개인정보보호 관리수준 진단 제출서식

2019. 5.

○ 2019년 ‘개인정보보호 관리수준 진단’ 실적은 시스템(intra.privacy.go.kr)에 지표별로 등록

- 각 지표별로 분할된 별개 파일로 작성‧등록(PDF, HWP 파일 형태만 가능)

※ 본 서식은 전체 지표에 대한 통합 서식이며, 편의를 위해 시스템에는 분할된 서식이 업로드되어 있습니다.

	목 차
1. 개인정보 보호 기반마련 1 2. 개인정보 영향평가 수행 5 3. 개인정보 보호 교육 추진 7 4. 개인정보 보호책임자의 역할 수행 9 5. 개인정보 처리방침 및 정보주체의 권리보장 12 6. 개인정보 수집·이용·제공·파기 14 7. 개인정보 처리업무 위탁에 따른 개인정보 보호 18 8. 영상정보처리기기 설치 및 운영 20 9. 개인정보 유·노출 방지 조치 22 10. 개인정보 침해사고 및 재해‧재난 대응 절차 수립 26 11. 개인정보처리시스템의 안전한 이용 및 관리 30 12. 고유식별정보의 처리 제한 33

개인정보보호 관리수준 진단 작성 시 유의사항

① 반드시 배포된 「2019년 공공기관 개인정보보호 관리수준 진단 매뉴얼」의 진단지표별 세부설명, 인정실적, 증빙자료, 산정방법 등 세부 내용을 확인하시기 바랍니다

② “본청 및 소속기관”의 진단항목별 실적 증빙자료를 시스템에 등록

③ 증빙자료는 개인정보파일 등록 대상만 작성하되, 해당 지표의 실적을
증빙하는 부분만 발췌하여 첨부

④ 증빙자료 중 내부의사결정이 필요한 자료는 “전자결재, 메모보고 등 전자적인 시스템으로 최종결재권자에게 보고된 문서”를 첨부하되, 반드시 문서 표지나 시행문 등 문서정보(문서번호, 시행일자, 결재 등)를 확인할 수 있는 부분을 첨부하여 주시기 바랍니다.

⑤ 증빙자료가 종이문서인 경우 실적에 해당하는 부분을 사진(스캔)으로 첨부하시기 바랍니다.

⑥ 불가피하게 전체문서를 첨부할 경우, 증빙내역을 확인하기 쉽도록 해당 페이지를 기재하여 주시기 바랍니다.

⑦ 각종 현황표(담당자 현황, 업무위탁 현황 등)는 제시된 서식에 따라 작성하여 주시기 바랍니다.

⑧ 첨부파일의 파일명은 “지표번호-증빙자료”로 하여 주시기 바랍니다.

※ ex) 1.1-개인정보 담당자 업무분장표 및 예산내역

⑨ 하나의 진단항목에 증빙자료가 다수인 경우 해당 진단항목의 증빙자료 첫페이지에 아래와 같이 목록을 작성하여 주시기 바랍니다.

연번	보고서 제목	비고(해당 페이지)
1	<예 시>
2

⑩ 증빙자료는 등록기간 내에 등록된 실적만 인정되므로 증빙자료가 누락되는 일이 없도록 하여 주시기 바랍니다.

⑪ 제출된 증빙자료 중 일부 파일의 내용을 확인할 수 없거나, URL이 잘못되어 연결되지 않는 경우 실적으로 인정되지 않으니 제출 전에 이상유무를 반드시 확인하시기 바랍니다.

⑫ 증빙자료에 개인정보가 포함된 부분은 마스킹 처리(실적을 확인할 수 있을 정도의 수준)하여 제출해 주시기 바랍니다.

⑬ 필요한 경우, 유선상담 또는 현장방문을 하여 제출된 증빙자료에 대해 확인하거나 추가 증빙자료를 요청할 수 있습니다.

⑭ 등록된 자료 중 허위 자료가 있을 경우 실적으로 인정되지 않는 등 진단결과에 불이익이 있을 수 있습니다.

⑮ 증빙화면의 캡처 이미지는 육안으로 파악할 수 있는 경우만 인정합니다.

1		개인정보 보호 기반마련

진단 항목	1.1. 개인정보 보호를 위한 전담조직과 인력을 구성 · 운영하고 있는가?
인정실적	2019. 6. 30. 기준(가장 최근 업무 분장표)

□ 기관 현황 (2019. 6. 30. 기준)

연번	구 분	개인정보 보유건수	정 원 / 중간보직자
합 계		○○○건	○○○명 / ○○○명
1	본청
2	소속기관
3	직속기관
⦙

⇨ 개인정보 보유건수 : 개인정보보호종합지원시스템(intra.privacy.go.kr)에 등록된 개인정보파일의 개인정보(정보주체수)의 합계

⇨ 정원 : 기관별 조례 or 규칙에서 정한 정원

⇨ 중간보직자 : 중앙·광역은 4급 이상, 기초는 5급 이상, 공기업·산하기관은 보직자 기준임

* 중앙부처와 자치단체의 경우 무보직자도 중간보직자에 포함됨

□ 개인정보 보호 실무담당자 현황

연번	소속	직위(직급)	성명	비고
1	OOOO과 개인정보보호팀	과장(전산 5급)	ㅇㅇㅇ	담당/전담 여부 표시
2
3

⇨ 본청 개인정보 보호 총괄(담당)부서의 담당자 현황 작성

(개인정보 보호책임자 및 분야별·부서별 담당자, 취급자 지정 현황이 아님)

□ 업무 분장표

o 개인정보 보호책임자 및 분야별 담당자 지정 현황이 아닌, 해당 기관의 개인정보 보호 업무를 총괄하는 부서의 업무 분장표 첨부 (예: 정보화담당관실, 개인정보 보호팀 등)

※ 전체 직원의 업무 분장표가 아닌 개인정보 보호 총괄부서 담당자에 대한 내용만 발췌

※ 전자결재, 메모보고 등 전자적인 시스템으로 최종결재권자에게 보고된 문서만 인정

o 인사명령 등 구성원 역할이 확인 가능한 자료로 대체 가능

(단, 개인별 수행 업무가 명시된 자료에 한함)

·

o 기관별 기구와 정원을 규정한 조례 또는 규칙에서 기관의 정원과 개인정보 보호 조직·인력을 규정한 부분을 발췌하여 제출

진단 항목	1.2. 개인정보 보호 활동을 수행하는데 필요한 예산을 반영하고 있는가?
인정실적	2019년 실적 (예산편성 또는 지출 내역)

□ 개인정보 보호 예산 내역(총괄)

=

연번	구 분	예산 (천원)
합 계
1	개인정보 보호 교육·홍보 이행을 위한 예산 내역
2	개인정보 보호 처리 실태 점검 등 개인정보 관리‧감독을 위한 예산 내역
3	개인정보 유출 및 오‧남용 방지를 위한 내부통제시스템 구축‧운영 예산 내역
4	백신S/W 등 보안프로그램 설치‧운영 예산 내역
5	개인정보 영향평가 수행을 위한 예산 내역
6	고유식별정보 암호화 조치를 위한 예산 내역

⇨ ’18년도 하반기 지출내역도 실적으로 인정

⇨ 예산편성 내역이 없을 경우, 항목별 지출 내역으로 증빙이 가능하나 이 경우에는 “전자결재, 메모보고 등 전자적인 시스템으로 최종결재권자에게 보고된 문서”만 인정

