문서번호	자치행정과-14075
결재일자	2017.7.6.
공개여부	부분공개(5)
방침번호

						시 민
주무관		서울시민카드팀장		자치행정과장
신경철		김덕환		07/06 유보화
협 조
	개인정보보호팀장				강성모

『서울시민카드 시스템』 개인정보 영향평가 추진계획

2017. 7

행 정 국

(자치행정과)

☞ 해당사항이 있는 부분에 ‘ ■ ’ 표시하시기 바랍니다. (※ 비고 : 필요시 검토내용 기재)
구 분	사전 검토항목 점검 사항	검토완료	해당없음	비 고
시민 참여	● 시민 의견 반영 및 사업 참여 방안을 검토하였습니까? 예) 청책토론회, 설문조사, 시민공모 등	□	■
전문가 자문	● 관련 전문가 의견을 반영하였습니까? 예) 자문위원회 개최, 타당성 검토, T/F 운영 등	□	■
갈 등	● 이해 당사자 간 갈등발생 가능성을 검토하였습니까? 예) 주택가 공공주차장 조성, 택시 불법영업 단속 등	□	■
사회적 약자 배려	● 사회적 약자에 대한 배려를 검토하였습니까? 예) 아동, 장애인, 한부모 가정 등	□	■
성별분리통계	● 성별분리통계 작성여부를 검토하였습니까? 예) 인적통계 남·여 구분, 수혜집단의 남·여 구분 등	□	■
일자리	● 일자리 창출 효과 및 일자리 수를 검토하였습니까? 예) 직·간접 채용, 취업알선, 전문인력양성, 창업지원 등	□	■
선거법	● 공직선거법에 저촉 여부를 검토하였습니까? 예) 홍보물 배포, 표창수여, 경품지급, 기부행위 등	□	■
안전	● 시민 안전 위험요인과 안전대책을 검토하였습니까? 예) 장소·시설물 점검, 안전관리 인력확보 등	□	■
타 기관	● 타 기관 협의·협력(타 자원 활용 등)을 하였습니까? 예) 중앙부처, 타 지자체, 투자·출연기관, 민간단체 등	□	■
홍 보	● 사업 홍보 방안을 검토하였습니까? 예) 보도자료, 기자 설명회, 현장 설명회 등	□	■
정 책 영문화	● 정책 영문화 및 해외홍보 방안을 검토하였습니까? 예) 영문 제목‧요약, 해외 언론 보도, 외국어 홈페이지 등	□	■
바른 우리말	● 불필요한 외국어·외래어 표현 대신 바른 우리말을 사용하였습니까? 예) 스페이스, 플랜, 앵커시설, 거버넌스, 인큐베이팅, 매칭 등	■	□
결재문서공개	● 공개 여부를 “비공개”로 설정했다면 법적근거를 명확히 검토하였습니까? 예) 정보공개법 제9조 제1항 제1호~제8호	□	■

『서울시민카드 시스템』 개인정보 영향평가 추진계획

현재 구축중인 『서울시민카드 시스템』에 대하여 개인정보 영향평가를 실시하여 개인정보 침해요인을 사전에 파악하고 최적의 보안대책을 마련하여 시민의 개인정보를 안전하게 보호하고자 함.

1		관련근거

○ 개인정보보호법 제29조(안전조치의무), 개인정보보호법 제33조 (개인정보 영향평가)

○ 서울시민카드 발급 세부 실행계획(행정1부시장 방침 제118호, 2017.4.18.)

2		추진개요

○ 추진기간 : 계약일로부터 3개월

○ 소요예산 : 30,548,080원(부가세 포함)

○ 예산과목 : 시민참여를 통한 시민고객 감동행정 구현, 시민참여강화,

모바일플랫폼기반 서울시민카드발급, 사무관리비(201-01)

