1. 개정이유

｢개인정보 보호법｣ 및 시행령·고시 개정에 따라 변경된 내용을 반영하여 ｢개인정보보호위원회 개인정보 보호지침｣을 개정하고자 함

2. 주요내용

가. ｢개인정보 보호법｣ 및 시행령 개정안 내용 반영

- 개인정보 수집․이용 관련 규정의 개정사항 반영 (제6조)

- 개인정보 수집 출처 등 통지 방법 개정사항 반영 (제10조)

- 동의를 받아 수집하는 개인정보와 동의 없이 처리할 수 있는 개인정보로 구분하여 각각의 조치 방법을 명시 (제13조)

- 개인정보 유출에 대한 정의를 법률에 맞게 정비(제51조)

- 개인정보 유출등에 대한 통지 및 신고 기한을 ‘72시간 이내’(현행 5일 이내)로 수정 (제52조, 제54조)

개인정보 유출등 신고 요건에 시행령 개정사항을 반영하여 민감정보·고유식별정보·외부 불법 접근에 의한 유출 추가 (제54조)

- 등록 및 공개 적용이 제외되는 개인정보파일을 법률에 맞게 정비 (제57조)

- 고정형 영상정보처리기기 운영·관리 방침의 마련 및 공개에 관한 사항을 정비하고, 이를 준용하고 있는 이동형 영상정보처리기기 운영·관리 방침에 관한 사항을 추가적으로 명시 (제67조, 제74조)

- 항공촬영 등 이동형 영상정보처리기기 촬영방법의 특성으로 촬영 사실 표시가 어려운 경우 보호위원회가 구축하는 인터넷 사이트를 통해 공지하도록 함 (제70조의2 신설)

- 개인정보 보호책임자의 업무, 처리방침 기재사항 등 시행령 2차 개정(‘24.3.12.) 사항을 반영함(제24조, 제31조)

나. 개인정보보호법 관련 고시 개정사항 반영

○ ｢개인정보 처리 방법에 관한 고시｣ 개정사항 반영

- 서면 동의 시 중요한 내용의 표시 방법의 정비(제13조)

- 개인정보의 목적 외 이용 및 제3자 제공 대장 서식 내 오탈자 수정(별지 8)

○ ｢표준 개인정보 보호지침｣(고시) 개정사항 반영

- 개인정보 처리방침의 기재사항을 관련 규정에 따라 정비 (제31조)

- 정책고객ㆍ홈페이지회원등의 외부고객명부에 대한 2년 주기 재동의 규정 삭제(제62조)

- 개인영상정보에 대한 정보주체의 열람등 요구 규정에 이동형 영상정보처리기기를 추가하고, 제한·거부 사유를 법률에 맞게 정비 (제75조)

○ ｢개인정보의 안전성 확보조치 기준｣(고시) 개정사항 반영

- 접근통제, 접근권한, 개인정보의 암호화 등 기술적·관리적 및 물리적 보호조치 정비(제32조~제44조)

3. 참고사항

가. 관계법령 : 개인정보 보호법 및 개인정보 보호법 시행령

나. 예산조치 : 별도조치 필요 없음

다. 합    의 : 해당기관 없음

라. 기    타 : 신․구조문대비표, 별첨

개인정보보호위원회훈령  제        호

개인정보보호위원회 개인정보보호지침 일부개정훈령안

개인정보보호위원회 개인정보보호지침 일부를 다음과 같이 개정한다.

제2조제4호 중 ““개인정보 처리”란 개인정보를”을 ““처리”란 개인정보의”로 하고, 같은 조 제8호 중 “자로서, 법 제31조 및”을 “자로서,”로, “따른 지위에 해당하는”을 “해당하는”으로 하며, 같은 조 제10호 중 “응용시스템”을 “시스템”으로 하고, 같은 조 제11호부터 제13호까지 및 제17호를 각각 다음과 같이 한다.

11. “고정형 영상정보처리기기”란 일정한 공간에 설치되어 지속적 또는 주기적으로 사람 또는 사물의 영상 등을 촬영하거나 이를 유ㆍ무선망을 통하여 전송하는 일체의 장치로서 시행령 제3조제1항에 따른 폐쇄회로 텔레비전(CCTV) 및 네트워크카메라를 말한다.

11의 2.  “이동형 영상정보처리기기”란 사람이 신체에 착용 또는 휴대하거나 이동 가능한 물체에 부착 또는 거치(据置)하여 사람 또는 사물의 영상 등을 촬영하거나 이를 유ㆍ무선망을 통하여 전송하는 장치로서 시행령 제3조제2항에 따른 착용형, 휴대형, 부착ㆍ거치형, 그 밖에 이와 유사한 기능을 가지는 장치를 말한다.

12. “개인영상정보”란 법 제2조제1호에 따른 개인정보 중 고정형 영상정보처리기기 또는 이동형 영상정보처리기기에 의하여 촬영ㆍ처리되는 영상 형태의 개인정보를 말한다.

13. “고정형영상정보처리기기운영자”란 법 제25조제1항 각 호에 따라 고정형 영상정보처리기기를 설치ㆍ운영하는 자를 말한다.

13의 2. 이동형영상정보처리기기운영자“란 법 제25조의2제1항 각 호에 따라 업무를 목적으로 이동형 영상정보처리기기를 운영하는 자를 말한다.

17. “생체인식정보”란 생체정보 중 특정 개인을 인증 또는 식별할 목적으로 일정한 기술적 수단을 통해 처리되는 정보를 말한다.

제4조제4항 중 “고려하여”를 “고려하여 그에 상응하는 적절한 기술적ㆍ관리적 및 물리적 보호조치를 통하여”로 한다.

