앞으로 통신사업자를 비롯한 정보통신 서비스 제공사업자는 직원이 고객의 개인정보를 종이로 인쇄하거나, 디스켓 등에 복사하는 경우, 반드시 사내 개인정보관리책임자의 승인을 받도록 하는 등 내부관리 절차를 마련해야 한다.

정보통신부는 24일 기간통신사업자, 인터넷쇼핑몰, 인터넷 포털 사이트 등 개인정보를 취급하는 정보통신서비스제공자 등이 이용자의 개인정보보호를 위해 준수하여야 할 기술적·관리적 조치 기준을 고시하였다.

정보통신부는 내달 4월부터 6개월간 계도 기간을 거친 후, 오는 10월부터 보호조치 기준에 미달하는 사업자에 대해서는 최고 1,000만원의 과태료를 부과할 방침이다.

이에 따라 개인정보를 취급하는 정보통신서비스 제공업체들의 개인정보보호를 위한 관리적, 기술적 조치가 보다 강화되어 내부직원에 의한 개인정보의 유출 사고 등이 줄어들 것으로 기대된다.

이번에 고시된 주요 내용을 보면, 개인정보를 취급하는 정보통신서비스 제공업체는 개인정보에 대해 접근할 수 있는 내부직원을 최소화하여야 하고, 직원이 개인정보처리시스템에서 열람할 수 있는 개인정보의 항목도 담당 업무별로 필요한 사항으로 제한하도록 되어 있다.

또한, 개인정보보호를 위한 기술적 조치로서, 개인정보처리시스템을 침입차단 및 탐지시스템으로 보호하고, 접속기록이 위·변조되지 않도록 별도 백업 보관하도록 하였다.

이밖에도 개인정보가 인터넷 홈페이지, P2P, 공유설정 등을 통하여 공개되지 않도록 설정하여야하며, 개인정보처리시스템 또는 개인정보취급자가 이용하는 PC에 컴퓨터 바이러스·스파이웨어 등 악성프로그램을 방지하기 위한 백신프로그램도 필수적으로 설치하도록 하고 있다.

이번에 고시된 보호기준은 정보통신서비스제공자이외에 호텔, 항공사, 학원, 대형할인점, 백화점 등의 사업자가 개인정보를 취급하는 경우에도 준용된다.

-------------

개인정보의 기술적ㆍ관리적 보호조치 기준(정보통신부고시 제2005-18호)

정보통신부고시 제2005-18호
정보통신망 이용촉진 및 정보보호 등에 관한 법률 제28조 및 동법 시행규칙 제3조의2의 규정에 의하여 개인정보의 기술적ㆍ관리적 보호조치 기준을 다음과 같이 정하여 고시합니다.

