제 1조 목적

본 지침은 풍납종합사회복지관의 서비스 제공과 제반 운영에 있어 사용되는 문서, 컴퓨터 등 정보의 처리 또는 송·수신 기능을 가진 장치에 의하여 처리되는 개인정보를 보호하기 위하여 필요한 사항을 정함으로써 재활업무의 적정한 수행을 도모함과 아울러 이용 이용자의 권리와 이익을 보호하기 위함을 목적으로 한다.

제 2조 정의

본 지침에서 사용하는 용어의 뜻은 다음과 같다.

1. “개인정보”란 복지관에서 수집되는 개인에 관한 정보로 성명, 주민등록번호, 영상 등을 통하여 개인을 식별할 수 있는 정보 (해당 정보만으로 특정 개인을 식별할 수 없더라도 다른 정보와 용이하게 결합하여 식별할 수 있는 것을 포함)를 말한다.
2. “개인정보 수집”이란 복지관 업무 수행에 있어 집적하는 모든 개인정보를 말한다.
3. “처리”란 개인정보의 수집, 생성, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정(訂正), 복구, 이용, 제공, 공개, 파기(破棄), 그 밖에 이와 유사한 모든 행위를 말한다.
4. “정보제공자”란 처리되는 정보에 의하여 알아볼 수 있는 사람으로서 그 정보의 주체가 되는 사람을 말한다.
5. “개인정보파일”이란 이용자, 자원봉사자, 후원자, 직원 등 개인정보가 담긴 집합물(集合物)을 말한다.

제 3조 원칙

1. 복지관에 수집되는 모든 개인정보는 처리 목적을 명확하게 하여야 하고, 그 목적에 필요한 최소한의 범 위에서 적법하고 정당하게 개인정보를 수집하여야 한다.
2. 복지관의 모든 직원은 개인정보의 처리 목적에 필요한 범위에서 적합하게 개인 정보를 처리하고, 그 목적 외의 용도로 활용해서는 아니 된다.
3. 복지관의 모든 직원은 개인정보의 처리 목적에 필요한 범위에서 개인정보의 정확성, 안정성, 최신성이 보장되도록 노력해야 한다.
4. 복지관의 기관장은 개인정보 보호를 위한 제반 지침을 준수하고, 본 지침이 준수될 수 있도록 제반 조취를 취해야 한다.

제 4조 법적 근거

본 지침은 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법률‘와 ‘개인정보 보호법’에 근거하며, 본 지침에 없는 사항은 해당 법률을 따른다. <개정 2019. 10. 1.>

1. 복지관에 수집되는 모든 개인정보는 처리 목적을 명확하게 하여야 하고, 그 목적에 필요한 최소한의 범 위에서 적법하고 정당하게 개인정보를 수집하여야 한다.
2. 복지관의 모든 직원은 개인정보의 처리 목적에 필요한 범위에서 적합하게 개인 정보를 처리하고, 그 목적 외의 용도로 활용해서는 아니 된다.
3. 복지관의 모든 직원은 개인정보의 처리 목적에 필요한 범위에서 개인정보의 정확성, 안정성, 최신성이 보장되도록 노력해야 한다.
4. 복지관의 기관장은 개인정보 보호를 위한 제반 지침을 준수하고, 본 지침이 준수될 수 있도록 제반 조취를 취해야 한다.

