8월 1일은 개인정보보호의 날입니다.

개인정보보호 관련 법령 및 지침에 근거하여 일상생활 속에서 개인정보보호 실천 문화를 조성하기 위해 매월 1일 운영하고 있습니다.(휴일인 경우 다음 평일)

8월의 주제는 ‘개인정보보호법 개정 주요내용’입니다.

개인정보보호법 개정 주요 내용

2022년 8월 개인정보보호 이슈

공공부문 주요 시스템 개인정보 안전조치 강화

개인정보 고의유출로 중대한 사생활 침해시 파면·해임

- 개인정보위, 「공공부문 개인정보 유출 방지대책」발표 -

-  -

-  -

□ 집중관리 대상 시스템＊을 선정, 강화된 3단계 안전조치 적용

* (기준) 개인정보 보유량, 민감성 및 유출 시 파급효과, 취급자수 등
(예시) 정부24, 주민등록, 국민신문고, 자동차관리, 1365자원봉사포털 등

□ 계정 발급 엄격화, 접속기록 관리 시스템 도입 의무화, 승인·소명·통지 절차 마련

□ (‘22~’24) 「집중관리 시스템」 우선 적용 ⇨ (‘24~’25) 전체 공공시스템 적용 의무화

□ 시스템 소관 부처+운영기관+이용기관 통합 보호체계 구축

□ 시스템별 개인정보 보호책임자 별도 지정 및 안전조치 방안 수립

□ 지자체 등 이용기관의 책임과 역할 강화 및 수시 기획 점검 실시

□ 공무원 위반행위 제재 대폭 강화 및 보호 기반 확충

□ 개인정보 고의 유출·부정 이용 시 원스트라이크 아웃(파면·해임)

□ 집중관리 시스템 적정 인력 배치 권고 및 안전조치 시스템 단계적 확충

□ 앞으로 민감한 개인정보를 대규모로 처리하는 기관의 경우 3단계 안전조치의무가 부과되는 등 공공부문 개인정보 관리가 대폭 강화된다.

○ 더불어 국민의 소중한 개인정보를 고의로 유출하거나 부정 이용하는 공무원은 단 한 번만 적발되더라도 파면 혹은 해임된다.

□ 개인정보보호위원회(이하 ‘개인정보위’)는 7월 14일(목) 국무총리 주재로 개최된 제3회 국정현안점검조정회의에서 ｢공공부문 개인정보 유출 방지대책｣을 보고하였다.

○ 이번 대책은 공공부문 개인정보 유출 근절을 목표로 ▲취급자에 대한 처벌 강화, ▲공공부문 개인정보처리시스템 보호 강화, ▲사각지대 없는 보호 관리체계 구축, ▲공공부문 개인정보 보호기반 구축 등을 핵심 내용으로 담고 있다.

추진 배경

□ 공공부문은 국민의 개별적 동의가 아닌, 법령에 따라 다양하고 민감한 개인정보를 처리*하고 있으며, 기술 발달에 따라 각종 시스템 연계도 지속적으로 확대되고 있다.

* 총 669억건(중복 포함). 공공기관의 16.4%는 100만명 이상 개인정보 보유(‘21년)

○ 이에 따라 보다 엄정한 개인정보 안전관리 조치가 필요하지만 위법사항 적발이 어렵고, 낮은 수준의 제재에 따른 개인정보 보호 인식 부족, 개인정보처리시스템에 대한 형식적 접근권한 관리 등이 문제로 거론되어 왔다.

○ 더불어 시스템 별로 상호 연계되지 않고, 개별적(분절적)으로 작동함으로써 시스템 운영 권한과 책임의 모호성 및 인력·예산 미흡에 관한 우려도 지속적으로 제기되어 왔다.

<분절적 시스템 관리 체계>

운영

부처

위탁

⇒

산하기관

재위탁

⇒

유지·보수 업체 등

이용

관리자 권한

부여 ⇒

광역

관리자 권한

재부여 ⇒

기초

취급자 계정

부여 ⇒

공무원+
비공무원

중점 추진 과제

□ (인적) 고의 유출에 대한 징계 및 형사처벌 강화

문제점	□ 개인정보 유출 규모는 증가(‘17년 2개 기관·3만 6천건→’21년 22개 기관·21만 3천건) 중이나, 중징계는 감소(‘17년 9건→’20년 2건)하는 등 징계는 약화

○ 국민의 개인정보를 고의 유출‧부정 이용 시 무관용 원칙에 따라 파면·해임하는 원스트라이크 아웃 적용 등 제재를 강화한다.

- 이에 따라 비위 정도가 심각한 공무원의 경우 1회 위반에도 파면·해임 징계를 받아 공직에서 퇴출된다.

