 2 제공받는자의개인정보이용목적 3 제공하는개인정보항목 4 제공받는자의개인정보보유및이용기간 개인위치정보를개인위치정보주체가지정하는제3자에게제공할경우, 이용약관에명시된사항외에 1개인위치정보를제공받는제3자와 2제공목적을개인위치정보주체에게고지하고동의받아야한다. 위치기반서비스사업자는이용자에게제3자제공에대한동의를획득한후에도, 제3자에게개인위치정보를제공하는경우매회 1개인위치정보를제공하는제3자, 2제공일시, 3제공목적을이용자에게즉시통보해야한다. 22
앱개발자를위한개인정보보호안내서 미성년자개인정보수집시법정대리인동의획득하기 만 14세미만의아동의개인정보및개인위치정보를수집 이용ㆍ제공하기위해서는법정대리인으로부터동의를획득해야한다. 관련근거 : 정보통신망법제 31 조 ( 법정대리인의권리 ) 위치정보보호법제 25 조 ( 법정대리인의권리 ) 위치정보보호법제 26 조 (8 세이하의아동등의보호를위한위치정보이용 ) 법정대리인의동의를얻기위한방법은다음과같다. 1 일반회원과만 14세미만아동의가입경로를별도로구분한다. 2 아동에게법정대리인의성명, 연락처, 이메일등의정보를수집하여법정대리인에게동의여부를문의한다. 3 법정대리인으로부터동의한다는내용의회신을받으면아동이서비스를이용할수있도록한다. 23
3 장 앱개발하기 Tip <8세이하아동등의위치정보이용 > 8세이하아동등은법정대리인 ( 보호의무자 ) 이개인위치정보의수집 이용 제공에동의하는경우본인의동의가있는것으로본다. 주민등록번호의사용제한 정보통신서비스제공자는원칙적으로주민등록번호를수집ㆍ이용할수없다. 다만법에따라본인확인기관으로지정받은경우, 다른법령에서규정한경우, 그리고방송통신위원회가고시한경우에는주민등록번호를수집ㆍ이용할수있다. 주민등록번호수집ㆍ이용이허용된경우에도본인확인을할수있는대체수단을제공해야한다. 대체수단 ( 예 ) : i-pin 인증 ( 본인확인기관에서발급받아본인확인을할수있는서비스 ) 등 관련근거 : 정보통신망법제23조의2( 주민등록번호의사용제한 ) Tip < 주민등록번호를수집하도록규정한다른법률 ( 예 )> 금융실명거래법제3조 전자서명법제15조 전자금융거래법제16조 부가가치세법제16조, 제17조의2, 제33조 소득세법제145 조, 164 조 24
앱개발자를위한개인정보보호안내서 개인정보수집목적에한해서만이용하기 앱서비스제공자는수집한개인정보및개인위치정보를이용자로부터동의받은목적의범위에서만이용해야한다. 관련근거 : 정보통신망법제 24 조 ( 개인정보의이용제한 ) 위치정보보호법제 21 조 ( 개인위치정보등의이용 제공의제한등 ) 신규서비스도입등으로개인정보를추가적으로수집하거나이용범위가변경되는경우에는이용자에게동의를다시획득해야한다. Tip < 앱개발시주의사항 > 1 앱개발자는서비스제공자가개인정보수집목적과는다른목적 ( 상업적, 개인적등 ) 으로개인정보를활용하기위한어떠한기능도제공해서는안된다. 2 웹회원을보유하고있는앱의경우, 앱에서추가적으로수집하는개인정보가있다면이용자에게추가적인동의를획득해야한다. 3 위치정보수집 이용 제공등과관련하여위치정보이용약관이변경될경우방송통신위원회에변경신고해야한다. 회원정보열람 정정등이용자권리보장하기 개인정보및개인위치정보를수집 이용 제공하는경우에는이용자가동의철회, 일시중지, 열람 정정할수있는기능을제공해야하고, 이용자요구에대해지체없이적절한조치를취해야한다. 관련근거 : 정보통신망법제 30 조 ( 이용자의권리등 ) 위치정보보호법제 24 조 ( 개인위치정보주체의귄리등 ) 25
3 장 앱개발하기 앱개발자는예시화면과같이이용자스스로자신의개인정보상태를확인하고동의철회, 열람 정정등이가능하도록기능을구현해야한다. 개인정보즉시파기하기 개인정보의수집목적달성및이용기간의종료, 또는폐업하는경우에는보유하고있는개인정보를지체없이파기해야한다.( 이벤트광고목적으로개인정보수집후이벤트종료시, 회원탈퇴시등 ) 개인위치정보또한수집ㆍ이용ㆍ제공목적을달성한때에는위치정보보호법제16조에따라기록ㆍ보존해야하는위치정보수집 이용 제공사실확인자료외의개인위치정보는즉시파기하여야한다. 관련근거 : 정보통신망법제 29 조 ( 개인정보의파기 ) 위치정보보호법제 23 조 ( 개인위치정보의파기등 ) 26
앱개발자를위한개인정보보호안내서 Tip < 지체없이파기란?> 합리적이유및근거가없는한즉시파기하는것을의미한다. 다만, 타법률에따라개인정보를보존하여야하는경우는해당되지않는다. 앱개발자는 1개인정보의수집및이용목적을달성하거나 2이용자에게동의를획득한개인정보보유및이용기간이종료된경우 3폐업하는경우에는보유하고있는개인정보를지체없이파기하도록구현해야한다. 다만, 예시화면과같이다른법률규정등에따라개인정보를보유해야하는합리적인이유와근거가있으면해당기간내에개인정보를보유할수있다. 개인정보를파기할때에는재생할수없도록파기해야한다. 종이출력물의경우분쇄기로분쇄하거나소각해야하며컴퓨터파일형태로저장된개인정보기록은 로우레벨포멧 이나, 일반포맷 을한뒤불필요한정보를여러번덮어씌우는방법으로다시는재생할수없도록조치해야한다. 27