□ 개인정보 보호 교육‧홍보 이행을 위한 예산 내역

o 예산편성표 또는 자문비, 교통비, 운영비, 결과보고서 등 지출 내역을 확인할 수 있는 자료

□ 개인정보 보호 처리 실태 점검 등 개인정보 관리‧감독을 위한 예산 내역

o 예산편성표 또는 자문비, 교통비, 운영비, 결과보고서 등 지출 내역을 확인할 수 있는 자료

□ 개인정보 유출 및 오‧남용 방지를 위한 내부통제시스템 구축‧운영 예산 내역

o 예산편성표 또는 지출 내역

※ 반드시 예산편성 또는 지출을 확인할 수 있는 자료만 인정

□ 백신S/W 등 보안프로그램 설치‧운영 예산 내역

o 예산편성표 또는 지출 내역

※ 반드시 예산편성 또는 지출을 확인할 수 있는 자료만 인정

□ 개인정보 영향평가 및 고유식별정보 암호화 조치 예산 내역

(단위 : 건, 천원)

분류	대상	전체 건수	완료 건수	추진 건수	예산액
개인정보 영향평가	O/X
고유식별정보 암호화	O/X

⇨ 개인정보 영향평가(2번), 고유식별정보 암호화(12번) 지표와 연관

① 개인정보 영향평가 수행을 위한 예산 내역

o 현황

(단위 : 건, 천원, %)

연번	개인정보 영향평가 대상	예산액	진행상황	비율 (완료건수/전체건수)×100
계	○건	○천원	○건 완료, ○건 추진중
1	예) ○○○ 파일	○천원	‘00년 완료 / 추진 중
2
⦙

o 예산편성표에서 해당부분을 발췌하여 제출

o 영향평가 대상이 없을 경우, “해당 없음”으로 명시 (2.1 지표에서 확인)

② 고유식별정보 암호화 조치를 위한 예산 내역

o 현황

(단위 : 건, 천원, %)

연번	고유식별정보 암호화 대상	예산액	비고	비율 (완료+완료예정/전체건수)×100
계	○건	○천원	○건 완료, ○건 완료예정
1	예) ○○○ 파일	○천원	‘00년 완료 /‘00년 완료 예정
2
⦙

o 예산편성표에서 해당부분을 발췌하여 제출

o 고유식별정보 암호화 대상이 없을 경우 “해당 없음”으로 명시 (12.1 지표에서 확인)

2		개인정보 영향평가 수행

진단 항목	2.1. 개인정보 영향평가 대상 여부를 파악하고 있는가?
인정실적	2018. 7. 1. ~ 2019. 6. 30. 실적

□ 개인정보 영향평가 대상 파악 현황 (영향평가 대상 :     개)

연번	개인정보 처리시스템명	연관 개인정보 파일명	정보주체수	항목	비고
1	OO고객정보 시스템	OO고객정보 파일	0,000,000	일반 / 민감 / 고유식별정보	완료 / 추진 중 / 대상 아님
2
3
⦙

⇨ 본청 및 소속기관에서 보유한 5만명 이상의 개인정보파일에 대해 작성

(개인정보보호종합지원시스템 등록 기준)

□ 개인정보 영향평가 현황 검토 보고

o 행정안전부에 등록된 개인정보파일 중 개인정보 영향평가 대상 현황을 파악하여 검토 보고한 문서(대상유무, 이행여부, 이행계획 등)

⇨ 전자결재, 메모보고 등 전자적인 시스템으로 최종결재권자에게 보고된 문서만 인정

- 개인정보 영향평가 대상이 없는 경우에도 현황을 파악하여 전자적인 시스템으로 최종결재권자에게 보고된 문서를 제출해야 함(5만명 이상의 개인정보를 포함하는 모든 파일을 기준으로 현황 파악)

※ 영향평가 대상 현황 파악 미 제출한 기관은 대상여부 관계없이 “0점 처리”

- 5만건 미만 개인정보파일만을 보유한 경우에 한해서만 미 제출 인정( “해당 없음” 표시)

- 개인정보 영향평가 대상을 개인정보파일별로 정리하지 않고 시스템 등 다른 방식으로 정리한 경우 개인정보파일과 시스템이 매핑되는 개인정보파일 현황 별도로 제출

- 상위기관(중앙부처 등)에서 관리하고 있는 개인정보처리시스템(새올행정시스템 등)의 경우, 상위기관(중앙부처 등)은 시스템 관련 항목에 대한 영향평가를 수행하고 개인정보처리 시스템을 공통으로 사용하는 기관(지자체 등)에서는 시스템 부분을 제외한 관리적 평가항목에 대해 영향평가를 수행

- 개인정보 영향평가가 완료된 개인정보파일도 개인정보파일의 운용체계 등이 변경되었는지 주기적으로 파악 필요(완료된 개인정보파일도 포함)

진단 항목	2.2. 개인정보 영향평가 계획을 수립·이행하였는가?
인정실적	현재(2019. 6. 30. 기준) 완료되었거나, 예산을 확보하여 추진 중인 실적

⇨ 2.1 지표에서 영향평가 대상이 없는 기관은 작성할 필요가 없음

⇨ 전자결재, 메모보고 등 전자적인 시스템으로 최종결재권자에게 보고된 문서만 인정

□ 개인정보 영향평가 수행 계획 수립 현황

(단위 : 개, %)

구분	영향평가 대상(A)	계획 미수립(B)	계획 수립 (C)	완료 (D)	계획 수립 비율 〔(C+D)/A〕×100

o 개인정보 영향평가 대상들에 대한 수행 계획 관리 문서 등 증빙자료 첨부

- 개인정보파일별로 수행 대신 일괄 계획을 통해 추진하는 경우 해당 계획에 포함되는 개인정보파일별 리스트 첨부

□ 개인정보 영향평가 수행 결과

(단위 : 개, %)

구분	영향평가 대상(A)	완료(B)	수행비율 (B/A)×100	비고

o 최종 결과보고서+행안부 제출 공문+개인정보보호 종합지원시스템 등록 내역 등 영향평가 완료 실적 확인 자료 첨부

※ 결과보고서에 수행 완료한 “개인정보파일별 리스트”가 포함되어 있어야만 인정함

o 개인정보 영향평가 수행결과에 대한 사실여부 확인은 개인정보보호 종합지원시스템에 등록된 개인정보 영향평가 이행실적으로 확인(‘19.6.30일자 기준)

□ 개인정보 영향평가 후속조치

(단위 : 개, %)

구분	영향평가 후속조치 대상(A)	이행확인서 제출(B)	이행확인서 미 제출		이행 비율 〔(B+C)/A〕×100
			제출기간 미 도래(C)	제출기간 도래(D)

o 개인정보 영향평가 수행 후 개선사항이 있는 경우 이행점검 확인서 자료 첨부

o 영향평가 결과 개선사항으로 지적된 부분에 대한 이행 상황을 기재하고, 지적된 부분이 없는 경우에는 개선요구내용에 “해당 없음”으로 기재

연번	개인정보 처리시스템명	연관 개인정보 파일명	개선 요구내용	완료일 (또는 예정일)	비고
1	OO고객정보 시스템	OO고객정보 파일	해당없음		제출 / 미제출

3		개인정보 보호 교육 추진

진단 항목	3.1. 교육대상별(개인정보 보호책임자, 개인정보 보호담당자, 개인정보취급자/일반직원, 중간보직자) 연간 개인정보 보호 교육 계획이 수립되어 있는가?
인정실적	2019년 실적

⇨ 전자결재, 메모보고 등 전자적인 시스템으로 최종결재권자에게 보고된 문서만 인정

□ 개인정보 보호 교육 계획

o 교육의 목적, 대상별(개인정보 보호책임자, 개인정보 보호담당자, 개인정보취급자/일반직원, 중간보직자) 교육 내용, 교육 일정 및 방법 등 내용을 포함한 개인정보 보호 교육 계획 문서 첨부