제6조제2항제5호 중 “계약을 체결하고, 체결된 계약의 내용에 따른 의무를 이행하는 것이 불가능하거나 현저히”를 “체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기”로 하고, 같은 항 제6호 중 “정보주체 또는 그 법정대리인이 의사표시를 할 수 없는 상태에 있거나 주소불명 등으로 사전 동의를 받을 수 없는 경우로서 명백히”를 “명백히”로 하며, 같은 항에 제8호를 다음과 같이 신설한다.

8. 공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우

제10조의 제목 “(개인정보 수집 출처 등 고지)”를 “(개인정보 수집 출처 등 통지)”로 하고, 같은 조 제1항 각 호 외의 부분 중 “정보주체의 요구가 있으면 요구가 있는”을 “정당한 사유가 없는 한 정보주체의 요구가 있은”으로 하며, 같은 항 제3호 중 “요구”를 “요구하거나 동의를 철회”로 하고, 같은 조 제2항 각 호 외의 부분 본문 중 “개인정보처리자”를 “개인정보처리자가 법 제17조제1항1호에 따라 정보주체 이외로부터 개인정보를 수집하여 처리하는 때에”로, “모든 사항을 서면ㆍ전화ㆍ문자전송ㆍ전자우편 등 정보주체가 쉽게 알 수 있는 방법으로”를 “사항을”로, “이내에 정보주체”를 “이내에  정보주체”로 한다.

제10조제2항 각 호 외의 부분 단서에 각 호 외의 부분 후단을 다음과 같이 신설한다.

이 경우 다음 각 호에 규정된 정보주체의 수는 전년도 말 기준 직전 3개월 간 일일평균을 기준으로 산정한다.

제10조제3항을 다음과 같이 하고, 같은 조 제4항 및 제5항을 각각 제5항 및 제6항으로 하며, 같은 조에 제4항을 다음과 같이 신설하고, 같은 조 제5항(종전의 제4항) 제1호 및 제2호 중 “고지”를 각각 “통지”로 하며, 같은 조 제6항(종전의 제5항) 중 “제4항 단서에 따라”를 “제5항에 따라 제1항에 따른”으로 한다.

③ 제2항에 따른 통지는 다음 각 호의 어느 하나에 해당하는 방법으로 해야한다. 다만, 법 제17조제2항제1호부터 제4호까지의 사항에 대하여 같은조 제1항제1호에 따라 정보주체의 동의를 받은 범위에서 연 2회 이상 주기적으로 개인정보를 제공받아 처리하는 경우에는 개인정보를 제공받은 날부터 3개월 이내에 정보주체에게 알리거나 그 동의를 받은 날부터 기산하여 연 1회 이상 정보주체에게 알려야 한다.

1. 서면ㆍ전자우편ㆍ전화ㆍ문자 전송 등 정보주체가 통지 내용을 쉽게 확인할 수 있는 방법

2. 재화 및 서비스를 제공하는 과정에서 정보주체가 쉽게 알 수 있도록 알림창을 통해 알리는 방법

④ 제2항 각 호의 어느 하나에 해당하는 개인정보처리자는 제3항에 따라 알린 경우 다음 각 호의 사항을 법 제21조 또는 제37조제5항에 따라 해당 개인정보를 파기할 때 까지 보관ㆍ관리하여야 한다.

1. 정보주체에게 알린 사실

2. 알린 시기

3. 알린 방법

제11조제1항 중 “달성”을 “달성, 가명정보의 처리 기간 경과”로 한다.

제13조의 제목 “(동의를 받는 방법)”을 “(동의를 받는 방법 등)”으로 하고, 같은 조 제1항 전단 중 “각각의”를 “법 제22조제1항에 따라 각각의”로, “알리고 각각”을 “알리고”로 하며, 같은 항 후단을 삭제한다.

제13조제2항 각 호 외의 부분을 다음과 같이 한다.

개인정보처리자는 법 제22조에 따라 개인정보의 처리에 대하여 정보주체의 동의를 받을때에는 다음 각 호의 조건을 모두 충족하여야 한다.

제13조제2항제1호부터 제4호까지를 각각 다음과 같이 하고, 같은 항 제5호를 삭제하며, 같은 조 제4항을 삭제하고, 같은 조 제3항을 제4항으로 하며, 같은 조에 제3항을 다음과 같이 신설하고, 같은 조 제4항(종전의 제3항) 중 “제2항 각 호”를 “제3항”으로 하며, 같은 조 제8항 및 제9항을 각각 삭제하고, 같은 조 제5항부터 제7항까지를 각각 제6항부터 제8항까지로 하며, 같은 조에 제5항을 다음과 같이 신설한다.

1. 정보주체가 자유로운 의사에 따라 동의 여부를 결정할 수 있을 것

2. 동의 내용이 구체적이고 명확할 것

3. 그 내용을 쉽게 읽고 이해할 수 있는 문구를 사용할 것

4. 동의 여부를 명확하게 표시할 수 있는 방법을 제공할 것

③ 개인정보처리자는 법 제22조제1항 각 호의 어느 하나에 해당하는 경우에는 동의 사항을 구분하여 각각 동의를 받아야 한다.

1. 삭제

2. 삭제

3. 삭제

4. 삭제

5. 삭제

⑤ 개인정보처리자는 정보주체의 동의 없이 처리할 수 있는 개인정보에 대해서는 그 항목과 처리의 법적 근거를 정보주체의 동의를 받아 처리하는 개인정보와 구분하여 개인정보처리방침에 공개하거나 서면, 전자우편, 팩스, 전화, 문자전송 또는 이에 상당하는 방법(이하 “서면등의 방법”이라 한다)으로 정보주체에게 알려야 한다. 이 경우 동의 없이 처리할 수 있는 개인정보라는 입증책임은 개인정보처리자가 부담한다.

