| 개인정보 제3자 제공 > 경영·사무 |
|
Q. 개인정보 국외 이전에 해당하는 지 문의
|
|
외국인 취업 촉진 관련 업무를 하고 있습니다.
1. 외국인의 노동자가 국내로 들어오기 위해 외국인 개인정보를 수집하여, 국내 채용대행사에 제공한다면 이건 국외이전에도 해당되어 개인정보처리방침 공개 및 국외이전에 대한 정보주체 동의를 받아야 할까요?
2. 국내 사업장과 해외에 설립된 사업장이 같은 법인(같은 기관/공공기관) 일 때, 국내 사업장과 해외 사업장이 서로 개인정보를 주고받을때에도 국외이전으로 보아야 하나요?
|
2025-06-05 ㅣ 답변 1 ㅣ 조회수 38
|
| 개인정보 안전성 확보조치 > 정보통신 |
|
Q. 개인정보 보호법 제29조(안전조치의무)와 Open Redirect를 이용한 스팸/피싱공격 관련 질문
|
|
Open Redirect 취약점과 이를 이용한 스팸/피싱 공격 대응 방안을 고민하던 중, 개인정보보호법 적용 여부가 궁금하여 질문드립니다.
개인정보 보호법 제29조(안전조치의무)에는
“개인정보처리자는 개인정보가 분실·도난·유출·위조·변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적·관리적 및 물리적 조치를 하여야 한다.”
고 명시되어 있습니다.
그러나 관련 법령 및 조치 기준 안내서를 살펴보면, 주로 서비스 내 DB를 비롯한 직접 관리 중인 개인정보 보호 관점에 집중되어 있는 것으로 보입니다.
그런데, 예를 들어 다음과 같은 시나리오가 발생할 경우에도 제29조의 적용 대상에 포함되는지 궁금합니다.
1. 사용자가 믿을 만한 도메인에서 정상적으로 로그인에 성공함
2. Open Redirect 취약점을 악용한 스팸/피싱 링크를 클릭하여, 로그인 이후 피싱 사이트로 리다이렉트됨
3. 이후 사용자가 피싱 사이트에서 추가 행동(예: 개인정보 입력 등)을 통해 개인정보가 유출됨
이 경우 Open Redirect 취약점을 보유한 도메인은 ‘서비스 내부 DB에서 직접 개인정보를 유출한 것’은 아니지만,
결과적으로 피싱 사이트로 연결하여 사용자의 개인정보가 유출되도록 하는 데 기여한 셈입니다.
따라서 이러한 상황도 개인정보보호법 제29조(안전조치의무) 위반으로 볼 수 있는지, 법 적용 범위가 어떻게 되는지 알고 싶습니다.
감사합니다.
|
2025-06-05 ㅣ 답변 1 ㅣ 조회수 89
|
| 개인정보 안전성 확보조치 > 정보통신 |
|
Q. 내부 생성형AI 서비스 구축 시 프롬프트 내 개인정보 처리 방안 관련
|
|
안녕하세요.
개인정보 관련하여 문의드립니다.
회사에서 사내용 ChatGPT 서비스를 구축하기 위해 GenAI(ChatGPT, Gemini 등) API를 활용할 예정입니다.
서비스 특성상 사용자가 입력한 프롬프트 내용을 내부 DB에 저장할 계획이며,
첨부된 파일 역시 텍스트로 변환하여 저장할 예정입니다.
이 과정에서 임직원 정보 등 개인정보(예: 주민등록번호 등 개인식별정보)가 입력될 가능성을 고려하고 있습니다.
이에 따라 프롬프트 저장 시 암호화 또는 개인정보 필터링·마스킹 등 비식별화 조치를 검토하였으나,
개발팀에서는 암·복호화 처리로 인해 서비스 성능 저하가 우려된다는 의견을 제시하고 있어 실효성 있는 대안이 있는지 자문을 구하고자 합니다.
① 프롬프트 내 개인정보 포함 가능성을 고려했을 때, 내부 저장 시 필수적으로 고려해야 할 보호 조치
② 암호화 외에 현실적인 대응 방안(예: 실시간 필터링, 부분 마스킹 등)
③ 관련 법령(개인정보보호법 등)상 요구되는 보호수준
위와 관련하여 실질적으로 적용 가능한 보완 방안이 있다면 조언 부탁드립니다.
감사합니다.
|
2025-06-04 ㅣ 답변 1 ㅣ 조회수 92
|
| 개인정보 수집·이용 > 교육·사회복지 |
|
Q. 공공기관 소관업무 처리에 필요한 주민등록번호 수집 시, 수집 동의를 받아야 할까요?
|
|
개인정보 보호법 제15조(개인정보의 수집ㆍ이용)의 제1항제3호에 의거, 공공기관 소관 업무를 수행하기 위해
주민등록번호를 수집·처리 해야할때,
이를 홈페이지로 회원가입을 받는다면 주민등록번호 수집을 수집한다고 명시하되,
1. 정보주체 동의/비동의 및 동의 거부 시 불이익 내용에 주민등록번호를 넣어야 할지
2. 주민등록번호 처리 법령 근거를 말하고, 동의 받지 않고 처리합니다. 라고 안내하면 될지
궁금합니다.
