2024년 제1차

개인정보 보호 심의위원회 회의록

2024. 2.

디 지 털 정 책 관

(정보시스템담당관)

2024년 제1차 개인정보 보호 심의위원회 회의록

	<회의개요>
□ 일 시 : 2024. 2. 20.(화) 10:00~11:30 □ 장 소 : 서소문별관 1동 4층 공용회의실 □ 참 석 - 외부위원(10명) : 권태경, 김유향, 박영수, 박윤식, 신영진, 정규문, 정혜야, 조수영, 최은정, 허 웅 - 내부위원(1명) : 박진영(부위원장) ※ 배석 : 정보시스템담당관(간사), 개인정보보호팀장(서기) 등 관계 공무원 □ 안 건 - '24년 개인정보보호 시행계획 (심의)

□ 위원 발언 내용

<정보시스템담당관>

○ 진행순서 안내

○ 참석위원 소개

<OOO 부위원장>

○ 인사말씀

<개인정보보호팀장>

○ 2024년 개인정보보호 시행계획(안) 보고

<OOO 부위원장>

○ 처리방침에 대한 전수점검을 하신다고 하셨는데, 평가 수행은 어디서 하나요?

<개인정보보호팀장>

○ 매년 실태점검 용역을 실시하고 있으며, 용역 내 한 꼭지로서 수행하고 있습니다.

<정보시스템담당관>

○ 처리방침에 대한 점검 부분이 부족해서, 작년에 처음 처리방침을 얼마나 세우고 있는지 조사를 해봤습니다. 조금 더 관리가 필요하여 금년도에는 처리방침에 대한 관리수준에 대해 면밀히 추진 할 예정입니다. 관련하여 의견을 주시면 금년도 사업으로 추진하겠습니다.

<OOO 부위원장>

○ 처리방침은 올리는 곳마다 다르고, 서울시는 홈페이지수도 많고 산하기관도 많기 때문에 표준 처리방침이 필요합니다. 어느정도 내용들을 표준화해놓고 그 안에 채워넣을 수 있는 형태로 만들어주면 좋을 것 같습니다.

<정보시스템담당관>

○ 개인정보에 대한 이해가 부족한 상태에서, 시스템 운영부서에서 하려다보니 많은 어려움이 있을것으로 판단됩니다. 금년도에는 전문가 의견들을 많이 듣고 표준지침이 필요하다고 생각합니다.

<OOO 부위원장>

○ 이후에 처리방침 배포만 하는 것이 아니라, 사례들도 함께 설명하면서 처리방침에 대한 교육도 실시하면 좋겠습니다

<OOO 위원>

○ 처리방침에 관련된 지침이 이달말~다음달 초에 나올것이므로 보시고 나서 준비하시면 될듯합니다. 법이 개정됨에 따라 동의받지 않고 처리하는 개인정보의 항목과 법적근거를 열거하도록 하고 있습니다. 각 시스템을 담당하는 사람아니면 알수가 없어서 표준지침에 근거해서 체계를 만들 필요가 있어 보입니다.

<정보시스템담당관>

○ 알겠습니다. 그러면은 지침과 관련해서 한번 저희가 안을 좀 만들어보고요. 세부 소위원회라든지, 위원회 안건으로 다시 한번 기회를 만들어서 검토하는 시간을 또 추가적으로 가져보면 어떨까 싶습니다

<OOO 위원>

○ 사실 지자체에서, 밑으로 내려가면 개인정보 처리 방침이 담당자들이 대부분 알아서 하시잖아요. 표준 되게 중요하고 그다음에 표준대로 적용이 되는지 점검도 되게 중요한 것 같아요. 그래서 담당자들이 그냥 잘 돼 있는데 그냥 그대로 복사해서 넣는 경우가 되게 많거든요. 그러면 기본에 안 맞는 처리 방침들이 운영되는 게 되게 많아요. 그래서 이런 실태점검도 좀 하셔가지고 상황도 파악하시고 어디에 어떻게 적용되고 있는지도 전체를 파악하시고 있는 것도 되게 중요한 것 같아요.

<OOO 위원>

○ 확장해서 좀 몇 개를 말씀드리고 싶은데, 지금 나와 있는 내용 중에 개정된 내용이 지금 보호지침이나 내부 관리 개정에 대한 부분은 있는데 이 부분이 지금 작년에 개정된 개인정보보호법 안전성 확보 조치 고시 내용에 반영이 된 건가요?

<정보시스템담당관>

○ 그런 내용들을 반영을 해서 이제 변화되어지는 내용들이 올 때마다 반영을 하고 있고요. 또 중간중간에 개보위가 법 개정 사항이지만 구체화되지 않은 사항들을 계속 정리를 해서 저희 이제 지자체나 이런 쪽으로 보내잖아요. 그런 사항이 올 때마다 조금씩 반영을 하고 있습니다.

