ISMS-P 인증 기준 3.5.2.정보주체 권리보장 편집하기
IT위키
편집을 취소할 수 있습니다. 이 편집을 되돌리려면 아래의 바뀐 내용을 확인한 후 게시해주세요.
최신판 | 당신의 편집 | ||
24번째 줄: | 24번째 줄: | ||
|} | |} | ||
==세부 설명== | ==세부 설명== | ||
'''개요''' | |||
*정보주체(이용자) 또는 그 대리인이 개인정보에 대한 열람, 정정·삭제, 처리정지, 이의제기, 동의 철회(이하 ʻ열람 등ʼ이라 함.) 요구를 개인정보 수집방법·절차보다 쉽게 할 수 있도록 권리 행사 방법 및 절차를 마련하여야 한다. | |||
정보주체(이용자) 또는 그 대리인이 개인정보에 대한 열람, 정정·삭제, 처리정지, 이의제기, 동의 철회(이하 ʻ열람 등ʼ이라 함.) 요구를 개인정보 수집방법·절차보다 쉽게 할 수 있도록 권리 행사 방법 및 절차를 마련하여야 한다. | **정보주체(이용자)가 열람 등을 요구할 수 있는 구체적인 방법과 절차를 마련하고, 이를 정보주체(이용자)가 쉽게 알 수 있도록 공개하여야 함. | ||
**정보주체(이용자)의 권리행사 방법 및 절차는 최소한 개인정보 수집절차 또는 회원가입 절차에 준하여 알기 쉽고 편리하여야 하며, 개인정보 수집 시 요구하지 않던 증빙서류를 추가로 요구하지 않아야 함 | |||
**정보주체(이용자)가 편리하게 선택할 수 있도록 가급적 다양한 권리 행사 방법을 마련하여 제공할 필요가 있음(방문, 서면, 전화, 전자우편, 인터넷 웹사이트 등). | |||
**열람 등을 요구한 자가 본인이거나 정당한 대리인인지 확인하여야 하며, 확인 방법은 합리적인 수단이라고 객관적으로 인정되는 방식이어야 함(전자서명, 아이핀, 운전면허증 확인 등). | |||
**개인정보처리자가 공공기관인 경우 「전자정부법」에 따른 행정정보의 공동 이용을 통하여 신분확인이 가능하면 행정정보의 공동이용을 통하여 확인하여야 함. | |||
**열람 등을 요구하는 자에게 관련 업무 수행에 필요한 실비의 범위에서 수수료와 우송료를 청구할 수 있으나, 개인정보를 열람·정정·삭제·처리정지 등을 요구하게 된 사유가 해당 개인정보처리자에게 있는 경우에는 수수료와 우송료를 청구할 수 없음. | |||
'''열람 요구 대응''' | |||
*정보주체(이용자) 또는 그 대리인으로부터 개인정보 열람을 요구받은 경우 10일 이내(또는 지체 없이)에 정보주체가 해당 개인정보를 열람할 수 있도록 조치하여야 한다. | |||
정보주체(이용자) 또는 그 대리인으로부터 개인정보 열람을 요구받은 경우 | **정보주체(이용자)가 열람이나 제공을 요구할 수 있는 정보 | ||
***1. 개인정보의 항목 및 내용 | |||
*정보주체(이용자)가 열람이나 제공을 요구할 수 있는 정보 | ***2. 개인정보의 수집·이용의 목적 | ||
**1. 개인정보의 항목 및 내용 | ***3. 개인정보 보유 및 이용 기간 | ||
**2. 개인정보의 수집·이용의 목적 | ***4. 개인정보의 제3자 제공 현황 | ||
**3. 개인정보 보유 및 이용 기간 | ***5. 개인정보 처리에 동의한 사실 및 내용 | ||
**4. 개인정보의 제3자 제공 현황 | **10일 이내에 열람할 수 없는 정당한 사유가 있는 경우 정보주체(이용자)에게 그 사유를 알리고 열람을 연기할 수 있음. | ||
**5. 개인정보 처리에 동의한 사실 및 내용 | **개인정보 열람 제한 및 거절의 사유가 있는 경우 정보주체에게 그 사유를 알리고 열람을 제한 또는 거절할 수 있음. | ||
*10일 이내에 열람할 수 없는 정당한 사유가 있는 경우 정보주체(이용자)에게 그 사유를 알리고 열람을 연기할 수 있음. | <div style="padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px">'''※ 정보주체의 열람요구를 제한·거절할 수 있는 사유'''(개인정보 보호법 제35조제4항) | ||
