개인정보 보호 관련 내규 정비(안)

I. 목적 및 필요성

□ 부족한 내규 보충 및 정비

○ 개인정보보호법상 개인정보처리자는 ❶ 개인정보 보호지침(개인정보보호법 제12조), ❷ 개인정보 내부관리계획(개인정보보호법 제29조), ❸ 개인정보 처리방침(개인정보보호법 제30조)의 3가지 내규 필요

○ ❶ 개인정보 보호지침은 개인정보업무처리기준(제정 2011.10.31.) ❸ 개인정보 처리방침은 개인정보 처리방침(제정 2011.10.31.)으로 마련되어 있으나 개정*, ❷ 개인정보 내부관리계획은 신규 제정**

* 법령개정 등 사항에 대비 미비하여 최신화 및 중복, 불필요 내용 삭제 등 정비

** ISMS-P 인증 컨설팅 결과 개인정보 업무처리기준내 안전성 조치관련 내용은 별도의 내부관리계획 내규 제정 권고

□ 대외기관의 개인정보 관리 실태 점검 및 인증 대비

○ 소상공인 마이데이터, 모바일앱, 자영업지원포털 등 개인정보처리시스템의 증가로 개인정보 보호필요성 증대

○ 매년 강화되며 실시되고 있는 서울시 개인정보보호 이행실태점검, ISMS-P인증 및 개인정보 처리시스템 도입시 실시되는 개인정보영향평가 대비

【개인정보영향평가 의무대상(법 제33조, 시행령 제35조)】

1. 민감정보 또는 고유식별정보의 처리가 수반되는 개인정보파일 : 구축·운용 또는 변경하려는 개인정보파일에 5만명 이상의 정보주체에 관한 개인정보가 포함되는 경우

2. 다른 개인정보파일과 연계하려는 경우 : 해당 공공기관 내부 또는 외부에서 구축·운용하고 있는 다른 개인정보파일과 연계한 결과 50만명 이상의 정보주체에 관한 개인정보가 포함되는 경우

3. 일반적인 개인정보 파일 : 구축·운용 또는 변경하려는 개인정보파일에 100만명 이상의 정보주체에 관한 개인정보가 포함된 경우

4. 영향평가를 받은 후 개인정보 검색 체계 등 개인정보파일의 운용 체계를 변경하려는 경우 : 해당 개인정보파일 중 변경된 부분

2. 개인정보 보호업무처리 기준 개정

□ 구성

○ (현행) 10장, 75조 ➜ (개정) 5장, 61조

□ 주요 내용

○ 개인정보보호관련 법령 및 고시 등 상위법규대비 미비사항 조문 신설 및 불필요 조문 삭제

※ 개인정보보호위원회 표준 개인정보보호지침 대비 부족 부분 추가

구분	개정	내용
제3조의2(개인정보 보호 원칙)	<신 설>	재단의 개인정보 8대원칙 제시 (최소 수집, 목적내 활용, 부당변경금지, 보호조치 등)
제3조의3(다른 내규와의 관계)	<신 설>	향후 내규 제정시 준거 기준 명시 미비사항은 정부 고시 등 준수
재8조의2(개인정보의 파기방법 및 절차)	<신 설>	개인정보 보유기간 경과시 5일 이내 복원불가능한 방법으로 개인정보 파기
제8조의3(법령에 따른 개인정보의 보존)	<신 설>	파기하지 않는 개인정보의 보존 원칙 명시
제20조의2(개인정보 유출 사고 대응 매뉴얼 등)	<신 설>	개인정보 유출 사고 발생시 처리사항
제30조의2(개인정보 보호책임자의 공개)	<신 설>	개인정보 처리방침내 개인정보 보호책임자 공개 재강조
제67조의2(개인정보파일 보유기간)	<신 설>	개인정보의 보유기간은 최소기간으로 하며, 법령에 따름
제67조의3(개인정보파일 현황 공개 및 방법)	<신 설>	개인정보파일에 대한 주기적 조사 및 관리
제10장 보 칙	<삭 제>	하위 조문 삭제로 장 삭제
제74조(준용)	<삭 제>	조문 내용 확대 개정 및 조문의 내용상 총칙으로 이동 후 삭제

○ 내부관리계획 제정에 따른 중복내용 삭제

- 제3장 개인정보보호 조직 및 체계, 제4장 개인정보의 안전성 확보 조치, 제9장 개인정보보호 교육, 제9장 내부관리계획의 수립 및 시행 등 내부관리계획의 내용으로 포섭되는 조문 삭제(18개 조문)

○ 정부조직 개편에 따른 현행화

- 개인정보 보호업무 관할 부처 변경(행정안전부 ➜ 개인정보보호위원회)으로 관련 조문 및 별지 양식의 부처명 수정(6개 조문)

○ 개인정보보호관련 법령 및 고시 등 상위법규 개정사항 반영 최신화 및 ISMS-P인증 컨설팅 권고 사항 반영

구분	내용
제1조(목적)	표준 개인정보보호지침의 내용으로 수정
제3조(용어 정의)	개인정보의 정의 세분화 및 가명정보 내용 추가 등
제4조(개인정보의 수집·이용)	조문 제목에 “이용”추가 및 주민등록번호의 경우 동의만으로 수집불가 명시
제7조(개인정보의 목적 외 이용 등)	컨설팅 권고 사항인 “개인정보 목적 외 이용 및 제공 기준”수립 제정 근거 마련
제9조(동의를 받는 방법)	표준 개인정보보호지침의 내용으로 수정 및 정보이용 동의서 작성시 보호위원회의 가이드라인 준수 명시
제11조(민감정보 처리)	제9조로 내용 통합에 따라 삭제
제12조(고유식별정보 처리에 대한 동의)	제9조로 내용 통합에 따라 삭제
제20조(개인정보 유출신고)	정보 유출 신고 기준 인원수의 강화(1만명 → 1천명)
제26조(권리행사의 방법 및 절차)	정보주체의 열람 요구시 개인정보의 수집시 보다 강화된 요구 금지
제30조(개인정보처리방침 기재사항)	조문 제목 수정 및 필수적 추가 기재사항 반영
제31조(임의적 기재사항)	임의적 기재사항이 모두 필수적 기재사항으로 변경되어 제30조로 내용 이동 후 삭제

