작은 물개의 개인정보보호 실무노트

대법원 2024. 8. 23. 선고 2020도18397 판결 (개인정보보호법위반) 판결문 원문은 대법원 종합법률정보(glaw.scourt.go.kr)에서 확인할 수 있습니다.관리실 문이 열리고 누군가 들어와서 말합니다. 어제 저녁에 여기서 무슨 일이 있었는지 CCTV 좀 볼 수 있냐고요. 파일로 달라는 것도 아니고 그냥 화면으로 확인만 하겠다고 합니다.이런 요청이 오면 담당자 머릿속에서 대개 이런 계산이 돌아갑니다. 복사해서 주는 건 안 되지만 잠깐 보여주는 정도는 괜찮지 않나. 어차피 파일이 밖으로 나가는 것도 아니고, 확인만 하고 가는 건데.대법원이 2024년에 이 계산에 답을 내놨습니다. 보여주는 것도 제공이 될 수 있다는 것입니다. 장례식장에서 벌어진 일강원도 양구의 한 장례식장에서 있었던 사건입..

앞선 3편에서는 개인정보처리시스템에 누가 접근할 수 있는지, 어디까지 접근할 수 있는지, 개인정보를 어떻게 암호화할지​를 살펴봤습니다.하지만 권한을 잘 설정해두는 것만으로는 충분하지 않습니다.실제로 누가 어떤 개인정보를 조회했는지 확인할 수 있어야 하고, 대량 다운로드와 같은 이상행위를 점검할 수 있어야 합니다. 시스템 취약점이나 악성프로그램으로 개인정보가 유출되지 않도록 운영단계의 보호조치도 필요합니다.이번 편에서는 접속기록, 개인정보 다운로드, 취약점, 악성프로그램 등 시스템 운영단계에서 확인할 사항​을 정리해보겠습니다.30초 요약ㅁ 개인정보 처리내역을 확인할 수 있는 접속기록이 생성되는가ㅁ 접속기록에 사용자, 접속일시, 처리대상, 수행업무 등이 남는가ㅁ 접속기록을 법령에서 정한 기간 동안 보관할 수..

1편에서는 개인정보를 어떤 근거로 수집·이용하는지, 2편에서는 수집한 개인정보가 ​어디로 제공·위탁되고 언제까지 보관되는지를 살펴봤습니다.개인정보 처리구조를 정리했다면 이제 실제 시스템을 봐야 합니다.관리자 페이지에는 누가 접속할 수 있는지, 직원마다 필요한 권한만 부여되는지, 외부에서 관리자 시스템에 접속할 수 있는지, 개인정보는 안전하게 저장·전송되는지 등을 확인해야 합니다.이번 편에서는 개인정보처리시스템의 보호조치 중 접근권한, 접근통제, 암호화​를 중심으로 정리해보겠습니다.30초 요약신규 서비스라면 아래 항목부터 확인합니다. ㅁ 개인정보가 저장·조회·수정되는 시스템을 식별했는가 ㅁ 관리자 등 개인정보취급자의 계정을 개인별로 발급하는가 ㅁ 업무에 필요한 최소한의 권한만 부여하는가 ㅁ 조회·수정..

1편에서는 신규 서비스에서 어떤 개인정보를 왜 처리하는지를 중심으로 확인했습니다. 개인정보 항목과 처리 목적이 정리됐다면, 그다음에는 해당 개인정보가 우리 회사 안에서만 사용되는지 아니면 외부 업체나 다른 회사로 전달되는지를 봐야 합니다.실제로 신규 서비스를 검토하다 보면 본인인증, 문자·이메일 발송, CRM, 클라우드, SaaS 등 여러 외부 사업자가 붙는 경우가 많습니다.이번 글에서는 제3자 제공, 처리위탁, 재위탁, 국외이전 그리고 보유·파기까지 이어서 정리해보겠습니다.30초 요약 - 외부로 나가는 순간부터 확인합니다. 구분 확인할 사항 체크 외부업체개인정보를 처리하는 외부 사업자가 있는가□제공정보외부업체에 어떤 개인정보가 전달되는가□처리관계제3자 제공인지 처리위탁인지 구분했는가□제공근거제3자 ..

신규 서비스나 기능을 오픈할 때 개인정보보호 담당자에게 보안성 검토 요청이 들어옵니다. 보통 화면설계서와 개인정보 수집·이용 동의서를 먼저 받게 되는데, 실제 검토는 동의서보다 서비스에서 어떤 개인정보가 발생하고 어떻게 이용되는지 파악하는 것부터 시작하는 게 좋습니다. 동의서는 결국 실제 개인정보 처리구조를 사용자에게 보여주는 결과물이기 때문입니다.이번 글에서는 신규 서비스를 검토할 때 확인하는 내용 중 개인정보 수집·이용 단계를 체크리스트 형태로 정리해보겠습니다. ※ 여기서 말하는 '보안성 검토'는 개인정보 보호법에 해당 명칭의 절차가 별도로 있다는 의미가 아니라, 서비스 오픈 전 개인정보보호 관련 요구사항을 확인하기 위해 회사 내부에서 수행하는 사전 검토를 의미합니다.30초 요약 - 우선 이것부터 확..

