🍅정보통신망법
1. 제1조(목적)
이 법은 정보통신망의 이용을 촉진하고 정보통신서비스를 이용하는 자를 보호함과 아울러 정보통신망을 건전하고 안전하게 이용할 수 있는 환경을 조성하여 국민생활의 향상과 공공복리의 증진에 이바지함을 목적으로 한다. <개정 2020. 2. 4.>
2. 제2조(정의)
이 법에서 사용하는 용어의 뜻은 다음과 같다. <개정 2004. 1. 29., 2007. 1. 26., 2007. 12. 21., 2008. 6. 13., 2010. 3. 22., 2014. 5. 28., 2020. 6. 9.>
정보통신망이란 「전기통신사업법」 제2조제2호에 따른 전기통신설비를 이용하거나 전기통신설비와 컴퓨터 및 컴퓨터의 이용기술을 활용하여 정보를 수집ㆍ가공ㆍ저장ㆍ검색ㆍ송신 또는 수신하는 정보통신체제를 말한다.
정보통신서비스란 「전기통신사업법」 제2조제6호에 따른 전기통신역무와 이를 이용하여 정보를 제공하거나 정보의 제공을 매개하는 것을 말한다.
정보통신서비스 제공자란 「전기통신사업법」 제2조제8호에 따른 전기통신사업자와 영리를 목적으로 전기통신사업자의 전기통신역무를 이용하여 정보를 제공하거나 정보의 제공을 매개하는 자를 말한다.
이용자란 정보통신서비스 제공자가 제공하는 정보통신서비스를 이용하는 자를 말한다.
전자문서란 컴퓨터 등 정보처리능력을 가진 장치에 의하여 전자적인 형태로 작성되어 송수신되거나 저장된 문서형식의 자료로서 표준화된 것을 말한다.삭제 <2020. 2. 4.>
침해사고란 다음 각 목의 방법으로 정보통신망 또는 이와 관련된 정보시스템을 공격하는 행위로 인하여 발생한 사태를 말한다.가. 해킹, 컴퓨터바이러스, 논리폭탄, 메일폭탄, 서비스거부 또는 고출력 전자기파 등의 방법
나. 정보통신망의 정상적인 보호ㆍ인증 절차를 우회하여 정보통신망에 접근할 수 있도록 하는 프로그램이나 기술적 장치 등을 정보통신망 또는 이와 관련된 정보시스템에 설치하는 방법
삭제 <2015. 6. 22.>
게시판이란 그 명칭과 관계없이 정보통신망을 이용하여 일반에게 공개할 목적으로 부호ㆍ문자ㆍ음성ㆍ음향ㆍ화상ㆍ동영상 등의 정보를 이용자가 게재할 수 있는 컴퓨터 프로그램이나 기술적 장치를 말한다.
통신과금서비스란 정보통신서비스로서 다음 각 목의 업무를 말한다.가. 타인이 판매ㆍ제공하는 재화 또는 용역(이하 “재화등”이라 한다)의 대가를 자신이 제공하는 전기통신역무의 요금과 함께 청구ㆍ징수하는 업무
나. 타인이 판매ㆍ제공하는 재화등의 대가가 가목의 업무를 제공하는 자의 전기통신역무의 요금과 함께 청구ㆍ징수되도록 거래정보를 전자적으로 송수신하는 것 또는 그 대가의 정산을 대행하거나 매개하는 업무
통신과금서비스제공자란 제53조에 따라 등록을 하고 통신과금서비스를 제공하는 자를 말한다.
통신과금서비스이용자란 통신과금서비스제공자로부터 통신과금서비스를 이용하여 재화등을 구입ㆍ이용하는 자를 말한다.
