금융회사의 개인정보보호

자가진단 ․ 조치 매뉴얼

2013. 11.

	금융감독원 개인정보보호TF

				목 차

제1장 개인정보보호 자가진단‧조치 매뉴얼 활용

1. 새로운 개인정보보호 제도의 시행	1

2. 개인정보보호 자율규제의 강화	3

제2장 개인정보보호 업무일반

1. 체계적인 개인정보보호 관리체계 구축	4

2. 개인정보의 수집‧이용‧제공 등 처리 단계별 보호기준 준수	5

3. 위탁업체에 대한 교육 강화	7

4. 암호화 등 안전성 확보조치 마련	8

5. 개인정보 취급자에 대한 교육 강화	9

제3장 CCTV 설치․운영

1. CCTV 설치·운영 제한	10

2. 사생활침해 우려 장소 설치·운영금지	11

3. 임의조작·녹음 금지	11

4. 안내판 설치	11

5. CCTV 운영·관리 방침 수립	12

6. 관리책임자 지정	12

7. 영상정보의 목적 외 이용 및 제3자 제공	13

8. 보관 및 파기	13

9. CCTV 설치․운영 사무의 위탁	16

10. 열람 등의 청구	17

11. 개인영상정보의 안전성 확보를 위한 조치	18

12. CCTV의 설치․운영에 대한 점검	19

				목 차

제4장 개인정보문서 관리

1. 종이문서의 관리절차	20

가. 내부관리계획 및 개인정보처리방침	20

나. 종이문서의 안전관리	21

2. 종이문서의 파기절차 준수	21

가. 파기의 시점	21

나. 파기방법 및 절차	22

3. 종이문서의 위탁관리 강화	23

제5장. 개인정보 유출시 조치방법

1. 개인정보 유출시 통지	26

2. 개인정보 유출시 신고	27

3. 개인정보 유출시 사고보고	28

<부록> 개인정보보호 자가진단 체크리스트

가. 업무일반편	29

나. CCTV 설치․운영편	35

다. 개인정보문서 관리편	39

라. 개인정보 유출통지․신고편	42

제1장. 개인정보보호 자가진단‧조치 매뉴얼 활용

1. 새로운 개인정보보호 제도의 시행

□ 개인정보보호법의 시행(‘11.3.29. 공포, ‘11.9.30. 시행)

◦ 개인정보 침해로 인한 국민의 피해 구제를 강화하여 사생활의 비밀을 보호하고 개인정보에 대한 국민의 권리와 이익을 보장하기 위하여 제정․시행됨

* 6개월간의 계도기간을 거쳐 ‘12.3.30.부터 본격 시행

개인정보보호법의 주요 내용

① 개인정보의 수집‧이용, 제공, 파기 등 처리 단계별 보호기준 정립

* 개인정보의 수집‧이용‧제공시 원칙적으로 정보주체의 동의를 얻도록 함

② 사상‧신념 등 민감정보, 주민등록번호 등 고유식별정보의 처리제한 강화

③ CCTV 설치‧운영에 대한 규제 강화

④ 개인정보 처리업무의 수탁자에 대한 관리‧감독책임 강화

⑤ 개인정보 처리정지 요구권, 유출통지‧신고제도, 집단분쟁제도, 단체소송제도 도입 등으로 정보주체 권리 보장 강화

□ 개인정보보호법 개정(‘13.8.6.공포, 14.8.7.시행)에 따른 책임 강화

◦ 개인정보보호법 제24조의2 신설에 따라 ‘법령에서 구체적으로 허용한 경우 등’이 아니면 고객 동의를 받더라도 주민번호의 처리가 금지되며, 기존에 수집한 주민번호는 2년 이내에 파기하여야 함

* 기존 방식대로 고객의 동의만을 받고 주민번호를 계속 수집할 경우에는 과태료가 부과될 수 있으므로 이에 선제적으로 대응할 필요

◦ 개인정보보호법 제34조의2 신설에 따라 주민번호가 분실․도난․유출․변조 또는 훼손된 경우 5억원 이하 과징금을 부과․징수받게 될 수 있음

- 단, 법 제24조 제3항에 따른 안전성 확보에 필요한 조치를 다한 경우에는 과징금을 부과받지 않을 수 있음

□ 금융분야의 개인정보보호 관련 법률

◦ 금융분야에서는 개인정보보호법 시행 이전부터 금융실명제법, 신용정보법, 전자금융거래법 등에 의하여 금융고객의 개인(신용)정보를 보호하여 왔으며,

◦ 이들 금융관련 법률에서 특별히 정하는 사항에 대해서는 개인정보보호법에 우선하여 해당 법률이 적용됨

□ 금융분야 개인정보보호 가이드라인

◦ 금융회사들이 고객 개인정보를 안전하게 보호하기 위해 지켜야 할 기준과 원칙을 정한 「금융분야 개인정보보호 가이드라인」(안행부, 금융위, 금감원) 마련(‘13.8.2.)

◦ 동 가이드라인에서는 개인정보보호법 및 신용정보법 등 금융관련 법률 간의 우선순위를 가능한 명확히 해석함으로서 금융실무 처리에 기준을 제시하고,

◦	금융업무의 특성을 충분히 반영하고 다양하게 발생하는 실무사례를 수록하여 금융실무에 실질적인 편의를 제공

2. 개인정보보호 자율규제의 강화

□ 금융회사의 자율적인 규제활동 전개

◦ 금융회사별로 체계적인 개인정보보호 추진체계를 마련하고, 주기적으로 개인정보보호 자가진단을 실시하는 등 자율적인 규제활동을 적극 전개할 필요

◦ 개인정보보호 활동에 대한 체크리스트를 개발하여 정기적 또는 수시로 자체점검을 실시

◦ 업무용PC에 주민등록번호 등이 포함된 개인정보 파일을 임의로 보관하고 있는지에 대하여도 주기적으로 점검

□ 개인정보보호 자가진단 매뉴얼 활용

◦ 금융회사가 개인정보보호 활동을 자가진단 하는데 편의를 제공할 수 있도록 제2장부터 제4장에 걸쳐 자가진단 체크리스트가 포함된 자가진단 매뉴얼을 제공하였는바,

◦ 금융회사의 개인정보보호 활동 자가진단시 적극 활용

※ <부록> “개인정보보호 자가진단 체크리스트” 참고

□ 개인정보 유출사고 발생시 신속한 조치

◦ 만일의 개인정보 유출사고 발생시 조치방법을 제5장에 안내하였는바, 이에 따라 유출사고 발생시 해당 고객에게 즉시 통지하고, 안전행정부 등에 신고하는 등 신속히 조치

제2장. 개인정보보호 업무일반

1. 체계적인 개인정보보호 관리체계 구축

□ 개인정보 보호업무를 수행하기에 적절한 조직체계를 갖추고 필요한 예산을 확보

◦ 전사적인 개인정보 보호 업무의 총괄 역할을 수행할 수 있는 개인정보 보호책임자(CPO)를 지정

□ 개인정보 보호책임자 및 취급자의 역할․책임, 개인정보의 안전성 확보방안 등이 포함된 내부관리계획을 수립하여 시행

* 신용정보보호법상의 내부관리규정 작성시 개인정보보호법상 내부관리계획에 상응하는 내용을 포함해서 작성하는 경우는 개인정보보호법과 신용정보보호법을 모두 준수한 것으로 간주함

□ 개인정보의 처리목적 및 보유기간, 제3자 제공 및 위탁 등에 관한 사항이 포함된 개인정보 처리방침을 정하여 공개

【참고】 개인정보 처리방침의 필수 기재사항(표준개인정보보호지침§37)

1. 개인정보의 처리목적

2. 개인정보의 처리 및 보유기간

3. 개인정보의 제3자 제공에 관한 사항

4. 개인정보처리의 위탁에 관한 사항

5. 정보주체의 권리‧의무 및 그 행사방법에 관한 사항

6. 처리하는 개인정보의 항목

7. 개인정보의 파기에 관한 사항

8. 개인정보 보호책임자에 관한 사항

9. 개인정보 처리방침의 변경에 관한 사항

10. 개인정보의 안전성 확보조치에 관한 사항

2. 개인정보의 수집‧이용‧제공 등 처리 단계별 보호기준 준수

□ 개인정보의 처리 목적을 명확하게 하고 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집

【개선사례】① 불필요한 개인정보를 과도하게 수집하거나, ② 수집‧이용 동의서 서식에서 필수정보와 선택정보를 구별하기 어렵게 되어 있는 경우

☞ 정보주체가 쉽게 알 수 있도록 별도의 칸, 색상, 문자 형태 등으로 필수정보와 선택정보를 구분하여 표시

□ 법률에 규정된 경우 등 특별한 경우를 제외하고는 개인정보의 수집은 정보주체의 동의를 받고 수집 (민감정보․고유식별정보는 별도 동의 필요)

