IT 위키 - 사용자 기여 [ko]

캘리포니아 소비자 프라이버시법

2022-01-28T04:43:08Z

Cppg: 새 문서: '''California Consumer Privacy Act''' 미국 캘리포니아주의 개인정보보호 일반법으로, CCRA로 강화되어 시행 예정...

'''California Consumer Privacy Act'''

미국 캘리포니아주의 개인정보보호 일반법으로, [[캘리포니아 개인정보 권리법|CCRA]]로 강화되어 시행 예정

== 추진 경과 ==

* 2018년 6월, 캘리포니아 소비자 프라이버시법(CCPA) 주 의회 통과, 2020년 1월 발효
* 2020년 7월, CPPA 시행규칙 제정 등 하위법령의 제도 정비 후 본격 시행
* 2020년 11월, 주민투표를 통해 기존 CCPA 대비 강화된 캘리포니아 개인정보 권리법(CPRA) 통과
* '''CCRA는 2023년부터 시행 예정으로, 기존 CCPA는 폐지 예정'''

== 배경 ==
미국의 각 주(州)에서도 연방법과 마찬가지로 EU GDPR이나 한국의 개인정보보호법 같은 포괄적인 일반법은 없으며, 각 분야별로 개별적 개인정보보호 법률을 규정하고 있다. 그러나 EU GDPR 제정 이후 각 주에서 일반 개인정보보호법 입법 요구 및 제정 움직임이 활발히 전개되었다.

특히 캘리포니아 주는 미국 최초로 민간 분야의 포괄적인 개인정보보호법을 도입했다. 2018년 6월 28일 캘리포니아 주는 소비자의 개인정보보호 권리와 사업체의 개인정보보호 관련 의무사항 등을 규정한 캘리포니아 주 소비자 프라이버시법(California Consumer Privacy Act of 2018, CCPA)을 채택했다. CCPA는 2018년 6월 캘리포니아 주 의회 통과 이후 경과기간을 거쳐 2020년 1월 발효되었으나, 시행규칙 제정 등 하위법령의 제도 정비를 이유로 2020년 7월 1일부터 본격적으로 시행되었다.

CCPA는 캘리포니아 민법전(California Civil Code) 제1.81.5편에 총 19개 조문을 추가하여 편제되어 있다. 동 법은 거주민들에게 소비자로서 개인정보에 대한 폭넓은 통제권을 부여하고, 사업체에게도 다양한 개인정보보호 의무를 부과하는 등 개인정보보호 일반법으로서 EU GDPR과 유사한 점이 많다. 그러나 EU GDPR과는 달리 해당 법률을 관장하는 감독기구가 따로 존재하지 않아, 소비자는 사업체의 CCPA 위반 행위에 대해 감독기구를 통한 피해 구제를 요청할 수 없다. 또한, 동 법이 캘리포니아 주 영토 밖 범위까지 적용되지 않으며, 캘리포니아 주 이외의 지역에 거주하는 캘리포니아 주민에게 적용되지 않기 때문에 EU 역외 국가에도 적용되는 EU GDPR과는 차이가 있다.

캘리포니아 주에서는 이후 2020년 11월 주민투표를 통해 기존 CCPA 대비 소비자의 권리를 확대하고 캘리포니아 개인정보 감독기구 설립 근거를 마련한 캘리포니아 개인정보보호 권리법(California Privacy Rights Act of 2020, CPRA)이 통과되었으며, 오는 2023년부터 시행될 예정이다.

== 같이 보기 ==

* [[캘리포니아 개인정보 권리법]]

[[분류:개인정보보호]]
[[분류:컴플라이언스]]

CPRA

2022-01-28T04:34:46Z

Cppg: 캘리포니아 개인정보 권리법 문서로 넘겨주기

#넘겨주기 [[캘리포니아 개인정보 권리법]]

캘리포니아 개인정보 권리법

2022-01-28T04:34:25Z

Cppg: 새 문서: '''California Privacy Rights Act''' 미국 캘리포니아주의 개인정보보호 일반법으로, 기존 CCPA 대비 강화된 후...

'''California Privacy Rights Act'''

미국 캘리포니아주의 개인정보보호 일반법으로, 기존 [[캘리포니아 소비자 프라이버시법|CCPA]] 대비 강화된 후속법

== 추진 경과 ==

* 2018년 6월, [[캘리포니아 소비자 프라이버시법|캘리포니아 소비자 프라이버시법(CCPA)]] 주 의회 통과, 2020년 1월 발효
* 2020년 7월, CPPA 시행규칙 제정 등 하위법령의 제도 정비 후 본격 시행
* 2020년 11월, 주민투표를 통해 기존 CCPA 대비 강화된 캘리포니아 개인정보 권리법(CPRA) 통과
* '''2023년부터 시행 예정'''

== 배경 ==
미국의 각 주(州)에서도 연방법과 마찬가지로 EU GDPR이나 한국의 개인정보보호법 같은 포괄적인 일반법은 없으며, 각 분야별로 개별적 개인정보보호 법률을 규정하고 있다. 그러나 EU GDPR 제정 이후 각 주에서 일반 개인정보보호법 입법 요구 및 제정 움직임이 활발히 전개되었다.

특히 캘리포니아 주는 미국 최초로 민간 분야의 포괄적인 개인정보보호법을 도입했다. 2018년 6월 28일 캘리포니아 주는 소비자의 개인정보보호 권리와 사업체의 개인정보보호 관련 의무사항 등을 규정한 캘리포니아 주 소비자 프라이버시법(California Consumer Privacy Act of 2018, CCPA)을 채택했다. CCPA는 2018년 6월 캘리포니아 주 의회 통과 이후 경과기간을 거쳐 2020년 1월 발효되었으나, 시행규칙 제정 등 하위법령의 제도 정비를 이유로 2020년 7월 1일부터 본격적으로 시행되었다.

CCPA는 캘리포니아 민법전(California Civil Code) 제1.81.5편에 총 19개 조문을 추가하여 편제되어 있다. 동 법은 거주민들에게 소비자로서 개인정보에 대한 폭넓은 통제권을 부여하고, 사업체에게도 다양한 개인정보보호 의무를 부과하는 등 개인정보보호 일반법으로서 EU GDPR과 유사한 점이 많다. 그러나 EU GDPR과는 달리 해당 법률을 관장하는 감독기구가 따로 존재하지 않아, 소비자는 사업체의 CCPA 위반 행위에 대해 감독기구를 통한 피해 구제를 요청할 수 없다. 또한, 동 법이 캘리포니아 주 영토 밖 범위까지 적용되지 않으며, 캘리포니아 주 이외의 지역에 거주하는 캘리포니아 주민에게 적용되지 않기 때문에 EU 역외 국가에도 적용되는 EU GDPR과는 차이가 있다.

캘리포니아 주에서는 이후 2020년 11월 주민투표를 통해 기존 CCPA 대비 소비자의 권리를 확대하고 캘리포니아 개인정보 감독기구 설립 근거를 마련한 캘리포니아 개인정보보호 권리법(California Privacy Rights Act of 2020, CPRA)이 통과되었으며, 오는 2023년부터 시행될 예정이다.

2023년부터 시행될 CPRA는 적용대상, 개인정보 개념 정의, 소비자 권리, 기업 의무 등에서 CCPA와 여러 차이점을 보이며, 특히 미국 내 최초로 개인정보 감독기구를 도입한 것이 특징이다.

