○ 각급학교의 폐교 및 통폐합 등으로 인한 개인정보파일 이전은 교육부장관 및 시도교육감이 지정한 개인정보처리자가 안전하게 이전될 수 있도록 처리하여야 합니다.

 ○ 개인정보보호법 제27조에서는 개인정보가 이전되는 경우 정보주체에게 통지하고, 통지하지 못한 정보주체를 위해 홈페이지 등에 30일 이상 해당 내용을 게재하게 하고 있습니다.

 ○ 현재 해설서에서 해당 내용은 민간 사업자를 대상으로 적용하고 있지만 교육기관은 개인정보의 정보주체 권리보장이라는 측면에서 정보주체에게 통지할 수 있도록 절차를 ‘교육부 개인정보보호지침’에 마련하고 있습니다.

 ○ 다만, 현장의 업무 경감을 위해 통지절차로 2단계에서 1단계로 간소화하여  해당 사항을 인터넷 홈페이지에 30일 이상 게재하도록 하고, 인터넷 홈페이지를 운영하지 아니하는 경우에는 사업장 등의 보기 쉬운 장소에 30일 이상 게시하도록 하고 있습니다.

교육부 개인정보 보호지침 2019년 개정(안)

 ○ 개인정보 영향평가는 개인정보파일의 운용으로 인해 정보주체의 개인정보 침해가 우려되는 경우 그 위험요인의 분석과 개선사항 도출을 위한 평가입니다.
 
 ○ 개인정보파일 운용 전에 계획 수립 및 시행을 하셔야 하며 그 결과를 개인정보파일의 행정안전부 포털에 등록할 때 같이 등록하셔야 합니다. 또는 영향평가 종료 후 2개월 이내에 제출하셔야 합니다.

 ○ 영향평가 결과 개선사항이 도출되면 개선사항에 대해 보완조치를 취하시고 영향평가기관의 이행현황 보고서 결과를 받아 1년 이내에 다시 행정안전부에 등록하셔야 합니다.

 ○ 따라서 개인정보처리시스템 구축 전에 개인정보 영향평가 사업 계획 및 시행을 하시고, 결과보고서를 행정안전부에 종료 후 2개월 이내에 제출하거나 개인정보파일 등록시 같이 제출하시면 됩니다. 또한 개선사항에 대해서는 이행점검을 통해 이행점검 결과보고서를 평가 1년 이내에 개인정보보호위원회에 등록하셔야 합니다.

개인정보 보호법 제33조, 개인정보 보호법 시행령 제35조

 ○ 개인정보 보호법 시행령 제35조에 따라 개인정보 운용체계 변경시에도 개인정보 영향평가의 대상에 포함이 됩니다.
 
 ○ 이는 검색체계 등 변경에 따라 운용체계에서 권한부여부터 시작하여 다양한 부분의 변경이 발생하며 이에 대한 위험요소와 개선 요소를 찾아 개선하고자 하는 것이 개인정보 영향평가라고 보시면 될 것 같습니다.

 ○ 다만, 단순한 노후 네트워크 장비의 교체 등은 개인정보 영향평가 대상에 해당하지 않습니다.

개인정보 보호법 제33조, 개인정보 보호법 시행령 제35조

 ○ 기관의 장은 개인정보파일의 운영으로 인하여 정보주체의 개인정보 침해가 우려되는 경우에는 그 위험요인의 분석과 개선 사항 도출을 위한 개인정보 영향평가를 하고 그 결과를 행정안전부장관에게 제출하여야 합니다. 
 
 ○ 개인정보 영향평가의 대상은 개인정보파일로서 전자적으로 처리할 수 있는 개인정보파일에 한정됩니다. 따라서 종이문서를 포함하지는 않습니다.

개인정보 보호법 제33조, 개인정보 보호법 시행령 제35조

 ○ 개인정보 영향평가는 개인정보파일의 운용으로 인하여 정보주체의 개인정보 침해가 우려되는 경우 그 위험요인의 분석과 개선사항 도출을 위한 평가입니다.

 ○ 또한 개인정보 영향평가의 대상은 개인정보를 전자적으로 처리할 수 있는 개인정보파일입니다.