※ 연간 교육 계획에 중간보직자가 제외되었더라도 교육결과 증빙자료에 대상자가 구분되어(중간보직자 포함) 표시된 경우 인정

진단 항목	3.2. 교육대상별(개인정보 보호책임자, 개인정보 보호담당자, 개인정보취급자/일반직원, 중간보직자) 개인정보 보호 교육이 이행되고 있는가?
인정실적	2018. 7. 1. ~ 2019. 6. 30. 실적

⇨ 전자결재, 메모보고 등 전자적인 시스템으로 최종결재권자에게 보고된 문서만 인정

□ 개인정보 보호 교육 결과

(단위 : 명, %)

교육일시	대상	대상인원	참석 인원	비율	비고
2019. 6. 30.	개인정보 보호책임자	-		-	‘00.00.00 신설 ※ 인정기간 내 신설기관의 경우 신설일자 표기
	개인정보 보호담당자			-
	개인정보 취급자/일반직원	정원 기재		%
	중간보직자⁕	정원 기재		%

⁕ 중간보직자 : 중앙·광역은 4급 이상, 기초는 5급 이상, 공기업·산하기관은 보직자 기준임

☞ 중앙부처와 자치단체의 경우 무보직자도 중간보직자에 포함됨

o 교육대상별[개인정보 보호책임자, 개인정보 보호담당자(2회 이상), 개인정보취급자/

일반직원, 중간보직자] 교육 결과를 확인할 수 있는 결과 보고 문서 (참석확인증/수료증/참석자 서명, 교육자료, 사진 등 포함)

o 정보보안 내용으로만 운영된 교육은 인정 불가, 개인정보 보호 교육과 타교육 (정보보안,

안보교육 등) 병행 시 인정

o 개인정보취급자/일반직원, 중간보직자 교육은 대상의 60% 이상이 참석한 경우에만
실적으로 인정, 다만 실적인정기간(’18.7.1.～’19.6.30.) 중에 신설기관은 예외로 함

o 개인정보취급자/일반직원, 중간보직자의 정원은 1.1 지표에서 확인

o 개인정보 보호책임자는 “CPO 워크샵”을 참여한 상세 교육 프로그램과 확인증을 제출해야 하며 그 이외의 교육은 인정불가, 개인정보 보호담당자·일반직원·수탁업체 교육에 단순 참가하는 경우, 개인정보 보호담당자가 개인정보 보호책임자 교육에 대리 출석한 경우 인정 불가

o 불가피한 사유 등에 따른 교육 미수료자의 경우, 온라인 교육 등 대체교육 실적 인정

4		개인정보 보호책임자 역할 수행

진단 항목	4.1. 개인정보 보호책임자가 관리·감독 등 역할을 이행하고 있는가?
인정실적	2018. 7. 1. ~ 2019. 6. 30. 실적

개인정보 보호책임자 성명	직급

⇨ 전자결재, 메모보고 등 전자적인 시스템으로 개인정보 보호책임자에게 보고된 문서만 인정

⇨ 인정실적 내에 개인정보 보호책임자가 변경되었을 경우 “인사명령” 증적자료 필히 제출

※ ’19년 3월에 전임 개인정보 보호책임자가 결재하였으나, ’19년 5월에 개인정보 보호책임자가 변경되었을 경우 결재문서의 개인정보 보호책임자와 현재 개인정보 보호책임자가 달라 불인정 되는 사례가 발생할 수 있음

□ 개인정보 보호책임자 관리‧감독 실적

o 내부 관리계획의 이행 실태 점검 : 개인정보의 안전성 확보조치 기준 제4조의 내부 관리계획에 포함된 각 항목(15개)*의 이행 점검 결과보고서

* 개인정보처리자 유형 및 개인정보보유량에 따른 안전조치 기준 준수필요

o 개인정보파일 현황 점검 : 기관에서 처리하고 있는 개인정보파일 현황자료(시스템, 업무용PC, 종이문서 포함)

※ ’19.6.30. 개인정보보호종합지원시스템에 등록된 개인정보파일을 기준이며, 업무용PC·종이문서등으로 별도 보관된 경우도 포함

연번	구분	개인정보 처리시스템명	개인정보 파일명※	정보주체수	개인정보(고유식별정보⁕⁕/민감정보⁕⁕⁕등)
					종류	처리근거
1	개인정보 처리시스템	ooo고객정보시스템	ooo고객 정보파일	0,000,000	주민등록번호	oo법 제oo조
⦙					운전면허번호	정보주체 동의
					민감정보	정보주체 동의
			ㅁㅁㅁㅁㅁ파일	0,000,000	주민등록번호	oo법 제oo조
					운전면허번호	정보주체 동의
					민감정보	oo법 제oo조
					※ 작성요령 o 주민등록번호는 법적 처리근거를, 그 외 고유식별정보는 정보주체 동의 또는 법적 처리근거를 명시
	업무용 PC	-
	⦙
	종이문서	-
	⦙

⁕ 개인정보파일명 : 개인정보보호종합지원시스템에 등록된 개인정보파일 기준임

⁕⁕ 고유식별정보의 범위 : 주민등록번호, 운전면허번호, 여권번호, 외국인등록번호

⁕⁕⁕ 민감정보 : 사상·신념, 노동조합·정당의 가입·탈퇴, 정치적 견해, 건강, 성생활, 유전정보, 범죄 정보

□ 개인정보보호 관련 제도 개선 활동 실적

① 개인정보보호 자가진단 수행확인서·결과보고서 및 후속조치 내역

o 개인정보보호 자가진단 실시 개요

연번	구분	진단 분류	실시 일자	후속조치 이행	비고
1	본청, 소속기관 순	자가진단/ 외부 전문업체 진단(해당시)		○/X/해당없음	해당없음 사유
2

o 개인정보처리시스템 개인정보보호 자가진단 수행 확인

- 개인정보보호 자가진단 수행확인서 + 결과자료 첨부

(개인정보보호 종합포털(www.privacy.go.kr) – 사업자 – 개인정보도우미 – 개인정보보호   자가진단에서 자가진단 수행 후 “진단수행확인서 및 수행결과 다운로드” 메뉴를 통해 내려받기 가능)

- 외부 전문업체를 통해 컨설팅(실태점검 등) 수행 시 해당 결과보고서 제출 가능

- 연번 순으로 증빙 자료 나열

o 개인정보보호 자가진단 결과에 따른 후속조치 내역

- 자가진단 수행 결과에 따른 후속조치 내역 (개선실적 등)

- 타 진단 후속조치와 겹칠 경우 해당 항목을 명시하고, 증빙자료 중복 제출은 피할 것

➁ 전년도 관리수준 진단 개선조치 사항 및 개선실적

o 전년도 수준진단 후속조치 개요

연번	요구된 개선사항	후속조치 이행	비고
1		○/X/해당없음	해당 없음 사유 지적사항 없음/ ‘19년 신설 대상기관
2

⇨ 수준진단 개선조치에서 “해당 없음“의 경우는 ”전년도 지적사항이 없는 기관 또는

’19년 대상기관이 신설기관인 경우“에 한함

o 수준진단 개선사항 확인 (전년도 수준진단 대상기관에 한함)

- ‘19.1.31.까지 개인정보보호종합지원시스템에 개선조치 등록완료 한 화면캡처 제출

o 수준진단 결과에 따른 후속조치 내역 (전년도 수준진단 대상기관에 한함)

- 수준진단 결과에 따른 후속조치 이행 결과보고서 제출

전년도 진단위원의 개선조치 지적사항이 없는 기관은 “해당 없음”으로 표시

- 타 진단 후속조치와 겹칠 경우 해당 항목을 명시하고, 증빙자료 중복 제출은 피할 것

진단 항목	4.2. 개인정보 보호 수준 향상을 위한 개인정보 보호책임자 주도 실적이 있는가?
인정실적	2018. 7. 1. ~ 2019. 6. 30. 실적

