「서울시 개인정보 보호의 날」운영계획

市 전기관 개인정보보호에 대한 인식 제고 및 개인정보의 안전성 확보 조치를 위하여 매월 첫째 주 수요일을 ‘개인정보 보호의 날’로 지정․운영

1		추진개요

□ 관련근거

○ 개인정보 보호법 제29조(안전 조치 의무)

○ 표준 개인정보 보호지침 제17조(개인정보 보호 조치의무)

○ 개인정보의 안전성 확보조치 기준 제3조(안전조치 기준 적용)

○ 서울특별시 개인정보 보호에 관한 조례 제3조(개인정보 보호 원칙)

➡	내부 관리계획 수립 및 안전성 확보에 필요한 기술적·관리적·물리적 조치

□ 추진배경

○ 최근 홈페이지를 통한 개인정보 노출이 언론 등을 통해 사회적 이슈화

○ 그 간의 공공기관 개인정보 노출 진단결과, 개인정보에 대한 관리자 및 취급자의 인식 부족이 가장 큰 원인으로 파악됨

➡	개인정보 보호의 인식제고를 위한 지속적인 운영실태 점검 및 교육 실시

□ 개인정보 침해사고 현황(2017년)

보도제목	보도내용	보도일	비고
인터파크	‘16년 2,000만명 고객정보 유출 이메일을 통한 랜섬웨어 감염	2017.04.13.	랜섬웨어 감염
여기어때	숙박예약정보 323만건, 회원정보 17만8천건 유출	2017.04.14.	이용자명, 핸드폰번호, 숙박예약정보 유출
알툴즈사이트	사이트 가입자 13만3,800명의 개인정보 침해사건 발생	2017.09.05.	ID, PW, 계정정보 등 침해
자유투어	해커 조직에 의해 일부 고객의 개인정보가 침해(유출, 노출)	2017.12.18.	이름, 생년월일, 핸드폰, 이메일, 주소, ID, PW 등

2		개인정보 현황

□ 개인정보처리시스템 현황(기관 제출)	(단위 : 식)

구 분	계	서울시(본청)	사업소
계	137	92	45
프론트오피스	39	26	13
백오피스	64	40	24
프론트/백오피스	34	26	8

□ 개인정보 파일 현황(행안부 등록)

구분	계	저장 위치	소계	서울시(본청)	사업소
파일수(건)	672	개인정보처리시스템	209	129	80
		PC내 파일 등	463	68	395
보유수(명)	253,554,649	개인정보처리시스템	214,306,490	152,654,660	61,651,830
		PC내 파일 등	39,248,159	32,871,569	6,376,590

□ 개인정보 암호화시스템(PC스캔) 현황

○ 서버 노후화 : 사용연한 경과(2011년), 느린 속도 및 낮은 안정성

○ 제품 단종   : 제품 단종으로 인해 기능 추가 및 유지보수 어려움

구분	도입 시기	소요 예산	설치 라이선스
개인정보 암호화 시스템(PC스캔)	’11. 10	208,346천원	10,103대

➡	개인정보 암호화 기능 강화 및 업무 효율 향상을 위한 신제품 도입 필요

□ 서울시(본청) PC스캔 자동 검사 개인정보 검출 및 처리 현황

○ 검출된 개인정보 건수에 비해 암호화 및 삭제 처리 비율이 낮음

○ 개인정보 처리 의무화 정책 부재 및 개인정보보호 교육 미흡이 원인

구 분		’17. 12월	’18. 1월	2월	3월
합계		14,548,036	7,220,496	156,600,999	68,197,509
미처리율		41%	54%	31%	75%
처리	강제암호화	1,848,733	2,024,182	15,594,305	5,458,604
	암호화	180,141	1,076,873	71,275,813	8,224,514
	삭 제	6,450,790	254,096	21,107,971	3,226,038
	격 리	1,877	0	7,044	177
	소 계	8,481,541	3,355,151	107,985,133	16,909,333
미처리	오탐제외	5,287,026	3,635,695	44,156,742	48,452,691
	미 처 리	779,469	229,650	4,459,124	2,835,485
	소 계	6,066,495	3,865,345	48,615,866	51,288,176

➡	개인정보 취급자에 대한 개인정보 검출 파일 처리 방법 교육 필요

3		운영지침 제정

□ 지 침 명 : ‘서울특별시 개인정보 보호의 날’ 운영지침

□ 추진목적 : 개인정보 유출 및 오·남용 방지 등 보호활동 강화

□ 적용대상 : 서울특별시(본청 및 사업소)

□ 주요내용 : 총 8개조로 구성

○ 1조(목적), 2조(용어의 정의), 3조(적용대상), 3조(개인정보보호의 날 운영), 4조(개인정보 보호담당자의 임무), 5조(개인정보 검출통보   접수자의 임무), 6조(개인정보 삭제 예외대상), 7조(점검대상 개인정보 범위), 8조(결과처리)

□ 시 행 일 : 2018. 5. 1.

