< 붙임 2 >

개인정보 보호조치별 개선 방법

개선 방법 및 작성 예시 등 상세 안내는 통합 실태점검 사무국 홈페이지(http://guide.kisa.or.kr)를 참조하시기 바랍니다.

- 안내 순서 -

1. 개인정보란?

2. 개인정보 수집․이용 등에 대한 사전 동의

3. 개인정보취급방침 공개

4. 보안서버 구축하기

5. 이용자 동의 철회 조치

1. 개인정보란?

가. 개념

⌜정보통신망이용촉진및정보보호등에관한법률⌟(이하 ‘정보통신망법’) 에서 보호 대상이 되는 “개인정보”는 생존하는 개인에 관한 정보로서, 특정 개인을 식별할 수 있는 일체의 정보라고 규정하고 있습니다.

즉, 이름, 주민번호, 전화번호, 주소 등 한 개인에 관계된 모든 정보가 개인정보가 될 수 있습니다.

나. 수집행위

서비스 이용자의 개인정보를 이용하기 위해 회원가입, 상담, 게시판 등을 통해 식별가능한 개인정보를 입력받으면 개인정보 수집행위에 해당되어 동 보호조치를 모두 하셔야 합니다.

따라서, 게시판 또는 상담 등 특별히 이용자의 개인정보가 필요치 않아도 서비스가 가능한 경우에는 가급적 개인정보를 받지 않도록 수정하시는 것이 좋습니다.

2. 개인정보 수집․이용 등에 대한 사전 동의

정보통신서비스제공자는 서비스 제공 등을 위해 이용자의 개인정보를 수집하는 경우, 이용자로부터 개인정보 수집·이용에 대한 동의를 받으셔야 합니다.

회원 가입 화면 등 개인정보를 수집하는 전 단계에, 개인정보취급방침에 명시한 아래 3가지 항목에 대해 별도 고지하고 동의 여부를 선택할 수 있는 절차를 마련합니다.

※ 이때 이용자가 동의를 하지 않는 경우 개인정보를 수집할 수 없습니다.

① 개인정보의 수집·이용목적 : 예) 본인 확인, 고지 사항 전달, 물품배송 등

② 수집하는 개인정보의 항목 : 예) 이름, 전화번호, IP 정보 등

③ 개인정보의 보유 및 이용 기간 : 예) 회원탈퇴 등 서비스 목적 달성 후 즉시 파기

※ 주의 : ① 3가지 사항의 누락이나 ② 약관 또는 개인정보취급방침 전문 게재를 통한 일괄 동의는 모두 위반사항입니다.

회원가입뿐만 아니라 상담, 예약, Q&A, 게시판, 견적, 고객센터 등 형식에 관계없이 개인정보가 수집되는 곳은 필수적으로 개인정보 수집․이용에 대한 동의를 받아야 합니다.

[이용자 동의 사항 게재 및 동의 방법 예시]

·

☞ 개인정보를 제3자에게 제공하거나 취급 위탁을 하세요?

개인정보를 제3자에게 제공하거나 취급위탁을 하는 경우에는 위 개인정보 수집·이용에 대한 동의와는 별도로 아래 사항에 대해 고지하고 동의를 받아야 합니다.

※ 단 상품 배송, 결재, 민원 상담 등 서비스 이행을 위해 반드시 필요한 범위의 위탁 업무의 경우 별도 동의를 받지 않아도 됩니다.

▶ 개인정보 제3자 제공 시

① 개인정보를 제공받는 자

② 개인정보를 제공받는 자의 개인정보 이용목적

③ 제공하는 개인정보의 항목

④ 개인정보를 제공받는 자의 개인정보 보유 및 이용기간

▶ 개인정보 취급 업무 위탁 시

① 개인정보취급위탁을 받는 자

② 개인정보취급위탁을 하는 업무의 내용

※ 주의 : 제3자 제공이나 취급위탁 각각에 대한 동의를 받아야 하며, 동의를 하지 않는다고 회원가입을 거부하거나 기본적인 서비스 제공을 하지 않으면 안 됩니다.

[제3자 제공 또는 취급위탁 시 고지방법 및 동의 예시]

3. 개인정보취급방침 공개

개인정보취급방침이란 귀사의 서비스 이용자가 필수적으로 알아야 할 개인정보보호에 관한 사항으로 아래의 사항들은 반드시 포함하여 이용자가 쉽게 알아 볼 수 있는 웹사이트 첫 화면에 공개하여야 합니다.

