개인정보보호교육 자체교육 준비방법과 증빙자료 쉽게 정리

◆ 개인정보보호교육 자체교육은 인정되는 방법인가

개인정보 보호법 제28조는 개인정보처리자가 개인정보취급자에게 정기적으로 필요한 교육을 실시하도록 정합니다. 법이 특정 민간업체나 외부 강의를 반드시 이용하도록 정하는 것은 아닙니다.

개인정보 포털은 교육방법으로 사내 자체교육, 온라인교육, 위탁교육, 외부강사 초빙교육 등을 안내합니다. 따라서 조직 내부의 개인정보 보호책임자나 담당자가 공식 자료와 내부 절차를 활용해 교육을 진행하는 방식도 가능합니다.

HRD4U의 개인정보 보호 교육 FAQ도 동영상 교육자료를 이용한 자체교육을 예로 들고, 사업장 내부적으로 교육 결과를 증빙할 수 있는 자료를 만들어 둘 것을 안내합니다.

◆ 개인정보보호교육 자체교육 전에 교육대상부터 확정한다

개인정보보호교육 자체교육을 시작하기 전에 가장 먼저 할 일은 누가 개인정보취급자인지 확인하는 것입니다. 모든 직원을 기계적으로 넣기보다 실제 개인정보 처리업무와 시스템 접근권한을 기준으로 대상자를 정하는 것이 좋습니다.

고객 이름과 연락처를 조회하는 상담직원, 인사정보를 다루는 인사담당자, 주문·배송정보를 처리하는 직원, 운영 데이터베이스나 관리자 화면에 접근하는 IT 담당자 등이 대표적인 대상이 될 수 있습니다.

대상자 명단을 만들 때 부서와 직무, 접근 시스템, 처리하는 개인정보를 함께 적어 두면 이후 교육내용을 직무별로 나누기 쉽습니다.

인사이동이나 복직, 신규 입사로 대상자가 바뀌었다면 교육명단도 함께 갱신해야 합니다.

◆ 자체교육 교안은 공식자료를 기반으로 만든다

교육교안을 처음부터 모두 새로 만들 필요는 없습니다. 개인정보 포털의 교육자료와 개인정보배움터 콘텐츠, 개인정보 보호 교육 업무 안내서를 기본 자료로 활용할 수 있습니다.

공통교육에는 개인정보의 기본 개념, 수집·이용·제공·파기, 정보주체 권리, 유출사고 예방과 대응 같은 내용을 넣을 수 있습니다.

그 위에 부서별 실제 사례를 추가하면 교육의 실효성이 높아집니다. 고객센터에는 본인확인과 화면노출, 인사부서에는 직원정보와 고유식별정보, IT 부서에는 권한·로그·암호화처럼 실제 업무에서 실수하기 쉬운 내용을 넣는 방식입니다.

◆ 교육일지에는 무엇을 적어야 하나

개인정보보호교육 자체교육을 실시했다면 교육일시, 교육장소 또는 방식, 교육대상, 교육내용, 교육진행자와 사용한 자료를 확인할 수 있도록 남겨 두는 것이 좋습니다.

별도의 법정 서식 하나만 사용해야 하는 구조는 아니지만, 나중에 실제로 교육을 진행했다는 사실을 설명할 수 있는 기록이 필요합니다.

참석자 명단에는 성명과 부서, 참석 여부를 적을 수 있고, 교육자료 파일명이나 버전도 같이 기록하면 다음 교육에서 어떤 내용을 사용했는지 확인하기 쉽습니다.

교육 후 간단한 확인문제나 체크리스트를 활용하면 참석 여부뿐 아니라 핵심내용을 이해했는지도 점검할 수 있습니다.

◆ 사진·참석자 명단·교재를 함께 보관한다

HRD4U는 자체교육을 한 경우 사업장 내부적으로 결과자료를 증빙자료로 만들어 두도록 안내하면서 내부 문서와 사진 첨부를 예로 들고 있습니다.

실무에서는 교육일지, 참석자 명단, 사용한 교재, 교육 현장 사진, 내부 결재문서 등을 함께 묶어 보관할 수 있습니다. 온라인 회의 방식으로 교육했다면 접속기록이나 참석자 화면, 교육자료를 활용할 수도 있습니다.

다만 증빙을 만들기 위해 필요 이상으로 직원 개인정보를 수집할 필요는 없습니다. 교육 실시와 참석 여부를 확인하는 데 필요한 범위만 기록하는 것이 좋습니다.

