1		개인정보 내부관리계획 개정 및 이행실태 점검

	관련 근거
‣ 개인정보 보호법 제29조(안전조치의무) ‣ 개인정보 보호법 시행령 제30조(개인정보의 안전성 확보 조치) ‣ 개인정보의 안전성 확보조치 기준 제4조(내부 관리계획의 수립·시행 및 점검)

	업무시기
‣ 내부관리계획 개정: 변경 사유 발생 시(법령, 지침 변경 등) ‣ 내부관리계획 이행실태 점검: 연 1회 이상(9월~12월)

주요내용

❑ 내부관리계획의 수립 및 시행 (법 제29조에 따른 의무사항)

- “개인정보 내부관리계획”이란?

개인정보처리자(행정기관, 학교)가 개인정보의 분실·도난·유출·위조·변조 또는 훼손되지 아니하도록 안전성 확보에 필요한 기술적·관리적 및 물리적 안전조치에 관한 사항 등을 규정한 계획, 규정, 지침 등을 말함

- 내부관리계획에 포함되어야 할 필수사항(학교: 유형2)

1. 개인정보 보호책임자의 지정에 관한 사항

※ 각급학교 개인정보 보호책임자: 교장(지침 제21조)

2. 개인정보 보호책임자 및 개인정보취급자의 역할 및 책임에 관한 사항

3. 개인정보취급자의 교육에 관한 사항

4. 접근 권한의 관리에 관한 사항

5. 접근 통제에 관한 사항

6. 개인정보의 암호화 조치에 관한 사항

7. 접속기록 보관 및 점검에 관한 사항

8. 악성프로그램 등 방지에 관한 사항

9. 물리적 안전조치에 관한 사항

10. 개인정보 보호조직에 관한 구성 및 운영에 관한 사항

11. 개인정보 유출사고 대응 계획 수립ㆍ시행에 관한 사항

12. 위험도 분석 및 대응방안 마련에 관한 사항(유형2 생략가능)

13. 재해 및 재난 대비 개인정보처리시스템의 물리적 안전조치에 관한 사항(유형2 생략가능)

14. 개인정보 처리업무를 위탁하는 경우 수탁자에 대한 관리 및 감독에 관한 사항

15. 그 밖에 개인정보 보호를 위하여 필요한 사항

❑ 처리 방법

1. 개인정보 내부관리계획 수립(개정) 내부결재(개인정보 보호책임자 결재)

2. 내부관리계획 결재 후 전 직원에게 전파(공람, 게시, 교육 등)

3. 하반기(연1회 이상) 내부관리계획 이행실태 점검결과 내부결재(개인정보 보호책임자 결재)

유의사항

☞ 내부관리계획은 매년 변경해야 하는 것은 아니며, 법·지침 개정에 따라 변경사항이 발생할 경우 개정하고, 변경 이력을 내부 관리계획에 포함하여 관리

☞ 전 직원이 내부관리계획을 준수할 수 있도록 결재 후 전 직원에게 공람

	벌칙 과태료
‣ 안전조치 의무 위반(법 제29조): 3천만원 이하의 과태료[법 제75조제2항제5호]

	참고
‣ 내부관리계획 개정 기안문(개정사항이 있는 경우) ‣ 각급학교 내부관리계획 표준안(예시) ‣ 내부관리계획 검토 결과 보고 기안문(개정사항이 없는 경우) ‣ 내부관리계획 이행실태 점검 결과 기안문 및 이행실태 점검표(예시)

예시		내부 관리계획 개정 기안문[개정사항이 있는 경우]

		○○○학교
수신자	내부결재
(경유)
제목	○○○학교 개인정보 내부 관리계획 개정

1. 관련

가. 개인정보 보호법 제29조(안전조치의무) 및 같은 법 시행령 제30조(개인정보의 안전성 확보조치)

나. 개인정보의 안전성 확보조치 기준 제4조(내부 관리계획의 수립·시행)

다. ○○○학교 개인정보 내부 관리계획 개정(○○○학교-0000, 2022.4.13.)

-- 전년도 내부관리계획

2.“○○○학교 개인정보 내부 관리계획” 검토 결과, 개정이 필요하여 붙임과 같이 개정 및 시행하고자 합니다.

❍ 주요 개정사항

- ｢교육부 개인정보 보호지침｣개정에 따른 개정사항 반영

- 개인정보의 안전성 확보조치 기준 개정사항 반영 등

붙임  ○○○학교 개인정보 내부 관리계획 1부.  끝.

★									교장
협조자
시행	○○학교-0000	(	0000. 00. 00.	)	접수		(		)
우	00000	서울특별시 ○○○○○○	/	http://www.
전화	02-000-0000	/전송	02-000-0000	/	○○○@○○○	/	비공개(7)

예시		[작성예시_학교] 개인정보 내부 관리 계획

※ 하단 예시는 공공기관이 의무적으로 수립·시행하는 “개인정보 내부 관리계획”의 이해를 돕고자 제공하고 있으며, 각급학교(개인정보처리자)는 학교 현황에 맞게 본문과 붙임자료 등을 수정하여 반영하시기 바랍니다.

○○○○○ 【학교명】

개인정보 내부 관리계획

2025. 00. 00.

○○○학교

제·개 정 이 력

순번	제·개정일	주요내용
1	2017. 1. . 제정
2	2018. . . 일부 개정	◦ 내부관리계획 이행 실태 점검 추가 ◦ 관리용 단말기의 안전조치 추가 ◦ 개인정보 처리방침의 기재사항 3개 항목 추가 ◦ 행정안전부 신고 대상 개인정보 유출건수 개정
3	2019. . . 일부 개정	◦ 접속기록의 보관 및 점검 추가 ◦ 개인정보보호 교육 추가 ◦ 수탁사 관리·감독 추가 ◦ 용어 정리 및 설명 추가
4	2020. . . 일부 개정	◦ 개인정보 보호책임자 등의 역할 및 책임 추가 ◦ 개인정보의 목적의 이용 및 제3자 제공 절차 수정 ◦ 개인정보파일 관리 추가 ◦ 접속기록의 보관 및 점검 개정사항 반영
5	2021. . . 일부 개정	◦ 개인정보의 추가적인 이용 및 제공 ◦ 가명정보의 처리 ◦ 개인정보(파일) 파기 절차
6	2022. . . 일부 개정	◦ 개인정보 목적 외 이용 및 제3자 제공 절차 수정 ◦ 접속기록의 보관 및 점검 내용 보완 ◦ (붙임1),(붙임6) 일부 수정 ◦ (붙임9)표준 개인정보처리위탁 계약서 추가
7	2023. . . 일부 개정	◦ 개인정보의 수집·이용·제공 추가 (개인정보의 추가적인 이용·제공 포함) ◦ 개인정보 유출사고 대응반 추가 ◦ (붙임1) 내부관리계획 이행실태 점검표 전면 수정
8	2024. . . 일부 개정	※ 개인정보 보호법 개정(2023. 9. 15.) 반영 ◦ 총칙 일부 수정 ◦ 개인정보의 처리 일부 수정 - 개인정보(파일) 파기 절차 ◦ 개인정보보호의 기술적·관리적·물리적 안전조치 일부 수정 - 접근권한 관리에 관한 사항 - 개인정보의 암호화 조치에 관한 사항 ◦ 개인정보 유출사고 대응 일부 수정

- 목    차 -

Ⅰ. 총칙

1. 목적	4

2. 용어정의	4

3. 적용범위	4

4. 내부관리계획의 수립·시행	4

Ⅱ. 개인정보 보호책임자 등의 역할 및 책임	5

Ⅲ. 개인정보의 처리

1. 개인정보의 수집·이용·제공	6

2. 개인정보의 목적 외 이용 및 제3자 제공의 절차	7

3. 가명정보의 처리	8

4. 개인정보(파일)의 파기	8

Ⅳ. 개인정보파일 관리	9

Ⅴ. 개인정보 보호의 기술적·관리적·물리적 안전조치

1. 개인정보 처리방침의 수립 및 공개	10

2. 개인정보 보호의 날 운영	10

3. 접근권한 관리에 관한 사항	10

4. 접근통제에 관한 사항	11

5. 개인정보의 암호화에 관한 사항	11

6. 접속기록의 보관 및 점검	11

7. 악성프로그램 등 방지에 관한 사항	12

8. 관리용 단말기의 안전조치	12

9. 물리적 접근제한	12

10. 개인정보 보호조직에 관한 구성 및 운영에 관한 사항	13

Ⅵ. 개인정보 보호 교육

1. 개인정보 보호 교육 계획 수립·시행	13

Ⅶ. 수탁사 관리·감독

1. 개인정보 처리 업무의 위탁	14

2. 수탁사 관리·감독	14

Ⅷ. 개인정보 유출사고 대응

1. 개인정보 유출 유형	14

2. 개인정보 유출 시 대응 절차	15

3. 개인정보 유출대응반	15

붙임 1. 내부관리계획 이행실태 점검표	16
2. 개인정보의 목적 외 이용 및 제3자 제공대장	19
3. 개인정보파일 파기 요청서	20
4. 개인정보 파기 확인서	21
5. 개인정보파일 표준목록	22
6. 접근권한 관리대장	23
7. 개인정보처리시스템 접속기록 점검표	24
8. 표준 개인정보처리 위탁 계약서	25
9. 개인정보 유출 신고서	27