== 주요 내용 ==
주로 CCPA 대비 변화 위주로 기술
{| class="wikitable"
!항목
!주요 내용
|-
!적용대상 축소
|소규모 사업체 중 연간 5만~10만 명의 개인정보를 관리·처리하는 사업체를 CPRA 적용대상에서 제외함으로써 영세 사업체의 법률 준수 부담 축소
|-
!민감정보 정의 규정
|개인정보 개념에서 민감정보 개념을 분리하여 새로이 정의하고 민감정보 공개 및 활용을 엄격히 제한하는 등 기업에 민감정보 관련 추가 의무 부과
|-
!GDPR 원칙 일부 도입
|GDPR상의 개인정보 처리 원칙 중 ▲개인정보 최소처리 원칙 ▲목적 제한 원칙 ▲보유기간 제한 원칙을 조문에 반영
|-
!소비자 권리 확대
|소비자에게 ▲부정확한 정보에 대한 정정 요청권 ▲자동화된 의사결정 거부권 ▲자동화된 의사결정에 대한 알 권리 ▲민감정보 공유 및 사용 거부권 등을 추가적으로 부여
|-
!기업의 의무 강화
|사업체에게 ▲개인정보보호 의무 등을 명시한 계약 작성 의무화 ▲기업의 보안 절차 등을 합리적으로 구현하여 개인정보를 보호하는 보안책임을 부담하는 등 기업 의무 강화
|-
!개인정보 감독기구 설립
|미국 최초의 개인정보 감독기구인 캘리포니아 개인정보 감독기구(California Privacy Protection Agency) 창설을 위한 근거조항이 신설되어, 감독기구가 동 법을 위반한 사업체, 서비스 제공업체, 계약업체, 개인 등에 대해 각 위반 당 행정벌금을 부과할 근거를 마련
|}

== 참고 문헌 ==

* 개인정보보호위원회 - 국가별 정보 - 미국

마이데이터

2021-12-30T07:45:41Z

Cppg:

[[분류:데이터 과학]]

;MyData; Midata; 본인신용정보관리업
;정보주체의 개인정보의 자기결정권을 보장하여, 서비스 제공자들이 보유한 개인정보를 개인이 다운받거나 전송을 지시하여 자신의 데이터를 통합하여 분석하거나 판매하는 등 개인이 자유롭게 사용가능할 수 있도록 하는 개념

*마이데이터 사업자는 이렇게 개인이 통합해 놓은 데이터, 개인이 전송을 지시하여 받은 데이터를 기반으로 서비스를 제공하는 사업자
*ex) 은행, 보험사들로부터 정보를 전송받아 재무 분석 관리 서비스 제공

==출현 배경==

*'''(데이터 경제 활성화)''': 개인정보 동의 기반으로 신규 데이터 기반 서비스 창출 지원
*'''(데이터 자기결정권)''': 정보주체가 본인의 데이터에 온전한 자기통제권을 가지는 패러다임
*'''(개인정보 보호)''': 기존 유사 서비스 모델에서 사용하는 스크래핑 방식의 위험성
*'''(해외 유사 모델 등장)''': 영국의 midata, EU의 GDPR 및 PSD2 등의 선행사례 등장

== [[마이데이터 발전 단계]] ==

==국내 추진 현황==

=== [[마이데이터/부처별 추진 현황|부처별 추진 현황]] ===

=== [[마이데이터/인허가 현황|사업자 인가 현황]] ===

==기반 기술==

*인증
**[[분산 ID]]
**[[OAuth]]
**[[JWT]]
*데이터 가공
**[[데이터 마이닝]]
**[[협업 필터링]]
**[[메타 데이터]]
**[[데이터 표준화]]
*전송 및 보안 기술
**[[REST API]]
**[[TLS(SSL)]]
**[[전자서명]]

정부 조직 영어 명칭

2021-11-26T07:02:25Z

Cppg: 새 문서: {| class="wikitable" !'''연번''' !'''기관명(약칭)''' !'''영어 명칭''' !'''영어 약칭''' |- |1 |기획재정부 (기재부) |Ministry of Economy and Finance |MOEF |- |2...

{| class="wikitable"
!'''연번'''
!'''기관명(약칭)'''
!'''영어 명칭'''
!'''영어 약칭'''
|-
|1
|기획재정부

(기재부)
|Ministry of Economy and Finance
|MOEF
|-
|2
|교육부
|Ministry of Education
|MOE
|-
|3
|과학기술정보통신부

(과기정통부)
|Ministry of Science and ICT
|MSIT
|-
|4
|외교부
|Ministry of Foreign Affairs
|MOFA
|-
|5
|통일부
|Ministry of Unification
|MOU
|-
|6
|법무부
|Ministry of Justice
|MOJ
|-
|7
|국방부
|Ministry of National Defense
|MND
|-
|8
|행정안전부

(행안부)
|Ministry of the Interior and Safety
|MOIS
|-
|9
|문화체육관광부

(문체부)
|Ministry of Culture, Sports and Tourism
|MCST
|-
|10
|농림축산식품부

(농식품부)
|Ministry of Agriculture, Food and Rural Affairs
|MAFRA
|-
|11
|산업통상자원부

(산업부)
|Ministry of Trade, Industry and Energy
|MOTIE
|-
|12
|보건복지부

(복지부)
|Ministry of Health and Welfare
|MOHW
|-
|13
|환경부
|Ministry of Environment
|ME
|-
|14
|고용노동부

(고용부)
|Ministry of Employment and Labor
|MOEL
|-
|15
|여성가족부

(여가부)
|Ministry of Gender Equality and Family
|MOGEF
|-
|16
|국토교통부

(국토부)
|Ministry of Land, Infrastructure and Transport
|MOLIT
|-
|17
|해양수산부

(해수부)
|Ministry of Oceans and Fisheries
|MOF
|-
|18
|중소벤처기업부

(중기부)
|Ministry of SMEs and Startups
|MSS
|-
|19
|국가보훈처

(보훈처)
|Ministry of Patriots and Veterans Affairs
|MPVA
|-
|20
|인사혁신처

(인사처)
|Ministry of Personnel Management
|MPM
|-
|21
|법제처
|Ministry of Government Legislation
|MOLEG
|-
|22
|식품의약품안전처

(식약처)
|Ministry of Food and Drug Safety
|MFDS
|-
|23
|국세청
|National Tax Service
|NTS
|-
|24
|관세청
|Korea Customs Service
|KCS
|-
|25
|조달청
|Public Procurement Service
|PPS
|-
|26
|통계청
|Statistics Korea
|KOSTAT
|-
|27
|대검찰청
|Supreme Prosecutors' Office
|SPO
|-
|28
|병무청
|Military Manpower Administration
|MMA
|-
|29
|방위사업청

(방사청)
|Defense Acquisition Program Administration
|DAPA
|-
|30
|경찰청
|National Police Agency
|NPA
|-
|31
|소방청
|National Fire Agency
|NFA
|-
|32
|문화재청
|Cultural Heritage Administration
|CHA
|-
|33
|농촌진흥청

(농진청)
|Rural Development Administration
|RDA
|-
|34
|산림청
|Korea Forest Service
|KFS
|-
|35
|특허청
|Korean Intellectual Property Office
|KIPO
|-
|36
|질병관리청

(질병청)
|Korea Disease Control and Prevention Agency
|KDCA
|-
|37
|기상청
|Korea Meteorological Administration
|KMA
|-
|38
|행정중심복합도시건설청

(행복청)
|National Agency for Administrative City Construction
|NAACC
|-
|39
|새만금개발청

(새만금청)
|Saemangeum Development and Investment Agency
|SDIA
|-
|40
|해양경찰청

(해경청)
|Korea Coast Guard
|KCG
|-
|41
|방송통신위원회

(방통위)
|Korea Communications Commission
|KCC
|-
|42
|공정거래위원회

(공정위)
|Korea Fair Trade Commission
|KFTC
|-
|43
|금융위원회

(금융위)
|Financial Services Commission
|FSC
|-
|44
|국민권익위원회

(국민권익위)
|Anti-corruption & Civil Rights Commission
|ACRC
|-
|45
|원자력안전위원회

(원안위)
|Nuclear Safety and Security Commission
|NSSC
|-
|46
|개인정보보호위원회

(개인정보위)
|Personal Information Protection Commission
|PIPC
|-
|47
|대통령비서실
|Office of the President
|<nowiki>-</nowiki>
|-
|48
|국가안보실
|Office of National Security
|ONS
|-
|49
|대통령경호처

(경호처)
|Presidential Security Service
|PSS
|-
|50
|감사원
|Board of Audit and Inspection
|BAI
|-
|51
|국가정보원

