[ISMS-P] 세부 점검항목별 키워드(2023.11월 기준)

[금융회사]정보보호최고책임자는 정보보안점검의 날을 지정하고, 임직원이 정보보안 점검항목을 준수했는지 매월 점검하고 그 점검 결과 및 보완 계획을 최고경영자에 보고

< 의무 대상자의 과태료/과징금 부과 기준 >

• 안전성 확보에 필요한 조치를 하지 아니한 자 : 3천만원 이하의 과태료
• 위탁자의 동의를 받지 아니하고 제3자에게 다시 위탁한 자 : 2천만원 이하의 과태료
• 국내대리인을 지정하지 아니한 자 : 2천만원 이하의 과태료
• 개인정보 보호책임자를 지정하지 아니한 자 : 1천만원 이하의 과태료
• 적격한 정보보호 최고책임자로 지정하지 아니하거나 정보보호 최고책임자의 지정을 신고하지 아니한 자 : 3천만원 이하의 과태료
• 정보보호 최고책임자로 하여금 다른 업무를 겸직하게 한 자 : 3천만원 이하의 과태료
• 정보보호 관리체계 인증을 받지 아니한 자 : 3천만원 이하의 과태료
• 침해사고 신고를 하지 아니한 자 : 3천만원 이하의 과태료
• 피해 보상 보험에 가입하지 아니한 자(IDC) : 2천만원 이하의 과태료
• 국내대리인을 지정하지 아니한 자 : 2천만원 이하의 과태료
• 불법촬영물등 유통방지 책임자를 지정하지 아니한 자 : 2천만원 이하의 과태료
• 매년 4월말까지 청소년 보호 책임자를 지정하지 아니한 자 : 1천만원 이하의 과태료
• 정보보호 관리체계 인증받은 내용을 거짓으로 홍보한 자 : 1천만원 이하의 과태료
• 매년 6월말까지 정보보호 현황을 공시하지 아니한 자 : 1천만원 이하의 과태료

[가상자산사업자]정보보호최고책임자는 정보보안점검의 날을 지정하고, 정보보안 점검항목을 수립하여 매분기 준수여부 점검 및 그 결과를 최고경영자에게 보고
[알뜰폰 사업자]정보보호최고책임자는 정보보호점검의 날을 지정하고, 정보보호 점검항목을 수립하여 매 분기별 준수여부 점검 및 그 결과를 최고경영자에게 보고

< 전자금융감독규정 제26조(직무의 분리) >
금융회사 또는 전자금융업자는 다음 각 호의 업무에 대하여 직무를 분리ㆍ운영하여야 한다.

1. 프로그래머와 오퍼레이터
2. 응용프로그래머와 시스템프로그래머
3. 시스템보안관리자와 시스템프로그래머
4. 전산자료관리자(librarian)와 그 밖의 업무 담당자
5. 업무운영자와 내부감사자
6. 내부인력과 전자금융보조업자 및 유지보수업자 등을 포함한 외부인력
7. 정보기술부문인력과 정보보호인력
8. 그 밖에 내부통제와 관련하여 직무의 분리가 요구되는 경우

< 전자금융감독규정 제19조의2(정보보호 교육계획의 수립 시행) >

1. 임원 : 3시간 이상(단, 정보보호최고책임자는 6시간 이상)
2. 일반직원 : 6시간 이상
3. 정보기술부문업무 담당 직원 : 9시간 이상
4. 정보보호업무 담당 직원 : 12시간 이상

< 신용정보제공계약에 포함될 신용정보 보안관리 대책 >

• 가. 제공되는 신용정보의 범위 및 제공ㆍ이용 목적
• 나. 제공된 신용정보의 업무목적 외 사용 및 제3자 앞 제공 금지에 관한 사항
• 다. 제공된 신용정보의 이용자 제한 및 전담 관리자 지정에 관한 사항
• 라. 신용정보제공ㆍ이용자간 신용정보 송수신시 정보유출 방지에 관한 사항
• 마. 신용정보의 사용ㆍ보관 기간 및 동 기간 경과 후 신용정보의 폐기ㆍ반납에 관한 사항
• 바. 가목부터 마목까지를 위반한 경우의 책임소재 및 제재에 관한 사항

< 개인정보의 안전성 확보조치 기준 제5조(접근 권한의 관리)제6항 >
⑥ 개인정보처리자는 정당한 권한을 가진 개인정보취급자 또는 정보주체만이 개인정보처리시스템에 접근할 수 있도록 일정 횟수 이상 인증에 실패한 경우 개인정보처리시스템에 대한 접근을 제한하는 등 필요한 조치를 하여야 한다.