전자적 전송매체란 정보통신망을 통하여 부호ㆍ문자ㆍ음성ㆍ화상 또는 영상 등을 수신자에게 전자문서 등의 전자적 형태로 전송하는 매체를 말한다.② 이 법에서 사용하는 용어의 뜻은 제1항에서 정하는 것 외에는 「지능정보화 기본법」에서 정하는 바에 따른다. <개정 2008. 6. 13., 2013. 3. 23., 2020. 6. 9.>
3. 제5조(다른 법률과의 관계)
정보통신망 이용촉진 및 정보보호등에 관하여는 다른 법률에서 특별히 규정된 경우 외에는 이 법으로 정하는 바에 따른다. 다만, 제7장의 통신과금서비스에 관하여 이 법과 「전자금융거래법」의 적용이 경합하는 때에는 이 법을 우선 적용한다. <개정 2018. 6. 12., 2020. 2. 4.>
제5조의2(국외행위에 대한 적용)
이 법은 국외에서 이루어진 행위라도 국내 시장 또는 이용자에게 영향을 미치는 경우에는 적용한다.
4. 제22조의2(접근권한에 대한 동의)
정보통신서비스 제공자는 해당 서비스를 제공하기 위하여 이용자의 이동통신단말장치 내에 저장되어 있는 정보 및 이동통신단말장치에 설치된 기능에 대하여 접근할 수 있는 권한(이하 “접근권한”이라 한다)이 필요한 경우 다음 각 호의 사항을 이용자가 명확하게 인지할 수 있도록 알리고 이용자의 동의를 받아야 한다.
해당 서비스를 제공하기 위하여 반드시 필요한 접근권한인 경우
가. 접근권한이 필요한 정보 및 기능의 항목
나. 접근권한이 필요한 이유해당 서비스를 제공하기 위하여 반드시 필요한 접근권한이 아닌 경우
가. 접근권한이 필요한 정보 및 기능의 항목
나. 접근권한이 필요한 이유
다. 접근권한 허용에 대하여 동의하지 아니할 수 있다는 사실② 정보통신서비스 제공자는 해당 서비스를 제공하기 위하여 반드시 필요하지 아니한 접근권한을 설정하는 데 이용자가 동의하지 아니한다는 이유로 이용자에게 해당 서비스의 제공을 거부하여서는 아니 된다.
③ 이동통신단말장치의 기본 운영체제(이동통신단말장치에서 소프트웨어를 실행할 수 있는 기반 환경을 말한다)를 제작하여 공급하는 자와 이동통신단말장치 제조업자 및 이동통신단말장치의 소프트웨어를 제작하여 공급하는 자는 정보통신서비스 제공자가 이동통신단말장치 내에 저장되어 있는 정보 및 이동통신단말장치에 설치된 기능에 접근하려는 경우 접근권한에 대한 이용자의 동의 및 철회방법을 마련하는 등 이용자 정보 보호에 필요한 조치를 하여야 한다.
④ 방송통신위원회는 해당 서비스의 접근권한의 설정이 제1항부터 제3항까지의 규정에 따라 이루어졌는지 여부에 대하여 실태조사를 실시할 수 있다. <신설 2018. 6. 12.>
⑤ 제1항에 따른 접근권한의 범위 및 동의의 방법, 제3항에 따른 이용자 정보 보호를 위하여 필요한 조치 및 그 밖에 필요한 사항은 대통령령으로 정한다. <개정 2018. 6. 12.>
정보통신서비스 제공자는 선택적 접근권한을 이용자가 동의하지 않았다는 이유로 서비스 제공을 거부해서는 안된다
5. 제23조의2(주민등록번호의 사용 제한)
정보통신서비스 제공자는 다음 각 호의 어느 하나에 해당하는 경우를 제외하고는 이용자의 주민등록번호를 수집ㆍ이용할 수 없다. <개정 2020. 2. 4.>
제23조의3에 따라 본인확인기관으로 지정받은 경우
삭제 <2020. 2. 4.>
「전기통신사업법」 제38조제1항에 따라 기간통신사업자로부터 이동통신서비스 등을 제공받아 재판매하는 전기통신사업자가 제23조의3에 따라 본인확인기관으로 지정받은 이동통신사업자의 본인확인업무 수행과 관련하여 이용자의 주민등록번호를 수집ㆍ이용하는 경우
② 제1항제3호에 따라 주민등록번호를 수집ㆍ이용할 수 있는 경우에도 이용자의 주민등록번호를 사용하지 아니하고 본인을 확인하는 방법(이하 “대체수단”이라 한다)을 제공하여야 한다. <개정 2020. 2. 4.>
6. 제45조(정보통신망의 안정성 확보 등)
