ISMS-P 인증 기준 3.5.3.정보주체에 대한 통지
IT 위키
(ISMS-P 인증 기준 3.5.3에서 넘어옴)
- 영역: 3.개인정보 처리단계별 요구사항
- 분류: 3.5.정보주체 권리보호
| 항목 | 3.5.3.정보주체에 대한 통지 |
|---|---|
| 인증기준 | 개인정보의 이용∙제공 내역 등 정보주체에게 통지하여야 할 사항을 파악하여 그 내용을 주기적으로 통지하여야 한다. |
| 주요 확인사항 |
|
| 관련 법규 |
|
법적 의무 대상자에 해당하는 경우 개인정보 이용내역을 주기적으로 정보주체(이용자)에게 통지하고 그 기록을 유지하여야 한다.
- 대상 (개인정보 보호법 시행령 제15조의3) : 다음 어느 하나에 해당하는 개인정보처리자. 정보주체의 수는 전년도 말 기준 직전 3개월간 일일평균으로 산정한다.
- 5만 명 이상의 정보주체에 관하여 민감정보 또는 고유식별정보를 처리하는 자
- 100만 명 이상의 정보주체에 관하여 개인정보를 처리하는 자
- 통지 주기 : 연 1회 이상
- 통지 방법 : 서면·전자우편·전화·문자전송 등 정보주체가 통지 내용을 쉽게 확인할 수 있는 방법. 다만 이용·제공 내역을 확인할 수 있는 정보시스템에 접속하는 방법을 통지하는 경우에는 재화 및 서비스 제공 과정에서 알림창을 통해 알리는 방법도 가능
- 통지 예외 : 연락처 등 정보주체에게 통지할 수 있는 개인정보를 수집·보유하지 아니한 경우, 통지에 대한 거부의사를 표시한 정보주체, 소속 임직원의 개인정보를 처리한 경우 등
개인정보 이용내역 통지항목은 법적 요구항목을 모두 포함하여야 한다.
- 개인정보 이용내역 통지 항목
- 1. 개인정보의 수집·이용 목적 및 수집한 개인정보의 항목
- 2. 개인정보를 제공받은 제3자와 그 제공 목적 및 제공한 개인정보의 항목(다만 ｢통신비밀보호법｣ 제13조, 제13조의2, 제13조의4 및 ｢전기통신사업법｣ 제83조제3항에 따라 제공한 정보는 제외)
- 개인정보 이용내역 통지 기록
- 개인정보 이용내역 통지 양식 및 문구
- 개인정보 이용내역을 개별 이용자에게 직접적으로 통지하는 대신 홈페이지에서 팝업창이나 별도 공지사항으로 안내만 한 경우
- 전년도 말 기준 직전 3개월 간 일일 평균 저장·관리하고 있는 개인정보가 100만명 이상으로서 개인정보 이용제공 내역 통지 의무 대상자에 해당 됨에도 불구하고 금년도에 개인정보 이용· 내역을 통지하지 않은 경우
- 정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2023.11.)