3. 개인정보 처리방침 개정

□ 주요 내용

○ 소상공인 마이데이터 사업 수행관련 내용 추가 개정

구분	내용
제1조(개인정보의 처리목적)	소상공인 마이데이터를 이용한 민원신청 및 처리 관리 사항 추가
제2조(처리하는 개인정보의 항목)	소상공인 마이데이터 회원가입 시 필수 개인정보 추가 (사업장 정보 : 과세유형 등 5개 추가) (상권분석 자료 : 사업장 면적 등 5개 추가)
제3조(개인정보의 처리 및 보유기간)	소상공인 마이데이터를 이용한 민원신청 및 처리관련 수집정보 5년간 보관
제4조(개인정보의 제3자 제공)	소상공인 마이데이터 이용을 위한 개인정보 제공 정부기관(행정안전부, 국세청, 국민건강보험공단, 법무부) 추가 및 개인(신용)정보의 항목
제6조(정보주체의 권리, 의무 및 그 행사방법)	열람청구서 및 위임장 서식 근거 법규명칭 수정
제9조(개인정보의 안전성 확보조치)	마이데이터 시스템 주민등록번호 5만명 이상 수집예상되어 접속기록 2년 이상 보관 의무 명시
제11조(정보주체의 권익침해에 대한 구제방법)	정보주체의 열람 등 요구에 대해 재단의 행위에 대한 행정심판 청구 가능 명시
제12조(개인정보처리방침 변경에 관한 사항)	불필요한 문구 삭제

○ 개인정보보호관련 법령 및 고시 등 상위법규 개정사항 최신화

구분	내용
제6조(정보주체의 권리, 의무 및 그 행사방법)	열람청구서 및 위임장 서식 근거 법규명칭 수정

4. 개인정보 내부관리 계획 제정

□ 조문 구성

○ (제정) 9장, 27조 구성

구분	내용
내부관리계획의 수립 (제4조 ~ 제5조)	개인정보보호 조직의 구성·운영, 정기 교육실시, 보호 조치 이행 등을 위한 내부관리계획의 수립 및 시행
개인정보 보호책임자의 역할 및 책임 (제6조 ~ 제8조)	개인정보보호 책임자의 지정 및 역할, 책임 등
개인정보 보호 교육 (제9조 ~ 제10조)	개인정보 보호책임자 및 취급자에 대한 교육 사항
기술적 안전조치 (제11조 ~ 제16조)	시스템 접근권한 관리, 접근제한 및 망분리 등 접근통제에 관한 사항 정보통신망을 통한 불법적인 접근 및 침해사고 방지 등을 위해 개인정보처리시스템 및 단말기에 대한 접근통제 조치 시스템 접속의 기록 및 확인·점검 주민등록번호, 비밀번호, 바이오정보 등 개인정보의 암호화 백신 소프트웨어 등 보안 프로그램을 설치·운영 개인정보 침해사고 방지를 위한 관리용 단말기의 안전조치
관리적 안전조치 (제17조 ~ 제20조)	개인정보 보호조직 구성 및 운영에 관한 사항 개인정보 유출사고 및 위험도 분석 대응 등
물리적 안전조치 (제21조 ~ 제23조)	전산실 등 개인정보 보관 장소의 출입통제 및 잠금장치, 반·출입 통제 등 물리적 보안대책 재해, 재난 발생에 대비한 대응절차 및 시스템 백업 복구 개인정보의 안전한 파기 방법 등에 관한 사항 등
가명정보처리 안전조치 (제24조 ~ 제25조)	가명정보 기록의 작성· 보관 및 추가정보 분리·보관 등에 관한 사항
개인정보 유출사고 대응 및 피해구제 (제26조 ~ 제27조)	개인정보 유출 시 정보주체에게 통지 및 보호위원회에게 신고

□ 주요내용

5. 기타

□ 시행일 : 2022년 7월 12일

□ 각 내규에 따른 하위 내규 기준 추가수립 예정

※ 개인정보 유출사고 대응 매뉴얼, 개인정보처리시스템 접근권한 관리, 개인정보 목적 외 이용 및 제3자 제공 등에 관한 세부기준 등 (ISMS-P인증 컨설팅 권고사항)

□ 홈페이지내 개인정보처리방침 별도 메뉴로 추가 배치

별첨 1. 개인정보 보호업무처리 기준 신·구 조문 비교표

2. 개인정보 처리방침 신·구 조문 비교표

2. 개인정보 보호업무처리 기준 개정 후 전문(안)

3. 개인정보 처리방침 개정 후 전문(안)

4. 개인정보 내부관리 계획 제정 전문(안)

