자율주행자동차 영상정보의 안전성 확보 조치안

이 고시는 「자율주행자동차상용화 촉진 및 지원에 관한 법률」제20조의2, 같은 법 시행령 제16조의2 및 제16조의3에서 국토교통부장관에게 위임한 사항과 그 시행에 필요한 세부적인 사항을 정함을 목적으로 한다.

이 고시에서 사용하는 용어의 뜻은 다음과 같다.

1. "영상정보처리자"란 법 제20조의2제1항에 따라 특정 개인정보가 포함된 자동차의 영상정보를 수집, 처리 또는 이용하는 자율주행자동차제작자등을 말한다.

2. "영상정보취급자"란 영상정보처리자의 지휘ㆍ감독을 받아 영상정보를 처리하는 자를 말한다.

영상정보처리자는 영상정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 의사결정 절차를 통하여 다음 각 호의 사항을 포함하는 내부 관리계획을 수립ㆍ시행하여야 한다.

1. 영상정보 보호 조직의 구성 및 영상정보 활용 목적과 기준, 세부 절차 등 운영에 관한 사항

2. 영상정보 처리 단계별(생성, 보관, 활용, 폐기 등) 관리체계에 관한 사항

3. 물리적 보관 장소 점검 등 비인가자 출입 통제 및 외부 침입자 발생시 대응에 관한 사항

4. 영상정보 유출사고 대응 계획 등 내부 운영계획 수립, 변경 및 승인에 관한 사항

5. 영상정보취급자 및 외주용역에 대한 관리ㆍ감독(보안서약서를 징구하고 영상정보취급자 정보 현행화 등을 포함한 보안대책 등) 및 교육에 관한 사항

6. 자율주행자동차의 성능 및 안전성 향상 등 연구 목적 외 활용 및 제3자 제공 금지에 관한 사항

7. 그 밖에 영상정보 보호를 위하여 필요한 사항

① 영상정보처리자는 영상정보를 정보통신망을 통하여 송ㆍ수신하는 경우에 이를 안전한 암호 알고리즘으로 암호화하여야 한다.

② 영상정보처리자는 영상정보를 저장하는 경우에는 영상파일 또는 저장매체에 비밀번호를 설정하는 등의 보안조치를 하여야 한다.

① 영상정보처리자는 악성프로그램 등을 방지ㆍ치료할 수 있는 보안 프로그램을 설치ㆍ운영하여야 하며, 다음 각 호의 사항을 준수하여야 한다.

1. 프로그램의 자동 업데이트 기능을 사용하거나, 정당한 사유가 없는 한 일 1회 이상 업데이트를 실시하는 등 최신의 상태로 유지

2. 발견된 악성프로그램 등에 대해 삭제 등 대응 조치

② 영상정보처리자는 악성프로그램 관련 경보가 발령된 경우 또는 사용 중인 응용 프로그램이나 운영체제 소프트웨어의 제작업체에서 보안 업데이트 공지가 있는 경우 정당한 사유가 없는 한 즉시 이에 따른 업데이트 등을 실시하여야 한다.

①영상정보처리자는 자율주행자동차의 성능 및 안전성을 향상시키기 위하여 「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률」제2조제3호에 따른 클라우드컴퓨팅서비스(이하 "클라우드컴퓨팅서비스"라 한다)를 이용하여 영상정보를 처리하고자 하는 경우에는 「개인정보 보호법」제26조제1항 각 호의 내용이 포함된 문서로 관리하여야 한다.

② 제1항에 따라 영상정보를 처리하는 경우 클라우드컴퓨팅서비스에 접속할 수 있는 영상정보처리자를 최소화하고, 안전한 인증수단 적용, 가상사설망(VPN), 가상터미널(VDI) 등의 다양한 보호조치 적용을 고려하여야 한다.

① 영상정보처리자는 전산실, 자료보관실 등 영상정보를 보관하고 있는 물리적 보관 장소를 별도로 두고 있는 경우에는 관련 관리계획 등을 제3조에 따른 내부계획에 포함하여 수립할 수 있다.

② 영상정보처리자는 물리적 보관 장소에 대한 출입자 최소화, 출입기록 보관, 비인가 저장매체 반입 금지 등 인적ㆍ물적 통제를 실시할 수 있다.

③ 영상정보처리자는 물리적 보관 장소를 포함하여 영상정보가 포함된 보조저장매체 등을 내부관리계획에 따른 위험분석 결과 잠금장치가 있는 안전한 장소에 보관하여야 한다.

④ 영상정보처리자는 영상정보가 포함된 보조저장매체의 반출ㆍ입 통제를 위한 보안대책을 마련하여야 한다.

⑤ 영상정보처리자는 영상정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손 가능성 등을 고려하여 충분한 안전성이 확보된 장소에서만 영상정보를 처리할 수 있도록 하여야 한다.

① 영상정보처리자는 영상정보를 파기할 경우 다음 각 호 중 어느 하나의 조치를 하여야 한다.

1. 완전파괴(소각ㆍ파쇄 등)

2. 전용 소자장비(자기장을 이용해 저장장치의 데이터를 삭제하는 장비)를 이용하여 삭제

3. 데이터가 복원되지 않도록 초기화 또는 덮어쓰기 수행

② 영상정보처리자가 영상정보의 일부만을 파기하는 경우, 제1항 각 호의 방법으로 파기하는 것이 어려울 때에는 다음 각 호의 조치를 하여야 한다.

1. 전자적 파일 형태인 경우 : 영상정보를 삭제한 후 복구 및 재생되지 않도록 관리 및 감독

2. 제1호 외의 영상정보의 인쇄물 및 그 밖의 기록매체인 경우 : 해당 부분을 마스킹, 구멍 뚫기 등으로 삭제

③ 기술적 특성으로 제1항 및 제2항 각 호의 방법으로 파기하는 것이 현저히 곤란한 경우에는 「개인정보 보호법」 제58조의2에 해당하는 정보로 처리하여 복원이 불가능하도록 조치하여야 한다.

국토교통부장관은 이 고시에 대하여 「훈령ㆍ예규 등의 발령 및 관리에 관한 규정」에 따라 2026년 7월 1일 기준으로 매 3년이 되는 시점(매 3년째의 6월 30일까지를 말한다)마다 그 타당성을 검토하여 개선 등의 조치를 하여야 한다.