<OOO 위원>

○ 그러면 제가 두 가지만 더 말씀을 드릴게요. 지금 개인정보보호위원회에서 사전 실태 점검 관련한 규정이 새롭게 들어갔어요.
그래서 위험성이 높은 대상 기관을 먼저 선정을 해서 사전 실태 점검들을 많이 실시할 텐데. 그래서 활용에 대한 부분도 중요하지만 작년에 노출 경험이나 이런 것들에 대비하시기 위해서는 지금 저희가 개정된 내용에 맞게 지금 모든 것들을 정리했는지를 좀 우선적으로 검증을 진행을 하시는 게 좀 좋을 것 같고. 그런 측면에서 몇 개가 지금 여기에 잘 작성을 해 주셨지만 추가되면 좋을 것 같다는 의견을 먼저 말씀드리면 아까 이제 첫 번째로 안전성확보 조치 고시 관련한 내용들이 포함이 될 거고요. 그리고 이제 동의서 관련한 것들이 이번에 많이 개정이 되었거든요. 그래서 관리 수준 진단 용역이나 이런 것들을 진행한다고 말씀하셨으니까 동의서 관련해서도 함께 진행을 하셨으면 좋겠다 생각이 있고 그리고 위수탁 관련한 점검도 저번 문서에는 있었던것 같은데 이게 빠진 것 같아서. 위수탁 관련은 실태 점검을 좀 수행하시고 26조에 관한 사항을 준수하셨는지도 한번 정리하시는 게 좀 필요하지 않을까 싶습니다.

<정보시스템담당관>

○ 위수탁 부분은 작년도에 위수탁 관련한 사건 사고가 좀 많이 있으면서 처음 저희가 조사를 한번 해봤었던 거구요. 지금 말씀 주신 사항을 좀 더 보완해서 지속하는 게 좋을 것 같습니다.

<OOO 부위원장>

○ CPO 자격 요건이 강화되다 보니까 서울시도 해당되는 부분일거라고 생각이 듭니다. CPO 현재 지정되어 있는 분들에 대한 자격 요건이나 이런 것들도 한번 좀 검토를 해보셔야 될 것 같아요. 3월 15일 자부터 시행이라서, 기준에 맞게 지정되어 있는지 또 한번 정비하고 그게 정비가 되면 또 처리 방침 내도 다 반영을 해야되는 상황이 될 것입니다.

<OOO 위원>

○ 추가되는 부분을 이제 팔로잉을 하셔야 될 거예요 시행령은. 왜냐하면 예전에는 직급에 대한 부분만 있었잖아요. 근데 이번에는 새롭게 자격 요건에 대한 부분이 추가되었습니다

<OOO 부위원장>

○ 3월 15일부터 자격 요건에 개인정보에 대한 경력, 전문가, 그다음에 자격증, 전공 이런것들 다 포함해서 지정이 되어 있습니다.

<OOO 위원>

○ 한 세 가지 정도만 부탁을 드리면, 이제 법이 바뀌게 되면서 아시겠지만 수준 진단이 진단이 아니라 평가가 되잖아요. 그래서지표 자체가 많이 변화가 있을거기 때문에. 지금 정량 정성 지표로 기록이 되어 있는데 정량은 줄이고 정성 목표가 계속 늘어날 예정입니다. 정성 업무 사항 중심으로 하고 정성 업무사항 플러스 알파를 했는가 점검에 대한 대응 체계를 마련하셔야 될 것 같은데, 그런 체계가 정성 지표들이 많이 늘어나게 될 거예요. 지금보다 더 추가해서 정보 주체 권리 보장도 이미 공개가 되어 있잖아요. 저희 해당 지금 현재 있는 내부 관리 계획 지표는 조금 더 업데이트되거나 할 것이어서 체계를 맞추셔야 될 것 같은데. 분야별 책임자가 지정이되고 난 다음에 분야별 책임자 밑에 분야별 담당자를 좀 지정할 필요가 있습니다. 개인정보보호 부서마다 담당자가 한 명씩 더 지정되게 되면 어쨌든 인적 관리가 더 향상되는 거잖아요. 그렇게되면 앞에 정성 지표를 충족할 수도 있을 것뿐만 아니라 내부 관리에 있는 다른 어떤 지표를 다 대응할 수가 있기 때문에 그런 어떤 담당자 지정 외에 담당자 내지는 분야별 책임자 등을 포함한 협의체를 만드시고 지금 개인정보보호 심의위원회에 있는 거 외에 협의체를 만드는 기관들이 또 많아지고 있거든요. 그래서 협의체를 구성하시게 되면 저희가 지금 현재 동의 서식이라는 표현을 쓰고 있지만 동의 서식이라는 말이 없어지고 처리 서식 이런 식으로 바뀌게 될 겁니다. 때문에 그런 어떤 처리에 대응하는 어떤 법 체계의 점검을 하시도록 하는 방안들을 구축하시게 되면 이게 조금 더 처리 방식 관련해서 동의받지 않고 처리하는 개인정보의 항목과 법적 근거를 처리 방침에 공격적으로 하고 있다 보니까 법적 근거성을 확보했는지에 대한 것들을 판단할 때 업무를 담당하는 자들의 이해관계 업무 담당하는 자들과 협의를 통해가지고 법적 근거성을 확보를 했고 그것에 근거해서 대응 체계가 마련되게 되기 때문에 좀 제대로 된 유기적인 보호체계가 확립이 될 것이예요. 그런 식의 방안으로 하게 되면 내부 관리 계획 지표에서도 이 담당자들이 참여해서 관련된 내부 관리 계획이 수립됐기 때문에, 조금 더 정성 지표에서도 약간 좋은 어떤 평가를 받을 수가 있어서 그 부분을 조금 체계에서 잘 확립하시면 어떤가라고 하는 부탁을 드리고