현 행	개 정(안)
개인정보 보호업무처리기준 제1장 총 칙 제1조(목적) 개인정보 보호업무처리기준(이하 '이 기준')은 「개인정보보호법」(이하 “법”이라 한다)의 내부관리계획의 수립 및 시행 의무에 따라 제정된 것으로 서울신용보증 재단(이하 '재단'이라 한다)이 취급하는 개인정보를 체계적으로 관리하여 개인정보가 분실, 도난, 누출, 변조, 훼손, 오·남용 등이 되지 아니하도록 함을 목적으로 한다. 제2조(적용범위) (기재 생략) 제3조(용어의 정의) 이 기준에서 사용하는 용어의 정의는 다음 각 호와 같다. 1. “개인정보”란 살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함한다)를 말한다. 2. “개인정보 보호책임자”란 재단의 개인정보 처리에 관한 업무를 총괄해서 책임지거나 업무처리를 최종적으로 결정하는 자로서, 법 제31조에 따른 지위에 해당하는 자를 말한다. 3. “개인정보 보호담당자”라 함은 개인정보 보호책임자를 보좌하여 개인정보보호업무에 대한 실무를 총괄하고 관리하는 자를 말한다. 4. “개인정보취급자”란 재단의 지휘·감독을 받아 개인정보를 처리하는 업무를 담당 하는 자로서 직접 개인정보에 관한 업무를 담당하는 자와 그 밖에 업무상 필요에 의해 개인정보에 접근하여 처리하는 모든 자를 말한다. 5. “개인정보처리시스템”이라 함은 개인정보를 처리할 수 있도록 체계적으로 구성한 데이터베이스시스템을 말한다. 6. ~ 11. (기재 생략) <신 설> <신 설> 제2장 개인정보 처리 기준 제1절 개인정보의 처리 제4조(개인정보의 수집) ① ~ ② (기재 생략) 1. 정보주체로부터 사전에 동의를 받은 경우 2. ~ 7. (기재 생략) ③ (기재 생략) 제5조 ~ 제6조 (기재 생략) 제7조(개인정보의 목적 외 이용 등) ① ~ ④ (기재 생략) ⑤ (기재 생략) ⑥ (기재 생략) <신 설> 제8조(개인정보 수집 출처 등 고지) (기재 생략) <신 설> <신 설> 제9조(동의를 받는 방법) <전문 개정> 제10조 (기재 생략) 제11조 (기재 생략) 제12조 (기재 생략) 제13조(주민등록번호 이외의 회원가입 방법 제공) ① 재단이 시행령 제20조 제1항에 따라 주민등록번호를 사용하지 아니하고도 회원으로 가입할 수 있는 방법(이하 “대체수단”이라 한다)을 제공해야 하는 경우, 정보주체는 주민등록번호가 아닌 대체수단을 사용하여서도 회원으로 가입할 수 있다는 점을 회원가입절차를 위한 화면을 통하여 명시적으로 알리고 회원가입을 받아야 한다. 이 경우 주민등록번호를 이용한 회원가입 방법과 대체수단을 이용한 회원가입 방법을 하나의 화면을 통하여 제공하여야 한다. 제14조 (기재 생략) 제2절 개인정보 처리의 위탁 제15조 ~ 제16조 (기재 생략) 제3절 개인정보 유출통지 제17조 (기재 생략) 제18조(통지시기 및 항목) ① 재단은 실제로 유출 사고가 발생한 것으로 확인된 때에는 정당한 사유가 없는 한 5일 이내에 해당 정보주체에게 다음 각 호의 사항을 알려야 한다. 1. ~ 5. (기재 생략) ② ~ ③ (기재 생략) 제19조(통지방법) (기재 생략) 제20조(개인정보 유출신고) ① 재단은 1만명 이상의 정보주체에 관한 개인정보가 유출된 경우에는 정보주체에 대한 통지 및 조치결과를 5일 이내에 행정안전부장관 또는 시행령 제39조 제2항 각호의 전문기관 중 어느 하나에 신고하여야 한다. ② ~ ③ (기재 생략) ④ 재단은 1만명 이상의 정보주체에 관한 개인정보가 유출된 경우에는 제18조 제1항에 따른 통지와 함께 인터넷 홈페이지에 정보주체가 알아보기 쉽도록 제18조 제1항 각호의 사항을 7일 이상 게재하여야 한다. <신 설> 제21조 (기재 생략) 제4절 정보주체의 권리보장 제22조 ~ 제25조 (기재생략) 제26조(권리행사의 방법 및 절차) ① ~ ④ (기재생략) <신 설> 제5절 개인정보 처리방침 작성 제27조 ~ 제29조 (기재생략) 제30조(필수적 기재사항) 재단이 개인정보처리방침을 작성할 때에는 법 제30조 제1항에 따라 다음 각 호의 사항을 모두 포함하여야 한다. 1. 10. (기재생략) <신 설> 제31조 (기재 생략) <신 설> 제3장 개인정보보호 조직 및 체계 제32조 ~ 제37조 (기재 생략) 제4장 개인정보의 안전성 확보 조치 제38조 ~ 제44조의 1 (기재 생략) 제5장 영상정보처리기기 설치·운영 제1절 영상정보처리기기의 설치 제45조 ~ 제49조 (기재 생략) 제2절 개인영상정보의 처리 제50조 ~ 제53조 (기재 생략) 제3절 개인영상정보의 열람 등 요구 제54조 ~ 제56조 (기재 생략) 제4절 개인영상정보 보호 조치 제57조 ~ 제59조 (기재 생략) 제6장 공공기관 개인정보파일 등록·공개 제1절 개인정보파일의 등록 및 절차 제60조 ~ 제61조 (기재 생략) 제62조(개인정보파일 등록 및 변경 확인) ① 개인정보파일 등록 또는 변경 신청을 받은 개인정보 보호책임자는 등록·변경 사항을 검토하고 그 적정성을 판단한 후 행정자치부에 등록하여야 한다. ② (기재 생략) 제63조 기재 생략) 제64조(개인정보파일 등록 사실의 삭제) ① (기재 생략) ② 개인정보파일 등록의 삭제를 요청받은 개인정보보호책임자는 그 사실을 확인하고, 지체 없이 등록 사실을 삭제한 후 그 사실을 행정자치부에 통보한다. 