< 개인정보의 안전성 확보조치 기준 제6조(접근통제)제2항 >
② 개인정보처리자는 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우 인증서, 보안토큰, 일회용 비밀번호 등 안전한 인증수단을 적용하여야 한다. 다만, 이용자가 아닌 정보주체의 개인정보를 처리하는 개인정보처리시스템의 경우 가상사설망 등 안전한 접속수단 또는 안전한 인증수단을 적용할 수 있다.

< 특수권한(예시) >

• 관리자 권한(Root, Administrator, admin, sys, system, sa 등 최상위 권한)
• 배치프로그램 실행을 위하여 부여된 권한
• 보안시스템 관리자 권한
• 계정 생성 및 접근권한을 설정할 수 있는 권한 등

< 전자금융감독규정 제15조(해킹 등 방지대책) >
⑥ 금융회사 또는 전자금융업자는 무선통신망을 설치ㆍ운용할 때에는 다음 각 호의 사항을 준수하여야 한다.

1. 무선통신망 이용 업무는 최소한으로 국한하고 법 제21조의2에 따른 정보보호최고책임자의 승인을 받아 사전에 지정할 것
2. 무선통신망을 통한 불법 접속을 방지하기 위한 사용자인증, 암호화 등 보안대책을 수립할 것
3. 금융회사 내부망에 연결된 정보처리 시스템이 지정된 업무 용도와 사용 지역(zone) 이외의 무선통신망에 접속하는 것을 차단하기 위한 차단시스템을 구축하고 실시간 모니터링체계를 운영할 것
4. 비인가 무선접속장비(Access Point : AP) 설치ㆍ접속여부, 중요 정보 노출여부를 주기적으로 점검할 것

< 개인정보의 안전성 확보조치 기준 제6조(접근통제)제6항 >
⑥ 전년도 말 기준 직전 3개월간 그 개인정보가 저장ㆍ관리되고 있는 이용자 수가 일일평균 100만명 이상인 개인정보처리자는 개인정보처리시스템에서 개인정보를 다운로드 또는 파기할 수 있거나 개인정보처리시스템에 대한 접근 권한을 설정할 수 있는 개인정보취급자의 컴퓨터 등에 대한 인터넷망 차단 조치를 하여야 한다. 다만, 「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률」 제2조제3호에 따른 클라우드컴퓨팅서비스를 이용하여 개인정보처리시스템을 구성ㆍ운영하는 경우에는 해당 서비스에 대한 접속 외에는 인터넷을 차단하는 조치를 하여야 한다.

< 전자금융감독규정 제15조(해킹 등 방지대책) >

• 내부통신망과 연결된 내부 업무용시스템은 인터넷(무선통신망 포함) 등 외부통신망과 분리ㆍ차단 및 접속 금지
• 전산실 내에 위치한 정보처리시스템과 해당 정보처리시스템의 운영, 개발, 보안 목적으로 직접 접속하는 단말기에 대해서는 인터넷 등 외부통신망으로부터 물리적으로 분리할 것

< 개인정보의 안전성 확보조치 기준 제7조(개인정보의 암호화)제6항 >
10만명 이상의 정보주체에 관하여 개인정보를 처리하는 대기업ㆍ중견기업ㆍ공공기관 또는 100만명 이상의 정보주체에 관하여 개인정보를 처리하는 중소기업ㆍ단체에 해당하는 개인정보처리자는 암호화된 개인정보를 안전하게 보관하기 위하여 안전한 암호 키 생성, 이용, 보관, 배포 및 파기 등에 관한 절차를 수립ㆍ시행하여야 한다.

< 개인정보의 안전성 확보조치 기준 제8조(접속기록의 보관 및 점검)제1항 >
개인정보처리자는 개인정보취급자의 개인정보처리시스템에 대한 접속기록을 1년 이상 보관ㆍ관리하여야 한다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 2년 이상 보관ㆍ관리하여야 한다.
(“접속기록”이란 개인정보처리시스템에 접속하는 자가 개인정보처리시스템에 접속하여 수행한 업무내역에 대하여 식별자, 접속일시, 접속지 정보, 처리한 정보주체 정보, 수행업무 등을 전자적으로 기록한 것을 말한다.)

