ISMS-P 인증기준 - 3. 개인정보 처리단계별 요구사항(1/3)

3. 개인정보 처리 단계별 요구사항 - 수보제파권
3.1 개인정보 수집 시 보호조치	수 - 제동 주민간 영홍	3.1.1 개인정보 수집제한 3.1.2 개인정보 수집동의 3.1.3 주민등록번호 처리제한 3.1.4 민감정보및고유식별정보처리제한 3.1.5 간접수집 시 보호조치 3.1.6 영상정보처리기기 설치.운영 3.1.7 홍보및 마케팅 목적 활용시 조치
3.2 개인정보 보유 및 이용시 보호조치	보 - 현품표 단목	3.2.1 개인정보 현황관리 3.2.2 개인정보 품질보장 3.2.3 개인정보 표시제한 및 이용시 보호조치 3.2.4 이용자 단말기 접근 보호 3.2.5 개인정보 목적외 이용 및 제공
3.3 개인정보 제공 시 보호조치	제 - 3위영국	3.3.1 개인정보 제3자 제공 3.3.2 업무위탁에 따른 정보주체 고지 3.3.3 영업의 양수에 따른 개인정보이전 3.3.4 개인정보의 국외이전
3.4 개인정보 파기 시 보호조치	파 - 파목휴	3.4.1 개인정보의 파기 3.4.2 처리목적 달성 후 보유 시 조치 3.4.3 휴면 이용자 관리
3.5 정보주체 권리보장	권 - 처권통	3.5.1 개인정보처리방침 공개 3.5.2 정보추제 권리보장 3.5.2 이용내역 통지

 

3.1 개인정보 수집 시 보호조치 (제동 주민간 영홍)

항목	설명 및 사례	keyword
3.1.1 개인정보 수집 제한   (최선거) (일과단가) 일괄로 동의 과도한 정보 수집 선택 미동의시 다음 단계 거부 선택 미동의시 가입 가능	•최소한의 정보만 수집 (동의,법령에 근거) •최소한의 정보외에는 선택할수 있도록 (별도선택항목)   - 일괄동의 안되고 필수와 선택으로 구분 •최소한의 정보외에 정보제공에 동의하지 않는다는 이유로 거부하지  않아야 한다. (즉 선택항목에 동의하지 않았다고 해서 서비스제공이 거부되면 안됨) 반대로 필수항목에 대해 동의하지 않는 경우 회원가입을 거부할 수 있다	최소정보, 선택항목, 거부권
3.1.2 개인정보의 수집 동의	•동의를 받거나 관계법령에 따라 적법하게 수집   - 법령에 특별한 규정이 있는 경우 동의안받고 가능 •정보가 필요한 시점에 동의받고 수집 (미리 안됨) •동의를 받을 때 관련 내용을 명확하게 고지 (홍민고기3목자)   - 명확히 표시하여야 하는 중요한 내용     1. 해당정보를 이용하여 연락할수 있다는 사실 (홍보.마케팅 항목)     2. 처리하는 개인정보 항목중 민감정보,여권정보 ,운전면허번호,외국        인등록번호 등 고유식별정보     3. 개인정보의 보유 및 이용기간     4. 제공받는자의 개인정보 이용 목적   - 중요내용 표시 방법     1. 9포인트 이상, 다른내용보다 20% 이상 크게 •만14세미만의 경우 법정대리인에게 동의 받음.   - 법정대리인의 최소한의 정보만 수집하여야 하며 (법정대리인의 동의      없이 아동으로부터 수집가능) 법정대리인의 자격요건을 확인하는      방법.절차 마련   - 법정대리인이 거부하는 경우 수집일로부터 5일이내 파기해야함. 예) 쇼핑몰 홈페이지 회원가입 시 회원가입에 필요한 개인정보 외에     추후 물품 구매 시 필요한결제 배송 정보를 미리 필수 항목으로 수집     하는 경우      -> 최소한의 정보외에 추가적으로 배송정보를 수집한다는 점에서          3.3.3 개인정보수집제한 에 위배된다고고 볼수 있으나 그보다는          필요한시점에 수집하지 않고 미리 수집했다는 점이 더 포커스         이므로 3.1.2 항목 위반에 해당 * 개인정보의 수집.