제65조 (기재 생략) 제2절 개인정보파일의 관리 및 공개 제66조 ~ 제67조 (기재 생략) <신 설> <신 설> 제7장 정기적인 자체감사 제68조 ~ 제69조 (기재생략) 제8장 개인정보보호 교육 제70조 ~ 제71조 (기재생략) 제9장 내부관리계획의 수립 및 시행 제72조 ~ 제73조 (기재생략) 제10장 보 칙 제74조 (기재생략) 부 칙 (제정) ~ 부칙(4) (기재생략) <신 설>	개인정보 보호업무처리기준 제1장 총 칙 제1조(목적) 개인정보 보호업무처리기준(이하 '이 기준')은 「개인정보보호법」(이하 "법"이라 한다) 제12조제1항에 따라 서울신용보증재단(이하 "재단"이라 한다)가 준수하여야 하는 개인정보의 처리에 관한 기준, 개인정보 침해의 유형 및 예방조치 등에 관한 세부적인 사항을 규정함을 목적으로 한다. (현행과 같음) 제3조(용어의 정의) 이 기준에서 사용하는 용어의 정의는 다음 각 호와 같다. 1. “개인정보”란 살아 있는 개인에 관한 정보로서 다음 각 목의 어느 하나에 해당하는 정보를 말한다. 가. 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보 나. 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보. 이 경우 쉽게 결합할 수 있는지 여부는 다른 정보의 입수 가능성 등 개인을 알아보는 데 소요되는 시간, 비용, 기술 등을 합리적으로 고려하여야 한다. 다. 가목 또는 나목을 ‘법 제1호의2’에 따라 가명처리함으로써 원래의 상태로 복원하기 위한 추가 정보의 사용ㆍ결합 없이는 특정 개인을 알아볼 수 없는 정보(이하 "가명정보"라 한다) 2. “개인정보 보호책임자”란 재단의 개인정보 처리에 관한 업무를 총괄해서 책임지거나 업무처리를 최종적으로 결정하는 자로서, 「개인정보 보호법 시행령」(이하 "시행령"이라 한다) 제32조제2항에 해당하는 자를 말한다. 3. “개인정보 보호담당자”라 함은 개인정보 보호책임자를 보좌하여 재단의 개인정보보호 관련 현황관리, 관리실태 이행점검 및 관리감독 등을 수행한다. 4. “개인정보취급자”란 재단의 지휘․감독을 받아 개인정보를 처리하는 업무를 담당 하는 자로서 임직원, 파견근로자, 시간제근로자 등을 말한다. 5. “개인정보처리시스템”이라 함은 데이터베이스 시스템 등 개인정보를 처리할 수 있도록 체계적으로 구성한 응용시스템을 말한다. 6. ~ 11. (현행과 같음) 제3조의2(개인정보 보호 원칙) ① 재단은 개인정보 처리 목적을 명확하게 하여야 하고 그 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집하여야 한다. ② 재단은 개인정보의 처리 목적에 필요한 범위에서 적합하게 개인정보를 처리하여야 하며, 그 목적 외의 용도로 활용하여서는 아니 된다. ③ 재단은 개인정보의 처리 목적에 필요한 범위에서 개인정보의 정확성과 최신성을 유지하도록 하여야 하고, 개인정보를 처리하는 과정에서 고의 또는 과실로 부당하게 변경 또는 훼손되지 않도록 하여야 한다. ④ 재단은 개인정보의 처리 방법 및 종류 등에 따라 정보주체의 권리가 침해받을 가능성과 그 위험 정도를 고려하여 그에 상응하는 적절한 관리적·기술적 및 물리적 보호조치를 통하여 개인정보를 안전하게 관리하여야 한다. ⑤ 재단은 개인정보 처리방침 등 개인정보의 처리에 관한 사항을 공개하여야 하며, 열람청구권 등 정보주체의 권리가 보장될 수 있도록 합리적인 절차와 방법 등을 마련하여야 한다. ⑥ 재단은 개인정보의 처리 목적에 필요한 범위에서 적법하게 개인정보를 처리하는 경우에도 정보주체의 사생활 침해를 최소화하는 방법으로 개인정보를 처리하여야 한다. ⑦ 재단은 개인정보를 적법하게 수집한 경우에도 익명에 의하여 업무 목적을 달성할 수 있으면 개인정보를 익명에 의하여 처리될 수 있도록 하여야 한다. ⑧ 재단은 관계 법령에서 규정하고 있는 책임과 의무를 준수하고 실천함으로써 정보주체의 신뢰를 얻기 위하여 노력하여야 한다. 제3조의3(다른 내규과의 관계) ① 재단의 개인정보 처리와 관련한 개인정보 보호내규을 정하는 경우에는 이 기준에 부합되도록 하여야 한다. ② 이 기준에서 개인정보보호에 관하여 따로 규정하지 않은 사항은 개인정보 보호위원회(이하 "보호위원회"라 한다)의 「표준 개인정보 보호지침」 및 「개인정보의 안전성 확보조치 기준」 등의 관련규정에 따른다. ③ 이 기준에서 영상정보처리기기의 설치․운영 및 개인영상정보의 처리에 관하여 따로 규정하지 않은 사항은「영상정보처리기기 설치⋅운영 지침」 등의 관련규정에 따른다. 제2장 개인정보 처리 기준 제1절 개인정보의 처리 제4조(개인정보의 수집·이용) ① ~ ② (현행과 같음) 1. 정보주체로부터 사전에 동의를 받은 경우, 다만 주민등록번호는 법 제24조의2에 의한 경우를 제외하고는 동의를 받아도 처리할 수 없다. 2. ~ 7. (현행과 같음) ③ (현행과 같음) 제5조 ~ 제6조 (현행과 같음) 제7조(개인정보의 목적 외 이용 등) ① ~ ④ (현행과 같음) <삭 제> ⑥ (현행과 같음) ⑦ 그 밖에 구체적인 사항은 재단의「개인정보 목적 외 이용 및 제공 기준」을 따른다. 