개인정보보호위원회
심의ㆍ의결
제2024-015-213호
집중관리시스템 실태점검 결과에 대한 개선권고에 관한 건
요지
안건번호 : 제2024-015-213호
안건명 : 집중관리시스템 실태점검 결과에 대한 개선권고에 관한 건
의결연월일 : 2024. 9. 11.
안건명 : 집중관리시스템 실태점검 결과에 대한 개선권고에 관한 건
의결연월일 : 2024. 9. 11.
주문
1. 피심인에 대하여 보호법 제61조제2항에 따라 개선을 권고한다.
가. 피심인은 집중관리시스템별 '10대 과제’ 미흡사항을 개선 한다.
나. 피심인은 가.의 권고 조치를 이행하고, 개선 권고 통지를 받은 날로부터 60일 이내에 개인정보보호위원회에 이행결과 및 계획을 제출한다.
가. 피심인은 집중관리시스템별 '10대 과제’ 미흡사항을 개선 한다.
나. 피심인은 가.의 권고 조치를 이행하고, 개선 권고 통지를 받은 날로부터 60일 이내에 개인정보보호위원회에 이행결과 및 계획을 제출한다.
이유
Ⅰ. 실태점검 개요
관계부처 합동 「공공부문 개인정보 유출 방지대책」(’22.7.14., 국정현안점검조정회의) 및 「집중관리시스템 개인정보 안전조치 강화계획」(’23.4.7., 정책협의회)에 따라,
소관부처(산하기관 포함)에서 SW를 개발ㆍ배포하면, 지자체 등이 자체 시스템에 적용ㆍ운영 중인 표준배포시스템 7종과 당해 이용기관(지자체ㆍ지방교육청) 28곳의 시스템, 총 35개 시스템 및 운영기관의 안전조치 강화계획 이행실태를 점검하였다.
<img src="/LSW/flDownload.do?flSeq=150221769" alt="1번째 이미지"></img>
Ⅱ. 실태점검 결과
? 종합
지자체 등은 배포받은 표준 SW에 포함되어 있는 기능만 이용할 수 있으므로, 표준배포시스템 자체의 경우 기능(
<img src="/LSW/flDownload.do?flSeq=150221771" alt="2번째 이미지"></img>
) 중심으로, 이용 기관의 경우, 실제 안전조치 이행(
<img src="/LSW/flDownload.do?flSeq=150221773" alt="3번째 이미지"></img>
)에 대해 점검한 결과,
<img src="/LSW/flDownload.do?flSeq=150221775" alt="4번째 이미지"></img>
* 수기점검을 통해 특이사항을 점검 중이나, 향후 자동탐지 솔루션 도입이 바람직
○ (잘된 점) 인사정보 연계 기능의 경우 7종 중 5종(71%)이 구현되어 상대적으로 양호하였고, 협의회 설치(3%→94%), 책임자 지정(45%→97%), 안전조치방안 수립(25%→66%), 전담인력 보유(0.35명→1.7명) 등 이용 기관의 관리적 보호체계도 전반적으로 빠르게 개선 중이나,
○ (미흡한 점) 접속기록 관리시스템 전반에 걸친 개선과 특이사항 모니터링 기능 등의 솔루션 도입이 필요한 기술적 보호체계의 경우 더 많은 예산과 기간이 소요되어 이행이 더딘 것으로 보이며, 점검 대상 집중관리시스템 35개 모두 10대 과제에 대해 미흡사항이 하나 이상 확인되었다.
? 이용, 점검결과
<img src="/LSW/flDownload.do?flSeq=150221777" alt="5번째 이미지"></img>
Ⅲ. 위법성 판단
1. 관련 법 규정
보호법 제29조는 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.”라고 규정하고 있다.
한편, ’24. 9. 15. 시행 예정인 개정 보호법 시행령 제30조의2제1항은 “공공시스템을 운영하는 공공기관은 법 29조에 따라 이 영 제30조의 안전성 확보 조치 외에 다음 각 호의 조치를 추가로 해야 한다.”라고 규정하면서 “내부관리계획에 공공시스템별로 작성한 안전성 확보 조치를 포함할 것(제1호)”, “공공시스템이용기관이 정당한 권한을 가진 개인정보취급자에게 접근 권한을 부여ㆍ변경ㆍ말소 등을 할 수 있도록 하는 등 접근 권한의 안전한 관리를 위해 필요한 조치(제2호)” 및 ”개인정보에 대한 불법적인 접근 및 침해사고 방지를 위한 공공시스템 접속기록의 저장ㆍ분석ㆍ점검ㆍ관리 등의 조치(3호)“를 규정하고 있다. 또한, 같은 조 제3항은 ”공공시스템운영기관은 해당 공공시스템의 규모와 특성, 해당 공공시스템이용기관의 수 등을 고려하여 개인정보의 안전한 관리에 관련된 업무를 전담하는 부서를 지정하여 운영하거나 전담인력을 배치해야 한다.“, 제4항은 ”공공시스템운영기관은 해당 공공시스템의 규모와 특성, 해당 공공시스템이용기관의 수 등을 고려하여 개인정보의 안전한 관리에 관련된 업무를 전담하는 부서를 지정하여 운영하거나 전담인력을 배치해야 한다.“, 제5항은 ”공공시스템운영기관은 공공시스템의 안전성 확보 조치 이행상황 점검 및 개선에 관한 사항을 협의하기 위하여 다음 각 호의 기관으로 구성되는 공공시스템운영협의회를 공공시스템별로 설치ㆍ운영해야 한다.“ 라고 규정하고 있다.
2. 위법성 판단
개정법령 시행(’24.9.15.) 전 점검한 사항으로, 이행 미흡사항에 대해 보호법령 위반으로 처분하기 보다는 조속한 이행 및 개선을 권고한다.
