엔시스의 정보보호(보안) 따라잡기

                                                      <source : http://bit.ly/1qRT7dO>

1. 개인정보 암호화 대상

2. 주민등록번호 암호 의무화 (법적근거: 개인정보보호법 제24조2항)

※ 안전성 확보조치 고시 기준에서 상위 법률로 규정지어졌다는 측면에서 의미가 깊다. 개정된 개인정보보호법에 따르면 주민등록번호 유출시 '과징금 5억원 이하'로 되어 있어 철저한 대응이 필요하다. 

3. 암호화 기준

※ 주민등록번호에 대해서는 내부망이라 하더라도 기존의 위험도 분석을 통하여 26가지를 충족하면 암호화 조치를 하지 않아도 되었지만 2016.1.1일부터는 주민등록번호는 의무적으로 암호화 해야 함. 

4. 주민등록번호 암호 의무화 시행시기 : 2016.01.01일

※ “일방향 암호화”는 암호를 다시 원문(평문)으로 복구할 수 없는 암호화 방식을 의미함

※ “양방향 암호화”는 암호의 복구가 가능한 방식으로 암호화 과정을 역으로 해독하여 암호를 다시 원문(평문)으로 전환 가능함

사회복지시설 개인정보보호 가이드라인

글: 전주현

(경성대 컴공과 외래교수)

(ISMS/PIMS/PIPL 인증심사원)

개인정보보호법이 제정된지 3년이라는 시간이 지났다. 개인정보보호인식의 필요성은 어느정도 공감대를 형성한듯 하다. 그러나 아직도 현장에는 실무 적용에 있어 미흡한 부분이 있다. 여러기관을 다니면서 개인정보에 대한 교육도 하고 자문도 하다보니 다양한 분야에 개인정보보호를 연구하게 되었다. 그중에서도 저소득계층이나 사회복지를 위하여 애쓰시는 분들을 위하여 개인정보처리 취급자 입장에서 쉽게 가이드 해 보고자 한다. 아래 사항만 숙지해도 개인정보보호 최소한의 준수해야 할 업무는 이루어지리라 생각한다.

                                            <source: http://bit.ly/1yFVBUJ >

1. 개인정보의 범위

개인정보라 함은 살아있는 개인에 관한 정보로 다른 정보와 결합하여 용이하게 누구인지를 식별할 수 있으면 개인정보라 보고 있다. 사망자에 대한 정보와 법인에 대한 정보는 개인정보가 아니다. 개인정보 취급자가 가장 궁금해 하는 것이 바로 ‘개인정보의 범위’ 이다. 어디까지 개인정보로 규정할 것인지를 잘 모르기 때문이다. 법 조문을 읽는다 해도 쉽게 이해가 되지 않기 때문이다.

이름과 이메일이 결합되면 현재 유권해석상 개인정보로 보지 않는다. 이유는 이메일만가지고 개인을 특정할 수 없고, 이름도 동명이인이 있을수 있기 때문이다. 두 개 결합한다고 해도 마찬가지이다.

2. 개인정보 동의시 필수 고지 사항

개인정보보호법 제15조 2항을 보면 다음과 같이 명시하고 있다. ② 개인정보처리자는 제1항제1호에 따른 동의를 받을 때에는 다음 각 호의 사항을 정보주체에게 알려야 한다. 다음 각 호의 어느 하나의 사항을 변경하는 경우에도 이를 알리고 동의를 받아야 한다.

1. 개인정보의 수집·이용 목적

2. 수집하려는 개인정보의 항목

3. 개인정보의 보유 및 이용 기간

4. 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용

개인정보 수집의 첫단계이므로 ‘개인정보 활용동의서’를 받으면서 위 4가지 사항만 지키더라도 개인정보보호 의무준수사항에 절반은 지켰다고 본다. 업무에 적용시 꼭 기억하고 실천해야 한다. 현장을 둘러보면 위 4가지 사항은 지키지 않는 경우를 다수 보았다. 사회복지 시설을 이용하는 이용자들의 개인정보를 수집시 준수했는지를 다시한번 상기하면서 점검해 보자.

3. 개인정보 위탁과 3자 제공

개인정보 업무를 처리하다보면 이용측면에서 위탁과 3자제공을 하게 된다. 물론 개인정보 취급자가 업무에 개인정보를 활용하는 것은 기본 사항이다. 핵심은 위탁과 3자 제공시에 개인정보 유출 사고로 자주 발생한다는 것이다. 즉, 우리 사회복지시설에서는 법적 의무준수상을 잘 지켰지만 개인정보 파일이 다른 곳으로 이동되거나 다른 곳에서 조회,열람 하면서 유출 되었을때 누구 책임인지가 중요한 관건이 된다. 그럼 우선 위탁과 3자제공의 차이점부터 살펴보자.

사회복지시설에서 위탁과 3자 제공시에 업무상 유의점은 다음과 같다.

① 3자 제공시에는 제공받는자, 이용목적, 이용항목,보유기간, 거부시 불이익을 고지한다.

② 표준 위탁계약서등을 이용하여 반드시 문서로 처리한다.(책임소재 결정 중요근거)

③ 개인정보 위탁,3자제공 업무시 공문 또는 증적자료를 남긴다.(구두상으로 처리금지)

④ 위탁과 3자제공시에는 반드시 개인정보처리방침에 공개를 해야 한다.

4. 개인정보파기

개인정보보호법에 개인정보 파기 시점은 목적달성시 즉시파기 한다고 명시하고 있다. 여기서 목적달성시는 법적 근거가 없는 경우, 개인정보 수집시 목적이 달성되었을때 즉시 파기하는 것을 의미한다. 법에 근거한 보관 기간이 있을 경우, 그 기간이 만료하였을때 즉시 파기해야 한다. 파기 할때에는 파기 관리대장에 기록하여 관리를 해야 한다.

5. 개인정보처리 방침

개인정보처리방침은 개인정보를 처리자 입장에서 어떻게 관리하고 있는가를 보여주는 얼굴이라고 보면 된다. 주로 개인정보처리자 홈페이지를 이용한다. 홈페이지 제일 하단에 보면 볼드체로 “개인정보처리방침” 혹은 “개인정보취급방침”이라고 명시하고 있다. 전자는 개인정보보호법상, 후자는 정보통신망법상 적용하는 용어지만 구분에 대한 큰 의미를 두지는 않는 편이다. 망법에서는 개인정보취급방침을 표시하게끔 명시는 하고 있다. 개인정보처리방침에 반드시 명시해야 할 조항은 다음과 같다.

⑥항에서 대통령령으로 정한 사항에는 영상정보처리기기(CCTV)등도 포함이 되어 있다. 개인정보처리방침에 주의사항은 위에 명시한 10가지를 반드시 수립하고 공개해야 한다. 또한 위탁과 3자제공이 있음에도 불구하고 현황을 몰라 개인정보처리방침에 반영하지 못하는 경우가 있다. 현행화 하는 것이 무엇보다 중요하다. 유출시에 현행화 되어 있지 않으면 모두 위반사항으로 보기 때문이다.

개인정보처리방침 수립시 인터넷에 있는 샘플을 찾아 처리자명만 수정하여 그대로 사용하는 경우가 다수인데 사회복지시설에 맞게 적용하여 수립하는 것이 바람직하다. 수립시 어려움이 있으면 공공기관의 경우 주요 광역도시나 정보통신망법 대상자의 경우 주요 포털등의 개인정보취급.처리방침을 참조하면 어느정도 도움이 된다.

6. 사회복지시설 개인정보 문서보관 체크리스트

개인정보보호법에 제정이 되면서 기존에 컴퓨터 파일로 처리되던 개인정보파일이 종이문서까지 확대 적용됨으로써 그 범위가 넓어졌다. 각종 신청서나 서식과 양식에 기록된 개인정보도 법에 적용을 받는다는 사실이다. 사회복지시설 개인정보 문서보관에서 체크해야 할 사항에 대하여 알아보도록 하자.

① 개인정보 문서가 분실․도난․유출․변조 또는 훼손되지 아니하도록 “내부 관리계획”을 수립하고, 안전성 확보에 필요한 기술적․물리적․관리적 보호조치를 하고 있는지 여부

② 개인정보가 포함된 종이문서를 잠금장치가 있는 안전한 장소에 보관하고 있는지 여부

③ 보유기간의 경과, 개인정보의 목적달성 등 개인정보가 불필요하게 되었을 때에 종이문서에 포함된 개인정보를 즉시 파기하고 있는지 여부

④ 개인정보(출력물 포함)는 물리적으로 파쇄하거나 소각하는 등의 방법으로 해당 개인정보를 완전히 파기하고 있는지 여부

⑤ 개인정보가 포함된 종이문서의 파기에 관한 사항을 기록․관리하고 있는지 여부

⑥ 개인정보가 포함된 종이문서의 파기를 개인정보 보호책임자의 책임하에 수행하고 있는지 여부

⑦ 개인정보 보호책임자가 개인정보가 포함된 종이문서의 파기 결과를 확인하고 있는지 여부

⑧ 개인정보가 포함된 종이문서의 파기를 외부업체에 위탁하여 처리하는 경우, 법적 필수기재사항이 포함된 문서에 의하고 있는지 여부

⑨ 파기 위탁시 위탁하는 업무의 내용 및 수탁자를 인터넷 홈페이지에 게재하는 등 공개하고 있는지 여부

⑩ 개인정보가 포함된 종이문서는 세단기등을 이용하여 잘 파기 하는지 여부

<참조: 금융감독원 개인정보보호TF,‘13. 8. 2.>

지금까지 사회복지시설에서 업무를 하면서 가장 기본적으로 알아야할 개인정보 업무처리에 대하여 간략하게나마 가이드형태로 알아 보았다. 이는 꼭 사회복지시설에만 해당되는 사항이라고 보지는 않는다. 일반적인 기업과 기관에서 모두 적용되는 사항이며 반드시 필수적으로 지켜야 하는 사항을 중점적으로 쉽게 적어 보았다.

사실, 한정된 지면에 개인정보보호에 대한 모든 것을 가이드하기에는 한계가 있다. 추가적인 내용이나 보충적인 내용은 안전행정부에서 ‘개인정보보호 전문강사단’ 운영하고 있다. 교육을 통하여 충분히 숙지하고 궁금한 점은 교육시 질의를 통하여 해소 하였으면 한다.

개인정보 유출이 반복적으로 일어남에 따라 각종 규제는 강화 될 것으로 생각되며, 이는 소극적인 대응방안에서 적극적인 대응으로 업무방식도 바뀌어야 한다. 개인정보 유출은 한번 일어나면 대량으로 유출된다. 이 상황에서 정보통신망법에서는 ‘14.11.29일 법정손해배상제도가 시행이 된다. 누구든지 개인정보유출로 인해 정신적 피해손해를 입었다고 생각하면 300만원 이하의 손해배상을 청구 할 수 있도록 하는 조항이다.

