ISMS-P 인증 기준 3.3.2.개인정보 처리 업무 위탁: 두 판 사이의 차이
IT위키
(새 문서: *'''영역''': 3.개인정보 처리단계별 요구사항 *'''분류''': 3.3.개인정보 제공 시 보호조치 ==개요== {| class="wikitable" !항목 !3.3.2.업무 위탁에 따른 정보주체 고지 |- | style="text-align:center" |'''인증기준''' |개인정보 처리업무를 제3자에게 위탁하는 경우 위탁하는 업무의 내...) |
편집 요약 없음 |
||
| 4번째 줄: | 4번째 줄: | ||
{| class="wikitable" | {| class="wikitable" | ||
!항목 | !항목 | ||
!3.3.2.업무 | !3.3.2.개인정보 처리 업무 위탁 | ||
|- | |- | ||
| style="text-align:center" |'''인증기준''' | | style="text-align:center" |'''인증기준''' | ||
|개인정보 처리업무를 제3자에게 위탁하는 경우 위탁하는 업무의 내용과 수탁자 등 관련사항을 | |개인정보 처리업무를 제3자에게 위탁하는 경우 위탁하는 업무의 내용과 수탁자 등 관련사항을 공개하여야 한다. 또한 재화 또는 서비스를 홍보하거나 판매를 권유하는 업무를 위탁하는 경우 위탁하는 업무의 내용과 수탁자를 정보주체에게 알려야 한다. | ||
|- | |- | ||
|'''주요 확인사항''' | |'''주요 확인사항''' | ||
| | | | ||
*개인정보 처리업무를 제3자에게 | *개인정보 처리업무를 제3자에게 위탁(재위탁 포함)하는 경우 인터넷 홈페이지 등에 위탁하는 업무의 내용과 수탁자를 현행화하여 공개하고 있는가? | ||
*재화 또는 서비스를 홍보하거나 판매를 권유하는 업무를 위탁하는 경우에는 서면, 전자우편, 문자전송 등의 방법으로 위탁하는 업무의 내용과 수탁자를 정보주체에게 알리고 있는가? | *재화 또는 서비스를 홍보하거나 판매를 권유하는 업무를 위탁하는 경우에는 서면, 전자우편, 문자전송 등의 방법으로 위탁하는 업무의 내용과 수탁자를 정보주체에게 알리고 있는가? | ||
|- | |||
|'''관련법규''' | |||
| | |||
*개인정보 보호법 제26조(업무위탁에 따른 개인정보의 처리 제한) | |||
|} | |} | ||
==세부 설명== | ==세부 설명== | ||
====개인정보 처리 업무 위탁 시 수탁자 공개==== | ====개인정보 처리 업무 위탁 시 수탁자 공개==== | ||
개인정보 처리업무를 제3자에게 위탁하는 경우 인터넷 홈페이지 등에 위탁하는 업무의 내용과 수탁자를 현행화하여 정보주체가 언제든지 쉽게 확인할 수 있도록 지속적으로 공개하여야 한다.<blockquote>''' | 개인정보 처리업무를 제3자에게 위탁하는 경우 인터넷 홈페이지 등에 위탁하는 업무의 내용과 수탁자를 현행화하여 정보주체가 언제든지 쉽게 확인할 수 있도록 지속적으로 공개하여야 한다.<blockquote>'''정보주체에게 알려야 할 사항''' | ||
*1. 위탁하는 업무의 내용 | *1. 위탁하는 업무의 내용 | ||
*2. 개인정보 처리 업무를 위탁받아 처리하는 자(수탁자)</blockquote> | *2. 개인정보 처리 업무를 위탁받아 처리하는 자(수탁자) | ||
**ʻ수탁자ʼ는 개인정보 처리 업무를 위탁받아 처리하는 자로부터 위탁받은 업무를 다시 위탁받은 제3자 (재수탁자)를 포함 | |||
</blockquote> | |||
*개인정보 처리업무 위탁 사항 공개 방법([[개인정보 보호법 시행령 제28조]]제2항, 제3항) | *개인정보 처리업무 위탁 사항 공개 방법([[개인정보 보호법 시행령 제28조]]제2항, 제3항) | ||
**인터넷 홈페이지에 위탁하는 업무의 내용과 수탁자를 지속적으로 게재하는 방법 | **위탁자의 인터넷 홈페이지에 위탁하는 업무의 내용과 수탁자를 지속적으로 게재하는 방법 | ||
**인터넷 홈페이지에 게재할 수 없는 경우 공개 방법(다음 방법 중 하나 이상의 방법 활용) | **인터넷 홈페이지에 게재할 수 없는 경우 공개 방법(다음 방법 중 하나 이상의 방법 활용) | ||
***1. 위탁자의 사업장 등 보기 쉬운 장소에 게시하는 방법 | ***1. 위탁자의 사업장 등 보기 쉬운 장소에 게시하는 방법 | ||
***2. 관보(위탁자가 공공기관인 경우만 | ***2. 관보(위탁자가 공공기관인 경우만 해당한다)나 위탁자의 사업장등이 있는 시·도 이상의 지역을 주된 보급지역으로 하는 「신문 등의 진흥에 관한 법률」 제2조제1호가목·다목 및 같은 조 제2호에 따른 일반일간신문, 일반주간신문 또는 인터넷신문에 싣는 방법 | ||
***3. 같은 제목으로 연 2회 이상 발행하여 정보주체에게 배포하는 간행물·소식지·홍보지 또는 청구서 등에 지속적으로 싣는 방법 | ***3. 같은 제목으로 연 2회 이상 발행하여 정보주체에게 배포하는 간행물·소식지·홍보지 또는 청구서 등에 지속적으로 싣는 방법 | ||
***4. 재화나 | ***4. 재화나 서비스를 제공하기 위하여 위탁자와 정보주체가 작성한 계약서 등에 실어 정보주체에게 발급하는 방법 | ||
<blockquote>'''주의사항''' | <blockquote>'''주의사항''' | ||