이용이 가능한 경우 (동법 소계 급정 / 계요법)        개인정보보호법                                정보통신망법 1.정보주체의 동의받은경우   2.법률에 특별한규정이 있거나 법령상  1.계약의 이행을 위해 경제적,   의무를 준수하기위해 불가피한경우      기술적인 사유로 통상적인 3.공공기관이 소관의 업무수행을 위해     동의를 받는 것이 경우   불가피한 경우                                2.요금정산을 위하여 4.계약의 체결및 이행을 위해                3.다른 법률에 특별한 특별한   (예) 온라인 쇼핑몰에서 고객이 주문한     규정이 있는 경우  상품을 배송하기 위하여 주소,.연락처를  수집하는 경우 5.의사표시를 할수없거나 사전동의를   받을수 없는 경우로서 명백히 정보주체   또는 제3자의 급박한 생명,신체,재산의   이익을 위하여 필요하다고 인정되는경우   (예) 교통사고를 당한 의식불명환자의      핸드폰에서 가족의 연락처를 수집 6.개인정보처리자의 정당한 이익달성으로   명백하게 정보주체의 권리보다 우선   (예) 문방구에서 외상을 갚지 않는 학생의        집에 연락하기 위해 학생의 동의없이        부모님 연락처를 수집 * 개인정보의 수집.이용 동의시 고지사항  개인정보보호법(목항기거)      정보통신망법(목항기) 1.수집.이용 목적               1.수집.이용 목적 2.항목                             2.항목 3.보유및 이용기간             3.보유및 이용기간 4.동의를 거부할 권리	고지(목항기거) 후 동의, 방법 및 시점, 명확 표시, 법정대리인(만14세), 동의 기록 보관
3.1.3 주민등록번호 처리 제한	•주민등록번호는 법적근거가 있는 경우를 제외하고는 설사 동의를 받는  다하더라고 수집할수 없다.  - 수집이 가능한 경우         개인정보보호법                                 정보통신망법 법급행                                            본법방 1.법률,대통령령,국회규칙,대법원규칙    1.본인확인기관으로 지정받은   ,헌법재판소규칙,중앙선거관리위원        경우    회규칙 및 감사원규칙에서 구체적      2.법령에서 허용   으로 주민등록번호 처리를 요구.허용   3.정보통신제공자로서 방통위        한 경우                                          가 고시 2.급박한 생명,신체,재산상 이익으로          명백히 필요 3.행정안전부령으로 정함.   (시행규칙,조례,훈련 X) •법령에서 구체적으로 주민등록번호 처리근거가 명확해야 함.   - 훈령,예규,고시,조례 등은 근거가 될수 없음   - 법령에서 단순히 신원확인,연령확인등 의무규정만을 규정하고 있다면 이는 처리근거가 명확하지않음 •뒷자리 7자리만 수집한다고 해도 전체를 수집하는 것과 동일함. •주민등록번호 수집이 가능하더라도 대체수단 제공	법적 근거, 법조항 식별, 대체수단 제공
