각급학교 개인정보 보호 자율 진단표

부록

진단항목(클릭시 상세설명 연결)	진단내용	결과(양호/미흡)
❶ 개인정보 내부 관리계획 수립 여부 개인정보 보호법 제29조 및 시행령 제30조	▸내부 관리계획 수립(내부결재) 후 전 직원 공람 및 안내 여부 ▸내부 관리계획 이행 실태 점검 여부: (연 1회 이상)
❷ 개인정보 처리방침 및 파일 공개 개인정보 보호법 제30조, 제32조 및 시행령 제31조	▸개인정보 처리방침 수립□공개 여부: (필수적 내용(13) 포함) ▸개인정보보호종합지원시스템 (https://intra.privacy.go.kr)에 개인정보파일 현행화 여부
❸개인정보취급자 관리‧감독 개인정보 보호법 제28조	▸개인정보취급자 대상 교육 실시 여부: (연 1회 이상) ▸개인정보처리시스템 접근권한 관리 [K-에듀파인(업무관리)]의 적절성: (처리과 문서담당자 2명 이하로 권한 정비 권고)
❹개인정보 수집 및 이용 개인정보 보호법 제15조,제16조,제23조,제24조	▸최소한의 개인정보 수집 원칙 준수 여부: ▸개인정보 수집 동의 방법 및 절차의 적정성 여부: ▸주민등록번호 수집 시 법적 근거 여부:
❺개인정보 목적 외 이용□제3자 제공 개인정보 보호법 제18조	▸｢개인정보의 목적 외 이용□제3자 제공 대장｣ 기록□관리 여부: ▸목적 외 이용□제3자 제공 내역 홈페이지 공개 여부:
❻개인정보의 처리 업무 위탁 개인정보 보호법 제26조, 동법 시행령 제28조	▸위탁계약서(협약서)의 필수사항(7) 포함 여부: ▸위탁내용 홈페이지 게시 여부: ▸수탁업체 대상 교육 등 관리‧감독 여부:
❼개인정보 파기 개인정보 보호법 제21조	▸목적이 달성된 개인정보의 파기절차에 따른 파기 여부:
❽개인정보의 안전성 확보 조치 개인정보 보호법 제29조	▸개인정보(고유식별정보, 바이오정보, 비밀번호 등)의 암호화 조치 여부: ▸접속기록 보관(1년 이상) 및 점검(월 1회 이상) 여부: ▸접근권한 최소(차등) 부여 및 권한내역 관리(최소 3년) 여부: ▸홈페이지 게시글 공개기한 설정‧관리 및 불필요한 게시글 정비 여부: ▸공문서 생산·접수 시 개인정보에 보안설정 (비공개 및 직원열람제한) 설정 여부:
❾학교 내 개인영상정보 관리 초·중등교육법 제30조의8 〔학교 내 영상정보처리 기기 설치ㆍ운용 표준가이드라인〕	▸｢개인영상정보 관리대장｣ 기록·관리 여부:

각급학교 개인정보 보호 자율 진단(상세설명)

진단항목	❶ 개인정보 내부 관리계획 수립 여부

진단방법		참고서류
▸내부 관리계획 수립(내부결재) 후 전 직원 공람 및 안내 여부: O/X - 명칭은 “내부관리계획”을 사용하는지 확인 - 개인정보 보호책임자(교장)의 결재를 득하였는지 확인 - 내부 직원에게 전파하였는지 확인(교육, 공문시행, 업무게시판 공지 등) ✤ [내부관리계획] 내 필수적 내용 포함 여부 점검 ① 개인정보 보호책임자의 지정에 관한 사항 ② 개인정보 보호책임자 및 개인정보취급자의 역할 및 책임에 관한 사항 ③ 개인정보의 목적 외 이용 및 제3자 제공 절차에 관한 사항 ④ 개인정보의 파기절차 및 파기방법에 관한 사항 ⑤ 개인정보취급자에 대한 교육에 관한 사항 ⑥ 접근 권한의 관리에 관한 사항 ⑦ 접근 통제에 관한 사항 ⑧ 개인정보의 암호화 조치에 관한 사항 ⑨ 접속기록 보관 및 점검에 관한 사항 ⑩ 악성프로그램 등 방지에 관한 사항 ⑪ 물리적 안전조치에 관한 사항 ⑫ 개인정보 보호조직에 관한 구성 및 운영에 관한 사항 ⑬ 개인정보 유출사고 대응 계획 수립·시행에 관한 사항 ⑭ 개인정보 처리업무를 위탁하는 경우 수탁자에 대한 관리 및 감독에 관한 사항 ⑮ 그 밖에 개인정보 보호를 위하여 필요한 사항		▸내부관리계획 ▸공문: 디지털·혁신미래교육과-3572 ('24.2.22.) “2024년 각급학교 개인정보 처리 종합안내” [붙임4] [작성예시_학교]개인정보 내부관리계획 참고
▸내부 관리계획 이행 실태 점검 여부(연1회 이상): O/X - 연 1회 이상 내부관리계획의 이행 실태를 자율적으로 점검하였는지 확인		▸이행실태 점검 결과보고서 ▸공문: 디지털·혁신미래교육과-3572 ('24.2.22.) “2024년 각급학교 개인정보 처리 종합안내” [붙임4] [작성예시_학교]개인정보 내부관리계획 참고