① 다음 각 호의 어느 하나에 해당하는 자는 정보통신서비스의 제공에 사용되는 정보통신망의 안정성 및 정보의 신뢰성을 확보하기 위한 보호조치를 하여야 한다. <개정 2020. 6. 9.>
정보통신서비스 제공자
정보통신망에 연결되어 정보를 송ㆍ수신할 수 있는 기기ㆍ설비ㆍ장비 중 대통령령으로 정하는 기기ㆍ설비ㆍ장비(이하 “정보통신망연결기기등”이라 한다)를 제조하거나 수입하는 자
② 과학기술정보통신부장관은 제1항에 따른 보호조치의 구체적 내용을 정한 정보보호조치에 관한 지침(이하 “정보보호지침”이라 한다)을 정하여 고시하고 제1항 각 호의 어느 하나에 해당하는 자에게 이를 지키도록 권고할 수 있다. <개정 2012. 2. 17., 2013. 3. 23., 2017. 7. 26., 2020. 6. 9.>
③ 정보보호지침에는 다음 각 호의 사항이 포함되어야 한다. <개정 2016. 3. 22., 2020. 6. 9.>
정당한 권한이 없는 자가 정보통신망에 접근ㆍ침입하는 것을 방지하거나 대응하기 위한 정보보호시스템의 설치ㆍ운영 등 기술적ㆍ물리적 보호조치
정보의 불법 유출ㆍ위조ㆍ변조ㆍ삭제 등을 방지하기 위한 기술적 보호조치
정보통신망의 지속적인 이용이 가능한 상태를 확보하기 위한 기술적ㆍ물리적 보호조치
정보통신망의 안정 및 정보보호를 위한 인력ㆍ조직ㆍ경비의 확보 및 관련 계획수립 등 관리적 보호조치
정보통신망연결기기등의 정보보호를 위한 기술적 보호조치
④ 과학기술정보통신부장관은 관계 중앙행정기관의 장에게 소관 분야의 정보통신망연결기기등과 관련된 시험ㆍ검사ㆍ인증 등의 기준에 정보보호지침의 내용을 반영할 것을 요청할 수 있다. <신설 2020. 6. 9.>
제45조의2(정보보호 사전점검) ① 정보통신서비스 제공자는 새로이 정보통신망을 구축하거나 정보통신서비스를 제공하고자 하는 때에는 그 계획 또는 설계에 정보보호에 관한 사항을 고려하여야 한다.
② 과학기술정보통신부장관은 다음 각 호의 어느 하나에 해당하는 정보통신서비스 또는 전기통신사업을 시행하고자 하는 자에게 대통령령으로 정하는 정보보호 사전점검기준에 따라 보호조치를 하도록 권고할 수 있다. <개정 2013. 3. 23., 2017. 7. 26.>
이 법 또는 다른 법령에 따라 과학기술정보통신부장관의 인가ㆍ허가를 받거나 등록ㆍ신고를 하도록 되어 있는 사업으로서 대통령령으로 정하는 정보통신서비스 또는 전기통신사업
과학기술정보통신부장관이 사업비의 전부 또는 일부를 지원하는 사업으로서 대통령령으로 정하는 정보통신서비스 또는 전기통신사업
③ 제2항에 따른 정보보호 사전점검의 기준ㆍ방법ㆍ절차ㆍ수수료 등 필요한 사항은 대통령령으로 정한다.
제45조의3(정보보호 최고책임자의 지정 등) ① 정보통신서비스 제공자는 정보통신시스템 등에 대한 보안 및 정보의 안전한 관리를 위하여 대통령령으로 정하는 기준에 해당하는 임직원을 정보보호 최고책임자로 지정하고 과학기술정보통신부장관에게 신고하여야 한다. 다만, 자산총액, 매출액 등이 대통령령으로 정하는 기준에 해당하는 정보통신서비스 제공자의 경우에는 정보보호 최고책임자를 신고하지 아니할 수 있다. <개정 2014. 5. 28., 2017. 7. 26., 2018. 6. 12., 2021. 6. 8.>
② 제1항에 따른 신고의 방법 및 절차 등에 대해서는 대통령령으로 정한다. <신설 2014. 5. 28.>
③ 제1항 본문에 따라 지정 및 신고된 정보보호 최고책임자(자산총액, 매출액 등 대통령령으로 정하는 기준에 해당하는 정보통신서비스 제공자의 경우로 한정한다)는 제4항의 업무 외의 다른 업무를 겸직할 수 없다. <신설 2018. 6. 12.>
④ 정보보호 최고책임자의 업무는 다음 각 호와 같다. <개정 2021. 6. 8.>
- 정보보호 최고책임자는 다음 각 목의 업무를 총괄한다.
