ISMS-P 인증 기준 3.5.2.정보주체 권리보장: Difference between revisions

From CS Wiki
(Imported from text file)
 
No edit summary
 
(5 intermediate revisions by 2 users not shown)
Line 1: Line 1:
[[분류: ISMS-P 인증 기준]]
[[분류: ISMS-P 인증 기준]]
* '''영역''': [[ISMS-P 인증기준 3.개인정보 처리단계별 요구사항|3.개인정보 처리단계별 요구사항]]
 
* '''분류''': [[ISMS-P 인증기준 3.5.정보주체 권리보호|3.5.정보주체 권리보호]]
*'''영역''': [[ISMS-P 인증 기준 3.개인정보 처리단계별 요구사항|3.개인정보 처리단계별 요구사항]]
== 개요 ==
*'''분류''': [[ISMS-P 인증 기준 3.5.정보주체 권리보호|3.5.정보주체 권리보호]]
 
==개요==
{| class="wikitable"
{| class="wikitable"
!항목
!항목
!3.5.2.정보주체 권리보장
!3.5.2.정보주체 권리보장
|-
|-
| style="text-align:center"|'''인증기준'''
| style="text-align:center" |'''인증기준'''
|정보주체(이용자)가 개인정보의 열람, 정정·삭제, 처리정지, 이의제기, 동의철회 요구를 수집 방법·절차보다 쉽게 할 수 있도록 권리행사 방법 및 절차를 수립·이행하고, 정보주체(이용자)의 요구를 받은 경우 지체 없이 처리하고 관련 기록을 남겨야 한다. 또한 정보주체(이용자)의 사생활 침해, 명예훼손 등 타인의 권리를 침해하는 정보가 유통되지 않도록 삭제 요청, 임시조치 등의 기준을 수립·이행하여야 한다.
|정보주체(이용자)가 개인정보의 열람, 정정·삭제, 처리정지, 이의제기, 동의철회 요구를 수집 방법·절차보다 쉽게 할 수 있도록 권리행사 방법 및 절차를 수립·이행하고, 정보주체(이용자)의 요구를 받은 경우 지체 없이 처리하고 관련 기록을 남겨야 한다. 또한 정보주체(이용자)의 사생활 침해, 명예훼손 등 타인의 권리를 침해하는 정보가 유통되지 않도록 삭제 요청, 임시조치 등의 기준을 수립·이행하여야 한다.
|-
|-
|'''주요 확인사항'''
|'''주요 확인사항'''
|
|
* 정보주체(이용자) 또는 그 대리인이 개인정보에 대한 열람, 정정‧삭제, 처리정지, 이의제기, 동의 철회(이하 '열람 등'이라 함) 요구를 개인정보 수집방법‧절차보다 쉽게 할 수 있도록 권리 행사 방법 및 절차를 마련하고 있는가?
*정보주체(이용자) 또는 그 대리인이 개인정보에 대한 열람, 정정‧삭제, 처리정지, 이의제기, 동의 철회(이하 '열람 등'이라 함) 요구를 개인정보 수집방법‧절차보다 쉽게 할 수 있도록 권리 행사 방법 및 절차를 마련하고 있는가?
* 정보주체(이용자) 또는 그 대리인이 개인정보 열람 요구를 하는 경우 규정된 기간 내에 열람 가능하도록 필요한 조치를 하고 있는가?
*정보주체(이용자) 또는 그 대리인이 개인정보 열람 요구를 하는 경우 규정된 기간 내에 열람 가능하도록 필요한 조치를 하고 있는가?
* 정보주체(이용자) 또는 그 대리인이 개인정보 정정‧삭제 요구를 하는 경우 규정된 기간 내에 정정‧삭제 등 필요한 조치를 하고 있는가?
*정보주체(이용자) 또는 그 대리인이 개인정보 정정‧삭제 요구를 하는 경우 규정된 기간 내에 정정‧삭제 등 필요한 조치를 하고 있는가?
* 정보주체(이용자) 또는 그 대리인이 개인정보 처리정지 요구를 하는 경우 규정된 기간 내에 처리정지 등 필요한 조치를 하고 있는가?
*정보주체(이용자) 또는 그 대리인이 개인정보 처리정지 요구를 하는 경우 규정된 기간 내에 처리정지 등 필요한 조치를 하고 있는가?
* 정보주체(이용자)의 요구에 대한 조치에 불복이 있는 경우 이의를 제기할 수 있도록 필요한 절차를 마련하여 안내하고 있는가?
*정보주체(이용자)의 요구에 대한 조치에 불복이 있는 경우 이의를 제기할 수 있도록 필요한 절차를 마련하여 안내하고 있는가?
* 정보주체(이용자) 또는 그 대리인이 개인정보 수집‧이용‧제공 등의 동의를 철회하는 경우 지체 없이 수집된 개인정보를 파기하는 등 필요한 조치를 취하고 있는가?
*정보주체(이용자) 또는 그 대리인이 개인정보 수집‧이용‧제공 등의 동의를 철회하는 경우 지체 없이 수집된 개인정보를 파기하는 등 필요한 조치를 취하고 있는가?
* 개인정보 열람 등의 요구 및 처리 결과에 대하여 기록을 남기고 있는가?
*개인정보 열람 등의 요구 및 처리 결과에 대하여 기록을 남기고 있는가?
* 정보통신망에서 사생활 침해 또는 명예훼손 등 타인의 권리를 침해한 경우 침해를 받은 자가 정보통신서비스 제공자에게 정보의 삭제 요청 등을 할 수 있는 절차를 마련하여 시행하고 있는가?
*정보통신망에서 사생활 침해 또는 명예훼손 등 타인의 권리를 침해한 경우 침해를 받은 자가 정보통신서비스 제공자에게 정보의 삭제 요청 등을 할 수 있는 절차를 마련하여 시행하고 있는가?
|}
|}
== 세부 설명 ==
==세부 설명==
 