정부에서는 법정손해배상제도를 개인정보보호법까지 확대 시행한다는 것을 이미 발표하였다. 이제는 소극적인 대응으로 여러 가지 개인정보 분쟁에 휘말릴 경우 업무외적인 시간과 비용을 낭비하게 된다. 보다 철저히 준비하고 숙지하여 사회복지시설에서 제공하는 서비스의 신뢰도를 더욱 높일 수 있도록 해야 할 시점이다. 

인터넷은 생활에 없어서는 안될 필수 요소가 되었다. 인터넷 편리함 뒤에는 역기능도 점점 증가하고 있지만 아직도 사용자들 보안수준은 낮기만 하다. 최근 금융감독원에서 발표한 보도자료에 따르면 ‘14년도 상반기중 피싱사기금액은 886억 원(1만 3천건)으로 전년 동기대비 87.7%(건수 34%)가 증가하였다.

또한, 최근 사기수법이 더욱 지능화 되어 피해가 확대되는 가운데 기술범죄에 대한 예방 대책이 강화 되면서 전통방식으로 회귀하고 있다고 발표하였다.

피해사례가 증가한다는 것은 아직도 피싱,파밍,스미싱등 각종 금융사기 기법이 진화 발전하고 있는데 일반 국민은 인지하지 못하고 있다는 반증이기도 하다. 따라서 이번 호에서는 금융사기에 대표적인 피싱,파밍, 스미싱에 대하여 알아보고 대응 방안도 살펴보도록 하자.

1. 피싱(Phishing)

피싱이란 ‘개인정보(Private data)와 낚는다(Fishing)’의 합성어로, 전화·문자·메신저·가짜사이트 등 전기통신수단을 이용하여 피해자를 기망·공갈함으로써 이용자의 개인정보나 금융정보를 빼낸 후, 금품을 갈취하는 사기 수법을 말한다.

피싱 사기는 전화(보이스피싱) 뿐만 아니라 문자, 메신저, 인터넷 사이트 등 다양한 전기통신수단을 통해 이루어지고 있다.

피싱 사기를 당한 피해자는 피해구제절차를 통하여 은행 등에 지급정지를 요청하고 피해금을 환급받을 수 있다.

피싱에도 여러 가지 기법이 있다.  

▲ 출처 : 방송통신위원회, 「전기통신망에서의 이용자 피해 예방을 위한 전자금융사기(피싱) 방지 대책」, 2012.10. 22면 참조

일반적으로 피싱이라고 하면 제 마지막에 언급한 ‘피싱사이트’를 말한다고 보면 된다. 이메링을 보낼때 가짜 홈페이지 링크 URL을 함께 첨부하여 가짜 홈페이지로 접속 하게 유도하는 금융사기 기법을 말한다.

▲ 정상사이트 (좌), 가짜 사이트 (우)

좌측 홈페이지와 우측 홈페이지 구분되는 것을 혹시 알수 있는가? 우측에 빨간색으로 표시한 부분이 정상사이트와 틀린 점이다. 무엇보다 피해를 당하지 않는 것이 가장 안전한 방법이지만 피해시에는 아래 절차를 통하여 구제 받을 수 있다.

지급정지 및 피해금 환급 신청

피싱사기로 인해 금전적인 피해가 발생한 피해자는 전기통신금융사기 피해 방지 및 피해금 환급에 관한 특별법 제 3조에 따라,

1. 신속히 경찰서나 금융회사 콜센터를 통해 지급정지 요청을 한 후

2. 해당 은행에 경찰이 발급한 ‘사건사고 사실확인원’을 제출하여 피해금 환급 신청을 하면된다.

※ 지금정지피해신고

경찰청 국번없이 ☎112 / 해양경찰청 ☎112

금융회사 콜센터

※ 피해상담 및 환급금 환급안내

금융감독원 국번없이 ☎1332

2. 파밍 (Pharming)

파밍(Pharming)은 피싱(Phishing)과 조작(Farming)의 합성어로, 악성프로그램에 감염된 PC를 조작하여 정상 사이트에 접속하더라도 가짜 사이트로 접속을 유도하여 금융거래정보를 빼낸 후 금전적인 피해를 입히는 사기 수법을 말한다.

                                    ▲ 파밍 사기기법 구성도              출처: 경찰청

위 그림을 보면 조금 어렵게 보일수 있는데 쉽게 설명하면 다음과 같다. 예를들어 자신이 ABC.com 사이트에 접속하고자 하는데 악성코드에 감염이 되었다면 브라우저에 ABC.com 이라고 정상적으로 입력했지만 ABC.com 사이트와 동일한 가짜 사이트 abc.com 사이트로 접속하게 끔 하는 금융사기 기법을 말한다. 이렇게하여 개인정보등 각종 정보를 탈취하는 것이다.

파밍(Pharming)의 유형

파밍에도 여러 가지 유형이 있다. 대표적인 유형을 살펴 보기로 하자.

▲ 출처 : 경찰청 보도자료, “‘파밍(Pharming)’등 신종금융사기 주의!”, 2013. 6. 참조

                 ▲ 파밍에 의해 유도된 피싱사이트       출처: 경찰청

정상적인 주소를 입력하였지만 가짜 사이트로 접속하여 금융거래정보 입력화면이 나타나는 전형적인 형태를 말한다. 과도한 개인정보를 요구시에는 직접 은행에 문의해 보는 것이 좋다.

지급정지 및 피해금 환급 신청

파밍 사기로 인해 금전적인 피해가 발생한 피해자는 전기통신금융사기 피해 방지 및 피해금 환급에 관한 특별법 제3조에 따라,

1. 신속히 경찰서나 금융회사 콜센터를 통해 지급정지 요청을 한 후 

2. 해당 은행에 경찰이 발급한 '사건사고 사실확인원'을 제출하여 피해금 환급 신청을 한다.

※ 지급정지 피해신고

경찰청 국번없이 ☎112 / 해양경찰청 ☎112

금융회사 콜센터

※ 피해상담 및 환급금 환급안내

금융감독원 국번없이 ☎1332

3. 스미싱(Smishing)

문자메시지(SMS)와 피싱(Phishing)의 합성어로,‘무료쿠폰 제공’, ‘돌잔치 초대장’, ‘모바일청첩장’ 등을 내용으로 하는 문자메시지에 포함된 인터넷 주소를 클릭하면 악성프로그램이 스마트폰에 설치되어 피해자가 모르는 사이에 소액결제가 이루어지는 금융사기기법을 말한다. 최근에는 피해자 스마트폰에 저장된 주소록 연락처, 사진(주민등록증·보안카드 사본), 공인인증서, 개인정보 등까지 탈취하여 더 큰 금융범죄로 이어지고 있다.

▲ 최근 필자가 받은 스미싱 관련 문자

스미싱(Smishing) 주요 피해사례

1) 대출금리비교 앱(App)을 사칭하여 돈을 송금하도록 한 사례

피해자는 캐피탈을 사칭한 자로부터 ‘스마트폰에 특정 앱(App)을 설치하면 본인의 신원 확인 및 대출이 가능하다’는 내용의 전화를 받은 뒤 해당 프로그램을 설치하였고, 앱을 실행하자 여러 금융기관의 전화번호 목록이 확인되었으며, 피해자가 대출을 이용 중인 대부업체에 상환방법을 문의하고자 전화통화를 시도(앱상 통화연결기능)하였으나, 피해자가 설치한 앱은 통화연결시 자동으로 특정번호(사기범)에게 전화가 연결되었고 사기범이 알려준 상환계좌로 돈을 송금하여 피해를 입은 사례(미래창조과학부 등 보도자료, “신·변종 전자금융사기 합동 경보 발령 !”, 2013. 8. 29. 참조).

2) 돌잔치 초대문자를 사칭하여 휴대폰에 입력된 개인정보를 유출한 사례

동료로부터 ‘돌잔치에 초대한다’는 내용이 담긴 문자메세지 한통을 받고 문자메세지에 링크된 주소를 무심코 눌렀는데, 본인도 모르게 전화번호부에 등록된 지인 전체에 돌잔치 초대문자가 발송된 사례(미래창조과학부 등 보도자료, “신·변종 전자금융사기 합동 경보 발령 !”, 2013. 8. 29. 참조).

3) 모바일 메신저 계정을 도용해 지인들에게 돈을 송금해달라고 속여 금품을 가로챈 사례

동생으로부터 모바일 메신저를 통해 “친구가 급하게 80만원을 보내달라고 한다. 송금해주면 내일 바로 입금하겠다”는 메시지를 받고 동생에게 전화를 걸었으나, 이미 해당 스마트폰에는 악성프로그램이 설치되어 전화 수신이 차단된 상태였고 동생과 통화가 되지 않아 걱정이 됐던 피해자는 돈을 송금하여 사기피해를 입은 사례

휴대폰 소액결제 피해 구제 방법

※ 스미싱으로 의심되는 문자를 받았다면?

경찰청 사이버테러대응센터(www.ctrc.go.kr / ☎182)로 신고하고, 해당 이동통신사의 고객센터(☎114)에 소액결제서비스 차단을 신청하여 본인도 모르게 소액결제가 되지 않도록 해야 합니다.

※ 소액결제 피해가 발생했다면?

1. 피해사실 신고하기

 경찰서에서 발급받은 ‘사건사고 사실확인원’을 이동통신사, 게임사, 결제대행사 등 관련 사업자에게 제출하고 피해사실을 신고해야 한다.

2. 피해금 환불받기

 해당 결제대행사의 고객센터, 미래창조과학부 CS센터(www.epeople.go.kr / ☎1335) 또는 휴대전화/ARS결제 중재센터(www.spayment.org / ☎1644-2367) 등에 결제취소·환불 등을 적극적으로 요구해야 한다.

3. 악성파일 삭제하기

 스마트폰 내 ‘다운로드’ 앱을 실행하여

① 문자를 클릭한 시점 이후에 확장자명이 ‘apk’인 파일 저장여부를 확인하고,

② 해당 ‘apk’파일을 삭제합니다.

4.악성파일이 삭제되지 않는 경우에는

① 휴대전화 서비스센터에 방문하거나 ② 스마트폰을 초기화해야 한다..

<출처 : 사이버경찰청–정보마당–경찰자료실–신종금융범죄–스미싱 참조>

무엇보다 스마트폰 사용자가 증가하고 있어 대응책 마련이 필요하다. 이에 금융감독원에서 소비자 유의사항을 발표 하였다. 살펴보면 아래와 같다.

□ 명절을 전후하여 대출사기나 할인 이벤트 또는 택배 등을 사칭한 보이스피싱이 기승을 부릴 것으로 예상되므로 각별한 주의가 요망됨

개인정보유출, 택배 확인, 범죄사건 연루 등의 명목으로 비밀번호 등 금융거래정보를 묻는 경우 절대 응하지 말 것

보안강화 등을 명목으로 인터넷 또는 스마트폰 화면상 보안카드 정보 일체의 입력을 요구 하는 경우 피싱사이트이니 유의할 것

대출이 가능하다면서 대출받기 전에 먼저 수수료 등의 명목으로 금전을 요구하는 경우 100% 대출사기이니 절대 응하지 말 것

통장이나 금카드를 다른 사람에게 양도하는 것은 범죄행위이며 형사처벌 또는 민사상 손해배상책임을 질 수 있음

금감원 보도자료를(2014.09.05, “보이스피싱 피해 다시 증가”) 보면서 안타까움을 금할길이 없다. 얼마전 TV에서 금융사기를 당한 한 아주머니가 평생 모아온 돈 5000만원 이상을 하루 아침에 빼앗기고 스스로 자책하는 모습을 보면서 혹시나 필자 주위의 이웃들에게 같은 상황이 일어나지 않을까 우려한 적이 있었다.

