“사회적 가치실현으로 시민과 상생하는 공기업”

2025년 여수시도시관리공단

개인정보 유출등 대응 매뉴얼

2025. 8.

[제정․개정 이력]

순 번	구 분	시행 일자	제정․개정 주요내용
1	제정	2023.9.18.	2023년 여수시도시관리공단 개인정보 유출 대응 매뉴얼 제정
2	개정	2024.8.28.	개인정보 보호법령 및 관련고시 반영 개인정보 보호법 및 시행령 개정사항 안내(2023. 12. 29.) 반영 팀 → 부 명칭 변경
3	개정	2025. 8. 29.	개인정보 보호법령 및 관련 고시 반영 오타 등 단어 변경

개인정보 유출등 대응 매뉴얼

개인정보 유·노출 및 침해사고 발생 시 유출확산과 추가 유출 등     2차 피해를 예방하고 침해사고에 신속하고 효율적으로 대응할 수      있는 대응체계를 마련하고자 함.

Ⅰ		개인정보 유출 개요

１ 개인정보 유출등이란?

□ 개인정보 유출등은 개인정보의 분실·도난·유출을 말하며 “표준 개인정보 보호지침” 제25조에 따라 법령이나 개인정보처리자의 자유로운 의사에 의하지 않고, 정보주체의 개인정보에 대하여 개인정보처리자가 통제를 상실하거나 권한 없는 자의 접근을 허용한 것을 말합니다.

□ 개인정보 유출에는 다음의 경우가 포함됩니다.

1. 개인정보가 포함된 서면, 이동식 저장장치, 휴대용 컴퓨터 등을      분실하거나 도난당한 경우

2. 개인정보가 저장된 데이터베이스 등 개인정보처리시스템에 정상적인     권한이 없는 자가 접근한 경우

3. 개인정보처리자의 고의 또는 과실로 인해 개인정보가 포함된 파일     또는 종이문서, 기타 저장 매체가 권한이 없는 자에게 잘못 전달된 경우

4. 기타 권한이 없는 자에게 개인정보가 전달된 경우

２ 추진배경

□ 개인정보 보호법 제34조(개인정보 유출 등의 통지·신고)

□ 개인정보 보호법 시행령 제39조(개인정보 유출 등의 통지)

개인정보 보호법 시행령 제40조(개인정보 유출 등의 신고)

□ 표준 개인정보 보호지침 제29조(개인정보 유출등 사고 대응 매뉴얼 등)

３ 적용범위 및 용어정리

□ 적용범위

- 여수시도시관리공단에서 처리하는 모든 개인정보 및 개인정보취급자의  침해 유출․사고

- 개인정보 오․남용 등 내외부자의 침해유출 요인 등으로 여수시도시관리공단의 개인정보 침해․유출사고가 발생한 경우 등

□ 용어정리

- (개인정보 침해의 정의) 법적 근거, 규정 또는 본인 동의에 의하지 않고 이루어지는 개인정보의 수집, 저장, 이용 및 제공, 파기행위 일체를 말함.

- (침해⋅유출사고) 개인정보의 유출, 비인가된 접근, 정보시스템의 오⋅남용, 비인가된 시스템 사용 또는 사용자의 계정 도용, 악성코드 유입 및 실행, 정보서비스의 방해뿐만 아니라 해킹사고와 바이러스 사고를 포함. 침해⋅유출 사고 대응팀은 침해⋅유출사고의 범위에 정의된 사고를 중심으로 대응조치를 취하도록 함.

- (개인정보 보호책임자) 개인정보처리자의 개인정보 처리에 관한 업무를 총괄해서 업무처리를 최종적으로 결정하는 자로서, 법 제31조에 따른 지위에 해당하는 자를 말함.

- (개인정보 보호담당자) 침해⋅유출사고와 관련된 내용을 숙지하고, 침해⋅유출사고 발생 시 개인정보 보호책임자를 도와 본 지침에 따라 대응 업무를 수행하는 자를 말함.

- (침해⋅유출사고 처리책임자) 해당 침해사고의 발생 부서의 장(분야별 개인정보보호 책임자)을 말한다.말함.

- (침해⋅유출사고 대응팀) 개인정보 유출, 해킹 또는 바이러스 사고 발생에 따른 사고의 분석, 처리지원, 사후 복구, 사후 예방조치 등을 주요 업무로 하는 개인정보보호 담당부서(경영지원부)를 말함.

