A.5.34
프라이버시 및 개인식별정보 보호
조직적 통제확인사항 6증적 7사례 7
통제 목적
조직이 처리하는 개인식별정보(PII)에 대해 적용 법률/규제/계약이 요구하는 프라이버시 보호 요구사항을 식별하고, 이를 충족하기 위한 정책/절차/책임체계를 수립하여 PII의 수집부터 파기까지 전 생애주기에 걸쳐 보호하기 위한 통제입니다. 정보주체(개인)의 권리를 보장하고, PII의 오남용/유출/무단 접근을 예방하며, 프라이버시 보호에 대한 조직의 접근방식을 PII 처리에 관여하는 모든 관계자에게 전달하도록 요구합니다. 궁극적으로는 개인정보보호 법규 위반에 따른 제재 및 신뢰 손실을 방지하고, PII 처리 활동을 조직의 관리체계 및 위험관리와 정합되게 운영하는 것이 목적입니다.
주요 확인사항
- 조직이 처리하는 PII의 유형/처리목적/처리흐름이 식별되고, 적용되는 프라이버시 관련 법률/규제/계약 요구사항이 파악되어 있는가?
- 프라이버시 및 PII 보호에 관한 정책/지침이 수립되어 있고, PII 처리에 관여하는 모든 인원 및 관계자에게 전달/공유되는가?
- PII 보호를 총괄하는 책임자(개인정보 보호책임자 등)와 연락 창구가 지정되어 역할과 권한이 정의되어 있는가?
- PII의 수집/이용/제공/보관/파기 등 생애주기 전반에 기술적/관리적 보호조치가 적용되고 있는가?
- 정보주체의 열람/정정/삭제/처리정지 등 권리 요청을 접수하고 처리하는 절차가 마련되어 있는가?
- 신규 서비스/시스템 도입 등 PII 처리에 수반되는 프라이버시 위험을 평가하고 그 결과를 통제에 반영하는가?
이행 지침
- 처리하는 개인정보의 항목, 목적, 적법한 처리 근거, 보존 기간, 위치, 제공/위탁 관계를 처리 현황표로 관리합니다. 동의 요건은 동의를 처리 근거로 삼는 경우에만 적용하며, 다른 적법한 근거를 동의와 혼동하지 않습니다.
- 적용되는 개인정보보호 법령/규제/계약 요구사항(국내외 관할지역 포함)을 A.5.31의 준수 요구사항 등록부와 연계하여 파악하고, 국외이전 등 국경 간 이동에 관한 요건을 별도로 관리합니다.
- 프라이버시 및 PII 보호에 관한 정책/지침을 수립하여 처리 원칙, 역할과 책임, 정보주체 권리 보장 절차, 보호조치 기준을 정의하고, PII 처리에 관여하는 임직원/수탁자/외부자에게 전달합니다.
- PII 보호를 총괄하는 책임자와 연락 창구(개인정보 보호책임자/담당부서)를 지정하고, 문의/권리행사/침해신고를 접수하여 처리하는 절차를 운영합니다.
- 개인정보 생명주기에 따라 최소 수집, 최소 권한, 필요한 암호화/가명처리/마스킹, 접근기록 등 보호조치를 적용합니다. 보존 기간 종료 시 법적 보존 의무와 적용 예외를 확인한 뒤 삭제하며, 보존이 필요한 정보는 목적 외 사용을 제한합니다.
- 신규 서비스/시스템 도입 또는 대규모 PII 처리 시 프라이버시 위험(영향)평가를 수행하여 위험을 식별/완화하고, 처리방침 및 관련 고지를 최신 상태로 유지합니다.
- 열람, 정정, 삭제, 처리정지, 동의 철회 요청을 접수하고 위험에 비례하여 요청자의 신원을 확인합니다. 적용 법규의 기한, 요건 및 예외를 검토하여 처리하고 근거를 기록합니다. 유출 통지/신고는 별도 기한과 대상에 따라 수행합니다.
증적자료
- PII 처리 현황 문서(처리 항목/목적/보유기간/처리위치/제3자 제공 및 위탁 현황, 흐름도 포함)
- 프라이버시 및 PII 보호 정책/지침 및 임직원/수탁자 대상 전달/교육 기록
- 개인정보 보호책임자 및 연락 창구 지정 문서, 역할과 책임 정의서
- 프라이버시 위험(영향)평가 수행 결과 및 후속 조치 내역
- 개인정보 처리방침 및 정보주체 고지/동의 관련 기록
- 정보주체 권리 요청(열람/정정/삭제/처리정지 등) 접수 및 처리 대장
- PII 보호조치 적용 증빙(암호화/가명처리/접근권한/접속기록/파기 기록 등)
부적합 사례
- 조직이 처리하는 PII의 유형/흐름을 식별하지 않아 어떤 개인정보가 어디에 존재하는지 파악하지 못하는 경우
- 프라이버시/PII 보호에 관한 정책이나 지침이 없거나, 있더라도 PII를 실제 처리하는 인원/수탁자에게 전달되지 않는 경우
- 개인정보 보호책임자나 연락 창구가 지정되지 않아 정보주체 문의/권리행사에 대응할 담당이 불분명한 경우
- 적용되는 개인정보보호 법령이나 국외이전 요건을 식별하지 않아 법적 요구를 충족하지 못하는 경우
- 보존 기간이 끝난 개인정보를 정당한 보존 근거 없이 유지하거나 적법한 목적/근거 없이 사용 또는 제공하는 경우
- 정보주체의 열람/삭제 등 권리 요청을 접수/처리하는 절차가 없어 요청에 대응하지 못하는 경우
- 적용 법령(예: 공공기관의 개인정보 영향평가 의무, 고위험이 예상되는 처리의 GDPR DPIA 의무)이나 조직 정책에 따라 프라이버시 영향평가를 해야 하는데도 대규모 PII 처리나 신규 시스템 도입 시 이를 수행하지 않는 경우