공공기관의 개인정보파일 관리지침

	행정안전부

Ⅰ. 목    적

○ 이 관리지침은 공공기관이 준수하여야 할 개인정보파일 관리에 관한 세부사항을 규정하는 것을 목적으로 함

Ⅱ. 적용근거

○「공공기관의 개인정보보호에 관한 법률」(이하, 개인정보보호법)

Ⅲ. 적용범위

1. 적용대상

가.「정부조직법」에 따른 중앙행정기관 및 그 소속기관

○ 중앙행정기관(소속․부속기관, 특별지방행정기관 포함), 합의제 행정기관, 대통령 자문기구, 독립․한시위원회 등

나.「지방자치법」에 따른 지방자치단체

○ 광역단체․특별자치도 및 기초단체(직속기관, 출장소 포함), 지방의회, 합의제 행정기관, 하부행정기관 등

다.「지방교육자치에 관한 법률」에 따른 교육기관

○ 교육위원회, 교육청(보조기관, 소속기관 포함), 하급교육행정기관 등

라.「초․중등 및 고등교육법」, 그 밖의 법률에 따른 각급학교

마. 공공단체 중 대통령령으로 정하는 기관

○「공공기관의 운영에 관한 법률」에 따른 공공기관

○「지방공기업법」에 따른 지방공사 및 지방공단

○ 특별법에 의해 설립된 특수법인

※「금융실명거래 및 비밀보장에 관한 법률」에 따른 금융기관은 제외됨

2. 적용분야

○ 개인정보보호법을 적용 받는 공공기관에서 업무처리를 목적으로 보유․처리하고 있는 전자적 형태의 개인정보파일에 대하여 적용함

3. 적용제외

○「통계법」에 의해 수집되는 개인정보

○ 국가안전보장과 관련된 정보분석을 목적으로 수집되는 개인정보

Ⅳ. 관리기준 및 방법

1. 개인정보파일 범위 및 분류

가. 파일범위

○ 개인정보파일은 처리정보를 쉽게 검색할 수 있도록 일정한 형식에 따라 체계적으로 배열하거나 구성된 개인정보의 집합물을 말함

○ 	PC, Server 등의 기반을 통해 생성되며 문서파일, 데이터베이스파일, 화상파일 등 다양한 형태로 생성될 수 있음

나. 파일보유

○ 업무 처리를 목적으로 개인정보파일을 생성하여 가지고 있거나, 공유 및 연계정보를 처리하여 저장하고 있는 경우를 말함(단순열람 제외)

○ 개인정보파일에 대한 처리 업무를 다른 기관․단체 등에 위탁한 경우 위탁기관이 보유하고 있는 것임(수탁기관 제외)

다. 파일분류

○ 개인정보파일은 업무분장표 또는 정보시스템에 의해 처리하는 단위업무의 유형별로 구분하여 분류해야 함

- 부서별 업무분장표에 따라 1인 또는 소수의 인원으로 구성된 계(팀)에 분장되는 단위업무 또는 단위사업 수준으로 분류함

- 업무처리를 지원하는 정보시스템의 기능목록명 또는 프로세스명을 적용하되 시도․시군구(새올)․교육(NIES) 행정정보시스템 등 여러 단위시스템을 종합하여 운영하는 경우 단위시스템별로 각각 분류함

○ 공공기록물 분류체계인 부서별 기록관리기준표를 준용할 경우 업무관리시스템의 단위과제, 전자결재시스템의 단위과제(기록물철) 수준으로 분류할 수 있음

○ 특별지방행정기관, 지방자치단체, 교육기관(학교 포함) 등 전국 단일의 공통 업무를 집행하고 있는 기관은 행정안전부가 제공하는 당해 ‘개인정보파일 표준목록’을 우선하여 관리해야 함

2. 개인정보파일 생성 및 처리

가. 파일 사전협의

○ 개인정보를 새로이 수집하거나 보유한 개인정보파일에 관한 사항이 변경될 경우 해당 개인정보파일 관리의 안전성에 대해 ‘사전협의서(별지 제1호 서식)’를 작성하여 행정안전부와 협의해야 함