[ 개인정보취급방침 포함 내용 및 구축 예시 ]

1. 개인정보취급방침 포함 내용

① 개인정보의 수집 및 이용목적과 수집항목 및 수집방법

② 제3자에게 제공하는 경우 제공받는 자의 성명, 목적, 항목 (해당하는 경우)

③ 개인정보 보유 및 이용기간, 파기 절차 및 방법 등

④ 개인정보를 위탁하는 경우 위탁업무의 내용 및 수탁자 (해당하는 경우)

⑤ 이용자 및 법정 대리인의 권리와 행사방법

⑥ 개인정보를 자동으로 수집하는 장치(쿠키 등)의 설치 및 거부에 대한 사항

⑦ 개인정보 관리 책임자의 성명 또는 부서명과 연락처

2. 개인정보취급방침 구축 예

※ 주의 : 명칭을 반드시 “개인정보취급방침”으로 하여야 합니다.

☞ 개인정보취급방침 상세 작성 방법이 안내 된 “개인정보취급방침 작성예시”를 아래에서 다운로드 받으실 수 있습니다.

>> KISA 홈페이지 : www.1336.or.kr > 기업자료실  (또는)

>> 통합실태점검 홈페이지 : http://guide.kisa.or.kr > 사업자 상담 > 자료실

4. 보안서버 구축하기

가. 보안서버의 개념

보안서버란 인터넷상에서 사용자 PC와 웹서버 사이에 송수신되는 개인정보를 암호화하여 전송하는 서버를 말합니다. 개인정보를 암호화 전송함으로써 해킹 시에도 개인정보가 안전하게 보호됩니다.

보안서버는 특별한 서버를 새로 구축하는 것이 아니라 SSL 인증서를 설치하거나 또는 응용프로그램을 운영하는 웹서버에 설치하면 됩니다.

☞ 신규 서버를 구축할 필요는 없습니다.

※ 단 서버 노후화, 웹 구성 상태 등의 이유로 기존 서버에 설치가 불가능한 경우도 있을 수 있습니다.

※ SSL 인증서 또는 응용프로그램은 보안서버 전문 구축업체를 통해 구입 및 설치할 수 있습니다.

나. 보안서버 구축절차

현재 기업의 상황을 확인하시고 다음 절차 흐름도를 참고하여 자신에게 적합한 보안서버를 구축하시기 바랍니다.

<그림> 보안서버 구축 절차 흐름도

☑ 서버의 운영은 어떻게 하고 계신가요?
		↓				↓
Ⅰ. 단독 서버 운영						Ⅱ. 웹호스팅서비스 이용
		↓
☑ 보안서버 종류와 전문업체를 결정하셨나요?						↓
	↓			↓
Ⅲ. SSL 방식 보안서버 구축하기				Ⅳ. 응용프로그램 방식 보안서버 구축하기		Ⅴ. 웹호스팅업체의 보안서버 구축하기
웹 서버 기종 확인				구축 절차 확인		구축 절차 및 구축 전 확인사항 체크
↓		↓		↓		↓
IIS 서버에서의 설치 과정		Apache 서버에서의 설치 과정 등		보안서버 설치 및 구축 완료		웹호스팅서비스 제공업체와의 협의 및 보안서버 설치
↓		↓		↓		↓
오류시 대처방법				오류시 대처방법		보안서버 구축 확인
	↓					↓
Ⅵ. 웹페이지 수정 및 적용 확인하기

※ 보안서버 구축 확인 방법 등 보다 자세한 사항은 ‘보안서버 구축가이드’ 또는 실태점검 홈페이지(http://guide.kisa.or.kr > 사업자 상담 > 자료실)을 이용하시기 바랍니다.

5. 이용자 동의 철회 조치

정보통신서비스제공자는 웹사이트 이용자가 회원 탈퇴 요청할 수 있는 있는 절차를 마련해야 하며, 요청 시 지체 없이 개인정보 파기 등의 조치를 취해야 합니다.

가. 회원탈퇴 메뉴 개설 등

o 웹사이트 내 이용자가 인지하기 쉬운 곳에 회원탈퇴를 할 수 있는 메뉴를 제공하거나(☜ 되도록 권고합니다)

- 회원탈퇴 처리를 할 수 있는 이메일, 전화, 팩스번호 등의 연락처를 보기 쉬운 곳에 안내하고 언제든지 연락가능 할 수 있도록 조치하여야 합니다.