*수탁자의 수가 많을지라도 해당 수탁자명을 모두 열거하여 공개 필요 | *수탁자의 수가 많을지라도 해당 수탁자명을 모두 열거하여 공개 필요 | ||
*재위탁이 존재하는 경우 재위탁에 관한 사항도 함께 공개 필요 | |||
*위탁하는 업무의 내용 또는 수탁자가 변경된 경우 지체 없이 변경된 내용을 반영하여 인터넷 홈페이지 등을 통하여 공개 필요</blockquote> | *위탁하는 업무의 내용 또는 수탁자가 변경된 경우 지체 없이 변경된 내용을 반영하여 인터넷 홈페이지 등을 통하여 공개 필요</blockquote> | ||
====홍보 위탁 시 정보주체 고지 의무==== | ====홍보 위탁 시 정보주체 고지 의무==== | ||
재화 또는 서비스를 홍보하거나 판매를 권유하는 업무를 위탁하는 경우에는 서면, 전자우편, 문자전송 등의 방법으로 위탁하는 업무의 내용과 수탁자를 정보주체에게 알려야 한다. | 재화 또는 서비스를 홍보하거나 판매를 권유하는 업무를 위탁하는 경우에는 서면, 전자우편, 문자전송 등의 방법으로 위탁하는 업무의 내용과 수탁자를 정보주체에게 알려야 한다. | ||
*'''통지방법''': 서면, 전자우편, | *'''통지방법''': 서면등의 방법(서면, 전자우편, 팩스, 전화, 문자전송 또는 이에 상당하는 방법) | ||
*'''통지사항''': 위탁하는 업무의 내용, 수탁자 | *'''통지사항''': 위탁하는 업무의 내용, 수탁자 | ||
==증거 자료== | ==증거 자료== | ||
| 39번째 줄: | 46번째 줄: | ||
*재화 또는 서비스 홍보·판매 권유 업무 위탁 관련 정보주체 통지 내역 | *재화 또는 서비스 홍보·판매 권유 업무 위탁 관련 정보주체 통지 내역 | ||
==결함 사례== | ==결함 사례== | ||
*홈페이지 개인정보 처리방침에 개인정보 처리업무 위탁 사항을 공개하고 있으나, '''일부 | *홈페이지 개인정보 처리방침에 개인정보 처리업무 위탁 사항을 공개하고 있으나, '''일부 수탁자와 위탁하는 업무의 내용이 누락'''된 경우 | ||
*재화 또는 서비스를 홍보하거나 판매를 권유하는 업무를 위탁하면서, 위탁하는 업무의 내용과 수탁자를 | *재화 또는 서비스를 홍보하거나 판매를 권유하는 업무를 위탁하면서, 위탁하는 업무의 내용과 수탁자를 서면등의 방법으로 정보주체에게 알리지 않고 개인정보 처리방침에 공개하는 것으로 갈음한 경우 | ||
*기존 개인정보 처리업무 | *기존 개인정보 처리업무 수탁자와의 계약 해지에 따라 개인정보 처리업무 수탁자가 변경되었으나, 이에 대하여 개인정보 처리방침에 지체 없이 반영하지 않은 경우 | ||
*개인정보 처리업무를 위탁받은 자가 해당 업무를 제3자에게 재위탁을 하고 있지만, 재위탁에 관한 사항을 인터넷 홈페이지 등에 공개하고 있지 않은 경우 | |||
==같이 보기== | ==같이 보기== | ||
*[[정보보호 및 개인정보보호관리체계 인증]] | *[[정보보호 및 개인정보보호관리체계 인증]] | ||
| 48번째 줄: | 56번째 줄: | ||
*[[ISMS-P 인증 기준 3.3.3.영업의 양수 등에 따른 개인정보의 이전]] | *[[ISMS-P 인증 기준 3.3.3.영업의 양수 등에 따른 개인정보의 이전]] | ||
==참고 문헌== | ==참고 문헌== | ||
*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, | *정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2023.11.) | ||
2024년 1월 21일 (일) 19:26 기준 최신판
- 영역: 3.개인정보 처리단계별 요구사항
- 분류: 3.3.개인정보 제공 시 보호조치
개요[편집 | 원본 편집]
| 항목 | 3.3.2.개인정보 처리 업무 위탁 |
|---|---|
| 인증기준 | 개인정보 처리업무를 제3자에게 위탁하는 경우 위탁하는 업무의 내용과 수탁자 등 관련사항을 공개하여야 한다. 또한 재화 또는 서비스를 홍보하거나 판매를 권유하는 업무를 위탁하는 경우 위탁하는 업무의 내용과 수탁자를 정보주체에게 알려야 한다. |
| 주요 확인사항 |
|
| 관련법규 |
|
세부 설명[편집 | 원본 편집]
개인정보 처리 업무 위탁 시 수탁자 공개[편집 | 원본 편집]
개인정보 처리업무를 제3자에게 위탁하는 경우 인터넷 홈페이지 등에 위탁하는 업무의 내용과 수탁자를 현행화하여 정보주체가 언제든지 쉽게 확인할 수 있도록 지속적으로 공개하여야 한다.