○ 사전협의는 개인정보파일 보유가 예상되는 시점 이전에 필요한 절차로서 보유기관은 자체 검토 및 평가를 사전협의 전에 수행해야 함

※ 관련 절차 및 방법은 행정안전부 홈페이지 정책자료실에 게재하고 있음

○ 개인정보보호법 제6조 제3항에 해당하는 아래의 사항은 개인정보파일 보유 사전협의를 제외함

- 국가 안전 및 외교상 비밀, 국가의 중대한 이익에 관한 파일

- 범죄수사, 공소제기, 형집행, 교정․보안처분, 출입국에 관한 파일

- 조세범처벌법 및 관세법에 의한 관련 범칙조사에 관한 파일

- 보유기관의 내부적 업무처리만을 위하여 사용되는 파일

※ 내부적 업무는 소속 구성원의 급여, 인사, 예비군관리 등 업무효과가 해당 기관의 구성원에게만 미치는 업무임

- 타 법령에 의해 비밀로 분류되거나 공개정보가 기록된 파일

- 자료, 물품, 금전 송부 등의 목적만을 위하여 보유하는 파일

- 체신관서가 금융업무 취급을 위하여 보유하는 파일

나. 파일 보유기간

○ 보유기간은 전체 데이터가 아닌 개별 데이터의 보유부터 삭제까지의 생애주기로서 보유목적에 부합된 최소 기간으로 산정해야 함

○ 보유기간 산정은 아래 예시와 같이 ‘개별 법령의 규정’에 명시된 자료 보존기간에 따라 산정해야 함

- 주민등록정보파일 : 영구(주민등록법 시행령)

- 가족관계등록정보파일 : 영구(가족관계의 등록 등에 관한 규칙)

- 부동산등기정보파일 : 영구(부동산등기법)

- 공중보건 분야 진료정보파일(요양급여) : 5년 (국민건강보험법 시행령)

○ 개별 법령에 구체적인 보유기간이 명시되어 있지 않은 경우 개인정보 총괄부서의 협의를 거쳐 기관장의 결재를 통하여 산정해야 함

- 보유기간은「공공기록물 관리에 관한 법률 시행령」에 따른 기록물의 보존기간별 책정기준 및 기록관리기준표를 상회할 수 없음

- 정책고객, 홈페이지회원 등의 홍보 및 대국민서비스 목적의 외부고객 명부는 특별한 경우를 제외하고는 2년을 주기로 정보주체 재동의 절차를 거쳐 동의한 경우에만 계속 보유가 가능함

다. 파일대장 작성

○ 공공기관이 소관업무 수행을 위해 보유하는 개인정보파일에 대한 종합적인 사항을 일정한 양식에 따라 기록한 장부로서 개인정보 취급자별로 직접 개인정보파일대장을 작성하여 보관해야 함

※ 개인정보파일대장 작성요령은 본 지침의 ‘참고자료’와 같음

○ 개인정보파일대장은 개인정보파일을 신규 보유하게 되거나 다른 기관으로부터 제공받아 보유하게 되면 작성하되 1개의 개인정보파일에 1개의 개인정보파일대장을 작성해야 함

○ 사전협의가 제외되는 개인정보보호법 제6조 제3항의 사항에 해당되는 개인정보파일은 대장을 작성하지 않아도 됨

※ 개인정보파일 대장의 작성만 제외되며 다른 관리적 사항은 조치가 필요함

라. 파일 입․출력관리

○ 개인정보파일을 생성하여 처리하고 있는 부서의 장은 개인정보 입출력 사항에 대하여 ‘입출력자료관리대장(별지 제2호 서식)’에 기록하여 관리해야 함

마. 파일 이용․제공관리

○ 다른 기관이 보유정보에 대하여 이용․제공을 요청한 경우 문서를 통해 보유 목적 및 범위 등을 제출 받아 적정 여부를 확인해야 함

○ 보유정보를 다른 기관에 제공하고자 할 때에는 최소한의 범위로 제한하여 제공하며 보유기관의 동의 없이 제3자에게 이용․제공할 수 없도록 조치해야 함

○ 다른 법률의 명시적 근거를 제외하고는 보유목적 외의 목적으로는 보유정보를 이용․제공 할 수 없으나 개인정보보호법 제10조 제3항에 해당하는 아래의 사항은 예외적으로 이용․제공할 수 있으며 이를 ‘처리정보이용제공대장(별지 제3호 서식)’에 기록하여 관리해야 함

- 다른 법률의 명시적 근거에 따라 제공하는 경우

- 정보주체의 동의가 있거나 정보주체에게 제공하는 경우

- 다른 법률에서 정하는 소관 업무를 수행할 수 없는 경우로서 ‘공공기관 개인정보보호심의위원회’의 심의를 거친 경우

- 조약, 국제협정의 이행을 위해 외국정부 또는 국제기구에 제공하는 경우

- 통계작성, 학술연구를 위해 타인을 식별할 수 없도록 하여 제공하는 경우

- 정보주체의 동의표시․확인이 불가능한 상태지만 명백한 이익이 인정되는 경우

- 범죄수사, 공소제기, 법원의 재판업무를 위하여 필요한 경우

바. 파일 현황관리

○ 개인정보 총괄부서는 보유․파기현황을 주기적으로 조사하여 그 결과를 기관 홈페이지의 개인정보보호방침에 포함하여 관리해야 함

○ 중앙행정기관, 광역자치단체, 시도교육청 등 최상위기관은 하위(하급)기관의 보유․파기현황을 주기적으로 조사하여 관리해야 함

○ 전국 단일의 공통업무를 집행하고 있는 특별지방행정기관, 지방자치단체, 교육기관(학교 포함)이 소속된 최상위기관은 하위(하급)기관의 ‘개인정보파일 표준목록’을 함께 관리해야 함