Ⅰ		총칙

1. 목적

□ ○○○○○(학교명) 개인정보 내부관리계획은 개인정보 보호법 제29조와 같은 법 시행령 제30조 그리고 ‘개인정보의 안전성 확보조치 기준’(개인정보보호위원회 고시 제2023-6호)에 따라 개인정보를 처리함에 있어서 개인정보가 분실·도난·유출·위조·변조 또는 훼손되지 아니하도록 안전성 확보에 필요한 기술적․관리적 및 물리적 안전 조치에 관한 사항을 정하는 것을 목적으로 한다.

2. 용어정의

□ 개인정보 내부 관리계획에서 사용하는 용어의 뜻은 별도의 규정이 없으면 ｢개인정보의 안전성 확보조치 기준｣(개인정보보호위원회고시), ｢교육부 개인정보 보호지침｣(교육부훈령 제476조)에서 정하는 바에 따른다.

3. 적용범위

□ ○○○○○(학교명) 내부관리계획은 정보통신망을 통하여 수집, 이용, 제공 또는 관리되는 개인 정보뿐만 아니라 서면 등 정보통신망 이외의 수단을 통해서 수집, 이용, 제공 또는 관리되는 개인정보 및 개인영상정보기기(CCTV)에 대해서도 적용되며, 이러한 개인정보를 취급하는 내부 교직원(임시직, 계약직 등 포함) 및 외부 수탁업체 직원에 대해 적용된다.

4. 내부관리계획의 수립·시행

□ 개인정보 보호책임자는 ○○○○○(학교명) 개인정보보호를 위한 전반적인 사항을 포함하여 내부관리계획을 수립한다.

□ 개인정보 보호책임자는 개인정보 보호 관련 법령의 제·개정 사항 등을 반영하기 위하여 매년 내부 관리계획의 타당성과 개정 필요성을 검토하여, 개정할 필요가 있다고 판단되는 경우 즉시 반영하여 내부 관리계획을 수정하여 시행하고, 그 수정 이력을 관리한다.

□ 개인정보 보호책임자는 연1회 이상으로 내부 관리계획의 이행 실태를 점검·관리하고 그 결과에 따라 적절한 조치를 취한다.

Ⅱ		개인정보 보호책임자 등의 역할 및 책임

구분	지정	역할
개인정보 보호책임자	학교장	1. 개인정보 보호 관련 내부 지침 제·개정 2. 개인정보 처리 실태 및 관행의 정기적인 조사 및 개선 3. 개인정보 처리와 관련한 불만의 처리 및 피해 구제 4. 개인정보의 기술적·관리적 보호조치 기준 이행 총괄 5. 개인정보 보호 교육 계획의 수립 및 시행 6. 개인정보파일의 보호 및 관리·감독 7. 기관 개인정보 처리방침의 수립·변경 및 시행 8. 개인정보보호 분야별책임자 지휘·감독 9. 개인정보 보호 관련 자료의 관리 10. 개인정보파일의 보유기간 산정 11. 처리 목적이 달성되거나 보유기간이 지난 개인정보 파기 12. 기타 정보주체의 개인정보보호에 필요한 사항
개인정보 보호분야별 책임자	각 부서의 장	1. 개인정보 처리와 관련한 불만의 처리 및 피해 구제 2. 개인정보의 기술적·관리적 보호조치 기준 이행 3. 개인정보파일의 보호 및 관리·감독 4. 소속 직원의 정기적인 개인정보 보호 교육 5. 소관 업무의 개인정보 처리 수탁자에 대한 교육 및 관리·감독 6. 개인정보 관련 개선 권고에 따른 조치사항 이행 등 7. 그 밖에 해당부서의 개인정보 보호를 위해 필요한 사항 등
개인정보 보호담당자	학교장이 지정하는 자	개인정보 보호 업무에 대한 실무를 총괄
개인정보 취급자	개인정보처리 담당자 (교직원, 파견근로자, 시간제 근로자, 수탁업체 직원 등)	1. 개인정보 보호활동 참여 2. 내부관리계획의 준수 및 이행 3. 개인정보의 기술적․관리적 보호조치 기준 이행 4. 적법한 개인정보 처리 5. 업무상 알게 된 개인정보의 남용 및 제3자 제공 금지

Ⅲ		개인정보의 처리

1. 개인정보의 수집·이용·제공

□ 개인정보처리자는 개인정보를 수집하여 이용하고자 할 경우에는 아래의 절차를 따른다.

절차	주요내용
1. 법적근거 검토	법적 근거 검토 (개인정보 보호법 제15조) - 법률에 규정, 법령상 의무 준수 - 법령 등에서 정한 소관 업무 수행 - 계약 이행·체결 - 급박한 생명, 신체, 재산의 이익에 필요 - 개인정보처리자의 정당한 이익 달성 공중위생 등 공공의 안전을 위해 긴급 필요
□
2. 동의절차 이행	법적 근거가 없는 경우에는 정보주체로부터 별도의 동의 필요 ※ 동의서 필수사항(중요한 내용은 알아보기 쉽게 표시) ①수집‧이용 목적 ②수집항목 ③보유 및 이용기간 ④동의 거부권과 불이익 내용
□
3. 이용	개인정보를 수집한 목적으로 안전하게 이용 암호화 대상*인 경우 암호화 조치 등 이행 *고유식별정보, 생체인식정보 등
□
4. 파기	아래의 경우 파기절차에 따라 파기 보유기간의 경과 개인정보의 처리 목적 달성 등

□ 개인정보처리자는 개인정보를 제3자에게 제공하고자 할 경우에는 아래의 절차를 따른다.

절차	주요내용
1. 법적근거 검토	법적 근거 검토 (개인정보 보호법 제17조) - 법률에 규정, 법령상 의무 준수 - 법령 등에서 정한 소관 업무 수행 급박한 생명, 신체, 재산의 이익에 필요 - 개인정보처리자의 정당한 이익 달성 - 공중위생 등 공공의 안전을 위해 긴급 필요
□
2. 동의절차 이행	법적 근거가 없는 경우에는 정보주체로부터 별도의 동의 필요 ※ 동의서 필수사항 □ 제공받는 자 □ 제공받는 자의 이용 목적 □ 제공 항목 □보유·이용 기간, ⑤ 동의 거부권과 불이익 내용
□
3. 개인정보보호 책임자 승인	- 개인정보 보호책임자의 승인
□
4. 제공 사실 공고 (관보 또는 인터넷 홈페이지)	학교 홈페이지 “개인정보 처리방침”에 제3자 제공 내역 공개 - 대상: 개인정보보호 종합지원시스템(intra.privacy.go.kr) 등록대상 개인정보파일을 제3자에게 제공한 경우(개인정보 보호법 제32조)

□ 개인정보처리자는 당초 수집 목적과 합리적으로 관련된 범위에서 정보주체의 동의 없이 개인정보를 추가적인 이용 및 제공할 수 있으며, 이 경우에는 다음 각 호의 사항을 고려해야 한다.