*개인정보 열람 제한 및 거절의 사유가 있는 경우 정보주체에게 그 사유를 알리고 열람을 제한 또는 거절할 수 있음. | |||
< | |||
*1. 법률에 따라 열람이 금지되거나 제한되는 경우 | *1. 법률에 따라 열람이 금지되거나 제한되는 경우 | ||
*2. 다른 사람의 생명·신체를 해할 우려가 있거나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우 | *2. 다른 사람의 생명·신체를 해할 우려가 있거나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우 | ||
*3. 공공기관이 다음 각 목의 어느 하나에 해당하는 업무를 수행할 때 중대한 지장을 초래하는 경우 | *3. 공공기관이 다음 각 목의 어느 하나에 해당하는 업무를 수행할 때 중대한 지장을 초래하는 경우 | ||
*가. 조세의 부과·징수 또는 환급에 관한 업무 | |||
*나. 「초등교육법」 및 「고등교육법」에 따른 각급 학교, 「평생교육법」에 따른 평생교육시설, 그 밖의 다른 법률에 따라 설치된 고등교육기관에서의 성적 평가 또는 입학자 선발에 관한 업무 | |||
*다. 학력·기능 및 채용에 관한 시험, 자격 심사에 관한 업무 | |||
*라. 보상금·급부금 산정 등에 대하여 진행 중인 평가 또는 판단에 관한 업무 | |||
*마. 다른 법률에 따라 진행 중인 감사 및 조사에 관한 업무</div> | |||
</ | |||
*열람 요구사항 중 일부가 열람 제한 및 거절의 사유가 있는 경우에는 그 일부에 대하여 열람을 제한할 수 있으며, 열람이 제한되는 사항을 제외한 부분에 대해서는 열람할 수 있도록 하여야 함. | *열람 요구사항 중 일부가 열람 제한 및 거절의 사유가 있는 경우에는 그 일부에 대하여 열람을 제한할 수 있으며, 열람이 제한되는 사항을 제외한 부분에 대해서는 열람할 수 있도록 하여야 함. | ||
'''정정·삭제 요구 대응''' | |||
*개인정보 정정·삭제 요구를 받은 날부터 '''10일 이내에 조치 결과 회신''' | *정보주체(이용자) 또는 그 대리인으로부터 개인정보의 정정·삭제를 요구받은 경우 정보주체(이용자)의 요구가 정당하다고 판단되면 지체 없이 그 개인정보를 조사하여 정보주체의 요구에 따라 해당 개인정보의 정정·삭제 등의 조치를 한 후 그 결과를 정보주체(이용자)에게 알려야 한다. | ||
*외부위탁 또는 제3자에게 제공한 개인정보에 대한 정정요청 및 동의 철회 시에는 수탁자 또는 제3자에게 연락하여 조치 요청 | **개인정보 정정·삭제 요구를 받은 날부터 '''10일 이내에 조치 결과 회신''' | ||
*다른 법령에 그 개인정보가 수집 대상으로 명시되어 있는 경우에는 삭제 요구를 거절할 수 있으며, 이 경우 요구에 따르지 않기로 한 사실, 근거 법령의 내용 및 그 이유와 이의제기 방법을 개인정보 정정·삭제 통지서로 해당 정보주체(이용자)에게 정정·삭제 요구를 받은 날로부터 10일 이내에 알려야 함(전자상거래법에 따른 계약·청약 철회 기록 등). | **외부위탁 또는 제3자에게 제공한 개인정보에 대한 정정요청 및 동의 철회 시에는 수탁자 또는 제3자에게 연락하여 조치 요청 | ||
**다른 법령에 그 개인정보가 수집 대상으로 명시되어 있는 경우에는 삭제 요구를 거절할 수 있으며, 이 경우 요구에 따르지 않기로 한 사실, 근거 법령의 내용 및 그 이유와 이의제기 방법을 개인정보 정정·삭제 통지서로 해당 정보주체(이용자)에게 정정·삭제 요구를 받은 날로부터 10일 이내에 알려야 함(전자상거래법에 따른 계약·청약 철회 기록 등). | |||
'''처리정지 요구 대응''' | |||
*개인정보 처리정지 요구를 받은 날부터 '''10일 이내에 조치 결과 회신''' | *정보주체(이용자) 또는 그 대리인으로부터 개인정보의 처리정지 요구를 받은 경우 특별한 사유가 없는 한 지체 없이 처리의 전부 또는 일부를 정지하고 그 결과를 정보주체(이용자)에게 알려야 한다. | ||