제 5조 개인정보 수집 <전문개정 2019. 10. 1.>

1. 개인정보의 “수집”이란 정보주체로부터 직접 이름, 주소, 전화번호 등의 정보를 제공받는 것뿐만 아니라 정보주체에 관한 모든 형태의 개인정보를 취득하는 것을 말한다.
2. 복지관은 다음 각 호의 경우에 개인정보를 수집할 수 있으며, 그 수집 목적의 범위에서 이용할 수 있다.
   • 정보주체로부터 사전에 동의를 받은 경우
   • 법률에서 개인정보를 수집・이용할 수 있음을 구체적으로 명시하거나 허용하고 있는 경우
   • 법령에서 복지관에게 구체적인 의무를 부과하고 있고, 복지관이 개인정보를 수집・이용하지 않고는 법령에서 부과하는 구체적인 의무를 이행하는 것이 불가능하거나 현저히 곤란한 경우
   • 복지관이 개인정보를 수집・이용하지 않고는 법령 등에서 정한 소관업무를 수행하는 것이 불가능하거나 현저히 곤란한 경우
   • 개인정보를 수집․이용하지 않고는 정보주체와 계약을 체결하고, 체결된 계약의 내용에 따른 의무를 이행하는 것이 불가능하거나 현저히 곤란한 경우
   • 정보주체 또는 제3자(정보주체를 제외한 그 밖의 모든 자를 말한다)의 생명, 신체, 재산에 대한 피해를 방지해야 할 급박한 상황이어서 개인정보를 수집・이용해야 할 필요성이 명백히 인정됨에도 불구하고 정보주체 또는 그 법정대리인이 의사표시를 할 수 없는 상태에 있거나 주소불명 등으로 연락을 취할 수 없는 상황이어서 사전에 동의를 받을 수 없는 경우
   • 법령 또는 정보주체와의 계약에 따른 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 개인정보의 수집․이용에 관한 동의 여부 및 동의 범위 등을 선택하고 결정할 권리보다 우선하는 경우. 다만, 이 경우 개인정보의 수집․이용은 신목종합사회복지관의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 범위로 한정된다.
3. 정보주체로부터 직접 명함 또는 그와 유사한 매체(이하 “명함 등”이라 한다)를 제공받음 으써 개인정보를 수집하는 경우, 정보주체가 동의의사를 명확히 표시하거나 그렇지 않은 경우 명함 등을 제공하는 정황 등에 비추어 사회통념상 동의 의사가 있었다고 인정되는 범위 내 에서만 이용할 수 있다.
4. 인터넷 홈페이지 등 공개된 매체 또는 장소에서 개인정보를 수집하는 경우, 해당 개인정보는 본인의 개인정보를 인터넷 홈페이지 등에 게시하거나 게시하도록 허용한 정보주체의 동의 의사가 명확히 표시되거나 인터넷 홈페이지 등의 표시 내용에 비추어 사회통념상 동의 의사가 있었다고 인정되는 범위 내에서만 이용할 수 있다.
5. 계약 등의 상대방인 정보주체가 대리인을 통하여 법률행위 또는 의사표시를 하는 경우 대리인의 대리권 확인을 위한 목적으로만 대리인으로부터 대리인의 개인정보를 수집․이용할 수 있다.
6. 근로자와 사용자가 근로계약을 체결하는 경우 「근로기준법」 제2조제5호의 임금지급, 교육, 증명서 발급, 근로자 복지제공을 위하여 근로자의 동의 없이 개인정보를 수집․이용할 수 있다.

제 6조 개인정보 수집 목적

일반적인 개인정보 수집 목적은 다음 각 호와 같다.

1. 이용자의 개인정보 수집은 체계적이고, 질적인 재활 서비스를 제공함에 있다.
2. 후원자, 자원봉사자의 개인정보 수집은 효과적인 서비스 제공과 연계, 기관 정보를 제공함에 있다.
3. 직원의 개인정보 수집은 합리적 채용과 적절한 인사관리를 도모함에 있다.
4. 보다 세부적인 수집 목적은 ‘개인정보파일 대장’ 작성시 분야별로 수립한다.

제 7조 개인정보관리책임관

1. 복지관의 개인정보관리책임관은 복지관장이 하되 사업의 원활한 추진을 위해 부장, 팀장 중 지정하여 위임할 수 있다.
2. 개인정보관리책임관은 개인정보 보호 운영 지침이 준수될 수 있도록 모든 관리 감독을 책임지며, 개인정보 보호를 위한 조치를 강구해야 한다.

제 8조 보안관리자

1. 개인정보관리책임관은 개인정보 보호에 대한 제반 지식과 전산 능력을 보유한 직원 중에 보안관리자를 임명 한다.
2. 보안관리자는 개인정보관리책임관의 지시에 따라 복지관의 개인정보 보호를 위한 교육 등 세부 계획을 수립하고 시행한다.
3. 또한 주기적으로 개인정보 보호 상황을 점검하고, 그 결과를 문서로 개인정보관리책임관에게 정기적으로 보고해야 한다.

제 8조의1 보안관리자의 공개 <신설 2019. 10. 1.>

1. 개인정보 보안관리자를 지정하거나 변경하는 경우 개인정보 보안관리자의 지정 및 변경 사실, 성명과 부서의 명칭, 전화번호 등 연락처를 홈페이지 등에 공개하여야 한다.
2. 개인정보 보안관리자를 공개하는 경우 개인정보 보호와 관련한 고충처리 및 상담을 실제로 처리할 수 있는 연락처를 공개하여야 한다.

제 9조 기타 직원

개인정보를 다루는 복지관의 모든 직원은 개인정보관리책임관과 보안관리자의 개인정보 보호 정책에 적극 협조하는 의무를 가진다.