1. 5만명 이상의 정보주체에 관한 개인정보를 처리하는 개인정보처리시스템에 해당하는 경우
2. 고유식별정보 또는 민감정보를 처리하는 개인정보처리시스템에 해당하는 경우
3. 개인정보처리자로서 「전기통신사업법」제6조제1항에 따라 등록을 하거나 같은 항 단서에 따라 신고한 기간통신사업자에 해당하는 경우

< 개인정보의 안전성 확보조치 기준 안내서(2024.10) >

• “처리한 정보주체 정보”와 관련된 사항에는 민감하거나 과도한 개인정보가 저장되지 않게 하여야 하며, 필요시 이 기준에 따라 암호화해야 한다.
• 가명정보를 처리하는 경우 추가 정보의 사용 없이는 정보주체를 식별할 수 없으므로 가명처리된 데이터를 식별할 수 있는 가명정보ID, 일련번호 등이 있다면 “처리한 정보주체 정보” 항목으로 해당 정보를 기록하여야 하며, 가명처리된 데이터를 구별할 수 있는 정보가 없는 경우는 “처리한 정보주체 정보” 항목을 남기지 않을 수 있다.

< 개인정보의 안전성 확보조치 기준 제8조(접속기록의 보관 및 점검) >
② 개인정보처리자는 개인정보의 오ㆍ남용, 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손 등에 대응하기 위하여 개인정보처리시스템의 접속기록 등을 월 1회 이상 점검하여야 한다. 특히 개인정보의 다운로드가 확인된 경우에는 내부 관리계획 등으로 정하는 바에 따라 그 사유를 반드시 확인하여야 한다.

< 개인정보의 안전성 확보조치 기준 제6조(접근통제) >
① 개인정보처리자는 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 다음 각 호의 안전조치를 하여야 한다.
 1. 개인정보처리시스템에 대한 접속 권한을 IP주소 등으로 제한하여 인가받지 않은 접근을 제한
 2. 개인정보처리시스템에 접속한 IP주소 등을 분석하여 개인정보 유출 시도 탐지 및 대응

< 전자금융감독규정 제14조의2(클라우드컴퓨팅서비스 이용절차 등) >
※참고자료: 금융분야 클라우드컴퓨팅서비스 이용 가이드(2025년도 개정)

1. 이용업무의 중요도 평가
2. 클라우드컴퓨팅서비스 제공자의 건전성 및 안전성 등에 대한 평가 :
   – 안전성 평가 시 침해사고대응기관(금융보안원)이 수행한 평가 결과 활용 가능
3. 업무 연속성 계획 및 안전성 확보조치의 수립ㆍ시행
4. 정보보호위원회의 심의ㆍ의결
5. 계약 체결 후 3개월 이내에 금융감독원장에게 보고

< 공개서버 보호대책 >

• 웹서버를 통한 개인정보 송수신 시 TLS1.2 이상 버전의 인증서 설치 등 보안서버 구축
• 침입차단시스템 등 보호시스템 운영
• 백신설치 및 업데이트 설정
• 응용프로그램(웹서버, openssl 등), 운영체제 등에 대한 최신 보안패치 설치
• 불필요한 서비스 제거 및 포트 차단
• 불필요한 소프트웨어, 스크립트, 실행파일 등 설치 금지
• 에러 처리 페이지, 테스트 페이지 등 불필요한 페이지 노출 금지
• 주기적 취약점 점검 수행 등

< 전자금융감독규정 제17조(홈페이지 등 공개용 웹서버 관리대책) >

1. 공개용 웹서버는 DMZ에 설치
2. 공개용 웹서버에 접근할 때는 IP/PW 이외에 추가 인증수단 적용
3. 공개용 웹서버에서 다른 서비스 및 시험·개발 도구 사용 제한
4. 주요 정보를 저장 및 관리하지 아니할 것(단 거래로그는 반드시 암호화하여 저장ㆍ관리)
5. 공개용 웹서버에 게재 시 준수 사항
   • 게시자료에 대한 사전 내부통제 실시
   • 무기명 또는 가명에 의한 게시 금지
   • 홈페이지에 자료를 게시하는 담당자의 지정ㆍ운용
   • 개인정보의 유출 및 위ㆍ변조를 방지하기 위한 보안조치