<정보시스템담당관>

○ 저희가 보니까는 재작년에 평가한 지침이 지표가 작년도에 한 번 1차 바뀌었잖아요. 그리고 금년도에 이제 또 바뀐다는 그런 말씀이신 거잖아요.
그래서 저희가 개인정보보호위원회에서 지표를 이렇게 바꿀 때마다 저희가 약간 좀 방향을 좀 전환을 하고 또 강조점, 방점이 있는데 좀 더 집중을 해야 돼서 조금 어려운 점이 있는데 왜 그러냐면 한참 진행해 가는 가운데 그때 이제 지표라든지 이런 걸 받아요. 그래서 좀 어려운 점이 있는데 미리 말씀해 주시니까 너무 감사하고요. 그런 내용에 대해서 저희한테 좀 많이 알려주시면 감사드리겠습니다.

<OOO 위원>

○ 그리고 이 내부 관리 계획도 보면 아시겠지만 CPO 결재뿐 아니라 어떤 조직 체계의 변화가 필요하다 보니까 기관장 결재를 받는 게 가점 사항입니다. 그래서 기관장 결재를 어떤 식으로든 받을 수 있도록 하는 절차를 좀 수립하시는 게 어떨까 싶습니다. 그리고 또 이번에 개보위의 기본 계획 중에 하나가 정보 주체 실질적인 권리 보장이다 보니까 권리 보장이 될 수 있도록 하는 방안이 크게 두 가지가 있거든요. 하나는 정보 주체에게 정보를 제공을 해서 정보주체가 자신의 어떤 제공받은 정보를 기반으로 해서 자신의 권리를 행사할 수 있도록 하는 방안이다 보니까 저희 통지 관련된 여러 절차들이 많잖아요. 이용 내역 통지부터 해서 그 통지 절차들을 잘 확립할 수 있도록 하는 체계 마련과 그것을 근간으로 정보 주체가 제공받은 정보를 통지받은 정보들을 근간으로 해서 자기네 권리를 행사할 수 있는 방안 등에 대한 것들을 정책화해 주시면은 상당히 도움이 되지 않을까라고 생각을 하고요. 그리고 이번에 법 개정으로 분쟁 조정 제도가 좀 바뀌게 되어서 기존에는 어떤 대응도 하지를 않게 되면 그냥 법으로 간주가 됐으나, 이번에 바뀌게 되었기 때문에 이게 시민들이 분쟁 조정 신청을 하거나 하게 되면은 거기에 대한 대응 체계가 마련되지 않으면 섣불리 이제 모든 것들이 다 분쟁으로 해가지고 안 좋게 결과가 나오거나 할 거예요. 그 때문에 분쟁 조정에 대응하는 어떤 대책도 좀 같이 좀 마련해 줄 그런 거 좀 부탁드리고 싶고. 유출 사고 관련돼서 법 개정이 되어서 72시간 이내에 신고를 하도록 하고 있지만. 근데 1천 명 이상의 정보주체 정보가 유출되거나 아니면 고객 식별 정보나 민간 정보가 유출되거나 아니면 해킹 등을 당하거나 이랬을 때에 신고 대상이 되는데. 거기 단서 보면 아시겠지만 뭔가 유출 될 때는 대응 체계를 마련한 신고하지 않게 할 수 있다는 조항이 있어요. 대신에 이 문제가 될 수 있는 거는 유출 사고가 발생했는데 정보 주체들 입장에서 이거 왜 신고하지 않은 거야라고 오해가 될 수 있기 때문에 여기에 대한 것들이 왜 신고하지 않았는가를 입증할 수 있도록 하는 체계를 마련하여 조금 더 효율적으로 운영할 수 있도록 그 부분에 대해서 좀 신경을 좀 써주시면 어떤가라고 부탁드립니다.

