○ 개인정보처리방침을 통해 교육청에서 관할학교 홈페이지 등 통합 유지보수와 관련한 개인정보처리위탁 사항을 게재하고 학교에서는 개별로 처리하는 위탁 건에 대해 개인정보처리위탁 사항을 게재하면 됩니다.

개인정보 보호법 제30조, 표준 개인정보 보호지침 제3절

○ 학교 등 공공기관은 등록대상이 되는 개인정보파일에 대하여 개인정보 처리방침을 정하여야 합니다. 그렇지만, 개인정보파일 가운데 학교의 내부적 업무처리만을 위하여 사용되는 개인정보파일은 등록하지 않아도 되므로 이 파일에 대해서는 개인정보 처리방침을 정하지 않아도 됩니다. 비록 개인정보 처리방침을 정하지 않는다고 하더라도 해당 개인정보파일을 제3자에게 제공하는 경우에는 개인정보보호법의 규정을 준수하여야 합니다.

 ○ 목적 외 제3자 제공에 해당하는 경우에는 “정보주체로부터 별도 동의를 받은 경우 또는 범죄의 수사와 공소 제기 및 유지를 위한 경우”를 제외하고 제3자 제공을 한 날부터 30일 이내에 ①목적 외 제3자 제공을 한 날짜, ②목적 외 제3자 제공의 법적 근거, ③목적 외 제3자 제공의 목적, ④목적 외 제3자 제공을 한 개인정보의 항목을 관보 또는 인터넷 홈페이지에 10일 이상 게재하여야 합니다. 

 ○ 이 경우 인터넷 홈페이지에 게재할 때에는 10일 이상 계속 게재하되, 게재를 시작하는 날은 목적 외 제3자 제공을 한 날부터 30일 이내여야 합니다. 그러므로 인터넷 홈페이지에 10일 이상 계속 게시하였다면 그 이후에는 언제든지 학교의 장이 판단하여 그 게시물을 삭제할 수 있습니다. 

개인정보 보호법 제15조·제17조·제18조, 개인정보 보호법 시행규칙 제2조, 표준 개인정보 보호지침 제9조

 ○ 정보통신망 내외부로 송·수신할 고유식별정보, 비밀번호, 바이오정보는 암호화하여야 합니다. 

 ○ 개인정보 암호화 전송을 위해 보안서버를 활용할 수 있습니다.
    ※ “보안서버”란 웹서버에 SSL(Secure Sockets Layer) 인증서나 암호화 소프트웨어를 설치하여 암호통신을 수행하는 방식을 말합니다.

 ○ 인터넷 구간 및 인터넷 구간과 내부망의 중간 지점에 고유식별정보를 저장하는 경우에는 이를 암호화하여야 합니다.

 ○ 또한 안전한 암호화 통신을 위해서는 가상사설망(VPN) 또는 전용선 등 안전한 접속수단을 적용하거나 안전한 인증수단을 적용해서 통신해야 합니다.

개인정보 보호법 제29조, 개인정보의 안전성 확보조치 기준

 ○ 학사정보시스템을 통하여 개인정보가 처리되므로 이것은 개인정보처리시스템에 해당합니다. 

 ○ 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우에는 가상사설망 또는 전용선 등 안전한 접속수단을 적용하여야 합니다. 

개인정보 보호법 제29조, 개인정보의 안전성 확보조치 기준

 ○ 개인정보처리자는 개인정보 보호법 제29조(안전조치의무)에 따라 개인정보 가운데 고유식별정보, 비밀번호, 바이오정보를 암호화하여야 하고, 암호화하는 경우 안전한 알고리즘으로 암호화하여 저장하여야 합니다. 비밀번호의 경우 복원 불가능하게 일방향 암호화를 해야 할 것입니다.

 ○ 상용 데이터베이스에서 제공하는 암호화 알고리즘이 법 제29조에 따른 개인정보의 안전성 확보조치 기준에 요구되는 암호화 알고리즘이면 별도의 암호화 장비를 도입하여 사용할 필요는 없습니다.

 ○ 국내 암호 연구 관련 기관의 권고 암호 알고리즘 예시
    - 공개키 암호 알고리즘(RSAES), 대칭키 암호 알고리즘(SEED, HIGHT, ARIA-128/192/256, LEA-128/192/256), 일방향 암호 알고리즘(SHA-224/256/384/512)

 ○ 상기 권고 암호 알고리즘만 표시하였으며 최신 권고 암호 알고리즘은 달라질 수 있으므로, 암호화 적용시 국내·외 암호 관련 연구기관에서 제시하는 최신 정보 확인이 필요합니다.

개인정보 보호법 제29조, 개인정보의 안전성 확보조치 기준

 ○ 유아 및 보호자의 이름, 연락처 등이 담겨있는 유아주소록은 개인정보파일에 해당됩니다.

 ○ 따라서 이와 같이 문서로 된 개인정보파일은 잠금장치가 있는 안전한 장소에 보관하여야 합니다. 업무를 위하여 필요한 경우에만 꺼내어 사용하고, 그 사용이 끝난 경우에는 즉시 안전한 장소에 다시 보관하여 접근권한이 없는 자에 의해 개인정보의 유·노출 사고 등이 발생하지 않도록 하여야 합니다. 

