사람의 인생처럼 개인정보에도 일대기가 존재합니다. 개인정보가 생성되고 기록이 되고 의미있는 곳에서 활용되고 그리고 파기되는 과정입니다. 오늘은 개인정보 생명주기에 대해 알아보겠습니다.
개인정보보호법에 의거하면 "처리"에 정의는 다음과 같습니다.
2. "처리"란 개인정보의 수집, 생성, 연계, 연동, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정(訂正), 복구, 이용, 제공, 공개, 파기(破棄), 그 밖에 이와 유사한 행위를 말한다.
수집, 생성, 연계, 연동, 기록, 저장, 보유, 가공, 편집,검색, 출력, 정정, 복구, 이용, 제공, 공개, 파기까지 처리가 포함하는 행위가 참 많습니다. 이 처리의 주요 내용을 개인정보 라이프사이클 4단계로 분류하면 아래 그림이 됩니다.
[개인정보 라이프사이클]
개인정보를 취득하여 활용하는 단계로써 통상적으로 수집, 보유, 이용·제공, 파기의 4단계로 구분했습니다.
단계 | 내용 |
수집 | 서비스 제공목적으로 최소한의 정보만 수집해야 함 정보주체에게 정보수집을 위한 동의를 받아야 함 동의를 받을 때는 정보 수집 및 이용목적, 수집항목, 보유기간 그리고 동의거부권에 대해 고지해야함
|
저장 | 고시에서 명시한 개인정보에 대한 기술적, 관리적 안전조치를 적용해야 함
|
이용 및 제공 | 개인정보는 수집목적 내 용도로만 이용가능 수탁사를 통해 개인정보 처리를 위탁할 경우 수탁사에 대한 관리감독 의무가 위탁사에게 존재 목적 외 용도로 제3자에게 제공할 경우 정보주체의 별도 동의 필요 국제협정, 범죄의 수사와 공조, 법원의 재판업무, 형 등 관련 법령에 명시된 경우는 예외 규정 적용
|
파기 | 보유기간의 경과, 개인정보의 처리 목적 달성 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기 개인정보를 파기할 때에는 복구 또는 재생되지 아니하도록 조치 개인정보를 파기하지 아니하고 보존하여야 하는 경우에는 해당 개인정보 또는 개인정보파일을 다른 개인정보와 분리하여서 저장ㆍ관리하여야함
|
[개인정보 라이프사이클에 기반한 개인정보 흐름표 작성]
1. 수집
| [수집 흐름표 양식 설명]
1) 평가업무명 : 대상사업 중 어떤 업무와 관련하여 개인정보를 처리하는지 기재 2) 수집항목 : 수집하는 개인정보 항목을 구체적으로 기재 3) 수집경로 : 개인정보 수집방법이 온라인 또는 오프라인 등 해당 개인정보의 취득경로 기재 ※회원가입을 통한 수집경로는 웹사이트 회원가입, 온라인을 통한 가입, 서면신청서를 통한 오프라인 방식 등으로 구분 ※ 정보주체에게 직접 수집하거나 외부기관에 의해 제공받거나 연계하는 방법으로 수집 4) 수집대상 : 개인정보를 수집하는 대상인 정보주체의 유형을 기재 ※예를 들어, 인터넷 회원의 유형이 학생, 학부모 등으로 구분이 된다면 수집 대상도 “인터넷 회원(학생)”, “인터넷 회원(학부모)”으로 나눠서 작성하여 가급적 수집하는 대상 유형을 구체적으로 기재 5) 수집주기 : 개인정보를 수집하는 주기를 기재 ※웹사이트 회원가입의 경우, 상시적으로 수집 ※외부기관으로부터 주기적으로 제공을 받거나, 대학 입시와 같이 특정 시기에만 수집되는 경우에는 해당 주기를 기재 6) 수집담당자 : 개인정보를 수집하는 부서 및 담당자 기재 7) 수집근거 : 수집목적에 따른 법률근거 및 사용자 동의획득 여부 기재 ※ 법률에 근거한 수집일 경우 법률 조항을 구체적으로 표시 |
2. 저장 & 이용
| [저장 & 이용 흐름표 양식 설명]
