2. 개인정보 저장, 관리

1. 개인정보 저장, 관리

1.1 개인정보 저장·관리의 이해

 - 개인정보 저장 시 분실·도난·유출·변조·훼손 되지 않도록 안전성 확보조치를 하여야 한다.

 - 집단소송 판례를 보면 개인정보 보호를 위해 얼마나 노력을 기울였는지에 따라 위법성 여부를 판단

 - 개인정보보호 활동에 대한 입증이 중요하므로 지침, 절차 등을 마련하고 근거를 남겨두어야 함

1.2 개인정보 관리단계 침해 유형과 법률

 - 수집 또는 이용목적 달성 후 개인정보 미파기 : 개인정보보호법 제21조 위반

 - 파기 조건 미달성 정보에 대한 관리 부주의 : 개인정보보호법 제21조 위반

제21조(개인정보의 파기) ① 개인정보처리자는 보유기간의 경과, 개인정보의 처리 목적 달성 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 한다. 다만, 다른 법령에 따라 보존하여야 하는 경우에는 그러하지 아니하다.

② 개인정보처리자가 제1항에 따라 개인정보를 파기할 때에는 복구 또는 재생되지 아니하도록 조치하여야 한다.

③ 개인정보처리자가 제1항 단서에 따라 개인정보를 파기하지 아니하고 보존하여야 하는 경우에는 해당 개인정보 또는 개인정보파일을 다른 개인정보와 분리하여서 저장·관리하여야 한다.

④ 개인정보의 파기방법 및 절차 등에 필요한 사항은 대통령령으로 정한다.

2. 개인정보 파기

2.1 개인정보의 파기 시기·대상·방법

 - 개인정보처리자는 다음의 경우 보유한 개인정보를 지체없이 파기해야 한다. 단 다른 법률에 의해 보관해야 하는 경우 예외

  (1) 개인정보의 수집·이용 목적을 달성한 경우

  (2) 개인정보의 보유 및 이용기간이 끝난 경우

  (3) 폐업하는 경우

 "지체없이"? 고의 또는 태만으로 업무처리를 지연하지 않은 경우 인정. 사안에 따라 달리 판단해야 한다.

 - 파기 대상 : 제공정보 및 생성정보 모두

 - 파기 방법 : 물리적 분쇄 또는 소각, 전자적 형태인 경우 복원이 불가능한 방법으로 영구 삭제

개인정보 보호법 시행령

제16조(개인정보의 파기방법) ①개인정보처리자는 법 제21조에 따라 개인정보를 파기할 때에는 다음 각 호의 구분에 따른 방법으로 하여야 한다.  <개정 2014.8.6>

1. 전자적 파일 형태인 경우: 복원이 불가능한 방법으로 영구 삭제

2. 제1호 외의 기록물, 인쇄물, 서면, 그 밖의 기록매체인 경우: 파쇄 또는 소각

② 제1항에 따른 개인정보의 안전한 파기에 관한 세부 사항은 행정안전부장관이 정하여 고시한다.  <신설 2014.8.6, 2014.11.19, 2017.7.26>

개인정보 안전성 확보조치 기준

제13조(개인정보의 파기) ① 개인정보처리자는 개인정보를 파기할 경우 다음 각 호 중 어느 하나의 조치를 하여야 한다.

1. 완전파괴(소각·파쇄 등)

2. 전용 소자장비를 이용하여 삭제

3. 데이터가 복원되지 않도록 초기화 또는 덮어쓰기 수행

② 개인정보처리자가 개인정보의 일부만을 파기하는 경우, 제1항의 방법으로 파기하는 것이 어려울 때에는 다음 각 호의 조치를 하여야 한다.

1. 전자적 파일 형태인 경우 : 개인정보를 삭제한 후 복구 및 재생되지 않도록 관리 및 감독

2. 제1호 외의 기록물, 인쇄물, 서면, 그 밖의 기록매체인 경우 : 해당 부분을 마스킹, 천공 등으로 삭제

2.2 개인정보 유효기간 제도

 - 정보통신망법에 따르면 일정 기간동안 이용 기록이 없는 이용자(휴면계정)의 개인정보를 파기 또는 분리보관 하여야 함

 - 파기·분리보관 30일 전까지 해당 이용자에게 파기·분리보관 사실(일시·항목 포함)을 통지하여야 함

 - 보유할수 있는 기간은 1년을 원칙으로 하며, 다른 법에서 별도로 정한 경우 해당 기간을 적용

 - 분리저장된 개인정보는 이용·제공할 수 없지만 이용자의 요구가 있거나 다른 법령에서 별도로 정한 경우 예외

 - 분리저장은 물리적인 하드디스크 분리 뿐만 아니라 논리적인 구분도 가능하다. 후자의 경우 접근권한을 최소화

정보통신망법 시행령

제16조(개인정보의 파기 등)

② 정보통신서비스 제공자등은 이용자가 정보통신서비스를 법 제29조제2항의 기간 동안 이용하지 아니하는 경우에는 이용자의 개인정보를 해당 기간 경과 후 즉시 파기하거나 다른 이용자의 개인정보와 분리하여 별도로 저장·관리하여야 한다. 다만, 법 제29조제2항 본문에 따른 기간(법 제29조제2항 단서에 따라 이용자의 요청에 따라 달리 정한 경우에는 그 기간을 말한다)이 경과한 경우로서 다른 법령에 따라 이용자의 개인정보를 보존하여야 하는 경우에는 다른 법령에서 정한 기간이 경과할 때까지 다른 이용자의 개인정보와 분리하여 별도로 저장·관리하여야 한다.  <개정 2016.5.31., 2016.9.22.>

③ 정보통신서비스 제공자등은 제2항에 따라 개인정보를 별도로 저장·관리하는 경우에는 법 또는 다른 법률에 특별한 규정이 있는 경우를 제외하고는 해당 개인정보를 이용하거나 제공하여서는 아니 된다.