문서번호	시민소통담당관-5879
결재일자	2014.4.10.
공개여부	대시민공개
방침번호

				시 민
주무관	시민청팀장	시민소통담당관		시민소통기획관
이정화	이은웅	김진만		04/10 김선순
협 조

개인정보 처리 업무위탁 검토 보고

2014. 4. 10.목)

시민소통기획관

(시민소통담당관)

::: 해당사항이 없을 경우 ‘무 ■’ 표시하시기 바랍니다.
검토항목	검 토 여 부 (■ 표시)
시민참여 고려사항	●	시민	:	유 □	(		)		무 □
	●	이해당사자	:	유 □	(		)		무 □
	●	전문가	:	유 □	(		)		무 □
	●	옴 브 즈 만	:	유 □	(		)		무 □
법령및기타 고려사항	●	법령규정	:	교통 □ 환경 □ 재해 □
				기타 □	(		)		무 □
	●	기타사항	:	고용효과 □ 노동인지 □ 균형인지 □
				홍보 □ 취약계층 □ 성인지 □
				장애인 □ 디자인 □ 갈등발생 가능성 □
				유지관리 비용 □ 바른 우리말 □				무 □
타자원의 활용	●	중앙부처	:	유 □	(		)		무 □
	●	민간단체	:	유 □	(		)		무 □
	●	기업	:	유 □	(		)		무 □
관 계 기 관 및 단체 협의	●	관계기관	:	유 □	(		)		무 □
	●	민간단체	:	유 □	(		)		무 □
	●	시산하기관	:	유 □	(	서울문화재단	)		무 □

개인정보 처리 업무위탁 검토 보고

관련법령에 따라 시민청 운영관련 수탁기관인 서울문화재단과 개인정보처리 업무위탁 협약을 체결하고자 함.(※정보통신보안담당관-4222호,2014.3.4.)

□ 관련근거

❍ 개인정보보호법 제26조(업무위탁에 따른 개4인정보의 처리 제한) 및 동법 시행령 제28조(개인정보의 처리 업무 위탁시 조치)

❍ 서울특별시 개인정보보호지침 제19조(수탁자의 선정시 고려사항), 제20조(개인정보보호조치 의무) 및 제21조(정보주체와 재위탁의 관계)

□ 위탁협약 개요

❍ 수탁기관 : 서울문화재단

❍ 위탁의 유형

- 개인정보의 수집·관리 업무 그 자체를 위탁하는 개인정보처리업무 위탁

※ ‘개인정보처리’란 개인정보의 수집, 생성, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정, 복구, 이용, 제공, 공개, 파기, 그 밖에 이유 유사한 행위를 말한다.(개인정보보호법 제2조)

❍ 위탁기간 : 2014. 4.15 ~ 2015.10.31.

□ 향후일정

❍ 개인정보 처리(시민청 운영) 업무위탁 계약 체결	4.15까지

❍ 서울시 홈페이지에 개인정보 처리 업무 위탁 사실 공개	4.16까지

❍ 수탁자에 대한 개인정보보호 교육 및 관리감독

- 교육방법 : 정보보안통신담당관에서 실시하는 개인정보보호 교육에 서울문화재단 개인정보취급자 의무 참석토록 안내

※ 정보통신보안담당관의 개인정보보호 교육일정 별도 통보

- 점검방법 : 자체 점검 계획 수립·시행(연2회)

붙임 : 1. 업무 위탁시 위탁자와 수탁자의 책무 1부.

2. 개인정보처리(시민청운영) 업무위탁 협약서(안) 1부.

3. 관련규정 1부.