- 중앙행정기관 중 특별지방행정기관을 둔 노동부, 국세청, 법무부, 국토해양부, 검찰청, 해양경찰청, 지식경제부, 공정거래위원회, 국가보훈처, 환경부, 조달청, 통계청, 병무청, 산림청, 중소기업청, 식품의약품안전청, 기상청

- 광역자치단체 및 시도교육청이 해당됨

사. 파일 현황제출

○ 행전안전부는 매년 전 공공기관의 개인정보파일 보유현황을 조사하여 관보에 관련 내용을 공고하며 중앙행정기관, 광역자치단체, 시도교육청 등 행정계층별 최상위기관은 하위(하급), 산하기관에 대한 보유 및 파기현황 제출에 협조해야 함

3. 개인정보파일 열람 및 변경

가. 열람주체

○ 본인에 관한 처리정보의 열람은 개인정보파일대장에 기재된 범위 안에서 정보주체인 본인(대리인 포함)만 가능하며 타인의 정보는 열람할 수 없음

나. 열람방법

○ 개인정보에 대한 열람을 청구할 수 있는 열람창구를 지정하고 기관 홈페이지의 개인정보보호방침을 통해 공지해야 함

- 통합 열람창구를 운영할 경우 개인정보 총괄부서 또는 민원부서가 적합함

○ 열람창구에는 정보주체가 열람을 요청할 수 있도록 개인정보 ‘열람청구서(별지 제4호 서식)’를 비치하며 열람청구를 받은 때에는 10일 이내에 조치해야 함

다. 열람제한

○ 공공기관이 보유하고 있는 개인정보파일의 경우 처리정보의 당사자인 정보주체(대리인 포함)에게 열람을 제한할 수 없음

○ 개인정보보호법 제13조에 해당하는 아래의 사항은 열람을 제한할 수 있음

- 조세의 부과․징수 또는 환급에 관한 업무

- 각급학교와 평생교육시설의 성적평가 또는 입학자의 선발에 관한 업무

- 학력, 기능 및 채용시험, 자격 심사, 보상금․급부금 산정에 관한 업무

- 다른 법률에 의한 감사 및 조사에 관한 업무

- 토지 및 주택 등에 관한 부동산 투기를 방지하기 위한 업무

- 불공정 증권 거래를 방지하기 위한 업무

- 개인의 생명․신체를 해할 우려가 있거나 개인의 재산과 기타의 이익을 부당하게 침해할 우려가 있는 경우

○ 열람제한을 결정한 경우 ‘열람제한결정서(별지 제6호 서식)’를 청구인에게 통지해야 함

라. 정정 및 삭제

○ 개별 개인정보에 대한 변경 또는 수정사항, 보유기간 만료 등 보유 불필요, 삭제 청구가 발생되었을 때는 이를 반영하여 관리해야 함

○ 개인정보를 열람한 정보주체가 본인의 처리정보에 대하여 정정 및 삭제를 청구한 경우 즉시 조치해야 함

- 열람장소에 ‘정정․삭제청구서(별지 제8호 서식)’를 함께 비치하여 정보주체의 청구시 정당한 사유가 없는 한 10일 이내에 조치해야 함

○ 개인정보를 삭제할 경우 재사용이 불가능하도록 영구 삭제해야 함

마. 삭제제한

○ 정보주체의 청구가 있어도 다른 법률에 따라 보유해야 하는 경우 해당 개인정보 항목에 대한 삭제를 거부할 수 있음

○ 삭제청구에 대한 제한 사유가 발생한 경우 결정의 내용 및 사유와 당해 결정에 대한 불복절차에 관한 사항을 기재한 ‘정정․삭제거부 등 결정통지서(별지 제11호 서식)’를 청구인에게 송부해야 함

4. 개인정보파일 파기

가. 파일파기

○ 개인정보파일의 보유목적 달성 등 해당 개인정보파일의 보유가 불필요하게 된 경우 해당 개인정보파일을 지체 없이 파기해야 함

○ 개인정보파일을 파기하는 부서의 장은 해당 파기사항에 대해 ‘입출력자료관리대장(별지 제2호 서식)’에 기록하여 관리해야 함

나. 파기제한

○ 다른 법령에 따라 보존이 필요한 경우 파기하지 아니할 수 있음

다. 파기방법

○ 보유하고 있는 개인정보파일을 파기할 경우 복구할 수 없는 기술적 방법을 통해 원본 및 백업본을 파기해야 함

○ 다수가 공동 이용하는 데이터베이스 형태의 개인정보파일은「행정정보 데이터베이스 표준화 지침(행정안전부고시 제2008-47호)」의 폐기절차에 따라 조치해야 함

