제31조(개인정보 유출사고 대응 계획 수립 및 시행)
1. 개인정보 침해·유출이 발생한 것을 인지한 경우 또는 그러한 침해의 발생이 의심되는 경우 지체 없이 업무부서의 개인정보보호 분야별 책임자에게 이를 알려야 하며, 개인정보의 유출사고 대응 계획은 다음과 같다.
| 단계 | 처리주체 | 상세 업무 | ||
| 침해사고 신고 | 민원인, 직원 개인정보취급자 |
◦ 개인정보 유출사고 인지 ◦ 개인정보취급자, 개인정보보호 분야별책임자 인지하여 개인정보 보호담당자에게 보고 ◦ 피해 최소화를 위한 긴급조치 수행 (접속경로 차단, 취약점 점검·보완, 삭제처리 등) |
||
| ↓ | ||||
| 신고 접수 | 개인정보 보호담당자 | ◦ 개인정보 보호책임자에게 보고 | ||
| ↓ | ||||
| 정보주체 유출통지 | 개인정보 취급자 | ◦ 개인정보 보호담당자에게 “[별지 제8호]개인정보 유출신고(보고)서”제출 ◦ 정보주체에게 개인정보 유출사실 통지(5일이내) |
||
| ↓ | ||||
| 상위기관 신고 | 개인정보 보호담당자 | ◦ “개인정보 유출신고(보고)서” 경기도교육청을 경유하여 교육부에 보고 ◦ 1천명 이상의 개인정보 유출시 행정안전부 또는 한국인터넷진흥원(privacy.go.kr)에 유출신고 |
||
| ↓ | ||||
| 침해사고 대응팀 구성 | 개인정보 보호책임자 | ◦ 개인정보 유출사고 규모 및 성격에 따라 대응반 구성 ◦ 필요시 분야별 개인정보 전문가, 정보보안 전문가로 구성 |
||
| ↓ | ||||
| 침해사고 처리 | 침해사고 대응팀 | ◦ 사건현황·경위조사(분석) 및 조치 (회수, 삭제, 수사의뢰, 관련자 징계 등) ◦ 2차 피해 방지를 위한 고객 민원 대응 및 고객 불안 해소 조치 ◦ 개인정보 유출에 대한 피해구제 절차 안내 |
||
| ↓ | ||||
| 침해사고 결과보고 | 침해사고 처리책임자 | ◦ 개인정보 침해사고 결과 보고 | ||
| ↓ | ||||
| 개선 및 이행점검 | 개인정보 보호책임자 | ◦ 개인정보 침해사고 사례 전파 교육 및 개선대책 시행 |
2. 실제로 유출 사고가 발생한 것으로 확인된 때에는 정당한 사유가 없는 한 5일 이내에 서면, 전자우편, 모사전송, 전화, 휴대전화 문자전송 또는 이와 유사한 방법을 통하여 해당 정보주체에게 다음 각 호의 사항을 알려야 한다. 다만, 유출된 개인정보의 확산 및 추가 유출을 방지하기 위하여 접속경로의 차단, 취약점 점검·보완, 유출된 개인정보의 삭제 등 긴급한 조치가 필요한 경우에는 그 조치를 한 후부터 5일 이내에 정보주체에게 알릴 수 있다.
① 유출된 개인정보의 항목
② 유출된 시점과 그 경위
③ 유출로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보
④ 개인정보처리자의 대응조치 및 피해구제절차
⑤ 정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처
3. 제2항 각 호의 사항을 모두 확인하기 어려운 경우에는 정보주체에게 다음 각 호의 사실만을 우선 알리고, 추후 확인되는 즉시 알릴 수 있다.
① 정보주체에게 유출이 발생한 사실
② 제2항의 통지항목 중 확인된 사항
4.분야별 보호책임자는 개인정보 유출 사고의 미인지로 인해 해당 정보주체에게 개인정보 유출 통지를 하지 아니한 경우에는 실제 유출 사고를 알게 된 시점을 입증하여야 한다.
5. 분야별 보호책임자는 개인정보가 유출되었을 경우 “[별지 제8호]개인정보 유출신고(보고)서”를 작성하여 개인정보 보호책임자에게 제출하여야 한다.
제32조(개인정보 보호조직 구성 및 운영)
1. 개인정보 침해사고 발생 시 신속한 대응, 공격탐지, 피해복구, 예방 등 종합적이고 체계적인 공동대응 체제구축을 위해 경기도교육청 교육정보담당관(정보기획담당) 주관 하에 “개인정보 보호조직(침해사고 대응반)”을 편성하고, 교육부, 경기도교육정보기록원 등 유관기관과 긴밀한 협조체제를 유지함으로써 침해사고에 신속히 대처한다.
2. 개인정보 보호조직(개인정보 침해사고 대응 조직)체계는 아래와 같다.
| 교육부 (정보보호팀) |
정보공유 | 국가정보원 국가사이버안전센터 |
||||||||
| ⇔ | ||||||||||
| 경기도교육청 (개인정보 보호책임자) |
교육사이버안전센터 | |||||||||
| 협조 | ||||||||||
| 경기도교육정보기록원 (사이버안전센터) |
교육정보담당관 정보기획담당 (개인정보 보호담당자) |
지원·협조 |
교육정보담당관 정보기획담당 (정보보안담당자) |
|||||||
| 각 부서 (개인정보보호 분야별책임자) |
교육지원청 | 직속기관, 고등학교, 특수학교, 각종학교, 평생교육시설 | ||||||||
| 유치원, 초등학교, 중학교, 평생교육시설(지역관할) | ||||||||||
3. 각 조직별 역할은 아래와 같다.
| 구 분 | 내 용 |
| 개인정보 보호책임자 | - 개인정보 침해사고 예방, 처리 및 재발방지 총괄 관리 - 개인정보 침해사고 발생 시 침해사고 처리책임자를 지정 - 침해사고 대응조직 구성 및 운영 |
| 개인정보 보호조직 (개인정보침해사고대응팀) |
- 개인정보 보호책임자가 침해사고분석, 대응 및 복구에 필요한 관련자를 지정하여 소집 - 개인정보보호전문가, 정보보안전문가 등 필요시 외부 전문가 등으로 구성 가능 - 해당기관 침해사고로 인하여 발생한 사고의 조사 및 복구 |
| 개인정보보호 분야별책임자 (침해사고 처리책임자) |
- 해당 침해사고 발생 부서의 장으로 지정 - 처리 및 재발방지에 대한 책임을 지고 개인정보 침해사고 대응반과 협력하여 사고 해결 |
| 개인정보 보호담당자 | - 개인정보 침해사고를 접수하고 침해사고 대응 절차를 개시 - 대내(부서·팀 내)·외 비상연락 및 절차별 업무추진 - 개인정보 침해기록을 관리하고 필요시 관련자 및 기관에 보고 |
| 정보보안담당관·담당자 (교육사이버안전센터) |
- 침해사고가 기술적인 분석을 요할 경우 이에 대한 지원을 제공(경기도교육정보기록원 사이버안전센터 협조) |
| 전 직원(개인정보취급자) | -모든 직원은 개인정보에 대한 침해사고가 발생한 것을 인지할 경우 개인정보보호 분야별 책임자를 경유하여 개인정보 보호담당자에게 신고 |