⇨ 전자결재, 메모보고 등 전자적인 시스템으로 개인정보 보호책임자에게 보고된 문서만 인정

□ 개인정보 보호 주도 실적

o 수준진단 지표에 해당되는 실적 이외에 기관에서 자체적으로 수행한 개인정보 보호 활동 사례․실적(계획 인정 불가)

- 중요 실적 위주로 제출 (실적별로 5페이지 이내로 요약)

☞ 중앙부처․광역자치단체는 4건 이상 제출

※ 중앙부처 산하기관․기초자치단체에 대한 개인정보보호 지원 기능 수행 실적 포함 가능

☞ 기초자치단체는 4건 이상 제출

※ 개인정보보호 지원센터 운영성과 실적 포함 가능

☞ 지방공기업․중앙부처 산하기관은 3건 이상 제출

☞ 외부·상위기관에서 협조 등을 통해 요청·지시한 실적은 제외

☞ 타 진단지표의 자료로 제출되어야 할 내용이거나 중복 제출된 자료는 제외

☞ 보안서약서는 제외

☞ 제출된 자료의 내용이 본 지표에서 요구하는 개인정보 보호책임자의 주도실적으로 인정하기 곤란한 경우는 제외

⇨ 실적 예시

· 법령에 근거한 개인정보 보호 관련 인증 획득(ISMS-P)

· 내부 임직원들의 수준을 향상시키기 위한 개인정보보호 관련 홍보 활동

· 기관의 성과평가에 개인정보보호 관련 지표 반영 내역

· 개인정보보호 활동에 대한 포상 및 인센티브

· 개인정보보호 전문인력 확보 및 전문직위 지정·운영(인정 실적기간 내)

· 기관장의 개인정보보호 관심제고 및 지원을 위한 노력도

· 이 외에 개인정보보호 관리 수준 향상을 위한 개인정보 보호책임자 실적도 제출 가능

5		개인정보 처리방침 및 정보주체의 권리보장

진단 항목	5.1. 개인정보 처리방침의 변경 내용을 지속적으로 공개 및 이력 관리하고 있는가?
인정실적	2018. 7. 1. ~ 2019. 6. 30. 실적

□ 개인정보파일에 해당되는 개인정보 처리방침 공개 현황

연번

개인정보 처리방침 링크

개인정보 처리방침 공개화면

“본청” 또는 “소속기관명”

1

http://www.sample.go.kr/personal.htm

<개인정보 처리방침의 필수항목>

① 개인정보의 처리목적, ② 개인정보의 처리 및 보유기간, ③ 개인정보의 제3자 제공에 관한 사항(해당시), ④ 개인정보 처리의 위탁에 관한 사항(해당시), ⑤ 정보주체와 법정대리인이 권리·의무 및 그 행사방법에 관한 사항, ⑥ 개인정보 보호책임자의 성명 또는 개인정보 보호업무 및 관련 고충사항을 처리하는 부서의 명칭과 연락처, ⑦ 개인정보 자동수집 장치의 설치･운영 및 거부에 관한 사항(해당시), ⑧ 처리하는 개인정보 항목,⑨ 개인정보의 파기에 관한 사항, ⑩ 개인정보 안전성 확보조치에 관한 사항, ⑪ 정보주체의 권익침해에 대한 구제방법, ⑫ 개인정보의 열람청구를 접수･처리하는 부서, ⑬ 개인정보 처리방침의 변경에 관한 사항

2

3

⇨ 개인정보 처리방침 링크 또는 13가지 필수항목이 포함된 공개화면 캡쳐

□ 개인정보 처리방침 변경이력을 공개한 증빙자료

o ‘개인정보 처리방침의 변경이력’을 정보주체가 쉽게 확인할 수 있는 화면캡처

※ 별도로 ‘개인정보 처리방침의 변경이력’을 관리하는 경우 해당자료 포함

진단 항목	5.2. 정보주체의 권리행사 방법 및 절차를 마련하여 이행하고 있는가?
인정실적	2018. 7. 1. ~ 2019. 6. 30. 실적

□ 권리행사 방법과 절차 수립 및 공개

o 권리행사 방법과 절차 수립 및 공개 (①열람요구, ②정정·삭제요구, ③처리정지요구)

- 개인정보 처리방침 또는 별도의 방법으로 안내하고 있는 화면캡쳐

※ 정보주체가 요청한 사항에 대한 구체적인 처리절차를 확인할 수 있는 캡쳐화면

6		개인정보 수집·이용·제공·파기

진단 항목	6.1. 개인정보는 적법하게 수집·이용·제공하고 있는가?
인정실적	2018. 7. 1. ~ 2019. 6. 30. 실적

□ 개인정보 수집 최소화 및 동의절차를 이행하기 위하여 서식개선 한 실적

연번	기관명	서식명	개선 내용
			개선 전	개선 후
1	본청/소속기관	예) 신규(경력) 직원 채용 입사지원서	예) 학력	삭제
			예) 가족관계	삭제
2	본청/소속기관	예) 회원가입신청서	예) 만 14세 미만 아동의 법정대리인 동의 누락	법정대리인 동의 추가
⦙

⇨ 법령(법, 시행령, 시행규칙), 고시, 훈령, 예규, 자치단체 조례·시행규칙, 기관 내규 등에서 개인정보 수집을 규정하고 있는 각종서식에 대하여 개인정보 기재 항목이 반드시 필요한지를 검토

□ 개인정보 수집·이용·제공에 대한 내부검토(전자결재, 메모보고) 자료

o 업무별 필요최소한의 개인정보 수집·이용·제공에 대한 내부검토 자료 제출

※ ’18년 7월 이전에 모두 개선하여 더 이상 개선할 사항이 없다면 인정실적 기간내에
전자적인 시스템으로 최종결재권자에게 그러한 내용을 보고한 내부 검토문서 제출

⇨ 전자결재, 메모보고 등 전자적인 시스템으로 최종결재권자에게 보고된 문서만 인정

□ 내부검토(전자결재, 메모보고) 결과가 반영된 서식

o 상기 내부검토결과가 반영된 수집·동의 서식과 동의서의 중요한 내용 표시 방법이 반영된 서식

예) 인·허가, 신고, 등록 서식 및 각종 현황·대장 자료 서식 등

※ 내부검토 대상 서식 중 개선 사항이 반영된 서식 1～2건만 제출해도 인정
(개선내역이 명확히 구별되어야 함)

⇨ 전자결재, 메모보고 등 전자적인 시스템으로 최종결재권자에게 보고된 문서만 인정

진단 항목	6.2. 개인정보의 목적 외 이용·제공에 대비하기 위한 목적 외 이용·제공 절차를 준수하였는가?
인정실적	2018. 7. 1. ~ 2019. 6. 30. 실적

□ 개인정보의 목적 외 이용․제공 절차 지침

o 해당 기관의 개인정보의 목적 외 이용‧제공 업무 절차서로 6가지 세부항목을 반영할 것

1. 목적 외 이용‧제공 기준 (법률근거, 별도 동의 등)

2. 목적 외 이용‧제공 업무절차 (개인정보 보호책임자, 개인정보 보호담당자, 개인정보취급자 등)

3. 목적 외 이용‧제공 방법 (통신방식, 보조저장매체 등)

4. 제공받는 자의 이용‧ 제공 제한 (이용 목적·방법·기간·형태 등)

5. 안전성 확보조치 방안 (기술적·관리적 보호조치, 문서화 요청 등)

