○ 방과후 학교는 해당 업체에 대한 계약 처리 시 계약서에 파기 방법 및 시점에 대한 내용을 포함하여 처리 진행해야 할 것입니다. 아울러 파기시점은 목적 달성 후 5일 이내가 원칙입니다.

 ○ 다만 학교 내부관리계획에 따라 해당 업체를 통해 수집한 개인정보의 보유기간을 산정하고 학년말에 일괄 파기하실 수도 있습니다.

 ○ 따라서, 개인정보 수집시 목적 달성시점 또는 동의서에 제시한 보유기간 만료시점에서 5일 이내에 파기하셔야 합니다.

개인정보 보호법 제15조, 제21조

홈페이지 회원 대상을 재학생으로 운영하고 있고, 매년 초 회원가입 동의서를 받고 졸업을 하면 삭제를 하는 경우 매년 삭제되는 회원에 대해 파기관리대장 작성 및 개인정보 보호책임자의 승인 절차를 밟아야 하는가?

 ○ "개인정보처리자"란 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등을 말합니다. 

 ○ 학생들과 함께 찍은 사진 또는 영상이 학교업무를 위한 것이 아니라면 업무목적으로 수집·이용한 개인정보에 해당하지 않으므로 보유할 수 있을 것으로 보입니다.

 ○ 다만, 정보주체의 동의없이 제3자에게 제공하지 않아야 하며 해당 개인정보도 안전성 확보를 위한 주의를 기울어야 합니다. 또한 정보주체로부터 파기(삭제)요청이 있을 시 지체 없이 파기(삭제)조치를 해야 합니다. 

 ○ 홈페이지 회원 정보는 2년을 주기로 정보주체로부터 재동의를 받아야 합니다.(다만, 기관의 특성에 따라 1년을 주기로 단축하여 진행할 수 있습니다.)

 ○ 홈페이지 이용 대상을 재학생으로 제한하여 운영하고 있는 경우 재학생이 졸업을 하면 홈페이지 개인정보 처리목적이 달성된 경우에 해당하므로 졸업 후 5일 이내에 해당 개인정보를 파기해야 합니다.

 ○ 매년 졸업생이 발생하여 홈페이지 회원 일부 삭제가 이루어질 때에는 부분파기에 해당합니다.

 ○ 이 경우 개인정보 보호책임자는 개인정보의 파기를 승인하고 파기 시행 후 파기 결과를 확인하며 개인정보파일 파기 관리대장의 폐기 사유에 “졸업에 따른 부분파기“(또는 유사한 용어로)로 기록하여 관리하여야 합니다. 다만, 기관의 개인정보 파기계획이 상이한 경우 상기 권고 절차를 참고하여 진행하여 주시기 바랍니다.

개인정보 보호법 제21조

 ○ 개인정보 보호법은 개인정보를 파기하기 위하여 정보주체에게 알리거나 동의를 받을 것을 규정하고 있지는 않습니다.

 ○ 다만, 정보통신망법의 적용 대상일 경우 정보통신망법 제29조 제3항에 따라 기간 만료 30일 전까지 개인정보가 파기되는 사실, 기간 만료일 및 파기되는 개인정보의 항목 등을 관련 대통령령으로 정하는 방법에 따라 이용자에게 알려야 합니다.

개인정보 보호법 제21조, 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제29조

 ○ 개인정보의 파기는 개인정보 보호책임자의 책임하에 수행되어야 하며, 개인정보 보호책임자는 개인정보 파기 시행후 파기결과를 확인하도록 되어있습니다. 단 분야별책임자를 지정한 경우에[는 분야별 책임자가 개인정보 보호책임자의 승인을 득 한 후 이를 수행할 수 있습니다. 

 ○ 개인정보 파기 절차는 개인정보파기계획 수립 및 전파(개인정보보호 책임자) → 개인정보파기 승인요청(개인정보 취급자) → 개인정보파기 승인(개인정보보호 책임자 및 분야별 책임자)에  따라 진행하여야 합니다. 
     ※ 파기 계획은 내부관리계획 내에 포함하거나 별도로 수립 가능

 ○ 아울러 파기에 대한 기록은 개인정보의 경우 개인정보파기 계획과 파기 결과보고를 관리하면 됩니다. 또한 개인정보파일의 파기에 대한 기록은 개인정보파일 파기 대장을 통해 기록·관리하여야 합니다.  

 ○ 다만, 개인정보의 파기 계획은 기관의 내부관리계획에 포함되어 있거나, 별도로 수립되어 있으므로, 상기 권고 절차를 참고하여 기관(또는 학교)의 개인정보의 파기 계획에 따라 개인정보 파기를 수행하기 바랍니다. 

개인정보 보호법 제21조, 교육부 개인정보 보호지침

 ○ 목적 등에 따라 이용 및 보유기간이 결정되며 개인정보 수집업무 길잡이(2019.6) 및 기록물관리지침 등을 참고하시기 바랍니다. 또한 목적달성 및 보유기간이 만료되면 즉시 파기하면 됩니다. 

 ○ 학기말 일괄 파기하고자 한다면 수집 및 신청시기와 상관없이 보유기간 만료 시점을 학기말 등으로 하면 동일한 시점에 일괄 파기할 수 있습니다.