<OOO 위원>

○ 하나만 더 말씀을 드리면 조례를 잠깐 봤는데, 내용이 지금 가명정보 관련한 내용하고 소위원회에 관련한 내용밖에 없는 것 같아요. 보호법과의 기준을 좀 마련을 해서 조례에 넣을 사항하고 보호법을 따로 따로 명확히 해서 정리를 하던가 아니면 여기에 정말 추가돼야 될 내용을 다 넣어줘야 될 것 같거든요. 근데 지금은 딱 보면 보호 조례인데 아무것도 없는 것 같이 느껴져가지고

<정보시스템담당관>

○ 그게 저희가 이제 법률에 계속 어떤 개정 사항들이 많이 있다 보니까 조례에는 그동안 많은 내용들을 좀 담지 않은 상황에서 1차적으로 법률하고 여기에서는 꼭 필요한 사항들을 좀 약간 포괄적인 의미에서만 담았는데요, 이제 저희도 조례 개정이나 이런거 현재 조금생각을 하고 있습니다.

<OOO 위원>

○ 네 한번 그 기준을 그럼 보호법과 조례를 어떤 기준을 놓고 가져갈지 이런 해서 한번 체계 정비를 하시는 게 중요할 것 같습니다.

<OOO 위원>

○ 보호법에 따르면 되는 거니까, 굳이 조례를 법에 맞춰서 하는 게. 좀 아까 변호사님 말씀대로 점검을 할 필요는 있는 것 같아요.

<개인정보보호팀장>

○ 현재까지는 저희가 이제 타 지자체보다 개인정보 조례를 갖다가 우선적으로 제정을 했는데 표준 조례나 이런 내용은 저희가 이제 다 검토를 다 했었고요. 법에 그런 사항이 명시돼 있는 거에 대해서는 별도로 여기서 같이 명시하기보다는 서울시가 자체적으로 추진해야 될 거에 대한 근거나 그런 필요하면 조례안을 마련하는 걸로 그렇게 하고 있습니다.

<정보시스템담당관>

○ 일단은 개정 사안이 개보위를 통해서 계속 오고 세부적인 지침들이 변하면 저희도 지침 상에 그걸 반영해서이제 즉각적으로 공유를 하는 시스템이었고, 조금 전에 말씀드렸다시피 조례 부분은 저희가 여기 꼭 담아야 된다 하는 거 중심으로 하고 또 강조점을 찍을 사항을 조금 더 있는 그런 사항에 이제 포괄을 했는데요. 말씀하신 그런 사항들 그러니까 조례에 그러면 어떤 내용을 좀 더 담아야 되는 건지. 또 앞으로 조례는 어떤 방향으로 되는 건지에 대해서 다시 한 번 검토하도록 하겠습니다.

<OOO 위원>

○ 특수성을 담은 부분만 조례에 올렸으면 좋겠고 그런 내용들로 이제 정리가 됐으면 좋겠다는 생각이 있습니다.

<OOO 위원>

○ 제가 말씀드린 김에 지난번에 저희 회의할 때 컨설팅이랑 얘기했던 결과 저희가 점검한 결과를 한번 저희가 볼 수 있냐는 얘기를 했던 것 같은데. 왜냐하면 사실 이제 어떤 컨설팅을 맡기고 용역을 통해서 점검을 맡겨놓으면 이후에 그 결과는 그냥 좀 안일하게 받아버리고 그러다 보니까 그 컨설팅 결과나 이런 것 충분하게 우리 이제 서울시의 개인정보의 보호를 높이기 위한 활용을 좀 못할 수도 있는 것 같거든요. 용역은 용역으로 그냥 끝나버리니까 특히 좀 더 전문적인 이런 용역 같은 경우에는 용역을 점검하고 보는 분들도 또 전문가, 교수님들이나 전문가여야 될 것 같은데 저도 용역을 많이 해본 입장에서 용역 나중에 처리가 실질적으로 내부에 이렇게 충분히 이렇게 순환되기가 생각보다 힘든 것 같더라고요. 그래서 저희가 한번 보자라는 제안도 했었는데 그거는 혹시 어떻게 좀

<개인정보보호팀장>

○ 저번에 말씀 주신 거는 개인정보 위수탁과 관련된 내용인데요. 사실은 저희가 위수탁과 관련된 부분은 크게 자신이 없습니다. 왜냐 그러면 작년에 처음 이제 했거든요. 그래서 일제 정비라기보다는 저희가 조사라는 용어를 썼는데 현재로는 저희가 조사한 내용을 이제 쭉 보시면 위수탁 관련된 것도 한 400건이 있고 과에서 개별적으로 추진하고 있는 개인정보 영역이 알게 모르게 상당히 많거든요. 일반 영역인데 그 안에 개인 정보가 포함돼 있는것도 많다 보니까 저희가 아직까지 자료는 받았지만 거기에 대한 분류나 그런 건 명확히 못하고 있습니다. 그래서 올해 또 추가 정비를 통해서 또 결과가 나올 수 있을 것 같습니다.