제13조제8항(종전의 제7항) 중 “「개인정보 수집ㆍ제공 동의서 작성 가이드라인」을”을 “개인정보 처리 동의 안내서를”로 하고, 같은 조 제10항 및 제11항을 각각 제9항 및 제10항으로 하며, 같은 조 제9항(종전의 제10항) 각 호 외의 부분 중 “제11항”을 “제10항”으로 하고, 같은 조 제10항(종전의 제11항) 각 호 외의 부분 중 “제10항”을 “제9항”으로 하며, 같은 항 제1호를 삭제하고, 같은 항 제2호 및 제3호를 각각 제1호 및 제2호로 한다.

제14조제1항 중 “제17조제4항”을 “제17조의2제1항”으로 한다.

제19조제1항제3호 중 “총리령으”를 “보호위원회가 고시”로 한다.

제20조 중 “제16조”를 “제19조”로 한다.

제24조제3항제8호를 다음과 같이 하고, 같은 조에 제4항 및 제5항을 각각 다음과 같이 신설한다.

8. 개인정보 처리와 관련된 인적ㆍ물적 자원 및 정보의 관리

④ 개인정보처리자는 법 제31조제6항에 따른 개인정보 보호책임자의 독립성 보장을 위해 다음 각 호의 사항을 준수해야 한다.

1. 개인정보 처리와 관련된 정보에 대한 개인정보 보호책임자의 접근 보장

2. 개인정보 보호책임자가 개인정보 보호 계획의 수립ㆍ시행 및 그 결과에 관하여 정기적으로 보고할 수 있는 체계의 구축

3. 개인정보 보호책임자의 업무 수행에 적합한 조직체계의 마련 및 인적ㆍ물적 자원의 제공

⑤ 개인정보처리자는 개인정보의 안전한 처리 및 보호, 정보의 교류, 시행령 제32조의2제1항 각 호에 해당하는 사업을 수행하기 위하여 개인정보 보호책임자를 구성원으로 하는 개인정보 보호책임자 협의회를 구성ㆍ운영할 수 있다.

제31조제5호 및 제6호를 각각 다음과 같이 하고, 같은 조 제8호 중 “정보주체”를 “개인정보의 열람, 정정ㆍ삭제, 처리정지 요구권 등 정보주체”로 하며, 같은 조 제13호 중 “해당하는”을 “해당되는”으로 하고, 같은 조에 제14호부터 제19호까지를 각각 다음과 같이 신설한다.

5. 개인정보의 파기절차 및 파기방법(법 제21조제1항 단서에 따라 개인정보를 보존하여야 하는 경우에는 그 보존근거와 보존하는 개인정보 항목을 포함한다.)

6. 개인정보처리의 위탁에 관한 사항(해당되는 경우)

14. 시행령 제14조의2제2항에 따라 개인정보의 추가적인 이용 또는 제공이 지속적으로 발생하는 경우 같은 조 제1항 각 호의 고려사항에 대한 판단 기준(해당되는 경우)

15. 법 제23조제3항에 따른 민감정보의 공개 가능성 및 비공개를 선택하는 방법(해당되는 경우)

16. 법 제28조의2 및 제28조의3에 따른 가명정보의 처리 등에 관한 사항(해당되는 경우)

17. 법 제28조의8제1항 각 호에 따라 개인정보를 국외로 이전하는 경우 국외 이전의 근거와 같은 조 제2항 각 호의 사항

18. 국외에서 국내 정보주체의 개인정보를 직접 수집하여 처리하는 경우 개인정보를 처리하는 국가명

제32조제1항 각 호 외의 부분 중 “관리적ㆍ기술적ㆍ물리적”을 “기술적ㆍ관리적 및 물리적”으로 하고, 같은 항 제1호 중 “위한”을 “위한 다음 각 목의 내용을 포함하는”으로, “수립ㆍ시행”을 “수립ㆍ시행 및 점검”으로 하며, 같은 호에 가목부터 다목까지를 각각 다음과 같이 신설한다.

가. 법 제28조제1항에 따른 개인정보취급자(이하 “개인정보취급자”라 한다)에 대한 관리ㆍ감독 및 교육에 관한 사항

나. 법 제31조에 따른 개인정보 보호책임자의 지정 등 개인정보 보호 조직의 구성ㆍ운영에 관한 사항

다. 제2호부터 제8호까지의 규정에 따른 조치를 이행하기 위하여 필요한 세부 사항

제32조제1항제2호 중 “통제 및 접근 권한의 제한ㆍ관리”를 “권한을 제한하기 위한 다음 각 목의”로 하고, 같은 호에 가목부터 다목까지를 각각 다음과 같이 신설하며, 같은 항 제3호를 다음과 같이 하고, 같은 항 제5호를 삭제하며, 같은 항 제4호를 제5호로 하고, 같은 항에 제4호를 다음과 같이 신설한다.

가. 데이터베이스시스템 등 개인정보를 처리할 수 있도록 체계적으로 구성한 시스템(이하 “개인정보처리시스템”이라 한다)에 대한 접근 권한의 부여ㆍ변경ㆍ말소 등에 관한 기준의 수립ㆍ시행

나. 정당한 권한을 가진 자에 의한 접근인지를 확인하기 위해 필요한 인증수단 적용 기준의 설정 및 운영

다. 그 밖에 개인정보에 대한 접근 권한을 제한하기 위하여 필요한 조치

3. 개인정보에 대한 접근을 통제하기 위한 다음 각 목의 조치

가. 개인정보처리시스템에 대한 침입을 탐지하고 차단하기 위하여 필요한 조치

나. 개인정보처리시스템에 접속하는 개인정보취급자의 컴퓨터 등으로서 보호위원회가 정하여 고시하는 기준에 해당하는 컴퓨터 등에 대한 인터넷망의 차단. 다만, 전년도 말 기준 직전 3개월 간 그 개인정보가 저장ㆍ관리되고 있는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조제1항제4호에 따른 이용자 수가 일일평균 100만명 이상인 개인정보처리자만 해당한다.