믿고 사는 건정하고 건강한 사회가 되어야 하는데, 개인정보 유출등으로 이제는 누구도 믿을수 없는 믿지 못하는 사회가 되어서는 안된다. 내 정보는 내가 지켜야 하고 금융사기로부터 안전하려면 소비자가 더욱 똑똑해지고 보안에 관심을 기울일 수밖에 없다. 이 글을 읽는 여러분들은 모두 금융사기로부터 안전한 대처를 하길 바란다.

* 본포스팅은 부산시 블로그 "쿨부산"에 기고한 내용임을 알려드립니다.

경성대학교 컴공과 외래교수

11.12.13.14년 안전행정부지정 개인정보보호 전문강사

ISMS/PIMS/PIPL 인증심사원

개인정보보호법은 주로 개인정보 처리자입장에서 처리단계별 의무조치사항을 규정한 부분이 많다. 교육도 대부분 개인정보처리자의 주의사항이나 처벌등을 강조하고 있는 실정이다. 하지만 정보주체에 대한 권리가 법 제 5장에 규정 되어 있음에도 잘 알지 못해 이번 호에서는 정보주체 권리보장과 피해시 구제절차는 어떻게 되는지 알아보도록 하자.

개인정보자기결정권

넓은 의미에서 개인정보자기결정권이란 자신에 관한 정보를 보호 받기 위하여 자신에 관한 정보를 자율적으로 결정하고 관리할 수 있는 권리로 자기정보관리통제권이라고도 한다. 이러한 의미에서 개인정보자기결정권(자기정보관리통제권)에는 아래의 것들이 있다. 쉽게 설명하자면 자신에 관한 정보에 대한 보호권리를 가진다는 것이다.

① 자신에 관한 정보를 함부로 침해당하지 않음(자기정보자율결정권 또는 자기정보 수집·분석·처리배제청구권)

②자신에 관한 정보를 자유로이 열람(자기정보접근권·자기정보열람청구권)

③자신에 관한 정보의 정정·사용중지·삭제 등을 요구가능

④이러한 요구가 수용되지 않을 경우에 불복신청이나 손해배상을 청구가능 

개인정보열람,정정,삭제,처리정지

개인이면 누구나 개인정보처리자(기관이나 기업)에게 자신의 개인정보가 어떻게 이용되고 있는지 열람,정정, 삭제, 처리정지등의 권리 행사가 가능하다. 개인정보처리자는 정보주체가 열람을 요구하고자 할때는 열람을 해 주어야 한다. 열람 청구한다고 해서 모두 열람 가능한 것은 아니다. 10일 이내에 해야 하고,열람할 수 없는 정당한 사유가 있으면 그 사유를 알려야 한다. 소멸되면 지체없이 열람 하게 하여야 한다.열람 신청서 서식을 작성하여 개인정보 처리자에게 제출한다.

1. 개인정보 열람,정정권

보통 홈페에지에 로그인 하면 회원의 [개인정보]란이 있어 비밀번호를 한번 더 입력하면 자신의 개인정보를 열람 또는 수정 가능하게 끔 시스템으로 구현해 놓은 것이 일반적이다. 따라서 주소가 변경되었다면 굳이 열람 수정 신청을 하지 않아도 해당 홈페이지에 로그인 하여 변경하면 된다.

2. 개인정보 정정, 삭제권

개인정보 삭제 요구도 가능하다. 개인정보처리자는 개인정보 삭제 요구시에는 특별한 규정이나 절차가 있는 경우는 제외하고는 지체없이 정정, 삭제 조치후 그 결과를 정보주체에게 알려야 한다.

3. 개인정보처리정지

정보주체는 자신의 개인정보처리에 대해 처리 중지를 요구 가능하다. 공공기관의 경우에는 안전행정부에 개인정보 파일을 등록해야 하는데 등록대상이 되는 개인정보 파일중 자신의 개인정보 처리를 중지 해 줄 것을 요구 가능한 권리를 ‘개인정보처리 정지권’ 이라 한다. 내용과 절차는 법 제 36조와 대동소이 하다.

개인정보 유출이나 피해를 입었을 경우 구제절차는?

1. 한국인터넷침해신고센터 홈페이지나 국번없이 118로 신고

개인정보가 유출되어 피해를 입으면 한국인터넷진흥원 개인정보침해신고센터 홈페이지(www.kisa.or.kr

)나 전화(국번없이 118)등을 이용해 신고를 할 수 있다. 신고를 하면 상담원이 1차로 검토하고 내용의 분류에 따라 온라인 등을 통해 7일(법령질의는 14일) 이내에 답변을 준다.

2. 개인조정 분쟁조정 위원회 절차

신고가 접수되면 분쟁전에 분쟁조정위원회에서 검토 후 상대방에게 조정전 합의를 권고하고 원만히 해결 되도록 노력해 준다. 조절 절차는 아래 그림과 같다.

▲ 개인정보 분쟁조정위원회 분쟁 조절 절차 출처: 개인정보보호위원회 홈페이지

조금 더 상세히 알아 보면 다음과 같다.

▶ 사건접수 및 통보

개인정보피해로 인한 분쟁조정은 웹사이트, 우편, 팩스, 방문 등을 통해 신청인이 직접 또는 대리로 신청할 수 있으며, 개인정보침해 관련 상담 또는 신고사건 처리과정에서 신청할 수도 있다. 분쟁조정 신청사건이 접수되면, 신청자와 상대방에게 접수사실이 통보된다.

▶ 사실확인 및 당사자 의견청취

사건담당자는 전화, 우편, 전자우편, 팩스 등 다양한 수단을 이용해 자료 수집을 통한 분쟁조정 사건에 대한 사실조사를 실시하고, 사실조사가 완료되면 이를 토대로 사실조사보고서를 작성하여 본 사건을 위원회에 회부한다.

▶ 조정전 합의를 권고

개인정보분쟁조정위원회는 조정에 들어가기 앞서 당사자간의 자율적인 노력에 의해 원만히 분쟁이 해결될 수있도록 합의를 권고할 수 있으며, 합의권고에 의해 당사자간의 합의가 성립하면 사건이 종결된다.

▶ 위원회의 조정절차 개시

조정 전 합의가 이루어지지 않으면 위원회를 통해 조정절차가 개시된다. 조정절차가 진행되면 당사자의 의견 청취, 증거수집, 전문가의 자문 등 필요한 절차를 거쳐 쌍방에게 합당한 조정안을 제시하고 이를 받아들일 것을 권고하며, 이 경우 사건의 신청자나 상대방은 위원회의 회의에 참석하여 자신의 의견을 개진할 수 있다. 조정절차가 진행되는 중에 원만한 합의가 이루어지는 등의 사유로 인해 더 이상 조정을 원하지 않을 경우 신청인은 조정신청을 철회할 수 있다.

▶ 조정의 성립

개인정보분쟁조정위원회의 조정을 통하여 내려진 결정에 대하여 조정결정일부터 15일 이내에 신청인과 상대방이 이를 수락한 경우에는 조정이 성립된다. 당사자가 위원회의 조정안을 수락하고자 하는 경우 위원회가 송부한 조정서에 기명날인하여 위원회에 제출한다. 양 당사자가 모두 조정안을 수락하면 조정이 성립되어 조정서가 작성되고 조정절차가 종료된다. 당사자중 일방이 조정안을 수락하지 않을 경우 민사소송을 제기하거나 포기할 수 있다.

▶ 효력의 발생

개인정보분쟁조정위원회의 조정 결정에 대해 신청인과 상대방이 이를 수락하여 조정이 성립된 경우 개인정보보호법 제47조 제5항의 규정에 따라 양 당사자간에는 조정서와 동일한 내용의 합의(재판상의 화해)가 성립한 것으로 본다.

3. 민사소송

보통 민사소송은 손해배상을 청구하기 위한 소송으로 단체로 대리인 변호사를 선임하여 진행하는 것이 일반적이다. 피해 보상금액을 산정하고 단체로 소송에 참가하기 때문에 소송에서 승소할 경우 전체 판결 금액도 상당히 크다. 최근 모 통신사의 경우 개인정보 유출로 인하여 2만8천명이 소송에 참여 하였다. 1심에서 1인당 10만원을 배상하라는 판결이 나왔다. 전체 금액은 28억에 이른다. 통신사는 항소하겠다는 의사를 밝혔다. 사실 개인정보 유출로 인하여 개인이 가지는 피해 잠재 가능성을 따진다면 아직도 과소평가 된 금액이라 생각한다. 그러나 개인정보처리자 입장에서는 상당한 금액이다.

민사소송은 소송기간이 길고, 1인당 보상 금액도 지금까지 판결을 보면 그리 크지 않아 소홀히 할 수 있지만 피해 당사자는 적극적인 참여를 하여 자신의 정당한 권리를 주장해야 한다.

지속적인 개인정보 유출로 인하여 정보주체는 많은 피해를 입었다. 너무 많은 유출의 학습효과로 인하여 자신의 정보에 대한 권리마저 포기 하는 경우가 많다. 때로는 알고도 포기하고 때로는 권리주장을 어떻게 하는지를 몰라 포기하는 경우도 많다. 개인정보보호법 제정으로 인하여 소중한 개인정보의 권리는 법에서 보장 되어 있기 때문에 당당하게 요구 가능하다.

한가지 필자가 현장을 둘러 보면서 우려스러운 것은 정보주체의 권리를 앞세워 가끔 악용하는 사람들이 있다. 개인 자신의 권리를 넘어서 끊임없이 협박이나 물질적 요구를 하면 안된다.

이제 소중한 자신의 정보는 자신이 지켜야 한다. 또한 자신의 정보가 소중한만큼 타인의 정보도 소중히 다룰줄 알아야 한다. 개인정보 유출로 인한 피해자 권리 자신이 찾도록 하자.

인터넷과 컴퓨터 기술의 발달로 점점 디지털화 되어가고 있다. 스마트폰 사용자 3000만 시대를 맞이하여 보안에 대한 이슈는 기업과 기관 중심에서 개인 사용자 중심으로 변화하고 있다. 그만큼 개인도 보안에 대한 인식의 변화가 필요한 시점이다. 2014년 1월에 카드 3사 개인정보 유출로 인하여 온 나라를 분노케 하였다. 하지만 처벌은 벌금 600만 원이 고작이었다. 이에 개인정보보호법 개정이 이루어지고 점점 강화가 되고 있는 추세이다. 지난 8월 7일에는 주민번호수집법정주의에 따라 법적 근거가 없으면 이제 주민등록번호는 원칙적 수집 금지를 법으로 선언하였다.

