ISMS-P 인증 기준 3.1.4.민감정보 및 고유식별정보의 처리 제한
From IT Wiki
- 영역: 3.개인정보 처리단계별 요구사항
- 분류: 3.1.개인정보 수집 시 보호조치
개요
| 항목 | 3.1.4.민감정보 및 고유식별정보의 처리 제한 |
|---|---|
| 인증기준 | 민감정보와 고유식별정보(주민등록번호 제외)를 처리하기 위해서는 법령에서 구체적으로 처리를 요구하거나 허용하는 경우를 제외하고는 정보주체(이용자)의 별도 동의를 받아야 한다. |
| 주요 확인사항 |
|
- 2023.9.15. 법 개정, 2023.10.31 인증기준 개정
관련 법령
- 개인정보 보호법 제23조(민감정보의 처리 제한)
세부 설명
민감정보의 처리
민감정보는 원칙적으로 처리하여서는 안 된다. 다만 정보주체(이용자)로부터 별도의 동의를 받거나 관련 법령에 근거가 있는 경우에 한하여 처리할 수 있다.
- 민감정보의 범위
- 1. 사상·신념 : 각종 이데올로기 또는 사상적 경향, 종교적 신념 등
- 2. 정치적 견해 : 정치적 사안에 대한 입장이나 특정 정당의 지지 여부에 관한 정보
- 3. 노동조합·정당의 가입·탈퇴 : 노동조합 또는 정당에의 가입·탈퇴에 관한 정보
- 4. 건강 및 성생활에 관한 정보 : 개인의 과거 및 현재의 병력(病歷), 신체적·정신적 장애(장애등급 유무 등), 성적취향 등에 관한 정보. 혈액형은 이에 해당하지 않음.
- 5. 사생활을 현저하게 침해할 우려가 있는 개인정보
- 유전자 검사 등의 결과로 얻은 유전 정보, 범죄 경력에 관한 정보
- 벌금 이상의 형의 선고·면제 및 선고 유예, 보호감호, 치료감호, 보호관찰, 선고유예의 실효, 집행유예의 취소, 벌금 이상의 형과 함께 부과된 몰수, 추징, 사회봉사명령, 수감명령 등의 선고 또는 처분 등 범죄경력에 관한 정보
- 개인의 신체적·생리적·행동적 특징에 관한 정보로서 특정 개인을 알아볼 목적으로 일정한 기술적 수단을 통한 생성한 정보(생체인식정보)
- 인종이나 민족에 관한 정보
- 민감정보의 처리가 가능한 경우
- 1. 정보주체(이용자)로부터 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우
- 2. 법령에서 민감정보의 처리를 요구하거나 허용하는 경우
고유식별정보의 범위
고유식별정보(주민등록번호 제외)는 정보주체(이용자)로부터 별도의 동의를 받거나 관련 법령에 구체적인 근거가 있는 경우에만 처리하여야 한다.
- 고유식별정보의 범위
- 1. 주민등록번호(다만 주민등록번호 수집 법정주의에 따라 동의에 근거한 수집은 불가함.)
- 2. 여권번호
- 3. 운전면허번호
- 4. 외국인등록번호
- 고유식별정보 수집이 가능한 경우
- 1. 정보주체(이용자)로부터 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받는 경우
- 2. 법령에서 구체적으로 고유식별정보의 처리를 요구하거나 허용하는 경우
증거 자료
- 온라인 개인정보 수집 양식(홈페이지 회원가입 화면, 이벤트 참여 등)
- 오프라인 개인정보 수집 양식(회원가입신청서 등)
- 개인정보 처리방침
결함 사례
- 장애인에 대한 요금감면 등 혜택 부여를 위하여 장애 여부 등 건강에 관한 민감정보를 수집하면서 다른 개인정보 항목에 포함하여 일괄 동의를 받은 경우
- 회원가입 시 외국인에 한하여 외국인등록번호를 수집하면서 다른 개인정보 항목에 포함하여 일괄 동의를 받은 경우
- 민감정보 또는 고유식별정보에 대하여 별도의 동의를 받으면서 고지하여야 할 4가지 사항 중에 일부를 누락하거나 잘못된 내용으로 고지하는 경우(동의 거부 권리 및 동의 거부에 따른 불이익 사항을 고지하지 않은 경우 등)
같이 보기
참고 문헌
- 정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)