４ 개인정보 침해사고의 유형 및 분류

□ 개인정보 항목별 중요도

등급	조합 수준	영향도 설명	개인정보 항목
1	개인을 식별할 수 있으며, 악용될 경우 위험이 높은 정보	∘ 정보주체의 경제적/사회적 손실을 야기하거나, 사생활을 현저하게 침해 ∘ 범죄에 직접적으로 악용 가능 ∘ 유출 시 민/형사상 법적 책임 부여 가능 및 대외 신임도 크게 저하	∘ 주민등록 ∘ 여권번호 ∘ 외국인등록번호 ∘ 운전면허번호 ∘ 신용카드, 계좌번호 ∘ 아이디, 비밀번호
	서비스 관련 정보		∘ 상담내용, 녹취내용
2	개인을 식별할 수 없으나, 개인을 식별 할 수 있는 정보와 같이 노출 시 위험이 높은 정보	∘ 정보주체의 개인 성향 등에 대한 추정 가능 ∘ 제한적인 분야에서 불법적인 이용 가능 ∘ 유출 시 민/형사상 법적 책임 부여 가능 및 대외 신임도 저하	∘ 인종, 종교, 병역, 정치성향 등 ∘ 사회단체활동 경력 등 ∘ 보건기록 등 건강 정보 ∘ 위치정보
3	개인을 식별할 수 있으나, 악용될 경우 위험이 낮은 정보	∘ 정보주체의 신분과 신상정보에 대한 확인 또는 추정 가능 ∘ 광범위한 분야에서 불법적인 이용 가능 ∘ 유출 시 민/형사상 법적 책임 부여 가능 및 대외 신임도 저하	∘ 이름, 주소 ∘ 전화번호, 핸드폰번호, 이메일 ∘ 개인영상정보
4	개인을 식별할 수 없으며, 악용될 경우 위험이 낮은 정보	∘ 단독으로는 개인에 대한 신상정보 추정 어려움 ∘ 광범위한 분야에서 제한적으로 불법적인 이용 가능 ∘ 대외 신인도 다소 저하	∘ 성별, 학력, 직업, 키, 몸무게, 혼인여부, 가족관계, 취미 등
5	정보가치가 낮은 정보	∘ 개인식별 및 범죄 악용 등에 큰 영향을 미치지 않는 수준	∘ IP정보, MAC주소, 쿠키(cookie) 등 ∘ 통계성 정보 ∘ 회원번호, 사번 등 내부용 개인식별정보

□ 개인정보 침해사고 유형

구 분	발생원인	내 용
개인정보 유출	외부자의 침입	∘ 개인정보(수기문서, 이동식저장장치 등)를 무단으로 탈취당한 경우 ∘ 개인정보처리시스템에 권한이 없는 자가 해킹 등의 방법을 통해 접근한 경우
	내부자의 관리실수	∘ 업무상 개인정보 문서 등을 사용 완료 후 파기 또는 문서고에 보관하지 않아 도난 또는 분실되는 경우 ∘ 이메일, 문자메세지 등을 통해 개인정보가 권한이 없는 자에게 잘못 전달된 경우 ∘ 개인정보처리시스템에 접근권한 관리 미흡 등의 이유로 정당한 권한을 가지지 않은 자가 개인정보에 접근한 경우
	내부자의 오·남용	∘ 개인정보를 과도하게 남용하거나 목적 외의 용도로 사용한 경우 ∘ 개인정보취급자가 영리를 목적으로 개인정보를 판매하는 경우
개인정보 노출	내부자의 관리실수	∘ 개인정보가 포함된 자료가 홈페이지 등에 게시된 경우 ∘ 개인정보가 누구나 열람 또는 검색이 가능하도록 노출되어 있는 경우