이번 호에서는 개인정보를 보호하기 위한 법적 의무 조치 사항이 어떤 것이 있는지 알아 보고자 한다. 여기서 ‘의무조치사항’이란 법적으로 반드시 처리해야 하는 사항이기 때문에 위반시에는 처벌과 과태료가 있다는 것도 상기하자. 독자들의 쉽고 빠른 이해를 돕기 위하여 고민하다가 알파벳 PRIVACY 단어를 통하여 개인정보 법적 의무 조치 사항을 설명하고자 한다. 개인정보보호에 다소 궁금증이 해소 되길 기대해 본다.

1. P : Personal Information - 개인정보 용어정의 및 범위

현장을 다니면서 가장 많이 받은 질문 중에 개인정보의 개념에 대하여 질문하는 분들이 많았다. 개인정보 하면 마치 개인정보=주민등록번호 정도로만 알고 있는 분들이 많은데 그보다 확장된 개념으로 사용된다는 사실을 인지할 필요가 있다. 법에서 알아야 할 개인정보 관련 개념 몇 가지만 짚고 넘어가도록 하자.

"개인정보"란 살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함한다)를 말한다.” 고 명시하고 있다. 이는 간략하게 두 가지 정도로 나누어 알아보자.

첫째, 개인정보는 개인에 대한 정보이며, 법인에 대한 정보는 개인정보가 아니다. 또한 사망자에 대한 정보는 개인정보가 아니다. 살아 있는 자연인에 대한 정보다.

둘째, 누구인지를 특정하지 않아도 다른 정보와 결합하여 특정할 수 있으면 개인정보라고 본다. 무슨 말인지 이해가 가지 않을 것이다. 최근 판례 하나를 간단하게 예로 들어 본다.

판례

개인정보를 이해하기 위해서는 다음 아래 몇 가지 용어에 대한 이해가 필요하다. 아주 간략하게 설명을 하겠다. 

가. 개인정보

개인정보는 살아있는 개인에 관한 정보로 다른 정보와 결합하여 누구인지 특정할 수 있어도 개인정보로 볼 수 있다. 예를들어 휴대폰번호 + 주소 + 이름으로 결합하면 개인정보가 가능하다.

나. 개인정보처리

개인정보 "처리"란 개인정보의 수집, 생성, 연계, 연동, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정(訂正), 복구, 이용, 제공, 공개, 파기(破棄), 그 밖에 이와 유사한 행위를 말한다.

다. 개인정보처리자

업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등을 말한다. 보통 처리자라고 하면 개인을 지칭 하는 경우가 많은데 기관이나 법인을 보통 지칭한다. 

라. 정보주체

처리되는 정보에 의하여 알아볼 수 있는 사람으로서 그 정보의 주체가 되는 사람을 말한다.

마. 개인정보파일

개인정보를 쉽게 검색할 수 있도록 일정한 규칙에 따라 체계적으로 배열하거나 구성한 개인정보의 집합물(集合物)을 말한다. 여기에는 종이 문서도 개인정보 파일에 포함된다는 사실을 기억하길 바란다. 예를 들어 이력서 20장이 쌓여져 있다면 이것도 개인정보 파일로 본다.

바. 영상정보처리기기

일정한 공간에 지속적으로 설치되어 사람 또는 사물의 영상 등을 촬영하거나 이를 유·무선망을 통하여 전송하는 장치로서 대통령령으로 정하는 장치를 말한다. 흔히 우리가 말하는 폐쇄회로 (CCTV)라 보면 된다.

간단하게 개인정보보호법에서 자주 사용하는 용어 몇 가지를 알아 보았다. 각 용어마다 세부적인 내용이 더욱 많지만 초보자 눈높이에 맞추어 작성하다 보니 쉽고 짧게 설명하는 것을 이해 바란다. 

2. R: Relation Of Privacy - 개인정보 라이프 사이클

현장을 둘러보거나 교육을 위해 담당자를 만나보면 다음과 같이 이야기 하는 경우가 있다. “우리는 개인정보가 별로 없는데요.” “저희는 개인정보 취급하지 않아요” 과연 그럴까? 사람을 상대로 하는 모든 기업과 기관은 어쩔 수 없이 정보주체의 정보인 개인정보를 한 건이라도 취급 처리하게 된다. 결국 누군가와는 상대적인 관계성을 가질 수 밖에 없다는 것이다. 이에 개인정보보호법 제 15조부터 수집, 보관,이용,제공,파기순으로 살펴 보도록 하자.

개인정보보호 처리단계별 의무조치 사항중 가장 핵심적인 부분이다. 가능한 쉽게 설명할테니 개념만이라도 이해하길 바란다.

개인정보는 정보주체인 개인에 대한 정보를 동의 또는 법률에 근거하여 수집, 이용,보관, 파기를 하는 일련의 정보주체와 처리자간의 관계가 기반이 된다. 법의 취지는 가능한 최소한의 정보만 수집할 것을 권고하고 수집하더라도 법적인 사항을 준수해야 한다. 그 첫 번째 단계가 ‘수집’ 단계이다.

가. 수집 

대표적인 개인정보 수집 가능한 경우이다. 이때 대부분은 ‘정보주체에 대한 동의’를 얻어 수집하는 경우가 가장 많이 이루어지는 형태이다. 

개인정보를 수집할 근거를 알고 동의를 받을때에는 반드시 정보주체에게 알려야 할 사항이다. 4가지를 법에서 명시하고 있는데 수집목적, 수집항목, 보유기간, 동의하지 않아도 되지만 그럴 때 어떤 불이익이(거부권에 대한 불이익) 있는지를 정보주체에게 알려야 한다.

개인정보 처리자 입장에서 개인정보보호 담당자는 취급자가 조금이라도 개인정보에 대한 개념 인식에서부터 , 업무시 개인정보 '처리'에 대한 업무를 잘 해 주었으면 하는 바램에서 교육에 관심을 가질 수 밖에 없지요. 그러나 대부분이 그렇듯이 법적 근거 기준이 있어서 의무 사항이 아니면 하지 않는 경우가 대부분입니다. 이는 현장을 다녀보면서 느낀바로는 두가지 요인이 있습니다.

1. 법적 근거가 없으면 집체 교육 힘들어

법적 의무 교육이 아니거나 근거 미비의 경우 대부분 집체 교육을 하기 어렵습니다. 그 이유는 집체교육은 직장인 교육의 일환으로 하거나 한꺼번에 임직원을 모집해야 하는 어려움 때문입니다. 기관이나 기업내에 중요한 이슈가 있었을땐 교육은 우선순위에서 밀리는 경우가 대부분입니다. 긴급 이슈사안에 대하여 처리하기위한 업무도 바쁜데 교육을 위한 시간을 따로 할당해야 하기 때문입니다. 하지만 법적인 근거가 제시되면 명분을 제시할 수 있어 담당자의 교육 업무 추진이 수훨합니다. 역으로 생각하면 법적 근거기준이 없으면 집체교육은 어렵다는 이야기 입니다. 이는 온라인 개별 교육은 더 힘들다는 것을 반증하기도 합니다.

2. 담당부서의 업무인데 왜 집체 교육을 통하여 전달 하려하는가?

개인정보 교육의 경우 대부분 취급자가 자신은 개인정보 담당자가 아니라는 생각을 하고 있습니다. 개인정보보호법 제2조에   2. "처리"란 개인정보의 수집, 생성, 연계, 연동, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정(訂正), 복구, 이용, 제공, 공개, 파기(破棄), 그 밖에 이와 유사한 행위를 말한다."   고 명시하고 있습니다. 아마도 기관이나 기업에서 개인정보 '취급' , '처리'를 하지 않은 취급자가 과연 몇명이나 있을까요? 대부분 자신이 개인정보 관련 업무처리를 하고 있지만 이는 '개인정보 담당자' 업무로 착각하고 있기 때문이죠. 그러니 바쁜 시간에 왜 자신의 업무를 전 임직원들 대상으로 전달 할려고 하는가에 대한 반감 때문에 애로 사항이 있습니다.  "메일공지나 회람을 통해서도 가능할텐데 ......, " 라는 불만 때문이지요. 그런데 어디 메일이나 회람으로 '개인정보보호법'을 모두 이해 할 수 있다면 법적 의무적인 교육을 할 필요가 없겠지요..개인정보 업무가 쉬워보이지만 공부해야 할 것과 해야할 업무가 굉장히 많다는 사실입니다. 

이 두가지 이유 때문에 개인정보 교육은 진행하기 애로사항이 있다고 담당자들은 토로 합니다. 그럼 과연 개인정보보호에 대한 교육을 법적으로 해야 될까요? 말아야 할까요? 알아보도록 하겠습니다.

개인정보보호 교육  과연 법적 의무교육인가? 아닌가?

지난 8/7일 주민등록번호 수집 법정주의가 시행이 되었습니다. 또한 개정된 개인정보보호법이 지난 3/24일 시행이 되고 있기 때문에 많은 분들이 관심을 가질 수 밖에 없습니다. 또한 법이라는 것은 자주 개정되는 특성이 있어 꾸준히 관심을 가지고 있지 않으면 , 놓칠수 있는 부분이 있어 만약 개인정보 유출시에는 상당한 타격을 입게 됩니다. 이것이 컴플라이언스( 법 준수성)에 관심을 가질 수 밖에 없는 이유가 되죠.

개인정보보호 전문 카페를 통한 8월 한달간 N포털 키워드 유입을 통해 알아 보겠습니다.

안전행정부 개인정보보호 전문강사로 위촉이 되어 있다보니 집체 교육후에 질문이 많습니다. 메일로 , 전화로 일일이 답변 드리지 못해 운영하고 있는 커뮤니티입니다. 개인정보 관련 내용만 다루고 있습니다. 

그러던중 아래 그림과 같이 키워드에서 <개인정보보호법 의무교육>  키워드로 많이 검색하는 것 같아 블로그에 포스팅 하게 된 것입니다..

                   ▲  8월 한달간 N포털 개인정보보호 관련 검색유입된 키워드 순위

눈에 띄는 것이 바로 '개인정보보호법 의무교육' 에 대한 부분입니다...그 궁금증을 해소하기 위하여 알아 보았습니다. 우선 대표적인 개인정보보호법과 정보통신망법에 각각 알아보면 다음과 같습니다. 

1. 개인정보보호법

제28조(개인정보취급자에 대한 감독) ① 개인정보처리자는 개인정보를 처리함에 있어서 개인정보가 안전하게 관리될 수 있도록 임직원, 파견근로자, 시간제근로자 등 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 자(이하 "개인정보취급자"라 한다)에 대하여 적절한 관리·감독을 행하여야 한다.

② 개인정보처리자는 개인정보의 적정한 취급을 보장하기 위하여 개인정보취급자에게 정기적으로 필요한 교육을 실시하여야 한다.

2. 정보통신망법

"정보통신망 이용촉진 및 정보보호 등에 관한 법률" 제28조제1항과 같은 법 시행령 제15조제6항에 근거한 "개인정보의 기술적, 관리적 보호조치 기준" 제3조(내부관리계획의 수립․시행)

② 정보통신서비스 제공자등은 다음 각 호의 사항을 정하여 개인정보관리책임자 및 개인정보취급자를 대상으로 매년 2회 이상 교육을 실시하여야 한다.