다. 그 밖에 개인정보에 대한 접근을 통제하기 위하여 필요한 조치

4. 개인정보를 안전하게 저장ㆍ전송하는데 필요한 다음 각 목의 조치

가. 비밀번호의 일방향 암호화 저장 등 인증정보의 암호화 저장 또는 이에 상응하는 조치

나. 주민등록번호 등 보호위원회가 정하여 고시하는 정보의 암호화 저장 또는 이에 상응하는 조치

다. 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조제1항제1호에 따른 정보통신망을 통하여 정보주체의 개인정보 또는 인증정보를 송신ㆍ수신하는 경우 해당 정보의 암호화 또는 이에 상응하는 조치

라. 그 밖에 암호화 또는 이에 상응하는 기술을 이용한 보안조치

제32조제1항제5호(종전의 제4호)에 가목부터 다목까지를 각각 다음과 같이 신설하고, 같은 항 제5호(종전의 제4호) 중 “발생 시”를 “발생에”로, “위한 조치”를 “위한 다음 각 목의 조치”로 하며, 같은 항 제6호를 제7호로 하고, 같은 항에 제6호 및 제8호를 각각 다음과 같이 신설한다.

가. 개인정보처리시스템에 접속한 자의 접속일시, 처리내역 등 접속기록의 저장ㆍ점검 및 이의 확인ㆍ감독

나. 개인정보처리시스템에 대한 접속기록의 안전한 보관

다. 그 밖에 접속기록 보관 및 위조ㆍ변조 방지를 위하여 필요한 조치

6. 개인정보처리시스템 및 개인정보취급자가 개인정보 처리에 이용하는 정보기기에 대해 컴퓨터바이러스, 스파이웨어, 랜섬웨어 등 악성프로그램의 침투 여부를 항시 점검ㆍ치료할 수 있도록 하는 등의 기능이 포함된 프로그램의 설치ㆍ운영과 주기적 갱신ㆍ점검 조치

8. 그 밖에 개인정보의 안전성 확보를 위하여 필요한 조치

제32조제2항 중 “개인정보처리자”를 “10만명 이상의 정보주체에 관하여 개인정보를 처리하는 개인정보처리자”로, “위기대응 매뉴얼 등 대응절차를 마련하고 정기적으로 점검하여야”를 “다음 각 호의 조치를 하여야”로 하고, 같은 항에 제1호 및 제2호를 각각 다음과 같이 신설하며, 같은 조 제3항 및 제4항을 각각 삭제한다.

1. 위기대응 매뉴얼 등 대응절차를 마련하고 정기적으로 점검

2. 개인정보처리시스템 백업 및 복구를 위한 계획을 마련

제34조를 삭제한다.

제36조의 제목 “(내부 관리계획의 수립ㆍ시행)”을 “(내부 관리계획의 수립ㆍ시행 및 점검)”으로 하고, 같은 조 제1항제1호 중 “지정”을 “자격요건 및 지정”으로 하며, 같은 항 제3호 중 “대한”을 “대한 관리ㆍ감독 및”으로 하고, 같은 항 제12호 중 “위험도”를 “위험”으로, “대응방안 마련”을 “관리”로 하며, 같은 항 제13호를 다음과 같이 하고, 같은 항 제15호를 제16호로 하며, 같은 항에 제15호를 다음과 같이 신설한다.

13. 개인정보 유출, 도난 방지 등을 위한 취약점 점검에 관한 사항

15. 개인정보 내부 관리계획의 수립, 변경 및 승인에 관한 사항

제38조의 제목 “(개인정보취급자 접근권한의 관리)”를 “(접근권한의 관리)”로 하고, 같은 조 제1항 중 “업무 수행”을 “개인정보취급자에게만 업무 수행”으로 하며, 같은 조 제2항 중 “개인정보취급자”를 “개인정보취급자 또는 개인정보취급자의 업무”로 하고, 같은 조 제5항을 삭제하며, 같은 조 제6항을 제5항으로 한다.

제40조의 제목 “(접근통제시스템 설치 및 운영)”을 “(접근통제)”로 하고, 같은 조 제2항 중 “가상사설망(VPN : Virtual Private Network) 또는 전용선 등 안전한 접속수단을 적용하거나”를 “인증서, 보안토큰, 일회용 비밀번호 등”으로 한다.

제40조제2항에 단서를 다음과 같이 신설한다.

다만, 이용자가 아닌 정보주체의 개인정보를 처리하는 개인정보처리시스템의 경우 가상사설망 등 안전한 접속수단 또는 안전한 인증수단을 적용할 수 있다.

제40조제3항 중 “공유설정, 공개된 무선망 이용”을 “공유설정”으로, “열람권한”을 “권한”으로, “업무용 컴퓨터, 모바일 기기 및 관리용 단말기 등에 접근 통제 등에 관한”을 “개인정보취급자의 컴퓨터 및 모바일 기기 등에”로 하고, 같은 조 제4항을 삭제하며, 같은 조 제5항 중 “하여야”를 “하는 등 필요한 조치를 하여야”로 하고, 같은 조 제6항을 삭제하며, 같은 조에 제8항을 다음과 같이 신설한다.