====정보주체 권리 행사 방법 및 절차 마련====
정보주체(이용자) 또는 그 대리인이 개인정보에 대한 열람, 정정·삭제, 처리정지, 이의제기, 동의 철회(이하 ʻ열람 등ʼ이라 함.) 요구를 개인정보 수집방법·절차보다 쉽게 할 수 있도록 권리 행사 방법 및 절차를 마련하여야 한다.
 
*정보주체(이용자)가 열람 등을 요구할 수 있는 구체적인 방법과 절차를 마련하고, 이를 정보주체(이용자)가 쉽게 알 수 있도록 공개하여야 함.
*정보주체(이용자)의 권리행사 방법 및 절차는 최소한 개인정보 수집절차 또는 회원가입 절차에 준하여 알기 쉽고 편리하여야 하며, 개인정보 수집 시 요구하지 않던 증빙서류를 추가로 요구하지 않아야 함
*정보주체(이용자)가 편리하게 선택할 수 있도록 가급적 다양한 권리 행사 방법을 마련하여 제공할 필요가 있음(방문, 서면, 전화, 전자우편, 인터넷 웹사이트 등).
*열람 등을 요구한 자가 본인이거나 정당한 대리인인지 확인하여야 하며, 확인 방법은 합리적인 수단이라고 객관적으로 인정되는 방식이어야 함(전자서명, 아이핀, 운전면허증 확인 등).
*개인정보처리자가 공공기관인 경우 ｢전자정부법｣에 따른 행정정보의 공동 이용을 통하여 신분확인이 가능하면 행정정보의 공동이용을 통하여 확인하여야 함.
*열람 등을 요구하는 자에게 관련 업무 수행에 필요한 실비의 범위에서 수수료와 우송료를 청구할 수 있으나, 개인정보를 열람·정정·삭제·처리정지 등을 요구하게 된 사유가 해당 개인정보처리자에게 있는 경우에는 수수료와 우송료를 청구할 수 없음.
 
====열람 요구 대응====
정보주체(이용자) 또는 그 대리인으로부터 개인정보 열람을 요구받은 경우 '''10일 이내'''(또는 지체 없이)에 정보주체가 해당 개인정보를 열람할 수 있도록 조치하여야 한다.
 
*정보주체(이용자)가 열람이나 제공을 요구할 수 있는 정보
**1. 개인정보의 항목 및 내용
**2. 개인정보의 수집·이용의 목적
**3. 개인정보 보유 및 이용 기간
**4. 개인정보의 제3자 제공 현황
**5. 개인정보 처리에 동의한 사실 및 내용
*10일 이내에 열람할 수 없는 정당한 사유가 있는 경우 정보주체(이용자)에게 그 사유를 알리고 열람을 연기할 수 있음.
*개인정보 열람 제한 및 거절의 사유가 있는 경우 정보주체에게 그 사유를 알리고 열람을 제한 또는 거절할 수 있음.
 
<blockquote>'''※ 정보주체의 열람요구를 제한·거절할 수 있는 사유'''(개인정보 보호법 제35조제4항)
 
*1. 법률에 따라 열람이 금지되거나 제한되는 경우
*2. 다른 사람의 생명·신체를 해할 우려가 있거나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우
*3. 공공기관이 다음 각 목의 어느 하나에 해당하는 업무를 수행할 때 중대한 지장을 초래하는 경우
**가. 조세의 부과·징수 또는 환급에 관한 업무
**나. ｢초등교육법｣ 및 ｢고등교육법｣에 따른 각급 학교, ｢평생교육법｣에 따른 평생교육시설, 그 밖의 다른 법률에 따라 설치된 고등교육기관에서의 성적 평가 또는 입학자 선발에 관한 업무
**다. 학력·기능 및 채용에 관한 시험, 자격 심사에 관한 업무
**라. 보상금·급부금 산정 등에 대하여 진행 중인 평가 또는 판단에 관한 업무
**마. 다른 법률에 따라 진행 중인 감사 및 조사에 관한 업무
</blockquote>
 
*열람 요구사항 중 일부가 열람 제한 및 거절의 사유가 있는 경우에는 그 일부에 대하여 열람을 제한할 수 있으며, 열람이 제한되는 사항을 제외한 부분에 대해서는 열람할 수 있도록 하여야 함.
 
====정정·삭제 요구 대응====
정보주체(이용자) 또는 그 대리인으로부터 개인정보의 정정·삭제를 요구받은 경우 정보주체(이용자)의 요구가 정당하다고 판단되면 지체 없이 그 개인정보를 조사하여 정보주체의 요구에 따라 해당 개인정보의 정정·삭제 등의 조치를 한 후 그 결과를 정보주체(이용자)에게 알려야 한다.
 