(국정원)
|National Intelligence Service
|NIS
|-
|52
|국무조정실

(국조실)
|Office for Government Policy Coordination
|OPC
|-
|53
|국무총리비서실

(총리비서실)
|Prime Minister's Secretariat
|PMS
|-
|54
|고위공직자범죄수사처

(공수처)
|Corruption Investigation Office for High-ranking Officials
|CIO
|-
|55
|국가인권위원회

(인권위)
|National Human Rights Commission
|NHRC
|}
[[분류:거버넌스]]

데이터 전송 프로젝트

2021-11-24T02:14:05Z

Cppg:

'''Data Transfer Project; DTP'''

대형 플랫폼 기업 등에서 개인 정보를 다른 플랫폼으로 쉽게 이동시킬 수 있도록 구조화된 형태로 제공하는 프로젝트

* 서비스 간 데이터 이식성 플랫폼을 만들기 위해 2018년에 민간 자율적으로 시작
* '''취지'''
** 데이터의 이동성과 상호운용성이 혁신의 핵심
** 개인이 서비스를 자유롭게 이동하고 더 쉽게 선택하게 함으로써 경쟁 촉진

==참여 기업==
페이스북(Facebook), 구글(Google), 트위터(Twitter), 마이크로소프트(Microsoft), 애플(Apple) 등

==개요==

*데이터 전송 프로젝트는 ‘데이터 이동성(data portability)’을 목적으로 하는 오픈소스 플랫폼
*연락처 등의 개인 정보를 한 서비스에서 다른 서비스로 편리하게 이동시키는데 초점

== 참여자 ==
'''파트너'''

* DTP 백서에 설명된 원칙과 모범 사례를 따르고 DTP 노력에 기여하고 어댑터를 추가 및 유지 관리하는 데 전념하여 DTP에 참여하는 데 동의하는 기업
* DTP 웹사이트에 로고가 있으며 대외적으로 DTP에 참여함을 천명

'''공급자'''

* 자체 어댑터 또는 공용 API를 활용하여 프로젝트 통합
* 공급자 API 조건에 따라 데이터가 오갈 수 있음

'''기고자'''

* 오픈 소스 프로젝트로서 누구나 DTP 코드베이스를 구성하는 코드 저장소에 기여 가능

'''[[사고 리더십]](아이디어 제공자)'''

* DTP 토론, Slack 등으로 참여하는 비즈니스 리더, 연구자, 일반 사용자 등

== 공식 홈페이지 및 자료 ==

* [https://datatransferproject.dev/ 데이터 전송 프로젝트]
* [https://github.com/google/data-transfer-project 공식 깃허브]
* [https://datatransferproject.dev/dtp-overview.pdf 데이터 전송 프로젝트 백서]

==같이 보기==

*[[마이데이터]]

데이터 전송 프로젝트

2021-11-23T07:35:38Z

Cppg: 새 문서: '''Data Transfer Project; DTP''' 대형 플랫폼 기업 등에서 개인 정보를 다른 플랫폼으로 쉽게 이동시킬 수 있도록 구조화된 형태로 제공하는 프...

'''Data Transfer Project; DTP'''

대형 플랫폼 기업 등에서 개인 정보를 다른 플랫폼으로 쉽게 이동시킬 수 있도록 구조화된 형태로 제공하는 프로젝트

== 참여 기업 ==
페이스북(Facebook), 구글(Google), 트위터(Twitter), 마이크로소프트(Microsoft) 등

== 개요 ==

* 데이터 전송 프로젝트는 ‘데이터 이동성(data portability)’을 목적으로 하는 오픈소스 플랫폼
* 연락처 등의 개인 정보를 한 서비스에서 다른 서비스로 편리하게 이동시키는데 초점

== 같이 보기 ==

* [[마이데이터]]

블루 버튼

2021-11-22T10:01:43Z

Cppg: 새 문서: == 블루 버튼 운동 == 블루 버튼은 강제성을 가진 제도가 아닌 자율적인 참여를 요하는 운동임 [https://www.healthit.gov/topic/health-it-initiatives/blue...

== 블루 버튼 운동 ==
블루 버튼은 강제성을 가진 제도가 아닌 자율적인 참여를 요하는 운동임

[https://www.healthit.gov/topic/health-it-initiatives/blue-button/join-the-blue-button-movement HealthIT.gov에서 설명하는 블루 버튼 운동]

== 블루 버튼 앱 ==
[https://www.medicare.gov/manage-your-health/medicares-blue-button-blue-button-20/blue-button-apps Medicare.gov에서 제공하는 블루 버튼 앱 리스트]

== 참고 문헌 ==

* [http://www.kmdianews.com/news/articleView.html?idxno=23131 Blue Button, 소비자 자신의 의료정보를 확보할 수 있는 도구(의료기기뉴스라인, 18.3.19)]

개인정보 이전

2021-11-07T09:48:24Z

Cppg:

;본 문서에선 국내법을 기준으로 개인정보 제3자 제공, 개인정보 업무 위탁, 영업 양도에 의한 개인정보 이전 등을 다룹니다.
;* [[개인정보 제공]]
;* [[개인정보 위수탁]]
;* [[개인정보 국외 이전]]

==제3자 제공과 위탁의 구분==

*제3자 제공 : 정보주체와 개인정보처리자 간 계약과 직접적으로 관련이 없는 서비스 제공을 위한 경우
*:ex) 자동차 보험 가입시 생명보험 텔레마케팅을 위한 정보 제공
*업무 위탁 : 정보주체와 개인정보처리자 간 계약 내용을 이행하기 위한 사무 처리 위탁
*:ex) 자동차 보험 가입시 긴급출동 등 접수처리를 위한 전화응대 위탁

==개인정보의 제3자 제공==

;개인정보를 제3자에게 제공하는 경우 다음 내용을 고지하고 동의를 받아야 한다.

#개인정보를 제공받는 자
#개인정보의 수집·이용 목적
#수집하려는 개인정보의 항목
#개인정보의 보유 및 이용 기간
#동의를 거부할 수 있는 권리. 거부할 경우의 불이익

==개인정보의 업무 위탁==

;개인정보 처리업무(수집·보관·처리·이용·제공·관리·파기 등)를 위탁하는 경우 다음과 같은 방법으로 공개하여야 한다.

#'''위탁자의 홈페이지(주로 개인정보처리방침)'''
#:홈페이지에 기재할 수 없는 경우 아래 중 하나의 방법으로 한다.
#위탁자의 사업장 등 보기 쉬운 장소에 게시
#관보, 인터넷신문, 사업장이 위치한 지역에 배포되는 일간지, 주간지
#연 2회이상 정보주체에게 배포하는 간행물·소식지·청구서 등
#위탁자와 정보주체간 계약서

;위탁계약 시 다음의 사항이 포함된 문서에 의하여야 한다.

#위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항
#개인정보의 기술적·관리적 보호조치에 관한 사항
#위탁하는 사무의 목적 및 범위
#재위탁 제한에 관한 사항
#개인정보 안전성 확보조치에 관한 사항
#개인정보수탁자의 교육에 관한 사항
#수탁자자의 의무를 위반한 경우 손해배상 등에 관한 사항

==영업양도 등에 따른 개인정보의 이전==

;영업 양도·합병 등에 따라 개인정보가 이전되는 경우 아래의 사항을 정보주체에게 알려야 한다.

#개인정보를 이전하려는 사실
#개인정보는 이전받는 자의 성명(명칭), 주소, 연락처
#정보 이전을 원하지 않는 경우 조치할 수 있는 방법
#*양도자가 알리지 않은 경우, 양수자가 이전 받은 즉시 알려야 한다.
#*양수자는 이전 당시의 목적대로만 사용 가능하며, 제3자 제공도 마찬가지다.