	관련규정

▸개인정보 보호법 제29조 및 시행령 제30조(개인정보의 안전성 확보 조치)

- 개인정보처리자는 법 제29조에 따라 개인정보의 안전한 처리를 위한 내부 관리계획의 수립·시행하여야 한다

진단항목	❷ 개인정보 처리방침 및 파일 공개

진단방법		참고서류
▸개인정보 처리방침 수립□공개 여부: O/X - 홈페이지 [개인정보 처리방침]에 필수적인 내용이 모두 포함되었는지 ✤ [개인정보 처리방침] 내 필수적 내용 포함 여부 점검 ① 개인정보의 처리 목적 ② 개인정보의 처리 및 보유 기간 ③ 처리하는 개인정보의 항목 ④ 개인정보의 제3자 제공에 관한 사항(해당되는 경우) ⑤ 개인정보 처리 위탁에 관한 사항(해당하는 경우) ⑥ 정보주체와 법정대리인의 권리·의무 및 그 행사 방법 ⑦ 개인정보의 파기절차 및 파기방법에 관한 사항 ⑧ 개인정보의 추가적인 이용·제공의 기준(해당하는 경우) ⑨ 가명정보 처리에 관한 사항(해당하는 경우) ⑩ 개인정보의 안전성 확보 조치에 관한 사항 ⑪ 홈페이지 접속 시 개인정보를 자동으로 수집하는 장치의 설치·운영 및 그 거부에 관한 사항(해당하는 경우) ⑫ 개인정보 보호 책임자의 성명, 업무 담당 부서의 명칭과 연락처 ⑬ 개인정보의 열람청구를 접수·처리하는 부서 ⑭ 정보주체의 권익침해에 대한 구제방법 ⑮ 개인정보 처리방침의 변경에 관한 사항		▸홈페이지 개인정보 처리방침 ▸공문: 디지털·혁신미래교육과-3572 ('24.2.22.) “2024년 각급학교 개인정보 처리 종합안내” [붙임4] [작성예시_학교]개인정보 내부관리계획 참고
▸개인정보보호종합지원시스템(https://intra.privacy.go.kr)에 개인정보파일 현행화 여부: O/X - 개인정보파일이 [각급학교 개인정보파일 표준 목록]과 일치하는지 (운영근거, 운영목적, 개인정보의 항목, 보유기간, 개인정보를 통상적 또는 반복적으로 제공하는 경우 공개 항목) - 개인정보보호 종합포털에 등록된 개인정보파일(표준목록)과 개인정보 처리방침에 공개된 파일이 일치하는지 확인 - 개인정보파일이 현행화 되었는지(담당자, 정보주체수 등) ✤ 각급학교 개인정보파일 표준목록 ① 학교생활기록부 ② 학부모서비스 신청자명단 ③ 학생건강기록부 ④ 학교발전기금접수대장 ⑤ 학교발전기금기탁서 ⑥ 홈페이지 회원정보 ⑦ 민원처리부 ⑧ 학교운영위원회 명부 ⑨ 스쿨뱅킹(CMS)정보 ⑩ 도서관 이용관리 ⑪ 교직원 급여 정보 ⑫ 교직원 인사기록부		▸개인정보보호종합지원시스템 (https://intra.privacy.go.kr) ▸공문: 디지털·혁신미래교육과-3572 ('24.2.22.) “2024년 각급학교 개인정보 처리 종합안내” [붙임4] [작성예시_학교]개인정보 내부관리계획 참고 ☞ 2024년 추가된 신규 표준목록