[붙임 1]

업무위탁시 위탁자와 수탁자의 책무

□ 위탁자

❍ 위탁시 개인정보보호 의무사항 문서화(법 제26조제1항, 영 제28조제1항)

❍ 위탁업무 내용 및 수탁자 공개(법 제26조제2항, 영 제28조제2항)

❍ 홍보 또는 판매권유 업무를 위탁하는 경우에는 정보주체에게 개별통지(법 제26조제3항, 영 제28조제4,5항)

❍ 수탁자에 대한 개인정보보호 교육 및 관리감독(법 제26조제4항, 영 제28조제6항)

❍ 수탁자의 불법행위로 인한 손해배상책임(법 제26조제6항, 영 제28조제1항)

- 수탁자가 위탁받은 업무를 처리하는 과정에서 법을 위반하여 손해배상책임이 발생한 경우 수탁자를 개인정보처리자(위탁자)의 소속직원 보아 위탁자가 손해배상책임을 짐(즉, 위탁자는 수탁자의 사용자로 간주되어 수탁자 선임 및 감독 등 사용자책임을 짐)

※ 벌칙규정

위 반 행 위	벌칙 또는 과태료
업무위탁 시 제26조제1항 각 호의 내용이 포함된 문서에 의하지 아니한 자 (법 제26조제1항 위반)	1천만원 이하의 과태료 (제75조제3항제4호)
업무위탁에 따른 개인정보 처리사실을 공개하지 아니한 자 (법 제26조제2항 위반)	1천만원 이하의 과태료 (제75조제3항제5호)
정보주체에게 알려야 할 사항을 알리지 아니한 자 (법 제26조제3항 위반)	3천만원 이하의 과태료 (제75조제2항제1호)

□ 수탁자

❍ 개인정보를 안전하게 보호하기 위한 조치 이행(법제26조제7항)

- 개인정보처리자의 개인정보보호 의무규정 준용

❍ 수탁업무 목적 외 개인정보 이용․제공 금지(법제26조제5항)

※ 벌칙규정

위 반 행 위	벌칙 또는 과태료
업무위탁 범위를 초과하여 개인정보를 이용하거나 제3자에게 제공한 수탁자 (법 제26조제5항 위반)	5년 이하 징역 또는 5천만원 이하의 벌금 (제71조제1호)

[붙임 2]

개인정보 처리(시민청운영) 업무위탁 협약서

서울특별시(이하 “시”라 한다)와 협약상대자 서울문화재단(이하 “재단”이라 한다)은 “갑”의 개인정보 처리업무를 “을”에게 위탁함에 있어 다음과 같은 내용으로 본 업무위탁 협약을 체결한다.

제1조 (목적) 이 계약은 “시”가 개인정보 처리업무를 “재단”에게 위탁하고, “재단”은 이를 승낙하여 “재단”의 책임아래 성실하게 업무를 완성하도록 하는데 필요한 사항을 정함을 목적으로 한다.

제2조 (용어의 정의) 본 계약에서 별도로 정의되지 아니한 용어는 개인정보보호법, 동법 시행령 및 시행규칙, 「표준 개인정보 보호지침」(행정안전부 예규 제45호)에서 정의된 바에 따른다.

제3조 (위탁업무의 목적 및 범위) “재단”은 계약이 정하는 바에 따라 시민청 운영을 목적으로 다음과 같은 개인정보 처리 업무를 수행하며 이 외 개인정보의 처리는 엄격히 금지한다.

상세한 목적 및 범위는 제안요청서를 따른다.

1. 시민청 운영을 위한 개인정보의 수집, 생성, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정, 복구, 이용, 제공, 공개, 파기, 그밖에 이와 유사한 행위

2. 시민청 홈페이지 개발 및 관리

3. 대관 및 회원가입 시스템 응용 프로그램 개발관리

제4조 (재위탁 제한) ① “재단”은 “시”의 사전 승낙을 얻은 경우를 제외하고 “시”와의 협약상의 권리와 의무의 전부 또는 일부를 제3자에게 양도하거나 재위탁할 수 없다.

② “재단”이 재위탁 받은 수탁회사를 선임한 경우 “재단”은 당해 재위탁 계약서와 함께 그 사실을 즉시 “시”에 통보하여야 한다.

제5조 (개인정보의 안전성 확보조치) “재단”은 개인정보보호법 제29조, 동법 시행령 제30조 및 개인정보의 안전성 확보조치 기준 고시(행정안전부 고시 제2011-43호)에 따라 개인정보의 안전성 확보에 필요한 관리적․기술적 조치를 취하여야 한다.