⑧ 전년도 말 기준 직전 3개월간 그 개인정보가 저장ㆍ관리되고 있는 이용자 수가 일일평균 100만명 이상인 개인정보처리자는 개인정보처리시스템에서 개인정보를 다운로드 또는 파기할 수 있거나 개인정보처리시스템에 대한 접근 권한을 설정할 수 있는 개인정보취급자의 컴퓨터 등에 대한 인터넷망 차단 조치를 하여야 한다. 다만, 「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률」제2조제3호에 따른 클라우드컴퓨팅서비스를 이용하여 개인정보처리시스템을 구성ㆍ운영하는 경우에는 해당 서비스에 대한 접속 외에는 인터넷을 차단하는 조치를 하여야 한다.

제41조제1항부터 제5항까지를 각각 다음과 같이 하고, 같은 조 제6항 중 “개인정보처리자”를 “10만명 이상의 정보주체에 관하여 개인정보를 처리하는 개인정보처리자”로 하며, 같은 조 제7항 및 제8항을 각각 삭제한다.

① 개인정보처리자는비밀번호, 생체인식정보 등 인증정보를 저장 또는 정보통신망을 통하여 송ㆍ수신하는 경우에는 안전한 암호 알고리즘으로 암호화하여야 한다. 다만, 비밀번호를 저장하는 경우에는 복호화되지 아니하도록 일방향 암호화하여 저장하여야 한다.

② 개인정보처리자는 다음 각 호의 해당하는 이용자의 개인정보에 대해서는 안전한 암호 알고리즘으로 암호화하여 저장하여야 한다.

1. 주민등록번호

2. 여권번호

3. 운전면허번호

4. 외국인등록번호

5. 신용카드번호

6. 계좌번호

7. 생체인식정보

③ 개인정보처리자는 이용자가 아닌 정보주체의 개인정보를 다음 각 호와 같이 저장하는 경우에는 암호화하여야 한다.

1. 인터넷망 구간 및 인터넷망 구간과 내부망의 중간 지점(DMZ : Demilitarized Zone)에 고유식별정보를 저장하는 경우

2. 내부망에 고유식별정보를 저장하는 경우(다만, 주민등록번호 외의 고유식별정보를 저장하는 경우에는  다음 각 목의 기준에 따라 암호화의 적용여부 및 적용범위를 정하여 시행할 수 있다)

가. 법 제33조에 따른 개인정보 영향평가의 대상이 되는 공공기관의 경우에는 해당 개인정보 영향평가의 결과

나. 암호화 미적용시 위험도 분석에 따른 결과

④ 개인정보처리자는 개인정보를 정보통신망을 통하여 인터넷망 구간으로 송ㆍ수신하는 경우에는 이를 안전한 암호 알고리즘으로 암호화하여야 한다.

⑤ 개인정보처리자는 이용자의 개인정보 또는 이용자가 아닌 정보주체의 고유식별정보, 생체인식정보를 개인정보취급자의 업무용 컴퓨터 또는 모바일 기기 및 보조저장매체 등에 저장할 때에는 안전한 암호화 알고리즘을 사용하여 암호화한 후 저장하여야 한다.

제42조제3항 중 “보관하여야”를 “보관하기 위한 조치를 하여야”로 한다.

제43조의 제목 “(관리용 단말기 안전조치 및 악성프로그램 등 방지)”를 “(악성프로그램 등 방지)”로 하고, 같은 조 제1항을 삭제하며, 같은 조 제2항을 제1항으로 하고, 같은 조에 제2항을 다음과 같이 신설하며, 같은 조 제1항(종전의 제2항) 각 호 외의 부분 중 “악성 프로그램”을 “악성프로그램”으로, “백신 소프트웨어 등의 보안”을 “보안”으로 하고, 같은 항 제1호 중 “보안 프로그램”을 “프로그램”으로, “일”을 “정당한 사유가 없는 한 일”로 하며, 같은 항 제2호를 삭제하고, 같은 항 제3호를 제2호로 한다.

② 개인정보처리자는 악성프로그램 관련 경보가 발령된 경우 또는 사용 중인 응용 프로그램이나 운영체제 소프트웨어의 제작업체에서 보안 업데이트 공지가 있는 경우, 정당한 사유가 없는 한 즉시 이에 따른 업데이트 등을 실시하여야 한다.

제44조의 제목 “(물리적 접근 방지)”를 “(물리적 안전조치)”로 한다.

제46조제2항 중 “법 제35조제3항”을 “법 제35조제3항 후단”으로 한다.

제51조를 다음과 같이 한다.

제51조(개인정보의 유출등) 개인정보의 분실ㆍ도난ㆍ유출(이하 “유출등”이라 한다)이란 법령이나 개인정보처리자의 자유로운 의사에 의하지 않고 개인정보가 해당 개인정보처리자의 관리ㆍ통제권을 벗어나 제3자가 그 내용을 알 수 있는 상태에 이르게 된 것을 말한다.

제52조의 제목 “(유출 통지시기 및 항목)”을 “(유출등의 통지시기 및 항목)”으로 하고, 같은 조 제1항 각 호 외의 부분 전단 중 “유출되었음”을 “유출등이 되었음”으로, “5일”을 “72시간”으로 하며, 같은 항 각 호 외의 부분 후단을 삭제하고, 같은 항 제1호 및 제2호 중 “유출된”을 각각 “유출등이 된”으로 하며, 같은 항 제3호 중 “유출”을 “유출등으”로 하고, 같은 조 제2항 및 제3항을 각각 제3항 및 제4항으로 하며, 같은 조에 제2항을 다음과 같이 신설하고, 같은 조 제3항(종전의 제2항) 제1호 중 “유출”을 “유출등”으로 하며, 같은 조 제4항(종전의 제3항) 중 “유출 사고의 미인지로 인해”를 “유출등의 사고를 인지하지 못해 유출등의 사고가 발생한 시점으로부터 72시간 이내에”로, “유출 통지”를 “유출등의 통지”로 한다.