4		운영 계획

□ 명    칭 : ‘서울특별시 개인정보 보호의 날’

□ 시 행 일 : 매월 첫째 주 수요일(휴일인 경우 다음날 평일)

□ 추진대상 : 서울시(본청, 사업소) ※ 자체실시 : 서울시의회, 자치구, 투자출연기관

※ 서울시 제외 : 서울시립대, 소방재난본부, 상수도사업본부, 서울시역사박물관

□ 운영방안 : ‘개인정보 보호의 날’에 PC스캔 자동 검사 일괄 시행

□ 운영절차

개인정보 보호의 날

매월 첫째 주 수요일 오후 12시 강제검사

개인정보 보호담당자

D+5

개인정보 검출 파일 처리

(암호화, 삭제, 격리)

개인정보 취급자

D+10

부서담당자 조치결과 제출 (정보통신보안담당관)

개인정보 보호담당자

□ 추진방안

○ ‘개인정보 보호의 날’ 정오에 본청 및 사업소의 모든 업무용 컴퓨터에서 PC스캔 관리자 자동검사 실행

○ 당일 컴퓨터 미사용·휴가중인 직원의 컴퓨터는 업무 복귀 시 자동검사 실행

○ 개인정보가 검출된 파일은 5일 이내 처리(암호화, 격리, 삭제) 의무화

○ 기관 개인정보 보호담당자는 ‘개인정보 보호의 날’ 실시일로부터 10일 이내에 관리자 검사 이력 액셀파일을 정보통신보안담당관으로 제출

○ 매달 취합된 데이터를 분석하여 개인정보 보호 조치 상위 20% 및  하위 30% 기관 선정

○ 하위 30% 기관은 개인정보 보호담당자와 내부직원에 대한 개인정보보호 및 PC스캔 사용법에 대한 교육 실시

□ 추진일정

○ 개인정보 보호의 날 운영계획 수립 : ’18. 4월

○ 개인정보 보호의 날 시행          : 연중 매월 실시(최초 ‘18. 5월)

5		행정사항

□ 개인정보 보호책임자(사업소 기관장)

○ 개인정보 보호담당자 지정·확인 및 개인정보 내부관리계획 수립·시행

○ 개인정보 보호담당자 및 직원들에 대한 개인정보보호 교육 이수 철저

□ 사업소 개인정보 보호담당자(업무담당자)

○ 타기관 전출 시 정보통신보안담당관에 개인정보 보호담당자 교체 사실 보고 및 인수인계 철저

○ 개인정보 취급자에 대해 개인정보 검출 내역 통보 및 시정 조치

○ ‘개인정보 보호의 날’ 실시 결과 및 조치사항을 시행일로부터 10일 이내에 정보통신보안담당관 제출

□ 서울시 개인정보 보호담당자(정보통신보안담당관 업무담당자)

○ 기관별 개인정보 보호담당자 명단 관리

○ 기관별 PC스캔 관리자 검사 이력 취합 및 보고

○ 개인정보 보호 우수 및 미흡 기관 선정

○ ‘개인정보 보호의 날’ 운영지침 제정 및 배포

붙임1. 서울특별시 개인정보 보호의 날 운영지침 1부

2. 개인정보 안전조치의무 위반 시 과태료 부과 규정 1부.  끝.

[붙임1]

서울특별시 개인정보 보호의 날 운영지침

제정 2018.05.01

제1조(목적)

이 지침은 서울특별시(이하 ‘서울시’라 한다)가 생산·보유하고 있는 전자화된 개인정보의 보호 및 관리에 관한 사항을 점검하기 위하여‘개인정보 보호의 날’을 지정하여 운영하는데   필요한 사항을 규정함을 목적으로 한다.