라. 파기공고

○ 개인정보 취급자는 개인정보파일을 파기한 경우 그 사실을 즉시 개인정보 총괄부서에 통보하여야 함

○ 개인정보 총괄부서는 개인정보파일의 파기현황을 매월 조사하여 그 결과를 관보 또는 기관 홈페이지에 공고해야 함

참고자료	개인정보파일대장 작성요령

□ 작성서식

① 기관명			② 연번
③ 파일명
④ 보유목적
⑤ 보유근거
⑥ 수집방법
⑦ 대상개인범위
⑧ 대상인원수			⑨ 보유기간
⑩ 기록항목 (항목수)
⑪ 사용부서
⑫ 열람예정일
⑬ 열람청구 부서 및 주소
⑭ 열람 제한	항목
	사유
⑮ 이용․제공기관명
⑯ 이용․제공근거
⑰ 이용․제공항목

□ 작성요령

① 기관명

- 개인정보를 생성, 처리, 이용․제공하고 있는 기관의 명칭을 작성

- 개인정보파일을 위탁하고 있는 경우 위탁기관과 수탁기관의 명칭을 함께 작성

② 연번

- 개인정보파일의 순차적 관리번호로서 개인정보 총괄부서에서 부여

③ 파일명

- 소관 단위업무(사업), 정보시스템의 업무기능 및 프로세스명을 포함하여 작성

- 특별지방행정기관, 지방자치단체, 교육기관(학교 포함)에서 수행하는 전국 단일의 공통업무에 해당하는 경우 개인정보파일 표준목록에 따라 작성

④ 보유목적

- 개인정보파일을 보유하고자 하는 업무목적을 간략하게 작성

⑤ 보유근거

- 개인정보파일 보유목적에 대한 근거 법령, 고시, 직제 등을 조 단위로 작성

- 자체 추진계획 및 내부지침을 근거로 하는 경우 문서번호, 등록일자를 작성

⑥ 수집방법

- 개인정보파일에 기록되는 개인정보항목들을 수집하는 방식을 작성

- 정보시스템 간의 연계를 통해 내․외부로부터 정보를 받고 있는 경우 연계DB명, 제공기관․부서를 함께 작성

⑦ 대상개인범위

- 개인정보파일의 정보주체 형태를 작성

⑧ 대상인원수

- 개인정보파일에 몇 명의 개인정보가 수집되고 있는지를 작성

⑨ 보유기간

- 전체 데이터가 아닌 개별 데이터의 보유부터 삭제까지의 생애주기로서 보유목적에 부합된 최소 기간으로 산정하여 작성

- 개별 법령의 규정 및 기관장의 결재를 통해 확정된 보유기간을 작성

⑩ 기록항목(항목수)

- 개인정보파일에서 포함되어 있는 기록항목(유형)별 개인정보 및 개수를 작성

⑪ 사용부서

- 업무수행을 위해 해당 개인정보파일을 사용하는 모든 부서(과 단위)를 작성

⑫ 열람예정일

- 개인정보파일에 기록된 정보주체의 처리정보를 열람할 수 있는 시점을 작성

- 정보시스템을 통해 개인정보파일을 보유하는 경우 정보시스템 개통일자를 작성

- 개인정보보호법 제13조에 의해 제한되는 경우는 열람제한으로 작성

⑬ 열람청구 부서 및 주소

- 개인정보파일에 기록된 정보주체의 처리정보를 열람 청구할 수 있도록 지정된 기관별 열람 장소를 작성

⑭ 열람제한

가. 항목

- 정보주체(본인 또는 대리인)에 대해 열람이 제한되는 개인정보를 작성

- ⑩번 기록항목에서 제시한 항목 범위 내에서 작성

나. 사유

- 정보주체(본인 또는 대리인)에게 열람을 제한하는 경우 그 사유를 작성

- 열람을 제한하는 사유는 개인정보보호법 제13조에 해당하는 경우만 작성

⑮ 이용․제공기관명

- 보유 개인정보를 이용하고 있거나 제공 받고 있는 타 기관명, 부서를 작성

⑯ 이용․제공근거

- 보유목적 내에서 개인정보를 이용․제공하는 경우 관계 법령 등의 규정을 작성

- 보유목적 외의 이용․제공은 법률(영, 규칙 등은 제외)의 명시적 근거를 작성

⑰ 이용․제공항목

- 타 기관이 이용하게 하거나 제공하고 있는 개인정보에 대한 전체 항목을 작성