1. 교육목적 및 대상

2. 교육 내용

3. 교육 일정 및 방법

다음은 개인정보보호 교육에 관련된 Q & A 입니다. 잘 살펴 보시고 대응하시면 되겠습니다.

개인정보보호 미 교육시 처벌 규정이 없다고 소홀히 하였을 경우, 만약 유출시에는 그에 따르는 책임을 묻는 것은 당연하겠지요. 여러가지 개인정보 실태점검이나 수준진단 점검, 그리고 인증심사시에 반드시 이러한 사항들이 포함된 것을 보더라도 형식적인 교육으로 전락해서는 안될 것입니다.  법적인 근거가 있으니 반드시 교육을 실시하는 것이 유출에 대비하여 좋겠지요..

대신 개인정보 교육은 자체교육, 온라인 교육, 외부 전문가초빙등의 다양한 방법이 있으니 잘 참고하시고 , 개인정보 유출에 만전을 기할 수 있도록 해야 겠습니다. 너무 강요에 의한 마케팅과 결합한 교육은 바람직 하지 않다고 생각합니다.  정말 중요한 것은 조직내 개인정보가 유출시 어떻게 대처하고 어떠한 처벌이 있으며, 각 구성원이 인지하고 행동으로 실천하기 위한 방법을 직접 교육을 통하여 전달 하는 것이 목적이기 때문입니다.

포털 검색하다가 일부 교육기관에서 교육을 하지 않으면 처벌된다는 식의 강압적인 권유의 글이 많이 보여 참고 차원에서 한번 포스팅 해 보았습니다.  보다 자세한 내용은 개인정보보호 전문 카페 (개인정보 업무와 피해구제,교육등의 정보를 공유하는 카페) 를 참고 하시면 되겠습니다. 감사합니다.  @엔시스.

포스팅 참조한 보안뉴스기사 : http://www.boannews.com/media/view.asp?idx=43032&kind=2&search=title&find=%C0%C7%B9%AB%B1%B3%C0%B0

2014년 8월7일 개인정보보호법 개정에 따라 '주민번호수집 법정주의'가 시행이 되었다. 주민번호 수집을 법에 근거하지 않고는 수집할 수 없다는 것이 주요골자다. 한번 유출된 주민등록번호는 변경할 수 없는 단점이 있어 이를 보완하기 위한 수단으로 온라인에서 사용하는 ‘아이핀(I-PIN)’과 오프라인까지 사용을 확대한 ’마이핀(My-PIN)'에 대하여 알아보고 발급 절차와 활용에 대하여 소개 하고자 한다.

카드3사 개인정보유출로 올해 보안 최대 화두 ‘개인정보보호’

1월 카드 3사 개인정보 유출로 인하여 보안의 최대 화두는 ‘개인정보보호’에 관심이 집중되고 있다. 그럼 이번 카드 금융정보 유출은 왜 유독 관심을 받을까? 그동안 개인정보유출은 없었던 것일까? 이유는 카드관련 금융정보 유출로 개인이 직접적인 피해를 입을 수 있기 때문이다. 일반적인 개인정보 유출로 2차, 3차 피해가 생긴다고 하지만 개인들은 무관심 했다. 하지만 카드관련 개인정보는 쇼핑몰등에서 유출된 정보로 결재까지 이루어질 가능성이 제기되어 더 관심을 가진 것이다.

한국신용카드학회(대한상공회의소에서 개최한 춘계세미나)에서 김상봉 한성대학교 교수는 "카드 3사의 카드 재발급 비용 286억원, 사고수습 비용 173억원, 탈회 만회 비용 1649억원, 집단소송 패소 시 발생할 비용 1712억원, 영업정지에 따른 손실 비용 1072억원 등 추정 손실액이 총 4892억2000만원 달한다"고 말했다. (출처: 스페셜경제)

개인정보 유출시 수습하기 위한 사후 비용이 많이 든다. 위 카드 3사의 경우 약5000억 정도 비용이 들어갈 것으로 예측하였다. 이제는 개인정보 유출시 수습도 중요하지만 사전예방이 더 중요하다는 새로운 패러다임 인식의 전환이 필요한 때이다.

주민번호수집 법정주의와 ‘My-pin' 은 무엇인가?

개인정보보호법은 2011년9월30일 제정이 되었다. 제정전 공공기관은 ‘공공기관에 관한 개인정보보호법률’과 민간은 ‘정보통신망 이용촉진 및 정보보호등에 관한 법률(이하 정보통신망법)’에 적용이 되었다. 개인정보보호법 제정으로 ‘공공기관에 관한 개인정보보호법률’은 폐지가 되고, ‘정보통신망법’의 준용사업자가 망법이 아닌 개인정보보호법에 적용을 받음으로써 공공과 민간을 모두 포함하는 개인정보보호법이 제정이 된 것이다. 정부에서는 기존 50만 사업자에서 350만 사업자까지 확대 적용된다고 발표하였다.

온라인에서 영리성을 추구하는 포털이나 온라인 쇼핑몰등은 정보통신망법에 우선 적용을 받는다. 법 제정이후 2013.08월에 개인정보보호법 개정이 이루어졌다. 주요내용은 다음과 같다. △ 정보주체의 동의가 아닌 법에 의한 주민번호 수집 이용 △ 주민번호 유출시 5억원이하의 과징금 △ 책임 있는자에 CEO, 임원 포함 명확화 등이다. 법개정이 공포되고 1년후 시행이 된다. 2014년8월7일 법적 효력이 발생된다. 개정된 이유는 개인정보보호법 제정이후에 올해 카드3사 개인금융정보 유출과 같은 반복적인 이슈가 생겼기 때문이다. 정부는 부담이 될 수밖에 없다. 여론이 거세지자 법을 개정하여 조금 더 강화하게 된 것이다. 안전행정부에서는 법 개정된 사항이 시행되더라도 2015년2월까지 6개월 동안 계도기간을 준다고 한다.

그럼 법에 근거하지 않고 주민번호를 써야 하는 경우에는 어떻게 해야 하는가? 즉 주민번호를 대체할 수 있는 수단은 어떤 것이 있는가? 대표적인 것이 ‘아이핀(I-PIN'과 ’마이핀(My-PIN)'이 있다. 쉽게 설명하면 아이핀은 온라인에서 마이핀은 오프라인에서 주민번호 대신에 사용할 수 있는 식별번호로 생각하면 된다.

1. 마이핀(My-PIN) 소개

마이핀(My-PIN)은 인터넷이 아닌 오프라인(일상생활)에서 사용할 수 있는 본인확인수단으로서 개인식별 정보가 전혀 포함되어 있지 않은 13자리 무작위 번호를 의미한다.

인터넷이 아닌 일상생활에서 회원가입 신청서 등에 주민번호 대신 마이핀(My-PIN)을 입력, 사업자는 본인확인기관을 통해 My-PIN 정보로 신원을 확인 가능하다. 주요특징은 다음과 같다. ① 13자리의 임의의 숫자 ② 개인정보 미포함 ③ 필요시 변경(연 5회) ④ 유효기간 3년이다.

마이핀 구성 체계(13자리)

▲ 마이핀 구성체계(출처: 안전행정부, privacy.go.kr)

주민등록번호가 아닌 13자리 임의의 숫자를 이용하여 대신 사용가능하다. 이는 필요시 변경가능하고 유효기간은 3년이다.

2. 주민등록번호, 아이핀, 마이핀 어떻게 다른가?

마이핀(My-PIN) 특징을 조금 더 세부적으로 살펴보면 다음과 같다. ① 마이핀에는 나이, 성별등이 포함되어 있지 않는 식별 번호로 되어 있다. ② 변경이 가능하여 유,노출 및 도용시 피해를 최소화 할 수 있다. ③ 마이핀 하나로 포인트 적립 및 서비스 연계의 편리성을 제공해 준다. ④ 마이핀 사용내역을 이메일이나 휴대폰 알림으로 알 수 있어 안전성을 제고 한다. ⑤ 받고 싶은 사람만 발급받는 번호다. 아래 도표는 기존에 사용하는 주민번호와 아이핀 그리고 마이핀의 특징을 잘 구분하여 보여 주고 있다.

 ▲ 주민번호,아이핀,마이핀 비교 (출처: 안전행정부, privacy.go.kr)

3. 마이핀(My-PIN) 발급 절차

현재 온라인에서 마이핀을 발급 받을 수 있는 기관은 다음과 같다. 공공아이핀, 나이스신용평가정보, 서울신용평가정보, KCB가 발급 기관이다.

▲ 마이핀 발급기관 (출처: 안전행정부, privacy.go.kr)

홈페이지에 쉽게 접근하는 방법은 검색사이트나 포털사이트에서 기관명 검색하는 것보다

도메인을 직접 브라우저에 작성하여 접속하는 것이 빠르다. 이유는 공공아이핀을 제외한 나머지 기관들은 메인홈페이지와 아이핀/마이핀 홈페이지를 따로 운영하기 때문이다. 홈페이지 도메인은 위 표 제일 하단을 참고 하면 된다. 발급방법은 온라인 홈페이지를 접속하여 발급하는 방법과 오프라인 읍,면사무소 및 주민센터를 직접 방문하여 이용하는 방법이 있다.

① 온라인 홈페이지를 이용한 발급방법

온라인에서 마이핀을 발급 받기 위해서는 우선 아이핀 발급 절차를 따라야 한다. 가입절차에 따라 정보입력시 ‘마이핀 발급’ 에 체크를 해 주면 된다.

▲ 아이핀 발급시 ‘마이핀체크’

발급절차를 완료한 후 발급받는 마이핀 번호는 반드시 기억하고 있어야 한다. 또 발급 다른 방법으로는 아이핀이 도입된 웹사이트 (본인 확인창)에서 ‘신규 발급’ 버튼을 클릭하면 홈페이지에서 제공하는 아이핀 기관 홈페이지로 연결이 된다. 같은 방법으로 발급 받으면 된다.

▲ ‘신규발급’ 버튼 클릭

② 읍,면사무소나 주민센터 직접 방문하여 발급하는 방법

나이가 있는 어르신이나 온라인 가입이 어려운 이용자들은 가까운 읍,면사무소나 주민센터를 직접방문하여 발급 받을 수 있다.

 ▲ 읍,면사무소 또는 주민자치센터 마이핀 발급절차 (출처: 안전행정부, privacy.go.kr)

가까운 읍,면사무소나 주민자치센터를 방문하여 마이핀 방문 발급신청서를 작성한다. 신청서와 신분증을 담당 공무원에게 제시를 한다. 신분증으로는 주민등록증,여권,운전면허증등 이며, 청소년은 청소년증, 학생증을 사용가능하다.

마이핀을 개설하기 전에 아이핀 아이디 생성은 필수다. 온라인과 다르게 오프라인 신청시 아이핀 비밀번호를 정할 수 없다. 이에 초기 비밀번호는 주민번호 뒤의 7자리가 우선 부여된다.