 ○ 따라서 개인정보 영향평가는 각각의 정보시스템별로 수행하는 것이 아니라 개인정보파일이 기준이 되어 실시합니다.

 ○ 다만, 각 정보시스템별로 개인정보파일이 운영되는 경우 시스템별 영향평가 대상이 될 수 있습니다.

 ○ 개인정보 영향평가의 대상은 개인정보를 전자적으로 처리할 수 있는 개인정보파일입니다. 따라서 각 정보시스템별로 개인정보파일이 운영되는 경우에는 영향평가 대상이 될 수 있습니다. 

개인정보 보호법 제33조, 개인정보 보호법 시행령 제35조

 ○ 개인정보파일 등록은 개인정보처리자 단위로 이루어집니다. 그러므로 교육부의 ‘개인정보파일 표준목록’에 따라 개인정보처리자인 대학 단위로 ‘학적파일’, ‘성적파일’, ‘졸업관리파일’ 등을 학교 단위로 1개씩 등록하면 됩니다. 

개인정보 보호법 제32조, 표준 개인정보 보호지침 제58조

 ○ 일회성 행사 수행 등의 목적만을 위하여 운영하는 경우로서 저장하거나 기록하지 않고 파기 할 목적으로 수집된 개인정보파일은 등록의 적용을 받지 않습니다. 

 ○ 다만, 일회성 행사 수행 등의 목적으로 수집된 개인정보가 개인정보파일로 관리될 것인지, 단순 개인정보들로 규정할 것인지는 개인정보처리자에게 입증 책임이 있습니다.

개인정보 보호법 제32조

그리고 기관 내부 업무처리 목적의 개인정보파일 예시는?
등록된 개인정보파일을 별도로 개인정보파일 대장을 함께 보유하고 있어야 하나요?

 ○ 기관 내부적 업무처리만을 위하여 사용되는 개인정보파일은 등록 대상이 아니며 예시는 다음과 같습니다.
   - 임직원 전화번호부, 비상연락망, 인사기록파일 등
   - 요금정산, 회의참석자 수당지급, 자문기구운영 등을 위한 개인정보파일

 ○ 개인정보파일을 운영하는 경우 1개의 개인정보파일에 1개의 개인정보파일 대장을 작성·관리하여야 합니다.

개인정보 보호법 제32조, 표준 개인정보 보호지침 제50조

 ○ 개인정보파일 등록은 개인정보처리자 단위로 이루어지므로 각급 학교는 교육부의 ‘개인정보파일 표준목록’에 해당하는 ‘발전기금기탁자관리파일’을 학교 단위로 1개만 등록하면 됩니다.

개인정보 보호법 제32조

개인정보파일 표준목록 중 장학생 관리(학사 업무)가 10년 또는 준영구로 되어있습니다.
장학금 지급 자료는 학생에게 지급하는 장학금 종류, 금액, 지급계좌 정보 등을 포함하고 있고, 학비감면 내역은 등록금 납부 내역과 연관되어 있습니다.

 ○ 학교가 개인정보파일을 등록할 때에는 교육부가 제공하는 ‘개인정보파일 표준목록’을 참고하여 해당 보유기간을 상회하지 않는 범위내에서 학교의 특성에 맞게 개인정보처리자가 정할 수 있습니다. 보유 기간은 표준목록이 정하고 있는 기간 또는 2018 대학 기록물 보존기간 책정기준 가이드* 에 있는 기간까지 개인정보파일을 보유할 수 있습니다.
   * 관련 가이드는 최신 버전이 나올 경우 해당 최신 버전을 우선적으로 참조하여 책정하는 것이 바람직할 것입니다.

 ○ 그리고 개인정보파일은 일반적으로 업무단위로 구성되며 하나의 데이터베이스에 여러 개의 개인정보파일이 존재할 수 있습니다. 따라서 개인정보파일의 특정 항목은 다른 개인정보파일의 항목과 중복될 수 있습니다.

 ○ 개인정보파일의 보유기간은 개인정보파일 단위로 결정되며 따라서 각각의 개인정보파일의 보유기간이 다른 경우에 중복되는 항목이 있을 경우 보유기간이 가장 긴 개인정보파일에 따라 해당 항목을 보관해야 합니다. 

개인정보 보호법 제32조