문서번호	주택정책과-3340
결재일자	2019.2.21.
공개여부	대시민공개
방침번호

			시 민
주무관		주거복지팀장	주택정책과장
박세중		박준영	02/21 송호재
협조	개인정보보호팀장		도찬구
	주무관		박주현

민간법인 위탁 주거복지센타 개인정보처리 운용 실태점검 계획

2019.2

주택건축본부

(주택정책과)

민간법인 위탁 주거복지센터

개인정보처리 운용 실태점검 계획

민간법인 위탁 주거복지센터(16개소)사무에 있어서 생산·보유한  개인정보 운용·처리 등 실태를 점검하고 개선방안을 마련하고자 함

1		개 요

□ 추진 근거

○「00 주거복지센터 사무 위·수탁 협약서」(‘18년 체결 협약서)

- 제8조 제2항 00법인은 업무상 개인정보에 관한 사항을 취급하는 경우「개인정보보호법」등 관계법령을 준수

○「개인정보보호법」제26조 제4항(업무위탁에 따른 개인정보의 처리제한)

- 위탁자는 업무위탁으로 인한 정보주체의 개인정보보호에 관련 수탁자를 교육

- 개인정보 처리현황 점검 등 수탁자의 개인정보 조치에 대하여 수탁자를 감독

□ 현황 및 문제점

○  민간법인 운영 주거복지센터(16개소) 개인정보 수집·취득·이용 등 처리

※ 16개 민간법인 운영 주거복지센터는 주거복지사례관리를 위해 민감 개인정보 활용

	※ 민간법인 위탁 주거복지센타(16개소) 개인상담 인원 실적 (단위:백명)
		년도	‘14	→	‘15	→	‘16	→	‘17	→	‘18
		인원 (명)	55		34		46		50		117
	- 주민등록번호, 성명, 전화번호, 가족, 소득, 개인질병 등
	상담자에 대한 주거복지 지속적 사례관리
	- ‘12년 「사회복지공동모금회」에서 구축한 시스템을
http://www.housedb.or.kr	민간법인에서는 공동 사용

○ **************************************************로 인해 개인정보 처리 등 관리실태 점검이 필요

2		추진 방향

□ 수탁자에 대한 개인정보보호 교육 및 관리감독 철저

※ 주거복지센터 사무 위·수탁 햡약서이외 서울시와 민간 법인간「표준개인정보처리위탁계약서」체결이행 준수

□ 수탁자가 개인정보를 안전하게 보호하기 위한 조치 이행

○ 수탁업무 목적외 개인정보 이용·제공 금지

3		추진 계획

□ 세부계획(안)

○ 점검일정 : 2019. 3. 7(목) ∼ 3.13(수)/ 5일간

- 1일 3~4개, 16개소 민간운영주거복지센터 현장방문 점검

○ 점검자(주거복지팀)

-  박세중 / 박주현 / 김도현 / ※정보통신보안담담관(개인정보보호팀)점검지원

※ 1일차는 정보보호팀 협조지원 합동점검하고 2~5일차는 주거복지팀 직원 점검

○ 점검사항

	< 수탁자 개인정보보호 점검사항 >
- 개인정보의 수집․이용․제공․파기 및 처리제한 등에 관한 사항 - 개인정보취급자에 대한 감독 및 개인정보의 안전한 관리에 관한 사항 - 개인정보의 열람․정정․삭제․처리정지 등 정보주체의 권리보장에 관한 사항 - 개인정보 누설 및 이용․제공 금지 등 금지행위에 관한 사항 - 업무위탁에 따른 개인정보의 처리제한에 관한 사항 (위탁업무 수행 목적 외 개인정보 처리 금지, 재위탁 제한에 관한 사항 등)

4		향후계획

□ 점검지원 협조요청                                   : ‘19.2.21

○ 정보통신보안담당관(개인정보보호팀)업무 현장점검 1일 지원

- 개인정보보호팀 합동점검은****************** 개인정보처리 실태점검 지원

□ 민간법인 운영 주거복지센터 개인정보처리 등 점검 통보  : ‘19.2.22

□ 민간법인 운영 개인정보 처리 개선방안 수립 및 이행조치 : ’19.3월 하순

○ 개인정보 처리사항 등 실태점검이후 제도개선 계획 등 수립

□ **************** 등 점검 병행 검토

※ 여성권익담당관 발간**********************비치 의무화

참고 : 개인정보 업무위탁 관련법령 및 규정

【개인정보보호법】

제26조(업무위탁에 따른 개인정보의 처리 제한) ① 개인정보처리자가 제3자에게 개인정보의 처리 업무를 위탁하는 경우에는 다음 각 호의 내용이 포함된 문서에 의하여야 한다.

1. 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항

2. 개인정보의 기술적·관리적 보호조치에 관한 사항

3. 그 밖에 개인정보의 안전한 관리를 위하여 대통령령으로 정한 사항

② 제1항에 따라 개인정보의 처리 업무를 위탁하는 개인정보처리자(이하 "위탁자"라 한다)는 위탁하는 업무의 내용과 개인정보 처리 업무를 위탁받아 처리하는 자(이하 "수탁자"라 한다)를 정보주체가 언제든지 쉽게 확인할 수 있도록 대통령령으로 정하는 방법에 따라  공개하여야 한다.