<OOO 위원>

○ 아동청소년 교육 같은 경우에는 교육청이랑 협력해서 하고있는게 맞나요?

<정보시스템담당관>

○ 저희가 기본계획이나 여기 안에서 좀 교육청 협력 부분을 그때 생각은 했었는데 작년도에 여러 가지 사업 안에 미처 거기까지는 이제 추진하지는 못했고요. 금년도에 교육청 협력 사항이 어떤 게 있을지 좀 더 검토해 보도록 하겠습니다

<OOO 위원>

○ 모의 훈련 실시 23년도에는 11월부터죠. 그래서 모의 훈련의 결과를 다음 이제 훈련에 반영하는 어떤 시스템이 있는지. 비예산으로 실시하고 훈련 시나리오가 이제 루틴하게 들어 있는 것 같은데. 그게 이제 거기서 나오는 결과나, 환경 변화 그런 거를 반영한 시나리오 개선이나 아니면 이제 이전 연도에 했던 그 훈련 결과를 반영해서 단계적으로 하는 어떤 체계가 있는지.

<개인정보보호팀장>

○ 지금 여러 가지를 다 말씀을 해 주셨는데 사실은 AI나 그런 환경 변화까지 다 대응할 수 있는 정도까지는 아직까지 고려는 못하고 있고 다만 유출 사고 유형별로 유형이 있지 않습니까?

<OOO 위원>

○ 앞에 있는 요인들도 여러가지가 있는데, 해킹도 굉장히 다양한 형태가 있고. 이제 모의 훈련한 결과가 다음 연도에 이렇게 반영되는 체계가 있는지 아니면 그냥 작년에 했던 거 루틴하게 그냥 또 하고 또 하고 하는 건지

<정보시스템담당관>

○ 저희가 모의 훈련을 작년에 처음 했습니다. 그전에는 없었고요. 그전에는 이제 그냥 교육하고 하는 정도였다가 유출 사고 부분에 좀 더 적극적인 대응이 좀 필요하겠다라고 해서 작년 말에 모의 훈련 처음 이제 해봤고요. 금년도에 지금 말씀하신 그런 사항들이 조금 이렇게 정보가 축적이 좀 돼야 좀 가능할 것 같아서요. 저희 3개년 하는 동안 계속 모의 훈련을 좀 체계를 만들고 강화하고 하는 방향으로 좀 그렇게 해보겠습니다.

<OOO 위원>

○ 그러면 제가 두 가지만 의견을 드리면 하나는 이제 이 모의 훈련에서 보면 이제 유출 대응 훈련이잖아요. 유출 방지 훈련도 필요할 것 같거든요. 그래서 유출 방지 훈련도 그다음에 포함을 하고.  두 번째는 아까 말씀드린 대로 이런 환경 변화가 이전 연도에 했던 그 훈련 결과가 축적이 되겠지만 단편적으로 작년 것만 가지고도 뭔가 그대로 루틴하게 하는 게 아니라.물론 이제 KISA랑 하니까 좀 더 변화가 있겠지만 그런 어떤 요소들을 이렇게 잘 반영할 수 있는 체계를 세워주세요. 여기 그냥 비예산으로만 돼 있고 형식적으로 보여가지고

<정보시스템담당관>

○ 그 부분도 아무튼 조금 확대하면서 예산 반영이 필요한 부분들도 조금 더 체크를 해보고요. 체계를 조금 더 마련해서 실속 있는 모의 훈련이 되도록 하겠습니다.

<OOO 위원>

○ 너무 좋은말씀 해주신 것 같은데요. 요즘 보안 관련해서 PDC 사이클을 만드는 게 가장 중요하다고 얘기를 하거든요. 저희가 수준 진단 평가 지표도 있고, 그 PDC 사이클에 대한 걸 정리하고 있는지를 체크하도록 하죠. 그것 때문에 모의훈련 아니면 개인정보 시스템 등 유출 방지 차원이라고 말씀하셨는데 방지 차원에서 이점이 뭔지를 살펴본 다음에 그것에 의해서 계획 짜고 실행하고 거기에 대한 걸 체크하고 후속 조치가 나온다. 이게 깔끔하게 가장 좋기 때문에 그 방식으로 해주시면 너무 좋을 것 같아요.