< 개인정보의 안전성 확보조치 기준 제10조(물리적 안전조치)제3항 >
③ 개인정보처리자는 개인정보가 포함된 보조저장매체의 반출ㆍ입 통제를 위한 보안대책을 마련하여야 한다. 다만, 별도의 개인정보처리시스템을 운영하지 아니하고 업무용 컴퓨터 또는 모바일 기기를 이용하여 개인정보를 처리하는 경우에는 이를 적용하지 아니할 수 있다.

< 개인정보의 안전성 확보조치 기준 제9조(악성프로그램 등 방지) >
① 개인정보처리자는 악성프로그램 등을 방지ㆍ치료할 수 있는 보안 프로그램을 설치ㆍ운영하여야 하며, 다음 각 호의 사항을 준수하여야 한다.

1. 프로그램의 자동 업데이트 기능을 사용하거나, 정당한 사유가 없는 한 일 1회 이상 업데이트를 실시하는 등 최신의 상태로 유지
2. 발견된 악성프로그램 등에 대해 삭제 등 대응 조치

< 표준 개인정보 보호지침 제29조(개인정보 유출등 사고 대응 매뉴얼 등) >
① 다음 각 호의 어느 하나에 해당하는 개인정보처리자는 유출등 사고 발생 시 신속한 대응을 통해 피해 발생을 최소화하기 위해 「개인정보 유출등 대응 매뉴얼」을 마련하여야 한다.

1. 법 제2조제6호에 따른 공공기관
2. 그 밖에 1천명 이상의 정보주체에 관한 개인정보를 처리하는 개인정보처리자

② 제1항에 따른 개인정보 유출등 대응 매뉴얼에는 유출등 통지ㆍ조회 절차, 영업점ㆍ인터넷회선 확충 등 고객 민원 대응조치, 현장 혼잡 최소화 조치, 고객불안 해소조치, 피해자 구제조치 등을 포함하여야 한다.
③ 개인정보처리자는 개인정보 유출등에 따른 피해복구 조치 등을 수행함에 있어 정보주체의 불편과 경제적 부담을 최소화할 수 있도록 노력하여야 한다.

< 마이데이터 종합포탈 -> 금융분야 마이데이터 기술 가이드라인 >
가입자 수 100만명 이상의 마이데이터사업자는 가입자 100만명에 도달한 시점에서 1년 이내에 금융보안원 금융보안관제센터가 제공하는 보안관제 서비스에 가입해야 한다.

< 주요정보통신기반시설의 취약점 분석ㆍ평가 기준 >

• 대상: 중앙행정기관의 장이 지정 또는 과학기술정보통신부장관과 국가정보원장 등이 중앙행정기관의 장에게 지정 권고(60일 이내 결정, 결정 후 30일 이내 통보)
• 시기: 지정 후 6개월 이내(3개월 연장가능, 총 9개월), 최초 지정일로부터 6개월 이전 취약점 분석ㆍ평가를 하였을 경우 수행한 것으로 간주
• 주기: 매년
• 평가전문기관: KISA, 정보공유·분석센터, 정보보호 전문서비스 기업, 한국전자통신연구원

< 전자금융기반시설의 취약점 분석ㆍ평가 >

• 대상: 총자산이 2조원 이상 + 상시 종업원 수 300명 이상
• 주기: 연 1회 이상(홈페이지에 대해서는 6개월에 1회 이상)
• 평가전문기관: 정보공유·분석센터, 정보보호 전문서비스 기업, 침해사고대응기관(금융보안원)

< 개인정보의 안전성 확보조치 기준 제6조(접근통제)제1항제2호 >
2. 개인정보처리시스템에 접속한 인터넷 프로토콜(IP) 주소 등을 분석하여 개인정보 유출 시도 탐지 및 대응

