KISA, 자동처리 개인정보 보호 가이드라인 발간

한국인터넷진흥원(KISA)은 행정안전부와 ‘자동처리 되는 개인정보 보호 가이드라인’을 발간했다고 19일 밝혔다.

이번에 발간한 가이드라인은 사물인터넷(IoT) 기기 등으로 개인정보를 자동처리 할 경우, 개인정보 처리 단계별로 사업자가 고려해야 할 사항을 실제 사례 중심으로 서술했다.

특히 개인정보 침해 위협을 사전에 예측하고 대비하기 위해 서비스 기획, 설계 단계부터 개인정보를 고려하는 ‘프라이버시를 고려한 설계(Privacy by Design)’ 개념을 국내에서 처음으로 적용했다.

예를 들어 집 내·외부를 모니터링하는 홈 CCTV 서비스를 SNS 계정과 연결해 스마트폰에서 상시 관리가 가능했지만, 서비스 해지 후에도 SNS 계정에 연동돼 타인에게 개인정보가 노출되는 사례가 발생할 수 있다.

이에 대해 개인정보보호법 제21조에 따라 정보 주체가 서비스 해지 시 법령 상 보존 의무가 없는 개인정보는 지체 없이 파기되도록 하고, 자동으로 개인정보를 수집하는 장치는 작동 중지, 장치 제거 등 추가 수집을 막도록 설계해야 한다고 조언해주는 식이다.

가이드라인에서는 사업자가 준수해야 할 ‘IoT 등에서 자동처리 하는 개인정보 보호 10대 수칙’도 제안했다.

먼저 기획 단계에서는 ▲서비스에 꼭 필요한 개인정보인지 확인 ▲개인정보 수집 시 법적 준수사항을 확인해야 한다.

설계 단계에서는 ▲반드시 필요한 개인정보만 최소한으로 처리 ▲개인정보 처리 단계별 적절한 안전조치 적용 ▲개인정보의 처리 절차와 처리 방법 투명하게 공개 ▲정보 주체가 권리 행사를 쉽게 할 수 있도록 보장 ▲개인정보의 제3자 제공, 위탁 시 정보 주체에게 명확히 안내 ▲정보주체가 서비스 해지 시 개인정보 파기와 추가 수집 방지 ▲사업 종료 시 정보 주체의 권리 보장 방안 등을 마련해야 한다.

서비스 출시 전 마지막 점검 단계에서는 ▲개인정보를 보호하기 위한 조치가 설계에 반영됐는지, 개인정보 침해 위험은 없는지를 확인해야 한다.