제8조(개인정보 수집 출처 등 고지) (현행과 같음) 제8조의2(개인정보의 파기방법 및 절차) ① 재단은 개인정보의 보유 기간이 경과하거나 개인정보의 처리 목적 달성, 해당 서비스의 폐지, 사업의 종료 등 그 개인정보가 불필요하게 되었을 때에는 정당한 사유가 없는 한 그로부터 5일 이내에 그 개인정보를 파기하여야 한다. ② 시행령 제16조제1항제1호의 ‘복원이 불가능한 방법’이란 현재의 기술수준에서 사회통념상 적정한 비용으로 파기한 개인정보의 복원이 불가능하도록 조치하는 방법을 말한다. ③ 재단은 개인정보의 파기에 관한 사항을 기록·관리하여야 한다. ④ 개인정보 보호책임자는 개인정보 파기 시행 후 파기 결과를 확인하여야 한다. ⑤ 재단의 개인정보파일 파기에 관하여는 제63조 및 제64조를 적용한다. 제8조의3(법령에 따른 개인정보의 보존) ① 재단이 법 제21조제1항 단서에 따라 법령에 근거하여 개인정보를 파기하지 아니하고 보존하여야 하는 경우에는 물리적 또는 기술적 방법으로 분리하여서 저장·관리하여야 한다. ② 제1항에 따라 개인정보를 분리하여 저장·관리하는 경우에는 개인정보 처리방침 등을 통하여 법령에 근거하여 해당 개인정보 또는 개인정보파일을 저장·관리한다는 점을 정보주체가 알 수 있도록 하여야 한다. 제9조(동의를 받는 방법) ① 재단이 개인정보의 처리에 대하여 정보주체의 동의를 받을 때에는 정보주체의 동의 없이 처리할 수 있는 개인정보와 정보주체의 동의가 필요한 개인정보를 구분하여야 하며, 정보주체의 동의는 동의가 필요한 개인정보에 한한다. 이 경우 동의 없이 처리할 수 있는 개인정보라는 입증책임은 재단이 부담한다. ② 재단은 다음 각 호의 어느 하나에 해당하는 경우에는 정보주체에게 법 제18조제3항 각 호의 사항을 알리고 동의를 받아야 한다. 1. 개인정보를 수집·이용하고자 하는 경우로서 법 제15조제1항제2호 내지 제6호에 해당하지 않은 경우 2. 법 제18조제2항에 따라 개인정보를 수집 목적 외의 용도로 이용하거나 제공하고자 하는 경우 3. 법 제22조제3항에 해당하여 정보주체에게 재화나 서비스를 홍보하거나 판매를 권유하고자 하는 경우 4. 주민등록번호 외의 고유식별정보 처리가 필요한 경우로서 법령에 고유식별정보 처리 근거가 없는 경우 5. 민감정보를 처리하고자 하는 경우로서 법령에 민감정보 처리 근거가 없는 경우 ③ 재단은 제2항 각 호에 해당하여 개인정보를 처리하고자 하는 경우에는 정보주체에게 동의 또는 동의 거부를 선택할 수 있음을 명시적으로 알려야 한다. ④ 재단은 법 제15조제1항제2호 내지 제6호에 따라 정보주체의 동의 없이 개인정보를 수집하는 경우에는 개인정보를 수집할 수 있는 법적 근거 등을 정보주체에게 알리기 위해 노력하여야 한다. ⑤ 재단이 시행령 제17조제1항제2호의 규정에 따라 전화에 의한 동의와 관련하여 통화내용을 녹취할 때에는 녹취사실을 정보주체에게 알려야 한다. ⑥ 재단이 친목단체를 운영하기 위하여 다음 각 호의 어느 하나에 해당하는 개인정보를 수집하는 경우에는 정보주체의 동의 없이 개인정보를 수집·이용할 수 있다. 1. 친목단체의 가입을 위한 성명, 연락처 및 친목단체의 회칙으로 정한 공통의 관심사나 목표와 관련된 인적 사항 2. 친목단체의 회비 등 친목유지를 위해 필요한 비용의 납부현황에 관한 사항 3. 친목단체의 활동에 대한 구성원의 참석여부 및 활동내용에 관한 사항 4. 기타 친목단체의 구성원 상호 간의 친교와 화합을 위해 구성원이 다른 구성원에게 알리기를 원하는 생일, 취향 및 가족의 애경사 등에 관한 사항 ⑦ 재단이 정보주체의 동의를 받기 위하여 동의서를 작성하는 경우에는 개인정보보호위원회의「개인정보 수집·제공 동의서 작성 가이드라인」을 준수하여야 한다. 제10조 (현행과 같음) 제11조 <삭 제> 제12조 <삭 제> 제13조(주민등록번호 이외의 회원가입 방법 제공) ① 재단이 법 제24조의2제3항에 따라 주민등록번호를 사용하지 아니하고도 회원으로 가입할 수 있는 방법(이하 “대체수단”이라 한다)을 제공해야 하는 경우, 정보주체는 주민등록번호가 아닌 대체수단을 사용하여서도 회원으로 가입할 수 있다는 점을 회원가입절차를 위한 화면을 통하여 명시적으로 알리고 회원가입을 받아야 한다. 이 경우 주민등록번호를 이용한 회원가입 방법과 대체수단을 이용한 회원가입 방법을 하나의 화면을 통하여 제공하여야 한다. 제14조 (현행과 같음) 제2절 개인정보 처리의 위탁 제15조 ~ 제16조 (현행과 같음) 제3절 개인정보 유출통지 제17조 (현행과 같음) 제18조(통지시기 및 항목) ① 재단은 실제로 유출 사고가 발생한 것으로 확인된 때에는 정당한 사유가 없는 한 5일 이내에 해당 정보주체에게 다음 각 호의 사항을 알려야 한다. 다만 유출된 개인정보의 확산 및 추가 유출을 방지하기 위하여 접속경로의 차단, 취약점 점검·보완, 유출된 개인정보의 삭제 등 긴급한 조치가 필요한 경우에는 그 조치를 한 후 그로부터 5일 이내에 정보주체에게 알릴 수 있다. 1. ~ 5. (현행과 같음) ② ~ ③ (현행과 같음) 제19조(통지방법) (현행과 같음) 제20조(개인정보 유출신고) ① 재단은 1천명 이상의 정보주체에 관한 개인정보가 유출된 경우에는 정보주체에 대한 통지 및 조치결과를 5일 이내에 보호위원회 또는 시행령 제39조제2항 각호의 전문기관 중 어느 하나에 신고하여야 한다. ② ~ ③ (현행과 같음) ④ 재단은 1천명 이상의 정보주체에 관한 개인정보가 유출된 경우에는 제18조 제1항에 따른 통지와 함께 인터넷 홈페이지에 정보주체가 알아보기 쉽도록 제18조 제1항 각호의 사항을 7일 이상 게재하여야 한다. 