< 신용정보법 제39조의4(개인신용정보 누설통지 등) 개인신용정보 누설 신고 방법 >

• 「개인정보 보호법」 제34조제1항 각 호의 사항을 준용하여 지체없이 신용정보주체에게 통지(서면, 전화, 전자우편, 휴대전화 문자메시지 등)
• 1만명 이상의 개인신용정보가 누설된 경우, 금융위원회 또는 금융감독원에 신고
  (단, 상거래기업 및 법인은 개인정보보호위원회 또는 한국인터넷진흥원에 신고)
• 개인신용정보가 누설되었다는 사실을 다음 어느 하나에 해당하는 방법으로 널리 알려야 함(1만명 이상의 개인신용정보가 누설된 경우)
  1. 인터넷 홈페이지에 그 사실을 게시하는 방법(15일 동안)
  2. 사무실이나 점포 등에서 해당 신용정보주체로 하여금 그 사실을 열람하게 하는 방법(15일 동안)
  3. 일반일간신문, 일반주간신문 또는 인터넷신문에 그 사실을 게재하는 방법(7일 동안)

< 정보통신망법 제46조(집적된 정보통신시설의 보호) >
⑥ 집적정보통신시설 사업자등은 재난이나 재해 및 그 밖의 물리적ㆍ기능적 결함 등으로 인하여 대통령령으로 정하는 기간 동안 정보통신서비스 제공의 중단이 발생한 때에는 그 중단 현황, 발생원인, 응급조치 및 복구대책을 지체 없이 과학기술정보통신부장관에게 보고하여야 한다.
 1. 연속해서 30분 이상
 2. 24시간 이내에 2회 이상 중단된 경우에는 그 중단된 기간의 합이 45분 이상

< 개인정보의 안전성 확보조치 기준 제11조(재해ㆍ재난 대비 안전조치) >
10만명 이상의 정보주체에 관하여 개인정보를 처리하는 대기업ㆍ중견기업ㆍ공공기관 또는 100만명 이상의 정보주체에 관하여 개인정보를 처리하는 중소기업ㆍ단체에 해당하는 개인정보처리자는 화재, 홍수, 단전 등의 재해ㆍ재난 발생 시 개인정보처리시스템 보호를 위한 다음 각 호의 조치를 하여야 한다.
 1. 위기대응 매뉴얼 등 대응절차를 마련하고 정기적으로 점검
 2. 개인정보처리시스템 백업 및 복구를 위한 계획을 마련

< 전자금융감독규정 제23조(비상대책 등의 수립ㆍ운용) >
⑨ 제8항 각 호의 금융회사는 업무별로 업무지속성 확보의 중요도를 분석하여 핵심업무를 선정하여야 하며, 업무별 복구목표시간을 정하여야 한다. 이 경우 핵심업무의 복구목표시간은 3시간 이내로 하되, 「보험업법」에 의한 보험회사의 핵심업무의 경우에는 24시간 이내로 한다.

< 주민등록번호를 비가역적으로 암호화한 정보(연계정보)를 처리할 수 있는 경우 >

1. 이용자가 입력한 정보를 이용하여 이용자를 안전하게 식별ㆍ인증하기 위한 서비스를 제공하는 경우
2. 개인정보 보호법에 따른 고유식별정보를 보유한 행정기관 및 공공기관이 연계정보를 활용하여 전자정부서비스를 제공하기 위한 경우로서 다음 각 목의 어느 하나에 해당하는 경우
   • 중앙사무관장기관의 장이 행정기관등의 이용자 식별을 통합적으로 지원하기 위하여 연계정보 생성ㆍ처리를 요청한 경우(중앙사무관장기관: 국회사무처, 법원행정처, 헌법재판소사무처, 중앙선거관리위원회사무처, 행정안전부)
   • 행정기관등이 고유식별정보 처리 목적 범위에서 불가피하게 이용자의 동의를 받지 아니하고 연계정보 생성ㆍ처리를 요청한 경우
3. 고유식별정보를 보유한 자가 개인정보 전송의무를 수행하기 위하여 개인정보 전송을 요구한 정보주체의 연계정보 생성ㆍ처리를 요청한 경우
4. 주민등록번호 처리가 허용된 경우로서 이용자의 동의를 받지 아니하고 연계정보 생성ㆍ처리가 불가피한 대통령령으로 정하는 정보통신서비스를 제공하기 위하여 본인확인기관과 해당 정보통신서비스 제공자가 함께 방송통신위원회의 승인을 받은 경우

< 고정형 영상정보처리기기 설치･운영 안내서 질의/응답 >
누구든지 예외사항을 제외하고는 공개된 장소에 고정형 영상정보처리기기를 설치ㆍ운영하여서는 아니 된다.