3.1.4 민감정보및 고유식별정보의 처리 제한	•민감정보는 원칙적으로 처리하여서는 안된다.  다만 별도의 동의를 받거나 법령에 근거가 있는 경우에 한해 처리가능 •민감정보유형 (노사정유범건성)   :  노동조합, 사상, 정당가입.탈퇴, 유전정보, 범죄경력 , 건강, 성생활     (이 외에는 민감정보로 인정하지 않는다.)  - 혈액형은 민감정보에 해당하지 않음  - 유전정보와 범죄경력정보는 공공기관이 업무수행을 위하여 처리하는 경우 민감정보로 보지 아니하므로 정보주체의 별도동의 없이 처리가능  - 고유식별정보 : 주민번호,여권번호,운전면허번호,외국인등록번호 •다른 개인정보항목 동의와는 구분해서 갹각 하나씩 별도항목으로  동의받아야함.  - 일괄동의 안됨. • 공공기관이 업무수행을 위해 동의없이 민감정보,고유식별정보 처리가능경우   소약범법형   ①소관업무를 위해 보호위원회 심의.의결 거침   ②조약, 국제협정이행 위하여 외국에 제공   ③범죄의 수사, 공소제기,유지에 필요   ④법원의 재판업무 수행을 위해   ⑤형 및 감호, 보호처분의 집행을 위해 필요 * 정보통신망법에서는 '고유식별정보'에 대한 규정은 없어서 개인정보   보호법을 준용하고 있다.	별도 동의, 법령 근거
3.1.5 간접수집 보호조치 1.인터넷등 공개된 개인정보 2.다른사람으로부터 받은 개인정보 3.쿠키등 자동수집장치	•정보주체 이외로부터 수집한 개인정보를 처리할 때는 개인정보의 종류  ,규모,법적요건에 해당하는 경우 필요한 사항을 정보주체에게 통지하여  야 한다. (단, 이 통지의무는 개인정보보호법상 동의를 받아 개인정보를  제공한 개인정보처리자로부터 수집한 개인정보에 대해서만 적용,)  - 통지의무요건 및 방법  1.통지의무가 부과되는 개인정보처리자의 요건    - 5만명 이상의 민감정보 , 고유식별정보 처리자    - 100만명 이상의 개인정보 처리자   예) A사가 B사로부터 1만건의 개인정보를 수집.처리 하는경우 정보      주체에게 수집출처를 고지안해도 된다. (5만건이 넘어야 고지의무)  2. 통지해야 할 사항 (출목정)    - 개인정보의 수집 출처    - 개인정보의 처리 목적    - 개인정보 처리의 정지를 요구할 권리  3. 통지시기    - 개인정보를 제공받는 날로부터 3개월 이내  4. 통지방법    - 서면,전화,문자전송,전자우편  5. 고지예외   ① 정보주체에게 알릴수있는 개인정보(연락처)가 없는 경우   ② 범죄수사,공소제기.유지, 형집행감호,출입국관리사항 등의 개인정보 또는 다른사람의 생명,신체를 해할 우려 또는 재산,이익의 부당침해 우려시에는 적용 제외 • 공개된 개인정보 수집하는 경우 통상 동의의사가 있다고 인정되는   범위내에서만 수집. • 서비스제공과 관련이 없는 타깃마케팅 목적으로 쿠키정보 수집시에는   별도 동의를 받아야 한다.    --> 바꿔 말하면 서비스이행계약에 필요한 경우 동의없이 쿠키 수집 가능	동의획득 책임(제공자), 사회통념 동의의사 이용, 자동수집장치, 출목정 통지   (요구-3일,    처리자-3개월), 보관 간접수집 고지는 2가지 조건에 해당할 때 입니다. 1. 정보주체 요구 시 고지 사항입니다.  - 본 건은 보편법인 개보법, 특별법인 망법이나 신정법 등 어느 법이든지 해당합니다. 2. 대량의 개인정보 처리자입니다.  - 5만명 민감정보 또는 고유식별 정보, 100만명 정보주체 개인정보 처리를 하는 개인정보처리자입니다.  - 본 법은 개보법에 따른 정보주체의 제3자 제공 동의를 받은 자로부터 간접수집한 경우에 해당합니다.