*개인정보 정정·삭제 요구를 받은 날부터 '''10일 이내에 조치 결과 회신'''
*외부위탁 또는 제3자에게 제공한 개인정보에 대한 정정요청 및 동의 철회 시에는 수탁자 또는 제3자에게 연락하여 조치 요청
*다른 법령에 그 개인정보가 수집 대상으로 명시되어 있는 경우에는 삭제 요구를 거절할 수 있으며,  이 경우 요구에 따르지 않기로 한 사실, 근거 법령의 내용 및 그 이유와 이의제기 방법을 개인정보 정정·삭제 통지서로 해당 정보주체(이용자)에게 정정·삭제 요구를 받은 날로부터 10일 이내에 알려야 함(전자상거래법에 따른 계약·청약 철회 기록 등).
 
====처리정지 요구 대응====
정보주체(이용자) 또는 그 대리인으로부터 개인정보의 처리정지 요구를 받은 경우 특별한 사유가 없는 한 지체 없이 처리의 전부 또는 일부를 정지하고 그 결과를 정보주체(이용자)에게 알려야 한다.
 
*개인정보 처리정지 요구를 받은 날부터 '''10일 이내에 조치 결과 회신'''
*개인정보의 처리정지를 거절할 수 있는 사유가 있는 경우 관련 사실을 처리정지 요구자에게 요구를 받은 날로부터 10일 이내에 알려야 함.
 
<blockquote>'''※ 처리정지 요구 거부 사유'''(개인정보 보호법 제37조제2항)
 
*1. 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우
*2. 다른 사람의 생명·신체를 해할 우려가 있거나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우
*3. 공공기관이 개인정보를 처리하지 않으면 다른 법률에서 정하는 소관 업무를 수행할 수 없는 경우
*4. 개인정보를 처리하지 않으면 정보주체와 약정한 서비스를 제공하지 못하는 등 계약의 이행이 곤란한 경우로서 정보주체가 그 계약의 해지 의사를 명확하게 밝히지 않은 경우
</blockquote>
 
====이의 제기 절차 마련====
정보주체(이용자)의 요구에 대한 조치에 불복이 있는 경우 이의를 제기할 수 있도록 필요한 절차를 마련하여 안내하여야 한다.
 
*이 경우 이의제기 절차는 공정하게 운영될 수 있도록 외부전문가를 참여시키거나 내부의 견제장치 마련 필요
 
====수집·이용·제공 등의 동의를 철회 요구====
정보주체(이용자) 또는 그 대리인이 개인정보 수집·이용·제공 등의 동의를 철회하는 경우 지체 없이 수집된 개인정보를 파기하는 등 필요한 조치를 취하여야 한다.<blockquote>'''※ 정보주체(이용자) 동의철회 시 조치(예시)'''
*해당 정보주체(이용자)와 관련된 개인정보의 지체 없는 파기
*다른 법령에 따라 보존의무가 부여된 경우 해당 법령에 따른 기간 동안 분리하여 보관
*제3자 제공 동의에 대한 철회인 경우 더 이상 제3자에게 개인정보를 제공하지 않도록 조치
*홍보, 마케팅 등을 위한 문자, 이메일 등이 더 이상 발송되지 않도록 조치 등
</blockquote>
 
====기록 보관====
개인정보 열람, 정정·삭제, 처리정지, 이의제기, 동의 철회 등의 요구 및 처리 결과에 대하여 기록을 남겨야 한다.
 
*정보주체(이용자)의 열람, 정정·삭제, 처리정지, 이의제기, 동의 철회 등을 접수하고 처리한 '''결과를 정기적으로 검토'''하여 정보주체(이용자) 권리보장이 적절히 이루어지고 있는지 확인하고 필요시 보완 조치
 
====본인 정보 삭제 등 요구====
정보통신망에서 사생활 침해 또는 명예훼손 등 타인의 권리를 침해한 경우 침해를 받은 자가 정보통신 서비스 제공자에게 정보의 삭제 요청 등을 할 수 있는 절차를 마련하고 시행하여야 한다.
 
*정보통신망을 통하여 일반에게 공개를 목적으로 제공된 정보로 사생활 침해나 명예훼손 등 타인의 권리가 침해된 경우, 침해를 받은 자는 해당 정보를 처리한 정보통신서비스 제공자에게 침해사실을 소명하여 그 정보의 삭제 또는 반박 내용의 게재를 요청할 수 있어야 함.
*타인의 권리가 침해된 경우 정보통신서비스 제공자가 해당 정보의 삭제 등을 요청받으면 지체 없이 삭제·임시조치 등의 필요한 조치를 하고 즉시 신청인 및 정보 게재자에게 알려야 함.
*타인의 권리가 침해된 경우에 대한 구제절차 등 필요한 조치에 관한 내용·절차 등을 미리 약관에 구체적으로 밝혀야 함.
 