제6조 (개인정보의 처리제한) ① “재단”은 협약기간은 물론 계약 종료 후에도 위탁업무 수행 목적 범위를 넘어 개인정보를 이용하거나 이를 제3자에게 제공 또는 누설하여서는 안 된다.

② “재단”은 협약이 해지되거나 또는 협약기간이 만료된 경우 위탁업무와 관련하여 보유하고 있는 개인정보를「개인정보보호법」시행령 제16조에 따라 즉시 파기하거나 “시”에게 반납하여야 한다.

③ 제2항에 따라 “재단”이 개인정보를 파기한 경우 지체없이 “시”에게 그 결과를 통보하여야 한다.

제7조 (수탁자에 대한 관리·감독 등) ① “시”는 “재단”에 대하여 다음 각 호의 사항을 관리하도록 요구할 수 있으며, “재단”은 특별한 사유가 없는 한 이에 응하여야 한다.

1. 개인정보의 처리 현황

2. 개인정보의 접근 또는 접속현황

3. 개인정보 접근 또는 접속 대상자

4. 목적 외 이용․제공 및 재위탁 금지 준수여부
5. 암호화 등 안전성 확보조치 이행여부
6. 그 밖에 개인정보의 보호를 위하여 필요한 사항

② “시”는 “재단”에 대하여 제1항 각 호의 사항에 대한 실태를 점검하여 시정을 요구할 수 있으며, “재단”은 특별한 사유가 없는 한 이행하여야 한다.

③ “시”은 처리위탁으로 인하여 정보주체의 개인정보가 분실·도난·유출·변조 또는 훼손되지 아니하도록 개인정보의 안전성 확보조치 기준 고시(행정안전부 고시 제2011-43호)에 따라 1년에 1회 이상 “재단”을 교육할 수 있으며, “재단”은 이에 응하여야 한다.

④ 제1항에 따른 교육의 시기와 방법 등에 대해서는 “시”는 “재단”과 협의하여 시행한다.

제8조 (손해배상) ① “재단” 또는 “재단”의 임직원 기타 “재단”의 수탁자가 이 계약에 의하여 위탁 또는 재위탁받은 업무를 수행함에 있어 이 계약에 따른 의무를 위반하거나 “재단” 또는 “재단”의 임직원 기타 “재단”의 수탁자의 귀책사유로 인하여 이 계약이 해지되어 “시” 또는 개인정보주체 기타 제3자에게 손해가 발생한 경우 “재단”은 그 손해를 배상하여야 한다.

② 제1항과 관련하여 개인정보주체 기타 제3자에게 발생한 손해에 대하여 “시”가 전부 또는 일부를 배상한 때에는 “시”는 이를 “재단”에게 구상할 수 있다.

본 계약의 내용을 증명하기 위하여 협약서 2부를 작성하고, “시”과 “재단”이 서명 또는 날인한 후 각 1부씩 보관한다.

2014년 4월 15일

“시” : 서울특별시(서울특별시 중구 세종대로 110)

시     장      박   원   순  (인)

“재단” : (재)서울문화재단(서울특별시 동대문구 청계천로 517)

대표이사       조   선   희  (인)

[붙임 3]

개인정보 업무위탁 관련법령 및 규정

【개인정보보호법】

제26조(업무위탁에 따른 개인정보의 처리 제한) ① 개인정보처리자가 제3자에게 개인정보의 처리 업무를 위탁하는 경우에는 다음 각 호의 내용이 포함된 문서에 의하여야 한다.

1. 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항

2. 개인정보의 기술적ㆍ관리적 보호조치에 관한 사항

3. 그 밖에 개인정보의 안전한 관리를 위하여 대통령령으로 정한 사항

② 제1항에 따라 개인정보의 처리 업무를 위탁하는 개인정보처리자(이하“위탁자”라 한다)는 위탁하는 업무의 내용과 개인정보 처리 업무를 위탁받아 처리하는 자(이하“수탁자”라 한다)를 정보주체가 언제든지 쉽게 확인할 수 있도록 대통령령으로 정하는 방법에 따라 공개하여야 한다.