[[분류:보안]]
[[분류:컴플라이언스]]
[[분류:개인정보보호‏‎]]
[[분류:정보보안기사]]

개인정보 비식별조치 가이드라인

2021-11-07T09:32:30Z

Cppg: 개인정보 비식별 조치 가이드라인 문서로 넘겨주기

#넘겨주기 [[개인정보 비식별 조치 가이드라인]]

개인정보 비식별 조치 가이드라인

2021-11-07T09:32:13Z

Cppg:

[[분류:개인정보보호]][[분류:컴플라이언스]]
;비식별 조치 기준 및 지원·관리체계 안내
* 국무조정실, 행정자치부, 방송통신위원회, 금융위원회, 미래창조과학부, 보건복지부 공동 발행
* '''현재 [[데이터 3법]] 개정으로 폐지'''

== 추진 배경 ==
* 정부 3.0 및 빅데이터 활용 확산에 따른 데이터 활용가치 증대
* 개인정보 보호 강화에 대한 사회적 요구 지속
* '보호와 활용'을 동시에 모색하는 세계적 정책변화에 적극 대응

== 주요 내용 ==
* 개인정보 비식별조치의 개념과 기법
* 개인정보 비식별조치 적정성 평가 방법 및 절차
* 정보집합물 결합 등에 관한 절차
* 비식별조치 및 결합 관련 활용 예시와 국내외 동향

== 목차 ==
* 추진 배경
* 비식별 조치 기준
** 1. 조치 개요
** 2. 단계별 조치 기준
* 지원 및 관리체계
** 1. 개인정보 비식별 조치 지원
** 2. 전문기관을 통한 기업 간 정보집합물 결합 지원
** 3. 재식별 시 법적 제재
* 참고 1. 비식별 정보의 산업적 활용(예시)
* 참고 2. 국내외 동향
* 참고 3. 개인정보 비식별 조치 방법
* 참고 4. 비식별 조치 적정성 평가단 세부 평가수행 방법
* 부록 1. 개인정보 보호 관련 법령 통합 해설서
* 부록 2. 질의 및 응답(Q&A)

== 단계별 조치사항 ==
[[파일:비식별 조치 및 사후관리 절차.png]]
# '''사전 검토'''
#* 개인정보에 해당하는지 여부를 검토 후, 개인정보가 아닌 것이 명백한 경우 법적 규제 없이 자유롭게 활용
# '''비식별 조치'''
#* 정보집합물(데이터 셋)에서 개인을 식별할 수 있는 요소를 전부 또는 일부 삭제하거나 대체하는 등의 방법을 활용, 개인을 알아볼 수 없도록 하는 조치
# '''적정성 평가'''
#* 다른 정보와 쉽게 결합하여 개인을 식별할 수 있는지를 「비식별 조치 적정성 평가단」을 통해 평가
# '''사후관리'''
#* 비식별 정보 안전조치, 재식별 가능성 모니터링 등 비식별 정보 활용 과정에서 재식별 방지를 위해 필요한 조치 수행

== 같이 보기 ==
* [[개인정보 비식별]]

DPO

2021-10-19T08:05:10Z

Cppg: 새 문서: '''Data Protection Officer''' == DPO 지정 의무 == 컨트롤러와 프로세서는 자유로이 DPO를 지정할 수 있으나, 다음 중 하나의 경우에는 반드시 DPO를...

'''Data Protection Officer'''

== DPO 지정 의무 ==
컨트롤러와 프로세서는 자유로이 DPO를 지정할 수 있으나, 다음 중 하나의 경우에는 반드시 DPO를 지정하여야 한다.

* 정부부처 또는 관련기관의 경우(사법적 권한을 행사하는 법원은 예외)
* 컨트롤러 또는 프로세서의 ‘핵심 활동’이 다음 중 하나에 해당되는 경우
** ① 정보주체에 대한 ‘대규모’의 ‘정기적이고 체계적인 모니터링’
** ② 민감정보나 범죄정보에 대한 ‘대규모’의 처리

== DPO의 업무 ==
DPO는 다음과 같은 업무를 수행하여야 한다(제39조).

* ① 컨트롤러와 프로세서 및 임직원에게 GDPR과 다른 개인정보 보호법규 준수 의무 에 대하여 알리고 자문
* ② 내부 정보보호 활동 관리 등 GDPR 및 다른 개인정보 보호법규 이행 상황 모니터링
* ③ 컨트롤러 또는 프로세서에게 정보 제공, 조언 및 권고 사항 제시
* ④ 개인정보 영향평가에 대한 자문 및 평가 이행 감시

DPO의 역할과 상세 업무를 정리하면 다음과 같다
{| class="wikitable"
!DPO의 역할
!DPO 상세 업무
|-
|GDPR 준수 여부에 대한 모니터링
|
* 처리 활동을 식별하기 위한 정보 수집
* 처리 활동에 대한 준수 여부 확인 및 분석
* 컨트롤러 또는 프로세서 대상으로 조언, 자문 제공
|-
|개인정보 영향평가에 대한 역할
|
* 개인정보 영향평가 수행 여부 검토
* 개인정보 영향평가 수행을 위한 방법론 검토
* 개인정보 영향평가의 자체수행 혹은 아웃소싱 여부 검토
* 정보주체의 권리와 이익에 대한 위험 완화를 위한 보호 조치 검토
* 개인정보 영향평가의 적절한 수행 여부 및 평가 과정의 GDPR 준수 여부
|}

== DPO의 자질 ==
DPO는 제39조에 명시된 업무를 수행할 수 있는 능력을 바탕으로 지정되어야 한다(제37조제5항). 필요한 전문 지식의 수준은 DPO가 수행하는 처리 작업과 보호 수준에 따라 결정되어야 하며, 이는 다음과 같이 제시할 수 있다.

* ① GDPR에 대한 심도 있는 이해 및 자국과 EU 개인정보보호 법률, 관행에 대한 전문 지식
* ② 개인정보 처리 작업에 대한 이해
* ③ 정보 기술 및 보안에 대한 이해
* ④ 기업 및 조직에 대한 지식 ⑤ 조직 내에서 개인정보보호 문화를 활성화할 수 있는 능력

GDPR은 DPO에게 요구되는 전문지식의 수준을 엄격하게 정의하지는 않는다. 하지만 조직이 처리하는 개인정보의 민감성, 복잡성 및 규모에 상응해야 한다. 예를 들어, 개인 정보 처리 활동이 특히 복잡하거나 민감한 개인정보가 대량으로 포함되어 있다면, 더 높은 수준의 전문지식이 DPO에게 요구될 수 있다. 또한 조직이 체계적으로 유럽연합 밖으로 개인정보를 이전하는지 혹은 이러한 이전이 가끔씩 일어나는지 여부에 따라 차이가 있을 수 있다.

GDPR이 DPO의 자질에 대하여 구체적으로 명시하고 있지 않는 반면, WP29의 가이 드라인53은 DPO의 전문성(expertise)과 기량(skill)을 다음과 같이 제시하고 있다.

* 1) 전문 지식 수준(level of expertise)
** 조직에서 처리하는 데이터의 민감도, 복잡성 및 데이터의 양에 따라 적합한 전문성을 갖추어야 한다. 예를 들어, 데이터 처리 활동이 특히 복잡하거나 많은 양의 민감한 데 이터의 처리와 관련된 기업 및 기관의 DPO는 더 높은 수준의 전문 지식이 요구된다.
* 2) 전문적 자질(professional qualities)
** DPO는 자국의 개인정보보호법을 포함하여 유럽 데이터 보호법 및 관행에 대한 전문 지식과 더불어 GDPR에 대한 깊은 이해가 요구된다. 또한 DPO는 수행된 처리 작업뿐 만 아니라 정보 시스템, 컨트롤러의 데이터 보안 및 데이터 보호 요구 사항에 대한 충 분한 지식이 필요하며, 공공기관의 DPO는 조직의 행정 규칙 및 절차에 대한 올바른 지식이 추가적으로 수반되어야 한다.
* 3) 작업 수행 능력(ability to fulfill its tasks)
** DPO는 데이터 보호 처리 능력 등의 전문적 자질과 지식뿐만 아니라 개인의 청렴함과 높은 수준의 직업윤리를 갖추어야 한다. 이를 통하여 조직 내 문화와 GDPR의 필수 요소를 구현하는 기반을 형성하는 데 앞장설 수 있어야 한다.