개인정보 보호법 제21조

 ○ 정보통신망법의 적용 대상일 경우 정보통신망법 제29조 2항에 따라 정보통신서비스 제공자등은 정보통신서비스를 1년의 기간 동안 이용하지 아니하는 이용자의 개인정보를 보호하기 위하여 대통령령으로 정하는 바에 따라 개인정보의 파기 등 필요한 조치를 취하여야 합니다. 

 ○ 다만, 그 기간에 대하여 다른 법령 또는 이용자의 요청에 따라 달리 정한 경우에는 그에 따르면 됩니다.

 ○ 정보통신서비스 제공자등은 제2항의 기간 만료 30일 전까지 개인정보가 파기되는 사실, 기간 만료일 및 파기되는 개인정보의 항목 등 대통령령으로 정하는 사항을 전자우편 등 대통령령으로 정하는 방법으로 이용자에게 알려야 합니다.

 ※ "정보통신서비스 제공자"란 전기통신사업법 제2조제8호에 따른 전기통신사업자와 영리를 목적으로 전기통신사업자의 전기통신역무를 이용하여 정보를 제공하거나 정보의 제공을 매개하는 자를 말합니다. 

 ○ 다만, 교육기관의 대부분은 정보통신망법 대상이 아니며, 표준 개인정보 보호지침 '제60조 개인정보파일의 보유기간 산정의 제3항에 정책고객, 홈페이지 회원 등의 홍보 및 대국민서비스 목적의 외부고객 명부는 특별한 경우를 제외하고는 2년을 주기로 정보주체의 재동의 절차를 거쳐 동의한 경우에만 계속적으로 보유할 수 있습니다. 기관의 특성에 따라 1년을 주기로 단축하여 진행할 수 있습니다.

개인정보 보호법 제21조, 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제29조, 표준 개인정보 보호지침 제60조

 ○ 개인정보는 파기시마다 변경사항을 등록하는 것이 원칙입니다.

 ○ 다만 빈번하게 발생하는 경우 변경사항 등록을 기관 특성을 반영하여  내부관리계획에 내부 주기를 정하여 운용이 가능합니다. (예: 연 2회로 할 경우 상반기, 하반기 등 2회만 반영)

개인정보 보호법 제32조

이 경우 개인정보 보호책임자는 개인정보의 파기 수행과 파기결과 확인의 증빙을 위한 문서를 구체적으로 어떠한 서식, 형태로 작성·관리해야 하는가?
또한 1회성 행사 수행 등의 목적만을 위해 운용되는 개인정보파일의 파기 절차는 어떻게 되는가? 

 ○ 개인정보파일의 파기는  개인정보파일 파기 관리대장에 기록·관리 하여야 하며, 개인정보의 파기는 개인정보를 파기하고 내부결재 등을 통해 기록·관리하여야 합니다.

 ○ 개인정보 파기수행 및 결과 확인을 위한 증빙은 교육부 개인정보보호 지침 [별지 제9호 서식]에 따라 개인정보보호책임자의 승인을 받아 파기하고 [별지 제10호 서식]에 따른 개인정보파일 파기 관리대장을 작성하면 됩니다. 

 ○ 1회성 행사 수행 등의 목적만으로 운용되는 개인정보의 경우 개인정보파일도 동일하게 개인정보파일 파기 절차에 따라 진행하시면 됩니다.

 ○ 다만, 행사 수행의 목적으로 수집된 개인정보의 특성을 고려하여 개인정보처리자가 1회성 행사로 수집한 개인정보에 대해 개인정보파일로 정의하여 처리하기 보다는 개인정보로 규정한 경우 파기는 내부관리계획 절차(기안→파기→파기결과보고)에 따라 처리하도록 하시면 됩니다. 이 경우 개인정보파일이 아니므로 별도의 개인정보파일 파기 관리대장으로 작성하지 않으셔도 됩니다.

개인정보 보호법 제21조, 개인정보 보호법 시행령 제16조, 교육부 개인정보 보호지침 제10조. 제60조

 ○ 위탁자는 수탁자가 개인정보를 안전하게 처리하는지를 감독하여야 하는 의무가 있습니다. 

 ○ 위탁에 따른 개인정보파일의 보관 기간을 관리하여 목적달성완료 시점에 해당 파일이 완전파기가 되었는지 확인하고 파기확인서를 징구하여 관리하는 절차를 내부관리계획 등에 포함하여 관리·감독해야 합니다.  

 ○ 또는 파일 보관 기간이 길어 파기확인서 징구가 어려울 경우, 파기확약서 등을 받아두고 향후 파기가 제대로 수행되었는지 확인할 수 있을 것입니다. 

 ○ 파일 보관기간이 길수록 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 수탁자 교육을 더욱 철저히 하고, 수탁자에게 관련 손해배상책임에 대한 책임성이 있음을 주지시키도록 해야 합니다.

개인정보 보호법 제26조, 제21조 

 ○ 개인정보보호위원회 의결에 따라 학교는 선거 등으로 인한 학생 개인정보를 개별 학생 동의 없이 총학생회에 제공할 수 없습니다.

 ○ 따라서, 학교는 개인정보 보호법 제18조 제2항 제1호에 따라 정보주체(학생)로부터 별도의 동의를 받고 총학생회에 제공 가능합니다.

 ○ 이 경우 개인정보 보호법령에 따라 목적 외 이용·제공대장 등을 작성하셔야 합니다.

개인정보 보호법 제15조, 제18조, 고등교육법 제12조