제20조의2(개인정보 유출 사고 대응 매뉴얼 등) ① 재단은 유출 사고 발생 시 신속한 대응을 통해 피해 발생을 최소화하기 위해 「개인정보 유출 사고 대응 매뉴얼」을 마련하여야 한다. ② 제1항에 따른 개인정보 유출 사고 대응 매뉴얼에는 유출 통지·조회 절차, 영업점·인터넷회선 확충 등 고객 민원 대응조치, 현장 혼잡 최소화 조치, 고객불안 해소조치, 피해자 구제조치 등을 포함하여야 한다. ③ 재단은 개인정보 유출에 따른 피해복구 조치 등을 수행함에 있어 정보주체의 불편과 경제적 부담을 최소화할 수 있도록 노력하여야 한다. ④ 그 밖에 구체적인 사항은 재단의「개인정보 유출사고 대응 매뉴얼」을 따른다. 제21조 (현행과 같음) 제4절 정보주체의 권리보장 제22조 ~ 제25조 (현행과 같음) 제26조(권리행사의 방법 및 절차) ① ~ ④ (현행과 같음) ⑤ 재단은 정보주체가 제26조제1항부터 제4항까지에 의한 열람등 요구를 하는 경우에는 개인정보를 수집하는 방법과 동일하거나 보다 쉽게 정보주체가 열람요구 등 권리를 행사할 수 있도록 간편한 방법을 제공하여야 하며, 개인정보의 수집시에 요구되지 않았던 증빙서류 등을 요구하거나 추가적인 절차를 요구할 수 없다. 제5절 개인정보 처리방침 작성 제27조 ~ 제29조 (현행과 같음) 제30조(개인정보처리방침 기재사항) 재단이 개인정보처리방침을 작성할 때에는 법 제30조 제1항에 따라 다음 각 호의 사항을 모두 포함하여야 한다. 1. 10. (현행과 같음) 11. 정보주체의 권익침해에 대한 구제방법 12. 개인정보의 열람청구를 접수·처리하는 부서 <삭 제> 제30조의2(개인정보 보호책임자의 공개) ① 재단이 개인정보 보호책임자를 지정하거나 변경하는 경우 개인정보 보호책임자의 지정 및 변경 사실, 성명과 부서의 명칭, 전화번호 등 연락처를 공개하여야 한다. ② 재단은 개인정보 보호책임자를 공개하는 경우 개인정보 보호와 관련한 고충처리 및 상담을 실제로 처리할 수 있는 연락처를 공개하여야 한다. 이 경우 개인정보 보호책임자와 개인정보 보호 업무를 처리하는 담당자의 성명, 부서의 명칭, 전화번호 등 연락처를 함께 공개할 수 있다.(2022.07.09. 신설) 제3장 <삭 제> 제32조 ~ 제37조 <삭 제> 제4장 <삭 제> 제38조 ~ 제44조의 1 <삭 제> 제5장 영상정보처리기기 설치․운영 제1절 영상정보처리기기의 설치 제45 ~ 제49조 (현행과 같음) 제2절 개인영상정보의 처리 제50조 ~ 제53조 (현행과 같음) 제3절 개인영상정보의 열람 등 요구 제54조 ~ 제56조 (현행과 같음) 제4절 개인영상정보 보호 조치 제57조 ~ 제59조 (현행과 같음) 제6장 개인정보파일 등록․공개 제1절 개인정보파일의 등록 및 절차 제60조 ~제61조 (현행과 같음) 제62조(개인정보파일 등록 및 변경 확인) ① 개인정보파일 등록 또는 변경 신청을 받은 개인정보 보호책임자는 등록․변경 사항을 검토하고 그 적정성을 판단한 후 개인정보보호보호위원회에 등록하여야 한다. ② (현행과 같음) 제63조 (현행과 같음) 제64조(개인정보파일 등록 사실의 삭제) ① (현행과 같음) ② 개인정보파일 등록의 삭제를 요청받은 개인정보보호책임자는 그 사실을 확인하고, 지체 없이 등록 사실을 삭제한 후 그 사실을 개인정보보호위원회에 통보한다. 제65조 (현행과 같음) 제2절 개인정보파일의 관리 및 공개 제66조 ~ 제67조 (현행과 같음) 제67조의2(개인정보파일 보유기간) ① 보유기간은 전체 개인정보가 아닌 개별 개인정보의 수집부터 삭제까지의 생애주기로서 보유목적에 부합된 최소기간으로 산정하되, 개별 법령의 규정에 명시된 자료의 보존기간에 따라 산정해야 한다. ② 개별 법령에 구체적인 보유기간이 명시되어 있지 않은 경우에는 개인정보 보호책임자의 협의를 거쳐 기관장의 결재를 통하여 산정해야 한다. 다만, 보유기간은 별표 1의 개인정보파일 보유기간 책정 기준표에서 제시한 기준과「공공기록물 관리에 관한 법률 영」에 따른 기록관리기준표를 상회할 수 없다. ③ 정책고객, 홈페이지회원 등의 홍보 및 대국민서비스 목적의 외부고객 명부는 특별한 경우를 제외하고는 2년을 주기로 정보주체의 재동의 절차를 거쳐 동의한 경우에만 계속하여 보유할 수 있다. 제67조의3(개인정보파일 현황 공개 및 방법) 재단의 개인정보 보호책임자는 개인정보파일의 보유·파기현황을 주기적으로 조사하여 그 결과를 재단의 개인정보 처리방침에 포함하여 관리해야 한다. 제7장 정기적인 자체감사 제68조 ~ 제69조 (현행과 같음) <삭 제> 제70조 ~ 제71조 <삭 제> <삭 제> 제72조 ~ 제73조 <삭 제> 제10장 삭제 제74조 삭제 부 칙 (제정) (현행과 같음) 부 칙 (5) 제1조(시행일) 이 기준은 2022년 7월 12일부터 시행한다.

