ISMS-P 인증 기준 3.5.2.정보주체 권리보장

• 영역: 3.개인정보 처리단계별 요구사항
• 분류: 3.5.정보주체 권리보호

개요

항목	3.5.2.정보주체 권리보장
인증기준	정보주체(이용자)가 개인정보의 열람, 정정·삭제, 처리정지, 이의제기, 동의철회 요구를 수집 방법·절차보다 쉽게 할 수 있도록 권리행사 방법 및 절차를 수립·이행하고, 정보주체(이용자)의 요구를 받은 경우 지체 없이 처리하고 관련 기록을 남겨야 한다. 또한 정보주체(이용자)의 사생활 침해, 명예훼손 등 타인의 권리를 침해하는 정보가 유통되지 않도록 삭제 요청, 임시조치 등의 기준을 수립·이행하여야 한다.
주요 확인사항	정보주체(이용자) 또는 그 대리인이 개인정보에 대한 열람, 정정‧삭제, 처리정지, 이의제기, 동의 철회(이하 '열람 등'이라 함) 요구를 개인정보 수집방법‧절차보다 쉽게 할 수 있도록 권리 행사 방법 및 절차를 마련하고 있는가? 정보주체(이용자) 또는 그 대리인이 개인정보 열람 요구를 하는 경우 규정된 기간 내에 열람 가능하도록 필요한 조치를 하고 있는가? 정보주체(이용자) 또는 그 대리인이 개인정보 정정‧삭제 요구를 하는 경우 규정된 기간 내에 정정‧삭제 등 필요한 조치를 하고 있는가? 정보주체(이용자) 또는 그 대리인이 개인정보 처리정지 요구를 하는 경우 규정된 기간 내에 처리정지 등 필요한 조치를 하고 있는가? 정보주체(이용자)의 요구에 대한 조치에 불복이 있는 경우 이의를 제기할 수 있도록 필요한 절차를 마련하여 안내하고 있는가? 정보주체(이용자) 또는 그 대리인이 개인정보 수집‧이용‧제공 등의 동의를 철회하는 경우 지체 없이 수집된 개인정보를 파기하는 등 필요한 조치를 취하고 있는가? 개인정보 열람 등의 요구 및 처리 결과에 대하여 기록을 남기고 있는가? 정보통신망에서 사생활 침해 또는 명예훼손 등 타인의 권리를 침해한 경우 침해를 받은 자가 정보통신서비스 제공자에게 정보의 삭제 요청 등을 할 수 있는 절차를 마련하여 시행하고 있는가?

세부 설명

정보주체 권리 행사 방법 및 절차 마련

정보주체(이용자) 또는 그 대리인이 개인정보에 대한 열람, 정정·삭제, 처리정지, 이의제기, 동의 철회(이하 ʻ열람 등ʼ이라 함.) 요구를 개인정보 수집방법·절차보다 쉽게 할 수 있도록 권리 행사 방법 및 절차를 마련하여야 한다.

• 정보주체(이용자)가 열람 등을 요구할 수 있는 구체적인 방법과 절차를 마련하고, 이를 정보주체(이용자)가 쉽게 알 수 있도록 공개하여야 함.
• 정보주체(이용자)의 권리행사 방법 및 절차는 최소한 개인정보 수집절차 또는 회원가입 절차에 준하여 알기 쉽고 편리하여야 하며, 개인정보 수집 시 요구하지 않던 증빙서류를 추가로 요구하지 않아야 함
• 정보주체(이용자)가 편리하게 선택할 수 있도록 가급적 다양한 권리 행사 방법을 마련하여 제공할 필요가 있음(방문, 서면, 전화, 전자우편, 인터넷 웹사이트 등).
• 열람 등을 요구한 자가 본인이거나 정당한 대리인인지 확인하여야 하며, 확인 방법은 합리적인 수단이라고 객관적으로 인정되는 방식이어야 함(전자서명, 아이핀, 운전면허증 확인 등).
• 개인정보처리자가 공공기관인 경우 ｢전자정부법｣에 따른 행정정보의 공동 이용을 통하여 신분확인이 가능하면 행정정보의 공동이용을 통하여 확인하여야 함.
• 열람 등을 요구하는 자에게 관련 업무 수행에 필요한 실비의 범위에서 수수료와 우송료를 청구할 수 있으나, 개인정보를 열람·정정·삭제·처리정지 등을 요구하게 된 사유가 해당 개인정보처리자에게 있는 경우에는 수수료와 우송료를 청구할 수 없음.