1. 당초 수집 목적과 관련성이 있는지 여부

2. 개인정보를 수집한 정황 또는 처리 관행에 비추어 볼 때 개인정보의 추가적인 이용 또는 제공에 대한 예측 가능성이 있는지 여부

3. 정보주체의 이익을 부당하게 침해하는지 여부

4. 가명처리 또는 암호화 등 안전성 확보에 필요한 조치를 하였는지 여부

2. 개인정보의 목적 외 이용 및 제3자 제공의 절차

절차	주요내용
1. 법적근거 검토 [개인정보취급자]	- 목적 외 이용‧제3자 제공이 가능한 경우에 해당하는지 법적근거 검토 (개인정보 보호법 제18조)
□
2. 동의절차 이행 [개인정보취급자]	- 법적 근거가 없는 경우에는 정보주체로부터 별도의 동의 ※ 동의서 필수사항 □ 제공받는 자 □ 이용·제공 목적 □ 이용·제공 항목 □보유·이용 기간, ⑤ 동의 거부권과 불이익 내용
□
3. 제공 승인 획득 [개인정보보호책임자]	- 개인정보 보호책임자로부터 목적 외 이용‧제공 승인 절차 진행
□
4. 대장 기록·관리 [개인정보취급자]	- ｢개인정보의 목적 외 이용 및 제3자 제공대장｣(붙임2) 기록·관리
□
5. 목적 외 이용·제공 [개인정보취급자 → 제공받는자]	- 제공 방법 : 전자문서로 제공(비공개, 열람제한 조치) 단, 부득이 한 경우 보조 기억매체(USB, CD 등), 우편, e-mail 등으로 제공 가능 ※ 개인정보 안전성 확보조치 후 제공
□
6. 주요 내용 공개 [개인정보취급자]	- 대 상 : 개인정보 보호법 제18조제2항 2호~제6호,제8호,제9호 - 일 정 : 30일 이내 시작하여 10일 이상 관보 또는 홈페이지 등에 공고 - 항 목 : 목적 외 이용 등을 한 날짜, 법적 근거, 목적, 개인정보의 항목 - 공고예외 : 개인정보 보호법 제18조제2항제1호,제7호 (정보주체로부터 별도 동의 받았거나 수사 목적의 경우)
□
7. 보호조치 요구 [개인정보취급자 → 제공받는자] (제3자 제공시)	- 제3자 제공시에는 이용목적, 이용방법, 이용기간, 이용형태 등을 제한하거나, 개인정보의 안전성 확보를 위하여 필요한 조치를 마련하도록 문서로 요청
□
8. 조치결과 제출 [제공받는자 → 개인정보취급자] (제3자 제공시)	- 안전성 확보조치 요청을 받은 자는 그에 따른 조치를 취한 후, 그 결과를 개인정보를 제공한 개인정보처리자에게 문서로 알려야 함

3. 가명정보의 처리

□ 통계작성, 과학적 연구, 공익적 기록보존 등을 위하여 정보주체의 동의 없이 가명정보를 처리할 수 있다.

□ 가명정보를 제3자에게 제공하는 경우에는 특정 개인을 알아보기 위하여 사용될 수 있는 정보를 포함하면 안된다

□ 가명정보 처리 등에 관한 세부 사항은 ‘교육분야 가명정보 처리 가이드라인’을 따른다.

4. 개인정보(파일)의 파기

□ 개인정보(파일)가 보유기간 만료 등으로 불필요하게 된 경우에는 정당한 사유가 없는 한 지체없이(5일 이내)에 파기 한다. 다만, 다른 법령에 따라 개인정보를 보존하여야 하는 경우에는 물리적 또는 기술적 방법으로 분리하여 저장‧관리하고, 그 보존 근거와 보존하는 개인정보 항목을 개인정보 처리방침에 포함한다.

① 개인정보 파기 절차

개인정보취급자		개인정보 보호책임자
개인정보의 파기 계획 (내부결재)	□	파기 검토
		□
개인정보 파기	□	승인
□
개인정보 파기 완료 보고 (내부결재)	□	개인정보 파기 결과 확인

② 개인정보파일 파기 절차

개인정보취급자		개인정보 보호책임자
개인정보파일 파기요청서(붙임3) 제출	□	파기 검토
		□
개인정보 및 개인정보파일 파기 실시 ※ 개인정보 파기 방법(아래 참조)	□	승인·반려
□
개인정보파일 파기 결과보고(증적자료 필수) 개인정보파일 파기 관리대장(붙임4) 작성	□	개인정보 파기 결과 확인
개인정보보호종합지원시스템(intra.privacy.go.kr) 개인정보파일 삭제 요청		개인정보보호종합지원시스템(intra.privacy.go.kr) 개인정보파일 삭제 승인

▶ 개인정보의 파기 절차

- 대상: 기관에서 수집한 각종 개인정보 중 보유기간이 경과되거나 목적 달성된 개인정보 일체

- 파기계획수립(내부결재, 책임자 승인) ⇨ 파기수행 ⇨ 파기완료보고(내부결재, 책임자 승인)

□ 개인정보(파일)의 파기 방법은 다음과 같다.

▶ 개인정보의 파기 방법

1. 전자적 파일 : 복원이 불가능한 방법으로 영구 삭제

2. 인쇄물, 서면 등 그 밖의 기록매체 : 파쇄 또는 소각

▶ 개인정보의 일부만 파기하는 경우

(위의 방법으로 파기하는 것이 어려울 때에는 아래의 조치를 취함)

1. 전자적파일 : 개인정보를 삭제한 후 복구 및 재생되지 않도록 관리 및 감독

2. 인쇄물, 서면 등 그 밖의 기록매체인 경우: 해당 부분을 마스킹, 천공 등으로 삭제

Ⅳ		개인정보파일 관리

1. 개인정보파일 관리

□ ‘각급학교 개인정보파일 표준목록(붙임6)’을 개인정보보호종합지원시스템에 등록·관리한다.

2. 개인정보파일 등록

□ 개인정보보호종합지원시스템에 개인정보 파일 및 담당자 등록 관리한다.

- 개인정보보호종합지원시스템 : https://intra.privacy.go.kr

- 개인정보파일 등록 관리 : 표준목록(붙임6) 등록

- 개인정보보호책임자(학교장), 개인정보보호총괄관리자(개인정보 담당자), 개인정보취급자 등록

Ⅴ		개인정보보호의 기술적·관리적·물리적 안전조치

1. 개인정보 처리방침의 수립 및 공개

□ 홈페이지에 지속적으로 공개 및 변경이 있는 경우 즉시 반영 공개

- 처리하는 개인정보의 항목

- 개인정보의 처리 및 보유기간

- (해당시) 개인정보의 제3자 제공에 관한 사항

- (해당시) 개인정보의 추가적인 이용 및 제공의 기준

(해당시) 인터넷 접속파일 등 개인정보를 자동으로 수집하는 장치의 설치·운영 및 그 거부에 관한 사항

- 개인정보의 파기절차 및 파기방법(보존근거와 개인정보 항목 포함)

(해당시) 민감정보의 공개 가능성 및 비공개를 선택하는 방법

- (해당시) 개인정보처리의 위탁에 관한 사항

- (해당시) 가명정보 처리 등에 관한 사항

- 개인정보의 안전성 확보 조치에 관한 사항

- 개인정보 처리방침의 변경에 관한 사항

- 개인정보 보호책임자의 성명 또는 개인정보 보호업무 및 관련 고충사항을 처리하는 부서의 명칭과 전화번호 등 연락처

- 개인정보의 열람청구를 접수·처리하는 부서

- 정보주체의 권익침해에 대한 구제방법

2. 개인정보 보호의 날 운영

□ 일정 : 매월 세번째 수요일 ☞ 사이버보안진단의 날

□ 내용 : PC내 개인정보파일 암호화 조치 점검 및 내PC지키미 실행

3. 접근권한 관리에 관한 사항

□ 개인정보 처리업무(개인정보처리시스템 포함)에 대한 접근 권한을 필요 최소한의 범위로 차등 부여하고 업무가 변경되었을 경우 지체 없이 개인정보처리시스템의 접근 권한을 변경 또는 말소한다.

□ 개인정보취급자 별로 계정을 발급하고 계정이 다른 개인정보취급자와 공유되지 않도록 한다.

□ 시스템별로 권한부여, 변경 또는 말소에 대한 내역을 기록하고, 그 기록을 최소 3년간 보관한다.

개인정보 처리 업무 (개인정보처리시스템)	접근권한 관리 현황	비고
나이스	- 현재 접근권한 확인 ▸공통관리⇒학교업무분장⇒학교업무분장⇒학교업무분장관리 > 메뉴별학교업무분장소유자조회	‘나이스 권한관리 자체점검 세부 매뉴얼(학교용)’에 따라 자체 권한 정비 및 점검
	- 권한부여이력 확인 ▸공통관리⇒학교업무분장⇒학교업무분장⇒학교업무분장관리 > 학교업무분장변경통계현황
K-에듀파인 (재정,업무관리)	- 현재 보유권한 확인 ▸서비스공통⇒권한관리⇒(재정/업무)접근권한관리⇒권한보유현황	자체 권한 정비 및 점검(별첨 참고)
	- 권한부여이력 확인 ▸서비스공통⇒권한관리⇒(재정/업무)접근권한관리⇒권한보유대장
홈페이지	- 학교 홈페이지 접근권한 관리대장	시스템에서 전자적으로 관리되지 않는 경우 수기대장 작성하여 관리[붙임6]
도서관리시스템	- 도서관리시스템 접근권한 관리대장
OO시스템*	- OO시스템 접근권한 관리대장

* 출결시스템, 쿨메신저, 영문증명서 발급 시스템 등 학교 자체운영 개인정보처리시스템 등

□ 비밀번호는‘서울특별시교육청 정보보안 기본지침 제74조(비밀번호 관리)’ 작성규칙을 준수하며, 정기적으로 변경·사용한다.