가. 정보보호 계획의 수립ㆍ시행 및 개선
나. 정보보호 실태와 관행의 정기적인 감사 및 개선
다. 정보보호 위험의 식별 평가 및 정보보호 대책 마련
라. 정보보호 교육과 모의 훈련 계획의 수립 및 시행
- 정보보호 최고책임자는 다음 각 목의 업무를 겸할 수 있다.
가. 「정보보호산업의 진흥에 관한 법률」 제13조에 따른 정보보호 공시에 관한 업무
나. 「정보통신기반 보호법」 제5조제5항에 따른 정보보호책임자의 업무
다. 「전자금융거래법」 제21조의2제4항에 따른 정보보호최고책임자의 업무
라. 「개인정보 보호법」 제31조제2항에 따른 개인정보 보호책임자의 업무
마. 그 밖에 이 법 또는 관계 법령에 따라 정보보호를 위하여 필요한 조치의 이행
⑤ 정보통신서비스 제공자는 침해사고에 대한 공동 예방 및 대응, 필요한 정보의 교류, 그 밖에 대통령령으로 정하는 공동의 사업을 수행하기 위하여 제1항에 따른 정보보호 최고책임자를 구성원으로 하는 정보보호 최고책임자 협의회를 구성ㆍ운영할 수 있다. <개정 2014. 5. 28., 2018. 6. 12.>
⑥ 정부는 제5항에 따른 정보보호 최고책임자 협의회의 활동에 필요한 경비의 전부 또는 일부를 지원할 수 있다. <개정 2014. 5. 28., 2015. 6. 22., 2018. 6. 12.>
⑦ 정보보호 최고책임자의 자격요건 등에 필요한 사항은 대통령령으로 정한다. <신설 2018. 6. 12.>
7. 망분리
내부 네트워크와 외부 네트워크를 물리적으로 혹은 논리적으로 분리하여 보안 위협을 최소화하는 방법
망분리의 유형
물리적 망분리 (Physical Separation)
내부 네트워크(업무망)와 외부 네트워크(인터넷망)를 물리적으로 완전히 분리하는 방법
각각의 네트워크에 별도의 네트워크 장비(서버, 스위치, 라우터 등)를 사용하며, 두 네트워크 사이의 물리적인 연결이 없음장점: 물리적으로 분리되어 있어 해킹이나 바이러스 등이 외부망에서 내부망으로 침투하는 것을 원천적으로 차단 가능
단점: 물리적으로 다른 네트워크를 운영해야 하므로 비용이 높고, 사용자 입장에서 업무의 불편함이 있을 수 있다
논리적 망분리 (Logical Separation)
하나의 물리적 네트워크 상에서 가상화 기술이나 VLAN 등을 이용해 내부망과 외부망을 논리적으로 분리하는 방법
두 네트워크가 논리적으로 분리되어 있지만, 같은 물리적 장비를 사용할 수 있다장점: 물리적 망분리에 비해 비용이 낮고, 유지보수가 비교적 쉽다
단점: 논리적인 분리는 물리적인 분리보다 보안이 약할 수 있으며, 설정 오류나 보안 취약점으로 인해 위험이 존재할 수 있다
🍅정보통신기반 보호법
정보통신기반
주요정보통신기반시설, 우리나라의 주요한 IT 인프라
정보통신기반시설이라 함은 국가안전보장ㆍ행정ㆍ국방ㆍ치안ㆍ금융ㆍ통신ㆍ운송ㆍ에너지 등의 업무와 관련된 전자적 제어ㆍ관리시스템 및 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조제1항제1호에 따른 정보통신망을 말한다
1. 목적
전자적 침해행위에 대비하여 주요정보통신기반시설의 보호에 관한 대책을 수립ㆍ시행함으로써 동 시설을 안정적으로 운용하도록 하여 국가의 안전과 국민생활의 안정을 보장하는 것을 목적
1년 마다 취약점 점검 및 보고서를 써야함 ➡️보안 컨설팅 하는 사람들의 주 일거리