아이핀은 온라인상에서 주민번호를 대체하는 것이므로 이를 활성화시키기 위해 신청서에서 미리 선택해놓은 발급기관 사이트에 방문, 비밀번호를 재등록해야 한다. 담당 공무원은 마이핀 카드를 발급해 준다.

마이핀은 스마트폰용 앱을 통하여 발급 및 관리도 가능하다. 하지만 일부 발급기관에서는 특정 운영체제(안드로이드용)앱만 있고 아이폰용은 아직 준비중으로 사용자 불편이 예상된다. 빠른 서비스가 되어야 할 것이다.

▲ 스마트폰 앱을 이용한 마이핀 관리 (출처: 안전행정부, privacy.go.kr)

4. 마이핀 활용 방법

주민번호 대체수단으로서 마이핀(My-PIN) 활용 예시는 아래 그림과 같이 활용이 가능하다.

▲ 마이핀 활용예시 (출처: 안전행정부, privacy.go.kr)

아울렛이나 마트등에서 회원으로 가입할 때 주민번호를 사용하지 않고 발급 받은 마이핀을 이용하면 된다. 또한 ARS로 본인확인시에 마이핀 번호 13자리를 불러주면 된다. 학원이나 교육이수등 증명시 특정 개인을 구분할 때도 활용하면 된다. 물론 이러한 마이핀 활용을 확대하기 위해서는 서비스 업체 및 기관에서 마이핀과 연계하는 시스템과 업무 프로세스가 빨리 정착이 되어 있어야 할 것이다.

대한민국 국민이면 누구나 주민등록번호를 가지고 있다. 한번 유,노출이 되면 변경할 수 없어 그동안 많은 논란이 되어 왔다. 그렇다고 당장 주민번호를 없앨수도 없는 노릇이다. 그 대안으로 아이핀과 마이핀을 정부에서 주민번호 대체수단으로 시행을 하게 되었다. 마이핀은 이제 막 시작한 초기 단계라 갈길이 멀다고 본다. 예를들면 마이핀으로 사이트에 가입이 되었는데 유출이 되어 다시 변경하고 재발급 받았다고 가정하자. 가입한 사이트가 여러개라면 기존 마이핀번호를 사용자가 일일이 변경한다는 것은 어렵다. 이러한 문제도 살펴봐야 할 것이다.

마이핀이 지금이라도 주민번호 대체수단으로 시행하면서 수정 보완 작업이 필요하고, 가급적 주민번호를 통한 식별의 의존도를 줄이는 것이 정부의 목적일 것이다. 앞으로 많은 홍보와 교육을 통하여 활성화 시키는 것이 급선무이고, 개선점에 대해서는 꾸준히 수정 보완하여 주민번호 대체수단으로서 굳게 자리매김 하길 기대해 본다.

 * 본 포스팅은 부산시 공식 블로그인 "쿨부산"에도  시리즈로 매월 2회씩 발행되는 포스팅임을 알려 드립니다. 

기존 개인정보의 안전성 확보조치 기준

[시행 2011.9.30] [행정안전부고시 제2011-43호, 2011.9.30, 제정]

                                           개인정보의 안전성 확보조치 기준.pdf

개정되는 개인정보의 안전성확보조치 기준 고시(안)에 대한 내용을 안행부 홈페이지에 공개된 문서를 기준으로 살펴보고 그 의미를 짚어 보기로 하자. 

개정(안)  개인정보의 안전성확보조치 기준 고시안 

                                  개인정보의_안전성_확보조치_기준_고시_개정(안).hwp

1. 주요내용 : 안전행정부 홈페이지에 공개한 내용을 참조 해 보자.

2. 기존 고시안에서 달라진 사항 ^[각주:1]

2.1  제2조 용어의 정의 부분 

개정(안):  P2P, 공유설정등의 용어가 삭제되고, 최신 트렌드를 반영한 "모바일 기기"의 용어가 추가 되었다. 

엔시스생각: 모바일이 대중화 되고, 모바일 디바이스기기로 인한 보안의 위협과 개인정보 유,노출의 위협을 반영하기 위한 조치라 생각이 든다.

▲ 시대적 트렌드를 반영한 '모바일기기' 고시안에 반영조치

2.2  제3조 (내부관리계획의 수립.시행)

현장을 둘러보면 내부관리계획 수립이 제대로 수립되지 않는 곳이 많다. 그리고 인터넷에 공개되어 있는 샘플을 그대로 사용하고 개인정보처리자명에만 해당 기관이나 기업체명으로 수정하여 사용하고 있는 경우가 대부분이었다. 그것은 말 그대로 샘플일 뿐이며 중요한 것은 내부관리계획 수립을 조직이나 기관에 맞게 제대로 구체적으로 적용을 해야 한다. 그 사항은 고시기준에 명시 되어 있다. 

이번 개정(안)에는 ' 5. 개인정보 처리 업무를 위탁하는 경우 수탁자에 대한 관리 및 감독에 관한 사항'이 추가되었다. 

엔시스생각:  법률에서 위탁자가 업무를 위탁했을때 수탁자는 위탁자의 소속직원으로 본다 (법 제26조3항6호)는 규정이 있다. 하지만 개인정보의 안전성을 도모하기 위해서는 구체적인 고시기준에 '수탁자에 대한 관리감독을 강화' 하려는 의도가 엿보인다. 즉, 수탁자에 대한 관리감독을 내부관리계획에 수립을 하여 보다 적극적이고 구체적으로 명시한 부분으로 생각된다.

▲  내부관리계획을 구체성과 수탁자 관리 감독에 대한 강화. 

2.4  제4조 (접근권한관리)

개정(안): 기존 고시 제5조에 '비밀번호관리' 부분을 삭제처리하고 개정(안)에는 제4조의 세부 항목으로 배치 시켰네요..

엔시스생각: 비밀번호에 대한 관리를 조항보다는 접근권한관리의 세부 항목으로 배치 하였군요. 비밀번호의 중요성이 낮아졌다라기 보다는 고시의 각 조항별 깊이(depth)을 조절 하기 위한 조치로 보여진다.

▲ 비밀번호에 대한 고시 조문 정리, 항목으로 배치

2.5 제5조 (접근통제)

용어의 정의에서 '모바일'이 포함된 만큼 다양한 모바일 위협에 대한 대응솔루션과 조치 사항이 다루어질 것으로 예상이 된다.

개정(안):  4항에 '모바일기기'가 추가로 포함이 되었으며, 5항,6항,7항이 추가 되었다. 

 엔시스생각: 7항으로 모바일 MDM 마켓의 수요가 커질 것으로 예상이 된다. 또한 모의해킹 및 취약성 점검이 연 1회 이상 의무화 되었다. 기존에 '정보통신기반시설'에 대한 취약성 점검은 반드시 해야 하지만 이제는 개인정보 안전성 확보조치를 위해서도 취약성 점검을 해야 한다.  모의해킹에 관심 있는 사람들은 많은 실력을 키워 놓으면 좋겠다.  보안도 어쩔수 없이 시대적 흐름으로 가야 하고, 제도도 시대적 흐름을 반영하는 것이 맞다라고 본다.

▲ MDM 마켓 확대, 모의해킹 및 취약성 점검 수요증가

2.6  제6조 (개인정보의 암호화)

개정(안): 8항에 '모바일기기'가 추가 된 사항외에는 변동 사항이 없다. 

엔시스생각: 암호화에 대한 부분은 개인정보보호에서 가장 뜨거운 이슈중에 하나이다. 그러나 이번 고시안에서는 8항에 모바일 기기에 대한 용어만 추가 되었을뿐 수정된 사항이 없다. 최근 '주민번호 암호 의무화' 에 대한 법률이 개정되기도 하였다.  하지만 시행일이 2016.1.1로 명시하고 있어 고시안을 그대로 둔 것으로 사료 된다.  

법 개정에 대한 취지 : 기존 고시안에 보면 내부정보나 위험도 분석을 통하여 주민번호 암호화 조치에 대한 사항이 의무적이 아니었다. 즉, 내부정보나 위험도 분석 26개를 충족하면 암호화 조치를 하지 않아도 되었다는 것이다. 그러다 보니 이를 암호화를 하지 않아도 되는 합리성 추구의 도구로 이용되었다. 그럼에도 불구하고 유출되면 암호화 조치도 되지 않아 더 큰 피해를 가져 오기 때문에 고시 수준의 암호화 조치사항을 상위법인 법률에 의무화로 법률 개정이 된 것이다.

엔시스생각:  (2016.1.1)까지 유예기간으로 준 것으로 생각된다. 하지만 암호화 하지 않아도 된다는 것으로 오해해서는 안된다. 주민번호 암호화 구축은 많은 기간과 예산이 투입이 되는 것이라 미리미리 대비하기 위한 기간으로 2016.1.1로 두었지 지금 당장 암호화 조치를 하지 않아도 규정에 없으니 책임을 면한다는 의미는 아

니라는 것이다.  마켓에서는 암호화 시장이 더욱 확대될 전망이다. 

▲ 고시수준이 아닌 법에 의한 주민번호 암호화 의무화 조치

2.7 제7조 (접속기록의 보관 및 점검)

개정(안) :개인정보처리자는 개인정보의 유출.변조.훼손 등에 대응하기 위하여 개인정보처리 시스템의 접속기록등을 반기별로 1회 이상 점검하여야 한다.

엔시스 생각: 2항이 추가된 것도 접속 기록을 그냥 6개월 이상 보관만 하고 있는 것이 아닌 반기별로 로그기록을 정기적으로 점검하게끔 구체화 하였다고 본다. 개인정보 담당자나 로그시스템 관리자는 조금더 일이 많아 진다고 본다.

▲ 로그기록을 보관만 하지 말고, 정기적으로 점검 하라.

2.8 제8조 (악성프로그램 등 방지)

개정(안): 개인정보처리자는 키보드,화면,메모리 탈취등 신종,변종을 포함한 악성프로그램 방지를 위한 조치를 해야 한다고 명시하고 있다. 

엔시스생각: 최근 해킹기술의 고도화 됨에 따라 피싱,파밍,메모리해킹등에 따른 조치를 하도록 최근 해킹 기술을 반영토록한 조치이다. 또한 악성코드를 제거하기 위한 최신 백신을 설치만 하는 것이 아닌 엔진을 업데이트 하여 최신의 상태로 유지하도록 구체적으로 제시하고 있다. 틈새시장이 생길 수도 있겠다는 생각이 든다. 

▲  기존 백신과 운영체제 업데이트만 가지고 악성프로그램을 방지 할 수 없다. 키로거,화면캡쳐, 메모리해킹 등 신종 보안위협으로부터 보호조치 하라.

2.9 제9조 (물리적 접근 방지)

개정(안): 기존 보조저장매체에 대한 저장만 물리적으로 강조한 반면에 개정안에서는 반출입에 대한 통제 대책을 마련해야 한다.

엔시스생각: 보조저장 매체에 대한 반출입 통제가 잘 이루어져야 한다. 여러가지 모바일 기기의 저장기능이라든지, 휴대용저장 매체등 반출입시에 물리적 통제가 철저히 이루어져야 한다.