열람 요구 대응

정보주체(이용자) 또는 그 대리인으로부터 개인정보 열람을 요구받은 경우 10일 이내(또는 지체 없이)에 정보주체가 해당 개인정보를 열람할 수 있도록 조치하여야 한다.

• 정보주체(이용자)가 열람이나 제공을 요구할 수 있는 정보
  • 1. 개인정보의 항목 및 내용
  • 2. 개인정보의 수집·이용의 목적
  • 3. 개인정보 보유 및 이용 기간
  • 4. 개인정보의 제3자 제공 현황
  • 5. 개인정보 처리에 동의한 사실 및 내용
• 10일 이내에 열람할 수 없는 정당한 사유가 있는 경우 정보주체(이용자)에게 그 사유를 알리고 열람을 연기할 수 있음.
• 개인정보 열람 제한 및 거절의 사유가 있는 경우 정보주체에게 그 사유를 알리고 열람을 제한 또는 거절할 수 있음.

※ 정보주체의 열람요구를 제한·거절할 수 있는 사유(개인정보 보호법 제35조제4항)

• 1. 법률에 따라 열람이 금지되거나 제한되는 경우
• 2. 다른 사람의 생명·신체를 해할 우려가 있거나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우
• 3. 공공기관이 다음 각 목의 어느 하나에 해당하는 업무를 수행할 때 중대한 지장을 초래하는 경우
  • 가. 조세의 부과·징수 또는 환급에 관한 업무
  • 나. ｢초등교육법｣ 및 ｢고등교육법｣에 따른 각급 학교, ｢평생교육법｣에 따른 평생교육시설, 그 밖의 다른 법률에 따라 설치된 고등교육기관에서의 성적 평가 또는 입학자 선발에 관한 업무
  • 다. 학력·기능 및 채용에 관한 시험, 자격 심사에 관한 업무
  • 라. 보상금·급부금 산정 등에 대하여 진행 중인 평가 또는 판단에 관한 업무
  • 마. 다른 법률에 따라 진행 중인 감사 및 조사에 관한 업무

• 열람 요구사항 중 일부가 열람 제한 및 거절의 사유가 있는 경우에는 그 일부에 대하여 열람을 제한할 수 있으며, 열람이 제한되는 사항을 제외한 부분에 대해서는 열람할 수 있도록 하여야 함.

정정·삭제 요구 대응

정보주체(이용자) 또는 그 대리인으로부터 개인정보의 정정·삭제를 요구받은 경우 정보주체(이용자)의 요구가 정당하다고 판단되면 지체 없이 그 개인정보를 조사하여 정보주체의 요구에 따라 해당 개인정보의 정정·삭제 등의 조치를 한 후 그 결과를 정보주체(이용자)에게 알려야 한다.

• 개인정보 정정·삭제 요구를 받은 날부터 10일 이내에 조치 결과 회신
• 외부위탁 또는 제3자에게 제공한 개인정보에 대한 정정요청 및 동의 철회 시에는 수탁자 또는 제3자에게 연락하여 조치 요청
• 다른 법령에 그 개인정보가 수집 대상으로 명시되어 있는 경우에는 삭제 요구를 거절할 수 있으며, 이 경우 요구에 따르지 않기로 한 사실, 근거 법령의 내용 및 그 이유와 이의제기 방법을 개인정보 정정·삭제 통지서로 해당 정보주체(이용자)에게 정정·삭제 요구를 받은 날로부터 10일 이내에 알려야 함(전자상거래법에 따른 계약·청약 철회 기록 등).

처리정지 요구 대응

정보주체(이용자) 또는 그 대리인으로부터 개인정보의 처리정지 요구를 받은 경우 특별한 사유가 없는 한 지체 없이 처리의 전부 또는 일부를 정지하고 그 결과를 정보주체(이용자)에게 알려야 한다.

• 개인정보 처리정지 요구를 받은 날부터 10일 이내에 조치 결과 회신
• 개인정보의 처리정지를 거절할 수 있는 사유가 있는 경우 관련 사실을 처리정지 요구자에게 요구를 받은 날로부터 10일 이내에 알려야 함.

※ 처리정지 요구 거부 사유(개인정보 보호법 제37조제2항)

• 1. 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우
• 2. 다른 사람의 생명·신체를 해할 우려가 있거나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우
• 3. 공공기관이 개인정보를 처리하지 않으면 다른 법률에서 정하는 소관 업무를 수행할 수 없는 경우
• 4. 개인정보를 처리하지 않으면 정보주체와 약정한 서비스를 제공하지 못하는 등 계약의 이행이 곤란한 경우로서 정보주체가 그 계약의 해지 의사를 명확하게 밝히지 않은 경우

이의 제기 절차 마련

정보주체(이용자)의 요구에 대한 조치에 불복이 있는 경우 이의를 제기할 수 있도록 필요한 절차를 마련하여 안내하여야 한다.