○ 개인정보 취급자가 개인정보를 부정 이용할 경우 5년 이하의 징역 또는 5천만 원 이하의 벌금을 부과하는 내용의 처벌 규정을 보호법에 신설하고, 공공기관 대상 과태료·과징금도 더욱 적극적으로 부과할 계획이다.

○ 아울러, 법 위반 단속 강화를 위해 개인정보위 주관으로 집중관리 개인정보처리시스템 대상 기획 점검을 연내 실시한다.

□ (기술적) 집중관리 대상 시스템에 대한 3단계 안전조치 의무 부과

문제점	□ 접속기록 관리 시스템을 구축한 비율은 56% □ 인사 이동시 15일을 초과하여 접근권한을 현행화하는 시스템은 43%에 달함

○ 개인정보 보유량, 민감성 및 유출 시 파급효과, 취급자수 등을 기준으로 공공부문 시스템 16,199개 중 약 10%의 시스템을 집중관리 시스템으로 선정하여 다음과 같은 3단계 안전조치 의무를 부과한다.

<집중관리 시스템(단위 : 개) 및 선정 기준>

합계		공통 시스템				개별 시스템
		단일 접속		표준 배포
시스템	기관	시스템	기관	시스템	기관	시스템	기관
1,608	327	47	12	1,418	245	143	70

※ ①단일접속 : 개인정보 보유량 100만건 이상, 취급자 수 200명 이상, ②표준배포 : 전국 공통 민원 사무 용도, ③개별시스템 : 주민등록 연계 또는 개발비 100억 이상 전국 단위 활용

○ 첫째, 접근권한 관리를 위해 취급자 계정 발급을 엄격화하여 인사정보와 연동하고 미등록된 직원은 계정 발급을 원칙적으로 금지한다.

- 이를 통해 이용기관의 목적 외 시스템 이용을 통제하고, 취급자가 필요·최소한 정보에만 접근하도록 권한을 제한한다.

○ 둘째, 접속기록 관리 시스템을 의무적으로 도입한다.

- 운영기관은 이용기관이 취급자의 접속기록을 조회할 수 있도록 하고, 비정상적 접근 시도를 탐지‧차단하는 기능을 구현해야 한다.

○ 셋째, 대규모 개인정보 또는 민감한 정보를 처리하는 경우 사전 승인 또는 사후 소명하도록 하고, 개인정보 활용 시 정보주체인 국민에게도 처리 사실을 알려야 한다.

○ 이같은 3단계 안전조치는 집중관리 시스템부터 우선 도입(‘22~’24)하고, 「공공부문 개인정보 안전조치 기준」 규정 제정(‘23.말)으로 단계적 의무화(’24~‘25)하여 전체 공공부문으로 확대할 계획이다.

□ (관리적) 개인정보 처리에 대한 책임과 역할 명확화

문제점	□ 개인정보 처리시스템 이용기관에서 소속 취급자에 대한 접속기록을 직접 점검하는 비율은 1%에 불과

○ 소관 부처 및 시스템 운영·이용기관이 모두 참여하는 개인정보 보호 협의회도 설치해 운영하도록 했다.

- 아울러, 개별 시스템별로 보호 책임자를 지정해 개인정보 처리를 관리·감독하고, 시스템 단위 안전조치 방안도 수립하도록 했다.

○ 개인정보 보호 법령에 수탁자에 대한 조사‧처분 규정을 신설하고, 이용기관도 시스템에서 개인정보 파일을 운영하는 경우 개인정보처리자로 처분하고 취급자 교육 및 관리‧감독 책임을 강화한다.

○ 지자체의 책임 강화를 위해 표준 개인정보 보호 조례안을 제공하고, 지역별 정책 수립을 위해 시도 개인정보 관계기관 협의회 설치를 지원한다.

※ (사례) 전국 243개 지자체 중 개인정보 보호 조례가 있는 지자체 23개(9%)

□ (기반) 개인정보위의 공공부문 대응 기능 확대

문제점	□ 공공부문 개인정보 보호 예산은 1천만원 미만이 60.1% □ 개인정보 전담 부서가 있는 기관 3.8%, 전담 인원은 평균 0.5명에 불과

○ 개인정보 보호 법령에 인력 배치 근거를 마련해 집중관리 시스템 운영기관에 적정 인력 배치를 권고하고, 각 기관은 3단계 안전조치의무를 위한 필수 시스템*을 단계적으로 확충한다.

* 접속기록 관리 시스템 구축, 인사 시스템 연계, 승인‧소명‧통지 절차 시스템화 등

○ 정보화 예산 낙찰차액을 개인정보 보호 강화에도 활용할 있게 하는 방안을 검토한다.