헌법재판소 2025. 10. 23. 선고 2024헌바153 결정 (구 개인정보 보호법 제39조의15 제1항 제5호 위헌소원) 결정문 원문은 헌법재판소 판례정보(search.ccourt.go.kr)에서 확인할 수 있습니다. 유출 사고가 터지면 담당자 머릿속에 제일 먼저 떠오르는 질문이 있습니다. 우리가 조치를 안 해서 뚫린 건가, 아니면 조치를 다 했는데도 뚫린 건가. 그리고 그 답에 따라 과징금이 달라지는가.실무에서는 이 구분이 잘 안 됩니다. 침입차단시스템은 있었는데 룰이 느슨했다든가, 접속기록은 남기는데 위변조 방지가 안 되어 있다든가 하는 어중간한 상태가 대부분이기 때문입니다. 그래서 "그 미비점 때문에 털린 게 아닌데도 과징금을 맞나"라는 물음이 남습니다.작년 10월 헌법재판소가 이 물음에 정면으..

6년 전에 글을 쓰면서 이런 말을 적었다. 보안담당자가 되려고 관제나 컨설팅을 거치는 사람이 많을 것이다, 담당자 자리는 대부분 경력을 선호하기 때문이다, 파견관제에 나가면 담당자가 무슨 일을 하는지 최소한 엿볼 수는 있다고.그 글을 쓸 때는 남 얘기였다. 그런데 그러고 1년 뒤에 내가 그 길을 갔다. 관제를 4년 5개월 하고 개인정보보호 담당자로 옮겼고, 지금은 담당자로 5년째다.글끝에 다음 편에서는 근무패턴과 회사 고르는 팁을 쓰겠다고 해놓고, 글에서 근무패턴만 다루고 6년을 묵혔다. 회사 고르는 팁 대신 이 이야기를 적는 게 지금은 더 쓸모 있을 것 같다. 왜 옮겼나관제 업무 자체가 싫었던 건 아니다. 은행에 파견을 나가 있었으니 절차는 촘촘했고, ESM으로 패턴을 관리하고 침해 대응을 하고 방화벽..

기획부서에서 검토 요청이 옵니다. 쇼핑몰에서 새 이벤트를 하려는데 개인정보 쪽에 문제가 없는지 봐달라는 겁니다. 열어보면 그대로는 어려운 경우가 대부분입니다.당연한 일입니다. 그쪽은 매출을 만드는 게 목표고 법을 모르는 게 정상입니다. 그리고 우리 역할도 그 기획을 못 하게 막는 데 있지 않습니다. 어떤 방식이면 가능한지를 찾아주고, 남는 위험을 줄이고, 나중에 문제가 되더라도 설명할 수 있도록 근거를 남겨두는 것. 그게 검토라는 일입니다.그러려면 법을 읽을 줄 알아야 하는데, 개인정보 보호법 조문부터 외우는 건 순서가 아닙니다. 그 조문이 어디에 놓여 있는지를 먼저 알아야 합니다. 같은 문장이라도 법률에 있는지 고시에 있는지에 따라 무게가 다르고, 우리 회사에 적용되는 법이 개인정보 보호법이 아닐 수도..

대법원 2017. 4. 7. 선고 2016도13263 판결을 실무자 관점에서 풀어 쓴 글입니다. 판결문 원문은 대법원 종합법률정보 또는 국가법령정보센터에서 확인할 수 있습니다. 개인정보 처리방침을 쓰다 보면 반드시 한 번은 손이 멈추는 지점이 있습니다. 이 업체를 '수탁사' 칸에 넣을 것인가, '제3자 제공' 칸에 넣을 것인가. 계약서 검토할 때도 마찬가지입니다. 상대방이 보내온 계약서 제목에 '업무위탁계약'이라고 적혀 있으면 위탁으로 정리하고 넘어가고 싶어지죠.이 구분에 대한 기준을 대법원이 제시한 판결이 있습니다. 응모권 동의 문구를 1mm 글씨로 인쇄해 '깨알글씨 사건'으로 불렸던 그 사건입니다. 사람들은 깨알글씨만 기억하지만, 실무자에게 더 중요한 건 이 판결의 후반부 - 위탁과 제3자 제공을 가..

대법원 2024. 6. 17. 선고 2019도3402 판결을 실무자 관점에서 풀어 쓴 글입니다. 판결문 원문은 대법원 종합법률정보 또는 국가법령정보센터에서 확인할 수 있습니다. "가입만기 고객 리스트 있습니다." 텔레마케팅 쪽에서 일해본 사람이라면 이런 제안이 얼마나 흔하게 오가는지 알 겁니다. 마케팅 대상 DB를 사고파는 시장은 오래전부터 있었고, 지금도 형태만 바꿔 돌아갑니다. 이 판결은 바로 그 관행을 정면으로 다뤘습니다. 결론은 무죄인데, 이 무죄를 "사도 된다"로 읽는 순간 크게 다칩니다. 왜 그런지 순서대로 보겠습니다. 어떤 사건인가피고인들은 인터넷 서비스 가입만기가 임박한 고객들에게 전화를 걸어 다른 인터넷 서비스 가입을 권유하는 텔레마케팅 사업을 했습니다. 영업 대상 명단이 필요했고, 개인..