안녕하세요,  XE이용하면서 매번 도움만 받다가 이번에 개인정보보호법도 개정되었고, 홈페이지 제작할 때 약관에 대해서 너무 대충 지나가시는 분도 많아서 이번에 한번 개인정보보호법에 대해서 알아보고 쉽게 약관만드는 방법, 그리고 개인정보를 받을때는 어떻게하는게 좋을지 한번 글을 작성해보았습니다. 블로그에 작성하고 퍼온거라서 구어체로 작성한 점 참고부탁드립니다. 기타알면좋은 사안들은 KISA 개인정보보호 FAQ게시판에서 발췌하였습니다. 개인정보관련해서 관리자분들이 알면 좋은 사안들 많으니 참고하시면 좋을 듯 합니다. 아래 내용 전부 읽기 힘드신분은 http://www.privacy.go.kr/a3sc/per/inf/perInfStep01.do 에서 쉽게 개인정보처리약관 만들 수 있으니 위 링크 들어가서 만들면 되겠습니다! 이걸 어디다 올리면 좋을까 했는데 xe이용하시는 분 대다수가 회원제사이트이용하고 있고 약관에 대해서 한번더 생각해봤으면 좋을 것 같아서 xe팁게시판에 작성하였습니다. 혹시나 다른게시판에 올리는게 좋다고 판단되면 옮겨주세요 ^^

 

 

 

 

 

 

홈페이지 제작 시, 개인정보관련/회원가입약관 처리에 대해서

 

이번에 홈페이지 개편을 진행하면서 법적으로 허점이 많이 있는 부분들을 개선하기 위해서 약관들을 뜯어 고치게 되었습니다. (현재 시행 준비중입니다.) 요즘들어 해킹이다. 유출이다해서 문제가 참 많은데요. 이번 개정된 개인정보보호법1 에 의하면 인터넷 회원가입에 주민등록번호 입력을 제한하고2 있습니다. 큰 업체같은 경우에는 담당하는 사람이 있지만 개인홈페이지 같은경우에는 관련정보들의 업데이트가 잘 이루어지지 않고 있는데요. 간단한 약관샘플과 들어가야되는 것들에 대해서 한번 조사를 해봤습니다.

 

우선 개인정보의 법 적 의미란, 살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아 볼 수 있는 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아 볼 수 있는 것을 포함한다)를 말합니다. 개인정보보호법의 적용대상은 영리법인뿐만 아니라 후원, 기부 재단, 개인까지도 적용됩니다. 이는 개인정보보호법이 일반법이기 때문입니다.

 

단 동호회나 친목도모를 위한 단체의 경우에는 제15조(개인정보의 수집․이용), 제30조(개인정보 처리방침의 수립 및 공개), 제31조(개인정보 보호책임자의 지정)를 적용하지않지만, 개인정보보호법의 다른 규정은 준수해야 됩니다.3 고유식별정보, 비밀번호 및 바이오정보등을 암호화해야됩니다. 이름과 연락처는 암호화 대상이 아닙니다.

 

저희 홈페이지 같은 경우에는 동호회나 친목도모를 위한 단체로 개인정보보호법에서 약간 비껴나서 할 수 도있지만 애매모호함이 있을 수 있어서 이번에 법령을 검토해보게 되었습니다. 우선 개인정보보호법 제 15조 개인정보의 수집, 이용에 대해서 알아보겠습니다.

 

제15조(개인정보의 수집ㆍ이용) ① 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다. 1. 정보주체의 동의를 받은 경우 2. 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우 3. 공공기관이 법령 등에서 정하는 소관 업무의 수행을 위하여 불가피한 경우 4. 정보주체와의 계약의 체결 및 이행을 위하여 불가피하게 필요한 경우 5. 정보주체 또는 그 법정대리인이 의사표시를 할 수 없는 상태에 있거나 주소불명 등으로 사전 동의를 받을 수 없는 경우로서 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우 6. 개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우. 이 경우 개인정보처리자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우에 한한다.   ② 개인정보처리자는 제1항제1호에 따른 동의를 받을 때에는 다음 각 호의 사항을 정보주체에게 알려야 한다. 다음 각 호의 어느 하나의 사항을 변경하는 경우에도 이를 알리고 동의를 받아야 한다. 1. 개인정보의 수집·이용 목적 2. 수집하려는 개인정보의 항목 3. 개인정보의 보유 및 이용 기간 4. 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용

 

우선 일반적인 경우에는 개인정보보호법 제3장 제1절 제15조 1-1 정보주체의 동의를 받는 경우입니다. 사용자에게 직접 동의를 받을 경우에는 수집 목적의 범위에서 이용 할 수 있다고 합니다. 제3장 제1절 제15조 2-1,2,3,4 항목을 보면 어떻게 처리를 해야되는지 잘 나오게 됩니다. 예를들면 식당을 운영하고 있고, 이름과 핸드폰번호, ID카드, 방문시기, 주문한내역을 수집하고 싶다라고 한다면 약관에는 15조 각 사항을 적으면 됩니다. 아래는 예제입니다. (혹시나 법률쪽 잘아시는 분은 틀린부분이 있으시면 언제든지 덧글남겨주시면 수정하겠습니다.)