정보통신기반시설 취약점 가이드: kisa에서 만든 문서, 이 문서를 바탕으로 취약점 점검을 함
2. 특징
정보통신망법과 달리 보안에만 신경 쓴 법
과학기술정보통신부 주관, 국정원도 참여
과기부는 정보통신기반시설 보호를 위한 시절 지정 권고
문서 컨설팅은 정보보호 전문서비스 기업(윈스, 안랩, 씨큐아이 등)만 참여 가능
3. 주요정보통신기반시설 보호 추진체계
출처: https://www.isac.or.kr/sub/01/protection
정보공유 분석센터(ISAC)
4. 정보보호책임관이 총괄하는 업무
주요정보통신기반시설보호계획 수립·시행
주요정보통신기반시설보호대책 수립, 주요정보통신기반시설 침해사고 예방 및 복구, 보호조치 명령·권고의 이행에 관한 기술적 지원의 요청
취약점 분석·평가 및 전담반 구성
주요정보통신기반시설보호에 필요한 조치 명령 또는 권고의 이행
침해사고의 통지
정보통신기반보호법에 규정된 주요정보통신기반시설의 복구 및 보호에 필요한 조치
기타 다른 법령에 규정된 주요정보통신기반시설의 보호업무에 관한 사항
5. 관계중앙행정기관의 역할
과기부가 주요 정보통신기반시설을 권고하고 관계중앙행정기관이
주요 정보통신기반시설을 지정
관계중앙행정기관은 전년도 주요정보통신기반시설보호계획의추진실적과 다음 연도 주요정보통신기반시설 보호계획을 매년10월 31일까지 위원회에 제출
매년 8월 31일까지 관리기관으로부터 주요정보통신기반시설보호대책을 제출받아 종합ㆍ조정하여 소관분야에 대한 주요정보통신기반시설보호계획을 수립
관리기관에 대하여 주요정보통신기반시설을 보호하기 위하여 필요한 기술의 이전, 장비의 제공 및 그 밖의 필요한 지원 수행
6. 예방적 측면
소관 정보통신기반시설이 주요정보통신기반시설로 지정된 때에는 지정 후 6개월 이내에 취약점 분석·평가를 실시해야 하고 그 후 매년 진행
취약점 분석·평가 결과에 따라 소관 주요정보통신기반시설을 안전하게 보호하기 위한 물리적·기술적 대책을 포함한주요정보통신기반시설보호대책수립·시행➡️ 8월 31일까지
7. 대응복구적 측면
침해사고가 발생하여 소관 주요정보통신기반시설이 교란·마비 또는 파괴된 사실을 인지한 때에는 관계 행정기관, 수사기관 또는 한국인터넷진흥원에 그 사실을 통지
해당정보통신기반시설의 복구 및 보호에 필요한 사항을 신속히 조치
8. 보호지원기관의 역할
관리기관이 필요하다고 인정하거나, 특정 관리기관의 주요정보통신기반시설보호대책 미흡으로 국가안전보장이나 경제사회전반에 피해가 우려된다고 판단하여 위원회의 위원장이 그 보완을 명하는 경우 아래의 업무에 대해 기술지원
기술지원 범위
주요정보통신기반시설 취약점 분석·평가 수행
주요정보통신기반시설 보호대책 수립
주요정보통신기반시설의 침해사고 예방 및 복구
주요정보통신기반시설보호대책과 이행여부를 분석하여 별도의 보호조치가 필요하다고 인정된 경우, 보호조치 명령·권고의 이행
9. 보호대책 수립절차
과학기술정보통신부와 국가정보원은 매년 5월 31일까지
주요정보통신기반시설 보호대책 수립지침을 작성하여 이를 관계중앙행정기관에 통보
관계중앙행정기관은 과학기술정보통신부와 국가정보원으로부터 전달받은 주요정보통신기반시설 보호대책 수립 지침을 관할, 관리기관에 통보