【위반사례】홈페이지 등에 의한 온라인 회원가입 시 마케팅 목적을 별도로 동의받지 않고 필수항목과 함께 일괄동의 받은 경우

【개선사례】채권의 양도․양수를 필수동의 사항으로 분류하여 불필요하게 동의를 받음으로써 미래의 채권양도에 대비하여 미리 동의를 강요한다는 오해를 받을 소지가 있음

☞ 금융분야 개인정보보호 가이드라인(‘13.8.2.)에서는 채권양도에 따른 고객정보 이전시 고객동의를 받지 않아도 제공이 가능함을 명확히 하였는바, 채권의 양수인에 대한 동의를 삭제하도록 개선

◦ 선택정보 또는 마케팅에 대한 동의를 거부하였다는 이유로 재화 또는 본질적인 서비스의 제공을 거부하면 안됨

【개선사례】개인정보 수집‧이용 동의서 서식에서 선택정보에 대한 동의와 관련 “동의하지 않는 경우 금융거래 조건의 불이익을 받을 수 있다.”는 문구 등 동의를 강요하는 것으로 오해될 소지가 있는 경우

☞ “동의하지 않는 경우 저소득층 금리우대 등의 부가적인 혜택을 받지 못한다”로 적용기준을 구체적이고 명확하게 수정

◦ 법률에 특별한 규정이 있거나 별도의 동의를 받은 경우 외에는 개인정보의 제3자 제공 금지

【개선사례】개별 상품별로 동의서를 따로 징구하지 않고, 표준동의서 등 공통양식을 이용하여 제3자 제공 동의를 받는 경우에는 마치 한번의 동의로 개인정보가 해당상품과 관련이 없는 동의서상의 수많은 제휴업체에게 모두 제공되는 것처럼 인식될 수 있으므로,

☞ 정보주체가 가입하는 개별 상품과 연관된 업체에게만 개인정보가 제공된다는 사실을 정보주체가 알 수 있도록 동의서 양식에 표시

□ 개인정보의 수집 시 필수사항(수집목적, 보유기간 등) 및 제3자 제공 시 필수사항(제공업체, 제공목적, 제공기간 등)을 고지

【개선사례】① 개인정보 수집․이용 동의 서식에 법률명, 조문 등을 잘못 인용(예: 공공기관의 개인정보보호에 관한 법률이 개인정보보호법으로 변경되었음에도 변경내용을 미반영, 위치정보 보호 등에 관한 법률 제15조를 제22조로 오기 ② 개인정보를 제공받는 자를 “관련 제휴사 등”으로 포괄적으로 표시하거나, ③ 개인정보의 보유․이용기간을 “목적을 달성할 때까지” 등으로 불분명하게 표시하는 경우 등은 정보주체가 제공받는 자 및 보유․이용기간 등을 쉽게 알 수 없으므로,

☞ ① 개정된 법률의 내용을 반영하고 오기를 수정

② 개인정보를 제공받는 해당 업체명을 정확히 기재, 특히 마케팅 목적 제공에 대하여는 고객이 명확히 알 수 있도록 구체적으로 표시하고,

③ 제휴회사의 마케팅 활용 목적이 포함된 개인정보 제공 동의서에 당해 제휴회사가 그 개인정보를 보유‧이용할 수 있는 기간을 특정하여 명확히 기재 (예: 계약 체결 후 3년, 개인정보 수집일로부터 1년 등)

□ 개인정보의 처리목적이 달성되었거나 보유기간이 경과한 경우에는 개인정보를 파기

【위반사례】제휴업체로부터 고객의 마케팅활용 동의를 받고 수집한 가망고객 정보를 계약기간 또는 동의기간이 경과하였음에도 파기하지 않고 DB에 보유하거나 마케팅에 활용한 경우

3. 위탁업체에 대한 관리 강화

□ 개인정보를 위탁하는 경우에는 홈페이지 등에 위탁하는 업무의 내용과 수탁자를 공개

◦ 위탁자가 재화 또는 서비스를 홍보하거나 판매를 권유하는 업무를 위탁하는 경우에는 정보주체에게 통지하여야 함

* 다만, 단기간에 계약이 종료되는 1회성 위탁의 경우에는 공개를 생략 가능

□ 개인정보처리업무를 위탁하는 경우 위탁업무의 목적․범위, 재위탁 제한, 안전성 확보조치, 감독 및 손해배상 등이 포함된 문서에 의하여야 함

◦ 위탁업무 수행 목적 외 개인정보의 처리 금지, 기술적․관리적 보호조치, 위탁업무의 목적 및 범위, 재위탁 제한, 위탁업무 감독, 손해배상 책임 등에 관한 사항 등을 계약서에 명시할 필요

□ 개인정보 보호 관련 수탁업체에 대한 교육 및 감독 강화

【참고】개인정보 처리업무의 수탁자에 대한 교육프로그램

▸금융분야 정보보호전문기관인 금융보안연구원에서는 수탁자에 대한 개인정보보호 교육프로그램을 운영중이며, 교육기관장 명의로 교육 이수증을 발급

▸수탁자가 동 교육프로그램을 수료하고 이수증을 받은 경우 개인정보보호법상의 수탁자에 대한 교육의무를 이행하기 위하여 상당히 노력한 것으로 인정 가능(안전행정부 협조)

* 단, 이수증을 발급받았다고 해서 개인정보보호법상의 수탁자에 대한 교육의무를 100% 이행하였다고 간주하기는 어렵고, 위탁업무의 성격과 규모, 위탁업무의 구체적인 내용 및 교육이수자와의 관계 등을 종합적으로 고려하여 판단할 사항임

4. 암호화 등 안전성 확보조치 마련

□ 적절한 기술적․관리적․물리적 보안조치를 통하여 개인정보를 안전하게 관리하여야 함

【위반사례】개인정보시스템에 대한 접근권한을 적절히 부여하지 않았거나, 업무용PC에 고유식별정보가 수록된 파일을 내부 승인없이 보유하고 있으면서, 특히 파일에 암호를 걸지 않은 경우

☞ 이 경우 신용정보법 및 전자금융거래법에도 위반

◦ 금융회사도 주민번호에 대한 암호화 또는 이에 상응하는 조치(위험도분석기준)를 적용하여 안전하게 관리하도록「금융분야 개인정보보호 가이드라인」에서 명확히 하였음

* 기존에는 개인정보보호법과 신용정보법․전자금융거래법 간에 암호화 대상 및 적용범위가 상이하여 주민번호를 암호화해야 하는지에 대해 논란이 있었음

◦ 임직원 PC에 불필요한 개인정보파일을 보관하지 말고, 업무상 불가피한 경우에는 암호화 등 안전성 확보조치를 하여야 함

5. 개인정보 취급자에 대한 교육 강화

□ 개인정보의 적정한 취급을 보장하기 위하여 개인정보 취급자에게 정기적으로 필요한 교육을 실시

◦ 특히, 개인정보 업무담당자 및 보안담당자가 개인정보보호 관련  최근의 법제도 동향 및 IT기술 연수에 참가토록 독려

* 금융보안연구원, 한국정보화진흥원(NIA), 한국인터넷진흥원(KISA) 등 정보보호전문기관에서는 개인정보보호 및 IT보안 관련 다양한 교육프로그램을 운영중이며, 금감원에서도 금융협회 등과 함께 수시로 개인정보보호 관련 교육을 실시중임

제3장. CCTV 설치‧운영

1. CCTV 설치·운영 제한

□ 공개된 장소에 CCTV를 설치․운영하는 것은 원칙적으로 금지되며 다른 법익의 보호를 위하여 필요한 경우 예외적으로 설치․운영이 허용됨

◦ 단, 법령에서 구체적으로 허용하고 있거나 범죄예방 및 수사, 시설 안전 및 화재 예방 등의 목적을 위하여 필요한 경우에는 예외적으로 공개된 장소에 CCTV를 설치·운영할 수 있음

【범죄예방 및 수사, 시설안전 및 화재예방 등을 위하여 금융회사가 CCTV를 설치해야 하는 경우 예시】

‣ 은행의 전 영업점, 무인점포, 점외단독CD기에 CCTV를 설치·운영하는 등 금융사고 예방대책을 수립(은행업감독규정 제91조, 은행업감독업무시행세칙 제84조)

‣ 금융회사의 전산실에는 출입사항에 대한 사후확인이 가능하도록 CCTV 또는 출입자동기록시스템 등을 설치

(전자금융감독규정 제11조)

