8월부터 고유식별번호 수집ㆍ관리 금지
개인정보보호법서 `기술적ㆍ관리적 조치` 의무화
컴퓨터에 비밀번호ㆍ침입차단기능 설정은 필수
주민번호 등 고유식별번호 저장땐 암호화해야
개인정보보호법서 `기술적ㆍ관리적 조치` 의무화
컴퓨터에 비밀번호ㆍ침입차단기능 설정은 필수
주민번호 등 고유식별번호 저장땐 암호화해야
"서울에서 비디오대여점을 운영하는 소상공인입니다. 현재 고객관리를 위해 업무용 컴퓨터를 운영하고 있습니다. 안전행정부에서 `개인정보의 안전성 확보조치 기준'을 마련했다고 하는데, 대체 무엇을 하면 되는 건가요? 우리 같은 소상공인도 그런 규제를 받아야 하나요?"
사상 초유의 신용카드 정보유출 사태로 인해 정부가 어느 때보다 개인정보 보호에 관한 관리 감독을 강화하고 있습니다. 각종 가이드라인과 규칙도 시시때때로 발표합니다.
하지만 대기업이나 금융회사만 하는 줄 알았던 `개인정보보호'가 동네 골목골목에 자리잡은 소상공인에게도 해당된다는 사실을 모르는 분들이 의외로 많습니다. 정부는 소상공인 및 중소기업 보호 특별법에 따라 대기업들이 해야 하는 무거운 의무의 상당부분을 면제해주고 있지만, 그래도 정보유출을 막기 위한 최소한의 의무조치는 시행해야 한다고 설명합니다.
그렇다면 이런 소상공인이나 직원이 얼마 되지 않는 중소기업들은 어떻게 `개인정보'를 관리하고 유출해야 하는 걸까요.
안행부는 개인정보보호법 시행령 고시를 통해 `개인정보의 안전성 확보조치 기준'을 마련해 자세히 설명하고 있습니다.
내용은 크게 두가지로 나뉩니다. `기술적 조치'와 `관리적 조치'를 취하라는 것이지요. 이는 당연히 소상공인과 중소기업을 포함, 대기업도 준수해야 하는 의무제도입니다.
앞서 소개한 서울의 작은 비디오대여점의 경우 비록 규모는 작지만 인근 동네 주민들의 집주소, 전화번호 등 다양한 개인정보를 관리하고 있습니다.
이 경우 개인정보의 안정성 확보조치 기준 제5조 비밀번호 관리 조항에 따라 업무용 컴퓨터에 비밀번호를 설정하고 업무용 컴퓨터에서 제공되는 `침입차단기능'을 설정해야 합니다. 당연히 악성프로그램을 차단하도록 백신 등 보안프로그램을 설치해야 합니다. 만약 업무용 컴퓨터에 고객의 주민등록번호 등 고유식별정보가 저장된 경우에는 암호화 등의 보안조치까지 해야 합니다.
이 경우 암호화 솔루션을 구매하고 전문가를 통해 설치하는 등 과정이 복잡하고 비용이 꽤 수반돼 비디오대여점과 같은 소상공인이 암호화까지 수행하기는 쉽지 않습니다.
따라서 상품과 서비스에 큰 관여가 없는 만큼 되도록 주민등록번호 등 민감한 정보는 아예 수집하지 않는 것이 좋습니다.
조금 더 사례를 알아볼까요? 사례를 통해 보겠습니다.
"전산실 또는 자료보관실이 없는 중소기업입니다. 개인정보의 안전성 확보조치 기준 제10조 물리적 접근방지 조항을 준수해야 하나요?"
이럴 경우 기업의 규모에 상관없이 전산실, 자료보관실을 별도로 운영하고 있지 않으면 제10조 물리적 접근방지는 적용되지 않습니다. 그런 부담은 느끼지 않으셔도 됩니다.
소상공인이나 중소기업이 아닌 대형 백화점은 어떨까요. 상황이 전혀 다릅니다.
개인정보보호법에서는 고유식별정보(주민등록번호, 외국인등록번호, 운전면허번호, 여권번호), 비밀번호, 바이오(생체)정보 등은 암호화를 하거나 그에 상응하는 보안 조치를 취해야 합니다.
백화점 등 대기업의 개인정보처리자는 고유식별정보 등을 정보통신망(인터넷) 또는 보조기억매체(USB) 등을 통해 전달하는 경우 암호화해 전송해야 합니다. 인터넷 구간 및 인터넷 구간과 내부망의 중간 지점(DMZ)에 고유식별정보를 저장하는 경우에도 반드시 암호화해야 하고 내부망에 개인정보를 저장하는 경우 위험도 분석 또는 영향평가 후에 암호화 적용범위 및 적용범위를 정해 시행할 수 있습니다.
다만 개인정보보호법이 개정돼 오는 8월부터 새롭게 시행되는데 이 법률에서는 주민등록번호 등 고유식별정보 수집을 원칙적으로 금지하고 있습니다. 따라서 이 백화점은 그동안 암호화 해서 관리하던 고객 주민등록번호라 하더라도 개정 법에 따라 모두 삭제해야 합니다.
백화점에서 각종 DM(상품안내우편) 발송이나 이벤트 안내 등을 위해 개인정보처리 업무를 위탁받아 처리하는 수탁자도 이 기준을 동일하게 준수해야 합니다.