③ 위탁자가 재화 또는 서비스를 홍보하거나 판매를 권유하는 업무를 위탁하는 경우에는 대통령령으로 정하는 방법에 따라 위탁하는 업무의 내용과 수탁자를 정보주체에게 알려야 한다. 위탁하는 업무의 내용이나 수탁자가 변경된 경우에도 또한 같다.

④ 위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 분실ㆍ도난ㆍ유출ㆍ변조 또는 훼손되지 아니하도록 수탁자를 교육하고, 처리 현황 점검 등 대통령령으로 정하는 바에 따라 수탁자가 개인정보를 안전하게 처리하는지를 감독하여야 한다.

⑤ 수탁자는 개인정보처리자로부터 위탁받은 해당 업무 범위를 초과하여 개인정보를 이용하거나 제3자에게 제공하여서는 아니 된다.

⑥ 수탁자가 위탁받은 업무와 관련하여 개인정보를 처리하는 과정에서 이 법을 위반하여 발생한 손해배상책임에 대하여는 수탁자를 개인정보처리자의 소속 직원으로 본다.

⑦ 수탁자에 관하여는 제15조부터 제25조까지, 제27조부터 제31조까지, 제33조부터 제38조까지 및 제59조를 준용한다.

【개인정보보호법 시행령】

제28조(개인정보의 처리 업무 위탁 시 조치) ① 법 제26조제1항제3호에서 "대통령령으로 정한 사항"이란 다음 각 호의 사항을 말한다.

1. 위탁업무의 목적 및 범위

2. 재위탁 제한에 관한 사항

3. 개인정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항

4. 위탁업무와 관련하여 보유하고 있는 개인정보의 관리 현황 점검 등 감독에 관한 사항

5. 법 제26조제2항에 따른 수탁자(이하 "수탁자"라 한다)가 준수하여야 할 의무를 위반한 경우의 손해배상 등 책임에 관한 사항

② 법 제26조제2항에서 "대통령령으로 정하는 방법"이란 개인정보 처리 업무를 위탁하는 개인정보처리자(이하 "위탁자"라 한다)가 위탁자의 인터넷 홈페이지에 위탁하는 업무의 내용과 수탁자를 지속적으로 게재하는 방법을 말한다.

③ 제2항에 따라 인터넷 홈페이지에 게재할 수 없는 경우에는 다음 각 호의 어느 하나 이상의 방법으로 위탁하는 업무의 내용과 수탁자를 공개하여야 한다.

1. 위탁자의 사업장등의 보기 쉬운 장소에 게시하는 방법

2. 관보(위탁자가 공공기관인 경우만 해당한다)나 위탁자의 사업장등이 있는 시·도 이상의 지역을 주된 보급지역으로 하는「신문 등의 진흥에 관한 법률」제2조제1호 가목·다목 및 같은 조 제2호에 따른 일반일간신문, 일반주간신문 또는 인터넷신문에 싣는 방법

3. 같은 제목으로 연 2회 이상 발행하여 정보주체에게 배포하는 간행물·소식지·홍보지 또는 청구서 등에 지속적으로 싣는 방법

4. 재화나 용역을 제공하기 위하여 위탁자와 정보주체가 작성한 계약서 등에 실어 정보주체에게 발급하는 방법

④ 법 제26조제3항 전단에서 "대통령령으로 정하는 방법"이란 서면, 전자우편, 팩스, 전화, 문자전송 또는 이에 상당하는 방법(이하 "서면 등의 방법"이라 한다)을 말한다.

⑤ 위탁자가 과실 없이 제4항에 따른 방법으로 위탁하는 업무의 내용과 수탁자를 정보주체에게 알릴 수 없는 경우에는 해당 사항을 인터넷 홈페이지에 30일 이상 게재하여야 한다. 다만, 인터넷 홈페이지를 운영하지 아니하는 위탁자의 경우에는 사업장등의 보기 쉬운 장소에 30일 이상 게시하여야 한다.