<OOO 위원>

○ 아무래도 이게 시청의 어떤 특징 때문에 법 규정에 맞춰서 뭔가 라인을 만드는 것도 중요하지만 실제 사고는 이제 그런 거랑 관계없이 일어나기 때문에 제가 이제 여기 보니까 개인정보 관리 수준 관리 실태 점검하는 거나 또는 대응 체계와 모의 훈련이 아마 이런 쪽일 것 같은데요. 보면 좀 정보 자체에 대한 관심도 있지만 실제 이제 해킹 사고나 또는 여러 가지 사고들에 대비하는 부분이 좀 필요할 것 같아요. 그래서 제가 이제 개인적인 경험으로는 유관기관이나 이런 데서 하면 아무래도 좀 알기 때문에 좀 이게 뭐라고 그러죠? 이제 대놓고 잘 못하는 경우가 있더라고요. 그래서 이런 부분은 약간 외주를 주시더라도 이제 전문적인 그룹들이 많이 있기때문에 조금 그런 식으로 한번 점검 받아보시는 게 좀 되게 잔인할 수도 있지만 어쨌든 긍정적인 평가가 될 거라는 생각이 들고요. 그렇게 해서 보면 예산을 좀 더 많이 배분을 시키는 게 필요하지 않을까 그런 생각도 좀 있습니다. 그리고 모의훈련을 처음 하셨다고 하니까 그게 이제 내용을 하면 이제 직원들이 아무래도 좀 경각심이 생기잖아요. 그게 이제 정보보호 교육하고 좀 연관이 되면 이제 실제 실무자들의 어떤 역량 향상에도 좀 많이 도움이 되지 않을까 그런 생각을 좀 하고 있습니다.

<OOO 위원>

○ 위수탁 관련 얘기가 많이 나왔는데, 실제 저희 계획에는 위수탁이 굉장히 작게 들어가 있는데 최근 아직 언론에는 많이 나오지 않았지만 위수탁 관련해서 취약요소도 많고 좀 많이 이렇게 발전이 되어가는 것 같습니다. 그래서 위수탁과 관련해서 이제 재위탁 관리에 대한 부분이 수준 진단 지표에 보면 계약서 작성이나 이런 부분도 반영이 돼 있으니 재위탁 부분도 좀 많이 고려를 해서 계획을 보완하셨으면 좋겠고요. 추진 과정 관련해서 시스템적인 기술적 측면에서 말씀을 드리면 지금 시스템 운영 관련 2명의 외주 인력이 13종 59식을 운영하고 있다고 나와 있는데 이런 필터링이나 검출 시스템 같은 경우에는 오탐이나 이런 게 굉장히 많습니다. 그런 부분에 있어서 실제 이제 개인정보 유출이나 노출 방지를 위해서 임계치 설정이라든지 인력에 대해서 업체 전문 업체를 잘 선정해서 계획서를 잘 받아서 실질적으로 이제 이런 노출 활동이 이루어질 수도 있고

<정보시스템담당관>

○ 저희가 개인정보보호 시스템을 운영하다 보니까 개인정보 필터링을 적용할 때 굉장히 애로사항이 많아요. 일단은 필터링에서 다 걸러주면 좋은데 필터링에서 조금 전에 말씀하신 어떤 세팅할 수 있는 한계치들이 많이 있더라고요. 그래서 민감 정보라든지 이런 조합에 따른 것들이 많아가지고 아무튼 걸러지지 않는. 운영을 하다 보니 그런 사항들이 있어서 필터링을 어떻게 좀 더 완성도를 높일 거냐 이게 굉장히 중요한 과제로 대두가 많이 되더라고요. 그리고 지금 이제 정형 데이터 검출 중심으로 했는데 인공지능도 그렇지만 비정형 데이터에 대한 어떤 검출 이슈가 계속 높아지고 있어서 사실은 예산 투입이 좀 엄청나게 있어야 되는 상황이더라고요. 그래서 저희가 금년도 예산에 좀 이렇게 대폭 증액을 요청을 했는데 아시다시피 금년도 저희 세수가 많이 줄어서 저희 서울시 예산 상황이 많이 좋지가 않아요. 그래서 필수적인 예산 중심으로만 금년도에는 편성이 됐어요. 그래서 이제 저희 개인정보 업무하기에도 조금 어려운 상황들이 당초 계획보다 좀 어려운 상황이 있었다. 애로사항이 좀 있다 이런 말씀을 좀 드리겠습니다.

<OOO 위원>

○ 아동 청소년 개인정보 처리 방침 절차와 관련해서 의견이 있는데요. 아동 청소년 개인정보 처리 방침을 투자출연기관에 전파한다고 돼 있는데 청소년들이 이용하는 시설이 있죠? 아동 청소년이 이용하는 시설을 해주시면 될 것 같아요. 국립도서관이나 아니면 청소년 수련관이나 각종 체육시설 해주시면 아동 청소년이 직접적으로 느낄수 있을 것 같습니다.