• 출입이 통제된 사무실은 공개된 장소로 볼 수 없으며, 비공개된 장소에 고정형 영상정보처리기기를 설치하고자 하는 경우에는 촬영범위에 포함된 모든 정보주체의 동의를 받는 것이 바람직함
• 택시나 버스 등 차량 내부에 설치된 CCTV는 「개인정보 보호법」상 고정형 영상정보처리기기에 해당하므로 안내판 설치, 임의 조작 및 녹음 금지 등의 의무를 준수하여야 함
• 민원인의 폭언･폭행이나 고객의 폭력 행사에 대비해 공개된 장소에 CCTV를 설치할 수 있으나, 해당 CCTV를 통한 녹음은 금지됨
• 공개된 민원실에는 범죄 예방 등 법령에서 허용한 목적으로만 CCTV를 설치할 수 있는 바, 방문기록을 촬영하기 위해 CCTV를 설치하는 것은 법으로 금지되어 있고, 기존 CCTV로 방문기록을 위해 촬영하는 것은 설치 목적을 벗어난 촬영이므로, 이 경우 촬영 각도를 조절해야 함
• 주차장에 설치된 CCTV가 타인이 통행하는 길거리까지 비추고 있다면 길거리나 다른 집 대문 등을 비추지 않도록 촬영 각도를 조절해야 함
• 당초 설치 목적 범위 내에서 CCTV의 줌 기능이나 촬영방향 전환 기능을 이용하는 것은 가능함
• 관할 공공기관이 쓰레기 무단투기자의 확인을 위해 인근 주민 등 제한된 범위 내의 자에게 CCTV 영상의 일부를 확인시키고 인적 사항을 묻는 것은 가능함
• 「영유아보육법」에서는 CCTV 영상을 열람 조치하는 경우에 다른 사람을 알아볼 수 없도록 하는 보호조치(예 : 모자이크 처리 등)를 별도로 규정하고 있지 않으나, CCTV 영상의 사본을 제공받아 어린이집 외부로 반출하고자 하는 경우에는 해당 영상에 포함된 모든 정보주체의 동의를 받거나 개인을 알아볼 수 없도록 하는 보호조치를 하여야 함

< 이동형 영상정보처리기기를 위한 개인영상정보 보호ㆍ활용 안내서 질의/응답>
업무를 목적으로 이동형 영상정보처리기기를 운영하려는 자는 예외사항를 제외하고는 공개된 장소에서 이동형 영상정보처리기기로 사람 또는 그 사람과 관련된 사물의 영상(개인정보에 해당하는 경우로 한정한다. 이하 같다)을 촬영하여서는 아니 된다.

• 유튜버 등 영상크리에이터가 거리를 지나는 불특정 다수 행인들의 영상을 마음대로 촬영하는 경우 업무 목적이 인정되는지 여부에 따라 보호법 적용이 가능
• 취미 목적 드론 등과 같이 순수하게 사적인 목적의 영상 촬영에 관하여는 「개인정보보호법」을 적용하지 않음
• 주행기술 개발, 지도제작 등에 활용하기 위해 촬영하는 경우에는 촬영 사실을 표시해야 함
• 공개된 도로 등에서 촬영된 영상을 AI 학습을 위해 활용하려는 경우에는 자동차등록번호를 통해 개인을 알아볼 수 없어 개인정보에 해당하지 않으므로 자동차등록번호를 가명처리 할 필요가 없음. 다만 자동차등록번호를 통해 소유주의 신원을 식별하는 AI를 개발하는 등의 특수한 상황에서는 개인정보에 해당될 수 있음
• 정보주체가 촬영 사실을 알 수 있도록 명확히 표시하였음에도 불구하고 해당 정보주체가 촬영 거부 의사를 밝히지 아니한 경우에는 정보주체의 동의는 필요하지 않음
• 음성 녹음에 대해서는 「개인정보 보호법」 제15조의 일반원칙이 적용됨에 따라 녹음된 내용이 특정 개인을 알아볼 수 있는 개인정보에 해당하는 경우에는 정보주체 동의 등의 법적 근거를 갖추어야 함