◦ CCTV 설치목적에 필요한 최소한의 개인영상정보를 수집해야 함

【위반사례】은행 ATM기에 설치된 CCTV에서 고객의 계좌번호, 비밀번호 등 불필요한 영상정보까지 촬영하여 보관하는 경우

2. 사생활침해 우려 장소 설치·운영금지

□ 현저히 사생활 침해 우려가 있는 장소는 CCTV 설치·운영이 금지됨

◦ 목욕실, 화장실, 탈의실 등 사생활 침해의 우려가 현저한 장소의 내부에는 CCTV를 설치·운영할 수 없음

3. 임의조작·녹음 금지

□ CCTV에는 녹음 기능을 사용할 수 없고, 설치 목적과 다른 목적으로 임의 조작할 수 없음

◦ 고객의 폭력 행사 등에 대비하여 은행 영업점, 고객민원실 등에 녹음기능이 있는 CCTV를 설치․운영할 수 없음

【위반사례】CCTV의 각도를 임의로 조정하여 원래의 설치 목적에 맞지 않게 불필요한 부분까지 촬영하여 보관하는 경우

4. 안내판 설치

□ CCTV 설치·운영시 정보주체가 쉽게 알아볼 수 있도록 안내판을 설치하여야 함

◦ 안내판에는 설치목적 및 장소, 촬영범위 및 시간, 관리책임자 성명 및 연락처 등을 필수적으로 기재하고, 크기와 위치는 정보주체가 손쉽게 인식할 수 있는 범위 내에서 자율적으로 정할 수 있음

☞ 금융회사의 영업장이나 전산센터 등 건물 안에 여러 개의 CCTV를 설치하는 경우에는 출입구 등 잘 보이는 곳에 해당 시설 또는 장소 전체가 CCTV 설치지역임을 표시하는 안내판을 설치할 수 있음

5. CCTV 운영·관리 방침 수립

□ CCTV 운영·관리방침을 마련하여 홈페이지 등에 공개하여야 함

◦ 동 CCTV 운영․관리방침을 “개인정보 처리방침”에 포함하여 공개하는 것도 가능

【위반사례】개인정보보호법 시행령 제25조에서 규정한 CCTV운영‧관리방침의 필수 기재사항*을 일부 누락한 경우

* 설치 근거 및 목적, 설치대수 및 촬영범위, 관리책임자, 접근권한자, 촬영시간, 보관기간, 열람조치, 기술적․관리적․물리적 조치 등

6. 관리책임자 지정

□ 개인영상정보의 처리에 관한 업무를 총괄하여 책임질 개인영상정보 관리책임자를 지정하여야 함

◦ 개인정보보호 책임자가 개인영상정보 관리책임자의 업무를 수행하는 것도 가능

7. 영상정보의 목적 외 이용 및 제3자 제공

□ CCTV운영자는 법률에서 정하는 등 특별한 경우를 제외하고 개인영상정보를 수집 목적 이외로 이용하거나 제3자에게 제공할 수 없음

◦ 범죄예방 목적으로 설치한 CCTV 영상정보를 민원인의 방문여부를 확인하기 위한 용도로 열람하거나 제공할 수 없으나,

- 정보주체가 동의하거나 다른 법률에 특별한 규정이 있는 경우 등은 가능

☞ 금융회사의 영업장 및 자동화기기 등에 설치한 CCTV는 일반적으로 범죄예방 및 수사, 시설안전 및 화재예방 등 다수의 목적을 위하여 설치되는 것이므로 이러한 다수의 목적을 위하여 이용이 가능함

‣ 동일한 CCTV의 설치목적이 다수인 경우에는 해당 목적을 모두 CCTV 운영·관리 방침 및 안내판에 게시할 필요가 있음

예) 설치목적 : 시설안전 및 화재예방 , 범죄예방 및 수사 등

8. 보관 및 파기

□ CCTV에 의하여 수집된 영상정보는 보관기간이 만료된 후 지체 없이 삭제하여야 함. 다만, 다른 법령에 특별한 규정이 있는 경우에는 그러하지 아니함

【위반사례】CCTV 영상정보 보관기간을 정하지 않고 30일 이상 보관하는 경우, CCTV 영상정보 보관기간을 60일로 정하였으나 60일이 경과한 이후에도 파기하지 않고 계속 보관하는 경우 등

◦ 해당사업 등의 특성에 따라 보유목적의 달성을 위한 최소한의 기간 산정이 곤란한 때에는 보관기간을 영상정보의 수집일로부터 30일 이내로 하여야 함(표준개인정보보호지침 제45조 제2항)

【참고1】영상정보의 보관기간은 반드시 30일 이내로 하여야 하는 것은 아니며, CCTV 설치목적 등 해당기관의 특성에 따라 보관 목적 달성을 위해 필요한 최소한의 기간을 정하여 CCTV 운영․관리방침에 반영하고, 그 기간 동안 보관할 수 있음

※ 금융거래와 관련된 자료는 정보주체의 재산상 이익을 위하여 매우 중요한 자료로 단순히 금융거래가 완료되거나 소멸시효가 완성되었다고 해서 수집․이용의 목적이 달성되었다고 볼 수 없고, 금융거래와 관련한 소송 및 분쟁해결․범죄추적 등 금융거래의 안정성 확보 등을 위해 장기간 보관이 불가피함

【참고2】만일 CCTV 영상정보 보관기간을 2년으로 정하였다면, 2년이 경과하자마자 2년을 초과한 1일분의 영상정보를 매일마다 선택적으로 삭제하여야 하는지?

☞ CCTV 영상정보는 종이문서철에 포함된 개인정보와 같이 각각의 개인정보를 선택적으로 파기하는 것이 현저히 곤란함. 따라서, 이 경우에는 분기 또는 반기 단위로 별도의 점검 및 파기절차를 마련한 후 이를 CCTV운영‧관리방침에 반영하여 시행할 수 있음

또한 CCTV 영상정보 기록장치의 저장용량이 초과되는 경우 먼저 기록된 영상정보가 자동으로 삭제되도록 설정해서 운영하는 것도 가능하나, 이 경우에도 CCTV운영‧관리방침에서 정한 보관기간을 크게 벗어나지 않도록 분기 또는 반기 단위로 확인할 필요가 있음

【 자동화기기 등에 설치된 CCTV 영상정보의 보관기간 】

◦ 금융회사는 금융거래 사고 예방 및 사후 추적, 금융소비자의 민원 및 분쟁 처리 등 “안전한 금융거래질서 확립”을 위하여 충분한 기간동안 CCTV 영상정보를 보관할 필요

- 금융거래의 안전성 확보 등을 위하여 자동화기기(CD/ATM) 및 영업점, 전산실 등 출입제한 구역 등에 설치한 CCTV 등의 영상정보는 최소 2개월 이상, 가능한 한 2년 이상, 최대 3년을 초과하지 않는 범위 내에서 기간을 정하여 보관(권고사항)

* 구체적인 CCTV 영상정보의 보관기간은 금융거래의 규모, CCTV 설치 위치, CCTV 저장 용량 등을 고려하여 설치목적에 맞게 금융회사가 자율적으로 검토하여 결정

- 그 이외의 목적으로 기타 장소에 설치된 CCTV는 설치목적 및 업무의 성격 등을 추가적으로 고려하여 자율적으로 결정

◦ CCTV 영상정보의 장기간 보관에 따른 개인영상정보 유출사고 방지 등을 위하여 보관기간을 CCTV 운영․관리방침에 반영하여 공개하고, 보관기간이 경과한 경우에는 즉시 파기하여야 하며, CCTV 영상정보의 접근에 대한 안전성 확보조치를 강화하여야 함

9. CCTV 설치․운영 사무의 위탁

□ CCTV운영자는 CCTV의 설치․운영에 관한 사무를 위탁할 수 있음. 이 경우 개인정보보호법 제26조의 업무위탁 규정이 적용됨

◦ 위탁을 하는 경우 목적 외 개인정보처리 금지, 기술적·관리적 보호조치, 재위탁 제한, 위탁업무 감독, 손해배상 책임 등에 관한 사항이 포함된 문서에 의하여야 함

【위반사례】

① 개인정보처리 위탁 시 필수사항을 문서에 반영하지 않거나, 수탁사에 대한 교육, 실태점검 미실시 등 관리감독이 미흡한 경우

☞ 개인정보보호법 제26조(개인정보처리위탁) 위반

② ATM기에 설치된 CCTV 운영을 위탁받은 업체가 계좌번호, 비밀번호 등 이용자의 금융정보를 보관하는 경우

☞ 전자금융감독규정 제60조(개인정보처리위탁) 제1항 위반

◦ 위탁하는 업무의 내용 및 수탁자를 인터넷홈페이지에 게재하는 등 공개하여야 하며, 수탁자에 대한 개인정보보호 교육을 실시하고 관리․감독하여야 함