제2조(용어의 정의)

① “개인정보”란 살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함한다)를 말한다.

② “개인정보 암호화시스템”(이하 “PC스캔”이라 한다)이란 업무용 컴퓨터에 포함되어 있는 개인정보가 오남용·유출되는 것을 차단하기 위해 컴퓨터의 개인정보를 검출하여 암호화 등의 처리를 하는 프로그램을 말한다.

③ “개인정보 보호책임자”란 개인정보의 처리에 관한 업무를 총괄해서 책임지는 자를 말하며, 개인정보보호법 제31조에 따라 서울시장이 지정한 기관 및 부서의 장을 말한다.

④ “개인정보 보호담당자”란 개인정보 보호책임자의 지휘ㆍ감독을 받아 개인정보의 처리에  관한 업무를 담당하는 기관 및 부서의 실무자를 말한다.

⑤ “개인정보 취급자”란 임직원, 파견근로자, 시간제근로자 등 개인정보 보호책임자의 지휘ㆍ감독을 받아 개인정보를 처리하는 자를 말한다.

⑥ “개인정보 검출통보접수자”란 개인정보 암호화시스템 검사 결과 업무용 컴퓨터에 개인정보를 포함한 파일이 검출되어 암호화 등의 처리를 지시받은 자를 말한다.

제3조(적용대상)

‘개인정보 보호의 날’의 적용 대상은 서울시(본청 및 사업소) 소속 직원(서울시 파견 근로자 포함)이 서울시에서 배정받아 사용하는 PC 및 노트북 등 일체의 업무용 전산장비이다.

제4조(개인정보 보호의 날 운영)

개인정보보호에 대한 관심 제고 및 개인정보의 철저한 보호 및 관리를 위하여 매월 첫째 주  수요일을‘개인정보 보호의 날’로 지정하여 운영한다. 단, 서울시 사정에 의하여 필요한 경우  시행 시기는 조정될 수 있다.

제5조(개인정보 보호담당자의 임무)

① 서울시에서 제공한 업무용 전산장비에 저장되어 있는 개인정보를 검출하고 관리하기 위하여 전문프로그램인 ‘PC스캔’을 활용하여 개인정보가 보호되도록 조치하여야 한다.

② 개인정보 보호담당자의 임무는 다음 각 호와 같다.

1. 개인정보 보호의 날에 담당 부서 또는 기관의 모든 업무용 컴퓨터에서 PC스캔 관리자검사가 자동  실행되도록 PC스캔 관리자정책 설정

2. 개인정보 검출 내역 통보 및 시정 조치

3. 개인정보 보호의 날 실시일로부터 10일 이내에 관리자 검사 이력을 액셀파일로 저장하여 정보통신보안담당관으로 제출

③ PC스캔의 사용법은 [별표1]의 ‘개인정보 보호담당자 수행업무’를 참조한다.

제6조(개인정보 검출통보접수자의 임무)

① 개인정보 검출통보접수자의 임무는 다음 각 호와 같다.

1. PC스캔 수행 결과 개인정보가 검출된 파일의 내용 확인

2. 개인정보를 포함한 파일의 경우 암호화, 격리 또는 삭제 처리

3. 개인정보가 포함되어 있지 않은 파일의 경우 제외 처리

4. 미처리된 파일이 남아있지 않도록 모든 파일 처리

② PC스캔의 사용법은 [별표2]의 ‘개인정보 검출통보접수자 수행업무’를 참조한다.

제7조(개인정보 삭제 예외 대상)

인사, 총무, 회계, 예산부서에서 업무상 개인정보 취급자로 지정된 자 및 해당 업무용 장비에 대해서는 PC스캔 수행 결과 주민등록번호 등 개인정보가 검출된 경우라도 개인정보 삭제의   예외 대상으로 한다.

제8조(점검대상 개인정보 범위)

① 필수 점검대상 개인정보 항목은 주민등록번호, 외국인번호, 여권번호, 운전면허번호 등 고유식별정보이며, 신용카드번호, 계좌번호, 전화번호, 휴대폰번호, 메일주소, 법인번호 등은 필요시 점검 항목으로 선택할 수 있다.

② 점검 대상 파일은 워드파일, 엑셀파일, PPT 파일, 한글파일, PDF 파일, 텍스트 파일이며  압축 및 기타 형태의 파일도 필요시 점검 항목으로 선택할 수 있다. 단, 텍스트 파일의 경우 조사사업 원자료 등이 포함되어 불가피한 경우 서울시 사정에 의하여 점검대상 파일에서   제외할 수 있다.