※ 비밀번호 관리 규칙 : 영문자, 숫자, 특수문자 등을 혼합하여 구성

4. 접근통제에 관한 사항

□ 개인정보처리시스템, 업무용 컴퓨터, 모바일 기기에서 P2P, 공유설정은 기본적으로 사용하지 않는다.

□ 업무용 PC에 접근통제(CMOS, windows 비밀번호설정 등) 조치한다.

□ 개인정보처리시스템에 취급자가 일정시간 업무 처리하지 않는 경우 자동 로그아웃으로 접근 통제한다.

□ 인터넷 홈페이지를 통한 개인정보가 유출되지 않도록 웹취약점에 대한 조치를 한다.

5.  개인정보의 암호화에 관한 사항

□ 암호화 저장 대상 : 고유식별정보, 비밀번호, 생체인식정보

※ 비밀번호는 복호화 되지 않도롤 일방향 암호화

□ 업무용 컴퓨터(PC) 암호화 방법

① 서울시교육청이 제공하는 암호화 소프트웨어(안랩 EPP) 사용

② 한글(문서암호), 엑셀(통합문서보호)에서 제공하는 암호화 기능 사용

□ 매월 암호화 조치에 대한 실태 및 현황 조사

6. 접속기록의 보관 및 점검

□ 개인정보처리시스템에 접속한 기록*을 1년 이상 보관·관리하여야 한다.
다만, 5만명 이상의 정보주체에 관하여 개인정보를 처리하거나, 고유식별정보 또는 민감정보를 처리하는 개인정보처리시스템의 경우에는 2년 이상 보관·관리하여야 한다.

∙ 접속기록 : 계정, 접속일시, 접속지 정보(IP), 처리한 정보주체 정보, 수행업무(수집, 생성, 연계, 연동, 기록, 저장, 보유 가공, 편집, 검색, 출력, 정정, 복구, 이용, 제공, 공개, 파기 등)

□ 개인정보의 분실·도난·유출·위조·변조 또는 훼손 등에 대응하기 위하여 개인정보처리시스템의 접속기록 등을 월 1회 이상 점검(붙임8) 하여야 한다.

□ 특히 아래와 같은 개인정보 다운로드 사례가 발견되었을 경우 반드시 그 사유를 확인하여야 한다.

※ 개인정보의 다운로드가 확인된 경우에는 내부 관리계획 등으로 정하는 바에 따라 그 사유를 반드시 확인

① 권한없는 자가 개인정보를 다운로드 한 경우

② 정당한 이유 없이 개인정보를 다운로드 한 경우

③ 새벽시간, 휴무일 등 업무시간 외 개인정보를 다운로드 한 경우

④ 이유 없이 대량으로 개인정보를 다운로드 한 경우

⑤ 그 외 개인정보 보호책임자가 필요하다고 인정하는 경우

□ 접속기록이 위‧변조 및 도난, 분실되지 않도록 해당 접속기록을 안전하게 보관하여야 한다.

7. 악성프로그램 등 방지에 관한 사항

□ 악성프로그램 등을 통해 개인정보가 분실·도난·누출·변조 또는 훼손되지 아니하도록 백신프로그램 등의 보안 프로그램을 설치·운영한다.

□ 보안프로그램은 자동 업데이트 기능을 사용하거나, 일1회 이상 업데이트를 실시하여 최신의 상태로 유지한다.

8. 관리용 단말기의 안전조치

□ 개인정보 유출 등 개인정보 침해사고 방지를 위하여 관리용 단말기에 대해 다음의 안전조치를 하여야 한다.

- 인가 받지 않은 사람이 관리용 단말기에 접근하여 임의로 조작하지 못 하도록  조치

- 본래 목적 외로 사용되지 않도록 조치

- 악성프로그램 감염 방지 등을 위한 보안조치 적용

※ 관리용 단말기 : 개인정보처리시스템의 관리, 운영, 개발, 보안 등의 목적으로 시스템에 직접 접속하는 단말기(PC 등)

9. 물리적 접근제한

□ 전산실, 자료보관실 등 개인정보를 보관하고 있는 장소는 비인가자의 출입을 제한한다.

- 관리대장 작성: 출입자, 출입일시, 출입목적, 소속 등

□ 개인정보가 포함된 서류, 보조저장매체 등은 잠금장치가 있는 안전한 장소에 보관한다.

10. 개인정보 보호조직의 관한 구성 및 운영에 관한 사항

□ 개인정보 처리과정 전반에 걸쳐 개인정보를 안전하게 관리하고 보호하기 위하여 개인정보 보호조직을 구성하고 운영한다.

* 학교의 사정에 맞게 정함

Ⅵ		개인정보 보호 교육

1. 개인정보보호 교육 계획 수립·시행

□ 개인정보 보호책임자는 개인정보보호에 대한 인식을 제고시키고자 다음의 내용을 포함한 개인정보 보호 교육을 실시한다.

* 대상자는 세분화하여 학교 실정에 맞게 정함

대상자	내용	일정	방법
개인정보 보호책임자	- 개인정보 보호책임자의 역할과 의무 - 개인정보 보호 주요 추진정책 - 개인정보 보호법의 이해 - 개인정보 유출사례 등	상반기	개인정보위, 교육부, 교육연수원 CPO교육활용
개인정보 담당자	- 개인정보 보호법의 이해 - 개인정보 처리단계별 준수사항 - 개인정보의 안전성 확보조치 방안 - 개인정보 유출사례 및 침해사고 대응 등	상시	교육지원청 담당자교육 또는 온라인교육
개인정보 취급자	- 개인정보 보호 내부 관리계획 □ 수집·이용 방법 □ 목적 외 이용 및 제3자 제공 및 절차 □ 개인정보 위탁, 수탁자 관리 방법 □ 안전성 확보 조치 - 개인정보 유출사고 대응방법 및 절차 - 개인정보 위반 사례 등	상시	자체교육 온라인교육
수탁기관(자)	- 개인정보 위탁에 따른 수탁자 책임과 의무 - 개인정보 처리방법 및 안전성 확보조치 - 위탁계약서 및 과태료 부과기준 등	위탁계약 직후	자체교육 온라인교육

□ 개인정보 보호 책임자는 개인정보 보호 교육 실시한 결과(참석률 포함) 또는 이를 입증할 수 있는 관련 자료 등을 기록·보관 한다.

□ 부득이한 사정으로 교육에 참석하지 못한 자는 온라인 교육을 받을 수 있도록 한다.

* 교육연수원(https://seti.go.kr), 개인정보보호 종합포털(https://privacy.go.kr) 온라인 교육 활용

Ⅶ		수탁사 관리·감독

1. 개인정보 처리 업무의 위탁

□ 개인정보 처리 업무를 위탁하는 경우, 다음 내용이 포함된 문서에 의한다. (붙임9)

개인정보처리 위탁시 문서에 포함되어야 할 필수 항목

위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항

개인정보의 기술적·관리적 보호조치에 관한 사항

위탁업무의 목적과 범위

재위탁 제한에 관한 사항

개인정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항

위탁업무와 관련하여 보유하고 있는 개인정보의 관리 현황 점검 등 감독에 관한 사항

수탁자가 준수하여야 할 의무를 위반한 경우 손해배상 등 책임에 관한 사항

□ 개인정보 처리 업무를 위탁한 경우 홈페이지 개인정보 처리방침에 위탁하는 업무의 내용과 수탁자의 정보를 지속적으로 게재한다.

□ 수탁자가 위탁받은 업무를 제3자에게 다시 위탁하는 경우(재위탁)에는 위탁자의 동의가 필요하다. (재위탁 받은 제3자도 수탁자에 포함됨)

2. 수탁사 관리·감독

□ 수탁자가 개인정보를 안전하게 처리할 수 있도록 수탁자를 교육하고, 처리 현황 점검 등 관리·감독을 하여야 한다.

□ 개인정보 보호 책임자는 수탁자를 교육하고 감독한 결과 또는 이를 입증할 수 있는 관련 자료 등을 기록·보관 한다.