== DPO의 지위 ==
GDPR은 DPO가 개인정보보호와 관련된 모든 문제에 시기적절하게 관여할 수 있도록 보장하여야 한다고 규정한다(제38조). 따라서 기업은 DPO가 개인정보보호와 관련한 의견 수렴과 결정에 참여할 수 있도록 보장하고 업무 수행과 전문 지식 보유에 필요한 자원을 제공받을 수 있도록 지원하여야 한다. 개인정보 처리 작업과 활동의 특성 및 조직의 규모에 따라 다음과 같은 자원이 DPO에 제공되어야 한다.

* ① DPO 업무 이행에 대한 고위급 경영진의 적극적 지원
* ② DPO가 자신의 업무를 완수하는 데 필요한 충분한 시간
* ③ 필요할 경우 재정적 자원, 인프라(장소·시설·장비), 구성원의 적절한 지원
* ④ DPO 지정에 대하여 모든 임직원에게 공식적으로 공지
* ⑤ DPO가 조직 내 서비스에 접근할 수 있도록 하여, 해당 서비스로부터 필수적인 지 원·정보 등을 받을 수 있도록 조치
* ⑥ DPO의 지속적인 훈련

=== DPO 고용주의 의무 ===
고용주는 DPO에 대하여 다음과 같은 의무가 있다.

* ① DPO가 기업 조직의 최고 경영층, 즉 이사회에 보고할 수 있도록 할 것
* ② DPO가 독립적으로 임무를 수행할 수 있도록 하며, 그 임무 수행으로 해고나 불이 익을 당하지 않도록 할 것
* ③ DPO가 GDPR의 의무를 이행하기 위하여 필요한 자원을 제공할 것

=== 안전장치 ===
DPO가 독립적으로 자신의 과업을 수행하기 위하여 다음의 안전장치가 제38조제3항 과 6항에 마련되어 있다.

* ① DPO의 과업 수행과 관련하여 컨트롤러나 프로세서의 지시를 받지 않음
* ② DPO 과업의 성과에 대해 컨트롤러가 해고나 처벌할 수 없음
* ③ DPO 업무 이외의 과업 및 책무와 이해 충돌이 없도록 보장

== DPO의 책임 여부 ==
DPO는 GDPR을 준수하지 않는 데 대하여 개인적인 책임을 지지 않는다. GDPR은 DPO가 아니라 컨트롤러 또는 프로세서가 GDPR을 준수하여 개인정보를 처 리하였다는 것을 보장하고, 이를 입증할 수 있는 적절한 기술적·관리적 조치를 이행하 여야 한다고 규정하고 있다.<ref>제29조 작업반, The Guidelines on Data Protection Officer, 2017. 04. 05., p.4.</ref> 즉, GDPR 준수는 컨트롤러나 프로세서의 책임이다.

== 관련 법적 근거 ==

* 제37조(DPO의 지정)
* 제38조(DPO의 지위)
* 제39조(DPO의 업무)
* 전문 제97항
* Guidelines on Data Protection Officers(DPO) 2016, WP29(EDPB 승인)

== 같이 보기 ==

* [[개인정보 보호책임자]]

== 참고 문헌 ==

* 우리 기업을 위한 EU일반개인정보보호법 가이드북

개인정보 보호법제

2021-08-24T05:44:31Z

Cppg:

{| class="wikitable"
!
!구분
!개보법

안전성 확보조치 기준
!개보법

기술적 관리적 보호조치 기준
!신용정보업 감독규정

[별표3] 기술적·물리적·관리적 보호조치 기준
|-
!
!내부관리계획
|
|
|
|-
!
!권한 관리
|
* 접근 권한을 최소 인원에게만 차등 부여<ref>'''제5조(접근 권한의 관리)''' ① 개인정보처리자는 개인정보처리시스템에 대한 접근 권한을 업무 수행에 필요한 최소한의 범위로 업무 담당자에 따라 차등 부여하여야 한다.</ref>
* 인사 변동 발생 시 지체없이 권한 변경<ref>'''제5조(접근 권한의 관리)''' ② 개인정보처리자는 전보 또는 퇴직 등 인사이동이 발생하여 개인정보취급자가 변경되었을 경우 지체없이 개인정보처리시스템의 접근 권한을 변경 또는 말소하여야 한다.</ref>
* 권한 관리 기록 3년 이상 보관<ref>'''제5조(접근 권한의 관리)''' ③ 개인정보처리자는 제1항 및 제2항에 의한 권한 부여, 변경 또는 말소에 대한 내역을 기록하고, 그 기록을 최소 3년간 보관하여야 한다.</ref>
|
|
*접근 권한을 최소 인원에게만 부여<ref>'''1. 접근통제''' ① 신용정보회사등은 개인신용정보를 처리할 수 있도록 체계적으로 구성한 전산시스템(이하 “개인신용정보처리시스템”이라 한다)에 대한 접근권한을 서비스제공을 위하여 필요한 최소한의 인원에게만 부여한다.</ref>
*인사 변동 발생 시 지체없이 권한 변경<ref>'''1. 접근통제''' ② 신용정보회사등은 전보 또는 퇴직 등 인사이동이 발생하여 신용정보회사등의 지휘ㆍ감독을 받아 개인신용정보를 처리하는 업무를 담당하는 자(이하 “개인신용정보취급자”라 한다)가 변경되었을 경우 지체 없이 개인신용정보처리시스템의 접근권한을 변경 또는 말소한다.</ref>
*권한 관리 기록 3년 이상 보관<ref>'''1. 접근통제''' ③ 신용정보회사등은 제1항 및 제2항에 따른 권한 부여, 변경 또는 말소에 대한 내역을 기록하고, 그 기록을 최소 3년간 보관한다.</ref>
|-
!
!접근 통제
|
|
|
*[[방화벽]], [[침입탐지시스템]] 설치<ref>'''1. 접근통제''' ④ 신용정보회사등은 개인신용정보처리시스템에 침입차단시스템과 침입탐지시스템을 설치하여 보호한다.</ref>
|-
!
!
|
|
|
*취급자 비밀번호 작성규칙 수립<ref>'''1. 접근통제''' ⑤ 신용정보회사등은 개인신용정보주체 및 개인신용정보취급자가 생일, 주민등록번호, 전화번호 등 추측하기 쉬운 숫자를 비밀번호로 이용하지 않도록 비밀번호 작성규칙을 수립하고 이행한다.</ref>
*취급자 PC 설정<ref>'''1. 접근통제''' ⑥ 신용정보회사등은 취급 중인 개인신용정보가 인터넷 홈페이지, P2P, 공유설정 등을 통하여 열람 권한이 없는 자에게 공개되지 않도록 개인신용정보처리시스템 및 개인신용정보취급자의 PC를 설정한다.</ref>
*업무 설비와 외부 위탁 설비 구분<ref>'''1. 접근통제''' ⑦ 신용정보회사등은 제휴, 위탁 또는 외부주문에 의한 개인신용정보처리시스템, 신용평가모형 또는 위험관리모형 개발업무에 사용되는 업무장소 및 전산설비는 내부 업무용과 분리하여 설치ㆍ운영한다. </ref>
*외부 사용자 시스템 접근권한 최소화 등<ref name=":2">'''1. 접근통제''' ⑧ 신용정보회사등은 업무목적을 위하여 불가피한 경우에만 외부사용자에게 개인신용정보처리시스템에 대한 최소한의 접근권한을 부여하고, 권한 부여에 관한 기록을 3년 이상 보관하는 등 적절한 통제시스템을 갖추어야 한다.</ref>
*외부 사용자 접근권한 기록 3년 이상 보관<ref name=":2" />
|-
!
!접속기록 위변조방지
|
|
|
*접속기록 월 1회 이상 확인·감독<ref>'''2. 접속기록의 위ㆍ변조방지''' ① 신용정보회사등은 개인신용정보취급자가 개인신용정보처리시스템에 접속하여 개인신용정보를 처리한 경우에는 처리일시, 처리내역 등 접속기록을 저장하고 이를 월 1회 이상 정기적으로 확인ㆍ감독한다. </ref>
*접속기록 1년 이상 저장<ref name=":0">'''2. 접속기록의 위ㆍ변조방지''' ② 신용정보회사등은 개인신용정보처리시스템의 접속기록을 1년 이상 저장하고, 위ㆍ변조되지 않도록 별도 저장장치에 백업 보관한다.</ref>
*위변조 방지, 별도 장치 백업 보관<ref name=":0" />
|-
!
!개인정보 암호화
|
|
|
*인증정보 암호화, 조회 금지<ref name=":1">'''3. 개인신용정보의 암호화''' ① 신용정보회사등은 비밀번호, 생체인식정보 등 본인임을 인증하는 정보는 암호화하여 저장하며, 이는 조회할 수 없도록 하여야 한다. 다만, 조회가 불가피하다고 인정되는 경우에는 그 조회사유ㆍ내용 등을 기록ㆍ관리하여야 한다.</ref>
*조회가 불가피한 경우 조회 기록 등<ref name=":1" />
*전송 시 보안서버 구축 등 암호화<ref>'''3. 개인신용정보의 암호화''' ② 신용정보회사등은 정보통신망을 통해 개인신용정보 및 인증정보를 송ㆍ수신할 때에는 보안서버 구축 등의 조치를 통해 이를 암호화해야 한다. 보안서버는 다음 각 호의 어느 하나의 기능을 갖추어야 한다.