□ 개인정보 침해사고의 위험등급

등급	세부 내용
1등급	∘ 개인정보 항목별 중요도 분류에 따른 중요도 1등급의 개인정보가 법적인 근거 없이 외부의 제3자에게 제공되는 경우
2등급	∘ 개인정보 항목별 중요도 분류에 따른 중요도 1등급의 개인정보가 법적인 근거 없이 업무 담당자 외 내부자에게 전달되어 처리되는 경우
3등급	∘ 개인정보 항목별 중요도 분류에 따른 중요도 2등급의 개인정보가 법적인 근거 없이 외부의 제3자에게 제공되는 경우
4등급	∘ 개인정보 항목별 중요도 분류에 따른 중요도 2등급의 개인정보가 법적인 근거 없이 업무 담당자 외 내부자에게 전달되어 처리되는 경우
5등급	∘ 개인정보 항목별 중요도 분류에 따른 중요도 3등급 또는 4등급의 개인정보가 법적인 근거 없이 외부의 제3자에게 제공되는 경우
6등급	∘ 개인정보 항목별 중요도 분류에 따른 중요도 3등급 또는 4등급의 개인정보가 법적인 근거 없이 업무 담당자 외 내부자에게 전달되어 처리되는 경우
7등급	∘ 개인정보 항목별 중요도 분류에 따른 중요도 5등급의 개인정보가 법적인 근거 없이 외부의 제3자에게 제공되거나, 업무 담당자 외 내부자에게 전달되어 처리되는 경우
8등급	∘ 파기하여야 할 개인정보를 파기하지 않거나 개인정보를 안전하지 않은 상태로 저장 또는 보관하여 개인정보가 노출된 상태

Ⅱ		개인정보 유출 대응체계 구축

- (개인정보취급자 및 일반직원) 침해⋅유출사고와 관련된 내용을 숙지   하고, 침해⋅유출사고가 발생하는 경우 침해⋅유출사고 대응 매뉴얼에  따라 조치 하고, 개인정보 보호책임자 또는 개인정보 보호담당자에게  보고하여야 합니다.

１ 개인정보 유출사실 CEO 보고

□ (전직원) 개인정보 유출사실을 발견하거나 의심스러운 정황을 알게된 경우에는 즉시 개인정보보호 담당자에게 전화, 이메일 등으로 신고합니다.

□ (개인정보 보호담당자) 신고를 받은 즉시 관계인에게 유출 규모, 경로 등 유출 사실 여부를 확인하고, 개인정보 보호책임자(경영본부장)에게 유출 사실 및 피해 규모, 대응 상황 등을 신속하게 보고하여야 합니다.

□ (개인정보 보호책임자) 해당 시점까지 파악된 현황을 CEO(이사장)에게 신속하게 보고하고 새로운 상황이 발생될 때마다 수시로 보고해야 하며, 개인정보 유출이 확인되는 즉시 “개인정보 유출 신속대응팀(T/F)”을 운영합니다.

□ (CEO) “개인정보 유출 신속대응팀”을 중심으로 유관부서가 유기적 으로 대응하도록 지원하고 유출 대응에 대한 방향성 제시 등 의사 결정을 진행합니다.

２ 개인정보 유출 신속대응팀 구성‧운영

		개인정보보호 책임자(CPO)
		경영본부장
개인정보보호 담당자			정보보호 담당자			지원팀
개인정보보호 담당자			사고 발생 부서장 개인정보취급자			정보시스템 담당자 (유지보수업체 등)

□ 역할 및 업무분장

구 분	역할 및 업무분장
개인정보 보호책임자	· 개인정보 유출등 사고대응 총괄 지휘 · 개인정보 유출등 사고대응 신속대응팀구성·운영
개인정보보호담당자	· 유출규모, 경로 등 유출 사실 여부 확인조사 · 사고내용 세부조사 및 사후 대응조치가 필요할 경우 유관부서과와 협조
정보보호담당자	· 정보주체에게 개인정보 유출등 통지 · 유관기관에전문기관에 개인정보 유출등 신고
지원팀	· 침해사고 발생 시 기술적인 분석을 요할 경우 이에 대한 지원

□ 개인정보 유출사고 대응 절차

침해사고 신고	⇨	신고접수	⇨	침해사고 대응반구성	⇨	침해사고 처리	⇨	침해사고 결과보고	⇨	개선및 이행점검
민원인, 공단직원		정보보호 담당자 (해당발생 부장)		개인정보 보호책임자		침해사고 대응팀		침해사고 처리책임자 (해당발생 부서장)		개인정보 보호책임자
신고		신고접수, 유출통지		대응반구성		분석및 조치		사건보고		개선이행
민원인, 공단직원, 개인정보 취급자		개인정보 보호책임자 보고, 지체없이 정보주체에게 유출사실 통지		정보 보호담당자 (해당발생 부장), 개인정보 보호담당자, 정보보안 담당자, 유지보수업체 HW,SW 업체 등		조사,분석 조치및 해결 (회수,삭제, 수사의뢰), 정보주체 통지및 관련기관 신고여부 결정		사건현황, 사건분석, 사건처리 및 조치현황, 사건종료		개선안승인 개선이행 이행점검

Ⅲ		피해 최소화 및 긴급 조치

１ 해킹에 의한 경우

□ 해킹 등 침해사고 발생으로 인해 개인정보가 유출된 사실을 알게 된 경우에는 개인정보 추가 유출 방지를 위한 대책을 마련하고 피해를 최소화할 수 있는 조치를 강구하여야 합니다.