관리기관은 취약점 분석 · 평가의 결과에 따라 소관 주요정보통신기반시설을 안전하게 보호하기 위한주요정보통신기반시설 보호대책을 매년 8월 31일까지 관계중앙행정기관에게 제출
※ 관계중앙행정기관은 제출받은 주요정보통신기반시설 보호대책을 분석하여 별도의 보호조치가 필요하다고 인정하는 경우, 해당 관리기관에게 주요정보통신기반시설의 보호에 필요한 조치를 명령 또는 권고
요약
매년 취약점 분석 평가를 해 8월 31일까지 보호대책서를 쓰는 것
주요 정보통신기반시설로 지정된 시설은 지정 후 6개월 내에 취약점 분석, 평가를 실시해야 함
최초의 취약점 분석, 평가 이후에는 매년 취약점 분석, 평가 실시
일정한 자격을 갖춘 자들로 구성된 전담반이 취약점 분석, 평가를 함
🍅개인정보보호법
1. 개요
개인정보를 보호하고 안전하게 처리하기 위해 제정
개인을 식별할 수 있는 정보의 수집, 저장, 처리 및 파기를 광범위하게 규정
정보주체의 동의를 기본, 정보의 최소화, 처리 목적의 명확성, 안전한 정보 관리를 중요 원칙으로 함
2. 제정 배경
개인정보의 중요성 증가
기존의정보통신망법과신용정보보호법만으로는 대응이 어려움
이 법은 개인정보의 수집, 처리, 제공 및 파기 전 과정을 규제, 강화된 보호 조치와 정보주체의 권리를 명확히 함
3. 주요 내용
개인정보의 정의
개인정보는 살아 있는 개인에 관한 정보로, 이름, 주민등록번호, 연락처, 이메일 주소 등 직접 식별 가능한 정보뿐만 아니라, 특정 개인을 간접적으로 식별할 수 있는 간접 정보도 포함
단, 법인이나 단체의 정보는 포함하지 않는다
개인정보 유형
인적사항
신체적 정보
정신적 정보
사회적 정보
재산적 정보
기타 정보(위치, 통신 정보 등)
개인정보의 수집 및 이용
개인정보를 수집할 때는 당사자의 동의를 받아야 하며, 수집 목적을 명확히 해야 함
수집된 개인정보는 원래의 목적 범위 내에서만 사용되어야 하며, 목적 외 사용 시 추가 동의가 필요
개인정보의 제공
원칙적으로 개인정보를 제3자에게 제공할 수 없다
다만, 법령에 따른 경우나 정보 주체의 동의를 받은 경우에 한해 제공이 가능
개인정보 처리의 원칙
수집 목적의 명확성: 개인정보를 수집할 때는 명확한 목적이 있어야 하며, 그 목적 외의 용도로 이용해서는 안 된다
최소 수집의 원칙: 개인정보는 최소한으로 필요한 범위 내에서만 수집해야한다
정보 주체의 동의: 개인정보를 수집하거나 이용할 때는 정보 주체의 동의를 반드시 받아야 하며, 동의 내용은 쉽게 이해할 수 있어야 한다
보유 기간 제한: 개인정보는 필요한 기간 동안만 보유해야 하며, 그 기간이 지나면 안전하게 파기해야 한다
정보 주체의 권리 보장: 정보 주체는 자신의 개인정보에 대해 열람, 정정, 삭제, 처리 정지 요청을 할 수 있다
개인정보 처리자의 의무
안전성 확보 조치: 개인정보를 안전하게 처리하기 위한 기술적, 관리적, 물리적 조치를 취해야 합니다.
내부 관리 계획 수립: 개인정보 보호를 위한 내부 정책을 수립하고 이를 철저히 이행해야 합니다.
제3자 제공: 개인정보를 제3자에게 제공할 때는 반드시 정보 주체의 동의를 받아야 하며, 제공받는 자의 정보와 제공 목적을 명확히 고지해야 합니다.
침해 발생 시 대응: 개인정보 유출이나 침해가 발생했을 경우, 해당 사실을 지체 없이 정보 주체에게 알리고, 적절한 후속 조치를 취해야 합니다.
