개인정보 자가진단 점검항목·결과와 개선방법 쉽게 정리

◆ 개인정보 자가진단은 어떤 서비스인가

개인정보포털의 개인정보보호 자가진단은 개인정보를 취급하는 민간사업자와 공공기관이 스스로 개인정보 보호수준을 점검하고 개선할 수 있도록 만든 서비스입니다.

온라인에서 질문에 답하면서 현재 운영방식이 개인정보 보호조치 기준에 맞는지 확인하고, 부족한 항목이 있다면 무엇을 개선해야 하는지 살펴볼 수 있습니다.

공식 안내에 따르면 진단은 무기명으로 진행되고 결과는 시스템에 기록되지 않습니다. 그래서 내부 점검을 시작하기 전에 부담 없이 현재 상태를 확인하는 용도로 활용하기 좋습니다.

◆ 처음에는 개인정보 처리유형을 선택한다

개인정보 자가진단을 시작하면 자신의 사업장이나 기관이 어떤 방식으로 개인정보를 처리하는지 선택하게 됩니다.

현재 공식 진단 화면에서는 기본형 외에 고객관리 프로그램 이용 여부와 CCTV 설치·운영 여부를 선택할 수 있습니다. 해당 유형을 선택하면 기본 질문에 더해 관련 점검항목이 추가됩니다.

고객관리 프로그램은 꼭 대형 CRM만 의미하지 않습니다. 예약·주문, 상담 솔루션, 쇼핑몰 통합관리, POS, 인사관리, 단골관리·마케팅 시스템처럼 고객이나 직원 정보를 입력·조회·수정하는 프로그램도 포함될 수 있습니다.

CCTV는 시설안전, 범죄예방, 화재예방 등을 위해 매장·주차장·병원 대기실·사무실 차량 등에 설치한 고정형 영상정보처리기기를 기준으로 확인하면 됩니다.

◆ 기본 점검에서는 무엇을 확인하나

기본형에서는 개인정보를 필요 이상으로 수집하지 않는지, 수집·이용 목적과 보유기간을 적절하게 관리하는지, 제3자 제공이나 파기절차가 적절한지 같은 개인정보 처리의 기본사항을 점검하게 됩니다.

자가진단을 할 때는 단순히 ‘예’라고 답하기보다 실제 내부 문서와 시스템이 답변과 일치하는지 확인하는 것이 중요합니다.

예를 들어 개인정보 처리방침에는 보유기간이 적혀 있는데 실제 시스템에서는 삭제되지 않고 계속 남아 있거나, 퇴직자 계정이 그대로 유지되고 있다면 진단 답변과 실제 운영 사이에 차이가 생길 수 있습니다.

◆ CCTV를 사용한다면 추가 항목을 확인한다

사업장에 CCTV가 있다면 영상정보 처리에 관한 추가 질문이 적용됩니다. 단순히 카메라가 설치되어 있다는 사실보다 설치 목적과 촬영범위, 안내판, 영상 보관과 열람절차를 함께 확인하는 것이 중요합니다.

공식 자가진단에는 고객이 자신이 촬영된 영상의 열람을 요구하는 상황처럼 실제 운영에서 자주 발생하는 질문도 포함됩니다.

이 경우 본인 여부를 확인하고 자신의 영상정보에 한해 열람할 수 있도록 하는 절차가 필요할 수 있습니다. 다른 사람의 영상이 함께 포함되어 있다면 제3자의 권익을 보호할 수 있는 조치도 검토해야 합니다.

영상정보 보관기간과 접근권한, 저장장치 보안, CCTV 담당자 관리까지 실제 운영상태를 함께 확인하면 단순 체크를 넘어 내부 개선자료로 활용할 수 있습니다.

◆ 고객관리 프로그램을 쓰면 무엇이 달라지나

고객관리 프로그램을 이용한다고 선택하면 시스템에 저장된 고객정보의 접근권한과 계정관리, 보호조치 등 프로그램 운영과 관련된 항목이 추가됩니다.

예약·주문 시스템이나 POS처럼 평소에는 개인정보 시스템이라고 생각하지 않았던 서비스도 고객 이름, 연락처, 구매·방문기록을 저장한다면 개인정보 처리와 연결될 수 있습니다.

누가 관리자 권한을 가지고 있는지, 퇴직자 계정이 남아 있지는 않은지, 여러 직원이 하나의 계정을 공유하지 않는지, 외부업체가 시스템을 관리한다면 위탁관계와 접근권한은 적절한지 확인하는 것이 좋습니다.

◆ 개인정보 자가진단 결과는 어떻게 해석할까

개인정보 자가진단 결과에서 가장 중요한 것은 총점이나 ‘양호’ 문구 자체보다 어떤 질문에서 미흡한 상태가 확인됐는지를 보는 것입니다.

공식 안내는 이 서비스가 개인정보 보호법령 전반을 모두 포괄하지 않으며, 진단 결과에도 법적 효력이 없다고 명확하게 설명합니다.