② 1항에도 불구하고 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 해당 사유가 해소된 후 지체 없이 정보주체에게 알릴 수 있다.

1. 유출등이 된 개인정보의 확산 및 추가 유출등을 방지하기 위하여 접속경로의 차단, 취약점 점검ㆍ보완, 유출등이 된 개인정보의 회수ㆍ삭제 등 긴급한 조치가 필요한 경우

2. 천재지변이나 그 밖에 부득이한 사유로 인하여 72시간 이내에 통지하기 곤란한 경우

제53조의 제목 “(유출 통지방법)”을 “(유출등의 통지방법)”으로 하고, 같은 조 제1항 중 “서면, 전자우편, 모사전송, 전화, 휴대전화 문자전송 또는 이와 유사한 방법을 통하여 5일 이내에”를 “서면등의 방법을 통하여”로 하며, 같은 조 제2항을 다음과 같이 한다.

② 개인정보처리자는 정보주체의 연락처를 알 수 없는 경우 등 정당한 사유가 있는 경우에는 법 제34조제1항 각 호 외의 부분 단서에 따라 같은 항 각 호의 사항을 정보주체가 쉽게 알 수 있도록 자신의 인터넷 홈페이지에 30일 이상 게시하는 것으로 제1항의 통지를 갈음할 수 있다.

제54조의 제목 “(개인정보 유출신고)”를 “(개인정보 유출등의 신고)”로 하고, 같은 조 제1항을 단서로 하여 다음과 같이 하며, 같은 조 제2항 중 “따른 보고와”를 “따른”으로, “유출신고(보고)서”를 “유출등 신고서”로 하고, 같은 조 제3항 및 제4항을 각각 다음과 같이 한다.

① 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우로서 개인정보가 유출등이 되었음을 알게 되었을 때에는 72시간 이내에  제52조제1항 각 호의 사항을 서면등의 방법으로 보호위원회 또는 한국인터넷진흥원에 신고해야 한다. 다만, 천재지변이나 그 밖에 부득이한 사유로 인하여 72시간 이내에 신고하기 곤란한 경우에는 해당 사유가 해소된 후 지체 없이 신고할 수 있으며,  개인정보 유출등의 경로가 확인되어 해당 개인정보를 회수ㆍ삭제하는 등의 조치를 통해 정보주체의 권익 침해 가능성이 현저히 낮은 경우에는 그러하지 아니하다.

1. 1천명 이상의 정보주체에 관한 개인정보가 유출등이 된 경우

2. 민감정보, 고유식별정보가 유출등이 된 경우

3. 개인정보처리시스템 또는 개인정보취급자가 개인정보 처리에 이용하는 정보기기에 대한 외부로부터의 불법적인 접근에 의해 개인정보가 유출등이 된 경우

③ 개인정보처리자는 개인정보 포털(www.privacy.go.kr)을 통하여 유출등 신고를 할 수 있다.

④ 개인정보처리자는 1항에 따른 신고를 하려는 경우에는 법 제34조제1항제1호 또는 제2호의 사항에 관한 구체적인 내용이 확인되지 못한 경우에는 개인정보가 유출등이 된 사실, 그때까지 확인된 내용 및 같은 항 제3호부터 제5호까지의 사항을 서면등의 방법으로 우선 신고해야 하며, 추가로 확인되는 내용에 대해서는 확인되는 즉시 신고해야 한다.

제55조의 제목 “(개인정보의 유출조사)”를 “(개인정보의 유출등 조사)”로 한다.

제57조제1호라목을 다음과 같이 하고, 같은 호 마목을 바목으로 하며, 같은 호에 마목 및 사목을 각각 다음과 같이 신설한다.

라. 회의 참석 수당 지급, 자료ㆍ물품의 송부, 금전의 정산 등 단순 업무 수행을 위해 운영되는 개인정보파일로서 지속적 관리 필요성이 낮은 개인정보파일

마. 공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우로서 일시적으로 처리되는 개인정보 파일

사. 그 밖에 일회적 업무 처리만을 위해 수집된 개인정보파일로서 저장되거나 기록되지 않는 개인정보파일

제57조제2호 각 목 외의 부분을 다음과 같이 한다.

법 제58조제1항제2호에 따라 적용이 제외되는 국가안전보장과 관련된 정보 분석을 목적으로 수집 또는 제공 요청되는 개인정보파일

제57조제2호가목부터 다목까지를 각각 삭제하고, 같은 조 제4호를 삭제하며, 같은 조 제3호를 제4호로 하고, 같은 호(종전의 제3호) 중 “CCTV 등 영상정보처리기기”를 “영상정보처리기기”로 한다.

제58조제2항에 제12호를 다음과 같이 신설한다.

12. 법 제33조제1항에 따른 개인정보 영향평가를 받은 개인정보파일의 경우에는 그 영향평가의 결과

제62조제3항을 삭제한다.

제4장제1절의 제목 “영상정보처리기기의 설치”를 “총칙”으로 한다.

제66조 중 “영상정보처리기기운영자가 공개된 장소에 설치ㆍ운영하는 영상정보처리기기와 이”를 “고정형영상정보처리기기운영자 또는 이동형영상정보처리기기운영자가 설치ㆍ운영하는 고정형 영상정보처리기기 또는 이동형영상정보처리기기와 그”로 한다.

제67조 앞에 절 번호 및 제목을 다음과 같이 신설한다.