==증거 자료==
 
*개인정보 처리방침
*열람, 정정·삭제, 처리정지 요구 처리 절차, 관련 양식
*개인정보 열람 신청서
*개인정보 열람 요구 시 조치 내역
*개인정보 정정·삭제, 처리정지 신청양식(개인정보 정정·삭제 요구서 등)
*개인정보 정정·삭제, 처리정지 요구 시 조치 내역(개인정보 정정·삭제 통지서 등)
*회원 탈퇴 절차
 
==결함 사례==
 
*개인정보의 열람, 정정·삭제, 처리정지 요구 방법을 정보주체가 알 수 있도록 공개하지 않은 경우
*개인정보의 열람 요구에 대하여 정당한 사유의 통지 없이 열람 요구를 접수받은 날로부터 10일을 초과하여 회신하고 있는 경우
*개인정보의 열람 민원에 대한 처리 내역 기록 및 보관이 이루어지지 않은 경우
*정보주체 당사자 또는 정당한 대리인이 맞는지에 대한 확인 절차 없이 열람 통지가 이루어지는 경우
*개인정보의 정정·삭제 요구에 대하여 정정·삭제 요구를 접수받은 날로부터 '''10일을 초과'''하여 회신하는 경우
*회원 가입 시에는 온라인을 통하여 쉽게 회원 가입이 가능하였으나, 회원 탈퇴 시에는 신분증 등 추가 서류를 제출하게 하거나 오프라인 방문을 통해서만 가능하도록 하는 경우
 
==같이 보기==
 
*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]
*[[ISMS-P 인증 기준 3.5.3.이용내역 통지]]
 