따라서 좋은 결과를 받았다고 법 위반 가능성이 완전히 사라지는 것은 아니고, 반대로 미흡항목이 있다고 바로 행정처분이 내려지는 것도 아닙니다.

자가진단은 내부 개선의 출발점으로 보고, 미흡한 항목을 실제 업무와 연결해 고치는 데 사용하는 것이 가장 적절합니다.

◆ 미흡항목은 우선순위를 정해 개선한다

모든 미흡항목을 한 번에 고치기 어렵다면 개인정보 유출이나 권리침해로 이어질 가능성이 높은 항목부터 우선순위를 정하는 것이 좋습니다.

공용 관리자 계정 사용, 퇴직자 접근권한 미삭제, 불필요한 개인정보 장기보관, 공개된 장소의 고객명단처럼 실제 사고로 이어질 가능성이 높은 문제는 빠르게 조치할 필요가 있습니다.

그다음 처리방침과 내부 문서, 위탁계약, 교육기록처럼 운영기준과 증빙을 정리할 수 있습니다.

조치를 끝낸 뒤 같은 개인정보 자가진단을 다시 수행하면 이전에 미흡했던 항목이 실제로 개선됐는지 확인하기 쉽습니다.

◆ 소상공인용 진단도구와 차이도 확인한다

개인정보포털에는 일반적인 개인정보보호 자가진단 외에도 소상공인을 위한 별도 진단도구 안내가 제공됩니다.

소상공인용 도구는 상시종업원 수 1~4인 사업자가 적절한 개인정보 보호조치를 하고 있는지 확인하고 미비점을 보완하는 데 목적을 두고 있으며, 개인정보 보호법 전체가 아니라 기술적·관리적 보호조치 중심의 우선사항을 안내합니다.

해당 도구에서는 고객관리 프로그램뿐 아니라 문서관리 프로그램, 웹호스팅, 프랜차이즈 가맹점, CCTV 등 사업 형태에 따른 처리유형을 점검할 수 있습니다.

따라서 규모가 작은 사업자라면 일반 자가진단과 함께 자신의 사업형태에 더 가까운 소상공인용 점검도구가 있는지 확인하면 도움이 됩니다.

◆ 자가진단 뒤 기술지원과 컨설팅을 연결할 수 있다

진단 결과에서 무엇을 고쳐야 할지는 알겠지만 실제 조치방법이 어렵다면 개인정보포털의 개인정보 기술지원 서비스를 확인할 수 있습니다.

공식 지원절차에는 기술상담과 컨설팅이 구분되어 있으며, 컨설팅 과정에서 개인정보보호 자가진단 결과를 활용해 온라인 또는 현장 컨설팅으로 이어질 수 있습니다.

예를 들어 시스템 접근통제, 보안설정, CCTV 관리처럼 내부 인력만으로 판단하기 어려운 항목이 있다면 자가진단 결과를 기준으로 필요한 지원범위를 정리해 문의하는 방식이 효율적입니다.

◆ 개인정보 자가진단 자주 묻는 질문

Q. 개인정보 자가진단을 하면 결과가 정부에 저장되나요?

　A. 공식 안내는 자가진단을 무기명으로 진행하고 진단 결과를 시스템에 기록하지 않는다고 설명합니다.

Q. 진단 결과가 양호하면 개인정보 보호법을 모두 지킨 것인가요?

　A. 아닙니다. 자가진단 항목은 개인정보 보호법령 전반을 모두 포함하지 않으며 결과 자체에도 법적 효력이 없습니다. 내부 개선을 위한 자율점검 도구로 보는 것이 정확합니다.

Q. CCTV가 있으면 별도 진단을 해야 하나요?

　A. 진단 시작 단계에서 CCTV 설치·이용을 선택하면 관련 점검항목이 추가됩니다. 안내판, 촬영목적, 보관·열람과 접근권한 등을 함께 확인하는 것이 좋습니다.

Q. 소규모 사업장도 이용할 수 있나요?

　A. 가능합니다. 일반 자가진단 외에도 소상공인용 개인정보 보호조치 진단도구가 제공되므로 사업장 규모와 개인정보 처리유형에 맞는 도구를 확인할 수 있습니다.

◆ 공식 자가진단에서 현재 상태 점검하기

개인정보 자가진단을 시작하기 전에는 고객정보를 어떤 시스템에서 관리하는지, CCTV를 설치했는지, 개인정보 처리방침과 파기·권한관리 기록이 실제 운영과 일치하는지 먼저 확인하면 답변하기 쉽습니다.

민간사업자·공공기관을 위한 공식 진단 안내와 시작 화면은 개인정보포털 개인정보보호 자가진단에서 확인할 수 있습니다.

진단 후 개선이 어렵거나 전문적인 도움이 필요한 경우에는 개인정보포털 기술지원 절차에서 기술상담과 컨설팅 진행방법을 확인할 수 있습니다.

© pick.wi-th.com