제 10조 수집에 대한 설명

개인정보가 수집되는 모든 상황에서 담당 직원은 개인정보수집에 대한 목적, 내용, 활용에 대한 구체적인 설명을 문서화된 내용으로 설명을 해야 한다. 홈페이지 등 온라인의 경우 해당 설명을 웹문서로 제시한다.

제 11조 비밀 유지

수집 과정에서 담당 직원은 정보제공자의 사생활을 존중하며, 직무 수행과정에서 얻은 정보에 대해 철저하게 비밀을 유지해야 한다. 비밀보장을 지키지 못하는 내용에 한해서는 별도로 설명을 해야 한다.

제 12조 동의

1. 개인정보 수집 설명이 종료된 이후에는 [별지 개인정보 보호를 위한 개인정보 수집, 활동, 제공 동의서] 양식에 의거하여 동의를 받는다. 홈페이지 등 온라인의 경우에도 동일하게 적용한다.
2. 개인정보 제공자가 만 14세 미만 아동일 경우에는 법정 대리인의 동의를 받는다.
3. 정보주체의 사전 동의 없이 개인정보를 수집, 이용 또는 제공한 경우, 당해 사유가 해소된 때에는 개인정보의 처리를 즉시 중단하여야 하며, 정보주체에게 사전 동의 없이 개인정보를 수집 또는 이용한 사실, 그 사유와 이용내역을 알려야 한다. <신설 2019. 10. 1.>

제 13조 개인정보 관리

1. 개인정보 파일이 보관된 곳은 별도의 잠금장치를 설치하여 관리한다. 필요시 보안경비 업체에 위탁을 할 수 있다.
2. 업무의 특성상 별도로 개인정보 파일을 가공하여 생성, 관리하는 경우 반드시 문서화하여 결재를 득해야 한다. 결재시에는 생성 목적과 사용기간, 담당자, 파기시점과 방법에 대해 명시를 해야 한다.
3. 개인정보가 포함된 모든 출력 문서는 반드시 ‘워터마크’ 기능을 활용하여 담당자의 성명이 문서의 바탕에 출력되도록 해야 한다.

제 14조 개인정보 공개

1. 정보제공자나 법정 대리인의 공개 요청이 있을 경우 본인 여부를 확인한 후 정보 공개 내용을 문서로 결재를 득한 후 정보를 제공한다. 이때 신원 확인을 위해 증빙서류(공문, 신분증 등)을 첨부한다. <개정 2019. 10. 1.>
2. 제3자 및 타기관의 정보 공개 요청시에는 본인 및 법정 대리인의 서면동의 절차를 거친 이후 정보 공개 내용을 문서로 결재를 득한 후 정보를 제공한다.
3. 정보주체에게 개인정보를 제공받는 자를 알리는 경우에는 그 성명(법인 또는 단체인 경우에는 그 명칭)과 연락처를 함께 알려야 한다. <개정 2019. 10. 1.>
4. 다른 법률에 의한 정보 공개 외에는 원칙적으로 개인정보 공개는 금지한다.

제 15조 개인정보 보유 기간

1. 개인정보 보유 기간은 [별지 개인정보파일 보유기간 책정 기준표]에 따른다. <개정 2019. 10. 1.>
2. 다만 이용 증명과 종결에 대한 의견서 등은 추후 개인정보 제공자나 보호자의 요청시 제공 될 수 있도록 유지 및 관리한다.
3. 개인정보를 파기하지 아니하고 보존하여야 하는 경우에는 법령에 따라 해당 개인정보 또는 개인정보파일을 보존한다는 점을 분명히 표시하여야 한다. <신설 2019. 10. 1.>

제 16조 개인정보 파기

1. 개인정보 파기 시점은 이용 목적이 끝난 시점에서 즉시 이루어지며, 원자료파기는 문서로 승인 절차를 거친다.
2. 문서의 경우 세단기를 이용하며, 컴퓨터 등 전산 데이터 파기는 적어도 3회 이상 포맷을 한 후 물리적 충격을 한다.

제 17조 비밀유지 서약 및 교육

1. 복지관 모든 직원은 입사 직후 [별지 기밀유지 서약서]에 날인하고 이를 성실히 지키며, 본 지침을 숙지하고 제반 개인정보 보호 정책을 준수한다.
2. 복지관의 개인정보책임관은 매년 1회 이상 정기적으로 개인정보 보호와 관련된 교육을 개인정보를 다루는 복지관의 모든 직원을 대상으로 의무적으로 실시한다.