제9조(결과처리)

점검 및 조치완료 후 개인정보 보호의 날 시행월 넷째 주중에 시행결과(점검대상자 수, 개인정보 검출 건 수 및 파일 수, 조치사항 등 포함)를 서울시 개인정보 보호책임자에게 보고하여야 한다.

부    칙

제1조(시행일) 이 지침은 2018.5.1.부터 시행한다.

제2조(적용례) 이 지침 시행일 이후에 시행되는 ‘개인정보 보호의 날’부터 적용한다.

별표1. 개인정보 보호담당자 수행업무

별표2. 개인정보 검출통보접수자 수행업무.  끝.

(별표1)

개인정보 보호담당자 수행업무

1. 관리자 정책 설정

◦ http://98.0.22.95:8080/pcscan/login/LoginPage.ctr 접속하여 행정전자서명으로 로그인

◦ 관리자 아이디가 없을 경우 정보통신보안담당관(02-2133-2865)으로 문의

◦ 정책관리->정책설정 페이지로 이동

◦ 화면 하단의 ‘정책추가’버튼 클릭

◦ 다음 그림과 같이 정책을 설정하고 정책명과 강제 암호화 비밀번호는 기관별로 다르게 설정(강제 암호화 비밀번호는 기관 개인정보보호담당자가 관리)

2. 그룹 정책 적용

◦ 정책설정 페이지->조직도에서 해당 기관 선택->새로 추가한 정책 선택->‘정책적용’버튼 클릭

3. 관리자 검사 이력 액셀저장

◦ 정책관리->관리자 검사 이력/통계 페이지로 이동

◦ 페이지 우측에 있는 ‘액셀저장’버튼을 클릭하여 액셀파일 저장

(별표2)

개인정보 검출통보접수자 수행업무

1. 자동검사 실행 후 개인정보 검출 파일 처리

◦ 매월 첫째 주 수요일 개인정보 보호의 날에 개별 컴퓨터에서 자동검사 실행

◦ 검사가 완료되면 개인정보가 검출된 파일들에 대해 다음 네 가지 방법 중 하나를 선택하여 처리

① 격리: 공용 문서 암호로 암호화되어 격리 폴더로 파일 이동

② 암호화: 개인 문서 암호(사용자가 임의로 설정)로 암호화

③ 완전삭제: 복원 불가능하도록 완전 삭제

④ 제외: 개인정보 미포함(오탐)의 경우 선택

◦ 강제 암호화 대기기간 내에 처리되지 않은 파일은 강제 암호화되므로 주의

2. 암호화된 파일 복호화

◦ 암호화 된 파일은 아이콘이 자물쇠 모양으로 교체됨(금색: 공용 문서 암호화, 은색: 개인 문서 암호화)

◦ 암호화 된 파일을 실행하면 비밀번호 입력창이 나타남

◦ 암호화 된 파일은 실행할 때마다 비밀번호 입력

◦ 강제 암호화 된 파일은 기관 개인정보 보호담당자에게 문의하여 공용 비밀번호 입력 후 사용

[붙임2]

개인정보 안전조치의무 위반 시 과태료 부과 규정

구분	위반 조항	내용
안전성 확보에 필요한 조치를 하지 아니한 자에 3천만원 이하의 과태료 부과 (개인정보 보호법 제75조2항)	제23조2항	개인정보처리자가 제1항 각 호에 따라 민감정보를 처리하는 경우에는 그 민감정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 제29조에 따른 안전성 확보에 필요한 조치를 하여야한다
	제24조3항	개인정보처리자가 제1항 각 호에 따라 고유식별 정보를 처리하는 경우에는 그 고유식별정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 대통령령으로 정하는 바에 따라 암호화 등 안전성 확보에 필요한 조치를 하여야한다.
	제29조	개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리 계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야한다.