◦ 또한 전자금융감독규정 제60조에 따라서 전자금융거래를 위한 위탁시 정보처리시스템의 설치장소 통제, 계좌번호·비밀번호 등 보관 및 유출금지, 개인정보 유출 등에 대한 보안대책을 수립하여야 함

10. 열람 등의 청구

□ CCTV운영자는 정보주체로부터 영상정보의 존재확인 및 열람․삭제를 요청받은 경우 지체 없이 필요한 조치를 취해야 함

◦ 정보주체가 열람 또는 존재확인을 요구할 수 있는 개인영상정보는 정보주체 본인이 촬영된 개인영상정보 및 명백히 정보주체의 급박한 생명, 신체, 재산상 이익을 위하여 필요한 개인영상정보에 한함

☞ 정보주체는 자신의 영상정보가 아니더라도 해당 영상정보주체의 주소 불명 등으로 동의를 얻을 수 없는 경우로서 정보주체의 급박한 생명, 신체, 재산상 이익을 위하여 필요한 경우*에 한하여 타인에 관한 영상정보를 열람할 수 있음

* 금융거래와 관련된 분쟁 및 민원 등의 해결을 위하여 필요한 경우도    재산상 이익을 위하여 필요한 사항으로 판단됨

다만, 그 범위는 필요 최소한도로 제한되며, CCTV 운영자나 개인정보처리자가 관련 영상을 먼저 확인 후 해당 부분에 대해서만 열람시켜주는 것이 바람직

◦ 금융회사는 열람 또는 존재확인 요구를 한 자가 본인이거나 정당한 대리인인지를 주민등록증․운전면허증․여권 등의 신분증명서를 제출받아 확인하여야 함

◦ 금융회사는 고객 본인이 열람하려는 영상물의 구체적인 촬영일자 및 시간 등을 제시하도록 고객에 요구할 수 있고, 열람 등 요구에 필요한 비용을 고객에 청구할 수 있음

11. 개인영상정보의 안전성 확보를 위한 조치

□ CCTV운영자는 개인영상정보가 분실·도난·유출·변조·훼손되지 않도록 안전성 확보에 필요한 조치를 강구하여야 함

【위반사례】

① 개인영상정보에 대한 내부 열람기록을 관리하지 않거나 위·변조 방지를 위한 조치를 적용하지 않은 경우

② 개인영상정보를 경찰 등 제3자에게 제공시 비밀번호 설정 등 암호화 조치를 적용하지 않은 경우

◦ 개인정보의 안전한 처리를 위한 내부관리계획을 수립․시행하고, 개인영상정보의 안전한 저장․전송을 위한 기술적 조치를 취하여야 함

【위반사례】

① CCTV의 관리자 아이디와 비밀번호 입력 없이 CCTV화면에 접근 및 이용을 허용하거나 제3자가 유추하기 쉬운 비밀번호를 설정한 경우

② CCTV DVR장비를 별도 보관시설이나 잠금장치 없이 보관한 경우

◦ CCTV 영상정보에 대한 접근권한을 최소한으로 제한하고, 접근권한 없는 자의 임의적 접근 및 조작 등을 방지하기 위해 필요한 조치를 취하여야 함

【위반사례】

‣ 자동화기기 통합관리시스템에의 접근권한을 차등적으로 부여하지 않고 업무상 불필요한 직원이 포함된 관리부서원 전체에게 접근을 허용한 경우

12. CCTV의 설치․운영에 대한 점검

□ CCTV운영자는 표준개인정보 보호지침 준수 여부에 대한 자체점검을 통해 개인영상정보의 침해 방지를 위한 노력을 하여야 함

【참고】CCTV에 대한 안전성 확보조치

‣ CCTV에 대한 안전성 확보조치에 대해서는「개인정보의 안전성 확보조치 기준(안행부고시) 」의 적용이 제외되고,

‣ 「표준 개인정보 보호지침」중에서 영상정보처리기기 설치․운영 기준(제3장)이 정하는 바에 따름

⇨ 보다 세부적인 사항은 안전행정부가 마련하여 인터넷에 공개한「민간분야 영상정보처리기기 설치․운영 가이드라인」을 참고(http://www.privacy.go.kr)

제4장. 개인정보문서 관리

1. 종이문서의 관리절차

가. 내부관리계획 및 개인정보처리방침

□ 개인정보 문서가 분실․도난․유출․변조 또는 훼손되지 아니하도록 “내부 관리계획*”을 수립하고, 안전성 확보에 필요한 기술적․물리적․관리적 보호조치를 하여야 함

* 개인정보를 안전하게 처리하기 위하여 내부의사결정절차를 통하여 수립·시행하는 내부기준

◦ 개인정보가 포함된 전산시스템의 데이터뿐 아니라, 종이문서의 안전성 확보조치*에 관한 사항도 고려하여야 하며, 이를 준수할 수 있도록 모든 임직원에 공지하여야 함

* 종이문서의 파기절차, 보관장소에 대한 접근통제 등

□ 개인정보 처리에 관한 금융회사의 내부 “개인정보처리방침”을  마련하여 홈페이지 등에 공개하여야 함

◦ 개인정보처리방침의 필수기재사항에는 개인정보의 제3자 제공 및 위탁, 파기 및 안전성 확보조치에 관한 사항 등이 있으며,  종이문서 처리에 관한 사항도 함께 고려되어야 함

나. 종이문서의 안전관리

□ 개인정보가 포함된 서류나 보조저장매체 등은 잠금장치가 있는 안전한 장소에 보관하여야 함

◦ 전산실․자료보관실 등 개인정보를 보관하고 있는 물리적 보관 장소를 별도로 두고 있는 경우에는 이에 대한 출입통제 절차를 수립․운영하여야 함

◦ 회사규모가 영세하고 장소가 협소하여 별도의 물리적 보관 장소가 없는 경우에는 최소한 개인정보가 포함된 서류 등을 잠금장치가 있는 캐비넷, 서류함 등에 별도 보관하는 등 조치하여야 함

2. 종이문서의 파기절차 준수

가. 파기의 시점

□ 보유기간의 경과, 개인정보의 처리 목적 달성 등 개인정보가 불필요하게 되었을 때에는 개인정보를 지체 없이 파기하여야 함

◦ 개인정보의 보존 필요성이 있는지 여부는 개인정보 수집목적, 보유기간, 수사 및 소송 대응, 분쟁 및 민원 처리, 금감원 검사 등과 관련된 법규정을 종합적으로 고려하여 객관적으로 판단

【참고】종이문서철에 포함된 개인정보의 파기는 ?

‣ 원칙적으로 개인정보의 파기는 전체 개인정보파일 단위가 아니라 개별 개인정보 단위로 이루어 져야 하나, 전산화된 형태로 관리되는 개인정보파일과 달리 종이문서철을 통해 보관 중인 개인정보는 특정 개인정보의 처리목적이 달성된 경우라 하더라도, 각각의 개인정보를 선택적으로 파기하는 것이 현저히 곤란함

‣ 따라서, 종이문서철의 경우에는 분기 또는 반기 단위로 별도의 점검 및 파기절차를 마련한 후 이를 개인정보 처리방침 및 내부관리계획에 반영하여 시행할 수 있음

나. 파기방법 및 절차

□ 종이문서(출력물 포함)는 물리적으로 파쇄하거나 소각하는 방법으로 해당 개인정보를 완전히 파기하여야 함

◦ 이때, 파기한 개인정보의 복원이 불가능해야 함

□ 개인정보 파기에 관한 사항을 기록․관리하여야 함

◦ 표준 개인정보 보호지침 별지 제4호서식(개인정보파일 파기 요청서), 별지 제5호서식(개인정보파일 파기 관리대장) 참조

□ 파기는 개인정보보호책임자의 책임하에 수행되어야 함

◦ 개인정보보호 책임자는 파기에 관련한 계획수립․시행․결과보고 등에 대하여 최종 의사결정 권한 및 책임을 부담함

□ 개인정보보호책임자는 파기결과를 확인하여야 함

◦ 개인정보보호책임자가 금융회사의 각 지점을 직접 방문하여 확인하는 것은 어려우므로, 지점장 또는 파기책임자가 해당 파기작업을 확인하고 개인정보보호책임자가 그 결과를 보고받아 확인 가능함