<OOO 위원>

○ 저는 가명정보 관련된 의견을 좀, 아시다시피 이번에 가명정보 가이드라인이 개정되면서 비정형 데이터에 대한 처리에 좀 더 기준이 이제 확보가 되었는데 여전히 부족한 건 사실입니다만 이제 그래도 비정형 데이터 서울시도 보유하고 있는 데이터가 많을 거라고 예상이 돼요. 그래서 그런 데이터를 활용할 수 있는 방안을 찾아보면 있을 것 같아요. 그런 것들 찾아봐 주시기 바라고요. 가명 처리가 예상보다 적더라고요. 작년에 이게 몇 건 안 됐는데 활용이 안 됐는데 저희가 이제 과거 사례들을 생각해 보면 개보위에서 지역별로 활용지원 센터를 만들긴 하는데 보통은 특정 지역에 지자체와 특정 산하기관이 연계해서 센터를 구축 운영하는 형태로 운영되고 있거든요. 개보위는 예산을 제공하고 있고. 서울은 약간 특이하게 개보위가 직접 KISA와 KISA가 만든 센터 하나만 운영이 되고 있고 지자체와의 연계는 없어요. 아까 말씀하신 대로 송파에 저희 이제 KISA에 설치가 되어 있는데 분명히 이름은 서울 가용정보 활용지원센터라고 붙이고 있는데 서울시와 연계가 없다 보니까 서울시 데이터의 활용이 부족한 거라고 저는 생각이 되거든요. 다른 지역 같은 경우는 일단 지자체에서 직접 관여를 하고 있고 그다음에 또 이제 거의 의무는 아니지만 그래도 실적을 계속 요구하고 있어서 계속 찾아다니고 찾아내고 지역 내에 있는 지자체의 정보 그리고 또 지역에 있는 여러 가지 지방 이전한 공공기관들 등의 정보를 결합해서 활용하는 방안을 계속 찾아보고 있어요. 근데 서울시는 센터와 서울시 간의 연계가 없다 보니까 발생하는 문제 같아서 이 부분은 이제 개보위나 KISA와 한번 협의를 하셔서 서울 센터를 서울에 있는 센터 서울시의 센터처럼 같이 좀 협업해서 운영하는 방식이 가장 필요해 보이고. 그다음에 이제 가명정보 활용이 활성화되려면 아무래도 이 데이터를 사용할 사람이 먼저 나서야 되거든요. 나 이 데이터 필요해요라고 먼저 찾아다녀야 되는데 아마 서울시 내에서도 그 수요를 아직 많이 못 찾은 것 같아요. 그래서 제가 보기에는 서울시 산하 연구기관도 있으실 거고 아마 연구 자문한 미리 결과라던가 연구 관련된 시설들에 오히려 우리 서울시가 이렇게 하겠다 우리가 최대한 지원하겠다 라는 형태로 설명회나 아니면 그런 걸 좀 홍보를 하시면 내부적으로 그런 부분은 좀 올해는 사업에 하나가 더 세게 보시면 어떨까

<개인정보보호팀장>

○ 최근에 KISA 담당 팀장님 만나서 센터 이용 방안이나 이런 부분을 좀 회의 했습니다.

<정보시스템담당관>

○ 조금 전에도 말씀하셨다시피 저희가 이제 처음에는 사무실 내부에 가명결합하는 걸 지원하는 거 예산을 좀 대폭 잡았었다가 수요가 생각보다 그렇게 많지 않았고 조정을 하는 과정이 있었는데 말씀하시다시피 어떤 외부 기관과의 연계 이런. 그다음에 사실 내가 이렇게 하면은 좀 데이터를 잘 활용할 수 있을 것 같아 그런데 어떻게 해야 되는지 모르겠어 하는 기관들이 분명히 있을 거라는 생각이 들고요. 그런 데 홍보라든지 좀 생각이 듭니다

<OOO 위원>

○ 올해도 혹시 컨설팅 업체가 선정이 됐나요?

<개인정보보호팀장>

○ 아직 안되어 있습니다. 준비 중이에요.

<OOO 위원>

○ 그래서 서울시에도 물론 이제 업체 선정에서 진행하고 국내에도 다양 업체가 운영이 됐는데 작년에 그 업체가 이제 현재 서울 센터 서울 이제 가명지원센터에 또 들어가 있거든요.
그쪽에 같이 협업하시면 분명히 저는 시너지가 날 거라고 보여지고요.
그쪽에서도 일종의 필요하면 관련된 교육이나 현재 이미 이제 기 도입된 시스템에 대한 설명 안내를 다 해드리고 있어요.
그런 부분은 서울시에 있는 일종의 사업과 센터의 사업을 좀 연계해서 이용자들이 활용할 수 있도록 해주시면 좋겠다는 바람이다.