□ 계약종료 시 수탁사의 개인정보 파기를 확인한다. (붙임5)

Ⅷ		개인정보 유출사고 대응

1. 개인정보 유출 유형

□ 개인정보가 포함된 서면, 이동식 저장장치, 휴대용 컴퓨터 등을 분실하거나 도난당한 경우

□ 개인정보가 저장된 데이터베이스 등 개인정보처리시스템에 정상적인 권한이 없는 자가 접근한 경우

□ 개인정보처리자의 고의 또는 과실로 인해 개인정보가 포함된 파일 또는 종이문서, 기타 저장 매체가 권한이 없는 자에게 잘못 전달된 경우

□ 기타 권한이 없는 자에게 개인정보가 전달된 경우

2. 개인정보 유출 시 대응 절차

□ 유출 확산 방지 긴급조치

- 접속 경로의 차단, 취약점 점검·보완, 유출된 개인정보의 삭제 등

□ 정보주체에게 유출등의 사실 통지(72시간 이내)

- 대상 : 정보주체 (14세 미만 아동의 경우에는 법정대리인)

- 통지항목 : ① 유출등이 된 개인정보의 항목
② 유출등이 된 시점과 그 경위
③ 정보주체가 피해를 최소화할 수 있는 방안
④ 개인정보처리자의 대응조치 및 피해 구제절차
⑤ 피해 발생 시 신고 등을 접수할 수 있는 담당부서 및 연락처

- 통지방법 : 서면, 전자우편, 모사전송, 전화, 휴대전화 문자전송 등

□ 유출 신고 : 1건 이라도 유출시 유출내용 및 조치결과를 72시간 이내에 신고

- 방법 : 상급기관에 보고(붙임10)하고 교육부 ‘개인정보 유출 신고센터’
(https://privacy.moe.go.kr)에 직접 신고

※ 단, ①1,000건 이상 유출등 ②고유식별정보, 민감정보 유출등 ③해킹 유출등의 경우 개인정보보호위원회 또는 한국인터넷진흥원(https://privacy.go.kr)에 추가 신고

□ 유출원인 보완 및 재발방지 계획 수립·이행

□ 전직원 대상 개인정보 유출사고 사례전파 및 재발방지 교육

3. 개인정보 유출 대응반 ※ 조직,담당,담당업무는 기관 사정에 맞게 수정

조직	담 당		담 당 업 무
개인정보 보호책임자			□ 유출사고 대응 총괄 지휘
개인정보 유출 대응반	개인정보보호 담당부서	총괄 대응	□ 유출사고 인지, 접수, 전파 □ 해당 관할 교육(지원)청, 교육부, 개인정보보호위원회에 신고(72시간 이내)
		분 석	□ 유출사실 확인, 조사 및 원인 분석 □ 사고 내용 세부조사
		복 구	□ 외부요인에 의한 유출의 경우, 유관 기관과 협조하여 사고 처리 지원 □ 시스템 복구 및 백업
		재발방지	□ 개인정보 유출사고 사례 전파 교육
민원 대응반	(유출)업무부서 (분야별책임자)		□ 정보주체에게 유출사실 통지(72시간 이내) □ 유출사실 통지문 안내에 따른 후속업무(민원 상담 등) □ 유출사고 관련 대외기관(언론사 등) 대응 □ 개인정보 유출에 대한 피해구제 절차 안내 □ 유출 사례 직원 전파 및 자체 교육 실시 □ 개인정보 유출사고의 재발 방지를 위한 대응조치 방안 마련

※ 개인정보 유출대응반 비상연락망: 직원비상연락망 활용

붙임1	내부관리계획 이행실태 점검표

※ 연 1회 이상 이행실태 점검 실시 후 개인정보 보호책임자 내부결재

점검항목

점검 내용

결과

(○/X/

해당없음)

내부관리계획

수립 및 시행

⦁필수내용 포함 내부관리계획 수립(개정) 및 개인정보 보호책임자 결재 여부

⦁내부관리계획을 공람, 게시판 게시 등 전 직원에게 전파하고 공유했는지 여부

개인정보 보호책임자 등의

역할・책임

⦁개인정보 보호책임자 등 지정 여부

- 내부관리계획, 개인정보 처리방침에 책임자, 분야별책임자, 담당자 등 지정 여부

⦁개인정보보호종합지원시스템(intra.privacy.go.kr)에 책임자, 총괄관리자, 취급자 현행화 여부

⦁개인정보보호종합지원시스템(intra.privacy.go.kr)에 개인정보파일 등록 및 현행화했는지 여부(연 1회 이상)

- 개인정보보호종합지원시스템에 등록된 개인정보파일의 등록일, 변경일 확인

개인정보 처리방침의 수립 및 공개

⦁개인정보 처리방침 수립(개정) 여부

⦁수립 또는 변경된 개인정보 처리방침 홈페이지 공개 여부

개인정보 보호 교육

⦁개인정보 보호교육 계획 수립 및 결과보고(자료 증빙)

- 교육목적 및 대상, 교육내용, 일정, 방법을 포함한 교육계획

⦁개인정보 보호교육

- 개인정보 보호 책임자 및 담당자 연수 이수 여부

- 개인정보취급자(내부 전 직원, 수탁업체 직원) 대상 연수 실시 여부

개인정보의처리

수집·이용

⦁동의 없이 개인정보 수집·이용이 가능한 경우인지, 동의가 필요한 경우인지 확인 여부

- 정보주체의 동의 없이 개인정보를 처리하는 경우에는 처리 근거 작성하여 안내

⦁(동의서 작성 시)처리업무에 반드시 필요한 최소한의 개인정보 항목인지 여부

⦁(동의서 작성 시)필수 고지사항 포함 여부

- 수집‧이용 목적, 수집항목, 보유 및 이용기간, 거부할 수 있는 권리 및 거부 시 불이익

⦁(동의서 작성 시)중요내용이 쉽게 확인될 수 있도록 별도 구분하여 표시 여부

<동의서의 중요한 내용> ☞ 굵은 글씨 또는 밑줄 등 사용

① 재화나 서비스의 홍보 및 판매 권유  ② 민감정보, 고유식별정보

③ 개인정보의 보유 및 이용 기간(제공 시에는 제공받는 자의 보유 및 이용 기간)

④ 개인정보 제공받는 자 및 제공받는 자의 이용 목적

⦁주민등록번호 수집·이용 시 법령의 근거 확인 여부

제3자 제공

⦁개인정보 목적 외 이용·제3자 제공 대장 관리 여부

(예) 국회, 수사기관 등에 자료제출, 병무청자료 제공

⦁개인정보의 목적외 이용·제3자 제공 내역을 홈페이지 등에 공고 여부

(별도 동의 받았거나 수사 목적인 경우 공고 제외)

위탁

⦁개인정보 처리 위탁 시 문서(계약서, 특약사항 등) 작성 여부

⦁홈페이지 개인정보 처리방침의 위탁에 관한 사항 공개 여부

⦁수탁자 개인정보 보호 교육 여부

- 온라인 교육 이수증, 출석부 등 증빙자료 확인

⦁ 수탁자 안전조치의무 준수여부 등 점검

- 개인정보처리 위탁업무 자체 검검표

⦁ 계약종료시 개인정보의 회수 또는 파기 확인 여부

- 개인정보파기 확인서 징구

파기

⦁개인정보 파기 시 절차 준수 여부

- 개인정보 파기 계획, 개인정보보호 분야별 책임자 파기 승인 등 내부결재

⦁개인정보파일 일부 삭제 시 절차 준수 여부

- 개인정보 파기 요청서, 개인정보보호 책임자 파기 승인, 개인정보보호종합지원시스템(intra.privacy.go.kr)에 반영

점검항목

점검 내용

결과

(○/X/

해당없음)

개인정보의안전성확보조치

접근권한 관리

⦁개인정보처리시스템의 권한부여, 변경, 말소에 대한 내역을 접근권한 관리대장(시스템 또는 수기대장)에 기록·보관(3년)

- 별도 운영하는 개인정보처리시스템이 없는 경우 “해당없음”

<참 고>

시스템	접근권한 관리 현황	비고
나이스	- 현재 접근권한 확인 ▸공통관리⇒학교업무분장⇒학교업무분장⇒학교업무분장관리 > 메뉴별학교업무분장소유자조회	‘나이스 권한관리 자체점검 세부 매뉴얼(학교용)’에 따라 자체 권한 정비 및 점검
	- 권한부여이력 확인 ▸공통관리⇒학교업무분장⇒학교업무분장⇒학교업무분장관리 > 학교업무분장변경통계현황
K-에듀파인 (재정, 업무관리)	- 현재 보유권한 확인 ▸서비스공통⇒권한관리⇒(재정/업무)접근권한관리⇒권한보유현황	자체 권한 정비 및 점검 (별첨 참고)
	- 권한부여이력 확인 ▸서비스공통⇒권한관리⇒(재정/업무)접근권한관리⇒권한보유대장
개인정보처리시스템 (홈페이지)	- 홈페이지 접근권한 관리대장	시스템에서 전자적으로 관리되지 않는 경우 수기대장 작성하여 관리