3.1.6 영상정보처리기기 설치.운영	•공개된 장소에 한정 영상정보처리기기를 설치,운영(법범시단교)   1.법령에서 구체적으로 허용   2.범죄의 예방 및 수사를 위해 필요한경우   3.시설안전 및 화재 예방을 위하여   4.교통단속을 위하여   5.교통정보의 수집 및 분석. 제공을 위하여 •블특정 다수가 이용하는 목욕실,화장실,탈의실은 금지 •공공기관이 공개된 장소에 설치하려면 공청회,설명회 및 전문가,이해관  계장의 의견을 수렴해야 한다.   - 의견수렴절차 (행의 설설여)      1.행정예고의 실시 또는 의견청취      2.설명회,설문조사,여론조사  (사기업의 경우 공청회 필요없음) •목욕탕,발한실 등 사생활침해가 우려되는 장소에는 설치불가,   (단 교도소,정신보건시설에는 설치가능) •안내판 설치내용 (목장 시범 관위)   1.설치목적및 장소   2.촬영범위 및 시간   3.관리책임자 성명,연락처   4.위탁받은 자의 명칭,연락처 •안내판 설치예외 (군중보)    -군사시설,국가중요시설,국가보안시설	허용장소, 공공 공청회, 안내판, 운영관리방침, 보관기관, 위탁시 절차 계약서 법범시단교 행의설설여 목장시범관위 군중보
3.1.7 홍보 및 마케팅 목적 활용 시 조치 (포괄 push default 2년)	•홍보,마케팅 목적으로 수집하는 개인정보는 분리해서   별도로 동의를 받아야 한다. •2년마다 정기적으로 영리목적성 광고성정보 수신동의 여부 확인 •야간시간에 보낼려면 별도 동의 필요(단 메일은 에외) •수신거부,회원탈퇴시 즉시 모든 광고 전송 중단 •광고수신거부처리시 연락처 이외의 정보를 요구할 수 없다. •영리목적의 광고성 정보의 개념  - 영업을 하는자가 고객에게 보내는 정보는 원칙적으로 광고성 정보에    해당함.  - 구체적인 재화,서비스의 홍보가 아니더라도 발신인의 이미지 홍보에    해당하는 경우 광고성정보로 봄.  - 주된 정보가 광고성 정보가 아니더라도 부수적으로 광고성 정보가    포함되어 있으면 전체가 광고성정보 •개인정보보호법 상의 홍보,판매권유 목적의 동의는 광고성정보를 전송   하기 위해 당신의 개인정보를 수집하겠다는 것에 대한 동의를 말하는   거구,  정통망법상의 동의는 광고성정보를 수신하겠다는 것에 대한   동의를 말하므로 두개의 동의는 구분 후 별개로 받아야 한다. (1)거래관계에 의한 광고성 정보수신 동의 예외   ① 재화등의 거래관계를 통하여 수신자로부터 직접 연락처를 수집한 자가 거래가 있은 날부터 6개월 이내 자신이 처리하고 수신자와 거래한 것과 동종의 재화 등에 대한 영리목적의 광고성 정보를 전송하려는 경우   ② 방판법에 의한 전화권유판매자가 육성으로 수신자에게 개인정보수집 출처를 고지하고 전화권유하는  경우    (예) 정보주체에게 별도의 동의를 받지않고 전화를 걸어 개인정보의 수집출처를 고지후 전화상으로 제품판매를시도하였다. (O) (2)영리목적의 광고성 정보의 예외  - 수신자와 이전에 체결하였던 거래를 용이하게 하거나 완성,확인하는 것이 목적인정보  - 수신자가 사용하거나 구매한 재화 또는 서비스에 대한 설명,보증,리콜 ,안전,보안 관련 정보  - 고객의 요청에 의해 발송하는 일회성 정보 (견적서 등)  - 수신자가 금전적 대가를 지불하고 신청한 정보 (뉴스레터,주식정보,축산물거래정보)  - 전송자가 제공하는 재화 또는 서비스에 대해 수신자가 구매 또는 이용과 관련한 안내 및 확인정보 (회원등급변경, 포인트 소멸 안내 등)  - 정보제공을 서비스로 하는 자가 이용자와 명시적인 계약체결을 하여 정보를 전송하되 이를 대가로 직접적인 수익이 발생하지 않아야 하며, 정보의 내용이 서비스,재화 구매와 직접적인 관련이 없는 정보 < 공고성정보 수신동의 내용 통지> 1. 전송자의 명칭 2. 수신자의 수신동의 사실과 수신 동의한 날짜 3. 수신동의에 대한 유지 또는 철회의 의사를 표하는 방법 (예) OO쇼핑몰 수신동의 내역을 알려드립니다.       …………………………….     가. 광고정보 수신 동의여부및 동의일자          광고성 문자 : 미동의          광고성 Email : 동의 (2020-05-17)          광고성 전화 : 미동의          APP Push : 동의 (2020-05-17)     나. 동의 철회방법          .......................................	별도 동의, 광고 사전 동의, 2년 확인, 영리목적광고 고지(전송자 , 수신거부), 야간 금지