제2절 고정형 영상정보처리기기의 설치

제67조의 제목 “(영상정보처리기기 운영ㆍ관리 방침)”을 “(고정형 영상정보처리기기 운영ㆍ관리 방침)”으로 하고, 같은 조 제1항 중 “영상정보처리기기”를 “고정형영상정보처리기기운영자가 법 제25조제7항에 따라 고정형 영상정보처리기기”로, “수립”을 “마련”으로 하며, 같은 조 제2항을 다음과 같이 한다.

② 고정형영상정보처리기기운영자가 법 제30조에 따라 개인정보 처리방침을 정할 때 고정형 영상정보처리기 운영ㆍ관리에 관한 사항을 포함시킨 경우에는 제1항에 따른 고정형 영상정보처리기기 운영ㆍ관리 방침을 마련하지 아니할 수 있다.

제68조제1항 전단 중 “영상정보처리기기운영자”를 “고정형영상정보처리기기운영자”로 하고, 같은 항 후단을 삭제하며, 같은 조 제2항 각 호 외의 부분 중 “개인영상정보 관리책임자는 법 제31조제2항”을 “관리책임자는 법 제31조제3항”으로 하고, 같은 조에 제3항을 다음과 같이 신설한다.

③ 법 제31조에 따른 개인정보 보호책임자는 관리책임자의 업무를 수행할 수 있다.

제69조 중 “영상정보처리기기”를 “고정형 영상정보처리기기”로 한다.

제70조제1항 각 호 외의 부분 중 “영상정보처리기기운영자는 정보주체가”를 “고정형영상정보처리기기운영자는 정보주체가 고정형”으로 하고, 같은 항 제1호 중 “설치목적”을 “설치 목적”으로 하며, 같은 항 제2호 중 “촬영범위”를 “촬영 범위”로 하고, 같은 항 제3호를 다음과 같이 하며, 같은 항 제4호 중 “영상정보처리기기”를 “고정형 영상정보처리기기”로 하고, 같은 조 제2항 및 제3항 중 “영상정보처리기기운영자”를 각각 “고정형영상정보처리기기운영자”로 하며, 같은 항 중 “영상정보처리기기의”를 “고정형영상정보처리기기의”로, “용도별ㆍ기관별”을 “용도별ㆍ지역별”로 한다.

3. 관리책임자의 연락처

제71조 앞에 “제2절 개인영상정보의 처리”를 삭제한다.

제71조 앞에 절 번호 및 제목을 다음과 같이 신설한다.

제4절 개인영상정보의 처리

제71조 각 호 외의 부분 중 “영상정보처리기기운영자”를 “고정형영상정보처리기기운영자 또는 이동형영상정보처리기기운영자”로 하고, 같은 조 제3호 중 “정보주체 또는 그 법정대리인이 의사표시를 할 수 없는 상태에 있거나 주소불명 등으로 사전 동의를 받을 수 없는 경우로서 명백히”를 “명백히”로 하며, 같은 조에 제9호 및 제10호를 각각 다음과 같이 신설한다.

9. 통계작성, 과학적 연구, 공익적 기록보존 등을 위하여 필요한 경우로서 법 제28조의2 또는 제28조의3에 따라 가명처리한 경우

10. 공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우

제72조제1항 본문을 다음과 같이 한다.

고정형영상정보처리기기운영자 또는 이동형영상정보처리기기운영자는 고정형영상정보처리기기 또는 이동형영상정보처리기기 운영ㆍ관리 방침에 명시한 보관 기간이 경과하거나 개인영상정보의 처리 목적 달성, 법 제2조제1호에 따른 가명정보의 처리 기간 경과 등 그 개인영상정보가 불필요하게 되었을 때에는 지체없이 그 개인영상정보를 파기하여야 한다.

제72조제2항 중 “영상정보처리기기운영자”를 “고정형영상정보처리기기운영자”로 한다.

제73조제1항 각 호 외의 부분 중 “영상정보처리기기운영자”를 “고정형영상정보처리기기운영자 또는 이동형영상정보처리기기운영자”로 하고, 같은 항 제5호 중 “정하여져”를 “정해져”로 하며, 같은 항에 제7호를 다음과 같이 신설하고, 같은 조 제2항 각 호 외의 부분 중 “영상정보처리기기운영자”를 “고정형영상정보처리기기운영자 또는 이동형영상정보처리기기운영자”로 한다.

7. 이용 또는 제공한 개인영상정보의 업무처리 담당자

제74조의 제목 “(개인영상정보처리기기 설치 및 관리 등의 위탁)”을 “(영상정보처리기기 설치 및 운영 등의 위탁)”으로 하고, 같은 조 제1항 중 “영상정보처리기기운영자”를 “고정형영상정보처리기기운영자”로, “영상정보처리기기의”를 “고정형 영상정보처리기기의”로, “제27조에 따른”을 “제25조에 따른 고정형”으로 하며, 같은 조 제2항을 제3항으로 하고, 같은 조에 제2항을 다음과 같이 신설하며, 같은 조 제3항(종전의 제2항) 중 “영상정보처리기기운영자”를 “고정형영상정보처리기기운영자 또는 이동형영상정보처리기기운영자”로, “영상정보처리기기의”를 “고정형 영상정보처리기기 또는 이동형 영상정보처리기기의”로 한다.

② 이동형영상정보처리기기운영자가 법 제25조의2제4항에 따라 시행령 제26조를 준용하여 이동형 영상정보처리기기의 운영에 관한 사무를 제3자에게 위탁하는 경우에는 제39조의2에 따른 이동형 영상정보처리기기 운영ㆍ관리 방침에 수탁자의 명칭 등을 공개하여야 한다.

제4장제3절의 제목 “개인영상정보의 열람 등 요구”를 “이동형 영상정보처리기기의 운영”으로 한다.

제4장제3절에 제70조의2 및 제70조의3을 각각 다음과 같이 신설한다.