==참고 문헌==


* 정보주체(이용자) 또는 그 대리인이 개인정보에 대한 열람, 정정·삭제, 처리정지, 이의제기, 동의 철회(이하 ʻ열람 등ʼ이라 함.) 요구를 개인정보 수집방법·절차보다 쉽게 할 수 있도록 권리 행사 방법 및 절차를 마련하여야 한다.
*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)
** 정보주체(이용자)가 열람 등을 요구할 수 있는 구체적인 방법과 절차를 마련하고, 이를 정보주체(이용자)가 쉽게 알 수 있도록 공개하여야 함.
** 정보주체(이용자)의 권리행사 방법 및 절차는 최소한 개인정보 수집절차 또는 회원가입 절차에 준하여 알기 쉽고 편리하여야 하며, 개인정보 수집 시 요구하지 않던 증빙서류를 추가로 요구하지 않아야 함
** 정보주체(이용자)가 편리하게 선택할 수 있도록 가급적 다양한 권리 행사 방법을 마련하여 제공할 필요가 있음(방문, 서면, 전화, 전자우편, 인터넷 웹사이트 등).
** 열람 등을 요구한 자가 본인이거나 정당한 대리인인지 확인하여야 하며, 확인 방법은 합리적인 수단이라고 객관적으로 인정되는 방식이어야 함(전자서명, 아이핀, 운전면허증 확인 등).
** 개인정보처리자가 공공기관인 경우 ｢전자정부법｣에 따른 행정정보의 공동 이용을 통하여 신분확인이 가능하면 행정정보의 공동이용을 통하여 확인하여야 함.
** 열람 등을 요구하는 자에게 관련 업무 수행에 필요한 실비의 범위에서 수수료와 우송료를 청구할 수 있으나, 개인정보를 열람·정정·삭제·처리정지 등을 요구하게 된 사유가 해당 개인정보처리자에게 있는 경우에는 수수료와 우송료를 청구할 수 없음.
* 정보주체(이용자) 또는 그 대리인으로부터 개인정보 열람을 요구받은 경우 10일 이내(또는 지체 없이)에 정보주체가 해당 개인정보를 열람할 수 있도록 조치하여야 한다.
** 정보주체(이용자)가 열람이나 제공을 요구할 수 있는 정보
* 1. 개인정보의 항목 및 내용
* 2. 개인정보의 수집·이용의 목적
* 3. 개인정보 보유 및 이용 기간
* 4. 개인정보의 제3자 제공 현황
* 5. 개인정보 처리에 동의한 사실 및 내용
** 10일 이내에 열람할 수 없는 정당한 사유가 있는 경우 정보주체(이용자)에게 그 사유를 알리고 열람을 연기할 수 있음.
** 개인정보 열람 제한 및 거절의 사유가 있는 경우 정보주체에게 그 사유를 알리고 열람을 제한 또는 거절할 수 있음.
<div style='padding:5px 10px; border:1px solid  #ddd; background:#f5f5f5; margin:5px'> 정보주체의 열람요구를 제한·거절할 수 있는 사유(개인정보 보호법 제35조제4항)
* 1. 법률에 따라 열람이 금지되거나 제한되는 경우
* 2. 다른 사람의 생명·신체를 해할 우려가 있거나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우
* 3. 공공기관이 다음 각 목의 어느 하나에 해당하는 업무를 수행할 때 중대한 지장을 초래하는 경우
* 가. 조세의 부과·징수 또는 환급에 관한 업무
* 나. ｢초등교육법｣ 및 ｢고등교육법｣에 따른 각급 학교, ｢평생교육법｣에 따른 평생교육시설, 그 밖의 다른 법률에 따라 설치된 고등교육기관에서의 성적 평가 또는 입학자 선발에 관한 업무
* 다. 학력·기능 및 채용에 관한 시험, 자격 심사에 관한 업무
* 라. 보상금·급부금 산정 등에 대하여 진행 중인 평가 또는 판단에 관한 업무
* 마. 다른 법률에 따라 진행 중인 감사 및 조사에 관한 업무</div>
** 열람 요구사항 중 일부가 열람 제한 및 거절의 사유가 있는 경우에는 그 일부에 대하여 열람을 제한할 수 있으며, 열람이 제한되는 사항을 제외한 부분에 대해서는 열람할 수 있도록 하여야 함.
* 정보주체(이용자) 또는 그 대리인으로부터 개인정보의 정정·삭제를 요구받은 경우 정보주체(이용자)의 요구가 정당하다고 판단되면 지체 없이 그 개인정보를 조사하여 정보주체의 요구에 따라 해당 개인정보의 정정·삭제 등의 조치를 한 후 그 결과를 정보주체(이용자)에게 알려야 한다.
** 개인정보 정정·삭제 요구를 받은 날부터 10일 이내에 조치 결과 회신
** 외부위탁 또는 제3자에게 제공한 개인정보에 대한 정정요청 및 동의 철회 시에는 수탁자 또는 제3자에게 연락하여 조치 요청
** 다른 법령에 그 개인정보가 수집 대상으로 명시되어 있는 경우에는 삭제 요구를 거절할 수 있으며,  이 경우 요구에 따르지 않기로 한 사실, 근거 법령의 내용 및 그 이유와 이의제기 방법을 개인정보 정정·삭제 통지서로 해당 정보주체(이용자)에게 정정·삭제 요구를 받은 날로부터 10일 이내에 알려야 함(전자상거래법에 따른 계약·청약 철회 기록 등).
* 정보주체(이용자) 또는 그 대리인으로부터 개인정보의 처리정지 요구를 받은 경우 특별한 사유가 없는 한 지체 없이 처리의 전부 또는 일부를 정지하고 그 결과를 정보주체(이용자)에게 알려야 한다.
** 개인정보 처리정지 요구를 받은 날부터 10일 이내에 조치 결과 회신
** 개인정보의 처리정지를 거절할 수 있는 사유가 있는 경우 관련 사실을 처리정지 요구자에게 요구를 받은 날로부터 10일 이내에 알려야 함.
<div style='padding:5px 10px; border:1px solid  #ddd; background:#f5f5f5; margin:5px'> 처리정지 요구 거부 사유(개인정보 보호법 제37조제2항)
* 1. 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우
* 2. 다른 사람의 생명·신체를 해할 우려가 있거나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우
* 3. 공공기관이 개인정보를 처리하지 않으면 다른 법률에서 정하는 소관 업무를 수행할 수 없는 경우
* 4. 개인정보를 처리하지 않으면 정보주체와 약정한 서비스를 제공하지 못하는 등 계약의 이행이 곤란한 경우로서 정보주체가 그 계약의 해지 의사를 명확하게 밝히지 않은 경우</div>
* 정보주체(이용자)의 요구에 대한 조치에 불복이 있는 경우 이의를 제기할 수 있도록 필요한 절차를 마련하여 안내하여야 한다.
** 이 경우 이의제기 절차는 공정하게 운영될 수 있도록 외부전문가를 참여시키거나 내부의 견제장치 마련 필요
* 정보주체(이용자) 또는 그 대리인이 개인정보 수집·이용·제공 등의 동의를 철회하는 경우 지체 없이 수집된 개인정보를 파기하는 등 필요한 조치를 취하여야 한다.
<div style='padding:5px 10px; border:1px solid  #ddd; background:#f5f5f5; margin:5px'>
* ※ 정보주체(이용자) 동의철회 시 조치(예시)
* 해당 정보주체(이용자)와 관련된 개인정보의 지체 없는 파기
* 다른 법령에 따라 보존의무가 부여된 경우 해당 법령에 따른 기간 동안 분리하여 보관
* 제3자 제공 동의에 대한 철회인 경우 더 이상 제3자에게 개인정보를 제공하지 않도록 조치
* 홍보, 마케팅 등을 위한 문자, 이메일 등이 더 이상 발송되지 않도록 조치 등</div>
* 개인정보 열람, 정정·삭제, 처리정지, 이의제기, 동의 철회 등의 요구 및 처리 결과에 대하여 기록을 남겨야 한다.
** 정보주체(이용자)의 열람, 정정·삭제, 처리정지, 이의제기, 동의 철회 등을 접수하고 처리한 결과를 정기적으로 검토하여 정보주체(이용자) 권리보장이 적절히 이루어지고 있는지 확인하고 필요시 보완 조치
* 정보통신망에서 사생활 침해 또는 명예훼손 등 타인의 권리를 침해한 경우 침해를 받은 자가 정보통신 서비스 제공자에게 정보의 삭제 요청 등을 할 수 있는 절차를 마련하고 시행하여야 한다.
** 정보통신망을 통하여 일반에게 공개를 목적으로 제공된 정보로 사생활 침해나 명예훼손 등 타인의 권리가 침해된 경우, 침해를 받은 자는 해당 정보를 처리한 정보통신서비스 제공자에게 침해사실을 소명하여 그 정보의 삭제 또는 반박 내용의 게재를 요청할 수 있어야 함.
** 타인의 권리가 침해된 경우 정보통신서비스 제공자가 해당 정보의 삭제 등을 요청받으면 지체 없이 삭제·임시조치 등의 필요한 조치를 하고 즉시 신청인 및 정보 게재자에게 알려야 함.
** 타인의 권리가 침해된 경우에 대한 구제절차 등 필요한 조치에 관한 내용·절차 등을 미리 약관에 구체적으로 밝혀야 함.
== 증거 자료 ==
* 개인정보 처리방침
* 열람, 정정·삭제, 처리정지 요구 처리 절차, 관련 양식
* 개인정보 열람 신청서
* 개인정보 열람 요구 시 조치 내역
* 개인정보 정정·삭제, 처리정지 신청양식(개인정보 정정·삭제 요구서 등)
* 개인정보 정정·삭제, 처리정지 요구 시 조치 내역(개인정보 정정·삭제 통지서 등)
* 회원 탈퇴 절차
== 결함 사례 ==
* 개인정보의 열람, 정정·삭제, 처리정지 요구 방법을 정보주체가 알 수 있도록 공개하지 않은 경우
* 개인정보의 열람 요구에 대하여 정당한 사유의 통지 없이 열람 요구를 접수받은 날로부터 10일을 초과하여 회신하고 있는 경우
* 개인정보의 열람 민원에 대한 처리 내역 기록 및 보관이 이루어지지 않은 경우
* 정보주체 당사자 또는 정당한 대리인이 맞는지에 대한 확인 절차 없이 열람 통지가 이루어지는 경우
* 개인정보의 정정·삭제 요구에 대하여 정정·삭제 요구를 접수받은 날로부터 10일을 초과하여 회신하는 경우
* 회원 가입 시에는 온라인을 통하여 쉽게 회원 가입이 가능하였으나, 회원 탈퇴 시에는 신분증 등 추가 서류를 제출하게 하거나 오프라인 방문을 통해서만 가능하도록 하는 경우
== 같이 보기 ==
* [[정보보호 및 개인정보보호관리체계 인증]]
* [[ISMS-P 인증 기준]]
* [[ISMS-P 인증 기준 세부 점검 항목]]
== 참고 문헌 ==
* 정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