 

개인정보 수집/이용에 대한 동의서 아래는 저희 식당회원 가입에 따른 개인정보 수집/이용에 따른 동의서입니다. 저희 식당에서는 제 3자에 대해 정보제공을 하지 않고 있습니다.   <개인정보의 수집·이용 목적> 식당예약, 식당이용에 따른 포인트정책으로 회원혜택   <수집하려는 개인정보의 항목> 이름, 핸드폰번호, ID, 방문시기, 주문한내역   <개인정보의 보유 및 이용 기간> 식당에서 가입 시 부터 탈퇴 시 까지, 탈퇴 시 지체없이 개인정보 파기   <동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용> 미동의 시 개인정보확인불가능으로 식당예약, 포인트정책적용 불가능으로 서비스가입 불가능   ID : 이름 : 핸드폰번호:   [동의] [미동의]

 

홈페이지의 경우에는 좀더 복잡해지는데, 보통은 좀 큰 기업홈페이지에서 복사 붙여넣기를 하는 경우가 많이 있습니다. 그것보다는 개인정보보호 종합지원포털(개인정보처리방침 만들기 페이지) http://www.privacy.go.kr/a3sc/per/inf/perInfStep01.do 에서 약관을 만들 수 있습니다. (혹시나 진행하다가 모르겠다 하는 부분이 있으면 우선 메모해놓고 다른걸로 넣어놓은다음에 진행한다음에, 02-2100-2817로 전화해서 관련법률에 대한 자세한 이야기 들어보면서 진행하면 좋을 듯 합니다.

 

 

 

 

기타 알면 좋은 사안들

비밀번호는 필수로 8자리 이상으로 하는것이 맞는지?

개인정보의 안정성 확보조치 기준 및 해설서 제5조(비밀번호 관리) 규정에 의하면 개인정보처리자는 개인정보취급자 또는 정보주체가 안전한 비밀번호를 설정하여 이행할 수 있도록 비밀번호 작성규칙을 수립하여 적용하도록 하고 있습니다.

즉, 안전하지 못한 비밀번호를 사용할 경우 정보가 노출될 위험성이 있으므로, 생일, 전화번호 등 추측하기 쉬운 숫자나 문자 등을 비밀번호로 이용하지 않도록 비밀번호 작성규칙을 수립하고 개인정보처리시스템에 적용하여야 합니다.
이 때 비밀번호의 최소 길이는 구성하는 문자의 종류에 따라 최소 10자리 또는 8자리 이상의 길이로 구성하여야 하며, 이는 정보주체에 대한 비밀번호 작성규칙과는 달리 반드시 준수하여야 합니다. 참고로 비밀번호 작성규칙은 아래와 같습니다.

·최소 10자리 이상 : 영대문자(A~Z, 26개), 영소문자(a~z, 26개), 숫자(0~9, 10개) 및 특수문자(32개) 중 2종류 이상으로 구성한 경우
·최소 8자리 이상 : 영대문자(A~Z, 26개), 영소문자(a~z, 26개), 숫자(0~9개, 10개) 및 특수문자(32개) 중 3종류 이상으로 구성한 경우

 

 

 

비디오대여점에서 고개관리를 위해서 업무용컴퓨터를 운영한다면, 개인정보의 안전성 확보조치기준에 따라 어떤 조치가 필요한가?

업무용컴퓨터로 고객정보를 관리하시는 경우 제5조(비밀번호 관리)에 따라 업무용컴퓨터에 비밀번호를 설정하시고 업무용컴퓨터에서 제공되는 침입차단기능을 설정하셔야 하며 악성프로그램을 차단하도록 백신프로그램을 설치하셔야 합니다.  또한 업무용컴퓨터에 주민등록번호 등 고유식별정보가 저장된 경우에는 암호화 등의 보안조치를 수행하셔야 합니다.

 

 

 

게시자의 부주의로 인하여 개인정보가 홈페이지에 게재되어 있는것을 알게되었다면, 유출사고가 아니더라도 정보주체에게 통지하여야 하나?

개인정보의 유출이라 함은 법령이나 개인정보처리자의 자유로운 의사에 의하지 않고, 정보주체의 개인정보에 대하여 개인정보처리자가 통제를 상실하거나 또는 권한 없는 자의 접근을 허용한 것으로서, 다음 각 호의 어느 하나에 해당하는 경우를 말합니다.