【참고】 개인정보 보호책임자의 역할

‣ 개인정보 보호책임자의 지정 : 법§31②

1. 개인정보 보호 계획의 수립 및 시행

2. 개인정보 처리 실태 및 관행의 정기적인 조사 및 개선

3. 개인정보 처리와 관련한 불만의 처리 및 피해 구제

4. 개인정보 유출 및 오용·남용 방지를 위한 내부통제시스템의 구축

5. 개인정보 보호 교육 계획의 수립 및 시행

6. 개인정보파일의 보호 및 관리·감독

‣ 개인정보 보호책임자의 업무 및 지정요건 등 : 영§32조①

1. 법 제30조에 따른 개인정보 처리방침의 수립ㆍ변경 및 시행

2. 개인정보 보호 관련 자료의 관리

3. 처리 목적이 달성되거나 보유기간이 지난 개인정보의 파기

3. 종이문서의 위탁관리 강화

□ 종이문서의 파기를 외부업체에 위탁하는 경우에는 문서에 의하여야 하며,

◦ 목적 외 개인정보처리 금지, 기술적·관리적 보호조치, 재위탁 제한, 위탁업무 감독, 손해배상 책임 등 필수기재사항이 포함되어 있어야 함

* 수탁자가 위탁받은 업무와 관련하여 개인정보를 처리하는 과정에서 개인정보보호법을 위반하여 발생한 손해배상책임에 대하여는 수탁자를 개인정보처리자(금융회사)의 소속 직원으로 봄

□ 위탁하는 업무의 내용 및 수탁자를 인터넷홈페이지에 게재하는 등 공개하여야 함

◦ 다만, 단기간에 폐기작업 및 위탁계약이 종료되는 1회성 위탁의 경우에는 공개를 생략할 수 있음

□ 개인정보 처리업무 수탁자를 선정할 때에는 수탁자의 인력, 물적 시설, 재정 부담능력, 기술보유정도, 책임능력 등을 종합적으로 고려하여야 함

□ 종이문서 파기작업 위탁시 수탁자(파기업자)에 대한 개인정보보호 교육을 실시하여야 함

◦ 개인정보가 분실․도난․유출․변조 또는 훼손되지 아니하도록 수탁자를 교육하여야 하며,

◦ 1회성 위탁으로 별도의 교육 실시가 어려운 경우에는 개인정보처리 위탁 문서 필수기재사항을 주지하도록 충분히 설명할 필요가 있음

□ 종이문서 파기작업의 위탁시 수탁자(파기업자)가 개인정보를 안전하게 처리하는지 관리․감독하여야 함

◦ 수탁자의 개인정보처리 현황 및 실태, 목적외 이용․제공, 재위탁 여부, 안전성 확보조치 여부 등에 대하여 점검하여야 함

◦ 종이문서의 파기작업 현장에 입회하여 확인하거나, 파기결과를 사후 점검하는 등 수탁자를 감독하여야 함

제5장. 개인정보 유출시 조치 방법

1. 개인정보 유출시 통지

□ 개인정보가 유출된 경우에는 정당한 사유가 없는 한 5일 이내에 정보주체에게 다음의 사실을 서면, 전자우편, 팩스 전화, 문자전송 등의 방법을 통해 통지해야 함

【참고】개인정보 유출시 통지사항

1. 유출된 개인정보항목

2. 유출 시점 및 경위

3. 유출로 인해 발생할 수 있는 피해 최소화를 위해 정보주체가 할 수 있는 방법 등에 관한 정보

4. 개인정보처리자의 대응조치 및 피해구제절차

5. 정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처

◦ 만약 정보주체의 연락처 정보를 보유하고 있지 않거나 알 수 없는 경우 인터넷 홈페이지 등을 통해 고지하는 것이 바람직

◦ 또한 개인정보가 유출된 경우 그 피해를 최소화하기 위한 대책을 마련하고 필요한 조치를 해야 함

□ 개인정보 유출확산방지를 위해 조치가 필요한 경우에는 유출통지를 연기할 수 있음

【참고】개인정보 유출통지의 연기

‣ 개인정보 유출확산방지를 위해 조치가 필요한 경우 유출통지를 연기 가능

① 개인정보가 유출되었을 것으로 의심되는 개인정보처리시스템의 접속권한 삭제·변경 또는 폐쇄 조치

② 네트워크, 방화벽 등 대·내외 시스템 보안점검 및 취약점 보완 조치

③ 향후 수사에 필요한 외부의 접속기록 등 증거 보존 조치

④ 정보주체에게 유출 관련 사실을 통지하기 위한 유출확인 웹페이지 제작 등의 통지방법 마련 조치

⑤ 기타 개인정보의 유출확산 방지를 위해 필요한 기술적·관리적 조치

‣ 개인정보처리자는 1번 각 항목의 조치를 취한 이후, 정보주체에게 다음 각 항목의 사실만 일차적으로 알리고, 추후 확인되는 즉시 알릴 수 있음

① 정보주체에게 유출이 발생한 사실

② 통지내용 중 확인된 사항

2. 개인정보 유출시 신고

□ 만약 1만명 이상의 개인정보가 유출된 경우에는 정보주체 통지와 더불어, 5일 이내에 안전행정부 또는 한국인터넷진흥원(KISA)에 상기 통지사항 및 피해최소화 조치결과를 5일 이내 신고 신고하여 함

※ 관련 사실을 금융감독원 개인정보보호 담당부서에도 고지

◦ 또한, 개별 통지와 함께 인터넷 홈페이지에 유출통지 내용을 7일 이상 게시해야 함(홈페이지 미운영시 사업장 등 알아 보기 쉬운 장소에 게시)

‣ 개인정보 유출신고의 방법

① 전자우편, 팩스, 인터넷 사이트를 통해 유출사고 신고 및 신고서 제출

② 시간적 여유가 없거나 특별한 사정이 있는 경우 : 전화를 통하여 통지내용을 신고한 후, 유출신고서를 제출할 수 있음

‣ 개인정보 유출신고의 내용

- 표준 개인정보 보호지침 <별지1호> 서식에 따라 기관명, 통지여부, 유출된 개인정보 항목·규모, 유출 시점·경위, 유출피해 최소화 대책·조치 및 결과, 정보주체가 할 수 있는 피해 최소화 방법 및 구제절차, 담당부서·담당자 연락처 등을 포함하여야 함

개인정보 유출시 조치사항 정리

	1만명 미만 유출	1만명 이상 유출
정보주체 통지	O (5일 이내)	O (5일 이내)
안전행정부 등 신고	X*	O (5일 이내)
홈페이지 등 게시	X*	O (7일 이상)

* 유출규모 등이 명확치 않은 때는 신고 또는 게시도 병행함이 바람직

3. 개인정보 유출시 사고보고

□ 당해 유출 사고가 금융기관 검사 및 제재에 관한 규정 제41조(금융사고), 전자금융 감독규정 제73조(정보기술부문 및 전자금융 사고보고)에 해당되는 경우에는 해당 규정에 따라 금융위원회 또는 금융감독원 보고 병행 필요

<부록>

개인정보보호 자가진단 체크리스트

*  법 : 개인정보보호법,  영 : 개인정보보호법 시행령, 고시 : 개인정보의 안전성 확보조치 기준(안행부 고시)