3 장 앱개발하기 기술적보호조치구현하기 개인정보에불법적인접근및안전한저장 전송을위하여암호화기술및접근통제설비등을운영해야한다. 관련근거 : 정보통신망법제 28 조 ( 개인정보의보호조치 ) 위치정보보호법제 16 조 ( 위치정보의보호조치등 ) Tip 개인정보및위치정보의기술적 보호조치에관한자세한사항은 한국인터넷진흥원홈페이지 (www.kisa.or.kr) 자료실 참조 - 개인정보의기술적 관리적보호조치기준및해설서 - 위치정보보호를위한관리적 기술적보호조치권고및해설서 앱개발자는예시화면과같이이용자가안전한비밀번호를이용할수있도록 1 비밀번호작성규칙을수립하고, 이행해야한다. 주민번호, 계좌번호, 신용카드번호, 패스워드등중요정보를화면에표시할때는 2리마킹처리하도록한다. 개인정보및개인위치정보를전송, 서버및단말기에저장시 3암호화하도록한다. 또한, 네트워크보안및접근통제등을위해 4방화벽등정보보호시스템설치 운영, 5개인정보및개인위치정보에접근한기록보존 백업, 6악성프로그램방지를위한백신프로그램설치등을해야한다. 28
앱개발자를위한개인정보보호안내서 위치정보사업자등은위치정보수집 이용등의사실확인자료를위치정보시스템에자동으로기록 보존하고, 누출 변조 훼손되지않도록기술적조치를취해야한다. < 위치정보수집사실확인자료 ( 예시 ) : 위치정보사업자 > 2006. 11. 15 14:30분에 B사업자의요청으로 A통신사업자가 Cell-ID방식으로 C이용자의위치정보를수집수집자요청서비스요청자수집방법수집요청시간수집종료시간 A사업자친구찾기 B사업자 Cell-ID 2006.11.15.14:30 2006.11.15.14:35 < 위치정보이용 제공사실확인자료 ( 예시 ) : 위치기반서비스사업자 > B사업자는 A사업자로부터수집한정보를 C이용자에게 14:30~35분까지 SMS/E-mail으로 정보를제공 취득경로 제공서비스 제공받는자 제공시간 제공방법 A사업자 친구찾기 C이용자 2006.11.15.14:30~35 SMS/E-mail등 29
참고자료 1. 관련법령 ( 법률, 고시, 해설서등 ) 정보통신망이용촉진및정보보호등에관한법률 (www.kcc.go.kr 법령정보) 위치정보의보호및이용등에관한법률 (www.kcc.go.kr 법령정보) 정보통신서비스제공자를위한개인정보보호가이드 (privacy.kisa.or.kr>> 자료실 ) 위치정보의보호및이용등에관한법률해설서 (www.kisa.or.kr 자료실 ) 개인정보의기술적 관리적보호조치기준및해설서 (www.kisa.or.kr 자료실 ) 위치정보보호를위한관리적 기술적보호조치권고및해설서 (www.kisa.or.kr 자료실) 위치정보관련사업허가 신고양식 ((www.kcc.go.kr) 정책 / 정보센터 자료마당 사업자제출자료 ) 2. 앱개발관련 스마트모바일앱개발지원센터 (www.smac.or.kr) SKT(dev.tstore.co.kr) KT(seller.ollehmarket.com) LG U + (devpartner.lguplus.co.kr) 구글 (developer.android.com) 애플 (developer.apple.com) 3. Secure Coding 관련 정보시스템 SW 개발보안가이드 (www.mopas.go.kr 정책자료 참고자료실) The CERT Oracle Secure Coding Standard for Java(www.cert.org) The CERT C Secure Coding Standard(www.cert.org) The CERT C++ Secure Coding Standard(www.cert.org) ios Secure Coding Guide(developer.apple.com) 30
앱개발자를위한개인정보보호안내서 4. 개인정보보호조치안내서 보안서버구축안내서 (www.kisa.or.kr 자료실) 패스워드선택및이용안내서 (www.kisa.or.kr 자료실 ) 암호이용안내서 (www.kisa.or.kr 자료실) 암호이용구현안내서 (seed.kisa.or.kr 자료실) 암호알고리즘및키길이이용안내서 (www.kisa.or.kr 자료실 ) 무선랜보안안내서 (www.kisa.or.kr 자료실 ) 와이브로보안기술안내서 (www.kisa.or.kr 자료실 ) 아이핀도입안내서 (www.kisa.or.kr 자료실 ) 웹사이트개발 운영을위한개인정보안내서 (www.kisa.or.kr 자료실) 5. 개인정보보호관련정보제공홈페이지 개인정보보호포털및위치정보보호 (www.i-privacy.kr) 웹사이트개인정보보호조치안내 (guide.kisa.or.kr) 아이핀 (i-pin.kisa.or.kr) 개인정보보호자가진단 (www.privacycheck.or.kr) 개인정보침해신고센터 (privacy.kisa.or.kr) 보안서버 (secsv.kisa.or.kr) 암호이용 (seed.kisa.or.kr) 31