접근통제

⦁자체 운영하는 개인정보처리시스템에 대하여 정보통신망을 통한 불법적인 접근 및 침해 사고를 방지하기 위한 조치(IP, MAC 제한, VPN 또는 전용선 사용, SSL 설치 등)

- 나이스, K-에듀파인 외에 자체 운영하는 개인정보처리시스템이 없는 경우 “해당없음”

⦁개인정보 유・노출 방지를 위한 접근통제(CMOS, windows 비밀번호 설정 등) 조치

개인정보 유출 방지

⦁ PC내 개인정보파일 암호화 점검 여부(매월 사이버보안진단의 날)

- 개인정보관리시스템(, 안랩 EPP) 이용 또는 수동조치

⦁홈페이지 개인정보 유출 방지

- 게시판 공개기한 설정·관리 및 불필요한 게시글 정비

- 엑셀 등 첨부파일 개인정보 포함 여부 점검

접속기록의

보관 및 점검

⦁자체 운영하는 개인정보처리시스템의 접속기록 보관   ※ 나이스, K-에듀파인, 홈페이지 포함

- 접속기록(5항목): 계정, 접속지정보, 접속일시, 수행한정보주체 정보, 수행업무

- 접속기록 1년 이상 보관

<참 고>

시스템	접속기록 관리 현황
나이스	4세대 나이스 접속기록 기능개선 후 시행 예정
K-에듀파인	서비스공통-서비스모니터링-개인정보관리-개인정보현황관리-개인정보처리이력(별첨 참고)
개인정보처리시스템 (홈페이지)	학교 관리자 페이지 접속⇒회원관리⇒회원이력관리 ※ 위 메뉴는 교육연구정보원 웹호스팅 학교 홈페이지 경우 해당 ※ 그 외 자체 위탁 운영하는 학교 홈페이지는 2024년까지 기능개선 또는 유지관리를 통해 기능 구현

⦁개인정보처리시스템의 접속기록 월 1회 이상 점검 및 후속조치 여부

⦁개인정보를 다운로드 하였을 경우 사유 확인

- 내부관리계획에 개인정보처리자의 업무환경을 고려한 다운로드 기준을 정하여 불법행위 등으로 의심 가능한 경우 사유 확인

악성프로그램 등 방지

⦁업무용단말기 내PC지키미 점검 여부(매월 사이버보안진단의 날)

- 백신 소프트웨어 설치 등 10가지 진단 항목 진단 및 조치

⦁개인정보처리시스템 관리용단말기에 백신 소프트웨어 설치 운영 및 목적외 이용 금지 여부

물리적 접근제한

⦁개인정보 보관 장소의 물리적 통제 절차 수립 여부

(예: 통제 및 제한구역 지정, 출입인가자명부 관리, 잠금장치 설정 등)

⦁개인정보 포함 서류, 휴대용 저장매체는 잠금장치가 있는 안전한 장소 보관

영향평가

⦁개인정보 영향평가 대상이 되는 개인정보파일이 있는지 확인 여부

유출사고 대응

⦁개인정보 유출 사고 시 긴급조치·통지·신고·재발방지 등 절차대로 대응 여부

- 개인정보 유출 사고가 없는 경우 “해당없음”

개인정보 처리위탁 업무 자체 점검표(예시)

개인정보 처리 위탁 업무명	수탁 기관	교육이행 여부	세부 점검 항목 (양호, 개선필요, 해당없음)						담당자	개인정보 보호책임자
			점검일	개인정보처리현황 및 실태 조사	개인정보 접근 또는 접속대상자	목적외 이용·제공 및 재위탁 금지 준수여부	암호화 등 안전성 확보조치 이행여부*	그 밖의 사항 **
OOO 시스템 유지보수	㈜ △△△	일시: 2020.1.12 (14:00~16:00) 인원:1명	‘19.9.18	양호	양호	양호	양호	양호	홍길동	김철수

* 암호화 등 안전성 확보조치: 내부 관리계획 수립, 접근권한 관리, 접근통제, 개인정보 암호화, 접속기록의 보관 및 점검, 악성프로그램 방지, 물리적 접근방지, 개인정보의 파기 등 조치

** 그 밖의 사항 : 개인정보 처리방침 수립 및 게시

붙임2	개인정보의 목적 외 이용 및 제3자 제공 대장

개인정보의 목적 외 이용 및 제3자 제공 대장
개인정보 또는 개인정보파일 명칭
이용 또는 제공 구분	［ ］목적 외 이용 ［ ］목적 외 제3자 제공
목적 외 이용기관의 명칭 (목적 외 이용의 경우)		담당자	소 속
			성 명
			전화번호
제공받는 기관의 명칭 (제3자 제공의 경우)		담당자	성 명
			소 속
			전화번호
이용하거나 제공한 날짜, 주기 또는 기간
이용하거나 제공한 형태
이용 또는 제공의 법적 근거
이용 목적 또는 제공받는 목적
이용하거나 제공한 개인정보의 항목
｢개인정보 보호법｣ 제18조제5항에 따라 제한을 하거나 필요한 조치를 마련할 것을 요청한 경우에는 그 내용

붙임3	개인정보파일 파기 요청서 (업무 종료에 따른 완전 파기 시)

개인정보파일 파기 요청서(예시)

작성일	2023.00.00	작성자		000
파기 대상 개인정보파일	학부모서비스 신청자 명단
생성일자	2010.00.00	개인정보취급자		000
주요 대상업무	학부모서비스 회원	현재 보관건수		000
파기 사유	학부모서비스 업무 종료로 인한 파기
파기 일정	2023.00.00
특기사항
파기 승인일	2023.00.00		승인자 (개인정보 보호책임자)	000
파기 장소	홈페이지 시스템(자동파기)
파기 방법	회원정보 삭제
파기 수행자	시스템 자동파기	입회자		000
폐기 확인 방법	회원정보 확인
백업 조치 유무	별도 백업 자료 있는지 확인
매체 폐기 여부	USB 데이터 영구 삭제 확인

붙임4	개인정보 파기 확인서 ※ 개인정보 처리위탁 계약 종료 시 업체로부터 반드시 징구

개인정보 파기 확인서(예시)

파기대상 개인정보	2022학년도 6학년 학년, 반, 이름, 사진
개인정보의 정보주체 수	000(명)
파기 사유	졸업앨범 제작 완료
생성일자	2022. 09. 00	파기일자	2022.12.00.
파기 장소	000업체 사무실	파기처리자	000
		입회자	000
파기 방법	컴퓨터 사진 파일 복구 불가능하도록 삭제 USB 사진 파일 복구 불가능하도록 삭제
백업 조치 유무	별도 백업 자료 없음, 원본 파일 학교 제공
특기사항

상기와 같이 개인정보가 안전하게 파기되었음을 확인하였으며, 이 사실과 다르게 개인정보 미파기로 인한 사고 발생 시 관련법에 의해 책임 있음을 인정 합니다.