○ 사업대상 : 서울시민카드 시스템 1식

○ 사업내용

- 개인정보처리시스템의 개인정보 보호조치 및 관리실태 파악

- 개인정보 침해요인 도출 및 개선방안 제시

- 개인정보처리 단계별 기술적 보호조치 및 개선사항 이행여부 점검

○ 참가자격 : 개인정보보호법 제33조 및 동법 시행령 제37조에 의거             행정자치부장관이 개인정보영향평가업체로 지정한 업체

○ 입찰방식 : 제한경쟁

3		세부 추진계획

□ 개인정보영향평가 영역

○ 대상기관의 개인정보보호 관리체계의 적정성

- 개인정보보호 조직, 개인정보보호 계획, 개인정보 침해대응, 정보주체권리 보장 등

○ 대상시스템의 개인정보보호 관리체계의 적정성

- 대상시스템의 개인저보 관리자 관리, 개인정보 취급내용 공개 등

○ 개인정보 처리단계별 보호조치의 적정성

- 개인정보의 수집․저장․보유․이용 및 연계․제공․파기단계에 이르기까지  각 단계별 보호조치

○ 특정 IT기술 활용시 개인정보보호의 적정성

- 모바일 앱 활용, 바코드·QR코드 활용, 위치정보 등 특정 IT기술    활용에 따른 보호조치

※ 개인정보 영향평가 영역 및 분야 세부사항은 붙임1 참조

□ 평가절차 주요내용

○ 사전분석단계

- 개인정보 처리업무표, 처리업무 흐름도 작성을 통해 개인정보 취급업무 분석

- 개인정보 생명주기 및 업무별 흐름을 분석하여 개인정보 흐름표 및 흐름도 작성

- 네트워크 및 시스템 구성, 보안시스템, 관련 장비현황 등을 조사하여  개인정보처리시스템 구조도 및 목록 작성

○ 개인정보 침해요인 분석단계

- 개인정보 영향평가 평가항목에 따른 개인정보 보호조치 현황 파악

- 개인정보처리시스템 및 개인정보파일의 개인정보보호 관리체계 적합성 여부 분석

- 개인정보 처리단계별 기술적 보호조치여부 분석

○ 영향평가 결과보고서 작성 및 이행여부 점검단계

- 도출된 침해요인을 분석하여 현황을 고려한 개선방안 도출

- 현황에 맞춘 우선순위를 고려한 개선계획 수립

- 평가항목별 이행증적 확보 및 적절성을 검토하여 개인정보 영향평가서 작성

□ 단계별 세부 추진사항

□ 추진일정

주요과업	세부과업	8월		9월		10월		11월
개인정보 업무 흐름분석	자료수집, 영향평가 팀 구성 등 사전 작업
	개발 업체 및 부서담당자 인터뷰 실시
침해요인 분석 및 개선방안 도출	침해요인 도출 및 위험도 산정
	개선방안 도출
이행 점검 및 결과보고서 작성	개선계획 및 이행점검
	결과보고서 작성 및 제출

※ 상기 일정은 서울시민카드 플랫폼 개발 일정에 따라 변경 가능

4		행정사항

□ 향후일정

○ 서울시민카드 시스템 개인정보영향평가 과업지시서 검토                                            : ’17.7.12 ~ 7.26

○ 재무과 계약의뢰                    : ’17.7월말

○ 사업자 모집공고 및 선정            : ’17.8월

○ 개인정보 영향평가 실시 완료        : ~’17.12월

□ 협조사항

○ 우리시 개인정보보호 관리체계 자료 제공 협조 : 정보통신보안담당관

붙 임 : 1. 개인정보 영향평가 평가영역 및 평가분야 1부.

2. 개인정보 영향평가 사업예산 산정표 1부.   끝.

[붙임1]

개인정보 영향평가의 평가영역 및 평가분야

평가영역	평가분야	세부사항
Ⅰ. 대상기관의 개인정보보호 관리체계	1. 대상기관 개인정보 보호조직	개인정보 보호책임자의 지정
		개인정보 취급자의 지정
	2. 개인정보보호 계획	개인정보보호 계획 수립
		개인정보보호 교육계획 수립
	3. 개인정보 처리방침	개인정보 처리방침의 수립
	4. 개인정보파일 관리	개인정보파일 관리
		이용․제공대장 관리
		개인정보파일 파기 사실 관리
	5. 개인정보 위탁 및 제공시 안전조치	개인정보 위탁시 안전조치
		개인정보 연계․제공시 안전조치
	6. 개인정보 침해대응	침해사고 처리절차
	7. 정보주체 권익보호	정보주체 권익보호
	8. 개인정보 처리구역 보호	보호구역 지정
		개인정보처리 구역통제
Ⅱ. 대상시스템의 개인정보보호 관리체계	9. 대상시스템의 개인정보관리자	분야별 책임관의 지정
		개인정보 취급자의 지정
		개인정보 취급자의 의무
	10. 개인정보 취급내용 공개	개인정보 파일의 안내
		개인정보 위탁관리 안내
		개인정보 제공 및 목적외 이용 사실의 안내
		개인정보 파기사실의 안내
Ⅲ. 개인정보 처리단계별 보호	11. 수집단계	개인정보 수집의 적합성
		개인정보 수집 동의의 적합성
		개인정보 수집 사실의 안내
		개인정보 수집시 보호조치
	12. 저장 및 보유단계	개인정보파일 보유의 적합성 평가
		개인정보 파일대장의 작성
		개인정보 저장 및 보유시 암호화
	13. 이용 및 연계․제공단계	이용 및 제공의 기본원칙
		타기관 연계․제공시 절차
		개인정보처리시스템 접근통제
		웹 및 애플리케이션 통제
		개인정보 처리단말기 보호조치
		개인정보 이용․제공 승인
		네트워크 접속통제
		웹사이트 개인정보 노출차단
		개인정보 처리내역 기록관리
	14. 파기단계	보유기간 산정 및 안내
Ⅳ. 특정 IT기술 활용시 개인정보 보호	15. 모바일 활용	개인정보 3자 제공 안내
		모바일 앱 등록 및 해지
		시설이용 정보의 표출
		모바일 앱 사전등록 이행절차 등
	16. 바코드. QR코드 활용	바코드, QR코드 이용자 안내
		바코드, QR코드 복제 보호조치
	17. 위치정보 활용	개인위치정보 수집 동의
		개인위치정보 제공시 안내사항