- 유출된 시스템 분리․차단 조치, 관련 로그 등 증거자료 확보, 유출 원인 분석, 이용자 및 개인정보취급자 비밀번호 변경* 등 기술적 보호조치 강화, 시스템 변경, 기술지원 의뢰 및 복구 등과 같은 긴급 조치를 시행하여야 합니다.

* 일방향 암호화되지 않은 비밀번호가 유출되었거나, 해커 등이 이용자의 비밀번호를 알고 있다고 판단되는 경우에는 이용자가 비밀번호를 변경하지 않으면 이용할 수 없도록 하고, 일방향 암호화된 비밀번호가 유출된 경우에도 비밀번호 변경을 유도하여 추가 피해 예방 방지

- 사고원인 조사 등이 완료된 이후에는 개인정보 유출의 직․간접적인 원인을 즉시 제거하고, 취약점 개선 조치 등을 수행하여야 합니다.

２ 내부자가 유출한 경우

□ 개인정보 유출자가 개인정보처리시스템에 접속한 이력 및 개인정보 열람․다운로드 등 내역을 확인하여야 합니다.

□ 개인정보 유출자의 개인정보처리시스템에 대한 접근․접속 경로 등이 정상적인지 여부 등을 확인하고, 비정상적인 접속인 경우 우회 경로를 확인하여 접속을 차단하여야 합니다.

□ 개인정보취급자의 개인정보처리시스템 접속계정, 접속권한, 접속 기록 등을 검토하여 추가적인 유출 여부를 확인하여야 합니다.

□ 개인정보 유출에 활용된 단말기(PC, 스마트폰 등)와 매체(USB, 이메일, 출력물 등)를 회수하고, 필요시 수사기관 등과 협조하여 유출된 개인정보를 회수하기 위한 방법을 강구하여야 합니다.

３ 이메일 오발송에 의한 경우

□ 이메일 회수가 가능한 경우에는 즉시 회수 조치하고, 불가능한 경우에는 이메일 수신자에게 오발송 메일의 삭제를 요청하도록 합니다.

□ 메일서버 외 첨부파일서버(대용량 메일 등)를 이용하는 경우 첨부 파일서버 운영자에게 관련 파일의 삭제를 요청하여야 합니다.

４ 개인정보 노출에 의한 경우

□ (검색엔진을 통한 노출의 경우) 노출된 사업자의 웹페이지 삭제를 검토하고, 검색엔진에 노출된 개인정보 삭제를 요청하여야 하며, 인증 절차 추가 및 로봇배제 규칙 적용 등 외부 접근을 차단하여야 합니다.

□ (시스템 오류로 인한 노출의 경우) 소스코드 오류, 서버 설정 오류 등 개인정보가 노출된 원인이 된 시스템 오류를 파악하여 수정하여야 합니다.

□ (개인정보취급자 부주의로 인한 노출의 경우) 게시글 및 첨부파일 내 개인정보 노출 부분을 마스킹 처리하여 게시하도록 합니다

Ⅳ		개인정보 유출 통지 및 신고

１ 개인정보 유출 통지

□ (통지 주체) 개인정보처리자(개인정보처리부서장)

□ (통지 시점) 최초 개인정보의 유출등 발생 사실을 알게 되었을 때로부터의 통지 시점을 말합니다. 72시간 이내에 정보주체에게 유출등 발생사실을 통지합니다.

- 단, 유출된 개인정보의 확산 및 추가 유출을 방지하기 위해 긴급한 조치가 필요하다고 인정되는 경우에는 해당 조치를 취한 후 그로부터 72시간 이내에 정보주체에게 알릴 수도 있습니다.

※ 개인정보 유출등 발생 시점과 개인정보처리자가 인지한 시점이 달라 72시간 이내에 정보주체에 대한 유출 통지를 수행하지 못한 경우에는 유출등을 인지한 시점을 입증하여야 합니다.

□ (통지 규모) 단 1명의 정보주체에 관한 개인정보가 유출된 경우라 할지라도 해당됩니다.

□ (통지 방법) 서면, 전자우편, 모사전송, 전화, 휴대전화 문자전송 또는 이와 유사한 방법으로 개별 통지하는 것을 말합니다.