[별첨] 1.개인정보 보호업무처리 기준 개정 전·후 대비표

현 행	개 정(안)
개인정보 처리방침 (서문 현행과 같음) 제1조 (개인정보의 처리 목적) (기재 생략) 1. ~ 5. (기재 생략) <신 설> 제2조 (처리하는 개인정보의 항목) 재단에서 처리하는 개인정보의 항목 및 수집방법은 다음과 같습니다. 재단은 소관업무 및 법령에서 정한 최소한의 개인정보 항목만을 처리합니다. 1. 개인정보 항목 가. 필수적 정보 : 개인식별정보(성명, 주민등록번호 등 고유식별정보, 국적, 직업, 주소, 전자우편주소․전화번호 등 연락처), 기업정보(회사명, 회사전화번호, 사업자등록번호, 법인등록번호, 업종 등), 금융거래정보(대출기관, 대출종류, 대출금액, 거래조건, 거래일자, 금액 등 거래 설정 및 내역 정보 등), 신용평가를 위한 정보(신용능력 정보, 신용도판단정보), 기타 금융거래의 설정․유지․이행․관리를 위한 상담, 채권관리 등을 통해 생성되는 정보 나. (기재 생략) 2. (기재 생략) 제3조 (개인정보의 처리 및 보유기간) 재단이 금융(신용보증 등) 거래 및 서울시 수탁 업무와 보증상품 및 서비스 홍보를 위해 처리하는 개인정보의 처리 및 보유기간은 다음과 같습니다. 개인정보는 원칙적으로 개인정보의 처리목적이 달성되면 지체 없이 파기 합니다. 단, 개인정보파일의 정보에 대하여는 금융사고 조사, 분쟁 해결, 민원처리 및 법령상 의무 이행 등의 사유로 명시한 기간 동안 보존합니다. ① ~ ④ (기재 생략) <신 설> 제4조 (개인정보의 제3자 제공) ① (기재 생략) ② (기재 생략) 1. 제공받는 자 가. ~ 다. (기재 생략) 라. 정부기관 등 서울시, 중소벤처기업부, 국민권익위원회, 감사원 등 2. (기재 생략) 3. (기재 생략) 4. 개인정보 보유 기간 개인(신용)정보는 제공된 날로부터 동의 철회 시 또는 제공된 목적을 달성할 때까지 보유·이용됩니다. 동의 철회 또는 제공된 목적 달성 후에는 위에 기재된 이용목적과 관련된 금융사고 조사, 분쟁해결, 민원처리, 법령상 의무이행을 위하여 필요한 범위 내에서만 보유·이용됩니다. ③ ~ ④ (기재 생략) 제5조 (개인정보처리의 위탁) ① ~ ③ (기재 생략) 제6조 (정보주체의 권리, 의무 및 그 행사방법) ① (기재 생략) ② 제1항에 따른 권리 행사는 재단에 대해 개인정보보호법 시행규칙 제8호 서식에 따라 작성 후 서면, 팩스 전송(FAX) 등을 통하여 하실 수 있습니다. ③ (기재 생략) ④ 제1항에 따른 권리 행사는 정보주체의 법정대리인이나 위임을 받은 자 등 대리인을 통하여 하실 수 있습니다. 이 경우 개인정보보호법 시행규칙 제11호 서식에 따른 위임장을 제출하셔야 합니다. ⑤ ~ ⑦ (기재 생략) ⑧ 정보주체의 개인정보에 대한 열람, 정정, 삭제, 처리정지에 대한 요구를 받을 경우 개인정보보호법 시행규칙 별지 제8호 서식에 의한 개인정보(열람, 정정·삭제, 처리정지)요구서를 받은 날로부터 10일 이내에 요구사항을 처리하고 그 결과를 정보주체에게 통보합니다. 개인정보보호법에서 명기한 사유로 인하여 정보주체의 열람을 연기하거나 거절되는 경우에는 연기 또는 거절의 사유 및 이의제기방법을 개인정보(열람, 일부열람, 열람연기, 열람거절) 통지서로 발송하며 정당한 사유 없이 개인정보 열람 등을 거절할 경우 개인정보 보호책임자에게 이의를 제기 할 수 있습니다. ⑨ (기재 생략) 제7조 ~제8조의 2 (기재 생략) 제9조 (개인정보의 안전성 확보조치) 1. ~ 6. (기재 생략) 7. 접속기록의 보관 및 위변조 방지 개인정보처리시스템에 접속한 기록(로그)을 최소 1년 이상 보관, 관리하고 있으며, 접속 기록이 위변조 및 도난, 분실되지 않도록 보안기능을 사용하고 있습니다. 8. ~ 9. (기재 생략) 제10조 (기재 생략) 제11조 (정보주체의 권익침해에 대한 구제방법) ① ~ ② <신 설> 제12조 (개인정보처리방침 변경에 관한 사항) ① 이 개인정보처리방침은 2021년 2월 16일부터 적용되며, 법령 및 방침에 따른 변경내용의 추가, 삭제 및 정정이 있는 경우에는 변경사항의 시행 7일 전부터 홈페이지의 공지사항을 통하여 안내하도록 하겠습니다. ② 이전의 개인정보처리방침은 아래에서 확인하실 수 있습니다. 부칙(제정) ~ 부칙(4) (기재 생략) <신 설>	개인정보 처리방침 (서문 기재 생략) 제1조 (개인정보의 처리 목적) (현행과 같음) 1. (현행과 같음) 6. 소상공인 마이데이터 비대면 민원지원 마이데이터를 이용한 민원신청 및 처리관리 제2조 (처리하는 개인정보의 항목) 재단에서 처리하는 개인정보의 항목 및 수집방법은 다음과 같습니다. 재단은 소관업무 및 법령에서 정한 최소한의 개인정보 항목만을 처리합니다. 1. 개인정보 항목 가. 