◆ 미참석자는 보완교육까지 관리한다

휴가나 외근, 교대근무 때문에 교육에 참석하지 못한 직원이 있다면 명단에서 빠뜨리고 끝내기보다 보완교육 계획을 정하는 것이 좋습니다.

같은 교안을 이용해 별도 시간을 잡거나 온라인 콘텐츠를 활용할 수 있습니다. 보완교육을 했다면 본교육 기록과 연결해 언제 어떤 방법으로 완료했는지 남겨 두면 됩니다.

신규 입사자나 인사이동으로 개인정보취급 업무를 새로 맡은 사람도 다음 정기교육 때까지 무조건 기다리기보다 업무 시작 시점에 필요한 기본교육을 제공하는 편이 안전합니다.

◆ 연 1회와 몇 시간이라는 기준을 그대로 믿지 않는다

검색 결과에는 개인정보 보호 교육을 반드시 연 1회 몇 시간 해야 한다는 식의 설명이 많이 보입니다. 하지만 개인정보 보호법 제28조는 개인정보취급자에게 정기적으로 필요한 교육을 실시하도록 정하고 있으며 획일적인 연간 횟수나 의무시간을 직접 규정하지는 않습니다.

HRD4U FAQ도 연간 지정 횟수나 의무 수강시간이 법적으로 규정되어 있지는 않다고 안내합니다. 다만 연 1~2회 교육을 수행하는 것을 권고 사례로 제시하고 있습니다.

따라서 회사는 개인정보 처리 위험, 인력 변동, 시스템 변경, 사고 발생 여부 등을 고려해 내부 교육계획을 정하는 것이 좋습니다.

◆ 사설업체의 필수 유료교육 안내는 확인한다

개인정보 포털은 사설 교육기관이 중앙부처를 사칭해 개인정보 보호 교육을 강요하는 사례에 주의하라고 안내합니다.

특정 민간업체가 “우리 교육을 받아야만 법적 의무를 충족한다”거나 “오늘 신청하지 않으면 바로 과태료가 나온다”고 안내한다면 먼저 법적 근거를 확인하는 것이 좋습니다.

자체교육이 가능한데도 외부기관 이용이 필수라고 단정하는 설명은 공식 안내와 다를 수 있습니다. 외부교육은 조직 상황에 따라 선택할 수 있는 방법 중 하나로 보는 것이 정확합니다.

◆ 개인정보보호교육 자체교육 자주 묻는 질문

Q. 내부 직원이 직접 강의해도 되나요?

　A. 개인정보 포털은 사내 자체교육을 교육방법 중 하나로 안내합니다. 내부 담당자가 공식자료와 회사의 실제 개인정보 처리업무를 바탕으로 교육할 수 있습니다.

Q. 개인정보보호교육 자체교육 사진이 반드시 있어야 하나요?

　A. 법이 특정 형식의 사진을 필수서식으로 정한 것은 아니지만 HRD4U는 자체교육 결과를 내부 문서 등 증빙자료로 만들고 사진을 첨부하면 좋다고 안내합니다. 교육일지와 참석자 명단 등으로 실시 사실을 설명할 수 있게 관리하는 것이 중요합니다.

Q. 수료증이 없으면 자체교육으로 인정되지 않나요?

　A. 자체교육은 외부 온라인과정처럼 수료증이 반드시 발급되는 방식이 아닙니다. 교육대상·내용·실시일·참석기록과 사용한 자료 등 자체교육 결과를 확인할 수 있는 증빙을 관리하는 것이 좋습니다.

Q. 자체교육은 매년 정확히 한 번만 하면 되나요?

　A. 현행 법은 정기적으로 필요한 교육을 실시하도록 규정하며 모든 사업장에 동일한 횟수와 시간을 직접 정하지는 않습니다. 개인정보 처리 위험과 조직 변동 등을 반영해 교육계획을 정하는 것이 좋습니다.

◆ 공식 기준과 자체교육 자료 확인하기

개인정보보호교육 자체교육을 준비할 때는 먼저 개인정보취급자 명단을 확정하고, 공식 교육자료를 바탕으로 직무별 교안을 만든 뒤 교육일지와 참석자·보완교육 기록까지 한 세트로 관리하는 것이 좋습니다.

교육대상과 정기교육의 법적 근거는 국가법령정보센터 개인정보 보호법 제28조에서 확인할 수 있습니다.

사내 자체교육을 포함한 교육방법과 무료 자료 제공 안내는 개인정보 포털 개인정보보호교육 안내에서 확인할 수 있습니다.

© pick.wi-th.com