< 정보통신망법 시행령 제62조의3(수신동의 여부의 확인) 확인 시 고지사항 >

1. 전송자의 명칭
2. 수신자의 수신동의 사실과 수신에 동의한 날짜
3. 수신동의에 대한 유지 또는 철회의 의사를 표시하는 방법

< 이동통신단말기기의 필수적·선택적 접근권한에 대한 동의 시 고지 사항 >

• (필수적 접근권한인 경우) ①접근권한이 필요한 정보 및 기능의 항목, ②해당 정보 및 기능에 접근이 필요한 이유를 알려야 함
• (선택적 접근권한인 경우) 위의 ①, ②와 함께 ③접근권한 허용에 동의하지 않을 수 있다는 사실을 알려야 함

< 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공할 수 있는 경우 >
(정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외, 제5호부터 제9호까지는 공공기관의 경우로 한정, 제7호의 경우 관보 또는 인터넷 홈페이지에는 게재하지 않으나 ‘개인정보 목적 외 이용 및 제3자 제공대장ʼ에는 기록해야 함)

1. 정보주체로부터 별도의 동의를 받은 경우
2. 다른 법률에 특별한 규정이 있는 경우
3. 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우
4. 삭제 <2020. 2. 4.>
5. 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하지 아니하면 다른 법률에서 정하는 소관 업무를 수행할 수 없는 경우로서 보호위원회의 심의ㆍ의결을 거친 경우
6. 조약, 그 밖의 국제협정의 이행을 위하여 외국정부 또는 국제기구에 제공하기 위하여 필요한 경우
7. 범죄의 수사와 공소의 제기 및 유지를 위하여 필요한 경우
8. 법원의 재판업무 수행을 위하여 필요한 경우
9. 형(刑) 및 감호, 보호처분의 집행을 위하여 필요한 경우
10. 공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우

< 개인정보보호법 제28조의7 가명정보 적용 예외 범위 >
제20조(정보주체 이외로부터 수집한 개인정보의 수집 출처 등 통지)
제20조의2(개인정보 이용ㆍ제공 내역의 통지)
제27조(영업양도 등에 따른 개인정보의 이전 제한)
제34조(개인정보 유출 등의 통지ㆍ신고)제1항 개인정보 유출 등의 통지 : 개인정보 유출 신고 의무는 적용
제35조(개인정보의 열람)
제35조의2(개인정보의 전송 요구)
제36조(개인정보의 정정ㆍ삭제)
제37조(개인정보의 처리정지 등)

< 위치정보사업자등의 사업 양도 등의 통지 방법 >

• 권리와 의무를 이전받은 자는 30일 이내 개인위치정보주체에게 통지하여야 한다
  1. 사업의 전부 또는 일부의 양도등의 사실
  2. 위치정보사업자등의 권리와 의무를 승계한 자의 성명, 주소, 전화번호 그 밖의 연락처
  3. 개인위치정보주체의 권리 및 의무에 관한 사항
  4. 개인위치정보의 보호를 위한 관리적ㆍ기술적 조치에 관한 사항
• 통지하는 경우 다음 각 호의 조치를 모두 취하여야 한다
  1. 서면 또는 전자우편 그 밖의 방법으로 개인위치정보주체에 대한 통지
     (과실없이 직접 통지하지 못하는 경우에는 전국을 보급지역으로 하는 2 이상의 일반일간신문에 1회 이상 공고하는 것으로 갈음)
  2. 인터넷홈페이지에 30일 이상 게시

< 개인정보의 국외 이전이 가능한 경우(개인정보 보호법 제28조의8제1항) >

※ 개인정보 국외 이전 중지를 명령받은 개인정보처리자는 명령을 받을 날로부터 7일 이내에 의미를 제기할 수 있으며, 개인정보보호위원회는 이의 제기 내용을 검토하여 30일 이내에 처리 결과를 해당 개인정보처리자에게 통보해야 함

< 상거래 관계가 종료된 개인신용정보 관리방법 >

< 위치정보법 제23조(개인위치정보의 파기 등) >
① 위치정보사업자등은 개인위치정보의 수집, 이용 또는 제공목적을 달성한 때에는 위치정보 수집ㆍ이용ㆍ제공사실 확인자료 외의 개인위치정보는 즉시 파기하여야 한다. 다만, 다른 법률에 따라 보유하여야 하거나 개인위치정보주체가 자신의 개인위치정보의 보유에 관하여 별도로 동의한 경우 개인위치정보를 동의한 때부터 최대 1년까지 보유할 수 있다.