정보주체의 권리
정보주체는 자신의 개인정보에 대한 열람, 정정, 삭제, 처리 정지 등을 요구할 수 있는 권리가 있다
정보주체가 동의한 범위를 넘어서 개인정보를 처리하는 경우, 정보주체는 동의를 철회할 수 있다
처벌 및 제재
개인정보 보호 의무를 위반한 경우, 해당 기관이나 기업은 과태료 부과, 형사 처벌, 손해배상 책임 등을 질 수 있다
개인정보 보호위원회
개인정보보호법의 시행과 관련된 사항을 심의하고, 개인정보 보호 정책을 수립하는 역할을 하는 독립적인 기구
4. 개인정보 관련 용어
가명정보
가명정보는 개인정보를 특정 개인과 직접적으로 연계할 수 없도록 변환한 정보를 의미한다
하지만, 추가 정보와 결합하면 다시 개인을 식별할 수 있다는 점에서 익명정보와 구분된다
가명정보는 통계, 연구, 공공의 이익을 위한 목적으로 개인정보를 제한적으로 사용하고자 할 때 활용특징
개인을 식별할 수 있는 정보(예: 이름, 주민등록번호)를 제거하거나 다른 값으로 대체하지만, 완전히 식별 불가능하지는 않음
추가적인 정보와 결합하면 개인을 다시 식별할 수 있으므로 엄격한 관리가 필요하다
법적으로 가명정보는 통계 작성, 과학적 연구, 공익적 기록 보존을 목적으로 정보 주체의 동의 없이 사용할 수 있다예시: 병원에서 환자의 이름을 숫자 코드로 대체하여 연구 자료로 사용하는 경우.
추가정보
추가정보는 가명처리된 가명정보를 다시 개인과 연결할 수 있는 정보를 의미한다
즉, 가명정보만으로는 특정 개인을 식별할 수 없지만, 추가정보와 결합하면 다시 개인을 식별할 수 있다특징
추가정보는 가명정보와 결합될 경우 특정 개인을 식별할 수 있기 때문에, 가명정보와는 분리해서 관리해야 한다
가명정보를 사용하는 기관은 추가정보를 다른 부서나 기관과 철저히 분리하여 관리해야 하며, 이를 결합해 개인을 식별하는 행위는 엄격히 제한된다예시
병원의 가명화된 환자 데이터를 다른 자료(예: 병원 방문 기록 등)와 결합할 수 있는 정보.
익명정보
익명정보는 어떠한 추가 정보와 결합하더라도 특정 개인을 식별할 수 없도록 완전히 변환된 정보를 의미한다
익명정보는 정보 주체와 연계할 수 없으므로, 개인정보보호법의 적용을 받지 않는다특징
개인을 절대로 식별할 수 없는 형태로 변환되며, 원래의 개인정보로 복원할 수 없다
익명화된 정보는 법적 제한 없이 자유롭게 사용할 수 있으며, 연구나 통계 목적으로 많이 활용된다
익명처리된 정보는 더 이상 개인정보로 간주되지 않는다예시
특정 지역에서 수집된 사람들의 연령대 분포를 익명화하여 분석한 자료
해당 자료는 개별 개인을 식별할 수 없다
제공정보
제공정보는 개인정보를 제3자에게 제공하는 경우의 정보를 의미한다
이는 법적으로 엄격한 규제 대상이며, 정보 주체의 동의가 필요하다
개인정보는 동의 없이는 제3자에게 제공할 수 없으며, 제공하는 경우에도 명확한 목적과 범위 내에서만 사용할 수 있어야 한다특징
개인정보 제공 시, 정보 주체에게 명확하게 알리고 동의를 받아야 한다
제공된 정보는 그 목적에 맞게 사용되어야 하며, 동의 받은 목적 외 사용은 금지된다
제3자에게 제공된 정보는 적절한 보호 조치가 필요하며, 필요 없을 시 삭제하거나 파기해야 한다예시
온라인 쇼핑몰이 고객의 주소와 연락처 정보를 택배 회사에 제공하여 배송을 처리하는 경우
생성정보
생성정보는 기존의 개인정보를 기반으로 새로운 정보를 생성하여 도출된 데이터를 의미한다
정보 처리 과정에서 개인의 활동이나 데이터를 분석하여 새로운 데이터가 만들어지는 경우이다
생성된 정보는 원래의 정보와 결합하여 개인을 특정할 수 있을 수 있어 개인정보보호법의 규제를 받는다특징
정보 주체가 제공한 정보로부터 파생된 추론된 정보입니다.