* 지침: 표준개인정보보호지침

가. 업무일반편

	점 검 항 목	관련법규	점검결과
			이행	불이행	해당없음
1. 개인정보의 수집․이용 제한	○ 동의, 법률 규정 또는 기타 불가피한 경우가 아님에도 개인정보를 수집하고 있지 않은지 여부 * 개인정보는 정보주체의 동의 또는 법적근거가 있거나 특정한 사유(법 15조1항2호∼6호)가 있는 경우에만 수집할 수 있음	법§15 지침§6
	○ 별도 동의 또는 법적 근거가 있는 경우가 아님에도 주민번호 등 고유식별정보나 사상․신념 등 민감정보를 처리하고 있지 않은지 여부 * 고유식별정보와 민감정보에 대해서는 다른 개인정보 처리 동의와 구분하여 별도 동의를 받거나 법령상 허용하는 경우에만 처리할 수 있음 * 서식 제‧개정시 불필요한 주민번호는 생년월일 등으로 대체 필요 예) (성명+주소+생년월일)로 신청인 특정 가능	법§23, 24 영§18, 19 지침§15, 16
	○ 홈페이지 가입시 주민번호를 사용하지 않고도 회원으로 가입할 수 있는 방법을 제공하고 있는지 여부 * 홈페이지 방문자수 일일평균 1만명 이상인 개인정보처리자는 주민등록번호 이외의 대체회원가입수단(예: i-PIN)을 제공하여야 함	법§24 영§20 지침§17
	○ 동의 획득시 목적, 항목, 기간 등을 명확히 고지하고 있는지 여부 * 동의를 받을 때에는 수집․이용 목적, 수집항목, 보유 및 이용기간, 동의거부권 및 동의거부시 불이익 등을 정보주체에게 알려야 함	법§15
	○ 제3자 제공, 선택항목 등에 대해 구분해서 동의받고 있는지 여부 * 제3자 제공 동의, 마케팅 목적 처리 동의, 법정대리인의 동의 등은 필수항목과 구분하여 동의받아야 함	법§18,19,22 지침§13
	○ 제3자 제공, 선택항목 등에 동의하지 않는다는 이유로 회원가입 또는 서비스 거부를 하지 않는지 여부 * 목적범위를 초과한 제3자 제공, 마케팅 목적 처리, 선택항목 등에 동의하지 않는다는 이유로 회원가입이나 서비스 제공을 거부해서는 안됨	법§16, 22
	○ 보유기간의 경과, 처리목적 달성 등으로 개인정보가 불필요하게 된 경우 지체없이 개인정보를 파기하는지 여부 * 보유기간 경과, 처리목적 달성 등 개인정보가 불필요하게 된 경우 지체없이(5일 이내) 복원, 재생이 불가능한 방법으로 영구 삭제․파쇄․소각하여야 함	법§21 영§16 지침§11
2. 개인정보의 목적외 이용 및 제3자 제공 등	○ 별도 동의, 법적근거, 기타 법정사유의 경우 외에 개인정보의 목적 외 이용 및 제3자 제공을 하지 않는지 여부 * 개인정보는 정보주체의 동의 또는 법적근거가 있거나 특정한 사유(법17조1항2호)가 있는 경우에만 제3자에게 제공할 수 있음 * 개인정보는 목적범위를 초과하여 이용하거나 제3자에 제공해서는 안됨	법§17, 18 지침§8, 9
	○ 개인정보의 처리 위탁시 문서작성 및 공개 여부 * 개인정보처리업무를 위탁하는 경우 위탁업무 수행 목적 외 개인정보의 처리 금지, 기술적․관리적 보호조치, 위탁업무의 목적 및 범위, 재위탁 제한, 위탁업무 감독, 손해배상 책임 등에 관한 사항이 포함된 문서에 의하여야 함 * 위탁하는 업무 내용 및 수탁자를 인터넷홈페이지에 게재하는 등 공개하여야 함	법§26 영§28 지침§19 법§26 영§28
	○ 위탁자가 재화 또는 서비스를 홍보하거나 판매를 권유하는 업무를 위탁하는 경우, 내용 및 수탁자를 정보주체에게 알리는지 여부 * 마케팅업무(재화나 서비스를 홍보하거나 판매를 권유하는 업무)를 위탁하는 경우에는 서면, 전자우편, 팩스, 전화, 문자전송 등의 방법으로 정보주체에게 통지하여야 함
	○ 위탁자의 수탁자 교육 및 감독 여부 * 위탁자는 수탁자를 교육하고, 처리현황을 점검하는 등 수탁자가 개인정보를 안전하게 처리하는지를 감독하여야 함	법§26 영§28
	○ 개인정보를 제3자에게 누설, 유출 또는 훼손․변경하지 않는지 여부 * 거짓이나 부정한 방법으로 개인정보를 취득하거나 처리에 관한 동의를 받는 행위, 업무상 알게된 개인정보를 누설하거나 정당한 권한없이 훼손․멸실․변경․위조․유출하는 행위는 금지됨	법§59
3. 개인정보의 안전한 관리	○ 개인정보의 안전한 처리를 위한 내부관리계획의 수립․시행 여부 * 개인정보의 안전한 처리를 위한 내부관리계획을 수립․시행하여야 함	법§29 영§30 고시§3
	○ 비밀번호 작성규칙 수립․적용 여부 * 개인정보취급자 또는 정보주체가 안전한 비밀번호를 설정하여 이행할 수 있도록 비밀번호 작성규칙을 수립․적용하여야 함	법§29 영§30 고시§5
	○ 접근통제 시스템 설치․운영 여부 * 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 침입차단시스템 및 침입탐지시스템 등을 설치․운영하여야 함 * 외부망을 통한 개인정보처리시스템 접속은 가상사설망(VPN) 또는 전용선 등 안전한 접속수단을 적용하여야 하고, 개인정보가 홈페이지, P2P, 공유설정 등을 통해 유출되지 않도록 조치하여야 함	법§29
	○ 개인정보의 암호화 여부 * 암호화 대상 : 고유식별정보(주민번호, 여권번호, 운전면허발급번호, 외국인 등록번호), 비밀번호, 바이오정보 * 정보통신망을 통한 전송 및 보조저장매체를 통한 전달시 암호화를 이행하여야 함(단, 내부망에서 전송되는 고유식별정보, 전용선을 이용한 전송은 암호화가 필수는 아님) * 비밀번호의 일방향 암호화 저장	법§29 영§30 고시§7
	○ 접속기록의 보관 및 위․변조 방지 조치 여부 * 개인정보취급자가 개인정보처리시스템에 접속한 기록을 최소 6개월 이상 보관․관리해야 함
		법§29 영§30 고시§8
	○ 보안 프로그램(백신 S/W 등) 설치 및 업데이트 여부 * 악성코드 등을 방지․치료할 수 있는 백신소프트웨어 등의 보안프로그램을 설치․운영하여야 함 * 보안프로그램의 자동 업데이트 또는 일 1회 이상 업데이트를 실시하여야 함	법§29 영§30 고시§9
	○ 개인정보가 포함된 서류, 보조 저장 매체 등을 잠금장치가 있는 안전한 장소에 보관하고 있는지 여부 * 전산실, 자료보관실 등에 대한 출입통제절차를 수립․운영해야 함 * 개인정보가 포함된 서류, 보조저장매체 등을 잠금장치가 있는 안전장소에 보관하여야 함	법§29 영§30 고시§10
4. 개인정보 처리방침의 수립 및 공개	○ 개인정보처리 방침을 수립하여, 홈페이지에 지속적으로 게재하는 등의 방법으로 공개하는지 여부 * 처리목적, 처리 및 보유 기간, 제3자 제공, 위탁, 정보주체의 권리․의무 및 행사방법, 파기, 안전성확보조치 등이 포함된 개인정보처리방침을 수립하여 홈페이지에 게재하는 등 공개하여야 함	법§30 영§31 지침§34
5. 개인정보 취급자 등의 관리․감독	○ 개인정보보호책임자 및 개인정보취급자 에 한해 시스템 접근권한을 부여하고 있는지 여부 * 개인정보시스템에 대한 접근권한을 최소한의 범위로 업무 담당자에 따라 차등부여 하여야 함 * 개인정보취급자가 변경되었을 경우 접근권한을 변경 또는 말소해야 함 * 개인정보취급자별로 1개의 사용자계정을 부여하고 공유를 금지하여야 함	법§29 영§30 지침§18 고시§4
	○ 개인정보취급자에 대한 보안서약서 제출, 정기 교육 등 관리․감독 여부 * 보안서약서를 제출받는 등 개인정보가 안전히 관리될 수 있도록 개인정보취급자를 적절히 관리 ․감독하여야 함	법§28 지침§18
	○ 개인정보취급자에 대한 정기적 교육 실시 여부 * 개인정보취급자에게 정기적으로 필요한 교육을 실시하여야 함	법§28
6. 정보주체의 권리보장	○ 개인정보 열람, 정정․삭제, 처리정지 등(이하 ‘열람 등’)을 요구할 수 있는 구체적 방법과 절차 마련 및 공개 여부 * 정보주체가 열람 등을 요구할 수 있는 구체적 방법, 절차를 마련하여 공개하여야 하며, 개인정보를 수집하는 방법과 동일하거나 보다 쉽게 열람요구 등 권리를 행사할 수 있어야 함	법§38 지침§33
	○ 개인정보 열람 등의 처리기한(10일) 준수 여부 * 열람요구서를 받은 날로부터 10일이내에 해당정보를 열람할 수 있도록 하여야 함(단, 법률에 따라 열람이 금지되거나 다른 사람의 생명․신체를 해할 우려가 있는 등 열람의 제한․연기 및 거절이 가능한 경우가 있음)	법§35 영§41
	○ 열람 등 요구에 대한 연기 또는 거절 조치에 대하여 불복이 있는 경우 이의제기 절차 마련․안내 여부 * 열람 등 요구에 대한 거절 등 조치에 대하여 정보주체가 이의를 제기할 수 있는 절차를 마련하고 안내하여야 함	법§38
	○ 열람 등 요구에 대한 연기 또는 거절시 정당한 사유 및 이의제기 방법 등 통지 여부 * 열람 등 요구에 대한 연기 또는 거절시 요구받은 날로부터 10일 이내에 정당한 사유 및 이의제기 방법 등을 통지서로 알려야 함	법§35, 36, 37 영§42
	○ 열람 등 대리 요구시 정당한 대리인인지 확인 여부 * 열람 등을 요구한 자가 본인이거나 정당한 대리인인지 확인하여야 함	법§38 영§46