<회원탈퇴 메뉴 예시>

※ 본 예시는 이해를 돕기 위한 사례로 표준양식은 아님을 알려드립니다.

<참고 사항>

o 회원탈퇴 시, 이용자 유의사항 등 회원탈퇴에 관한 회사 내부 규정이 있을 경우 이에 대해 안내합니다.

<회원탈퇴 시 이용자 안내사항 예시>

① 회원탈퇴 절차 안내

② 회원탈퇴 시 본인확인 방법에 관한 사항

③ 회원탈퇴에 따른 이용자 불이익에 관한 사항(포인터 소멸 등)

④ 회원탈퇴 이후에도 개인정보 보유하는 경우 그 근거와 사유 및 기간에 관한 사항(예: 요금정산, 분쟁대비를 위하여 탈퇴 후 6개월간 보관 등)

⑤ 회원탈퇴 후 재가입에 관한 사항(동일아이디 사용 여부, 재가입 불가 등)

⑥ 회원탈퇴 처리 담당부서 등 연락처 안내

나. 개인정보취급방침에 회원탈퇴에 관한 사항 고지

o 가입한 사이트에 대한 회원탈퇴 및 개인정보 열람·정정에 대한 이용자 권리를 알리고,

- 귀사가 조치하고 있는 회원탈퇴 및 개인정보 열람, 정정 방법을 구체적으로 안내합니다.

<웹사이트 개인정보취급방침 내 철회 방법 고지 예시>

※ 본 예시는 이해를 돕기 위한 사례로 표준양식은 아님을 알려드립니다.

다. 회원정보 영구 삭제 후 회원탈퇴 조치 완료

o 회원탈퇴 신청 접수 시, 해당 회원 개인정보를 아래와 같이 재생할 수 없는 방법으로 삭제합니다.

- 회원 DB에서 삭제/ 가입 신청서 폐기 등

※ 단, 타 법률에 의해 일정기간 보관할 의무가 있는 경우 해당 법률을 따름

< 붙임 1 >

개인정보보호조치 관련 정보통신망법 및 시행령

□ 정보통신망이용촉진및정보보호등에관한법률

o 제22조 (개인정보의 수집·이용 동의 등) ①정보통신서비스제공자는 이용자의 개인정보를 이용하려고 수집하는 때에는 다음 각 호의 모든 사항에 대하여 이용자에게 알리고 동의를 얻어야 한다.

1. 개인정보의 수집·이용 목적

2. 수집하는 개인정보의 항목

3. 개인정보의 보유 및 이용 기간

o 제24조의2 (개인정보의 제공 동의 등) ① 이용자의 개인정보를 제3자에게 제공하려는 경우 다음 사항에 대하여 이용자에게 알리고 동의를 얻어야 한다.

1. 개인정보를 제공받는 자

2. 개인정보를 제공받는 자의 개인정보 이용 목적

3. 제공하는 개인정보의 항목

4. 개인정보를 제공받는 자의 개인정보 보유 및 이용 기간

o 제25조 (개인정보의 취급위탁) ① 정보통신서비스제공자는 제3자에게 이용자의 개인정보를 수집·보관·처리·이용·제공·관리·파기 등을 할 수 있도록 업무를 위탁하는 경우에는 다음 각 호의 사항 모두에 대하여 이용자에게 알리고 동의를 얻어야 한다.

1. 개인정보취급위탁을 받는 자(이하 "수탁자"라 한다)

2. 개인정보취급위탁을 하는 업무의 내용

o 제26조의2(동의를 받는 방법) 제22조제1항, 제23조제1항 단서, 제24조의2제1항·제2항, 제25조제1항, 제26조제3항 단서 또는 제63조제2항에 따른 동의(이하 “개인정보 수집·이용·제공 등의 동의”라 한다)를 받는 방법은 개인정보의 수집매체, 업종의 특성 및 이용자의 수 등을 고려하여 대통령령으로 정한다.

o 제27조의2 (개인정보취급방침의 공개) ① 정보통신서비스제공자등은 이용자의 개인정보를 취급하는 경우에는 개인정보취급방침을 정하여 이를 이용자가 언제든지 쉽게 확인할 수 있도록 대통령령이 정하는 방법에 따라 공개하여야 한다.

o 제28조 (개인정보의 보호조치) ① 정보통신서비스 제공자등이 개인정보를 취급할 때에는 개인정보의 분실ㆍ도난ㆍ누출ㆍ변조 또는 훼손을 방지하기 위하여 대통령령으로 정하는 기준에 따라 다음 각 호의 기술적ㆍ관리적 조치를 하여야 한다.