○ 더불어 개인정보위가 유출에 대한 신속 대응과 함께 수준 진단 및 영향평가 결과에 대한 개선 권고 등을 하는 등 공공부문에 대한 점검·관리를 강화한다.

□ 이번 대책과 관련해 개인정보위는 부처 간 정기적인 협의체를 구성하여 대책의 실효성을 확보하고, 정책을 일관적으로 추진할 계획이다.

○ 또한 시스템별 현황과 특성, 개인정보보호 조치 수준 등에 대한 더욱 상세한 현황조사를 시행하고 기획점검도 실시할 계획이다.

□ 윤종인 개인정보위 위원장은 “이번 대책은 공공부문 개인정보 유출 근절을 위한 정부의 강력한 의지를 국민께 약속드리는 것”이라며,

○ “공공부문의 개인정보 유출로 국민이 고통받는 경우가 다시는 발생하지 않도록 철저하게 점검·관리하겠다.”라고 말했다.

붙 임1		국민의 개인정보 보호, 이번 대책으로 이렇게 바뀝니다

		내용		As-Is		To-Be
기술적		보호 대상		▸개인정보 파일(DB) 중심		▸개인정보 파일(DB) + 시스템 추가
		안전 조치 기준		▸민간과 동일		▸공공부문에 강화된 조치 부과 (계정 발급 엄격화, 접속기록 관리 시스템 도입 의무화, 승인‧소명 절차 마련)
관리적		관리 체계		▸기관별 CPO* * 개인정보 보호책임자		▸시스템별 개인정보책임자 지정
				▸시스템 운영 부서와 역할‧책임 모호		▸「부처+운영기관 +이용기관」 통합 관리체계
				▸지자체 등 이용기관 책임 모호		▸이용기관 역할·책임 구체화
보호기반		보호 기반		▸전담조직‧인력 부족		▸인력 배치 기준 및 개인정보보호 시스템 확충 계획 마련
				▸개인정보보호 시스템 미비
		제재 수준		▸징계기준 부재		▸고의유출 시 원스트라이크 아웃
				▸민간과 동일		▸공무원 가중처벌 추진
		기획 점검		▸주요 공공시스템 기획점검 부재		▸매년 기획점검 실시 ▸유출 사건 발생 시 원칙적 조사 착수

2022년 상반기 주요 개인정보보호 상담내용

개인정보보호 상담
질의1	정보주체가 본인의 CCTV 영상을 열람요청 시 개인정보보호법에서 요구하는 절차 및 영상편집 처라 위탁에 대해 설명 부탁합니다.
답변1	표준 개인정보호지침 제46조에서는 CCTV영상정보의 열람 등의 조치를 취하는 경우, 정보주체 이외의 자의 개인영상정보를 알아볼 수 없도록 보호조치를 취하도록 하고 있습니다. 또한 보호조치 업무를 전문기관에 위탁을 할 수 있으며, CCTV 영상편집 업무도 개인정보처리에 해당하므로 법 제26조에 따라 개인정보처리를 위탁할 수 있습니다. 따라서, CCTV영상 편집(마스킹) 관련해서 자체 편집에 불가 시 전문업체와 개인정보보호법에 따라 ‘개인정보처리 위탁계약서’(표준 개인정보처리 위탁 계약서)를 작성, 개인정보보호 서약서 등을 징구하고 영상정보 모자이크 처리 업무를 위탁할 수 있습니다. 이 경우에는 수탁자 개인정보 교육 등도 수행해야 합니다.
질의2	민사재판 관련하여 법원에서 국가기관에 피고의 주소불명 등을 이유로 사실조회 (피고 주소, 주민번호, 휴대폰번호, 전화번호 등 일체)를 요청하는데 이에 대한 법적근거는 무엇인지 알고 싶습니다.
답변2	개인정보보호법 제18조4항에 근거하여 법원으로부터 보정명령, 자료제출명령 등이 있는 경우 공공기관이 보유하고 있는 개인정보를 정보주체의 동의 없이 목적 외로 이용 또는 제공하는 것이 가능합니다. 또한 개보법 제18조4항에 근거하여 개인정보를 목적 외로 이용하거나 제3자에게 제공하는 경우에는 목적 외 이용·제공을 한 날로부터 30일 이내에 목적 외 이용·제공의 법적 근거, 이용 또는 제공 일자·목적·항목에 관하여 관보 또는 인터넷 홈페이지에 게재하여야 합니다. 참고로, 주민등록번호는 민사소송규칙(대법원규칙)에서 주민등록번호 처리가 가능함.