<img src="/LSW/flDownload.do?flSeq=150221779" alt="6번째 이미지"></img>
Ⅳ. 시정조치(안)
1. 개선권고
피심인에게 보호법 제61조제2항에 따라 '10대 과제’ 이행 미흡사항의 조속한 이행을 개선권고한다.
가. 피심인은 집중관리시스템별 '10대 과제’ 미흡사항에 대해 이행계획 및 결과를 개선 권고 통지를 받은 날로부터 60일 이내에, 개인정보보호위원회에 제출한다.
관계부처 합동 「공공부문 개인정보 유출 방지대책」(’22.7.14., 국정현안점검조정회의) 및 「집중관리시스템 개인정보 안전조치 강화계획」(’23.4.7., 정책협의회)에 따라,
소관부처(산하기관 포함)에서 SW를 개발ㆍ배포하면, 지자체 등이 자체 시스템에 적용ㆍ운영 중인 표준배포시스템 7종과 당해 이용기관(지자체ㆍ지방교육청) 28곳의 시스템, 총 35개 시스템 및 운영기관의 안전조치 강화계획 이행실태를 점검하였다.
<img src="/LSW/flDownload.do?flSeq=150221769" alt="1번째 이미지"></img>
Ⅱ. 실태점검 결과
? 종합
지자체 등은 배포받은 표준 SW에 포함되어 있는 기능만 이용할 수 있으므로, 표준배포시스템 자체의 경우 기능(
<img src="/LSW/flDownload.do?flSeq=150221771" alt="2번째 이미지"></img>
) 중심으로, 이용 기관의 경우, 실제 안전조치 이행(
<img src="/LSW/flDownload.do?flSeq=150221773" alt="3번째 이미지"></img>
)에 대해 점검한 결과,
<img src="/LSW/flDownload.do?flSeq=150221775" alt="4번째 이미지"></img>
* 수기점검을 통해 특이사항을 점검 중이나, 향후 자동탐지 솔루션 도입이 바람직
○ (잘된 점) 인사정보 연계 기능의 경우 7종 중 5종(71%)이 구현되어 상대적으로 양호하였고, 협의회 설치(3%→94%), 책임자 지정(45%→97%), 안전조치방안 수립(25%→66%), 전담인력 보유(0.35명→1.7명) 등 이용 기관의 관리적 보호체계도 전반적으로 빠르게 개선 중이나,
○ (미흡한 점) 접속기록 관리시스템 전반에 걸친 개선과 특이사항 모니터링 기능 등의 솔루션 도입이 필요한 기술적 보호체계의 경우 더 많은 예산과 기간이 소요되어 이행이 더딘 것으로 보이며, 점검 대상 집중관리시스템 35개 모두 10대 과제에 대해 미흡사항이 하나 이상 확인되었다.
? 이용, 점검결과
<img src="/LSW/flDownload.do?flSeq=150221777" alt="5번째 이미지"></img>
Ⅲ. 위법성 판단
1. 관련 법 규정
보호법 제29조는 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.”라고 규정하고 있다.
한편, ’24. 9. 15. 시행 예정인 개정 보호법 시행령 제30조의2제1항은 “공공시스템을 운영하는 공공기관은 법 29조에 따라 이 영 제30조의 안전성 확보 조치 외에 다음 각 호의 조치를 추가로 해야 한다.”라고 규정하면서 “내부관리계획에 공공시스템별로 작성한 안전성 확보 조치를 포함할 것(제1호)”, “공공시스템이용기관이 정당한 권한을 가진 개인정보취급자에게 접근 권한을 부여ㆍ변경ㆍ말소 등을 할 수 있도록 하는 등 접근 권한의 안전한 관리를 위해 필요한 조치(제2호)” 및 ”개인정보에 대한 불법적인 접근 및 침해사고 방지를 위한 공공시스템 접속기록의 저장ㆍ분석ㆍ점검ㆍ관리 등의 조치(3호)“를 규정하고 있다. 또한, 같은 조 제3항은 ”공공시스템운영기관은 해당 공공시스템의 규모와 특성, 해당 공공시스템이용기관의 수 등을 고려하여 개인정보의 안전한 관리에 관련된 업무를 전담하는 부서를 지정하여 운영하거나 전담인력을 배치해야 한다.“, 제4항은 ”공공시스템운영기관은 해당 공공시스템의 규모와 특성, 해당 공공시스템이용기관의 수 등을 고려하여 개인정보의 안전한 관리에 관련된 업무를 전담하는 부서를 지정하여 운영하거나 전담인력을 배치해야 한다.“, 제5항은 ”공공시스템운영기관은 공공시스템의 안전성 확보 조치 이행상황 점검 및 개선에 관한 사항을 협의하기 위하여 다음 각 호의 기관으로 구성되는 공공시스템운영협의회를 공공시스템별로 설치ㆍ운영해야 한다.“ 라고 규정하고 있다.
2. 위법성 판단
개정법령 시행(’24.9.15.) 전 점검한 사항으로, 이행 미흡사항에 대해 보호법령 위반으로 처분하기 보다는 조속한 이행 및 개선을 권고한다.
<img src="/LSW/flDownload.do?flSeq=150221779" alt="6번째 이미지"></img>
Ⅳ. 시정조치(안)
1. 개선권고
피심인에게 보호법 제61조제2항에 따라 '10대 과제’ 이행 미흡사항의 조속한 이행을 개선권고한다.
가. 피심인은 집중관리시스템별 '10대 과제’ 미흡사항에 대해 이행계획 및 결과를 개선 권고 통지를 받은 날로부터 60일 이내에, 개인정보보호위원회에 제출한다.
출처: 국가법령정보센터 개인정보보호위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).