③ 위탁자가 재화 또는 서비스를 홍보하거나 판매를 권유하는 업무를 위탁하는 경우에는 대통령령으로 정하는 방법에 따라 위탁하는 업무의 내용과 수탁자를 정보주체에게 알려야 한다. 위탁하는 업무의 내용이나 수탁자가 변경된 경우에도 또한 같다.

④ 위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 분실·도난·유출·위조·변조 또는 훼손되지 아니하도록 수탁자를 교육하고, 처리 현황 점검 등 대통령령으로 정하는 바에 따라 수탁자가 개인정보를 안전하게 처리하는지를 감독하여야 한다.

⑤ 수탁자는 개인정보처리자로부터 위탁받은 해당 업무 범위를 초과하여 개인정보를 이용하거나 제3자에게 제공하여서는 아니 된다.

⑥ 수탁자가 위탁받은 업무와 관련하여 개인정보를 처리하는 과정에서 이 법을 위반하여 발생한 손해배상책임에 대하여는 수탁자를 개인정보처리자의 소속 직원으로 본다.

⑦ 수탁자에 관하여는 제15조부터 제25조까지, 제27조부터 제31조까지, 제33조부터 제38조까지 및 제59조를 준용한다.

【개인정보보호법 시행령】

제28조(개인정보의 처리 업무 위탁 시 조치) ① 법 제26조제1항제3호에서 "대통령령으로 정한 사항"이란 다음 각 호의 사항을 말한다.

1. 위탁업무의 목적 및 범위

2. 재위탁 제한에 관한 사항

3. 개인정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항

4. 위탁업무와 관련하여 보유하고 있는 개인정보의 관리 현황 점검 등 감독에 관한 사항

5. 법 제26조제2항에 따른 수탁자(이하 "수탁자"라 한다)가 준수하여야 할 의무를 위반한 경우의 손해배상 등 책임에 관한 사항

② 법 제26조제2항에서 "대통령령으로 정하는 방법"이란 개인정보 처리 업무를 위탁하는 개인정보처리자(이하 "위탁자"라 한다)가 위탁자의 인터넷 홈페이지에 위탁하는 업무의 내용과 수탁자를 지속적으로 게재하는 방법을 말한다.

③ 제2항에 따라 인터넷 홈페이지에 게재할 수 없는 경우에는 다음 각 호의 어느 하나 이상의 방법으로 위탁하는 업무의 내용과 수탁자를 공개하여야 한다.

1. 위탁자의 사업장등의 보기 쉬운 장소에 게시하는 방법

2. 관보(위탁자가 공공기관인 경우만 해당한다)나 위탁자의 사업장등이 있는 시ㆍ도 이상의 지역을 주된 보급지역으로 하는 「신문 등의 진흥에 관한 법률」 제2조제1호가목ㆍ다목 및 같은 조 제2호에 따른 일반일간신문, 일반주간신문 또는 인터넷신문에 싣는 방법

3. 같은 제목으로 연 2회 이상 발행하여 정보주체에게 배포하는 간행물ㆍ소식지ㆍ홍보지 또는 청구서 등에 지속적으로 싣는 방법

4. 재화나 용역을 제공하기 위하여 위탁자와 정보주체가 작성한 계약서 등에 실어 정보주체에게 발급하는 방법

④ 법 제26조제3항 전단에서 "대통령령으로 정하는 방법"이란 서면, 전자우편, 팩스, 전화, 문자전송 또는 이에 상당하는 방법(이하 "서면등의 방법"이라 한다)을 말한다.

⑤ 위탁자가 과실 없이 제4항에 따른 방법으로 위탁하는 업무의 내용과 수탁자를 정보주체에게 알릴 수 없는 경우에는 해당 사항을 인터넷 홈페이지에 30일 이상 게재하여야 한다. 다만, 인터넷 홈페이지를 운영하지 아니하는 위탁자의 경우에는 사업장등의 보기 쉬운 장소에 30일 이상 게시하여야 한다.

⑥ 위탁자는 수탁자가 개인정보 처리 업무를 수행하는 경우에 법 또는 이 영에 따라 개인정보처리자가 준수하여야 할 사항과 법 제26조제1항 각 호의 사항을 준수하는지를 같은 조 제4항에 따라 감독하여야 한다.

【표준 개인정보 보호지침】: 2017.7.26, 행정안전부

제16조(수탁자의 선정 시 고려사항) 개인정보의 처리 업무를 위탁하는 개인정보처리자(이하“위탁자”라 한다)가 개인정보 처리 업무를 위탁받아 처리하는 자(이하“수탁자”라 한다)를 선정할 때에는 인력과 물적 시설, 재정 부담능력, 기술 보유의 정도, 책임능력 등 개인정보 처리 및 보호 역량을 종합적으로 고려하여야 한다.

제17조(개인정보 보호 조치의무) 수탁자는 위탁받은 개인정보를 보호하기 위하여「개인정보의 안전성 확보조치 기준 고시」에 따른 관리적·기술적·물리적 조치를 하여야 한다.