나. CCTV설치․운영편

	점 검 항 목	관련법규	점검결과
			이행	불이행	해당없음
1. CCTV의 설치․운영 제한	○ 공개장소에 CCTV를 설치·운영을 금지하고 있는지 여부(단, 법령에서 허용하거나, 범죄예방․수사, 화재예방, 교통단속 등 법정 사유가 존재하는 경우는 예외) * 법령에서 허용하거나 범죄예방 및 수사, 시설안전 및 화재예방, 교통단속, 교통정보 수집․분석 등 특정한 경우를 제외하고는 공개된 장소에 CCTV를 설치․운영해서는 안됨	법§25①
	○ 비공개된 장소에 CCTV를 설치․운영하는 경우 적정히 운영하고 있는지 여부 * 특정인에 한하여 출입할 수 있도록 출입이 통제되는 사무실 등에 CCTV를 설치․운영하는 경우에는 법 제15조가 적용되어 해당 정보주체의 동의나 법적 근거 등(15조1항1호～6호)이 요구됨	법§15①
	○ 개인영상정보 수집 목적에 부합하는 최소한의 정보만 수집하고 있는지 여부 * CCTV운영자는 CCTV설치목적에 필요한 최소한의 개인영상정보만 수집해야 함 * 따라서 ATM기에 설치된 CCTV로 고객 계좌번호, 비밀번호까지 촬영하여서는 안되며, 비밀번호 등이 노출되지 않도록 촬영각도를 조절하거나 해당부분을 원천적으로 마스킹(masking)처리하여야 함	법§16①
2. 생활침해 우려 장소 설치․운영 금지	○ 불특정 다수가 이용하는 화장실, 탈의실 등 사생활 침해 우려가 큰 장소의 내부에 CCTV 설치를 금지하고 있는지 여부 * 화장실,탈의실 등 사생활 침해의 위험성이 큰 장소 내부에는 CCTV를 설치․운영해서는 안됨	법§25②
3. 임의조작․ 녹음 금지	○ CCTV 설치·운영시 녹음기능 사용 및 임의조작 등 금지 여부 * CCTV 설치목적과 다른 목적으로 임의로 조작하거나 녹음기능을 사용해서는 안됨	법§25⑤
4. 안내판의 설치	○ CCTV 설치·운영시 안내판 설치 여부 * CCTV 설치․운영시 설치목적 및 장소, 촬영범위 및 시간, 관리책임자 성명 및 연락처 등을 기재한 안내판을 설치하여야 함	법§25④ 영§24
5. CCTV운영· 관리방침 수립	○ CCTV운영․관리 방침 마련 및 공개 여부 * CCTV운영자는 영25조1항에서 정한 사항(설치근거 및 목적, 설치대수 및 위치, 촬영범위 및 책임자 등)이 포함된 CCTV운영․관리방침을 마련하여 인터넷 홈페이지 등에 공개하여야 함 * 이 경우 개인정보 처리방침에 포함하여 정할 수 있음	법§25 영§25 지침§40
6. 관리책임자 지정	○ 개인영상정보 관리책임자를 자체적으로 지정하여 관리하고 있는지 여부 * CCTV운영자는 개인영상정보 처리에 관한 업무를 총괄하는 개인영상정보 관리책임자를 자체 지정하여야 함 * 다만 이미 개인정보보호책임자가 지정되어 있는 경우에는 개인영상정보 관리책임자 업무를 수행 할 수 있음	지침§41
7. 영상정보의 목적외 이용 및 제3자 제공 등	○ 개인영상정보를 정보주체의 동의, 법률 규정, 기타 예외사유가 없음에도 수집목적 외로 이용하거나 제3자 제공하고 있지는 않는지 여부 * 개인영상정보는 정보주체의 동의, 법률 규정, 긴급한 사유, 통계․학술목적(법18조2항1호∼4호)등 예외사유의 경우에만 수집목적외 이용·제공이 가능함	법§18② 지침§44
	○ 개인영상정보 관리대장 작성․관리 여부 * CCTV운영자는 개인영상정보의 목적외 이용, 제3자 제공시 대상파일의 명칭, 제공받는 자, 이용·제공 목적, 기간 등을 기록․관리하여야 함	지침§46, 49
8. 보관 및 파기	○ 수집된 영상정보를 CCTV운영․관리방침 등에서 정한 보관기간 만료시 지체없이 삭제하고 있는지 여부 * CCTV운영자는 CCTV운영․관리방침 등에서 정한 개인영상정보 보관기간 만료시 지체없이 파기하여야 함	법§21 영§16 지침§45
	○ 개인영상정보 파기대장 작성․관리 여부 * CCTV운영자는 개인영상정보를 파기하는 경우 파기대상파일명, 파기일시, 파기담당자 등을 기록․ 관리하여야 함	법§21 영§16 지침§46, 49
9. CCTV 설치․ 운영 사무의 위탁	○ CCTV설치․운영사무 위탁시 문서 작성 및 공개 여부 * CCTV운영자가 CCTV설치․운영에 관한 사무를위탁하는 경우 법 제26조에 따른 업무위탁규정이 적용됨 * 따라서 위탁업무 수행 목적 외 개인정보의 처리 금지, 기술적․관리적 보호조치, 위탁업무의 목적 및 범위, 재위탁 제한, 위탁업무 감독, 손해배상 책임 등에 관한 사항이 포함된 문서에 의하여야 함 * 위탁하는 업무 내용 및 수탁자를 인터넷홈페이지에 게재하는 등 공개하여야 함	법§25, 26 영§28
10. 열람 등의 청구	○ 개인영상정보 열람 또는 존재확인(이하 ‘열람 등’) 요구에 대하여 필요한 조치를 취하고, 열람대장을 기록․관리하는지 여부 * 정보주체의 열람 등 요구에 대하여 지체없이 필요한 조치를 취하고, 정보주체의 인적사항, 대상파일명, 열람목적, 거부시 거부사유 등 관련사항을 기록․ 관리하여야 함	법§35 지침§48
	○ 열람 등 요구에 대한 거부시 정당한 사유 및 거부사유 통지 여부 * 열람 등 요구에 대한 거부시 거부사유를 10일 이내에 서면으로 정보주체에게 통지하여야 함	법§35 지침§48
11. 개인영상 정보의 안전성 확보 조치	○ 개인영상정보의 안전한 처리를 위한 내부관리계획의 수립․시행 여부 * 개인영상정보의 안전한 처리를 위한 내부관리계획을 수립․시행하여야 함	법§29 영§30 지침§51 1호
	○ 개인영상정보에 대한 접근통제 및 접근권한 제한조치 실시 여부 * 개인영상정보에 대한 접근권한을 업무상 꼭 필요한 직원에게만 차등적으로 부여하여야 함 * CCTV의 관리자 아이디와 비밀번호를 설정하고 공유하지 않아야 함 * 안전한 비밀번호를 적용하여야 함	법§29 영§30 지침§51 2호
	○ 개인영상정보의 안전한 저장․전송 기술을 적용하고 있는지 여부 * 네트워크 카메라의 경우 안전한 전송을 위한 암호화 조치, 개인영상정보파일에 대한 비밀번호 설정 등 상황에 맞게 안전조치를 하여야 함	법§29 영§30 지침§51 3호
	○ 처리기록의 보관 및 위․변조 방지 조치 여부 * 개인영상정보의 생성일시, 열람목적, 열람자, 열람일시 등을 기록․관리조치 하여야 함	법§29 영§30 지침§51 4호
	○ CCTV 녹화장비 등을 잠금장치가 있는 안전한 장소에 보관하고 있는지 여부 * 개인영상정보의 안전한 물리적 보관을 위한 보관시설 또는 잠금장치를 설치하여야 함	법§29 영§30 지침§51 5호