제 18조 개인정보 분류

복지관에 존재하는 개인정보는 사업의 형태와 사례관리에 따라 별도 문서로 구분하여 관리하며, 분류 기준은 다음과 같이 한다.

1. 유형 분류 : 이용자, 후원자, 자원봉사자, 지역사회 자원, 직원, 기타
2. 사업 분류 : 재활상담, 의료재활, 직업재활, 사회재활, 교육재활, 심리재활, 재가복지 등
3. 저장 형태 : 문서, 전산 (업무전산 시스템포함), 온라인

제 19조 접근 권한

1. 제18조 개인정보 분류와 직급 및 담당을 고려하여 접근 권한을 설정하고 관리한다. 전산시스템의 경우 개인별적으로 부여된 ID와 비밀번호는 원칙적으로 다른 직원이나 타인에게 누설하거나 제공하지 않는다.
2. 접근 권한이 제한된 직원이 정보를 열람하거나, 대량의 개인정보를 사용할 경우에는 결재를 득한 후 사용을 허락한다.
3. 서버 등 개인정보가 저장된 전산장비는 일반 직원이나 타인의 접근이 원칙적으로 제한될 수 있도록 관리한다. 만일 관리를 위해 점검, 수리, 백업 등 작업을 수행하는 경우에는 보안 관리자의 입회하에 실시하며 작업일지를 작성한다.
4. 문서 등은 별도 잠금장치를 설치하여 통제 한다.
5. 문서보관실은 각 팀의 팀장 이상으로 접근을 제한한다.

제 18조 개인정보 분류

복지관에 존재하는 개인정보는 사업의 형태와 사례관리에 따라 별도 문서로 구분하여 관리하며, 분류 기준은 다음과 같이 한다.

1. 유형 분류 : 이용자, 후원자, 자원봉사자, 지역사회 자원, 직원, 기타
2. 사업 분류 : 재활상담, 의료재활, 직업재활, 사회재활, 교육재활, 심리재활, 재가복지 등
3. 저장 형태 : 문서, 전산 (업무전산 시스템포함), 온라인

제 20조 동의의 철회

1. 정보제공자나 법정대리인이 개인정보의 수집, 이용 또는 제공에 대한 동의를 철회하는 경우에는 본인 여부를 확인하고, 당해 개인정보를 파기하는 등 지체 없이 필요한 조취를 취한다.
2. 제21조 제1항에 의거하여 조취를 취한 경우 그 사실을 정보제공자나 법정대리인에게 서면, 전화, 전자우편 등을 통해 지체 없이 통지한다.

제 21조 정보열람 및 정정요구

1. 정보제공자나 법정대리인이 해당 개인정보에 대한 열람 또는 정정을 요구하는 경우에는 본인 여부를 확인하고 지체 없이 정정, 삭제를 한다.
2. 홈페이지 등 온라인의 경우 정보제공자가 자신의 개인정보를 열람, 정정할 수 있도록 필요한 조취를 취한다.
3. 정보제공자의 대리인이 열람, 정정을 요구하는 경우에는 제15조 지침에 따른다.
4. 의뢰나 연계서비스를 위하여 제 3자에게 개인정보를 제공한 경우에는 오류 정정의 요구를 받은 즉시 개인정보 제공을 중단해야 하며, 이미 제공된 경우에는 정정 사실을 통지하여 조취를 취할 수 있도록 한다.
5. 다만 정보제공자 또는 제 3자의 생명, 신체, 재산, 권익을 현저하게 해할 우려가 있는 경우와 복지관의 업무에 현저한 지장을 미칠 우려가 있는 경우, 다른 법령에 위반되는 경우에는 거절할 수 있다.

제 22조 개인정보 침해 대응

1. 개인정보가 유출되었거나 침해되었을 경우 모든 직원은 즉각 개인정보관리책임관에게 보고를 해야 한다.
2. 유출이나 침해가 발생한 경우 보안관리자는 정보제공자에게 다음 사항을 통보해야 한다.
   • 유출된 개인정보의 항목
   • 유출된 시점과 그 경위
   • 유출로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보제공자가 할 수 있는 방법 등에 관한 정보
   • 개인정보처리자의 대응조치 및 피해구제절차
   • 정보제공자에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처

제 23조 개인정보 복구 대책

개인정보관리책임관은 유출과 침해에 관련된 복구 대책과 대응 체계, 피해구제절차를 수립하여 조취를 취해야 한다.

시행일

본 지침은 관장의 승인을 받아 2019년 10월 1일부터 시행한다.