개인정보 처리단계별 준수사항 및 위반 시 벌칙사항

구분	주요내용	벌칙 및 과태료
수 집 ㆍ 이 용	민감정보(사상ㆍ신념ㆍ정당가입ㆍ건강 등) 처리기준 위반(제23조)	5년 이하 징역 또는 5천만원 이하 벌금
	고유식별정보(주민등록ㆍ여권ㆍ운전면허 번호 등) 처리기준 위반(제24조)
	주민등록번호 처리기준 위반(제24조의2)	3천만원 이하 과태료
	부당한 수단이나 방법에 의해 개인정보를 취득하거나 개인정보처리에 관한 동의를 얻는 행위를 한 자(제59조)	3년 이하 징역 또는 3천만원 이하 벌금
	개인정보의 수집기준 위반(제15조)	5천만원 이하 과태료
	만14세 미만 아동의 개인정보 수집시 법정대리인 동의획득여부 위반(제22조)
	탈의실ㆍ목욕실 등 영상정보처리기기 설치 금지 위반(제25조)
	최소한의 개인정보 외 정보의 미동의를 이유로 재화 또는 서비스 제공을 거부한 자(제16조, 제22조)	3천만원 이하 과태료
	주민등록번호를 제공하지 아니할 수 있는 방법 미제공(제24조의 2)
	동의획득방법 위반하여 동의받은 자(제22조)	1천만원 이하 과태료
제 공 ㆍ 위 탁	정보주체의 동의 없는 개인정보 제3자 제공(17조)	5년 이하 징역 또는 5천만원 이하 벌금
	개인정보의 목적 외 이용ㆍ제공(제18조, 제19조, 제26조, 제27조)
	개인정보 주체에게 알려야 할 사항을 알리지 아니한 자(제15조, 제17조, 제18조, 제26조)	3천만원 이하 과태료
	정보주체 이외로부터 수집한 개인정보의 수집 출처 등 고지 위반(제20조)
	업무위탁에 따른 개인정보의 처리제한 및 공개의무 위반(제26조)	1천만원 이하 과태료
개인정보안전관리	개인정보의 누설 또는 타인 이용에 제공(제59조)	5년 이하 징역 또는 5천만원 이하 벌금
	개인정보의 훼손, 멸실, 변경, 위조, 유출(제59조)
	영상정보처리기기 설치목적과 다른 목적으로 임의 조작하거나 다른곳을 비추는 자 또는 녹음기능을 사용한 자(제25조)	3년 이하 징역 또는 3천만원 이하 벌금
	직무상 알게 된 비밀을 누설하거나 직무상 목적 외 사용한 자(제60조)
	안전성 확보에 필요한 보호조치를 취하지 않아 개인정보를 도난ㆍ유출ㆍ변조 또는 훼손당하거나 분실한 자(제24조, 제25조, 제29조)	2년 이하 징역 또는 1천만원 이하 벌금
	안전성 확보에 필요한 조치의무 불이행(제24조, 제25조, 제29조)	3천만원 이하 과태료
	영상정보처리기기 설치ㆍ운영기준 위반(제25조)
	개인정보를 분리해서 저장ㆍ관리하지 아니한 자(제21조)	1천만원 이하 과태료
	개인정보처리방침 미공개(제30조)
	개인정보관리책임자 미지정(제31조)
	영상정보처리기기 안내판 설치 등 필요조치 불이행(제25조)
정보주체권익보호	개인정보의 정정ㆍ삭제요청에 대한 필요한 조치를 취하지 않고, 개인정보를 계속 이용하거나 제3자에게 제공한 자(제36조)	2년 이하 징역 또는 1천만원 이하 벌금
	개인정보의 처리정지 요구에 따라 처리를 중단하지 않고 계속 이용하거나 제3자에게 제공한 자(제37조)
	개인정보 유출사실 미통지 및 조치결과 미신고(제34조)	3천만원 이하 과태료
	정보주체의 열람 요구의 부당한 제한ㆍ거절(제35조)
	정보주체의 정정ㆍ삭제요구에 따라 필요 조치를 취하지 아니한 자(제36조)
	처리정지된 개인정보에 대해 파기 등의 조치를 하지 않은 자(제37조)
	시정명령 불이행(제64조)
	개인정보의 이전 사실을 알리지 아니한 자(제27조)	1천만원 이하 과태료
	정보주체의 열람, 정정ㆍ삭제, 처리정보 요구 거부 시 통지의무 불이행(제35조, 제36조, 제37조)
	관계물품ㆍ서류 등의 미제출 또는 허위제출(제63조)
	출입ㆍ검사를 거부ㆍ방해 또는 기피한 자(제63조)
파기	개인정보 미파기(제21조)	3천만원 이하 과태료