1. 개인정보가 포함된 서면, 이동식 저장장치, 휴대용 컴퓨터 등을 분실하거나 도난당한 경우
2. 개인정보가 저장된 데이터베이스 등 개인정보처리시스템에 정상적인 권한이 없는 자가 접근한 경우
3. 개인정보처리자의 고의 또는 과실로 인해 개인정보가 포함된 파일 또는 종이문서, 기타 저장매체가 권한이 없는 자에게 잘못 전달된 경우
4. 기타 권한이 없는 자에게 개인정보가 전달되거나 개인정보처리시스템 등에 접근 가능하게 된 경우

게시자의 부주의로 홈페이지에 개인정보가 노출된 것은 개인정보 유출에 해당하지 않습니다. 따라서 개인정보보호법 제34조에 따른 유출 통지 의무는 없습니다. 다만, 게시자의 부주의로 인하여 개인정보가 노출되어 있는 상황이라면 게시자에게 연락을 하여 해당 게시물에 대한 적절한 조치를 취하도록 해야 할 것입니다.

 

 

 

이메일과 닉네임만 수집해도 개인정보로 볼 수 있나?

개인정보보호법 제2조제1호에 의거하여, 이메일주소는 다른 정보와 쉽게 결합하여 개인을 식별할 수 있는 정보에 해당한다고 보이기 때문에, 이메일과 닉네임만 수집하는 경우에도 개인정보보호법의 적용을 받는 것으로 해석될 수 있습니다.

※ 개인정보보호법 제2조(정의) 이 법에서 사용하는 용어의 뜻은 다음과 같다
1. “개인정보”란 살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함한다)를 말한다.

 

 

 

동호회, 동창회등 친목도모 단체의 적용이 일부 제외되는 조항은 몇조인가?

개인정보처리자가 동창회, 동호회 등 친목 도모를 위한 단체를 운영하기 위하여 개인정보를 처리하는 경우에는 제15조(개인정보 수집이용), 제30조(개인정보 처리방침) 및 제31조(개인정보 보호책임자)를 적용하지 않습니다.
또한, 친목단체의 개인정보처리자에 대하여는 개인정보보호법 제75조 제1항 제1호, 제2항 제1호, 제3항 제7호 및 제8호의 벌칙을 적용하지 아니합니다. 그러나, 이외의 벌칙규정은 친목단체의 개인정보처리자에게도 적용합니다.

※ 표준 개인정보보호지침 제66조(친목단체에 대한 벌칙조항의 적용 배제)

 

 

 

동호회의 경우 이름과 연락처 정도 수집이 되는데 이때 모두 동의 받아야하고, 이 데이터를 컴퓨터에 저장시 암호화 해야 하는지?

개인정보보호법 제58조에 따라 동호회, 동창회 등 친목 도모를 위한 단체를 운영하기 위하여 개인정보를 처리하는 경우에는 제15조(개인정보의 수집․이용), 제30조(개인정보 처리방침의 수립 및 공개), 제31조(개인정보 보호책임자의 지정)를 적용하지 않습니다. 하지만 개인정보보호법의 다른 규정은 준수해야 합니다. 그리고, 개인정보보호법에서 암호화를 하여야 하는 개인정보는 고유식별정보, 비밀번호 및 바이오정보이므로 이름 및 연락처는 암호화 대상이 아닙니다.

 

 

 

개인정보 파기 시기 및 방법은 어떻게 되는지?

개인정보는 보유기간의 경과, 개인정보 처리목적 달성 등 개인정보가 불필요하게 되었을 때에는 지체 없이(5일 이내) 파기해야 합니다. 다만, 다른 법령에 따라 보존해야 하는 경우에는 보관할 수 있습니다. 개인정보를 파기할 때에는 복구 또는 재생되지 아니하도록 해야 합니다.  종이에 출력된 개인정보나 가입신청서 등 개인정보가 기재된 문서는 분쇄기로 분쇄하거나 소각해야 합니다.

전자적 파일 형태는 복원이 불가능한 방법(사회통념상 현재 기술 수준에서 적절한 비용이 소요되는 방법)으로 영구 삭제해야 합니다. 예를 들면, 하드디스크에 기록된 정보를 삭제할 때에는 데이터 복원을 방지하기 위해 '로우레벨포맷' 명령으로 포맷을 하거나, 일반 포맷을 한 뒤 불필요한 정보를 여러 번 덮어씌우는 방법으로 다시는 재생할 수 없도록 조치해야 합니다.  

 

 

 

개인정보보호법 제15조 제2항 제4호의 내용에 “동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용”을 기재하여야 한다고 했는데, 불이익 내용에 신청 또는 이용 불가라고 기재하여도 위법은 아닌지?

 

 

 

 

 

참고한 사이트 : 

개인정보 보호법 전문 http://www.law.go.kr/lsInfoP.do?lsiSeq=142563&efYd=20140807#0000

KISA 개인정보보호 FAQ게시판 http://privacy.kisa.or.kr/kor/notice/faqList.jsp?catId=767&keyWord=&pageIndex=4#faqQ6

정보통신망법  http://i-privacy.kr/intro/law2.jsp