*개인정보의 처리정지를 거절할 수 있는 사유가 있는 경우 관련 사실을 처리정지 요구자에게 요구를 받은 날로부터 10일 이내에 알려야 함. | **개인정보 처리정지 요구를 받은 날부터 '''10일 이내에 조치 결과 회신''' | ||
**개인정보의 처리정지를 거절할 수 있는 사유가 있는 경우 관련 사실을 처리정지 요구자에게 요구를 받은 날로부터 10일 이내에 알려야 함. | |||
< | <div style="padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px">'''※ 처리정지 요구 거부 사유'''(개인정보 보호법 제37조제2항) | ||
*1. 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우 | *1. 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우 | ||
*2. 다른 사람의 생명·신체를 해할 우려가 있거나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우 | *2. 다른 사람의 생명·신체를 해할 우려가 있거나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우 | ||
*3. 공공기관이 개인정보를 처리하지 않으면 다른 법률에서 정하는 소관 업무를 수행할 수 없는 경우 | *3. 공공기관이 개인정보를 처리하지 않으면 다른 법률에서 정하는 소관 업무를 수행할 수 없는 경우 | ||
*4. 개인정보를 처리하지 않으면 정보주체와 약정한 서비스를 제공하지 못하는 등 계약의 이행이 곤란한 경우로서 정보주체가 그 계약의 해지 의사를 명확하게 밝히지 않은 경우 | *4. 개인정보를 처리하지 않으면 정보주체와 약정한 서비스를 제공하지 못하는 등 계약의 이행이 곤란한 경우로서 정보주체가 그 계약의 해지 의사를 명확하게 밝히지 않은 경우</div> | ||
</ | |||
*정보주체(이용자)의 요구에 대한 조치에 불복이 있는 경우 이의를 제기할 수 있도록 필요한 절차를 마련하여 안내하여야 한다. | |||
정보주체(이용자)의 요구에 대한 조치에 불복이 있는 경우 이의를 제기할 수 있도록 필요한 절차를 마련하여 안내하여야 한다. | **이 경우 이의제기 절차는 공정하게 운영될 수 있도록 외부전문가를 참여시키거나 내부의 견제장치 마련 필요 | ||
* | '''수집·이용·제공 등의 동의를 철회 요구''' | ||
*정보주체(이용자) 또는 그 대리인이 개인정보 수집·이용·제공 등의 동의를 철회하는 경우 지체 없이 수집된 개인정보를 파기하는 등 필요한 조치를 취하여야 한다. | |||
<div style="padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px"> | |||
'''※ 정보주체(이용자) 동의철회 시 조치(예시)''' | |||
*해당 정보주체(이용자)와 관련된 개인정보의 지체 없는 파기 | *해당 정보주체(이용자)와 관련된 개인정보의 지체 없는 파기 | ||
*다른 법령에 따라 보존의무가 부여된 경우 해당 법령에 따른 기간 동안 분리하여 보관 | *다른 법령에 따라 보존의무가 부여된 경우 해당 법령에 따른 기간 동안 분리하여 보관 | ||
*제3자 제공 동의에 대한 철회인 경우 더 이상 제3자에게 개인정보를 제공하지 않도록 조치 | *제3자 제공 동의에 대한 철회인 경우 더 이상 제3자에게 개인정보를 제공하지 않도록 조치 | ||
*홍보, 마케팅 등을 위한 문자, 이메일 등이 더 이상 발송되지 않도록 조치 등 | *홍보, 마케팅 등을 위한 문자, 이메일 등이 더 이상 발송되지 않도록 조치 등</div>'''기록 보관''' | ||
</ | |||