개인정보보호법과 안전성 확보조치 기준에 따라 수탁자는 개인정보처리자로부터 개인정보의 수집, 생성, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정, 복구, 이용, 제공, 공개, 파기, 그밖에 이와 유사한 행위 등의 업무를 위탁받아 처리할 때 개인정보 보호법 제24조제3항, 제29조를 준용, 안전성 확보 조치 기준에 따라 개인정보의 안전성 확보에 필요한 기술적, 관리적 의무를 모두 시행해야 합니다.
강은성기자 esther@
사상 초유의 신용카드 정보유출 사태로 인해 정부가 어느 때보다 개인정보 보호에 관한 관리 감독을 강화하고 있습니다. 각종 가이드라인과 규칙도 시시때때로 발표합니다.
하지만 대기업이나 금융회사만 하는 줄 알았던 `개인정보보호'가 동네 골목골목에 자리잡은 소상공인에게도 해당된다는 사실을 모르는 분들이 의외로 많습니다. 정부는 소상공인 및 중소기업 보호 특별법에 따라 대기업들이 해야 하는 무거운 의무의 상당부분을 면제해주고 있지만, 그래도 정보유출을 막기 위한 최소한의 의무조치는 시행해야 한다고 설명합니다.
그렇다면 이런 소상공인이나 직원이 얼마 되지 않는 중소기업들은 어떻게 `개인정보'를 관리하고 유출해야 하는 걸까요.
안행부는 개인정보보호법 시행령 고시를 통해 `개인정보의 안전성 확보조치 기준'을 마련해 자세히 설명하고 있습니다.
내용은 크게 두가지로 나뉩니다. `기술적 조치'와 `관리적 조치'를 취하라는 것이지요. 이는 당연히 소상공인과 중소기업을 포함, 대기업도 준수해야 하는 의무제도입니다.
앞서 소개한 서울의 작은 비디오대여점의 경우 비록 규모는 작지만 인근 동네 주민들의 집주소, 전화번호 등 다양한 개인정보를 관리하고 있습니다.
이 경우 개인정보의 안정성 확보조치 기준 제5조 비밀번호 관리 조항에 따라 업무용 컴퓨터에 비밀번호를 설정하고 업무용 컴퓨터에서 제공되는 `침입차단기능'을 설정해야 합니다. 당연히 악성프로그램을 차단하도록 백신 등 보안프로그램을 설치해야 합니다. 만약 업무용 컴퓨터에 고객의 주민등록번호 등 고유식별정보가 저장된 경우에는 암호화 등의 보안조치까지 해야 합니다.
이 경우 암호화 솔루션을 구매하고 전문가를 통해 설치하는 등 과정이 복잡하고 비용이 꽤 수반돼 비디오대여점과 같은 소상공인이 암호화까지 수행하기는 쉽지 않습니다.
따라서 상품과 서비스에 큰 관여가 없는 만큼 되도록 주민등록번호 등 민감한 정보는 아예 수집하지 않는 것이 좋습니다.
조금 더 사례를 알아볼까요? 사례를 통해 보겠습니다.
"전산실 또는 자료보관실이 없는 중소기업입니다. 개인정보의 안전성 확보조치 기준 제10조 물리적 접근방지 조항을 준수해야 하나요?"
이럴 경우 기업의 규모에 상관없이 전산실, 자료보관실을 별도로 운영하고 있지 않으면 제10조 물리적 접근방지는 적용되지 않습니다. 그런 부담은 느끼지 않으셔도 됩니다.
소상공인이나 중소기업이 아닌 대형 백화점은 어떨까요. 상황이 전혀 다릅니다.
개인정보보호법에서는 고유식별정보(주민등록번호, 외국인등록번호, 운전면허번호, 여권번호), 비밀번호, 바이오(생체)정보 등은 암호화를 하거나 그에 상응하는 보안 조치를 취해야 합니다.
백화점 등 대기업의 개인정보처리자는 고유식별정보 등을 정보통신망(인터넷) 또는 보조기억매체(USB) 등을 통해 전달하는 경우 암호화해 전송해야 합니다. 인터넷 구간 및 인터넷 구간과 내부망의 중간 지점(DMZ)에 고유식별정보를 저장하는 경우에도 반드시 암호화해야 하고 내부망에 개인정보를 저장하는 경우 위험도 분석 또는 영향평가 후에 암호화 적용범위 및 적용범위를 정해 시행할 수 있습니다.
다만 개인정보보호법이 개정돼 오는 8월부터 새롭게 시행되는데 이 법률에서는 주민등록번호 등 고유식별정보 수집을 원칙적으로 금지하고 있습니다. 따라서 이 백화점은 그동안 암호화 해서 관리하던 고객 주민등록번호라 하더라도 개정 법에 따라 모두 삭제해야 합니다.
백화점에서 각종 DM(상품안내우편) 발송이나 이벤트 안내 등을 위해 개인정보처리 업무를 위탁받아 처리하는 수탁자도 이 기준을 동일하게 준수해야 합니다.
개인정보보호법과 안전성 확보조치 기준에 따라 수탁자는 개인정보처리자로부터 개인정보의 수집, 생성, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정, 복구, 이용, 제공, 공개, 파기, 그밖에 이와 유사한 행위 등의 업무를 위탁받아 처리할 때 개인정보 보호법 제24조제3항, 제29조를 준용, 안전성 확보 조치 기준에 따라 개인정보의 안전성 확보에 필요한 기술적, 관리적 의무를 모두 시행해야 합니다.
강은성기자 esther@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