⑥ 위탁자는 수탁자가 개인정보 처리 업무를 수행하는 경우에 법 또는 이 영에 따라 개인정보처리자가 준수하여야 할 사항과 법 제26조제1항 각 호의 사항을 준수하는지를 같은 조 제4항에 따라 감독하여야 한다.

【표준 개인정보 보호지침】: 2011.9.30, 행정안전부

제19조(수탁자의 선정 시 고려사항) ① 개인정보의 처리 업무를 위탁하는 개인정보처리자(이하 “위탁자”라 한다)가 개인정보 처리 업무를 위탁받아 처리하는 자(이하 “수탁자”라 한다)를 선정할 때에는 인력과 물적 시설, 재정 부담능력, 기술 보유의 정도, 책임능력 등을 종합적으로 고려하여야 한다.

② 개인정보처리자가 개인정보의 처리 업무를 위탁하는 때에는 수탁자의 처리 업무의 지연, 처리 업무와 관련 없는 불필요한 개인정보의 요구, 처리기준의 불공정 등의 문제점을 종합적으로 검토하여 이를 방지하기 위하여 필요한 조치를 마련하여야 한다.

제20조(개인정보 보호 조치의무) 수탁자는 위탁받은 개인정보를 보호하기 위하여  ｢개인정보의 안전성 확보조치 기준 고시｣에 따른 관리적·기술적·물리적 조치를 한다.

제21조(정보주체와 재위탁의 관계) ① 정보주체는 수탁자로부터 개인정보 처리 업무를 재위탁 받아 처리하는 자(이하 “재수탁자”라 한다)가 재위탁 받은 개인정보 처리 업무를 수행하면서 발생하는 손해에 대한 배상을 청구할 수 있다.

② 개인정보 처리 업무의 재위탁에 대해서는 법 제26조를 준용한다.

【서울특별시 개인정보 보호지침】: 2011.11.16

제19조(수탁자의 선정 시 고려사항) ① 개인정보의 처리 업무를 위탁하는 분야별 책임자(이하 “위탁자”라 한다)가 개인정보 처리 업무를 위탁받아 처리하는 자(이하 “수탁자”라 한다)를 선정할 때에는 인력과 물적 시설, 재정 부담능력, 기술 보유의 정도, 책임능력 등을 종합적으로 고려하여야 한다.

② 개인정보의 처리 업무를 위탁하는 경우에는 다음 각 호의 내용이 포함된 문서에 의하여야 하며, 위탁자는 수탁자가 다음 각 호의 사항을 준수하는 지를 감독하여야 한다.

1. 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항

2. 개인정보의 기술적·관리적 보호조치에 관한 사항

3. 위탁업무의 목적 및 범위

4. 재위탁 제한에 관한 사항

5. 개인정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항

6. 위탁업무와 관련하여 보유하고 있는 개인정보의 관리 현황 점검 등 감독에 관한 사항

7. 수탁자가 준수하여야 할 의무를 위반한 경우의 손해배상 등 책임에 관한 사항

③ 개인정보의 처리 업무를 위탁하는 때에는 수탁자의 처리 업무의 지연, 처리 업무와 관련 없는 불필요한 개인정보의 요구, 처리기준의 불공정 등의 문제점을 종합적으로 검토하여 이를 방지하기 위하여 필요한 조치를 마련하여야 한다.

제20조(개인정보 보호 조치의무) 수탁자는 위탁받은 개인정보를 보호하기 위하여  ｢개인정보의 안전성 확보조치 기준 고시｣에 따른 관리적·기술적·물리적 조치를 하여야 한다.

제21조(정보주체와 재위탁의 관계) ① 정보주체는 수탁자로부터 개인정보 처리 업무를 재위탁 받아 처리하는 자(이하 “재수탁자”라 한다)가 재위탁 받은 개인정보 처리 업무를 수행하면서 발생하는 손해에 대한 배상을 청구할 수 있다.

② 개인정보 처리 업무의 재위탁에 대해서는 법 제26조를 준용한다.