1. 웹서버에 SSL(Secure Socket Layer) 인증서를 설치하여 개인신용정보를 암호화하여 송ㆍ수신하는 기능

2. 웹서버에 암호화 응용프로그램을 설치하여 개인신용정보를 암호화하여 송ㆍ수신하는 기능</ref>
*PC 저장 시 암호화<ref>'''3. 개인신용정보의 암호화''' ③ 신용정보회사등은 개인신용정보를 PC에 저장할 때에는 이를 암호화해야 한다.</ref>
*개인식별정보 암호화 등<ref>'''3. 개인신용정보의 암호화''' ④ 신용정보회사등은 다음 각 호의 기준에 따라 개인식별정보의 암호화 등의 조치를 취하여야 한다.

1. 정보통신망을 통하여 송수신하거나 보조저장매체를 통하여 전달하는 경우에는 암호화하여야 한다.

2. 인터넷 구간 및 인터넷 구간과 내부망의 중간 지점(DMZ : Demilitarized Zone) 에 저장할 때에는 암호화하여야 한다.

3. 신용정보회사등이 내부망에 개인식별정보를 저장하는 경우에는 암호화하여야 한다. 다만, 영 제2조 제2항 각 호의 정보 중 주민등록번호 외의 정보를 저장하는 경우에는 다음 각 목의 기준에 따라 암호화의 적용여부 및 적용범위를 정하여 시행할 수 있다.

가. 「개인정보 보호법」 제33조에 따른 개인정보 영향평가의 대상이 되는 공공기관의 경우에는 해당 개인정보 영향평가의 결과

나. 그 밖의 신용정보회사등의 경우에는 개인신용정보처리시스템에 적용되고 있는 개인신용정보 보호를 위한 수단과 개인신용정보 유출시 신용정보주체의 권익을 해할 가능성 및 그 위험의 정도를 분석한 결과

4. 업무용 컴퓨터 또는 모바일 기기에 저장하여 관리하는 경우에는 상용 암호화 소프트웨어 또는 안전한 알고리즘을 사용하여 암호화하여야 한다.</ref><ref>'''3. 개인신용정보의 암호화''' ⑤ 신용정보집중기관과 개인신용평가회사, 개인사업자신용평가회사, 기업신용조회회사(기업정보조회업무만 하는 기업신용조회회사는 제외한다)가 서로 개인식별번호를 제공하는 경우에는 상용 암호화 소프트웨어 또는 안전한 알고리즘을 사용하여 암호화하여야 한다.</ref><ref>'''3. 개인신용정보의 암호화''' ⑥ 신용정보회사등이 개인신용정보의 처리를 위탁하는 경우 개인식별번호를 암호화하여 수탁자에게 제공하여야 한다.</ref>
|-
!
!악성 프로그램 방지
|
|
|
*처리시스템 백신 설치<ref name=":3">'''4. 컴퓨터바이러스 방지''' ① 신용정보회사등은 개인신용정보처리시스템 및 개인신용정보취급자가 개인신용정보 처리에 이용하는 정보처리기기에 컴퓨터바이러스, 스파이웨어 등 악성프로그램의 침투 여부를 항시 점검ㆍ치료할 수 있도록 백신소프트웨어를 설치한다.</ref>
*취급자 단말 백신 설치<ref name=":3" />
*백신 소프트웨어 월 1회 갱신·점검<ref name=":4">'''4. 컴퓨터바이러스 방지''' ② 제1항에 따른 백신 소프트웨어는 월 1회 이상 주기적으로 갱신ㆍ점검하고, 바이러스 경보가 발령된 경우 및 백신 소프트웨어 제작 업체에서 업데이트 공지를 한 경우에는 즉시 최신 소프트웨어로 갱신ㆍ점검한다.</ref>
*업데이트 즉시 반영<ref name=":4" />
|-
!
!물리적 접근 방지
|
|
|
|-
!
!출력·복사 보호조치
|
|
|
|-
!
!표시 제한 보호조치
|
|
|
|-
!
!제재기준 마련
|
|
|
|}

==각주==
<references />

개인정보 보호법제

2021-08-24T02:18:12Z

Cppg:

{| class="wikitable"
!구분
!개보법

안전성 확보조치 기준
!개보법

기술적 관리적 보호조치 기준
!신용정보업 감독규정

[별표3] 기술적·물리적·관리적 보호조치 기준
|-
!내부관리계획
|
|
|
|-
!접근통제
|
|
|
* 접근 권한을 최소 인원에게만 부여<ref>'''1. 접근통제''' ① 신용정보회사등은 개인신용정보를 처리할 수 있도록 체계적으로 구성한 전산시스템(이하 “개인신용정보처리시스템”이라 한다)에 대한 접근권한을 서비스제공을 위하여 필요한 최소한의 인원에게만 부여한다.</ref>
* 인사 변동 발생 시 지체없이 권한 변경<ref>'''1. 접근통제''' ② 신용정보회사등은 전보 또는 퇴직 등 인사이동이 발생하여 신용정보회사등의 지휘ㆍ감독을 받아 개인신용정보를 처리하는 업무를 담당하는 자(이하 “개인신용정보취급자”라 한다)가 변경되었을 경우 지체 없이 개인신용정보처리시스템의 접근권한을 변경 또는 말소한다.</ref>
* 권한 관리 기록 3년 이상 보관<ref>'''1. 접근통제''' ③ 신용정보회사등은 제1항 및 제2항에 따른 권한 부여, 변경 또는 말소에 대한 내역을 기록하고, 그 기록을 최소 3년간 보관한다.</ref>
|-
!
|
|
|
* [[방화벽]], [[침입탐지시스템]] 설치<ref>'''1. 접근통제''' ④ 신용정보회사등은 개인신용정보처리시스템에 침입차단시스템과 침입탐지시스템을 설치하여 보호한다.</ref>
|-
!
|
|
|
* 취급자 비밀번호 작성규칙 수립<ref>'''1. 접근통제''' ⑤ 신용정보회사등은 개인신용정보주체 및 개인신용정보취급자가 생일, 주민등록번호, 전화번호 등 추측하기 쉬운 숫자를 비밀번호로 이용하지 않도록 비밀번호 작성규칙을 수립하고 이행한다.</ref>
* 취급자 PC 설정<ref>'''1. 접근통제''' ⑥ 신용정보회사등은 취급 중인 개인신용정보가 인터넷 홈페이지, P2P, 공유설정 등을 통하여 열람 권한이 없는 자에게 공개되지 않도록 개인신용정보처리시스템 및 개인신용정보취급자의 PC를 설정한다.</ref>
* 업무 설비와 외부 위탁 설비 구분<ref>'''1. 접근통제''' ⑦ 신용정보회사등은 제휴, 위탁 또는 외부주문에 의한 개인신용정보처리시스템, 신용평가모형 또는 위험관리모형 개발업무에 사용되는 업무장소 및 전산설비는 내부 업무용과 분리하여 설치ㆍ운영한다. </ref>
* 외부 사용자 시스템 접근권한 최소화 등<ref name=":2">'''1. 접근통제''' ⑧ 신용정보회사등은 업무목적을 위하여 불가피한 경우에만 외부사용자에게 개인신용정보처리시스템에 대한 최소한의 접근권한을 부여하고, 권한 부여에 관한 기록을 3년 이상 보관하는 등 적절한 통제시스템을 갖추어야 한다.</ref>
* 외부 사용자 접근권한 기록 3년 이상 보관<ref name=":2" />
|-
!접속기록 위변조방지
|
|
|
*접속기록 월 1회 이상 확인·감독<ref>'''2. 접속기록의 위ㆍ변조방지''' ① 신용정보회사등은 개인신용정보취급자가 개인신용정보처리시스템에 접속하여 개인신용정보를 처리한 경우에는 처리일시, 처리내역 등 접속기록을 저장하고 이를 월 1회 이상 정기적으로 확인ㆍ감독한다. </ref>
*접속기록 1년 이상 저장<ref name=":0">'''2. 접속기록의 위ㆍ변조방지''' ② 신용정보회사등은 개인신용정보처리시스템의 접속기록을 1년 이상 저장하고, 위ㆍ변조되지 않도록 별도 저장장치에 백업 보관한다.</ref>
*위변조 방지, 별도 장치 백업 보관<ref name=":0" />
|-
!개인정보 암호화
|
|
|
*인증정보 암호화, 조회 금지<ref name=":1">'''3. 개인신용정보의 암호화''' ① 신용정보회사등은 비밀번호, 생체인식정보 등 본인임을 인증하는 정보는 암호화하여 저장하며, 이는 조회할 수 없도록 하여야 한다. 다만, 조회가 불가피하다고 인정되는 경우에는 그 조회사유ㆍ내용 등을 기록ㆍ관리하여야 한다.</ref>
*조회가 불가피한 경우 조회 기록 등<ref name=":1" />
*전송 시 보안서버 구축 등 암호화<ref>'''3. 개인신용정보의 암호화''' ② 신용정보회사등은 정보통신망을 통해 개인신용정보 및 인증정보를 송ㆍ수신할 때에는 보안서버 구축 등의 조치를 통해 이를 암호화해야 한다. 보안서버는 다음 각 호의 어느 하나의 기능을 갖추어야 한다.

1. 웹서버에 SSL(Secure Socket Layer) 인증서를 설치하여 개인신용정보를 암호화하여 송ㆍ수신하는 기능

2. 웹서버에 암호화 응용프로그램을 설치하여 개인신용정보를 암호화하여 송ㆍ수신하는 기능</ref>
*PC 저장 시 암호화<ref>'''3. 개인신용정보의 암호화''' ③ 신용정보회사등은 개인신용정보를 PC에 저장할 때에는 이를 암호화해야 한다.</ref>
*개인식별정보 암호화 등<ref>'''3. 개인신용정보의 암호화''' ④ 신용정보회사등은 다음 각 호의 기준에 따라 개인식별정보의 암호화 등의 조치를 취하여야 한다.

1. 정보통신망을 통하여 송수신하거나 보조저장매체를 통하여 전달하는 경우에는 암호화하여야 한다.

2. 인터넷 구간 및 인터넷 구간과 내부망의 중간 지점(DMZ : Demilitarized Zone) 에 저장할 때에는 암호화하여야 한다.

3. 신용정보회사등이 내부망에 개인식별정보를 저장하는 경우에는 암호화하여야 한다. 다만, 영 제2조 제2항 각 호의 정보 중 주민등록번호 외의 정보를 저장하는 경우에는 다음 각 목의 기준에 따라 암호화의 적용여부 및 적용범위를 정하여 시행할 수 있다.

가. 「개인정보 보호법」 제33조에 따른 개인정보 영향평가의 대상이 되는 공공기관의 경우에는 해당 개인정보 영향평가의 결과

나. 그 밖의 신용정보회사등의 경우에는 개인신용정보처리시스템에 적용되고 있는 개인신용정보 보호를 위한 수단과 개인신용정보 유출시 신용정보주체의 권익을 해할 가능성 및 그 위험의 정도를 분석한 결과

4. 업무용 컴퓨터 또는 모바일 기기에 저장하여 관리하는 경우에는 상용 암호화 소프트웨어 또는 안전한 알고리즘을 사용하여 암호화하여야 한다.</ref><ref>'''3. 개인신용정보의 암호화''' ⑤ 신용정보집중기관과 개인신용평가회사, 개인사업자신용평가회사, 기업신용조회회사(기업정보조회업무만 하는 기업신용조회회사는 제외한다)가 서로 개인식별번호를 제공하는 경우에는 상용 암호화 소프트웨어 또는 안전한 알고리즘을 사용하여 암호화하여야 한다.</ref><ref>'''3. 개인신용정보의 암호화''' ⑥ 신용정보회사등이 개인신용정보의 처리를 위탁하는 경우 개인식별번호를 암호화하여 수탁자에게 제공하여야 한다.</ref>
|-
!악성 프로그램 방지
|
|
|
* 처리시스템 백신 설치<ref name=":3">'''4. 컴퓨터바이러스 방지''' ① 신용정보회사등은 개인신용정보처리시스템 및 개인신용정보취급자가 개인신용정보 처리에 이용하는 정보처리기기에 컴퓨터바이러스, 스파이웨어 등 악성프로그램의 침투 여부를 항시 점검ㆍ치료할 수 있도록 백신소프트웨어를 설치한다.</ref>
* 취급자 단말 백신 설치<ref name=":3" />
* 백신 소프트웨어 월 1회 갱신·점검<ref name=":4">'''4. 컴퓨터바이러스 방지''' ② 제1항에 따른 백신 소프트웨어는 월 1회 이상 주기적으로 갱신ㆍ점검하고, 바이러스 경보가 발령된 경우 및 백신 소프트웨어 제작 업체에서 업데이트 공지를 한 경우에는 즉시 최신 소프트웨어로 갱신ㆍ점검한다.</ref>
* 업데이트 즉시 반영<ref name=":4" />
|-
!물리적 접근 방지
|
|
|
|-
!출력·복사 보호조치
|
|
|
|-
!표시 제한 보호조치
|
|
|
|-
!제재기준 마련
|
|
|
|}

==각주==
<references />

개인정보 보호법제

2021-08-24T02:06:42Z

Cppg: 새 문서: {| class="wikitable" !구분 !개보법 안전성 확보조치 기준 !개보법 기술적 관리적 보호조치 기준 !신용정보업 감독규정 [별표3] 기술적·물리...

{| class="wikitable"
!구분
!개보법

안전성 확보조치 기준
!개보법

기술적 관리적 보호조치 기준
!신용정보업 감독규정

[별표3] 기술적·물리적·관리적 보호조치 기준
|-
!내부관리계획
|
|
|
|-
!접근통제
|
|
|
|-
!접속기록 위변조방지
|
|
|
* 접속기록 월 1회 이상 확인·감독<ref>'''2. 접속기록의 위ㆍ변조방지''' ① 신용정보회사등은 개인신용정보취급자가 개인신용정보처리시스템에 접속하여 개인신용정보를 처리한 경우에는 처리일시, 처리내역 등 접속기록을 저장하고 이를 월 1회 이상 정기적으로 확인ㆍ감독한다. </ref>
* 접속기록 1년 이상 저장<ref name=":0">'''2. 접속기록의 위ㆍ변조방지''' ② 신용정보회사등은 개인신용정보처리시스템의 접속기록을 1년 이상 저장하고, 위ㆍ변조되지 않도록 별도 저장장치에 백업 보관한다.</ref>
* 위변조 방지, 별도 장치 백업 보관<ref name=":0" />
|-
!개인정보 암호화
|
|
|
* 인증정보 암호화, 조회 금지<ref name=":1">'''3. 개인신용정보의 암호화''' ① 신용정보회사등은 비밀번호, 생체인식정보 등 본인임을 인증하는 정보는 암호화하여 저장하며, 이는 조회할 수 없도록 하여야 한다. 다만, 조회가 불가피하다고 인정되는 경우에는 그 조회사유ㆍ내용 등을 기록ㆍ관리하여야 한다.</ref>
* 조회가 불가피한 경우 조회 기록 등<ref name=":1" />
* 전송 시 보안서버 구축 등 암호화<ref>'''3. 개인신용정보의 암호화''' ② 신용정보회사등은 정보통신망을 통해 개인신용정보 및 인증정보를 송ㆍ수신할 때에는 보안서버 구축 등의 조치를 통해 이를 암호화해야 한다. 보안서버는 다음 각 호의 어느 하나의 기능을 갖추어야 한다.