6. 관리대장 기록·관리 방안 및 사실의 공개(관보, 홈페이지 등)

o 내부관리계획 등 지침에 반영된 경우 해당 부분만을 발췌

(내부관리계획 표지 및 전자결재, 메모보고 등 전자적인 시스템으로 최종결재권자에게 보고된 문서만 인정)

o 단순히 법 조항을 나열한 것이 아닌 해당 기관의 현황을 반영한 구체적인 내부 절차를 수립할 것

⇨ 전자결재, 메모보고 등 전자적인 시스템으로 최종결재권자에게 보고된 문서만 인정

□ 개인정보 목적 외 이용·제공 절차 교육 등 전파 실적

o 해당 절차서 교육에 대하여 확인할 수 있는 자료 (교육 계획, 교육 결과 보고 등)

- 절차서를 법 시행 이전에 만들었더라도 교육은 매년 실시

- 개인정보 보호 교육 시 목적 외 이용·제공 절차서를 포함하여 교육(1~2장)한 경우 인정

※ 전자결재, 메모보고 등 전자적인 시스템으로 최종결재권자에게 보고된 문서만 인정

o 인트라넷 게시 화면(게시일자 포함) 등 직원들에게 목적 외 이용‧제공 절차를 전파한 사실을 확인할 수 있는 자료 첨부

□ 개인정보 목적 외 이용․제공 내역 공개 실적

o 관보 또는 홈페이지에 공개한 내역을 화면 캡처하여 제출

□ 개인정보 목적 외 이용·제공 대장

o 관리대장 서식은 “개인정보 보호법 시행규칙 별지 제1호 서식” 이어야 인정

※ 시스템 등으로 대장관리를 하는 경우 위 서식의 기재사항이 모두 반영되어야 인정

o 관리대장은 5개 부서당 각 1개씩 제출
다만, 인정실적 기간내 목적 외 이용‧제공한 5개 부서 이내인 경우 “해당사항을 명시”하고 목적외·이용 제공한 부서의 관리대장 제출(관리대장 표지와 서식 함께 제출)

※ 목적 외 이용·제공 건이 없을 경우 해당사항이 없음을 명시

진단 항목	6.3. 보유기간이 경과하거나 개인정보의 처리목적 달성 등으로 불필요한 개인정보를 파기하였는가?
인정실적	2018. 7. 1. ~ 2019. 6. 30. 실적

□ 개인정보 보호책임자의 파기·분리보관 현황파악

o 개인정보파일 파기에 관한 현황 파악 결과보고서

※ 개인정보보호종합지원시스템에 등록한 개인정보파일 기준

⇨ 전자결재, 메모보고 등 전자적인 시스템으로 개인정보 보호책임자에게 보고된 문서만 인정

□ 개인정보파일 파기 관리대장

o “표준 개인정보 보호지침 별지 제5호 서식” 의 기재사항이 모두 반영된 캡쳐화면

※ 시스템으로 대장을 관리하거나, 기관에서 별도 관리하는 서식이더라도 위 서식의 기재사항이 모두 포함된 경우 인정

7		개인정보 처리업무 위탁에 따른 개인정보 보호

진단 항목	7.1. 개인정보 처리업무 위탁 현황을 파악하고 법 의무사항을 문서화 하고 있는가?
최종결재	2019년 실적 (장기계약인 경우 2019년도가 포함된 문서의 경우 인정 가능)

□ 개인정보 처리업무 위탁 현황 (업무위탁 수 : 총   건)

연번	개인정보 처리업무 위탁명	위탁기관	수탁기관	계약기간	계약 형태
1	예) 업무시스템 유지보수	“본청” 또는 “소속기관명	A정보통신	2019. 1. 1. ~ 2019. 12. 31.	조달/자체
2
3
⦙

⇨ “본청 및 소속기관”의 개인정보 처리업무 위탁 현황을 파악하여 모두 작성

⇨ 개인정보 처리업무 위탁이 없는 기관인 경우 개인정보 처리업무 위탁 현황 파악자료 제출해야 하며, “전자결재, 메모보고 등 전자적인 시스템으로 최종결재권자에게 보고된 문서”만 인정

□ 업무 위탁 문서 (위․수탁 계약서, 협약서 등)

o 위 개인정보 처리업무 위탁 현황은 “모든” 위탁에 대하여 작성하고, 위·수탁 계약서는 현황자료 연번 순서대로(1번~10번) 계약서 10개 제출

- 업무위탁 수가 위 제출건수를 초과하는 기관은  현황표에 기재된 계약 중에서 추가로 자료 제출을 요구할 수 있음(거부 시 불이익 예상)

o 위·수탁 계약서는 표준 개인정보 처리 위탁계약서를 원칙으로 한다.

- 갱신계약인 경우 “최초계약서와 갱신계약서” 함께 제출 시 인정

- 계약일자, 인감·서명날인 등이 포함되어야 함

- 기관 간 협약서 또는 특약서도 가능하나, “개인정보 처리업무 위탁계약서 필수항목(6가지)”이 포함되어 있어야 함

o 표준 개인정보 처리업무 위탁계약서를 사용하지는 않았지만, 6가지 사항에 대하여 문서화 되어 있다면 그 조항을 발췌하여 첨부하고 해당부분을 아래 서식으로 표시

연번	개인정보 처리업무 위탁명	해당 조항(페이지 등)
1	<예시>
2

진단 항목	7.2. 개인정보 처리업무를 위탁한 후 수탁자 대상으로 교육 및 감독을 이행하고 있는가?
인정실적	2018. 7. 1 ~ 2019. 6. 30 실적 ※ ’19년이 포함된 장기계약인 경우 : ’18. 7. 1. ~ ’19. 6. 30. 까지 실적 인정

⇨ 7.1 지표에서 개인정보 처리업무 위탁이 없는 기관은 작성할 필요가 없음

⇨ 전자결재, 메모보고 등 전자적인 시스템으로 최종결재권자에게 보고된 문서만 인정

□ 교육 및 관리․감독 현황

연번	개인정보 처리업무 위탁명	수탁기관	교육		관리·감독
			이행 여부		이행 여부
			위탁 기관	수탁 기관
합 계			1개	1개	1개
1	업무시스템 유지보수	A정보통신	O		O
2	복지시스템 유지관리	B정보통신		O	X
⦙

□ 수탁업체 대상 교육 결과보고서

o 수탁자에 대한 개인정보 보호 교육 결과보고서 첨부
(참석자 명단, 참석자 서명, 증빙사진 등 포함)

□ 수탁업체 대상 관리‧감독 결과

o 수탁업체별 관리‧감독 결과 첨부 (관련 공문, 결과보고서, 점검표 등 관리‧감독 사실을 증빙할 수 있는 자료 포함)

□ 수탁업체 자체 교육 결과 (해당 시)

o 수탁업체 자체적으로 실시한 개인정보 보호 교육 결과 첨부 (결과보고, 참석자 명단 등)

- 위탁사와 협의하여 수탁업체가 자체교육을 실시한 경우, 수탁업체의 교육 결과 보고서도 제출 가능

8		영상정보처리기기 설치 및 운영

진단 항목	8.1. 영상정보처리기기 운영·관리 방침을 수립·공개하며, 법 의무사항이 모두 반영되어 있는가?
인정실적	2018. 7. 1 ~ 2019. 6. 30 실적

□ 영상정보처리기기 설치·운영 현황

연번	설치목적	설치대수	설치장소	촬영범위	기관명 및 관리부서
1
2
⦙

⇨ 공개된 장소에 설치한 영상정보처리기기가 없는 경우에는 그 사유를 기재 (ex) 정부종합청사 입주 등

□ 영상정보처리기기 운영‧관리 방침 수립‧공개 현황

○ 홈페이지를 통한 공개

연번	영상정보처리기기 운영‧관리 방침 링크	영상정보처리기기 운영‧관리 방침 공개화면	“본청” 또는 “소속기관명”
1	http://www.sample.go.kr/personal.htm
2
3