제70조의2(이동형 영상정보처리기기의 촬영 사실 표시) ① 이동형 영상정보처리기기를 이용하여 사람 또는 그 사람과 관련된 사물의 영상을 촬영하는 경우에는 불빛, 소리, 안내판, 서면, 안내방송 또는 그 밖에 이에 준하는 수단을 통해 정보주체가 촬영 사실을 쉽게 알 수 있도록 표시하고 알려야 한다.

② 드론에 의한 항공촬영 등 촬영 방법의 특성으로 인해 정보주체에게 촬영 사실을 쉽게 알 수 있도록 표시하고 알리기 어려운 영우에는 보호위원회가 이동형 영상정보처리기기의 촬영사실 표시를 지원하기 위하여 구축ㆍ운영하는 홈페이지를 통해 촬영 사실 및 목적, 촬영 일시 및 장소 등의 사항을 공지하여야 한다.

제70조의3(이동형 영상정보처리기기 운영ㆍ관리 방침) ① 이동형영상정보처리기기운영자는 법 제25조의2제4항에 따라 시행령 제25조제1항을 준용하여 다음 각 호의 사항이 포함된 이동형 영상정보처리기기 운영ㆍ관리 방침을 마련하여야 한다.

1. 이동형 영상정보처리기기의 운영 근거 및 운영 목적

2. 이동형 영상정보처리기기의 운영 대수

3. 관리책임자, 담당 부서 및 영상정보에 대한 접근 권한이 있는 사람

4. 영상정보의 촬영시간, 보관기간, 보관장소 및 처리방법

5. 이동형영상정보처리기기운영자의 영상정보 확인 방법 및 장소

6. 정보주체의 영상정보 열람 등 요구에 대한 조치

7. 영상정보 보호를 위한 기술적ㆍ관리적 및 물리적 조치

8. 그 밖에 이동형 영상정보처리기기의 설치ㆍ운영 및 관리에 필요한 사항

② 이동형영상정보처리기기운영자가 제1항에 따라 이동형 영상정보처리기기 운영ㆍ관리 방침을 마련하거나 변경하는 경우에는 정보주체가 쉽게 확인할 수 있도록 공개하여야 한다.

③ 이동형영상정보처리기기운영자가 법 제30조에 따른 개인정보 처리방침을 정할 때 이동형 영상정보처리기기 운영ㆍ관리에 관한 사항을 포함시킨 경우에는 제1항에 따른 이동형 영상정보처리기기 운영ㆍ관리 방침을 마련하지 아니할 수 있다

제75조 앞에 절 번호 및 제목을 다음과 같이 신설한다.

제5절 개인영상정보의 열람 등 요구

제75조제1항 전단 중 “영상정보처리기기운영자가”를 “고정형영상정보처리기기운영자 또는 이동형영상정보처리기기운영자가”로, “영상정보처리기기운영자에게”를 “고정형영상정보처리기기운영자 또는 이동형영상정보처리기기운영자에게”로 하고, 같은 항 후단 중 “촬영된 개인영상정보 및 명백히 정보주체의 급박한 생명, 신체, 재산의 이익을 위하여 필요한”을 “촬영된”으로 하며, 같은 조 제2항 및 같은 조 제3항 중 “영상정보처리기기운영자”를 각각 “고정형영상정보처리기기운영자 또는 이동형영상정보처리기기운영자”로 하고, 같은 조 제4항 각 호 외의 부분 전단 중 “다음 각 호”를 “법 제35조제4항 각 호의 어느 하나”로, “영상정보처리기기운영자”를 “고정형영상정보처리기기운영자 또는 이동형영상정보처리기기운영자”로, “거부”를 “제한하거나 거부”로 하며, 같은 항 각 호 외의 부분 후단 중 “영상정보처리기기운영자”를 “고정형영상정보처리기기운영자 또는 이동형영상정보처리기기운영자”로, “거부”를 “제한 또는 거부”로 하고, 같은 항 제1호부터 제3호까지를 각각 삭제하며, 같은 조 제5항 각 호 외의 부분 중 “영상정보처리기기운영자”를 “고정형영상정보처리기기운영자 또는 이동형영상정보처리기기운영자”로 하고, 같은 조 제6항을 삭제한다.

제76조 중 “제73조, 제75조제5항 및 제6항”을 “제73조 및 제75조제5항”으로 한다.

제77조 중 “영상정보처리기기운영자”를 “고정형영상정보처리기기운영자 또는 이동형영상정보처리기기운영자”로 한다.

제78조 앞에 “제4절 개인영상정보 보호 조치”를 삭제한다.

제78조 앞에 절 번호 및 제목을 다음과 같이 신설한다.

제6절 개인영상정보 보호 조치

제78조 각 호 외의 부분 중 “영상정보처리기기운영자”를 “고정형영상정보처리기기운영자 또는 이동형영상정보처리기기운영자”로 한다.

제79조제1항 각 호 외의 부분 전단 중 “영상정보처리기기운영자가 영상정보처리기기”를 “영상정보처리기기운영자는 고정형영상정보처리기기”로 하고, 같은 항 제1호 및 제3호 중 “영상정보처리기기”를 각각 “고정형 영상정보처리기기”로 하며, 같은 항 제8호 중 “영상정보처리기”를 “고정형 영상정보처리기”로 하고, 같은 조 제2항 중 “따른”을 “따른 고정형”으로 한다.

별표 2를 삭제한다.

별지 제1호서식을 별지와 같이 한다.

별지 제5호서식을 별지와 같이 한다.

별지 제8호서식 중 “[  ]목적 외 제3자”를 “[  ]제3자”로 한다.

부      칙

이 훈령은 발령한 날부터 시행한다.