※ 정보주체의 연락처를 알 수 없는 등 정당한 사유가 있는 경우에는 홈페이지에 30일 이상 게시하고, ‘개인정보 유출 안내’, ‘사과문’ 등의 제목을 사용하고, 법에서 정한 통지 내용이 모두 포함되어야 합니다.

- 대규모 유출로 24시간 이내 전체 통지가 기술적으로 불가능한 경우에는 홈페이지 팝업창 등을 통해 방문하는 이용자가 모두 알 수 있도록 현재까지 파악된 유출사실 등을 게시를 하고 나서 추가적으로 해당 정보주체에게 개별적으로 통지를 하여야 합니다.

※ 유출 등 통지를 할 때에는 정보주체가 실제 확인 가능하도록 이용 빈도가 높은 방법을 우선 활용하여 통지하는 것이 바람직하며, 휴대전화번호를 보유하고 있는 경우에는 전화통화 및 문자 등을 활용하고 곤란한 경우에는 이메일, 팩스, 우편 등의 방법을 활용하여야 합니다.

□ (통지 내용) ① 유출된 개인정보 항목, ② 유출된 시점과 그 경위, ③ 정보주체가 취할 수 있는 피해 최소화 조치, ④ 개인정보처리자 대응조치 및 피해 구제절차, ⑤ 정보주체가 피해 신고․상담 등을 접수할 수 있는 부서 및 연락처 등을 통지해야 합니다.

- 유출 통지하여야 하는 사항 중, 구체적인 내용이 확인되지 않은 경우에는 그 때까지 확인된 내용을 중심으로 우선 통지하고, 추가로 확인되는 내용은 확인되는 즉시 통지하여야 합니다.

※ 구체적 사실관계 파악을 이유로 정보주체에게 유출 사실 통지를 지연하는 경우에는 3천만원 이하의 과태료가 부과될 수 있습니다.

２ 개인정보 유출 신고

□ (신고 주체) 개인정보처리자(개인정보처리서부장)

□ (신고 시기) 유출사실을 알게 된 때 72시간 이내 하여야 하며, 정보주체에 대한 통지 및 조치결과 등을 개인정보 유출 신고서를 통하여 신고합니다.

□ (신고 규모) 법에서 정하는 기준에 해당하는 경우에는 신고해야 합니다.

- 개인정보 보호법 시행령 제40조

1. 1천명 이상의 정보주체에 관한 개인정보가 유출등이 된 경우

2. 민감정보 또는 고유식별정보가 유출등이 된 경우

3. 개인정보처리시스템 또는 개인정보취급자가 개인정보 처리에 이용하는 정보기기에 대한 외부로부터의 불법적인 접근에 의해 개인정보가 유출등이 된 경우

※ 다만, 개인정보 유출등의 경로가 확인되어 해당 개인정보를 회수·삭제하는 등의 조치를 통해 정보주체의 권익침해 가능성이 현저히 낮은 경우에는 유출등의 신고를 하지 않을 수 있습니다.

※ 천재지변이나 그 밖에 부득이한 사유로 인하여 72시간 이내에 신고하기 곤란한 경우에는 해당 사유가 해소된 후 지체 없이 신고할 수 있습니다.

□ (신고 방법) 개인정보보호위원회 또는 한국인터넷진흥원의 홈페이지, 전화, 팩스, 이메일, 우편 등의 방법으로 신고하여야 합니다.

신고기관	전화번호	홈페이지
개인정보보호위원회 한국인터넷진흥원	118	개인정보 포털(privacy.go.kr)→ 개인서비스 → 침해신고

□ (신고 내용) 정보주체에게 해당 개인정보의 유출 사실을 통지한 결과, 유출로 인한 피해를 최소화하기 위한 대책을 마련하고 필요한 조치를 이행한 결과를 말하며 “개인정보 유출등 신고서”를 제출해야 합니다.

- 유출 신고하여야 하는 사항 중, 구체적인 내용이 확인되지 않은 경우에는 그 때까지 확인된 내용을 중심으로 우선 신고하고, 추가로 확인되는 내용은 확인되는 즉시 신고하여야 합니다.

Ⅴ		개인정보주체 피해 구제 및 재발 방지

１ 정보주체 피해 구제

□ (유출여부 조회) 정보주체가 개인정보 유출여부 등을 확인 가능 하도록 별도의 홈페이지 등을 제공하도록 합니다.

- 본인확인 수단으로 핸드폰, 이메일 인증 등을 활용 가능하나, 주민등록번호는 활용하지 않도록 주의합니다.

