처리목적 달성 후 보유 시 조치

※ 본 항목은 정보보호 관리체계 인증의 특례에 따른 **완화된 인증기준(별표 7의3)**이다. 위 인증기준/주요 확인사항은 완화/조정된 공식 원문이며, 아래 세부 설명/관련 법규/증거자료/결함사례는 동일 통제영역인 별표7 [3.4.2 처리목적 달성 후 보유 시 조치]의 「ISMS-P 인증기준 안내서」 내용이다(완화 기준에서는 위 인증기준/확인사항 범위로 적용된다).

개인정보의 보유기간 경과 또는 처리목적 달성 후에도 관련 법령 등에 따라 파기하지 않고 보존하는 경우 관련 법령에 따른 최소한의 기간으로 한정하여 최소한의 정보만을 보존하도록 관리하여야 한다.

• 개인정보의 항목을 보유목적에 맞는 최소한의 항목으로 제한

• 관련 법령에 따른 최소기간으로 보유기간 설정

  ※ 타 법령에 따른 보유기간(예시)

  • 전자상거래 등에서 소비자 보호에 관한 법률 ① 표시/광고에 관한 기록 : 6개월 ② 계약 또는 청약철회 등에 관한 기록: 5년 ③ 대금결제 및 재화 등의 공급에 관한 기록 : 5년 ④ 소비자의 불만 또는 분쟁처리에 관한 기록 : 3년
  • 통신비밀보호법 컴퓨터 통신 또는 인터넷의 로그기록 자료, 정보통신기기의 위치를 확인할 수 있는 접속지 추적자료 : 3개월

개인정보의 보유기간 경과 또는 처리목적 달성 후에도 관련 법령 등에 따라 파기하지 않고 보존하는 경우 해당 개인정보 또는 개인정보파일을 다른 개인정보와 분리하여 저장/관리하여야 한다.

• 분리 데이터베이스는 물리적 또는 논리적으로 분리하여 구성

분리 보관하고 있는 개인정보에 대하여 법령에서 정한 목적 범위 내에서만 처리 가능하도록 관리하여야 한다.

• 분리 보관된 개인정보는 마케팅 등 다른 목적으로 활용 금지

분리 보관하고 있는 개인정보에 대하여 접근권한을 최소한의 인원으로 제한하여야 한다.

• 분리 데이터베이스의 접속 권한을 최소인원으로 제한하는 등 접근권한 최소화
• 분리 데이터베이스에 대한 접속기록을 남기고 정기적으로 검토 등