<OOO 위원>

○ 예산 관련 말씀을 주셔서, 팀장님 말씀에 첨언을 해드리면 이제 보호 예산 올해도 할 거지만 데이터 안심 지역이란 제도를 작년에 시행을 했고 올해 그 예산을 지원을 합니다. 매년 2개 정도 기관에 예산 지원을 하게 되거든요. 만약에 그거를 서울시에서 같이 받아서 운영을 하게 되면 예산적으로도 어느 정도 이제 시스템 지원을 받게되고 이제 가명정보 활용에 있어서도 거기서 필수적으로 하는 것들이 있거든요. 그래서 실적도 같이 챙겨가실 수 있고, 그런 부분이 있으실 것 같아서 개인정보 안심 구역 관련해서 좀 챙겨보시면 좋을 것 같다 말씀드립니다.

<OOO 위원>

○ 추가로 노출된 정보 통신망을 통해서 계좌번호라든가 신용카드 번호 등이 유출되지 않도록 하는 조치가 공공기관 모두에 적용되게 되어 있기 때문에 거기에 대한 대응 방안도 같이 좀 마련해주시면 좋겠다

<OOO 부위원장>

○ 좋은 의견 주셨고요. 위원님들 말씀하신 것 중에 이제 더 추가적으로 좀 말씀드리면 위수탁 관련해서는 이제 작년에 이제 시작인 것 같고요.
앞으로 해야 될것이 많이 있기는 하겠지만 이제 사업 계약 용역 계약되는 거나 이런 것들 시점에 개인 위수탁 계약서나 그다음에 위수탁 계약할 때 기본으로 해서 체크리스트 이런 것들을 좀 만들어서 일단 계약자가 체크리스트에 만족하냐 안하냐 이렇게 해서 좀 정량화시켜서 업체를 평가할 수 있는 기준을 만들면 도움이 되실 것 같고요. 작년에 찾아가는 법령해석 지원센터를 수행하시려고 했는데 신청률이 낮아서 결국은 못하게 됐는데 이런 것들이 실제 소상공인이 되게 필요한 상황인데 홍보가 잘 안 돼서 진행이 안 되는 것 같아서 좀 안타까움이 있어서 예를 들어 PIS FAIR도 하시고 이러니까 그럴 때 좀 홍보 활동을 하면 아무래도 개인정보 관련된 아쉬운 소상공인 분들도 많이 참석을 하시고 해당 세미나 같은 게 있는 그런 걸 홍보하시면 어떨까

<정보시스템담당관>

○ 저희가 일단 중소기업이나 이런 데는 솔직히 여력이 없는 것 같더라고요.
그래서 저희가 법률 지원도 해드리고 또 개인정보에 대한 컨설팅도 일부 해드릴 수 있습니다 이렇게 얘기를 했을 때 이제 소규모 기업이나 이런 데서 그런 개인정보 관리를 내부적으로 좀 해야 되겠다 그리고 내부는 그럼 어떤 체계를 가져야지 이렇게 같이 가져가야 되는데 그것조차도 좀 부담을 많이 느끼시는 것 같더라고요. 그래서 저희는 그래도 조금 중소 단위가 있는 데는 좀 괜찮겠지라고 생각을 했는데 생각보다 이런 기업들이 개인정보 관리하는데 지금 어떤 매출이나 여러 가지 것들이 급급하다 보니까 개인정보 관리나 이런 데 여력이 많이 없으세요.

<OOO 부위원장>

○ 근데 이제 아는 분들이 저한테 문의를 하시는 게 개인정보 책임자가 됐는데 뭘 해야 될지 모르겠다

<정보시스템담당관>

○ 맞습니다.

<OOO 부위원장>

○ 그런 부분부터 좀 시작하면 어떨까

<정보시스템담당관>

○ 그래서 개보위나 저희 지자체 쪽에서 만약에 이제 기업 대상으로 한 그런 법률 지원이라든지 개인정보보호 지원에 대한 거를 조금 하려면 이제 단순 홍보 이런 것보다 조금 거기에서 정말 실질적으로 할 수 있도록 하는 어떤 체계 이런 것이 좀 필요한 거 아닌가 저희가 작년에도 그러다 보니까 저희 스스로도 절절하게 느끼겠는 거예요. 이게 그냥 이거 하세요라고 해가지고 될 사항은 좀 아닌 것 같다 이런 거 있어서 개보위랑 좀 더 상의를 해야 될 것같다는 생각이 들었습니다.

<OOO 부위원장>

○ 추가적으로 의견이 있으신 분 있으실까요? 위원님들 좋은 의견들 잘 주셨고요. 오늘 나온 의견들은 추진 계획에 좀 반영을 해서 해주시면 될 것 같습니다. 그리고 추진 의견 반영하는 걸로 해서 이 의견에 대해서는 확정을 하는 게 어떠실지. 그러면 이상으로 24년 개인정보 시행계획 심의를 마치도록 하겠습니다. 수고 많으셨습니다.

<정보시스템담당관>

○ 원안 동의하고 지금 주신 의견은 세부 내용으로 반영하는 것으로 그렇게 하고. 반영된거는 보내드리도록 하겠습니다. 오늘 여러 말씀 주셔서 감사합니다.