Latest revision as of 02:33, 14 July 2022


개요[edit | edit source]

항목 3.5.2.정보주체 권리보장
인증기준 정보주체(이용자)가 개인정보의 열람, 정정·삭제, 처리정지, 이의제기, 동의철회 요구를 수집 방법·절차보다 쉽게 할 수 있도록 권리행사 방법 및 절차를 수립·이행하고, 정보주체(이용자)의 요구를 받은 경우 지체 없이 처리하고 관련 기록을 남겨야 한다. 또한 정보주체(이용자)의 사생활 침해, 명예훼손 등 타인의 권리를 침해하는 정보가 유통되지 않도록 삭제 요청, 임시조치 등의 기준을 수립·이행하여야 한다.
주요 확인사항
  • 정보주체(이용자) 또는 그 대리인이 개인정보에 대한 열람, 정정‧삭제, 처리정지, 이의제기, 동의 철회(이하 '열람 등'이라 함) 요구를 개인정보 수집방법‧절차보다 쉽게 할 수 있도록 권리 행사 방법 및 절차를 마련하고 있는가?
  • 정보주체(이용자) 또는 그 대리인이 개인정보 열람 요구를 하는 경우 규정된 기간 내에 열람 가능하도록 필요한 조치를 하고 있는가?
  • 정보주체(이용자) 또는 그 대리인이 개인정보 정정‧삭제 요구를 하는 경우 규정된 기간 내에 정정‧삭제 등 필요한 조치를 하고 있는가?
  • 정보주체(이용자) 또는 그 대리인이 개인정보 처리정지 요구를 하는 경우 규정된 기간 내에 처리정지 등 필요한 조치를 하고 있는가?
  • 정보주체(이용자)의 요구에 대한 조치에 불복이 있는 경우 이의를 제기할 수 있도록 필요한 절차를 마련하여 안내하고 있는가?
  • 정보주체(이용자) 또는 그 대리인이 개인정보 수집‧이용‧제공 등의 동의를 철회하는 경우 지체 없이 수집된 개인정보를 파기하는 등 필요한 조치를 취하고 있는가?
  • 개인정보 열람 등의 요구 및 처리 결과에 대하여 기록을 남기고 있는가?
  • 정보통신망에서 사생활 침해 또는 명예훼손 등 타인의 권리를 침해한 경우 침해를 받은 자가 정보통신서비스 제공자에게 정보의 삭제 요청 등을 할 수 있는 절차를 마련하여 시행하고 있는가?

세부 설명[edit | edit source]

정보주체 권리 행사 방법 및 절차 마련[edit | edit source]

정보주체(이용자) 또는 그 대리인이 개인정보에 대한 열람, 정정·삭제, 처리정지, 이의제기, 동의 철회(이하 ʻ열람 등ʼ이라 함.) 요구를 개인정보 수집방법·절차보다 쉽게 할 수 있도록 권리 행사 방법 및 절차를 마련하여야 한다.