▲  보조저장장치의 저장 기능 대량화, 반출입 통제 시스템 강화

2.10  제10조 (개인정보의 파기)

개정(안): 기존에 없던 개인정보의 파기 부분이 고시에 추가 됨으로써 파기에 대한 법적근거 기준을 가지게 되었다. 단순히 파기하라고 했던 권고사항과는 달리 이제는 파기에 대한 중요성이 더 부각되었다고 보면 되겠다.

엔시스생각: 보통 수집동의에 대한 부분은 그래도 최근 들어 신경을 많이 쓰는 편이지만 파기에 대한 것은 의외로 함부로 버릴수 있는 사항이 아니다보니 제대로 규정대로 실천 되지 않는 측면이 많다. 이미 파기 했어야 하는 문서나 저장장치를 그대로 보관하거나 그 보유기간을 무조건 길게 잡는 것도 바람직 하지 못하다. 법에서는 목적달성하면 즉시 파기하라고 되어 있지만 과연 즉시 파기하는 곳은 몇곳이나 될지 의문이다. 파기에 대한 구체적인 기준이 조직내에 마련이 되어야 한다.

3. 결론 : (개인정보의 안전성 확보조치 기준 고시(안)을 보면서

카드사 개인정보 유출로 인하여 개인정보의 중요성을 더욱 부각이 되었고, 그 이후에도 반복적으로 개인정보유출 사건사고가 일어나고 있다. 모두 완벽하게 유,노출에 안전하게 하면 좋겠지만 최소한 법의 테두리 안에서 법이 추구하고자 하는 부분을 지켜야 할 것이다. 내용을 살펴보면 다음 두가지 관점에서 결론을 개인적으로 내려 보고자 한다.

개인정보처리자입장: 해야 할 일이 점검 늘어난다. 주어진 업무외에 개인정보처리 업무를 하는 경우가 대부분이고 , 관리부서와 기술부서가 각각 나누어 업무를 처리하는 곳도 많다보니 역할과 책임등 업무가 일관성 있게 추진되지 못하는 경향이 있다. 또한 담당자 개인에게 모든 짐을 지우기에는 너무 크다. 처우개선이나 인력의 추가지원, 개인정보 컴플라이언스 준수를 위한 예산확보가 시급해 보인다. 또한 의사결정자의 인식개선도 필요해 보인다.  이러한 근본적 해결이 없고서는 규정만 강화 한다고 해서 반복적인 개인정보 유출이 감소되리라 생각하지 않는다. 하지만 반대로 최소한의 지켜야 할 법준수는 해야 할 것이다. 

정보주체의 입장: 개인정보보호법에서 개인정보자기결정권 및 정보주체로서 권리를 보장한 만큼 앞으로 개인정보에 대한 이해관계와 민원은 점점 증가하리라 생각이 든다. 또한 기존 관행으로 이루어진 개인정보 제공이나 공개등에도 제한이 있을수 밖에 없어 불편함이 예상이 된다. 따라서 자연스럽게 정보주체의 개인정보보호를 한다는 취지에서 일부 불편함을 감수 할 수 있어야 자신의 권리도 보장 받고 지킬 수 있을 것이다. 다만 우려되는 것은 법을 악용하여 '진상'소리를 들으면 안된다.  이상 끝.

*정리하는데만 약 2시간 넘게 시간이 걸렸네요. 이렇게 한번 정리해 봄으로써 기억하기 쉽고, 여러가지 이슈에 대하여 다시 한번 대응할 수 있는 방법론을 도출해 낼 수 있습니다. 개인정보에 관심 있는 분들에게 도움이 되었으면 좋겠네요.

개인정보보호법 개정으로 인하여 '14년 8월7일부터는 개인정보보호법 '주민번호 수집 법정주의' 로 인하여 법률에 근거하지 않는 주민등록번호 수집은 개인정보보호법 위반이 됩니다. 이에 주민번호 법정주의에 대하여 자세히 들여다 보도록 하겠습니다.

1. 배경

개인정보보호법 주민번호 원칙적 수집금지 배경으로는 무분별한 주민번호 수집에 따른 개인정보 유출로 인하여 국민의 정신적, 경제적 피해를 안겨 주고 있고, 정보통신망법 (2012,08 개정 ) 주민번호 수집금지에 따른 법 정합성의 문제 가 대두 되었기 때문입니다. 

2. 주민등록번호 수집 법정주의

..

2014년 8월7일부터는 원칙적으로 주민번호 수집이 금지가 됩니다. 다만, 법률에 근거한 주민번호 수집은 예외로 하고 있습니다. 이것이 주민번호 수집법정주의입니다. 조금 더 자세히 한번 살펴 보도록 하지요..

                       ▲     출처: 안전행정부 개인정보보호 교육 자료 (전국 순회교육자료)

법 개정전 

개인정보보호법 개정전에는 '정보주체의 별도의 동의를 통해 주민번호를 포함한 고유식별정보 처리가 가능' 하였습니다. 여기서 말하는 법적인 고유식별정보는 '주민등록번호, 여권번호, 운전자면허번호, 외국인등록번호'를 말합니다..※ 관련근거: 법 제24조 제1항 1호, 법 제24조 1항 2호

법 개정후 (2013.08.07 공포, 시행은 공포후 1년후인 2014년8월7일 시행)

법 제24조 2를 신설합니다. 이는 주민번호에 한하여 정보주체의 동으를 얻어서 동의를 통한 수집도 금지하게 된다는 것입니다...즉, 주민등록번호 원칙적 수집 금지입니다. 단, 예외로 다음과 같은 경우에는 허용이 됩니다.

3. 법적 근거가 없는 경우에는 2년안에 파기 해야 ( 2016년 08까지)

       ▲    출처: 안전행정부 개인정보보호 교육 (전국 순회교육자료 )

그럼 지금까지 수집한 주민번호는 어떻게 해야 하고 앞으로 주민번호를 수집 할려면 어떻게 해야 하는지에 많은 궁금증을 가질 것입니다..

1)  주민번호 처리 법령이 근거가  있는가 ? 

     -> 법적인 근거에 의하여 수집 하기 때문에 현행대로 유지 하면 됩니다..

2) 주민번호 처리 법령 근거가 없는 경우?

  -> 주민번호 처리가 불가피한 경우 : 법적인 근거를 마련 하여야 합니다. 이는 개인이 근거를 마련 할 수 없으므로 관련 담당 업무를 하는 개인정보 담당자나 관련 부처에 근거를 제시하여 법적인 근거를 마련해야 겠지요. 이는 법 개정으로 이어지므로 정말 주민번호 처리가 불가피 한지에 대한 명확한 근거 제시가 필요 할 것입니다..만약 이것이 어려우면 대체 수단을 적용 해야 할 것입니다.  최근 언론에 발표된 것을 보니 '마이핀' 이라는 개인식별체계를 적용 할 것이라는 보도가 있습니다. 

-> 2년이내에 수집된 주민등록번호 대한 삭제 조치 ( 2016.08.07일까지)

※ 가끔 언론 보도나 질문시에 주민번호 수집 법정주의가 시행이 되면 기존에 수집한 주민번호를 2년내에 모두 파기조치 해야 하는것으로 오인 하는 경우나 질문이 있습니다. 이는 무조건 주민등록번호를 파기 조치 하는 것이 아닌 '법적인 근거가 없는 경우' 에만 해당이 된다는 사실을 반드시 기억 하시길 바랍니다. 

정보통신망법 개정 (2012.08)로 인하여 개인정보보호법 정합성의 문제가 대두되고 또한 무분별한 주민등록번호를 함부로 수집하여 제대로 관리가 되지 않아 유출 되었을 경우 또 다른 많은 피해를 입게 됩니다. 이에 법적으로 아예 이제는 주민등록 번호를 수집 할 수 없도록 하였기 때문에 실제 현장에서나 실무에서는 관련 근거 법령을 찾는 노력이 필요합니다..

이러한 조치들이 과연 현장에서 혹은 중소기업등에서 얼마나 이루어질지는 미지수이나 아마도 개인정보 유출에 따른 후속조치로 더욱 법적은 준수에 대한 요구 사항은 강화 될 것으로 사료가 됩니다. 공공기관은 물론이고 민간기업에서도 이제는 법에 근거하지 않은 함부로 주민등록 번호 수집은 법에 위반이 됨으로 숙지 하도록 해야 겠습니다. 개인블로그에 주민번호 수집 법정주의에 대하여 간략하게 정리 해 보았습니다.

( 글쓴이 : 안전행정부 '11,'12,'13,'14 개인정보보호 전문강사, 경성대학교 컴퓨터 공학과 외래교수 전주현)

1. 매출 3조 기업 , 정보보안과 개인정보

국내 굴지의 대기업이다. 이름을 말하면 모두 알만한 대기업이다. 그 대기업에는 그룹사별로 또 다양한 회사들이 많이 있다. 그룹사에서 한 기업만 하더라도 상당한 매출을 올리고 있다. 아무리 IT산업이 발달 하였다고 하여도 지금까지 근간이 되어 온 제조업 분야는 또 무시 못하겠다는 생각이 들었다. 그동안 IT바닥에서만 굴러 다녀서인지 이번 투어하면서 진행한 교육은 신선하고 재미 있었다.

제조업은 개인정보보호도 있지만 주로 산업보안쪽에 포커스가 맞추어져 있어 , 사내 기밀이나 영업비밀등과 같은 부분에 더 강화를 하고 있는 듯 보였다. 물론 그 제반적인 여건에서는 IT기술이 적용이 되긴 하지만 보다 큰 그림에서 보안에 대한 영역으로 자리매김 하고 있었다. 특히 물리적 보안도 굉장히 중요한 요소중에 하나였다.

2. 보안팀 권한 부여와 서포트

보안팀으로서 권한이 우선 부여 되어 있었다. 쉽게 말해 일반 중소기업처럼 컴퓨터 고장나면 수리해 달라고 하고, 프린터 고장나면 보안인력보고 다 해달라고 하는 요청을 처리하는 부서는 아니란 이야기이다. 보안에 대한 기술적 파트와 보안에 대한 관리적 파트가 나누어져 있고, 이에 대한 여러가지 권한이 부여되어 있어 체계적인 부분이 눈에 들어 왔다. 또한 업무처리를 함에 있어 다양한 서포트와 예산이 확보가 되어 있어 보안 솔루션도 대부분 구비하고 있는 상태이다. 

따라서, 보안강화가 되고 있었고, 임직원들은 어느정도 보안경계선 내에 있다는 느낌을 받았다. 단지 이것을 얼마나 효율적이고 얼마나 잘 운영할 것인가에 대한문제는 아무래도 내부적인 관심에 있겠다. 그러한 목적으로 이렇게 외부에서 초빙한 사람을 통하여 최신 보안에 대한 여러가지 현황을 전달 하려는 것이다. 그러니 교육을 하는 사람은 수 많은 날을 준비를 해서 분석하고 어렵지 않게 전달 하려는데 주목을 하게 된다. 