정보주체에게 알려야 할 사항
- 1. 위탁하는 업무의 내용
- 2. 개인정보 처리 업무를 위탁받아 처리하는 자(수탁자)
- ʻ수탁자ʼ는 개인정보 처리 업무를 위탁받아 처리하는 자로부터 위탁받은 업무를 다시 위탁받은 제3자 (재수탁자)를 포함
- 개인정보 처리업무 위탁 사항 공개 방법(개인정보 보호법 시행령 제28조제2항, 제3항)
- 위탁자의 인터넷 홈페이지에 위탁하는 업무의 내용과 수탁자를 지속적으로 게재하는 방법
- 인터넷 홈페이지에 게재할 수 없는 경우 공개 방법(다음 방법 중 하나 이상의 방법 활용)
- 1. 위탁자의 사업장 등 보기 쉬운 장소에 게시하는 방법
- 2. 관보(위탁자가 공공기관인 경우만 해당한다)나 위탁자의 사업장등이 있는 시·도 이상의 지역을 주된 보급지역으로 하는 「신문 등의 진흥에 관한 법률」 제2조제1호가목·다목 및 같은 조 제2호에 따른 일반일간신문, 일반주간신문 또는 인터넷신문에 싣는 방법
- 3. 같은 제목으로 연 2회 이상 발행하여 정보주체에게 배포하는 간행물·소식지·홍보지 또는 청구서 등에 지속적으로 싣는 방법
- 4. 재화나 서비스를 제공하기 위하여 위탁자와 정보주체가 작성한 계약서 등에 실어 정보주체에게 발급하는 방법
주의사항
- 수탁자의 수가 많을지라도 해당 수탁자명을 모두 열거하여 공개 필요
- 재위탁이 존재하는 경우 재위탁에 관한 사항도 함께 공개 필요
- 위탁하는 업무의 내용 또는 수탁자가 변경된 경우 지체 없이 변경된 내용을 반영하여 인터넷 홈페이지 등을 통하여 공개 필요
홍보 위탁 시 정보주체 고지 의무[편집 | 원본 편집]
재화 또는 서비스를 홍보하거나 판매를 권유하는 업무를 위탁하는 경우에는 서면, 전자우편, 문자전송 등의 방법으로 위탁하는 업무의 내용과 수탁자를 정보주체에게 알려야 한다.
- 통지방법: 서면등의 방법(서면, 전자우편, 팩스, 전화, 문자전송 또는 이에 상당하는 방법)
- 통지사항: 위탁하는 업무의 내용, 수탁자
증거 자료[편집 | 원본 편집]
- 개인정보 처리방침(개인정보 처리업무 위탁 관련 공개 내역)
- 개인정보 수집 양식
- 개인정보 처리위탁 계약서
- 재화 또는 서비스 홍보·판매 권유 업무 위탁 관련 정보주체 통지 내역
결함 사례[편집 | 원본 편집]
- 홈페이지 개인정보 처리방침에 개인정보 처리업무 위탁 사항을 공개하고 있으나, 일부 수탁자와 위탁하는 업무의 내용이 누락된 경우
- 재화 또는 서비스를 홍보하거나 판매를 권유하는 업무를 위탁하면서, 위탁하는 업무의 내용과 수탁자를 서면등의 방법으로 정보주체에게 알리지 않고 개인정보 처리방침에 공개하는 것으로 갈음한 경우
- 기존 개인정보 처리업무 수탁자와의 계약 해지에 따라 개인정보 처리업무 수탁자가 변경되었으나, 이에 대하여 개인정보 처리방침에 지체 없이 반영하지 않은 경우
- 개인정보 처리업무를 위탁받은 자가 해당 업무를 제3자에게 재위탁을 하고 있지만, 재위탁에 관한 사항을 인터넷 홈페이지 등에 공개하고 있지 않은 경우
같이 보기[편집 | 원본 편집]
참고 문헌[편집 | 원본 편집]
- 정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2023.11.)