년      월      일

확 인 자 (업체대표)	업 체 명 : 직 위 : 성 명 : (서명)
○○○학교장 귀하

붙임5	학교 개인정보파일 표준 목록

개인정보 파일명	운영근거	운영목적	개인정보의 항목	보유기간	개인정보를 통상적 또는 반복적으로 제공하는 경우			열람제한 개인정보 범위 및 사유
					제공받는자	근거	범위	범위	사유
학교생활 기록부	초중등교육법 제25조, 초중등교육법 시행규칙 제21조	학생의 학업성취도 평가를 통한 내실화 도모	사진,인적사항(성명,성별,주민등록번호,주소,보호자 성명,보호자 생년월일,특기사항),학적사항 등	준영구	-초□중학교:전□편입학교 -고등학교:진학희망대학,병무청,전□편입학교	고등교육법 시행령 제35조, 초□중등 교육법 제25조	사진, 인적사항, 학적사항	없음	없음
학부모 서비스 신청자명단	교육기본법 제23조의3	학부모의 자녀정보 열람	학부모 성명,학부모 생년월일,이메일, 전화번호,주소,자녀성명,생년월일, 신청자와의 관계,학번,승인일자	회원탈퇴시까지	없음	없음	없음	없음	없음
학생건강 기록부	학교건강검사규칙 제9조,학생건강기록부등 전산처리 및 관리지침 제14조	학생건강 기록관리	성명,성별,주민등록번호,혈액형, 보호자 성명,학교,학년,반,번호, 담임 성명,전염병예방접종,키, 몸무게,신체의 능력,건강검진 현황	졸업후 5년	상급학교, 전편입학교	초□중등교육법 제30조	성명,성별, 주민등록 번호, 혈액형 등	없음	없음
					지방자치단체	감염병의 예방 및 관리에 관한 법률 제31조	예방접종 완료여부
발전기금 접수대장	초□중등교육법 제33조, 동법 시행령 제64조, 동법 시행규칙 제52조	학교발전기금 기탁자 및 내역관리	기탁자성명	준영구	없음	없음	없음	없음	없음
학교발전기금기탁서	초ㆍ중등교육법 제33조 및 동법 시행령 제64조, 동법 시행규칙 제52조	학교발전기금 기탁자 및 내역 명세	[일반] 성명,주소,전화, [선택] 주민등록번호(연말정산용)	10년	없음	없음	없음	없음	없음
○○ 홈페이지 회원정보	정보주체동의	홈페이지 회원 관리	회원유형,성명,ID,비밀번호, 생년월일,이메일주소	졸업/ 회원탈퇴시까지	없음	없음	없음	없음	없음
민원 처리부	민원처리에 관한법률 제9조, 동법 시행령 제6조, 정부산하 공공기관 기록물관리지침	민원접수 및 처리관리	성명,주민등록번호, 주소,연락처,용도	10년	없음	없음	없음	없음	없음
학교운영위원회 명부	초중등교육법 제34조, 초중등교육법 시행령 제62조	학교운영위원회 구성 및 운영관리	성명,주민등록번호,주소,등록기준지주소, 전화번호,경력,직업,자녀(학년,반,성명)	10년	지방자치단체	초□중등 교육법 제31조의2	성명,주민등록번호	없음	없음
스쿨뱅킹 (CMS) 정보	정보주체 동의	학교에서 고지 되는 각종 납부 금의 자동이체	학생명,학년,반,번호,생년월일, 보호자명,보호자생년월일,연락처, 계좌번호 (선택) 학생주민등록번호(연말정산용)	5년	금융결재원/신용카드사	정보주체 별도 동의	보호자 이름, 은행명, 생년월일, 계좌번호/학교명, 학생명, 생년월일, 학생식별번호	없음	없음
					국세청	소득세법 제137조	학생명, 주민등록번호
도서관 이용 관리*	｢도서관법｣ 제38조 및 정보주체 동의	학교도서관업무관리시스템(DLS) 이용	학생의 학년, 반, 번호, 성명, 보호자 성명, 기타 개인정보	학교 졸업 시까지	없음	없음	없음	없음	없음
교직원 급여 정보*	「소득세법」 제145조 및 제164조	교직원 급여 관리	성명, 주민등록번호, 급여사항	5년	국세청,건강보험공단,공무원연금관리공단	소득세법 제145조 및 제164조	성명, 주민등록번호, 급여사항	없음	없음
교직원 인사기록부*	「근로기준법 시행령」 제27조	교직원 인사기록관리	성명, 주민등록번호, 인사사항	준영구	-초·중학교:교육지원청, 교육청 -고등학교:교육청	「근로기준법 시행령」 제27조	성명, 주민등록번호, 인사사항	없음	없음

붙임6	개인정보처리시스템 접근권한 관리대장

※ 시스템 별로 관리대장 작성 : N개의 시스템, N개의 관리대장

“○○○시스템” 접근권한 관리대장

※ 최소 3년간 보관 필수

연번	이름	ID	권한			담당자 (서명)	개인정보 보호책임자 (서명)
			종류 종류 : 시스템DB, 관리자 페이지, 어플리케이션, 게시판 관리자 등등	부여일시	말소일시
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15

붙임7	개인정보처리시스템 접속기록 점검표

“○○○시스템”접속기록 점검표

점검일자: ※ 월 1회 이상 점검 필수	결재	담당자	확인자

부서명		대상기간
점검항목			점검 결과 (O,X)	특이사항 (계정, 파일명 등)		조치 결과
1. 개인정보를 업무목적 외 생성 및 과다 생성 여부
2. 개인정보를 업무목적 외 조회 및 과다 조회 여부
3. 개인정보를 업무목적 외 과다 수정 여부
4. 개인정보를 업무목적 외 삭제 및 과다 삭제 여부
5. 개인정보를 업무목적 외 출력 및 과다 출력 여부
6. 개인정보를 업무목적 외 다운로드 및 과다 다운로드 여부
7. 평일 업무시간 이외의 시간에 개인정보를 과다 처리 여부
8. 심야시간대에 개인정보를 과다 처리 여부
9. 공휴일, 휴일 등에 개인정보 처리 여부
10. 동 시간대 동일 ID, 다른 IP 대역으로 접속 여부
11. 취급자의 인가된 업무범위 외 과도한 접속 시도 여부
12. 주민등록번호 검색 등이 가능한 조회 화면을 이용하여 업무목적 외 처리 및 과다 처리 여부

※ 점검항목은 시스템 처리업무에 맞게 가감하여 사용 가능

붙임8	표준 개인정보처리위탁 계약서(안)

본 표준 개인정보처리위탁 계약서는 ｢개인정보 보호법｣제26조제1항에 따라 위탁계약에 있어 개인정보 처리에 관하여 문서로 정하여야 하는 최소한의 사항을 표준적으로 제시한 것으로서, 위탁계약이나 위탁업무의 내용 등에 따라 세부적인 내용은 달라질 수 있습니다.

개인정보처리업무를 위탁하거나 위탁업무에 개인정보 처리가 포함된 경우에는 본 표준 개인정보처리위탁 계약서의 내용을 위탁계약서에 첨부하거나 반영하여 사용하실 수 있습니다.

표준 개인정보처리위탁 계약서(안)

OOO(이하 “위탁자”이라 한다)과 △△△(이하 “수탁자”이라 한다)는 “위탁자”의 개인정보 처리업무를 “수탁자”에게 위탁함에 있어 다음과 같은 내용으로 본 업무위탁계약을 체결한다.

제1조 (목적) 이 계약은 “위탁자”가 개인정보처리업무를 “수탁자”에게 위탁하고, “수탁자”는 이를 승낙하여 “수탁자”의 책임아래 성실하게 업무를 완성하도록 하는데 필요한 사항을 정함을 목적으로 한다.

제2조 (용어의 정의) 본 계약에서 별도로 정의되지 아니한 용어는 ｢개인정보 보호법｣, 같은 법 시행령 및 시행규칙, ｢개인정보의 안전성 확보조치 기준｣(개인정보보호위원회 고시 제2023-6호) 및 ｢표준 개인정보 보호지침｣(개인정보보호위원회 고시 제2024-1호)에서 정의된 바에 따른다.

제3조 (위탁업무의 목적 및 범위) “수탁자”는 계약이 정하는 바에 따라 (          ) 목적으로 다음과 같은 개인정보 처리 업무를 수행한다.

각호의 업무 예시 : 고객만족도 조사 업무, 회원가입 및 운영 업무, 사은품 배송을 위한 이름, 주소, 연락처 처리 등

1.

2.

제4조 (위탁업무 기간) 이 계약서에 의한 개인정보 처리업무의 기간은 다음과 같다.

계약 기간 :    년  월  일 ~    년  월  일

제5조 (재위탁 제한) ① “수탁자”는 “위탁자”의 사전 승낙을 얻은 경우를 제외하고 “위탁자”와의 계약상의 권리와 의무의 전부 또는 일부를 제3자에게 양도하거나 재위탁할 수 없다.
② “수탁자”가 다른 제3의 회사와 수탁계약을 할 경우에는 “수탁자”는 해당 사실을 계약 체결 7일 이전에 “위탁자”에게 통보하고 협의하여야 한다.

제6조 (개인정보의 안전성 확보조치) “수탁자”는 ｢개인정보 보호법｣제23조제2항 및 제24조제3항 및 제29조, 같은 법 시행령 제21조 및 제30조, ｢개인정보의 안전성 확보조치 기준｣(개인정보보호 위원회 고시 제2023-6호)에 따라 개인정보의 안전성 확보에 필요한 관리적․기술적 조치를 취하여야 한다.