- 해당 홈페이지를 통하여 추가적인 개인정보 유출이 발생하지 않도록 웹 취약점 제거, 전송구간 암호화 등 안전조치를 이행해야 합니다.

□ (민원대응) 개인정보 유출로 인한 정보주체의 피해 신고․접수, 상담․문의 등 각종 민원대응을 위한 방안을 모색해야 합니다.

- 개인정보 유출 문의에 신속히 대응할 수 있도록 상담 데스크를 운영하고 전화, 이메일, 홈페이지, SNS 등 다양한 채널을 통해 개인정보 유출 사실, 경위 등을 확인할 수 있는 창구를 마련합니다.

- 유출 규모와 상황을 종합적으로 고려하여 원활한 민원대응을 위해 민원대응 전담부서 운영, 통신회선 증설 등이 필요할 수 있습니다.

□ (현장혼잡 최소화) 유출 대응 현장에서의 긴급․돌발 상황 발생 등에 따른 혼란을 최소화하기 위해 물리적 시스템 장애 및 파괴, 불필요한 인력에 의한 개인정보가 분실, 도난, 훼손되지 않도록 주의하여야 합니다.

□ (고객불안 해소) 보이스피싱 등 2차피해 방지를 위한 유의사항을 사전 안내하고 유출․피해 및 대응 현황 등을 실시간으로 정확하고 투명하게 공개하는 등 고객불안 해소를 위해 노력해야 합니다.

- 홈페이지에 유출 피해 최소화를 위해 현재 기관에서 실시하고 있는 노력에 대한 사항 공지 (1일 1회 이상 업데이트)

구 분	세부 안내 사항
아이디, 비밀번호 유출	비밀번호 변경 안내
카드번호 유출	카드 재발급 절차 안내
다량의 개인정보 유출	보이스피싱 등 2차 피해 예방 안내

□ (피해구제) 개인정보 유출 사고로 정보주체가 손해를 입으면 공단에 손해배상을 청구할 수 있으며, 공단은 다음의 요건에 따라 고의 또는 과실이 없음을 입증할 책임이 있음을 안내

1. 개인정보 유출 행위가 존재하고 위법할 것

2. 정보주체에게 손해가 발생하였을 것

3. 유출 행위와 손해 발생 간에 인과관계가 있을 것

4. 개인정보처리자의 고의·과실 및 책임이 있을 것

- 정보주체의 피해 구제 계획을 마련하고 개인정보분쟁조정 위원회, 손해배상제도 등도 함께 안내하도록 합니다.

구 분	내 용
신청내용	∘ 개인정보 처리와 관련한 당사자 간의 분쟁 사항 등
신청방법	∘ 개인정보피해로 인한 분쟁조정은 웹사이트, 우편, 팩스, 방문 등을 통해 신청인이 직접 또는 대리로 신청 할 수 있음 ∘ 개인정보침해 관련 상담 또는 신고사건 처리과정에서 신청 ※ 개인정보 분쟁조정 위원회(전화 1833-6972, 웹사이트 http://www.kopico.go.kr)
효 력	∘ 개인정보 분쟁조정위원회의 조정 결정에 대해 신청인과 상대방이 이를 수락하여 조정이 성립된 경우에는 조정서를 작성하게 되며, 조정서의 내용은 개인정보 보호법 제47조제5항의 규정에 따라 “재판상 화해”(민사소송법상 확정판결과 동일한 효력)가 부여됨

２ 재발 방지 대책 마련

□ 개인정보 유출 원인, 취약점 등에 적절한 대책을 마련하고 개인정보 취급자 대상 개인정보보호 교육을 정기적으로 실시하여야 합니다.

□ 개인정보 유출 대응 시나리오 작성 및 모의훈련 등을 실시하여 유출 대응 체계를 점검하고 지속적으로 보완하도록 합니다.

□ 홈페이지 취약점 등으로 인한 유출 사고 예방을 위해 안전조치를 강화하도록 합니다.

- 홈페이지의 취약점을 연 1회 이상 정기적으로 점검하도록 합니다.

- 개인정보가 인터넷 상에 노출되는 것을 방지하기 위해 인증 절차 추가 및 로봇 배제 규칙을 적용하여 홈페이지 접근을 제한하도록 합니다.

- 홈페이지에 첨부파일을 포함한 게시글 작성 시 개인정보 포함 여부를

확인하도록 합니다.