1. 웹서버에 SSL(Secure Socket Layer) 인증서를 설치하여 개인신용정보를 암호화하여 송ㆍ수신하는 기능

2. 웹서버에 암호화 응용프로그램을 설치하여 개인신용정보를 암호화하여 송ㆍ수신하는 기능</ref>
* PC 저장 시 암호화<ref>'''3. 개인신용정보의 암호화''' ③ 신용정보회사등은 개인신용정보를 PC에 저장할 때에는 이를 암호화해야 한다.</ref>
* 개인식별정보 암호화 등<ref>'''3. 개인신용정보의 암호화''' ④ 신용정보회사등은 다음 각 호의 기준에 따라 개인식별정보의 암호화 등의 조치를 취하여야 한다.

1. 정보통신망을 통하여 송수신하거나 보조저장매체를 통하여 전달하는 경우에는 암호화하여야 한다.

2. 인터넷 구간 및 인터넷 구간과 내부망의 중간 지점(DMZ : Demilitarized Zone) 에 저장할 때에는 암호화하여야 한다.

3. 신용정보회사등이 내부망에 개인식별정보를 저장하는 경우에는 암호화하여야 한다. 다만, 영 제2조 제2항 각 호의 정보 중 주민등록번호 외의 정보를 저장하는 경우에는 다음 각 목의 기준에 따라 암호화의 적용여부 및 적용범위를 정하여 시행할 수 있다.

가. 「개인정보 보호법」 제33조에 따른 개인정보 영향평가의 대상이 되는 공공기관의 경우에는 해당 개인정보 영향평가의 결과

나. 그 밖의 신용정보회사등의 경우에는 개인신용정보처리시스템에 적용되고 있는 개인신용정보 보호를 위한 수단과 개인신용정보 유출시 신용정보주체의 권익을 해할 가능성 및 그 위험의 정도를 분석한 결과

4. 업무용 컴퓨터 또는 모바일 기기에 저장하여 관리하는 경우에는 상용 암호화 소프트웨어 또는 안전한 알고리즘을 사용하여 암호화하여야 한다.</ref>
|-
!악성 프로그램 방지
|
|
|
|-
!물리적 접근 방지
|
|
|
|-
!출력·복사 보호조치
|
|
|
|-
!표시 제한 보호조치
|
|
|
|}

== 각주 ==

개인정보 보호법 벌칙

2021-06-08T02:22:46Z

Cppg: 새 문서: '''제71조(벌칙)''' 다음 각 호의 어느 하나에 해당하는 자는 5년 이하의 징역 또는 5천만원 이하의 벌금에 처한다. <개정 2016. 3. 29., 2020. 2. 4...

'''제71조(벌칙)''' 다음 각 호의 어느 하나에 해당하는 자는 5년 이하의 징역 또는 5천만원 이하의 벌금에 처한다. <개정 2016. 3. 29., 2020. 2. 4.>

1. 제17조제1항제2호에 해당하지 아니함에도 같은 항 제1호를 위반하여 정보주체의 동의를 받지 아니하고 개인정보를 제3자에게 제공한 자 및 그 사정을 알고 개인정보를 제공받은 자

2. 제18조제1항ㆍ제2항(제39조의14에 따라 준용되는 경우를 포함한다), 제19조, 제26조제5항, 제27조제3항 또는 제28조의2를 위반하여 개인정보를 이용하거나 제3자에게 제공한 자 및 그 사정을 알면서도 영리 또는 부정한 목적으로 개인정보를 제공받은 자

3. 제23조제1항을 위반하여 민감정보를 처리한 자

4. 제24조제1항을 위반하여 고유식별정보를 처리한 자

4의2. 제28조의3을 위반하여 가명정보를 처리하거나 제3자에게 제공한 자 및 그 사정을 알면서도 영리 또는 부정한 목적으로 가명정보를 제공받은 자

4의3. 제28조의5제1항을 위반하여 특정 개인을 알아보기 위한 목적으로 가명정보를 처리한 자

4의4. 제36조제2항(제27조에 따라 정보통신서비스 제공자등으로부터 개인정보를 이전받은 자와 제39조의14에 따라 준용되는 경우를 포함한다)을 위반하여 정정ㆍ삭제 등 필요한 조치(제38조제2항에 따른 열람등요구에 따른 필요한 조치를 포함한다)를 하지 아니하고 개인정보를 이용하거나 이를 제3자에게 제공한 정보통신서비스 제공자등

4의5. 제39조의3제1항(제39조의14에 따라 준용되는 경우를 포함한다)을 위반하여 이용자의 동의를 받지 아니하고 개인정보를 수집한 자

4의6. 제39조의3제4항(제39조의14에 따라 준용되는 경우를 포함한다)을 위반하여 법정대리인의 동의를 받지 아니하거나 법정대리인이 동의하였는지를 확인하지 아니하고 만 14세 미만인 아동의 개인정보를 수집한 자

5. 제59조제2호를 위반하여 업무상 알게 된 개인정보를 누설하거나 권한 없이 다른 사람이 이용하도록 제공한 자 및 그 사정을 알면서도 영리 또는 부정한 목적으로 개인정보를 제공받은 자

6. 제59조제3호를 위반하여 다른 사람의 개인정보를 훼손, 멸실, 변경, 위조 또는 유출한 자

*
*

'''제72조(벌칙)''' 다음 각 호의 어느 하나에 해당하는 자는 3년 이하의 징역 또는 3천만원 이하의 벌금에 처한다.

1. 제25조제5항을 위반하여 영상정보처리기기의 설치 목적과 다른 목적으로 영상정보처리기기를 임의로 조작하거나 다른 곳을 비추는 자 또는 녹음기능을 사용한 자

2. 제59조제1호를 위반하여 거짓이나 그 밖의 부정한 수단이나 방법으로 개인정보를 취득하거나 개인정보 처리에 관한 동의를 받는 행위를 한 자 및 그 사정을 알면서도 영리 또는 부정한 목적으로 개인정보를 제공받은 자

3. 제60조를 위반하여 직무상 알게 된 비밀을 누설하거나 직무상 목적 외에 이용한 자

*
*
*

'''제73조(벌칙)''' 다음 각 호의 어느 하나에 해당하는 자는 2년 이하의 징역 또는 2천만원 이하의 벌금에 처한다. <개정 2015. 7. 24., 2016. 3. 29., 2020. 2. 4.>

1. 제23조제2항, 제24조제3항, 제25조제6항, 제28조의4제1항 또는 제29조를 위반하여 안전성 확보에 필요한 조치를 하지 아니하여 개인정보를 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손당한 자

1의2. 제21조제1항(제39조의14에 따라 준용되는 경우를 포함한다)을 위반하여 개인정보를 파기하지 아니한 정보통신서비스 제공자등

2. 제36조제2항을 위반하여 정정ㆍ삭제 등 필요한 조치를 하지 아니하고 개인정보를 계속 이용하거나 이를 제3자에게 제공한 자

3. 제37조제2항을 위반하여 개인정보의 처리를 정지하지 아니하고 계속 이용하거나 제3자에게 제공한 자