1) 평가업무명 : 수집 흐름표와 동일 2) 보유 형태 : 수집한 개인정보를 보유하는 장소 및 형태를 기재 ※수집한 개인정보는 시스템을 통해 DB에 저장하고, 신청서 등은 캐비넷 등에 보관 3) 암호화 항목 : 개인정보 저장 시 암호화하는 개인정보 항목을 기재 ※수집한 개인정보를 DB에 저장할 때 ‘보유 시 암호화 항목’에 해당하고, 신청서 등 다른 매체 보유는 암호화 항목에서 제외 ※일방향 암호화 되어 있는 경우에는 ‘( )’ 후 일방향 암호화하였음을 표기 4) 이용 목적 : 개인정보를 이용하는 목적 기재 5) 개인정보취급자 : 수집한 개인정보를 처리하는 부서 및 사용자 기재 6) 이용 방법 : 개인정보취급자가 개인정보를 이용하는 방법 기재 ※ 이용 목적 및 취급자 현황은 개인정보 이용 현황에 따라 복수로 기재 |
3. 제공 & 파기
| [제공 및 파기 흐름표 양식 설명]
1) 평가업무명 : 수집 흐름표와 동일
2) 제공 목적 : 개인정보를 제공하는 목적을 상세히 기재
3) 제공자 : 개인정보를 제공하는 부서 및 관련 담당자 기재
4) 수신자 : 개인정보를 제공받는 타 기관, 시스템명 기재
5) 제공 정보 : 제공하는 상세 개인정보 항목을 기재
6) 제공 방법 : 개인정보 제공 시 타 기관에 제공하는 방식 및 시스템 연계 시 연계 방식 기재
7) 제공 주기 : 제공하는 개인정보 주기를 기재
8) 암호화 여부 : 정보 제공 시 제공 정보 암호화 여부 및 전송 시 암호화 여부 기재
※ 해당사항이 없는 경우에는 기재하지 않음
9) 제공 근거 : 개인정보를 제공하는 법적 근거 및 사유 기재
※ 법률에 근거한 제공일 경우 법률 조항을 구체적으로 표시
10) 보유기간 : 개인정보를 수집한 후 파기하기 전까지의 보관기간 명시
※보관기간은 정확한 기한이 있을 경우, 1년, 10년과 같이 표기하고, 정확한 기한이 없을 경우, ‘웹사이트 회원 탈퇴 시까지’ 등과 같이 보유 기간 산정 원칙을 명시
11) 파기담당자 : 개인정보를 파기하는 부서 및 담당자
12) 파기 절차 : 파기가 결정된 개인정보에 대해 파기주기와 파기방법 기재
13) 분리 보관 여부 : 법령 등에 따라 개인정보를 파기하지 않고 보관하는 경우, 보존DB 등을 구성하여 다른 개인정보와 분리 저장᛫관리하는지 기재 (개인정보 보호법 제21조제3항 참조) |
[개인정보 라이프사이클에 기반한 개인정보 흐름표 예시]
[개인정보 라이프사이클에 기반한 개인정보 흐름도 작성]
작성된 개인정보 흐름표를 기반으로 수집, 보유, 이용·제공, 파기되는 개인정보 처리단계 별로 흐름을 한 눈에 파악할 수 있도록 ‘개인정보 흐름도’를 작성
영향평가대상사업 또는 시스템전체의 개인정보 흐름을 총괄적으로 표현한 ‘총괄 개인정보 흐름도’를 작성하고 개별업무별로 ‘업무별 개인정보 흐름도’를 함께 작성
[개인정보 라이프사이클에 기반한 개인정보 흐름도 예시]
Q. 개인정보 라이프사이클 중 가장 중요한 단계는 무엇일까요?
제가 이런 질문을 받는다면 개인정보 라이프사이클 전 단계 모두 정보주체의 권리를 보호하기 위해 필요하다고 대답할 것 같습니다.
그래도 그 중 꼭 하나만 뽑으려면 그 때는 "수집"이라고 대답하겠습니다. 수집은 개인정보 처리의 첫 단계입니다. 수집되지 않은 정보는 저장되거나 이용되지 않으며 파기될 필요도 없습니다. 그래서 개인정보 침해사고나 유출사고로 번질 위험도 없습니다.
하지만 수집이 존재하지 않으며 정보주체에게 서비스를 제공하는 것도 기업이 의미있는 연구를 하는 것도 불가능합니다. 따라서, 목적에 따라 최소한의 정보만 선별하여 수집하고 수집한 정보를 안전하게 보호하는 것이 가장 중요합니다.
여러분들이 생각하는 개인정보 라이프사이클 중 가장 중요한 단계는 무엇인가요?