• 이 경우 이의제기 절차는 공정하게 운영될 수 있도록 외부전문가를 참여시키거나 내부의 견제장치 마련 필요

수집·이용·제공 등의 동의를 철회 요구

정보주체(이용자) 또는 그 대리인이 개인정보 수집·이용·제공 등의 동의를 철회하는 경우 지체 없이 수집된 개인정보를 파기하는 등 필요한 조치를 취하여야 한다.

※ 정보주체(이용자) 동의철회 시 조치(예시)

• 해당 정보주체(이용자)와 관련된 개인정보의 지체 없는 파기
• 다른 법령에 따라 보존의무가 부여된 경우 해당 법령에 따른 기간 동안 분리하여 보관
• 제3자 제공 동의에 대한 철회인 경우 더 이상 제3자에게 개인정보를 제공하지 않도록 조치
• 홍보, 마케팅 등을 위한 문자, 이메일 등이 더 이상 발송되지 않도록 조치 등

기록 보관

개인정보 열람, 정정·삭제, 처리정지, 이의제기, 동의 철회 등의 요구 및 처리 결과에 대하여 기록을 남겨야 한다.

• 정보주체(이용자)의 열람, 정정·삭제, 처리정지, 이의제기, 동의 철회 등을 접수하고 처리한 결과를 정기적으로 검토하여 정보주체(이용자) 권리보장이 적절히 이루어지고 있는지 확인하고 필요시 보완 조치

본인 정보 삭제 등 요구

정보통신망에서 사생활 침해 또는 명예훼손 등 타인의 권리를 침해한 경우 침해를 받은 자가 정보통신 서비스 제공자에게 정보의 삭제 요청 등을 할 수 있는 절차를 마련하고 시행하여야 한다.

• 정보통신망을 통하여 일반에게 공개를 목적으로 제공된 정보로 사생활 침해나 명예훼손 등 타인의 권리가 침해된 경우, 침해를 받은 자는 해당 정보를 처리한 정보통신서비스 제공자에게 침해사실을 소명하여 그 정보의 삭제 또는 반박 내용의 게재를 요청할 수 있어야 함.
• 타인의 권리가 침해된 경우 정보통신서비스 제공자가 해당 정보의 삭제 등을 요청받으면 지체 없이 삭제·임시조치 등의 필요한 조치를 하고 즉시 신청인 및 정보 게재자에게 알려야 함.
• 타인의 권리가 침해된 경우에 대한 구제절차 등 필요한 조치에 관한 내용·절차 등을 미리 약관에 구체적으로 밝혀야 함.

증거 자료

• 개인정보 처리방침
• 열람, 정정·삭제, 처리정지 요구 처리 절차, 관련 양식
• 개인정보 열람 신청서
• 개인정보 열람 요구 시 조치 내역
• 개인정보 정정·삭제, 처리정지 신청양식(개인정보 정정·삭제 요구서 등)
• 개인정보 정정·삭제, 처리정지 요구 시 조치 내역(개인정보 정정·삭제 통지서 등)
• 회원 탈퇴 절차

결함 사례

• 개인정보의 열람, 정정·삭제, 처리정지 요구 방법을 정보주체가 알 수 있도록 공개하지 않은 경우
• 개인정보의 열람 요구에 대하여 정당한 사유의 통지 없이 열람 요구를 접수받은 날로부터 10일을 초과하여 회신하고 있는 경우
• 개인정보의 열람 민원에 대한 처리 내역 기록 및 보관이 이루어지지 않은 경우
• 정보주체 당사자 또는 정당한 대리인이 맞는지에 대한 확인 절차 없이 열람 통지가 이루어지는 경우
• 개인정보의 정정·삭제 요구에 대하여 정정·삭제 요구를 접수받은 날로부터 10일을 초과하여 회신하는 경우
• 회원 가입 시에는 온라인을 통하여 쉽게 회원 가입이 가능하였으나, 회원 탈퇴 시에는 신분증 등 추가 서류를 제출하게 하거나 오프라인 방문을 통해서만 가능하도록 하는 경우

같이 보기

• 정보보호 및 개인정보보호관리체계 인증
• ISMS-P 인증 기준
• ISMS-P 인증 기준 세부 점검 항목
• ISMS-P 인증 기준 3.5.3.이용내역 통지

참고 문헌

• 정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)