3. 주민등록번호는 개인정보 보호법 제24조의2(주민등록번호 처리의 제한)의거 법률에서 규정한 경우에 처리가 가능한데
제24조(고유식별정보의 처리 제한)와 비교하여 주민등록번호는 '정보주체 동의는 애초에 받을 필요도 없고 받을 수 도 없다' 그리고 관련 법령에서 주민등록번호 처리 가능하다고 명시되어 있다면 정보주체 동의를 받을 필요 없이 무조건 처리가능 하다는 뜻인가요? 아니면 그렇더라도 정보주체 동의를 받아야 한다는 뜻인가요?
(제24조의2 2호와 3호는 예외로 두었을 때 입니다.)
|
2025-06-04 ㅣ 답변 1 ㅣ 조회수 40
|
| 개인정보 수집·이용 > 교육·사회복지 |
|
Q. 학과 재학생 정보 학과대표 제공 문의
|
|
본교는 사립4년제 대학입니다.
개인정보 수집 이용에 대한 선택동의를 받고 있습니다.
수집 및 이용 목적 사유 '본교 대내외 소식 및 행사'
수집 항목 '이름, 생년월일, 학과, 연락처, 이메일, 지역([구]군, 단위)'
------------------------------------------------------------------------------
위의 사유로 개인정보 동의를 받은 내용을 기준으로
학과 부대표가 학과 관련 행사 참여 문제로 학과 재학생 연락처를 요청했는데 제공이 가능한가요?
감사합니다.
|
2025-06-04 ㅣ 답변 1 ㅣ 조회수 28
|
| 개인정보 수집·이용 > 정보통신 |
|
Q. 14세 미만 사용자가 뉴스레터 구독시 개인정보 수집 관련 문의
|
|
안녕하세요. 우선 지난번에 문의 드렸던 내용 답변 잘 받았습니다. 답변해주신 분 다시 한번 감사드립니다.
자사에서 뉴스레터 서비스를 하고 있는데, 이메일 주소만 간단하게 받고 있습니다. 이때 14세 이상만 사용할 수 있도록 "본인은 14세 이상입니다"라는 체크박스를 필수로 둬야할까요? 아니면 굳이 필요가 없을 까요?
대부분의 뉴스레터 서비스의 경우 14세 미만인 경우라도 별도로 확인하는 절차 없이 진행하던데요. 일반적인 서비스에서는 고민해볼만한 요소라서 문의드립니다. 답변 미리 감사드립니다.
|
2025-06-02 ㅣ 답변 1 ㅣ 조회수 29
|
| 개인정보 수집·이용 > 정보통신 |
|
Q. 마케팅 수신 동의 관련
|
|
B2B SaaS 서비스 가입 후에 발송하는 웰컴 메일이 ' 정보성 목적'이라면 마케팅 수신 동의 없이 발송할 수 있다고 알고 있습니다.
그렇다면 아래와 같은 내용을 추가해도 되는지 문의 드립니다.
1. 서비스 이용 시작을 위한 온보딩 가이드
2. 타 고객사의 이용 사례
|
2025-06-02 ㅣ 답변 1 ㅣ 조회수 40
|
| 개인정보 제3자 제공 > 정보통신 |
|
Q. 대리 동의 관련 문의
|
|
안녕하세요.
상황은 아래와 같습니다.
우리 서비스 앱에서, A라는 업체의 제3자 제공 동의를 받아줘도 법적으로 문제되는 소지가 있을까요?
A 업체의 제3자 제공 동의는 우리 서비스에서 아무런 연관이 없습니다.
답변 부탁드립니다.
감사합니다.
|
2025-06-02 ㅣ 답변 1 ㅣ 조회수 34
|
| 개인정보 처리위탁 및 영업양도 > 정보통신 |
|
Q. 개인정보 접속기록 해외 보관
|
|
안녕하세요
외국계 솔루션 개인정보 처리시스템을 사용하고 있는 기업담당자입니다.
외국계 솔루션에서 개인정보 접속기록을 보관하는데 한계가 있어서 외부 솔루션 구축하여 접속기록 남길 예정입니다.
이에 따라 몇가지 질문사항 문의드립니다.
1. 개인정보 접속기록 해외 보관 가능여부
- 개인정보 접속기록을 해외에 보관하여도 무관한가요?
2. 개인정보 접속기록 개인정보 여부
- 접속기록에 처리주체에 대한 정보가 있어서 개인정보라고 판단하신다면 개인정보 처리방침에 국외이전으로 작성해야 될지 문의드립니다.
|
2025-05-30 ㅣ 답변 2 ㅣ 조회수 47
|
| 개인정보 관리 > 경영·사무 |
|
Q. 임직원 개인정보 수집 동의 관련
|
|
안녕하세요.
폐사는 중견기업 회사로, 개인정보 수집 등에 대한 동의서를 수기로 받고 있습니다.
이를 그룹웨어 내 인사정보시스템에 임직원이 로그인하여 동의 및 관련 보안 서약서를 징구하고자 하는데,
그룹웨어 온라인 상에서 사용자가 동의했을 시 유효한지 문의드립니다.
또한, 유효한 경우 어떤 요건이 필요한지 궁금합니다.
|
2025-05-30 ㅣ 답변 2 ㅣ 조회수 48
|
지식 Q&A