다. 개인정보문서 관리편

	점 검 항 목	관련법규	점검결과
			이행	불이행	해당 없음
1. 종이문서의 안전관리	○ 개인정보 문서가 분실․도난․유출․변조 또는 훼손되지 아니하도록 “내부 관리계획*”을 수립하고, 안전성 확보에 필요한 기술적․물리적․관리적 보호조치를 하고 있는지 여부 * 내부관리계획에는 개인정보가 포함된 전산시스템의 데이터뿐 아니라, 종이문서의 안전성 확보조치에 관한 사항도 고려하여야 하며, 이를 준수할 수 있도록 모든 임직원에 공지하여야 함 * 단, 소상공인은 내부관리계획을 수립하지 아니할 수 있음	법§29 영§30① 고시§3
	○ 개인정보 처리에 관한 금융회사의 내부 “개인정보처리방침”을 마련하여 홈페이지 등에 공개하고 있는지 여부 * 개인정보처리방침의 필수기재사항에는 개인정보의 제3자 제공 및 위탁, 파기 및 안전성 확보조치에 관한 사항 등이 있으며, 종이문서 처리에 관한 사항도 함께 고려되어야 함	법§30 영§31 지침§37
	○ 개인정보가 포함된 종이문서를 잠금장치가 있는 안전한 장소에 보관하고 있는지 여부 * 전산실․자료보관실 등 개인정보를 보관하고 있는 물리적 장소를 별도로 두고 있는 경우에는 이에 대한 출입통제절차를 수립․운영하여야 함 * 회사규모가 영세하고 장소가 협소하여 별도의 물리적 보관장소가 없는 경우에는 잠금장치가 있는 캐비넷, 서류함 등에 별도 보관하는 등 조치하여야 함	법§29 영§30① 고시§10
2. 종이문서의 파기절차	○ 보유기간의 경과, 개인정보의 목적달성 등 개인정보가 불필요하게 되었을 때에 종이문서에 포함된 개인정보를 즉시 파기하고 있는지 여부 * 개인정보가 포함된 종이문서의 경우, 분기 또는 반기 단위로 별도의 점검 및 파기절차를 마련한 후 이를 개인정보처리방침 및 내부관리계획에 반영하여 시행할 수 있음	법§21① 지침§11①
	○ 개인정보(출력물 포함)는 물리적으로 파쇄하거나 소각하는 등의 방법으로 해당 개인정보를 완전히 파기하고 있는지 여부 * 이때, 파기한 개인정보의 복원이 불가능해야 함	법§21② 영§16 제2호 지침§11②
	○ 개인정보가 포함된 종이문서의 파기에 관한 사항을 기록․관리하고 있는지 여부 * 표준 개인정보보호지침 별지 제4호 서식(개인정보파일 파기 요청서), 별지 제5호 서식(개인정보파일 파기 관리대장) 참조	지침§11③
	○ 개인정보가 포함된 종이문서의 파기를 개인정보 보호책임자의 책임하에 수행하고 있는지 여부 * 개인정보보호책임자는 파기에 관한 계획 수립․시행․결과 보고 등에 대하여 최종적인 의사결정 권한 및 책임을 부담함	지침§11④
	○ 개인정보 보호책임자가 개인정보가 포함된 종이문서의 파기 결과를 확인하고 있는지 여부 * 개인정보보호책임자가 금융회사의 각 지점을 직접 방문하여 확인하는 것은 어려우므로 지점장 또는 파기책임자가 해당 파기작업을 확인하고 개인정보보호책임자가 그 결과를 보고받아 확인 가능함	지침§11⑤
3. 종이문서의 위탁관리	○ 개인정보가 포함된 종이문서의 파기를 외부업체에 위탁하여 처리하는 경우, 법적 필수기재사항이 포함된 문서에 의하고 있는지 여부 * 목적외 개인정보처리 금지, 기술적․관리적 보호조치, 재위탁 제한, 위탁업무 감독, 손해배상책임 등 필수기재사항이 포함되어 있어야 함	법§26① 영§28①
	○ 파기 위탁시 위탁하는 업무의 내용 및 수탁자를 인터넷 홈페이지에 게재하는 등 공개하고 있는지 여부 * 단, 1회성 위탁 등 단기간에 파기작업 및 위탁계약이 종료되는 경우에는 공개 생략 가능	법§26② 영§28②
	○ 개인정보 처리업무 수탁자 선정시 인력, 물적 시설, 재정부담능력, 기술보유정도, 책임능력 등을 종합적으로 고려하고 있는지 여부	지침§19①
	○ 종이문서 파기작업의 위탁시 수탁자(파기업자)에 대하여 개인정보보호 교육을 실시하고 있는지 여부 * 개인정보가 분실․도난․유출․변조․훼손되지 않도록 수탁자를 교육하여야 함 * 1회성 위탁으로 교육실시가 어려울 경우에는 개인정보 처리 위탁문서의 필수기재사항을 주지하도록 충분히 설명할 필요가 있음	법§26④
	○ 종이문서 파기작업의 위탁시 수탁자(파기업자)가 개인정보를 안전하게 처리하도록 관리․감독하는지 여부 * 수탁자의 개인정보처리 현황 및 실태, 목적외 이용․제공, 재위탁 여부, 안전성확보조치 여부 등에 대하여 점검하여야 함 * 종이문서 파기작업 현장에 입회하여 확인하거나, 파기결과를 사후 점검하는 등 수탁자를 감독하여야 함	법§26④ 영§28⑥

라. 개인정보 유출통지․신고편

	점 검 항 목	관련법규	점검결과
			이행	불이행	해당 없음
1. 유출통지	○ 개인정보 유출시 지체없이 정보주체에게 통지하는지 여부 * 개인정보 유출사고 발생시 지체없이(통상5일이내) 유출된 개인정보 항목, 시점, 경위, 피해구제절차 등을 정보주체에게 통지하여야 함	법§34① 영§40 지침§26, 27
	○ 개인정보 유출시 그 피해를 최소화하기 위한 대책을 마련하고 필요한 조치를 하는지 여부	법§34②
	○ 정보주체에게 개인정보 유출통지시 통지방법의 적정성 여부 * 유출통지는 서면, 전자우편, 모사전송, 전화, 휴대전화 문자전송 또는 이와 유사한 방법을 이용하고, 이와 동시에 홈페이지 등을 통하여도 공개하여야 함	영§40 지침§28,29
	○ 1만명 이상의 개인정보가 유출된 경우에는 서면 등의 방법과 함께 인터넷 홈페이지에 정보주체가 알기 쉽도록 7일 이상 통지내용을 게재하는지 여부 * 인터넷 홈페이지를 운영하지 않는 개인정보처리자의 경우 사업장 등의 보기 쉬운 장소에 통지내용을 게시할 수 있음	영§40③
	○ 정보주체에게 개인정보 유출통지시 유출된 개인정보의 항목, 시점과 그 경위 등 통지내용의 적정성 여부 * 유출통지의 내용 - 유출된 개인정보의 항목, - 유출된 시점과 그 경위 - 유출로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보 - 개인정보처리자의 대응조치 및 피해구제절차 - 정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처	영§40③ 지침§27①
2. 유출신고	○ 1만명 이상의 개인정보 유출시 조치결과 등을 지체없이 안행부 또는 전문기관에 신고하는지 여부 * 1만명 이상의 개인정보 유출시 유출통지 및 대응조치 결과를 지체없이 안행부 또는 전문기관(한국인터넷진흥원 등) 중 한곳에 지체없이(통상5일이내) 신고하여야 함	법§34 영§39 지침§29
	○ 개인정보 유출신고시 신고방법의 적정성 여부 * 전자우편, 팩스, 인터넷사이트를 통해 유출신고서(지침 별지1호 서식)를 제출하여야 하며, 시간적 여유가 없거나 특별한 사정이 있는 경우에는 전화를 통하여 통지내용을 신고한 후 유출신고서를 제출할 수 있음	법§34 영§39 지침§29
	○ 개인정보 유출신고시 신고내용의 적정성 여부 * 표준개인정보보호지침 별지1호 서식에 따라 기관명, 통지여부, 유출된 개인정보 항목·규모, 유출 시점·경위, 유출피해 최소화 대책·조치 및 결과, 정보주체가 할 수 있는 피해 최소화 방법 및 구제절차, 담당부서·담당자 연락처 등을 포함하여야 함	지침§29 지침 별지1호

체크리스트 활용시 유의사항

※  본 체크리스트는 개인정보보호법의 필수 조치사항에 대한 준수여부를 쉽게 이해하고 자체점검 하는데 도움을 주기 위하여 작성되었습니다.

◦ 개인정보보호법은 일반법으로 신용정보법․전자금융거래법․금융실명제법 등 다른 법률에 정함이 있는 경우에는 다른 법률이 우선됨을 감안하시어 본 체크리스트를 활용해 주시기 바랍니다.

◦ CCTV에 대한 안전성 확보조치에 대해서는「개인정보의 안전성 확보조치 기준(안행부고시) 」의 적용이 제외되고,「표준 개인정보 보호지침」중에서 영상정보처리기기 설치․운영 기준(제3장)이 정하는 바에 따릅니다.