⇨ 위 설치·운영 현황에 있는 영상정보처리기기에 대한 운영·관리방침을 모두 기재

○ 홈페이지가 아닌 방법으로 공개

연번	영상정보처리기기 운영‧관리 방침* 공개방법	구분
1	관보(제000호)에 게재 (개인정보보호법 시행령 제31조 제3항 참조)	“본청” 또는 “소속기관명”
2
3
⦙

⇨ 상기 연번 순서대로 운영‧관리 방침 전체를 첨부 (누락 시 미 수립된 것으로 간주함)

진단 항목	8.2. 개인영상정보에 대한 이용·제공·열람·파기 내역을 대장에 기록하고 관리하는가?
인정실적	2018. 7. 1. ~ 2019. 6. 30. 실적

⇨ 8.1 지표에서 개인영상정보 대상이 없는 기관은 작성할 필요가 없음

□ 개인영상정보 관리대장

o “표준 개인정보 보호지침 별지 제3호” 서식을 준수한 관리대장

※ 시스템 등으로 대장관리를 하는 경우 위 서식의 기재사항이 모두 반영되어야 함

o 개인영상정보 이용, 제공, 열람, 파기 내역이 포함되어 있는지 확인

※ 파기내역 : 사전에 파기 시기 등을 정한 자동 삭제의 경우에는 파기 주기 및 자동 삭제 여부에 대한 확인 시기 (표준 개인정보 보호지침 제42조 제2항 2호)

o 관리대장은 5개 부서당 각 1개씩 제출

다만, 인정실적기간 내 개인영상정보처리기기를 관리하는 부서가 5개 부서 이내인 경우 “해당사항을 명시”하고 작성 중인 관리대장 제출(관리대장 표지와 서식 함께 제출)

※ 개인영상정보처리기기를 운영하지 않는 경우 해당사항이 없음을 명시

9		개인정보 유․노출 방지 조치

진단 항목	9.1. 홈페이지 및 개인정보처리시스템의 개인정보 유·노출 방지를 위한 체계를 구축·운영하고 있는가?
인정실적	2018. 7. 1. ~ 2019. 6. 30. 실적

⇨ 중앙부처가 보급·운영하거나, 국가정보자원관리원이 관리하는 개인정보처리시스템은 관리기관을 명시하되 증빙자료는 미제출, 다만 진단대상 기관이 직접 관리하는 경우에만 증빙자료 제출 필요

□ 홈페이지 및 개인정보처리시스템 접근통제 시스템 구축 현황(1)

○ 관련 현황

연번	홈페이지 및 시스템명	구축 현황	관리 주체	비고
1	사이트명, 시스템 명칭	구축된 보안장비 및 SW 현황	기관명 / KLID / 국가정보자원관리원 등	홈페이지/ 개인정보처리시스템
2
3
4
⦙

○ 증빙 자료

- 홈페이지 및 개인정보처리시스템별 접근통제 시스템 구축·운영[보안시스템(F/W, IDS, IPS, DB방화벽 등) 및 소프트웨어(웹 방화벽, 보안 운영체제 등)] 도입을 확인 할 수 있는 증빙 자료

※ 시스템 구축 및 관리 문서, 장비 현황사진, 소프트에어 도입 현황을 확인 할 수 있는  화면캡처 등

- 문서자료의 경우 “전자결재, 메모보고 등 전자적인 시스템으로 최종결재권자에게 보고된 문서만 인정“

- 기관 정보 보안상 기밀로 분류되는 정보는 마스킹 처리 후 첨부

※ 해당 증빙자료는 저장된 개인정보의 보안 조치를 확인하는 것이 목적임

□ 홈페이지 및 개인정보 송신 시 전송구간 유․노출 방지 조치 현황(2)

○ 관련 현황

연번	홈페이지 및 시스템명	구축 현황	관리 주체	비고
1	사이트명, 시스템 명칭	노출방지를 위한 조치 개요	기관명 / KLID / 국가정보자원관리원 등	개인정보 송수신하지 않는 경우 등
2
3
⦙

○ 증빙 자료

- 외부에서 개인정보처리시스템 접속 시 안전한 접속수단 적용하거나 인증수단 등 보안조치(VPN, 전용선 등), 홈페이지 개인정보 송신 시 전송구간에 대한 암호화 등 보안조치(SSL 등) 확인 자료 첨부

- 보안 및 노출방지 조치 적용 관련 문서, 전송구간 암호화 조치 현황 화면캡처 등

※ 해당 증빙자료는 송수신 되는 개인정보의 보안 조치를 확인하는 것이 목적임

- 개인정보를 송신하지 않는 홈페이지 및 시스템의 경우, “해당 없음”으로 기재

※ 문서자료의 경우 전자결재, 메모보고 등 전자적인 시스템으로 최종결재권자에게 보고된 문서만 인정

□ 홈페이지 및 개인정보처리시스템의 개인정보 노출 점검, 웹 취약점 점검 등 수행결과(3)

○ 관련 현황

연번	홈페이지 및 시스템명	점검 여부	점검 주체	후속조치 여부
1	사이트명, 시스템 명칭	O/X	기관명 / KLID / 국가정보자원관리원 등	O / X / 해당없음 (점검결과 이상 없음)
2
3
⦙

○ 증빙 자료

⇨ 진단 대상기관이 점검주체가 아니더라도 점검에 따른 후속조치에 대한 증빙자료 제출 필요

- 개인정보 유·노출방지를 위한 정기점검(연1회 이상) 및 후속조치 실적 첨부

- 홈페이지 및 개인정보처리시스템에 대한 개인정보 노출방지 점검, 웹 취약점 점검 수행 결과

- 수행 결과에 따른 후속 조치 계획, 조치 결과 등 첨부

※ 점검결과보고는 전자결재, 메모보고 등 전자적인 시스템으로 최종결재권자에게 보고된 문서만 인정

□ 개인정보처리시스템별 접속 자동 차단 등 보안조치 현황(4)

○ 관련 현황

연번	홈페이지 및 시스템명	보안 여부	관리 주체	비고
1	사이트명, 시스템 명칭	O/X	기관명 / KLID / 국가정보자원관리원 등	홈페이지/ 개인정보처리시스템
2
3
4
⦙

○ 증빙 자료

- 홈페이지 및 개인정보처리시스템별 개인정보취급자가 일정시간 이상 업무처리를 하지 않아 개인정보처리시스템에 접속차단에 관한 보안조치를 확인 할 수 있는 증빙 자료

※ 업무용 컴퓨터의 화면보호기 등은 접속차단에 해당하지 않음

※ 최대접속시간 설정 실적은 해당하지 않음

- 기관 정보 보안상 기밀로 분류되는 정보는 마스킹 처리 후 첨부

※ 해당 증빙자료는 개인정보의 보안 조치를 확인하는 것이 목적임

진단 항목	9.2. 업무용 컴퓨터, 모바일 기기 등에 대한 개인정보 유·노출 방지를 위한 체계를 구축·운영하고 있는가?
인정실적	2018. 7. 1. ~ 2019. 6. 30. 실적

□ 업무용 컴퓨터, 모바일 기기, 관리용 단말기 등에 대한 개인정보 유․노출방지 및 물리적 안전조치 증빙자료

① 기관 전체 업무용 컴퓨터 대상 보안활동 점검결과 및 후속조치 실적

※ 사이버보안 진단의 날 등을 통해 수행한 기관 전체 보안점검 결과 및 후속조치 실적

- 반기별 1회 이상 실적(’18년 하반기 중 1개월 + ’19년 상반기 중 1개월 실적을 함께 제출한 경우 인정)

ⓐ 비밀번호 관리 실적(주기적 변경 관리)