< 신용정보활용체제 필수 기재사항 >

1. 관리하는 신용정보의 종류 및 이용 목적
2. 신용정보를 제3자에게 제공하는 경우 제공하는 신용정보의 종류, 제공 대상, 제공받는 자의 이용 목적
3. 신용정보의 보유 기간 및 이용 기간이 있는 경우 해당 기간, 신용정보 파기의 절차 및 방법
4. 신용정보의 처리를 위탁하는 경우 그 업무의 내용 및 수탁자
5. 신용정보주체의 권리와 그 행사방법
6. 신용정보관리·보호인 또는 신용정보 관리·보호 관련 고충을 처리하는 사람의 성명, 부서 및 연락처
7. 신용등급 산정에 반영되는 신용정보의 종류, 반영비중 및 반영기간(신용조회회사만 해당)
8. 개인신용정보 보호 및 관리에 관한 기본계획(다음 각 호의 요건을 모두 갖춘 자로 한정)
   • 개인신용평가회사, 개인사업자신용평가회사, 기업신용조회회사 및 신용정보집중기관 중 어느 하나에 해당하는 기관일 것
   • 직전 사업연도 말 기준으로 총자산이 2조원 이상이고 상시 종업원 수가 300명 이상일 것
9. 신용정보업감독규정 [별표 4의2] 5.2.2. 임의적 기재사항
   • 신용정보주체의 권익침해에 대한 구제방법
   • 신용정보의 열람청구를 접수ㆍ처리하는 부서

< 개인위치정보 처리방침의 공개 >

1. 개인위치정보의 처리목적 및 보유기간
2. 개인위치정보 수집ㆍ이용ㆍ제공사실 확인자료의 보유근거 및 보유기간
3. 개인위치정보의 파기 절차 및 방법
4. 개인위치정보의 제3자 제공에 관한 사항(제공받는 자, 제공일시 및 제공목적)
5. 8세 이하의 아동등의 보호의무자의 권리ㆍ의무와 그 행사방법에 관한 사항
6. 위치정보관리책임자의 성명, 전화번호 등 연락처나 개인위치정보의 보호업무 및 관련 고충사항을 처리하는 부서의 명칭, 전화번호 등 연락처

< 개인정보 이용ㆍ제공 내역의 통지 방법 >
(연락처 등 정보주체에게 통지할 수 있는 개인정보를 수집ㆍ보유하지 아니한 경우에는 통지하지 아니할 수 있다.)

1. 서면·전자우편·전화·문자전송 등 정보주체가 통지 내용을 쉽게 확인할 수 있는 방법
2. 재화 및 서비스를 제공하는 과정에서 정보주체가 쉽게 알 수 있도록 알림창을 통해 알리는 방법(개인정보의 이용·제공 내역을 확인할 수 있는 정보시스템에 접속하는 방법을 통지하는 경우로 한정한다)

< 개인정보보호법 시행령 제42조의6(개인정보 전송의 기한 및 방법 등) >
⑩ 일반전문기관 및 특수전문기관은 제9항에 따른 전송요구대상정보 전송 내역을 시행령 제15조의3(개인정보 이용ㆍ제공 내역의 통지)제4항 각 호의 어느 하나에 해당하는 방법으로 연 1회 이상 정보주체에게 알려야 한다. 다만, 정보주체가 통지에 대한 거부의사를 표시한 경우에는 통지를 생략할 수 있다.

< 신용정보법 시행령 제18조의6(본인신용정보관리회사의 행위규칙 등) >
⑩ 법 제22조의9제4항 및 제5항에 따라 개인신용정보를 전송한 신용정보제공ㆍ이용자등과 개인신용정보를 전송받은 중계기관 및 본인신용정보관리회사는 전송내역에 대한 기록을 작성하고 보관해야 하며, 본인신용정보관리회사는 전송받은 신용정보내역에 관한 기록을 신용정보주체에게 연 1회 이상 통지해야 한다.