필수적 정보 : 개인식별정보(성명, 주민등록번호 등 고유식별정보, 성별, 국적, 직업, 주소, 전자우편주소, 전화번호 등 연락처), 기업정보(업체명, 사업장전화번호, 사업자등록번호, 법인등록번호, 사업장 주소, 종업원수, 업종, 표준업종코드, 개·폐업일자, 과세유형, 과세전환일자, 프랜차이즈 여부, 계좌정보, 사업장 면적, 임대료, 권리금, 매출액, 종업원수 등), 금융거래정보(대출기관, 대출종류, 대출금액, 거래조건, 거래일자, 금액 등 거래 설정 및 내역 정보 등), 신용평가를 위한 정보(신용능력정보, 신용도판단정보), 기타 금융거래의 설정․유지․이행․관리를 위한 상담, 채권관리 등을 통해 생성되는 정보 나. (현행과 같음) 2. (현행과 같음) 제3조 (개인정보의 처리 및 보유기간) 재단이 금융(신용보증 등) 거래 및 서울시 수탁 업무와 보증상품 및 서비스 홍보, 소상공인 마이데이터를 통한 민원처리를 위해 처리하는 개인정보의 처리 및 보유기간은 다음과 같습니다. 개인정보는 원칙적으로 개인정보의 처리목적이 달성되면 지체 없이 파기합니다. 단, 개인정보파일의 정보에 대하여는 금융사고 조사, 분쟁 해결, 민원처리 및 법령상 의무 이행 등의 사유로 명시한 기간 동안 보존합니다. ① ~ ④ (현행과 같음) ⑤ 소상공인 마이데이터를 이용한 민원신청 및 처리 관리를 위해 수집된 정보는 수집,이용에 관한 동의일로부터 5년까지 보유,이용됩니다. 제4조 (개인정보의 제3자 제공) ① (현행과 같음) ② (현행과 같음) 1. 제공받는 자 가. ~ 다. (기재 생략) 라. 정부기관 등 서울시, 중소벤처기업부, 국민권익위원회, 감사원, 행정안전부, 국세청, 국민건강보험공단, 법무부 등 2. (현행과 같음) 3. (현행과 같음) 4. 개인정보 보유 기간 개인(신용)정보는 제공된 날로부터 동의 철회 시 또는 제공된 목적을 달성할 때까지, 소상공인 마이데이터를 통한 민원신청 및 민원처리와 관련된 개인정보는 5년까지 보유·이용됩니다. 동의 철회 또는 제공된 목적 달성 또는 보존기간 후에는 위에 기재된 이용목적과 관련된 금융사고 조사, 분쟁해결, 민원처리, 법령상 의무이행을 위하여 필요한 범위 내에서만 보유·이용됩니다. ③ ~ ④ (현행과 같음) 제5조 (개인정보처리의 위탁) ① ~ ③ (현행과 같음) 제6조 (정보주체의 권리, 의무 및 그 행사방법) ① (현행과 같음) ② 제1항에 따른 권리 행사는 재단에 대해 개인정보처리방법에 관한 고시 별지 제8호 서식에 따라 작성 후 서면, 팩스 전송(FAX) 등을 통하여 하실 수 있습니다. ③ (현행과 같음) ④ 제1항에 따른 권리 행사는 정보주체의 법정대리인이나 위임을 받은 자 등 대리인을 통하여 하실 수 있습니다. 이 경우 개인정보 처리방법에 관한 고시 별지 제11호 서식에 따른 위임장을 제출하셔야 합니다. ⑤ ~ ⑦ (현행과 같음) ⑧ 정보주체의 개인정보에 대한 열람, 정정, 삭제, 처리정지에 대한 요구를 받을 경우 개인정보 처리방법에 관한 고시 별지 제8호 서식에 의한 개인정보(열람, 정정·삭제, 처리정지)요구서를 받은 날로부터 10일 이내에 요구사항을 처리하고 그 결과를 정보주체에게 통보합니다. 개인정보보호법에서 명기한 사유로 인하여 정보주체의 열람을 연기하거나 거절되는 경우에는 연기 또는 거절의 사유 및 이의제기방법을 개인정보(열람, 일부열람, 열람연기, 열람거절) 통지서로 발송하며 정당한 사유 없이 개인정보 열람 등을 거절할 경우 개인정보 보호책임자에게 이의를 제기 할 수 있습니다. ⑨ (현행과 같음) 제7조 ~ 8조의2 (현행과 같음) 제9조 (개인정보의 안전성 확보조치) 1. 6. (현행과 같음) 7. 접속기록의 보관 및 위변조 방지 개인정보처리시스템에 접속한 기록(로그)을 최소 1년 이상 보관, 관리하고 있으며, 다만 5만명 이상의 정보주체에 관하여 개인정보를 추가하거나, 고유식별정보 또는 민감정보를 처리하는 경우에는 2년 이상 보관, 관리하고 있습니다. 또한, 접속 기록이 위변조 및 도난, 분실되지 않도록 보안기능을 사용하고 있습니다. 8. ~ 9. (현행과 같음) 제10조 (현행과 같음) 제11조 (정보주체의 권익침해에 대한 구제방법) ① ~ ② ③ 개인정보 보호법 제35조(개인정보의 열람), 제36조(개인정보의 정정·삭제), 제37조(개인정보의 처리정지 등)의 규정에 의한 요구에 대하여 재단이 행한 처분 또는 부작위로 인하여 권리 또는 이익의 침해를 받은 자는 행정심판법이 정하는 바에 따라 행정심판을 청구할 수 있습니다. ‣ 중앙행정심판위원회 : (국번없이) 110 (www.simpan.go.kr) 제12조 (개인정보처리방침 변경에 관한 사항) ① 이 개인정보처리방침은 2022년 7월 9일부터 적용됩니다. ② 이전의 개인정보처리방침은 아래에서 확인하실 수 있습니다. (현행과 같음) 부 칙 (5) 제1조(시행일) 이 방침은 2022년 7월 12일부터 시행한다.

[별첨] 2.개인정보 처리방침 개정 전·후 대비표