나래인포시스템

개인정보 보호를 위한 가장 많은 비용과 공수가 투입이 되었던 암호화 완료 이후에도 사내에 보관하고 있는 개인정보에 대한 보호조치가 필요하며,

보호를 위한 가장 적극적인 조치는 불필요한 개인정보를 삭제(파기)하는 것입니다.

행안부에서 발행한 "2013~2017 개인정보 실태 점검 및 행정 처분 사례집(사이즈가 커서 별도 첨부)"하셔서 회사내에 불필요하게 보관되어 있는

개인정보에 대한 보호 조치를 검토하여 주시기 바랍니다.

특히 DB내에 보관되어 있는 개인정보에 대해서는 첨부한 개인정보 분리보관 솔루션 등을 도입하여 별도로 보관 관리하여 개인정보보호법 등 관련 법규를

준수하여야 합니다.

고맙습니다.

가장 안 지켜지는 개인정보 파기, 대표 위반사례 4

  |  입력 : 2018-05-16 17:08

개인정보 미파기 위반, 보유기간과 목적달성 지난 개인정보와 탈퇴회원 등 보유

[보안뉴스 김경애 기자] 개인정보 위반사례 중 좀처럼 개선되지 않는 고질적인 문제가 바로 파기 이슈다. 이와 관련 한 쇼핑몰 보안담당자는 “지금은 개인정보를 보유한다는 게 리스크로 인식이 크게 변화됐지만, 불과 몇 년 전만해도 기업에서 개인정보를 전략적으로 보유하려는 움직임이 많았다”고 귀띔했다. 그러다 보니 기업에서는 개인정보 보유기간이 지났음에도 개인정보를 파기하지 않거나 탈퇴회원 정보를 삭제하지 않는 등 문제가 발생하곤 한다는 것. 이에 본지는 행안부에서 발간한 ‘2013~2017 개인정보 실태 점검 및 행정 처분 사례집‘을 바탕으로 개인정보 파기 미이행 위반사례를 중점적으로 소개하고자 한다. 

▲개인정보 미파기 사례[이미지=2013~2017 개인정보 실태 점검 및 행정 처분 사례집]

1. 법적 보유기간이 지난 개인정보파기 미이행
가전제품 소매업과 이동 전화 판매·개통 서비스를 제공하는 A업체에 방문한 B씨는 최근 스마트폰 장만을 위해 상품을 골라 개통하려고 했다. 그런데 A업체 직원이 몇 가지 조회를 해 보며 한참 만에 방문한 것 같다며 B씨의 개인정보를 말했다. 

A업체는 고객 대상으로 이름·연락처·주소 등 개인정보를 수집해 판매 관리 시스템에 보관하고 있는데, 신용정보법 등 다른 법률에 따른 개인정보 보유기간(5년)이 지나도 개인정보를 파기하지 않아 개인정보보호법 제21조제1항 위반에 해당한다. 개인정보처리자는 보유기간의 경과, 처리 목적 달성 등 해당 개인정보가 불필요하게 됐을 때에는 지체 없이 개인정보를 파기해야 한다.

▲개인정보 미파기 사례[이미지=2013~2017 개인정보 실태 점검 및 행정 처분 사례집]

이에 따라 A업체는 ①전자적 파일 형태인 경우 복원이 불가능한 방법으로 영구 삭제 ② 기록물·인쇄물·서면 등 기록 매체인 경우 파쇄 또는 소각 ③다른 법령에 의해 보존하여야 하는 경우 다른 개인정보와 분리해 저장·관리해야 한다는 시정조치와 함께 3,000만 원 이하 과태료의 행정처분을 받았다. 

2. 탈퇴 회원 개인정보파기 미이행
B기관은 홈페이지 회원 정보 및 홈페이지 민원 정보 처리 시스템을 운용해 지역 주민들의 민원을 적절하게 처리하고 있었다. 그러나 현장점검 결과, B기관의 대표

• 가장 안 지켜지는 개인정보 파기, 대표 위반사례.pdf