  • 정보주체(이용자)가 열람 등을 요구할 수 있는 구체적인 방법과 절차를 마련하고, 이를 정보주체(이용자)가 쉽게 알 수 있도록 공개하여야 함.
  • 정보주체(이용자)의 권리행사 방법 및 절차는 최소한 개인정보 수집절차 또는 회원가입 절차에 준하여 알기 쉽고 편리하여야 하며, 개인정보 수집 시 요구하지 않던 증빙서류를 추가로 요구하지 않아야 함
  • 정보주체(이용자)가 편리하게 선택할 수 있도록 가급적 다양한 권리 행사 방법을 마련하여 제공할 필요가 있음(방문, 서면, 전화, 전자우편, 인터넷 웹사이트 등).
  • 열람 등을 요구한 자가 본인이거나 정당한 대리인인지 확인하여야 하며, 확인 방법은 합리적인 수단이라고 객관적으로 인정되는 방식이어야 함(전자서명, 아이핀, 운전면허증 확인 등).
  • 개인정보처리자가 공공기관인 경우 ｢전자정부법｣에 따른 행정정보의 공동 이용을 통하여 신분확인이 가능하면 행정정보의 공동이용을 통하여 확인하여야 함.
  • 열람 등을 요구하는 자에게 관련 업무 수행에 필요한 실비의 범위에서 수수료와 우송료를 청구할 수 있으나, 개인정보를 열람·정정·삭제·처리정지 등을 요구하게 된 사유가 해당 개인정보처리자에게 있는 경우에는 수수료와 우송료를 청구할 수 없음.

열람 요구 대응[edit | edit source]

정보주체(이용자) 또는 그 대리인으로부터 개인정보 열람을 요구받은 경우 10일 이내(또는 지체 없이)에 정보주체가 해당 개인정보를 열람할 수 있도록 조치하여야 한다.

  • 정보주체(이용자)가 열람이나 제공을 요구할 수 있는 정보
    • 1. 개인정보의 항목 및 내용
    • 2. 개인정보의 수집·이용의 목적
    • 3. 개인정보 보유 및 이용 기간
    • 4. 개인정보의 제3자 제공 현황
    • 5. 개인정보 처리에 동의한 사실 및 내용
  • 10일 이내에 열람할 수 없는 정당한 사유가 있는 경우 정보주체(이용자)에게 그 사유를 알리고 열람을 연기할 수 있음.
  • 개인정보 열람 제한 및 거절의 사유가 있는 경우 정보주체에게 그 사유를 알리고 열람을 제한 또는 거절할 수 있음.

※ 정보주체의 열람요구를 제한·거절할 수 있는 사유(개인정보 보호법 제35조제4항)

  • 1. 법률에 따라 열람이 금지되거나 제한되는 경우
  • 2. 다른 사람의 생명·신체를 해할 우려가 있거나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우
  • 3. 공공기관이 다음 각 목의 어느 하나에 해당하는 업무를 수행할 때 중대한 지장을 초래하는 경우
    • 가. 조세의 부과·징수 또는 환급에 관한 업무
    • 나. ｢초등교육법｣ 및 ｢고등교육법｣에 따른 각급 학교, ｢평생교육법｣에 따른 평생교육시설, 그 밖의 다른 법률에 따라 설치된 고등교육기관에서의 성적 평가 또는 입학자 선발에 관한 업무
    • 다. 학력·기능 및 채용에 관한 시험, 자격 심사에 관한 업무
    • 라. 보상금·급부금 산정 등에 대하여 진행 중인 평가 또는 판단에 관한 업무
    • 마. 다른 법률에 따라 진행 중인 감사 및 조사에 관한 업무
  • 열람 요구사항 중 일부가 열람 제한 및 거절의 사유가 있는 경우에는 그 일부에 대하여 열람을 제한할 수 있으며, 열람이 제한되는 사항을 제외한 부분에 대해서는 열람할 수 있도록 하여야 함.

정정·삭제 요구 대응[edit | edit source]

정보주체(이용자) 또는 그 대리인으로부터 개인정보의 정정·삭제를 요구받은 경우 정보주체(이용자)의 요구가 정당하다고 판단되면 지체 없이 그 개인정보를 조사하여 정보주체의 요구에 따라 해당 개인정보의 정정·삭제 등의 조치를 한 후 그 결과를 정보주체(이용자)에게 알려야 한다.

  • 개인정보 정정·삭제 요구를 받은 날부터 10일 이내에 조치 결과 회신
  • 외부위탁 또는 제3자에게 제공한 개인정보에 대한 정정요청 및 동의 철회 시에는 수탁자 또는 제3자에게 연락하여 조치 요청
  • 다른 법령에 그 개인정보가 수집 대상으로 명시되어 있는 경우에는 삭제 요구를 거절할 수 있으며, 이 경우 요구에 따르지 않기로 한 사실, 근거 법령의 내용 및 그 이유와 이의제기 방법을 개인정보 정정·삭제 통지서로 해당 정보주체(이용자)에게 정정·삭제 요구를 받은 날로부터 10일 이내에 알려야 함(전자상거래법에 따른 계약·청약 철회 기록 등).

처리정지 요구 대응[edit | edit source]

정보주체(이용자) 또는 그 대리인으로부터 개인정보의 처리정지 요구를 받은 경우 특별한 사유가 없는 한 지체 없이 처리의 전부 또는 일부를 정지하고 그 결과를 정보주체(이용자)에게 알려야 한다.

  • 개인정보 처리정지 요구를 받은 날부터 10일 이내에 조치 결과 회신
  • 개인정보의 처리정지를 거절할 수 있는 사유가 있는 경우 관련 사실을 처리정지 요구자에게 요구를 받은 날로부터 10일 이내에 알려야 함.

