주민번호 암호화 관련 시행령 개정 방안

□ 추진 배경

○ 개인정보보호법 개정(‘14.3.24)으로 ’16.1.1부터 주민번호 암호화 의무 적용

◇ 개인정보보호법 제24조의2(주민등록번호처리의 제한)②주민등록번호가 분실·도난·유출·변조되지 아니하도록 암호화 조치를 통하여 안전하게 보관하여야 한다. 이 경우 암호화 적용 대상 및 대상별 적용 시기 등에 관하여 필요한 사항은 개인정보의 처리 규모와 유출 시 영향 등을 고려하여 대통령령으로 정한다.

<부칙> 법 제24조의2 개정규정은 2016년 1월 1일부터 시행한다.

○ 관련기관, 사업자 등의 의견수렴을 거쳐 시행령 개정방안 마련

□ 관련기관 주요의견 *주요기관･사업자(43개) 의견 수렴(2014.12.11～12)

○ 주민번호를 키로 사용하는 기관 및 보유량이 방대한 기관은 암호화 적용 및 안정화에 추가기간이 필요하므로 적용시기 유예 요청

○ 정부기관은 암호화 추진을 위해 기재부 예산배정이 필요하다는 의견 제시

□ 검토의견 및 시행령 반영안

○(검토의견) 주민번호 보유량을 고려 시행령으로 1～2년 적용 유예

- 일반법이므로 업종별 예외보다 보유량 기준 유예기간 설정이 바람직

※ 법 공포 후 시행까지 유예기간(약2년)을 고려하면 총 3～4년 유예 효과

○(적용대상) 정보시스템을 통해 주민번호를 처리하는 공공기관 및 사업자

○(적용시기) 주민번호 보유량에 따라 1,000만건 미만은 2017.1.1, 1,000만건 이상은 2018.1.1부터 적용

※ 내부망에 저장된 자료로 안전성확보조치를 모두 이행한 경우에 한해 시행시기 유예

□ 추진 일정

○ 공공기관․사업자 의견수렴 및 시행령 개정안 입법예고(4월)

○ 암호화 적용시기, 대상 등을 확정한 개인정보보호법 시행령 개정안 시행(6월)

○ 암호화에 대한 홍보 및 실태조사․지원* 추진(4월～)

* 중앙부처․지자체에 대한 암호화 예산 편성현황 조사 및 기획재정부 예산편성 협의 등

붙임1	개인정보보호법 시행령 개정안

제21조의2(주민등록번호 암호화 조치)①법 제24조의2제2항에 따라 암호화조치를 통하여 안전하게 보관하여야 하는 대상은 전자정부법 제2조 10항의 정보통신망 또는 전자정부법 제2조 13항의 정보시스템을 통해 검색할 수 있는 형태로 처리되는 주민등록번호로 한정한다.

②제1항에 따라 암호화 조치를 하여야 하는 주민등록번호에 대하여 법제29조의 안전성확보에 필요한 조치를 모두 이행한 개인정보처리자는 다음 각호에서 정한 기간까지 암호화 조치를 유예할 수 있다.

1. 1,000만건 미만의 주민등록번호를 처리하는 개인정보처리자는 2016년 12월 31일

2. 1,000만건 이상 주민등록번호를 처리하는 개인정보처리자는 2017년 12월31일

부칙

제1조(시행일) 이 영은 2016년1월1일부터 시행한다.

	< 시행령 개정안 해설 >
<조문신설> 개인정보보호법 제24조의2 개정으로 암호화 관련 적용대상 및 시기에 대한 새로운 기준 제정이 필요하므로 시행령에 관련 조문 신설 ※ 시행령 제21조(고유식별정보의 안전성확보조치)에 연결하여 21조의2 신설 <①항> 암호화 대상 주민등록번호를 정보시스템에 저장하여 처리하는 정보로 한정 - 종이문서, 이미지파일 보관 정보 등 암호화의 의미가 없는 정보는 제외 <②항> 개인정보보호법 제29조에 따라 2012년12월31일부터 암호화 대상으로 旣 지정된 정보(인터넷에 연결된 장비에 저장된 주민번호, 보호조치가 미흡한 주민번호)를 유예 대상에서 제외하기 위해 법 제29조를 우선 이행하도록 명시 ※ 위험도 분석을 통해 안전하게 내부망에 저장하고 있는 주민번호에 대해서만 유예기간을 적용하여 암호화 유예에 따른 위험이 크지 않도록 고려 <부칙> 법 제24조의2 개정안에 따른 신설조항이므로 법 시행일(2016.1.1)부터 적용

붙임2	주민번호 보관위치에 따른 암호화 적용시기

보관 위치
적용 시기	◊현재 인터넷망, 전송구간의 주민번호는 암호화 의무적용 중(2012.12.31～, 위반시 3천만원이하 과태료) ※ 개인정보보호법 시행령 제30조(안전성확보조치), 암호화의 세부기준은 고시로 위임	◊내부망의 주민번호는 2016.1.1부터 의무적용 ※ 현재는 보안조치로 암호화 대체 가능

	< 암호화 관련 법령>
<< 개인정보보호법 >> 제24조(고유식별정보의 처리제한)③고유식별정보를 처리하는 경우에는 그 고유식별정보가 분실․도난․유출되지 아니하도록 대통령령에서 정하는 바에 따라 안전성확보에 필요한 조치를 하여야 한다. 제24조의2(주민등록번호처리의 제한)②주민등록번호가 분실·도난·유출되지 아니하도록 암호화 조치를 통하여 안전하게 보관하여야 한다. 이 경우 암호화 적용 대상 및 대상별 적용 시기 등에 관하여 필요한 사항은 대통령령으로 정한다. 제29조(안전조치의무)개인정보처리자는 개인정보가 분실·도난·유출되지 아니하도록 대통령령으로 정하는 바에 따라 안전성확보에 필요한 조치를 하여야 한다. <부칙> 법 제24조의2 개정규정은 2016년 1월 1일부터 시행한다. << 개인정보보호법 시행령 >> 제30조(개인정보의 안전성확보조치)①개인정보처리자는 다음 각호의 조치를 하여야 한다. 3. 개인정보를 안전하게 저장․전송할 수 있는 암호화기술의 적용 또는 이에 상응하는 조치 ③안전성확보 조치에 관한 세부 기준은 행정자치부장관이 정하여 고시한다. <부칙> 전자매체에 저장하는 개인정보는 2012년12월31까지 암호화조치를 마쳐야 한다. << 개인정보의 안전성확보조치 기준 고시 >> 제6조(개인정보의 암호화)① 암호화하여야 하는 개인정보는 고유식별정보, 비밀번호 및 바이오정보를 말한다. ②정보통신망을 통하여 송․수신하는 경우 암호화하여야 한다. ④인터넷구간 및 중간지점(DMZ)에 고유식별정보를 저장하는 경우 암호화하여야 한다. ⑤내부망에 고유식별정보를 저장하는 경우에는 영향평가, 위험도분석 등의 결과에 따라 암호화 적용여부 및 적용범위를 정하여 시행할 수 있다.