ⓑ 백신 소프트웨어의 운영 실적

ⓒ 공유설정에 대한 관리 실적 점검결과(통계정보) 및 후속조치 내용 제출

② 상용 웹 메일 , P2P, 웹하드, 메신저, SNS서비스 등을 통한 개인정보 유·노출 방지 조치 실적

③ 보조저장매체의 반출·입 관리 또는 보조저장매체를 통한 개인정보 유출 방지 조치 실적

※ 매체제어 솔루션 운영현황, 보안USB 사용현황 등 실적 제출

④ 개인정보 업무처리에 관련된 장비(컴퓨터, 모바일, 단말기) 내 불필요한 개인정보의 파기 등 정기점검 및 후속조치 실적

※ 전체 업무용 컴퓨터 및 모바일 기기 등에 저장된 개인정보 확인 및 후속조치 내용 제출

※ 기관 내 전체 업무용 컴퓨터 및 모바일 기기 대상 실적, 일부를 대상으로 이루어진 실적에 대한 증빙은 인정 불가

⑤ 개인정보를 문서로 보유하는 경우, 물리적 보안 관리 실적(잠금장치, 문서보관실 등) 또는 출력물을 통한 개인정보 유출 방지 조치 실적

⑥ 기관 내 무선망 운영 시, 안전한 사용을 위한 보안 조치 및 관리 실적(해당시)

⑦ 업무용 모바일 기기 사용 시, 비밀번호 설정 등의 보호조치 및 관리 실적((해당시)

⑧ 관리용 단말기 사용 시, 관리용 단말기 보안조치 및 관리 실적(해당시)

※ 자동잠금이 수행된 후 화면 잠금 상태인 각 관리용 단말기별 화면캡처 자료

※ 증빙화면의 캡처 이미지 해상도가 육안으로 파악할 수 있는 경우만 인정

※ 해당 기관에서 ⑥,⑦,⑧ 중 해당사항이 없을 시 “해당 없음”으로 명시

10		개인정보 침해사고 및 재해․재난 대응 절차 수립

진단 항목	10.1. 개인정보 침해사고 발생에 대응하기 위한 절차서를 수립하여 전파하고 있는가?
인정실적	2018. 7. 1. ~ 2019. 6. 30. 실적

□ 개인정보 침해사고 대응 절차서(1)

o 4가지 필수 항목을 포함한 기관 내 절차서 등 첨부

① 개인정보 침해 유형별 정의 (유출, 노출 등)

② 업무 절차 (침해사고 인지, 경위 조사, 확산 방지 등)

③ 업무 분장 (개인정보 보호책임자, 개인정보 보호담당자, 개인정보취급자 등)

④ 신고 및 피해구제 방법 (유출 신고, 통지 등)

o 정보보안 등 타 지침에 “개인정보 침해사고” 항목을 포함하여 수립한 것도 실적으로
인정됨

※ 단, 4가지 필수 항목은 반드시 포함되어 있어야 인정

o 단순 법 조항 나열한 것이 아닌 해당 기관의 현황을 반영, 실제 수행이 가능한 수준의 구체적인 내부 절차를 수립한 것

⇨ 전자결재, 메모보고 등 전자적인 시스템으로 최종결재권자에게 보고된 문서만 인정

□ 개인정보 침해사고 대응 절차서 전파실적

① 교육 또는 모의훈련 이행 실적

o 교육 또는 모의훈련 실적 첨부

- 별도 절차서 교육이 아닌, 개인정보보호 교육에 절차서 교육을 포함할 경우에도 인정 가능

※ 단, 해당 기관의 자체 절차서가 아닌 법령 또는 일반적인 절차 교육의 경우 인정 불가

o 해당 절차서 교육에 대하여 확인할 수 있는 자료(교육 계획, 교육 결과보고, 사진 등)

- 절차서를 법 시행 이전에 만들었더라도 교육 또는 모의훈련은 매년 실시

- 교육 실적의 경우, 교육 결과자료에서 해당 절차서 교육 내용 확인 필요

※ 계획에는 명시하였으나, 결과자료에서 기관 자체 절차서 교육내용 확인이 안 되면 인정 불가

⇨ 전자결재, 메모보고 등 전자적인 시스템으로 최종결재권자에게 보고된 문서만 인정

② 개인정보 침해사고 대응 절차서 시행 실적

o 인정실적 기간 내에 “문서 시행/인트라넷 게시” 실적 첨부

o 인트라넷 게시 화면(게시일자 포함) 등 직원들에게 개인정보 침해대응 절차를 전파한

사실을 확인할 수 있는 자료 첨부

진단 항목	10.2. 재해·재난 발생에 대응하기 위한 절차서를 수립하여 전파하고 있는가?
인정실적	2018. 7. 1. ~ 2019. 6. 30. 실적

□ 재해․재난 발생 시 개인정보처리시스템 위기대응 절차서(1)

o 6가지 필수 항목을 포함한 기관 내 절차서 등 첨부

① 개인정보처리시스템 구성 요소(개인정보 보유량, 종류·중요도, 시스템 연계 장비·설비 등)

② 재해·재난 등에 따른 파급효과(개인정보 유출, 손실, 훼손 등) 및 초기대응 방안

③ 개인정보처리시스템 백업 및 복구 우선순위, 목표시점·시간

④ 개인정보처리시스템 백업 및 복구 방안(복구센터 마련, 백업계약 체결, 비상가동 등)

⑤ 업무분장, 책임 및 역할

⑥ 실제 발생 가능한 사고에 대한 정기적 점검, 사후처리 및 지속관리 등

o 정보보안 등 타 지침에 “재해·재난 발생 시 개인정보처리시스템 위기대응” 항목을 포함하여 수립한 것도 실적으로 인정됨

※ 단, 6가지 필수 항목은 반드시 포함되어 있어야 인정

o 단순 법 조항 나열한 것이 아닌 해당 기관의 현황을 반영, 실제 수행이 가능한 수준의 구체적인 내부 절차를 수립한 것

⇨ 전자결재, 메모보고 등 전자적인 시스템으로 최종결재권자에게 보고된 문서만 인정

□ 재해․재난 대응 절차 전파 실적

① 개인정보처리시스템 위기대응 절차서 교육 또는 모의훈련 이행 실적

o 교육 또는 모의훈련 실적 첨부

- 별도 절차서 교육이 아닌, 개인정보보호 교육에 절차서 교육을 포함할 경우에도 인정 가능

※ 단, 해당 기관의 자체 절차서가 아닌 법령 또는 일반적인 절차 교육의 경우 인정 불가

o 해당 절차서 교육에 대하여 확인할 수 있는 자료(교육 계획, 교육 결과보고, 사진 등)

- 절차서를 법 시행 이전에 만들었더라도 교육 또는 모의훈련은 매년 실시

- 교육 실적의 경우, 교육 결과자료에서 해당 절차서 교육 내용 확인 필요

※ 계획에는 명시하였으나, 결과자료에서 기관 자체 절차서 교육내용 확인이 안 되면 인정 불가

⇨ 전자결재, 메모보고 등 전자적인 시스템으로 최종결재권자에게 보고된 문서만 인정

② 개인정보처리시스템 위기대응 절차서 시행 실적

o 인정실적 기간 내에 “문서 시행/인트라넷 게시” 실적 첨부

o 인트라넷 게시 화면(게시일자 포함) 등 직원들에게 재해·재난 발생 시 개인정보처리시스템 위기대응 절차를 전파한 사실을 확인할 수 있는 자료 첨부