※ 처리정지 요구 거부 사유(개인정보 보호법 제37조제2항)

  • 1. 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우
  • 2. 다른 사람의 생명·신체를 해할 우려가 있거나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우
  • 3. 공공기관이 개인정보를 처리하지 않으면 다른 법률에서 정하는 소관 업무를 수행할 수 없는 경우
  • 4. 개인정보를 처리하지 않으면 정보주체와 약정한 서비스를 제공하지 못하는 등 계약의 이행이 곤란한 경우로서 정보주체가 그 계약의 해지 의사를 명확하게 밝히지 않은 경우

이의 제기 절차 마련[edit | edit source]

정보주체(이용자)의 요구에 대한 조치에 불복이 있는 경우 이의를 제기할 수 있도록 필요한 절차를 마련하여 안내하여야 한다.

  • 이 경우 이의제기 절차는 공정하게 운영될 수 있도록 외부전문가를 참여시키거나 내부의 견제장치 마련 필요

수집·이용·제공 등의 동의를 철회 요구[edit | edit source]

정보주체(이용자) 또는 그 대리인이 개인정보 수집·이용·제공 등의 동의를 철회하는 경우 지체 없이 수집된 개인정보를 파기하는 등 필요한 조치를 취하여야 한다.

※ 정보주체(이용자) 동의철회 시 조치(예시)

  • 해당 정보주체(이용자)와 관련된 개인정보의 지체 없는 파기
  • 다른 법령에 따라 보존의무가 부여된 경우 해당 법령에 따른 기간 동안 분리하여 보관
  • 제3자 제공 동의에 대한 철회인 경우 더 이상 제3자에게 개인정보를 제공하지 않도록 조치
  • 홍보, 마케팅 등을 위한 문자, 이메일 등이 더 이상 발송되지 않도록 조치 등

기록 보관[edit | edit source]

개인정보 열람, 정정·삭제, 처리정지, 이의제기, 동의 철회 등의 요구 및 처리 결과에 대하여 기록을 남겨야 한다.

  • 정보주체(이용자)의 열람, 정정·삭제, 처리정지, 이의제기, 동의 철회 등을 접수하고 처리한 결과를 정기적으로 검토하여 정보주체(이용자) 권리보장이 적절히 이루어지고 있는지 확인하고 필요시 보완 조치

본인 정보 삭제 등 요구[edit | edit source]

정보통신망에서 사생활 침해 또는 명예훼손 등 타인의 권리를 침해한 경우 침해를 받은 자가 정보통신 서비스 제공자에게 정보의 삭제 요청 등을 할 수 있는 절차를 마련하고 시행하여야 한다.

  • 정보통신망을 통하여 일반에게 공개를 목적으로 제공된 정보로 사생활 침해나 명예훼손 등 타인의 권리가 침해된 경우, 침해를 받은 자는 해당 정보를 처리한 정보통신서비스 제공자에게 침해사실을 소명하여 그 정보의 삭제 또는 반박 내용의 게재를 요청할 수 있어야 함.
  • 타인의 권리가 침해된 경우 정보통신서비스 제공자가 해당 정보의 삭제 등을 요청받으면 지체 없이 삭제·임시조치 등의 필요한 조치를 하고 즉시 신청인 및 정보 게재자에게 알려야 함.
  • 타인의 권리가 침해된 경우에 대한 구제절차 등 필요한 조치에 관한 내용·절차 등을 미리 약관에 구체적으로 밝혀야 함.

증거 자료[edit | edit source]

  • 개인정보 처리방침
  • 열람, 정정·삭제, 처리정지 요구 처리 절차, 관련 양식
  • 개인정보 열람 신청서
  • 개인정보 열람 요구 시 조치 내역
  • 개인정보 정정·삭제, 처리정지 신청양식(개인정보 정정·삭제 요구서 등)
  • 개인정보 정정·삭제, 처리정지 요구 시 조치 내역(개인정보 정정·삭제 통지서 등)
  • 회원 탈퇴 절차

결함 사례[edit | edit source]

  • 개인정보의 열람, 정정·삭제, 처리정지 요구 방법을 정보주체가 알 수 있도록 공개하지 않은 경우
  • 개인정보의 열람 요구에 대하여 정당한 사유의 통지 없이 열람 요구를 접수받은 날로부터 10일을 초과하여 회신하고 있는 경우
  • 개인정보의 열람 민원에 대한 처리 내역 기록 및 보관이 이루어지지 않은 경우
  • 정보주체 당사자 또는 정당한 대리인이 맞는지에 대한 확인 절차 없이 열람 통지가 이루어지는 경우
  • 개인정보의 정정·삭제 요구에 대하여 정정·삭제 요구를 접수받은 날로부터 10일을 초과하여 회신하는 경우
  • 회원 가입 시에는 온라인을 통하여 쉽게 회원 가입이 가능하였으나, 회원 탈퇴 시에는 신분증 등 추가 서류를 제출하게 하거나 오프라인 방문을 통해서만 가능하도록 하는 경우

같이 보기[edit | edit source]

참고 문헌[edit | edit source]

  • 정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)
Retrieved from "https://cswiki.net/index.php?title=ISMS-P_인증_기준_3.5.2.정보주체_권리보장&oldid=34093"