개인정보의 기술적ㆍ관리적 보호조치 기준

제1조(목적) 이 기준은 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(이하 “법”이라 한다) 제28조 및 동법 시행규칙 제3조의2의 규정에 의하여 정보통신서비스제공자등이 이용자의 개인정보를 취급함에 있어서 개인정보가 분실·도난·누출·변조·훼손 등이 되지 아니하도록 안전성을 확보하기 위하여 취하여야 하는 기술적·관리적 보호조치의 구체적인 기준을 정하는 것을 목적으로 한다.
제2조(개인정보관리계획의 수립·시행) 정보통신서비스제공자등은 개인정보가 분실·도난·누출·변조·훼손 등이 되지 아니하도록 다음 각 호의 사항을 내용으로 하는 개인정보관리계획을 수립ㆍ이행한다.
1. 개인정보관리책임자의 지정 등 개인정보보호 조직의 구성ㆍ운영에 관한 사항
2. 개인정보취급자의 교육에 관한 사항
3. 제3조 내지 제7조에 관한 세부사항
4. 그 밖에 개인정보 보호를 위하여 필요한 사항
제3조(접근통제) ①정보통신서비스제공자등은 개인정보를 처리할 수 있도록 체계적으로 구성한 데이터베이스시스템(이하 “개인정보처리시스템”이라 한다)에 대한 접근권한을 서비스제공을 위하여 필요한 최소한의 인원에게만 부여한다.
②정보통신서비스제공자등은 전보 또는 퇴직 등 인사이동이 발생하여 개인정보취급자가 변경되었을 경우 지체 없이 개인정보처리시스템의 접근권한을 변경 또는 말소한다.
③정보통신서비스제공자등은 제1항 및 제2항에 의한 권한 부여, 변경 또는 말소에 대한 내역을 기록하고, 그 기록을 최소 5년간 보관한다.
④정보통신서비스제공자등은 개인정보처리시스템을 침입차단시스템과 침입탐지시스템을 설치하여 보호한다.
⑤정보통신서비스제공자등은 이용자 및 개인정보취급자가 생일, 주민등록번호, 전화번호 등 추측하기 쉬운 숫자를 패스워드로 이용하지 않도록 패스워드 작성규칙을 수립하고 이행한다.
⑥정보통신서비스제공자등은 취급중인 개인정보가 인터넷 홈페이지, P2P, 공유설정 등을 통하여 열람 권한이 없는 자에게 공개되지 않도록 개인정보처리시스템 및 개인정보취급자의 PC를 설정한다.
제4조(접속기록의 위·변조방지) ①정보통신서비스제공자등은 개인정보취급자가 개인정보처리시스템에 접속하여 개인정보를 처리한 경우에는 처리일시, 처리내역 등 접속기록을 저장하고 이를 월 1회 이상 정기적으로 확인·감독한다.
②정보통신서비스제공자등은 개인정보처리시스템의 접속기록이 위·변조되지 않도록 별도 저장장치에 백업 보관한다.
제5조(개인정보의 암호화) ①정보통신서비스제공자등은 패스워드, 생체정보 등 본인임을 인증하는 정보에 대해서는 복호되지 아니하도록 일방향 암호화하여 저장한다.
②정보통신서비스제공자등은 주민등록 번호, 패스워드 및 이용자가 공개에 동의하지 않은 개인정보를 제3조제4항에 의하여 보호되는 정보통신망 외부로 송신하거나, PC에 저장할 때에는 이를 암호화한다.
제6조(컴퓨터바이러스 방지) ①정보통신서비스제공자등은 개인정보처리시스템 및 개인정보취급자가 개인정보 처리에 이용하는 정보기기에 컴퓨터바이러스, 스파이웨어 등 악성프로그램의 침투 여부를 항시 점검·치료할 수 있도록 백신소프트웨어를 설치한다.
②제1항의 규정에 의한 백신 소프트웨어는 월 1회 이상 주기적으로 갱신ㆍ점검하고, 바이러스 경보가 발령된 경우 및 백신 소프트웨어 제작 업체에서 업데이트 공지가 있는 경우에는 즉시 최신 소프트웨어로 갱신ㆍ점검한다.
제7조(출력ㆍ복사시 보호조치) ①정보통신서비스제공자등은 개인정보처리시스템에서 개인정보의 출력시(인쇄, 화면표시, 파일생성 등) 용도를 특정하여야 하며, 용도에 따라 출력 항목을 최소화 한다.
②정보통신서비스제공자등은 개인정보취급자가 개인정보를 종이로 인쇄하거나, 디스켓, 콤팩트디스크 등 이동 가능한 저장매체에 복사할 경우 다음 각 호의 사항을 기록하고 개인정보관리책임자의 사전승인을 받도록 조치한다. 출력ㆍ복사물로부터 다시 출력 또는 복사하는 경우도 또한 같다.
1. 출력ㆍ복사물 일련번호
2. 출력ㆍ복사물의 형태
3. 출력ㆍ복사 일시
4. 출력ㆍ복사의 목적
5. 출력ㆍ복사를 한 자의 소속 및 성명
6. 출력ㆍ복사물을 전달 받을 자
7. 출력ㆍ복사물의 파기일자
8. 출력ㆍ복사물의 파기 책임자
③제2항에 의한 출력ㆍ복사물에는 정보통신서비스제공자의 명칭 및 제2항제1호의 일련번호를 표시한다. 다만, 우편발송, 고지서 발급 등을 위하여 개인단위로 종이에 인쇄하는 경우는 일련번호를 표시하지 않아도 된다.
④개인정보관리책임자는 제2항의 사전승인을 함에 있어 제2항 각 호의 사항이 법에 위배되는지 여부를 확인하고, 개인정보취급자가 출력ㆍ복사물을 불법 유출하면 법에 따라 책임을 지게 됨을 승인 받고자 하는 개인정보취급자에게 주지시킨다.

부 칙

이 기준은 고시한 날부터 시행한다.