- 홈페이지 게시판 등에 정보주체가 글 작성 시 개인정보가 노출되지

않도록 주의할 것을 안내하도록 합니다.

- 관리자 페이지에 접근하는 IP를 제한하거나 아이디, 비밀번호 외 추       가적인 인증수단을 사용하여 접속하도록 합니다.

[붙임 1]

개인정보 유출등 신고서

기관명
유출등이 된 개인정보 항목 및 규모
유출등이 된 시점과 그 경위
유출등 피해 최소화를 위해 정보주체가 할 수 있는 방법 등
개인정보처리자의 대응 조치 및 피해 구제절차
정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처
유출등 신고 담당자		성명		부서	직위		연락처
	개인정보 보호책임자
	담당자
유출등 신고 접수기관	기관명		담당자명			연락처

[붙임 2]

개인정보 유출 시 필수 조치요령 (법 제34조)

개인정보 유출등 사고 발생 시 이것만은 꼭 조치하세요!

1	○ 유출된 정보주체 개개인에게 지체 없이 통지 ☞ 시한 : 유출되었음을 알게 되었을 경우 지체없이(72시간 이내) ☞ 통지 항목 : ①유출된 개인정보의 항목, ②유출 시점과 및 그 경위, ③피해 최소화를 위한 정보주체의 조치방법, ④기관의 대응조치 및 피해구제 절차, ⑤피해 신고 접수 담당부서 및 연락처 * 개인정보의 유출 사고 시 정보주체에게 유출 항목 등 5개 사실을 지체 없이 알리지 않은 경우 : 과태료 3천만원 이하
2	○ 피해 최소화를 위한 대책 마련 및 필요한 조치 실시 ☞ 접속경로 차단, 취약점 점검‧보완, 유출된 개인정보의 삭제 등 피해를 최소화하기 위해 필요한 긴급조치 이행 ☞ 긴급조치 이행 등에 어려움이 있는 경우 전문기관에 기술지원 요청 * 피해 최소화 대책을 마련하지 않거나 필요한 긴급 조치를 하지 않은 경우 : 시정조치명령
3	○ 정보주체에게 연락이 불가능한 경우에는 홈페이지에 공지 ☞ 정보주체의 연락처를 알 수 없는 경우 등 정당한 사유가 있는 경우 유출된 사실을 인터넷 홈페이지에 30일 이상 게재 * 홈페이지 등에 공지하지 않거나 30일 미만 게재하는 경우 : 시정조치명령
4	○ 중대한 유출등이 발생한 경우에는 지체 없이 통지 결과 등 신고 ☞ 다음에 해당하는 유출등이 발생한 경우 유출 통지 및 조치 결과를 지체 없이 보호위원회 또는 전문기관(한국인터넷진흥원, www.privacy.go.kr)에 신고 - 1천명 이상의 정보주체에 관한 개인정보가 유출 - 민감정보 또는 고유식별정보가 유출 - 외부로부터의 불법적인 접근에 의해 개인정보가 유출 * 보호위원회 또는 전문기관에 통지 결과 등을 신고하지 않은 경우 : 과태료 3천만원 이하

[붙임 3]

개인정보 유출 표준 통지문안 (예시)  (※법 제34조)