예를 들어, 사용자의 행동 패턴을 분석해 특정한 취향이나 습관을 추정하는 정보가 생성정보에 해당합니다.
생성된 정보가 개인정보에 해당할 경우, 보호 및 관리가 필요합니다예시
온라인 쇼핑몰에서 고객의 구매 이력을 분석해 맞춤형 상품 추천을 위한 선호도 데이터를 생성하는 경우.
5. 개인보호법상 암호화 기준
암호화 대상 개인 정보
비밀번호: 사용자의 계정 보안을 위해 암호화
생체 인식 정보(바이오정보): 지문, 홍채, 얼굴 등 생체 인식 정보
고유 식별 번호: 주민등록번호, 여권번호, 운전면허번호, 외국인등록번호
암호화 방법
비밀번호:
SHA-256이상의 암호화 알고리즘을 사용하여 일방향 암호화
생체 인식 고유 정보 및 식별 번호: 양방향 암호화를 적용하여 보다 높은 보안 유지
암호화 적용 범위
내부망에 존재하는 비밀번호: 내부 네트워크에 저장되는 비밀번호도 암호화 대상
🍅해외 개인정보보호법
1. EU
GDPR(General Data Protection Regulation)
2018년 5월 25일부터 시행된 유럽연합의 포괄적인 개인정보보호법
GDPR은 EU 시민의 개인정보를 처리하는 모든 기업과 조직에 적용되며, EU 외부에 위치한 기업이라도 EU 시민의 데이터를 처리하는 경우 규제를 받는다
주요 내용
동의 기반 처리: 개인정보 수집 전에 명확하고 자유로운 동의를 받아야 한다
데이터 주체의 권리 강화: 접근 권리, 수정 권리, 삭제 권리(잊혀질 권리), 처리 제한 권리 등을 한다
데이터 이동성: 개인은 자신의 데이터를 다른 서비스로 이전할 수 있다
개인정보 유출 통지 의무: 데이터 유출 발생 시 72시간 이내에 감독 기관과 피해자에게 통지해야 한다
엄격한 처벌: 위반 시 최대 2천만 유로 또는 전 세계 연 매출액의 4% 중 높은 금액으로 벌금이 부과될 수 있다
2. 미국
미국은 연방 차원의 통합된 개인정보보호법이 없으며, 주별 또는 산업별로 다양한 법률이 존재
주요 법률
CCPA (캘리포니아 소비자 프라이버시 법, 2020)
캘리포니아 주의 개인정보보호법으로, 소비자에게 개인정보에 대한 접근, 삭제, 판매 거부 권리를 부여
기업은 개인정보 수집 시 목적과 판매 여부를 명확히 밝혀야 한다HIPAA (건강 보험 이전 및 책임에 관한 법률)
의료 정보의 프라이버시와 보안을 보호하는 연방 법률
의료 기관 및 관련 기업은 환자의 건강 정보를 보호해야 한다COPPA (아동 온라인 프라이버시 보호법)
만 13세 미만 아동의 온라인 개인정보 수집을 규제
부모의 동의 없이 아동의 개인정보를 수집할 수 없다
3. 미국과 EU의 차이
접근 방식
유럽 (GDPR): 개인의 프라이버시를 인권으로 중시하며, 데이터 주체의 권리를 강력히 보호하는 권리 중심적 접근을 취함
미국: 산업별로 규제되며, 개인정보 보호는 주로 소비자 보호 또는 국가 안보에 초점을 맞춤
적용 범위
유럽 (GDPR): 모든 기업(국내외 불문)에 적용되는 포괄적 규제
미국: 주별, 산업별로 규제가 다름(CCPA, HIPAA 등)으로, 부문별 접근
데이터 주체의 권리
유럽: 데이터 접근, 수정, 삭제 등 강력한 권리 제공
미국: 특정 산업에만 권리 보장, 전반적으로 유럽보다 약함