제7조 (개인정보의 처리제한) ① “수탁자”는 계약기간은 물론 계약 종료 후에도 위탁업무 수행 목적 범위를 넘어 개인정보를 이용하거나 이를 제3자에게 제공 또는 누설하여서는 안 된다.
② “수탁자”는 계약이 해지되거나 또는 계약기간이 만료된 경우 위탁업무와 관련하여 보유 하고 있는 개인정보를 ｢개인정보 보호법｣시행령 제16조 및 ｢개인정보의 안전성 확보조치 기준｣ (개인정보보호위원회 고시 제2023-6호)에 따라 즉시 파기하거나 “위탁자”에게 반납하여야 한다.
③ 제2항에 따라 “수탁자”가 개인정보를 파기한 경우 지체없이 “위탁자”에게 그 결과를 통보 하여야 한다.

제8조 (수탁자에 대한 관리□감독 등) ① “위탁자”는 “수탁자”에 대하여 다음 각 호의 사항을 감독할 수 있으며, “수탁자”는 특별한 사유가 없는 한 이에 응하여야 한다.
1. 개인정보의 처리 현황
2. 개인정보의 접근 또는 접속현황
3. 개인정보 접근 또는 접속 대상자
4. 목적외 이용․제공 및 재위탁 금지 준수여부
5. 암호화 등 안전성 확보조치 이행여부
6. 그 밖에 개인정보의 보호를 위하여 필요한 사항
② “위탁자”는 “수탁자”에 대하여 제1항 각 호의 사항에 대한 실태를 점검하여 시정을 요구할 수 있으며, “수탁자”는 특별한 사유가 없는 한 이행하여야 한다.
③ “위탁자”는 처리위탁으로 인하여 정보주체의 개인정보가 분실□도난□유출□변조 또는 훼손되지 아니하도록 1년에 (  )회 “수탁자”를 교육할 수 있으며, “수탁자”는 이에 응하여야 한다.
④ 제1항에 따른 교육의 시기와 방법 등에 대해서는 “위탁자”는 “수탁자”와 협의하여 시행한다.

｢개인정보 안전성 확보조치 기준 고시｣(개인정보보호위원회 고시 제2023-6호) 및 ｢개인정보 보호법｣ 제26조에 따라 개인정보처리자 및 취급자는 개인정보보호에 관한 교육을 의무적으로 시행하여야 한다.

제9조 (정보주체 권리보장)  “수탁자”는 정보주체의 개인정보 열람, 정정□삭제, 처리 정지 요청 등에 대응하기 위한 연락처 등 민원 창구를 마련해야 한다.

제10조 (개인정보의 파기) “수탁자”는 제4조의 위탁업무 기간이 종료되면 특별한 사유가 없는 한 지체없이 개인정보를 파기하고, 이를 “위탁자”에게 파기 확인서(문서)를 제출하여 확인받아야 한다.

제11조 (손해배상) ① “수탁자” 또는 “수탁자”의 임직원 기타 “수탁자”의 수탁자가 이 계약에 의하여 위탁 또는 재위탁 받은 업무를 수행함에 있어 이 계약에 따른 의무를 위반하거나 “수탁자” 또는 “수탁자”의 임직원 기타 “수탁자”의 수탁자의 귀책사유로 인하여 이 계약이 해지되어 “위탁자” 또는 개인정보주체 기타 제3자에게 손해가 발생한 경우 “수탁자”는 그 손해를 배상하여야 한다.
② 제1항과 관련하여 개인정보주체 기타 제3자에게 발생한 손해에 대하여 “위탁자”가 전부 또는 일부를 배상한 때에는 “위탁자”는 이를 “수탁자”에게 구상할 수 있다.

본 계약의 내용을 증명하기 위하여 계약서 2부를 작성하고, “위탁자”와 “수탁자”가 서명 또는 날인한 후 각 1부씩 보관한다.

20  .   .   .

위탁자 주 소 : 기관명 : 대표자 성명 : (인)	수탁자 주 소 : 기관(회사)명 : 대표자 성명 : (인)

붙임9	개인정보 유출 신고서

개인정보 유출등 신고서(예시)
기관명	00초등학교
유출등이 된 개인정보 항목 및 규모	▪유출규모: 1,150명(중복제거 후 1,100명) - 교육부 신고여부(○), 개인정보위 신고여부(○), 홈페이지 공개여부(○) ▪유출항목: 이름, ID, 비밀번호, 주소, 핸드폰번호, 이메일
유출등이 된 시점과 그 경위	▪사고발생 인지경로 - 2023.3.21 10:00 월별 개인정보처리시스템 접속로그 점검 시 특정 IP로부터 다량의 개인정보 다운로드 기록 확인 - 2023.3.21 11:00 개인정보처리시스템의 로그 확인 결과 알 수 없는 개인정보 압축 파일 발견 - 2023.3.21 12:00 IP Table, NAC 등을 확인하여 개인정보를 다운로드한 특정 IP의 PC(용역업체 개인 PC) 확인 ▪유출 시점 및 경위 - 2023.3.4 20:00 용역업체 A씨는 개인정보처리시스템에 접속하여 다량의 개인정보파일을 생성 후 PC로 다운로드 - 2023.3.4 21:00 PC내 보안 솔루션(NAC 등)에 의하여 상용 이메일 접근 불가 확인 후 개인 이메일 서버로 파일 전송
유출등 피해 최소화를 위해 정보주체가 할 수 있는 방법 등	① 2차 피해 방지를 위하여 개인정보 유출 여부 조회(학교 홈페이지 등) ② 유출사고 발생 후 홈페이지 로그인시 개인정보 유출에 따른 비밀번호 변경
개인정보처리자의 대응 조치 및 피해 구제절차	▪사고발생 후 조치사항 ① 기관 개인정보 유출사고 대응 매뉴얼에 따라 유출사고 대응반 구축 ② 개인정보 유출 접수 창구 및 민원 대응 창구 구축 ③ 유출 항목 및 발생 상황 인지 후 유출 통지문 작성 및 관련 내용 통지, 교육부 개인정보 유출 신고 ④ 유출 원인에 따른 개인정보처리시스템에 대한 접근권한 관리체계 강화 ⑤ 재발방지 대책을 위한 보안강화 계획(안）수립 ▪피해 구제절차 ...
정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처	① 2차 피해 접수를 위한 피해 접수 담당 창구 운영(02-124-2345, abcd@efgf.co.kr) ② 개인정보 유출 관련 개인정보 분쟁조정 신청 창구 안내(1833-6972)
유출등 신고 담당자		성명		부서	직위		연락처
	개인정보 보호책임자	김영희		-	교장		02-123-1234
	개인정보 담당자	이철수		00부	정보부장		02-123-1234
	개인정보 취급자	홍길동		00부	교사		02-123-1234
유출 등 신고접수기관	기관명		담당자명			연락처
	00교육지원청		김철수			02-234-5678

예시		내부 관리계획 검토 결과 보고 기안문[개정사항이 없는 경우]

		○○○학교
수신자	내부결재
(경유)
제목	○○○학교 개인정보 내부 관리계획 검토 결과 보고

1. 관련

가. 개인정보 보호법 제29조(안전조치의무) 및 같은 법 시행령 제30조(개인정보의 안전성 확보조치)

나. 개인정보의 안전성 확보조치 기준 제4조(내부 관리계획의 수립·시행)

다. ○○○학교 개인정보 내부 관리계획 개정(○○○학교-0000, 2025.4.13.)

2. “○○○학교 개인정보 내부 관리계획”검토 결과 개정사항이 없음을 보고합니다.

붙임  ○○○학교 개인정보 내부 관리계획 1부.  끝.

★									교장
협조자
시행	○○학교-0000	(	0000. 00. 00.	)	접수		(		)
우	00000	서울특별시 ○○○○○○	/	http://www.
전화	02-000-0000	/전송	02-000-0000	/	○○○@○○○	/	비공개(7)

예시		내부 관리계획 이행실태 점검 결과 기안문

		○○○학교
수신자	내부결재
(경유)
제목	20○○학년도 ○○○학교 개인정보 내부 관리계획 이행실태 점검 결과 보고

1. 관련

가. 개인정보 보호법 제29조(안전조치의무) 및 같은 법 시행령 제30조(개인정보의 안전성 확보조치)

나. 개인정보의 안전성 확보조치 기준 제4조(내부 관리계획의 수립·시행)

다. ○○○학교 개인정보 내부 관리계획 개정(○○○학교-0000, 2025.3.20.)

2. 20○○학년도 ○○○학교 개인정보 내부 관리계획 이행실태 점검 결과를 붙임과 같이 보고합니다.

붙임  개인정보 내부 관리계획 이행실태 점검표 1부.  끝.

★									교장
협조자
시행	○○학교-0000	(	0000. 00. 00.	)	접수		(		)
우	00000	서울특별시 ○○○○○○	/	http://www.
전화	02-000-0000	/전송	02-000-0000	/	○○○@○○○	/	비공개(7)