개인정보 보호법 제29조, 개인정보의 안전성 확보조치 기준

 ○ 각급 학교는 개인정보가 분실·도난·유출·변조 또는 훼손되지 아니하도록 내부관리계획 수립, 접속기록 보관 등 안전성 확보에 필요한 기술적·관리적 및 물리적 조치를 하여야 합니다.

 ○ 비상연락망은 학교의 내부업무만을 처리하기 위하여 사용되는 개인정보파일로서 등록 대상은 아니지만, 이를 보관할 때에는 안전성 확보조치를 하여야 합니다. 비상연락망은 출력하여 일반적으로 문서로 보관하게 되는데, 이 경우 사용이 끝난 경우에는 잠금장치가 있는 안전한 장소에 보관하여야 합니다. 

 ○ 파일로 비상연락망을 보관하고자 하는 경우 다음과 같은 조치를 취하여야 합니다.

 ○ 개인정보처리시스템을 이용하여 비상연락망을 열람하려는 경우 학교는 파일 암호화 또는 이용자 제한, 파일의 동시 변경을 금지하기 위한 파일 잠금(file locking)과 같은 수단으로 파일에 대한 접근을 규제하여야 합니다. 그리고 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하여 비상연락망을 열람할 수 있도록 하기 위하여서는 가상사설망(VPN : Virtual Private Network) 또는 전용선 등 안전한 접속수단을 적용하여야 합니다. 또한 비상연락망이 인터넷 홈페이지, P2P, 공유설정 등을 통하여 열람권한이 없는 자에게 공개되거나 외부에 유출되지 않도록 개인정보처리시스템 및 업무용 컴퓨터에 조치를 취하여야 합니다.

 ○ 개인정보처리시스템을 이용하지 않고 단순히 업무용 컴퓨터에 개인정보를 저장하는 경우 운영체제나 보안프로그램에서 제공하는 접근통제 기능을 사용하거나 비밀번호를 설정하여 보관이 가능합니다.

개인정보 보호법 제29조, 개인정보의 안전성 확보조치 기준

 ○ 주민등록번호를 포함한 고유식별정보(외국인등록번호, 운전면허번호, 여권번호), 바이오정보는 법 제29조 및 관련 고시에 따라 반드시 암호화 하여야 하며 특히 비밀번호는 복호화 되지 않는 안전한 단방향 암호화를 하여야 합니다. 
  
 ○ 2016년 1월 1일 이전에 내부망 내에서 저장된 고유식별정보는 위험도 분석, 개인정보 영향평가 등을 통해 위험성을 파악해 암호화 여부를 결정할 수 있었습니다.

 ○ 하지만 2016년 1월 1일부터는 내부망에서 처리되는 주민등록번호는 위험성 여부와 관계없이 암호화를 해야 합니다.

개인정보 보호법 제23조(민감정보의 처리 제한), 제24조(고유식별정보의 처리 제한), 제24조의2(주민등록번호 처리의 제한)

 ○ “개인정보처리자”는 개인정보를 처리함에 있어서 개인정보가 안전하게 관리될 수 있도록 ‘개인정보취급자’에 대하여 적절한 관리·감독을 행하여야 합니다. 또한 개인정보의 적정한 취급을 보장하기 위하여 개인정보취급자에게 정기적으로 필요한 교육을 실시하여야 합니다. 

 ○ 그 밖에도 다음과 같은 조치를 하여야 합니다. 
   ① 개인정보처리시스템에 대한 접근권한을 업무 수행에 필요한 최소한의 범위로 업무담당자에 따라 차등 부여하여야 합니다.
   ② 전보 또는 퇴직 등 인사이동이 발생하여 개인정보취급자가 변경시 지체 없이 개인정보처리시스템의 접근권한을 변경 또는 말소하여야 합니다.
   ③ 개인정보처리시스템에 접속할 수 있는 사용자 계정을 발급하는 경우, 개인정보취급자 별로 한 개의 사용자계정을 발급하여야 하며, 다른 개인정보취급자와 공유되지 않도록 하여야 합니다.
   ④ 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우에는 가상사설망(VPN : Virtual Private Network) 또는 전용선 등 안전한 접속수단을 적용하여야 합니다. 

개인정보 보호법 제28조, 표준 개인정보 보호지침 제2조제6호, 개인정보의 안전성 확보조치 기준

 ○ 개인정보처리자는 시스템 접근권한을 업무의 성격에 따라 최소한의 범위로 차등부여하고 관리 조치를 취해야 합니다.

 ○ 또한 인사이동시 접근권한을 즉시 변경 또는 말소해야합니다. 따라서 인수인계를 위해 기존 권한을 보유하는 것은 바람직해 보이지 않습니다. 인사발령 시점 전에 인수인계가 이루어질 수 있도록 하시는 것이 바람직합니다.

 ○ 다만, 내부관리계획 또는 관련 규정에 인수인계를 위해 특정 기간 동안 권한을 보유할 수 있다고 정해놓았다면 관련 안전조치 등 보완조치와 함께 보유할 수 있습니다.

개인정보 보호법 제28조, 제29조