3.  교육시 그 회사 수준을 가늠하는 잣대는 바로 "다이어리" 준비 유무

수 많은 공공기관과 기업에 다니면서 교육을 진행해 보면 다양한 경험을 하게 된다. 그 중에 가장 인상적인 것은 아니 어쩌면 당연한 것인지도 모르는 교육시 '다이어리'를 준비하는가에 대한 점이다. 

어떤 기관은 교육시 하나같이 참여자분들이 다이어리를 지참하고 와서 중요한 것은 메모하는 모습이 보인다. 물론 교재가 준비되지 않았을때 이야기이다. 또 어느곳은 그냥 맨손으로 와서 팔짱끼고 앉아서 가만히 있다가 그냥 가는 경우도 자주 본다. 그 회사나 그 기관의 교육생 수준을 가늠하는 것은 '다이어리' 지참 유무를 가지고 판가름 할 수 있다. 

우리는 머리가 좋은 편이 아니다. 중요한 것은 메모하는 습관과 기록하는 습관이 중요하다. 이는 꼭 교육에서만 그런 것이 아니라 회의 미팅시에도 마찬가지이다. 아무것도 가지고 오지 않아서 가만히 앉아서 있는 것은 정말 기본이 안되어 있는 것이라 생각한다. 상대방과 대화시나 상대방과 가벼운 회의시에는 상대방이 하는 이야기를 잘 듣고 메모를 하는 모습을 보여주면 상대방은 자신의 말에 귀를 기울인다는 느낌을 받는다. 

마무리.

그동안 수많은 공공기관과 기업을 다니면서 정보보안에 대한 대중적 교육과 강의를 진행하였다. 그렇게 하면서 늘 생각하는 것이 누가 내 이야기를 이렇게 수백명이 들어 줄수 있을까라는 생각을 하면 언제나 소홀히 할 수 없다는 생각을 한다. 남 앞에 서는 것을 두려워 했던 시절에 비하면 일취월장한 것이다. 하지만 아직도 부족함을 느끼고 , 지식과 경험 그리고 늘 겸손함을 잃지 말고 낮은 자세로 세상을 향하여 한발한발 더 진실되게 걸어가야 겠다. 좋은 경험이었다. 

담당이신 000 대리님께서 손수 자가운전하면서 에스코트 해 주어서 불편함이 없이 무사히 마칠수 있었다. 000 대리님과 함께 근무하시는 000 대리님께도 감사드린다. 

며칠전 생활의 달인이라는 프로그램에서 어느 빵집 어르신이 이야기 한다. 

" 한 50년만 같은 것을 해봐...왜 빵이 안 맛있겠나? " 

* 에피소드 1.

여러곳에 환경에서 진행을 하다보면 다양한 에피소드들이 있다. 이번에도 있었다. 한참 교육을 진행하고 있는데 PC가 블루스크린이 뜨면서 장애가 발생되었다. 이럴경우 사람들은 잠시 술렁인다. 그러나 나는 침착하게 준비한 슬라이드를 모두 기억하고 있기 때문에 자연스럽게 이야기를 진행한다. 또는 막간을 이용하여 담당자 입장이 난처하지 않게 다른 곳에서 유사한 사례를 이야기 하면서 잠시 쉬는 타임으로 잠깐 전환하여 분위기를 환전 시킨다. 그 사이에 PC재부팅과 자료는 스크린에 다시 비친다. 교육이 끝나고 나서 담당자는 고마워 한다. 그리고 십년 감수 했다고 하고 "어떻게 그렇게 천연덕(자연)스럽게 넘어갈 수 있나요? 전 긴장되어 죽는줄 알았어요" 이 모든 것이 추억이다. 

개인정보취급(처리)방침 근거법

'정보통신망 이용촉진 및 정보보호등에 관한 법률'(이하 정보통신망법)과 개인정보보호법에 따르면 개인정보취급(처리) 방침을 공개 하도록 명시하고 있다.  

정보통신망법 제27조 2에 근거하고 있다. 이에 따르면 정보통신서비스 제공자등은 이용자의 개인정보를 취급하는 경우는 개인정보취급방침을 정하여 언제든지 쉽게 확인할 수 있도록 대통령령이 정하는 바에 따라 공개하고 그 포함하는 내용을 명시하고 있다.

개인정보보호법에서도 마찬가지이다. 개인정보처리자가 개인정보 처리방침을 수립하거나 변경하는 경우에는 정보주체가 쉽게 확인할 수 있도록 대통령령으로 정하는 방법에 따라 공개하여야 한다고 명시하고 있다. 

홈페이지에 공개된 개인정보취급(처리) 방침 공개는 형식적인 문구가 많아

법준수를 위해서는 법에 명시한 부분을 제대로 이행하고 있는지가 관건이다. 필자가 지금까지 여러 공공기관과 민간기업 그리고 문의 상담을 통하여 경험한 바에 따르면 개인정보취급(처리)방침에 대한 문구는 대부분 천편일률적으로 웹사이트에 있는 것을 그대로 차용하여 공개한 경우가 대부분이다. 특히 홈페이지 관련해서는 홈페이지 전문 제작업체에 아웃소싱(외주) 주는 경우도 많아 외주 업체에서는 그대로 베껴 쓰는 경우가 많다. 

개인정보취급(처리) 방침을 공개하는 근본적인 이유는 이용자나 정보주체의 개인정보가 어떻게 취급(처리)되는지를 알수 있는 정보주체의 권리 보장에 그 근거를 하고 있다. 보통 교육이나 심사를 나가보면 가장 많이 접할 수 있는 사례가 실제 개인취급자가 개인정보를 위탁하는 것인지 3자제공하는 것이지가 모호하여 개인정보 취급(처리) 방침에 공개하지 않는 경우가 많다.

즉, 제3자 제공임에도 불구하고 3자제공인지 인지하지 못해 개인정보취급(처리)방침에는 제3자 제공을 하고 있지 않다고 공개한 경우도 있다. 상황이 이렇다 보니 법에 공개하라는 근거만 따를뿐 실질적인 현실은 그렇지 않는 경우가 많다.

과연 개인정보취급(처리) 방침 심사제도와 PIMS, PIPL 제도와 차이점은 무엇일까?

여러가지 제도와 규제가 남발한다는 여론의 화살을 피할수 없으나 사회규범속에서 질서를 찾기 위해서는 그 시대에 변화만큼 판단 할 수 있는 근거는 새롭게 만들어져야 한다. 다양한 혼돈 속에서 질서와 규제, 그리고 기준이 없다면 세상은 아수라장이가 된다. PIMS와 PIPL이 있지만 과연 어느정도 적용을 따를지가 사실 의문이다. 그것이 관련 기관이 풀어야 할 숙제이기도 하다.  아이가 걸음마도 배우지 못했는데 아이에게 뛰어 가라고 하는 격은 아닌지 하는 생각도 해 본다. 이상적인 것이야 늘 추구하겠지만 현실은 또 현실이기 때문이다. 

그런 가운데 개인정보보호 관련 걸음마를 할 수 있는 방법은 없을까? 라고 고민하면서 검색을 하다보니 2012년도 11월에 "개인정보취급방침 심사제도 도입연구" 라는 보고서를 찾게 되었다.

개인정보_취급방침_심사제도_도입연구_최종보고서(인쇄본_PDF).pdf

그 보고서 서문에 필요성을 보면 다음과 같이 기술되어 있다.

충분히 공감하는 내용이다. 이제는 연구보고서로만 끝나는 것이 아니라 이를 위한 실행이 필요한 시점이다. 수많은 연구 보고서를 제출하지만 단순히 용역 최종 보고서 제출로만 끝나기엔 너무나 아까운 예산들이 소비가 된다. 용역발주를 받아 잘 연구해야 하는 측면도 있지만 좋은 연구자료는 현장에서 적용해야 하는 것도 바람직하겠다.

이에 개인정보보호에 대한 유출과 우려가 화두가 되고 있는 요즘 시기에 소상공인과 중소기업에서는 너무나 멀게만 느껴지는 PIMS,PIPL처럼 거창한 것 보다는 작은 걸음마 단계라 할수 있는 '개인정보취급(처리)방침 심사제도를  제도화 하여 잰걸음을 걸어 갈 수 있도록 해 보면 어떨까 하는 생각도 해 보았다. 제도라는 것은 하루 아침에 만들었다 없던 일로 하자고 하듯이 하는 것이 아니기에 사실 심사숙고해야 하는 측면이 있다. 그렇게 하기 위해서는 다양한 현실적인 대안과 현장에 목소리, 그리고 가볍고 쉽게 접근하면서 점점 역량을 키워나가는 개인정보보호 대책마련이 시급해 보인다. 

아무리 거창한 외침으로 하고 겁을주고 규제를 해도 당장 자신의 역량에 힘이 부치게 되면 결국 자포자기 형태가 되기 때문에 앞으로도 이러한 보안사건사고 이슈나 개인정보 유출에 대한 이슈는 지속적으로 발생 할 것이다. 재발 방지차원을 위해서라도 무조건 걸음마도 못하는 아이에게 일어서서 걸어가라고 하기보다는 일어설 수 있도록 더 많은 보살핌이 필요한 것이 아닌가 생각해 본다.  여러분 의견은 어떤가요? 

지난 2014 년 1차 전체 기수로는 3기로 인증심사원 교육을 수료하고 시험보고 나서 합격하여 서류 심사 통과후에 얼마전에 PIPL 인증심사원으로 선정되었다는 메일 받았습니다.

오늘 관련 기관에서 개인정보보호인증 심사원 교육 대상자를 공개 모집하고 있네요..연초에 카드사 개인정보유출로 인하여 많이 관심을 가지는 분야인만큼 지원자가 많고 경쟁률이 높다는 소리를 들었습니다.

관심 있는 분들은 지원하셔서 공공기관, 대기업, 중소기업, 소상공인 관련 개인정보보호 인식 향상에 일조 할 수 있는 인증심사원이 탄생하길 기원해 봅니다...

보다 자세한 내용은 http://www.nia.or.kr/bbs/board_view.asp?BoardID=201112021126599835&id=12587&Order=020100&search_target=&keyword=&Flag=020000&nowpage=1&objpage=0  을 참조 바랍니다. 감사합니다.

개인정보보호법이 제정된 2011년부터 2년정도 개인정보보호법과 정보통신망법에 따른 각종 특별법등을 중심으로 하여 정부에서 요구하는 수준의 개인정보보호 교육을 170여차례 공공기관과 민간에 다녔습니다. 이렇게 기회를 얻을 수 있었던 것은 (과거 행정안전부) 안전행정부 개인정보보호 전문 강사단에 위촉이 되면서 운이 좋게 기회를 많이 얻었기 때문입니다.

거듭되는 교육에 처음에는 법 위주로 교육이 진행이 되었으나 차츰 법내용이 어렵고 지루함에 따라 요구하는 사항도 조금 달라지기 시작했습니다. 즉, 맞춤형 교육을 원하는 것입니다. 그렇다보니 다음과 같은 카테고리로 나누어지게 되었습니다.

• 공공기관에 맞는 개인정보보호 (일부 정부3.0 포함 )
• 의료기관에 맞는 개인정보보호 
• 교육기관에 맞는 개인정보보호
• 복지기관에 맞는 개인정보보호