[ISMS-P] 개인정보 흐름도 상 주의해야 할 점

1. 개인정보 수집단계

- 해당 단계에서 주의해야 할 부분은 개인정보를 제공하는 이용자에게 동의를 얻는 과정에서 반드시 알려야 할목을 명확하게 표시하여 관련 법률을 위반하지 않아야 한다.

※ 정보통신망법: 개인정보 수집 항목, 목적, 이용기간 (3가지)

    개인정보보호법: 개인정보 수집 항목, 목적, 이용기간, 동의거부시 불이익(4가지)

- 특히 법률에서 주민등록번호, 민감정보, 고유식별정보 수집을 제한하는 항목을 확인하여 위법한 수집이 되지 않도록 주의가 필요하다.

※ 주민등록번호 수집은 법에서 정한 경우에만 가능하며 동의받아도 불가능하다.

    법에서 정하는 일정 규모 이상의 개인정보처리자는 타 기관으로부터 제공받은 개인정보가 있을 경우, 3개월 이내 해당 정보 주체에게 통보해야 한다.

 

2. 개인정보 보유 및 이용 제공 단계

- 개인정보가 내부절차와 규정에 따라 안전하게 관리되고 최신상태로 정확하게 유지하고 있는지. 정확성, 완전성, 최신성 유지방법의 제공 현황 확인이 필요하다.

- 타 기관과의 연계 등에의해 이용자의 개인정보를 제공하는 경우, 비식별화 조치가 되어 있는지 확인해야 한다.

- 개인정보를 제3자에게 제공한 경우, 관련 법령에서 지정한 고지항목과 고지방법을 확인하고 차후 이전이 발생하는 경우에도 관련 법령에 따른 고지 의무를 다하였는지 확인이 필요하다.

- 클라우드 서비스의 경우 DB위치에 따라 국외에 개인정보가 저장하게 되는 경우, 정보주체에게 사전동의를 받았는지 여부 및 정보통신망법 대상 기관이라면 개인정보 처리방침에 공개하였는지를 확인해야 한다.

 

3. 개인정보 파기 단계

- 수집한 개인정보의 처리 목적을 달성하는 경우, 지체없이 파기해야 한다. 이때 회사 내부의 파기정책을 확인하여 파기방법, 파기기록 보유 여부등이 일치하는지 등의 확인이 필요하다.

※ 행안부 유권해석으로 처리목적 달성 후 관련 법령에 따라 보관해야 하는 경우, 분리하여 보관할 수 있다.

- 정보통신망법에 따라 1년 이상 접속하지 않은 휴면이용자의 경우에도 분리보관해야 하며, 이 경우 테이블에 연결정보 정도는 남길 수 있다.

 

※ 개인정보를 제공한 이용자는 본인의 개인정보에 대한 민원 신청을 할 수 있고, 개인정보보호법에 따라 개인정보처리자는 10일 이내에 처리 결과를 회신해야 한다.