※ 부가설명 란에 필수사항은 <  >, 참고사항은 (  )로 표기 하였음

※ 필수사항이 확인되지 않아 통지문에 포함하지 않은 경우 추후 확인되면 반드시 추가 통지

※ 아래 예시를 참고하여 유출 상황에 적합하게 내용을 변경하여 활용

표준 통지문안 예시	부가 설명
개인정보 유출 사실을 통지해 드리며, 깊이 사과드립니다.	<제목> - ‘유출 통지’ 문구 포함
귀하의 개인정보 보호를 위해 최우선으로 노력하여 왔으나, 불의의 사고로 귀하의 소중한 개인정보가 유출되었음을 알려 드리며, 이에 대하여 진심으로 사과를 드립니다.	(사과문) - 유출 통지 사실 알림 - 사과문을 먼저 표현
귀하의 개인정보는 0000년 0월 0일 000시스템 장애 처리를 위한 데이터 분석 과정에서 유지보수업체로 전달되었고, 유지보수업체는 자체 서버에 저장‧보관하다가 안전한 조치를 다하지 못해 0000년 0월경 해커에 의한 해킹으로 유출되었습니다. 유출된 정확한 일시는 0000에서 현재 수사가 진행 중이며, 확인되면 추가로 알려 드리도록 하겠습니다.	<유출된 시점과 경위> - 유출된 시점과 경위를 누구나 이해할 수 있게 상세하게 설명 - ‘귀하’ 등으로 유출된 정보주체 명시 ※부적합한 표현 : 일부 직원, 직원정보의 일부 - 추가 확인된 사항은 반드시 추가로 통지
유출된 개인정보 항목은 이름, 아이디(ID), 비밀번호(P/W), 주민등록번호, 이메일, 연락처 총 6개입니다.	<유출된 항목> - 유출된 항목을 누락 없이 모두 나열 ※‘등’으로 생략하거나,‘회사전화번호’및‘집전화번호’를 합쳐서 ‘전화번호’로 표시 안됨
유출 사실을 인지한 후 즉시 해당 IP와 불법접속 경로를 차단하고, 취약점 점검과 보완 조치를 하였습니다. 또한, 유지보수업체 서버에 있던 귀하의 개인정보는 즉시 삭제 조치하였습니다.	<개인정보처리자의 대응조치> - 접속경로 차단 등 예시된 항목 외에도 망 분리, 방화벽 설치, 개인정보 암호화, 인증 등 접근 통제, 시스템 모니터링 강화 등 조치한 내용 설명
0000이 발표한 수사 결과에 따르면 현재 해커는 검거되었고, 해커가 불법 수집한 개인정보는 2차 유출하거나 판매하지는 않은 것으로 확인되었습니다. 따라서 현재로서는 이번 사고로 인한 2차 피해가 발생할 가능성이 높지 않아 보이나, 혹시 모를 피해를 최소화하기 위하여 귀하의 비밀번호를 변경하여 주시기 바랍니다. 그리고 개인정보 악용으로 의심되는 전화, 메일 등을 받으시거나 기타 궁금하신 사항은 연락주시면 친절하게 안내해 드리고, 신속하게 대응하도록 하겠습니다.	<피해 최소화를 위한 정보주체의 조치방법> - 유출 경위에 따라 정보주체가 할 수 있는 방법을 안내 - 사건에 따라 다양한 피해를 추정하여 예방 가능한 방법을 모두 안내 (보이스 피싱, 피싱 메일, 불법 TM, 스팸문자 등)
아울러, 피해가 발생하였거나 예상되는 경우에는 아래 담당부서에 신고하시면 성실하게 안내와 상담을 해 드리겠습니다. 한국인터넷진흥원의 개인정보 분쟁 조정이나 민사 상 손해배상 청구, 감독기관인 개인정보침해신고센터 등을 통해 피해를 구제받고자 하실 경우에도 연락주시면 그 절차를 안내하고 필요한 제반 지원을 아끼지 않도록 하겠습니다.	<개인정보처리자의 피해 구제절차> - 보상이나 배상이 결정된 경우에는 그 내용을 상세히 기재 - 보상이나 배상이 결정되지 않은 경우 계획과 절차를 안내 - 감독기관 등을 통한 구제절차도 안내
앞으로 장애처리 과정에 대한 개인정보 보호 조치 강화 등 내부 개인정보 보호 관리체계를 개선하고, 관계 직원 교육을 통해 인식을 제고하여, 향후 다시는 이와 유사한 사례가 발생하지 않도록 최선의 노력을 다하겠습니다.	(개인정보처리자의 향후 대응계획) - 추가적인 향후 대응계획을 포함
항상 믿고 사랑해 주시는 귀하께 심려를 끼쳐 드리게 되어 거듭 진심으로 사과드립니다.	(사과문)
‣ 피해 등 접수 담당부서 : 총무행정관 ‣ 피해 등 접수 전화번호 : 033-560-4568	<피해 등 신고 접수 담당부서 및 연락처> - 전담처리부서 안내를 원칙으로 하되, 대량 유출로 일시적으로 콜센타 등 다른 부서를 지정한 경우 해당 부서를 안내
<기관장명>	(발신명의)

[붙임 4]

개인정보 유출 신고기관 연락처

□ 개인정보 유출 신고

기관명	전화번호	인터넷사이트
한국인터넷진흥원	118	https://www.privacy.go.kr/ (개인정보 포털) https://privacy.kisa.or.kr (개인정보침해 신고센터)
개인정보보호위원회	02-2100-3025	http://www.pipc.go.kr (개인정보보호위원회 포털)

□ 관련기관 연락처

기관명	전화번호	인터넷사이트
경찰청 사이버수사국	182	https://ecrm.cyber.go.kr (사이버범죄 신고시스템)