11		개인정보처리시스템의 안전한 이용 및 관리

진단 항목	11.1. 개인정보처리시스템의 접근권한 관리 정책을 수립·이행하고 있는가?
인정실적	2019. 6. 30. 기준 이전 실적

⇨ 전자결재, 메모보고 등 전자적인 시스템으로 최종결재권자에게 보고된 문서만 인정

⇨ 4.1지표의 “개인정보파일 현황”에 있는 개인정보처리시스템별로 자료 작성

□ 개인정보처리시스템별 접근권한 관리 정책 수립

o 개인정보처리시스템별 접근권한 정의, 권한 부여기준, 권한 부여‧변경‧말소 절차 등
문서화된 자료

(접근권한 정책이 문서화 되지 않고 접근권한 관리 시스템 화면을 제출하는 경우 인정 불가)

o 한 개의 표준 접근권한 관리 정책을 여러 개인정보처리시스템에서 사용할 경우, 해당 접근권한 관리 정책이 적용되는 개인정보처리시스템을 반드시 명시할 것

※ 기관특성을 고려하여 1개 부서에서 통합관리·운영 할 경우 해당 내용을 명시하고 접근권한 관리정책 수립한 1건 제출 가능

o 상위기관에서 관리하는 개인정보처리시스템이라도 개인정보취급자의 권한 부여 및 변경 등 관리내역 제출

o 홈페이지 회원가입을 받지 않는 등 개인정보처리시스템이 없을 경우, “해당 없음”으로 기재

□ 접근권한 정책 이행

o 개인정보처리시스템별 접근권한 관리 정책에 의한 관리 실적 (관리 대장 등)

※ 기관특성을 고려하여 1개 부서에서 통합관리·운영 할 경우 해당 내용을 명시하고 접근권한 관리정책 수립한 1건 제출 가능

o 접근권한 부여·변경·말소 관리대장 또는 로그기록을 확인할 수 있도록, 시스템별 저장된 기록을 발췌할 것

※ ’19.6.30기준으로 ’16.6월+’19.6월 접근권한 기록을 함께 제출 한 경우에는 최소 3년간 보관 준수한 것으로 인정

※ 신규 개인정보처리시스템을 운영한 지 3년 미만인 경우, 그에 대한 설명 자료를 첨부(개발문서, RFP 등)하고 시스템 운영 이후 로그기록 제출

o 권한 부여 및 변경 절차가 공문을 통해 이루어지는 경우, 권한 신청 공문과 승인 공문 등을 확인 후 관리 실적 인정

o 홈페이지 회원가입을 받지 않는 등 개인정보처리시스템이 없을 경우, “해당 없음”으로 기재

진단 항목	11.2. 개인정보처리시스템의 접속기록에 대한 점검 및 후속조치를 이행하고 있는가?
인정실적	2018. 7. 1. ~ 2019. 6. 30. 실적

⇨ 11.1 지표에서 개인정보처리시스템 대상이 없는 기관은 작성할 필요가 없음

⇨ 4.1 지표의 “개인정보파일 현황”에 있는 개인정보처리시스템명과 일치되게 자료 작성

□ 개인정보처리시스템별 점검 결과

연번	개인정보처리시스템명	접속기록 6개월 이상 저장	점검 조치	후속조치 완료	비고
계	O개	O개	O개	O개	O개
1		○	○	○	후속조치 해당없음
2

⇨ 실적 자료는 개인정보처리시스템 현황 연번에 따라 기재

⇨ 접속기록 점검결과 이상이 없을 경우 별도의 후속조치가 없더라도 이행한 것으로 인정

(단, 점검결과 분석내용을 제출할 것)

□ 개인정보처리시스템별 접속기록

o 개인정보처리시스템별 저장되고 있는 접속기록(log) 샘플 첨부

※ 개인정보처리시스템 관리자 및 개인정보취급자들의 접속기록에 대한 점검 실적 제출

※ 개인정보처리시스템이 아닌 서버에 대한 단순 접속로그(Root, Admin 계정의 telnet, ssh 접속 등)  제출 시 실적 불인정

※ 접속기록화면 캡처가 아닌 엑셀 또는 아래한글 파일형식의 접속기록 증빙자료는 인정불가

단, 엑셀 또는 아래한글 파일내에 접속기록 관련 화면캡쳐가 포함된 경우 인정

o 접속기록(계정, 접속일시, 접속자 정보, 수행업무)을 식별할 수 있도록 화면 캡처하여 자료 첨부

o 접속기록 저장기간(6개월 이상)을 확인할 수 있도록, 시스템별 저장된 기록을 발췌할 것

※ 인정실적 기간내에 ’18.12월+’19.6월 접속기록을 함께 제출 한 경우에는 6개월 이상 보유기간을 준수한 것으로 인정

※ 개인정보처리시스템이 운영된 지 6개월 미만인 경우, 그에 대한 설명 자료를 첨부(개발문서, RFP 등)하고 시스템 운영 이후 접속기록 제출

o 홈페이지 회원가입을 받지 않는 등 개인정보처리시스템이 없을 경우, “해당 없음”으로 기재

□ 개인정보처리시스템 접속기록 점검․분석 결과 및 후속조치

o 개인정보처리시스템별 접속기록 점검 결과 분석 및 후속조치 실적 첨부

※ 인정실적 기간내의 점검결과에 대한 후속조치 내역을 연도별로(’18년 하반기, ’19년 상반기) 제출

※ 자체 운영 중인 개인정보처리시스템이 있는 경우에 한함(지표 9.1 연계)

o 점검·분석 결과 이상이 없을 경우, 후속조치 “해당 없음“으로 명시할 것(분석결과 필요)

※ 전자결재, 메모보고 등 전자적인 시스템으로 최종결재권자에게 보고된 문서만 인정

12		고유식별정보의 처리 제한

진단 항목	12.1. 고유식별정보의 처리 현황을 파악하고 있는가?
인정실적	2018. 7. 1. ~ 2019. 6. 30. 실적

□ 고유식별정보의 처리 현황

o 개인정보파일별 고유식별정보* 처리 현황 조사 보고서 또는 자체점검 결과보고서

* 고유식별정보의 범위 : 주민등록번호, 운전면허번호, 여권번호, 외국인등록번호

※ 고유식별정보를 처리하는 대상이 없는 경우 개인정보파일 현황 파악 자료(4.1)를 제출

⇨ “전자결재, 메모보고 등 전자적인 시스템으로 최종결재권자에게 보고된 문서”만 인정

진단 항목	12.2. 고유식별정보 암호화를 이행하였는가?
인정실적	2019. 6. 30. 기준 완료된 실적

구분	개인정보 처리시스템명	개인정보 파일명 (A)	암호화 완료 (B)	2019년 완료 예정 (C)	비율 〔(B+C)/A〕×100
전체	O개	O개	O개	O개	%
개인정보처리시스템					-
업무용 PC					-
종이문서					-

⇨ 종이문서의 경우 잠금장치가 부착되어 있는 안전한 장소에 보관하는 것으로 대체 가능

□ 고유식별정보 암호화 조치

o 고유식별정보 암호화 조치 실적 자료 제출 (완료 보고서, 공문, 암호화 확인 화면 캡처 등)

※ 완료 보고서는 인정실적 기간 내에 “전자결재, 메모보고 등 전자적인 시스템으로 최종결재권자에게 보고된 문서만 인정”

o 2019년 중으로 암호화 완료 예정인 파일에 대해서는 예산반영, 진행 상황 등을 증빙할 수 있는 자료를 등록할 것 (확인이 불분명할 경우 인정 불가)

※ 유예대상으로 분류된 경우 법적 근거 필요

o 업무용 PC 내 보유하고 있는 파일(개인정보 포함)에 대한 암호화 조치 이행 실적 자료 제출

※ MS OFFICE, 한글 등 문서 프로그램의 암호화 기능 설정 화면 캡처 등

o 고유식별정보가 포함된 종이문서에 대한 보안조치 이행 실적 제출

※ 종이문서가 보관되어 있는 금고 또는 시건장치가 있는 캐비넷 이미지 등