*정보주체(이용자)의 열람, 정정·삭제, 처리정지, 이의제기, 동의 철회 등을 접수하고 처리한 '''결과를 정기적으로 검토'''하여 정보주체(이용자) 권리보장이 적절히 이루어지고 있는지 확인하고 필요시 보완 조치 | *개인정보 열람, 정정·삭제, 처리정지, 이의제기, 동의 철회 등의 요구 및 처리 결과에 대하여 기록을 남겨야 한다. | ||
**정보주체(이용자)의 열람, 정정·삭제, 처리정지, 이의제기, 동의 철회 등을 접수하고 처리한 '''결과를 정기적으로 검토'''하여 정보주체(이용자) 권리보장이 적절히 이루어지고 있는지 확인하고 필요시 보완 조치 | |||
'''본인 정보 삭제 등 요구''' | |||
*정보통신망을 통하여 일반에게 공개를 목적으로 제공된 정보로 사생활 침해나 명예훼손 등 타인의 권리가 침해된 경우, 침해를 받은 자는 해당 정보를 처리한 정보통신서비스 제공자에게 침해사실을 소명하여 그 정보의 삭제 또는 반박 내용의 게재를 요청할 수 있어야 함. | *정보통신망에서 사생활 침해 또는 명예훼손 등 타인의 권리를 침해한 경우 침해를 받은 자가 정보통신 서비스 제공자에게 정보의 삭제 요청 등을 할 수 있는 절차를 마련하고 시행하여야 한다. | ||
*타인의 권리가 침해된 경우 정보통신서비스 제공자가 해당 정보의 삭제 등을 요청받으면 지체 없이 삭제·임시조치 등의 필요한 조치를 하고 즉시 신청인 및 정보 게재자에게 알려야 함. | **정보통신망을 통하여 일반에게 공개를 목적으로 제공된 정보로 사생활 침해나 명예훼손 등 타인의 권리가 침해된 경우, 침해를 받은 자는 해당 정보를 처리한 정보통신서비스 제공자에게 침해사실을 소명하여 그 정보의 삭제 또는 반박 내용의 게재를 요청할 수 있어야 함. | ||
*타인의 권리가 침해된 경우에 대한 구제절차 등 필요한 조치에 관한 내용·절차 등을 미리 약관에 구체적으로 밝혀야 함. | **타인의 권리가 침해된 경우 정보통신서비스 제공자가 해당 정보의 삭제 등을 요청받으면 지체 없이 삭제·임시조치 등의 필요한 조치를 하고 즉시 신청인 및 정보 게재자에게 알려야 함. | ||
**타인의 권리가 침해된 경우에 대한 구제절차 등 필요한 조치에 관한 내용·절차 등을 미리 약관에 구체적으로 밝혀야 함. | |||
==증거 자료== | ==증거 자료== | ||
123번째 줄: | 117번째 줄: | ||
*개인정보의 열람 민원에 대한 처리 내역 기록 및 보관이 이루어지지 않은 경우 | *개인정보의 열람 민원에 대한 처리 내역 기록 및 보관이 이루어지지 않은 경우 | ||
*정보주체 당사자 또는 정당한 대리인이 맞는지에 대한 확인 절차 없이 열람 통지가 이루어지는 경우 | *정보주체 당사자 또는 정당한 대리인이 맞는지에 대한 확인 절차 없이 열람 통지가 이루어지는 경우 | ||
*개인정보의 정정·삭제 요구에 대하여 정정·삭제 요구를 접수받은 날로부터 | *개인정보의 정정·삭제 요구에 대하여 정정·삭제 요구를 접수받은 날로부터 10일을 초과하여 회신하는 경우 | ||
*회원 가입 시에는 온라인을 통하여 쉽게 회원 가입이 가능하였으나, 회원 탈퇴 시에는 신분증 등 추가 서류를 제출하게 하거나 오프라인 방문을 통해서만 가능하도록 하는 경우 | *회원 가입 시에는 온라인을 통하여 쉽게 회원 가입이 가능하였으나, 회원 탈퇴 시에는 신분증 등 추가 서류를 제출하게 하거나 오프라인 방문을 통해서만 가능하도록 하는 경우 | ||
131번째 줄: | 125번째 줄: | ||
*[[ISMS-P 인증 기준]] | *[[ISMS-P 인증 기준]] | ||
*[[ISMS-P 인증 기준 세부 점검 항목]] | *[[ISMS-P 인증 기준 세부 점검 항목]] | ||
==참고 문헌== | ==참고 문헌== | ||
*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.) | *정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.) |