4. 개인정보를 안전하게 저장ㆍ전송할 수 있는 암호화기술 등을 이용한 보안조치

o 제30조(이용자의 권리 등) ① 이용자는 정보통신서비스 제공자등에 대하여 언제든지 개인정보 수집·이용·제공 등의 동의를 철회할 수 있다.

③ 정보통신서비스 제공자등은 이용자가 제1항에 따라 동의를 철회하면 지체 없이 수집된 개인정보를 파기하는 등 필요한 조치를 하여야 한다.

⑥ 정보통신서비스 제공자등은 제1항에 따른 동의의 철회 또는 제2항에 따른 개인정보의 열람·제공 또는 오류의 정정을 요구하는 방법을 개인정보의 수집방법보다 쉽게 하여야 한다.

o 제64조(자료제출 등)  ④ 방송통신위원회는 이 법에 위반한 정보통신서비스제공자 등에 대하여 필요한 시정조치를 명할 수 있다.

o 제71조 (벌칙) 다음 각 호의 어느 하나에 해당하는 자는 5년 이하의 징역 또는 5천만원 이하의 벌금에 처한다.

1. 제22조제1항(제67조에 따라 준용되는 경우를 포함한다)을 위반하여 이용자의 동의를 받지 아니하고 개인정보를 수집한 자

3. 제24조, 제24조의2제1항 및 제2항 또는 제26조제3항(제67조에 따라 준용되는 경우를 포함한다)을 위반하여 개인정보를 이용하거나 제3자에게 제공한 자 및 그 사정을 알면서도 영리 또는 부정한 목적으로 개인정보를 제공받은 자

4. 제25조제1항(제67조에 따라 준용되는 경우를 포함한다)을 위반하여 이용자의 동의를 받지 아니하고 개인정보 취급위탁을 한 자

o 제73조 (벌칙) 다음 각 호의 어느 하나에 해당하는 자는 2년 이하의 징역 또는 1천만원 이하의 벌금에 처한다.

1. 제28조제1항제2호부터 제5호까지(제67조에 따라 준용되는 경우를 포함한다)의 규정에 따른 기술적ㆍ관리적 조치를 하지 아니하여 이용자의 개인정보를 분실ㆍ도난ㆍ누출ㆍ변조 또는 훼손한 자

o 제76조(과태료) ① 다음 각 호의 어느 하나에 해당하는 자는 3천만원 이하의 과태료에 처한다. 5. 제30조제3항·제4항 및 제6항(제30조제7항, 제31조제3항 및 제67조에 따라 준용되는 경우를 포함한다)을 위반하여 필요한 조치를 하지 아니한 자

② 다음 각 호의 어느 하나에 해당하는 자에게는 2천만원 이하의 과태료를 부과한다.

4. 제27조의2제1항(제67조에 따라 준용되는 경우를 포함한다)을 위반하여 개인정보 취급방침을 공개하지 아니한 자

□ 정보통신망법 시행령

o 제12조(동의획득방법) ① 정보통신서비스제공자 등이 법 제26조의2에 따라 동의를 얻는 방법은 다음 각 호의 어느 하나와 같다. 이 경우 정보통신서비스제공자 등은 동의를 얻어야 할 사항(이하 "동의 내용"이라 한다)을 이용자가 명확하게 인지하고 확인할 수 있도록 표시하여야 한다.

1. 인터넷 사이트에 동의 내용을 게재하고 이용자가 동의 여부를 표시하도록 하는 방법

2. 동의 내용이 기재된 서면을 이용자에게 직접 교부하거나, 우편 또는 모사전송을 통하여 전달하고 이용자가 동의 내용에 대하여 서명날인 후 제출하도록 하는 방법

3. 동의 내용이 적힌 전자우편을 발송하여 이용자로부터 동의의 의사표시가 적힌 전자우편을 전송받는 방법

4. 전화를 통하여 동의 내용을 이용자에게 알리고 동의를 얻거나 인터넷주소 등 동의 내용을 확인할 수 있는 방법을 안내하고 재차 전화 통화를 통하여 동의를 얻는 방법

o 제15조 ④ 정보통신서비스 제공자등은 개인정보가 안전하게 저장ㆍ전송될 수 있도록 다음 각 호의 보안조치를 하여야 한다.

3. 정보통신망을 통하여 이용자의 개인정보 및 인증정보를 송신ㆍ수신하는 경우 보안서버 구축 등의 조치