붙임		□개인정보보호법□ 위반행위 행정처분 사례(지방공기업)

❑ 수집․이용, 제공 시 동의 및 고지 의무 위반(제15조, 제17조, 제18조)

① 개인정보 수집 시 필수 고지사항* 미고지(§15②)

* 고지항목(4개) : 수집‧이용목적, 수집항목, 보유‧이용기간, 미동의 시 불이익 고지

제15조(개인정보의 수집‧이용) 제2항 위반 : 3천만원 이하의 과태료(1회 위반 600만원)

☞ 홈페이지 통한 개인정보 수집 시 동의거부권 및 불이익 사항을 누락

❑ 동의를 받는 방법 위반(제22조)

① 동의 시 필수/선택 등 구분 없이 일괄 동의(§22①∼③)

제22조(동의를 받는 방법) 제3항 위반 : 1천만원 이하의 과태료(1회 위반 200만원)

☞ 홈페이지에서 체육시설 사용신청 등을 위해 개인정보를 수집하면서 주민등록번호를 구분하여 동의를 받지 않음

❑ 개인정보 처리 위탁 시 준수사항 위반(제26조)

① 위탁 시 필수사항*을 문서에 미반영(§26①)

* 필수사항(7개) : 위탁 목적‧범위, 목적 외 처리금지, 기술적‧관리적 보호조치, 재위탁 제한, 안전성 확보 조치, 관리현황 점검‧감독, 손해배상

제26조(업무위탁에 따른 개인정보의 처리 제한) 제1항 위반 : 3천만원 이하의 과태료(1회 위반 200만원)

☞ 위탁 시 필수사항을 문서에 일부 또는 전부 누락

② 개인정보처리 수탁사를 미공개(§26②)

제26조(업무위탁에 따른 개인정보 처리 제한) 제2항 위반 : 1천만원 이하의 과태료(1회 위반 200만원)

☞ 수탁자를 홈페이지에 공개하지 않음

③ 수탁사 교육 및 실태점검 등 관리‧감독 소홀(§26④)

제26조(업무위탁에 따른 개인정보 처리 제한) 제4항 위반 : 시정조치 명령

☞ 개인정보보호 교육 및 실태점검 등 관리‧감독을 실시하지 않음

❑ 개인정보취급자에 대한 감독 위반(제28조)

① 개인정보취급자에 대한 관리‧감독 미실시(§28①)

제28조(개인정보취급자에 대한 감독) 제1항 위반 : 시정조치 명령

☞ 개인정보취급자에 대한 실태점검 실적 없음

② 개인정보취급자에 대한 교육 미실시(§28②)

제28조(개인정보취급자에 대한 감독) 제2항 위반 : 시정조치 명령

☞ 기관의 개인정보보호 내부관리계획에는 전 직원 교육을 연2회(상․하반기) 실시하도록 정하고, 실제 연1회 실시

❑ 개인정보의 안전성 확보조치* 의무 위반(제29조)

* 조치사항(6개) : 내부관리계획 수립, 접근통제 및 접근권한 제한, 저장‧전송 시 암호화, 접속기록 보관, 보안 프로그램 설치, 물리적 보호조치

제29조(안전조치의무) 위반 : 3천만원 이하의 과태료(1회 600만원)

① 접근통제 및 접근권한의 제한 조치 위반

☞ 외부에서 관리자페이지에 접속 시 VPN이나 전용선 등 안전한 접속 수단을 사용하지 않고 아이디/비밀번호만으로 인증함

☞ 홈페이지 회원관리의 관리자 계정을 소속 직원 2명이 공유하여 사용

☞ 내부관리계획으로 수립한 비밀번호작성규칙을 실제 홈페이지에 적용하지 않음

☞ 취급자의 접근권한 부여·변경·말소에 대한 이력을 남기지 않음

② 개인정보 저장 및 송․수신시 암호화 위반

☞ 홈페이지에서 회원의 비밀번호 송·수신 시 암호화 미조치 및 저장 시 일방향이 아닌 양방향 암호화 실시, 주민등록번호 저장 시 암호화 미조치

☞ 고유식별번호에 대해 DB암호화가 되어 있지 않음

③ 접속기록의 보관 조치 위반

☞ 시스템에 접속하여 수행한 업무에 내역에 대하여 식별자, 접속일시, 접속자를 알 수 있는 정보, 수행업무 등 접속한 사실을 기록한 접속기록을 일부 또는 전부 남기고 있지 않음

❑ 개인정보 처리방침의 수립 및 공개 위반(제30조)

① 개인정보 처리방침 수립 시 필수항목* 누락(§30①)

* 필수사항(8개) : 처리 목적, 처리 및 보유 기간, 제3자 제공, 위탁, 정보주체 권리‧의무 및 행사방법, 처리 항목, 파기 사항, 안전성 확보조치

제30조(개인정보처리방침의 수립 및 공개) 제1항 위반 : 1천만원 이하의 과태료(1회 200만원)

☞ 처리방침 수립 시 필수항목 일부 누락(위탁, 파기, 안전조치)