	관련규정

▸개인정보보호법 제30조, 32조 및 시행령 제31조

- 법 제30조(개인정보 처리방침의 수립 및 공개), 제32조(개인정보파일의 등록 및 공개)

- 시행령 제31조(개인정보 처리방침의 내용 및 공개방법 등)

진단항목	❸ 개인정보취급자 관리□감독

진단방법

참고서류

▸개인정보취급자 대상 교육 실시 여부(연1회 이상):  O/X

- 내부관리계획에 포함하여 수립할 수 있음

- 책임자, 담당자, 취급자, 수탁자를 구분하여 계획한 후 이행하였는지 확인

- 취급자의 교육은 교육이수율이 70%이상 인지 확인

책임자	0회	담당자	0회	교육이수율 00%
취급자 (전직원)	00명	교육이수인원	00명

- 취급자에 누락되는 교직원(임시직, 계약직 등 포함)이 없는지 확인

※ 온라인교육 이수결과 현황관리로 자체교육 대체 가능(이수증 확인)

✤ 개인정보보호 교육 참고자료(온라인 교육센터)

① 서울시교육청교육연수원 https://www.seti.go.kr

② 교육부 정보보호교육센터 https://sec.keris.or.kr

③ 개인정보 포털(수탁자교육용): https://www.privacy.go.kr

▸내부관리계획

(교육내용이 포함된 경우)

▸개인정보보호 교육 계획

(별도계획 수립 시)

▸교육실시 증빙자료: 교육계획 내부결재(학교장 결재, 교육자료, 참석자 서명 포함), 타기관 연수이수 인정공문, 온라인 이수증  등

▸개인정보처리시스템 접근권한 관리[K-에듀파인(업무관리)]의 적절성:O/X

- 처리과 문서담당자 2명 이하로 권한 정비 권고

✤ K-에듀파인 업무관리분야 권한관리자 처리사항

※ 처리과문서담당자 권한부여현황 점검

메뉴: [서비스공통-권한관리-(업무)접근권한관리

-사용자그룹별사용자관리]에서 세부시스템-문서관리 선택

사용자그룹목록-처리과문서담당자 선택 후 조회

▸업무분장표

▸처리과문서담당자 권한신청서 및 보안서약서

	관련규정

▸개인정보 보호법 제28조

- 개인정보처리자는 개인정보를 처리함에 있어서 개인정보가 안전하게 관리될 수 있도록 임직원, 파견근로자, 시간제근로자 등 개인정보처리자의 지휘□감독을 받아 개인정보를 처리하는 자(이하 “개인정보취급자”라 한다)에 대하여 적절한 관리□감독을 행하여야 한다.

- 개인정보처리자는 개인정보의 적정한 취급을 보장하기 위하여 개인정보취급자에게 정기적으로 필요한 교육 실시

▸K-에듀파인 권한 관리 지침(2024.2.6. 서울시교육청교육연구정보원 정보서비스운영과)

- 학교장 권한(1인), 처리과문서담당자(2인이하, 보안서약서 자필서명 제출), 과제카드담당자(2인 이하), 기록물담당자(2인 이하)

진단항목	❹ 개인정보 수집 및 이용

진단방법		참고서류
▸최소한의 개인정보 수집 원칙 준수 여부: O/X		▸개인정보 수집□이용□제공 동의서 (최근 1년 이내 양식)
▸개인정보 수집 동의 방법 및 절차의 적정성 여부: O/X - (수집□이용 동의서) 동의 시 알려야 할 고지(4가지)사항을 안내하고 동의 받았는지 확인 ※ 고지 의무사항: 수집□이용목적, 수집항목, 보유□이용 기간, 동의 거부 권리 및 동의 거부 시 불이익 내용 - (제공 동의서)동의 시 알려야 할 고지(5가지)사항을 안내하고 동의 받았는지 확인 ※ 고지 의무사항: 개인정보를 제공 받는 자, 제공하는 개인정보 항목제공받는 자의 개인정보 이용목적 및 보유□이용 기간 동의 거부 권리 및 동의 거부 시 불이익 내용 - 별도 동의를 받아야 하는 경우에는 별도 동의를 받고 있는지 확인
▸주민등록번호 수집 시 법적 근거 여부: O/X - 정보주체 동의를 받아도 법률, 시행령에 근거가 없으면 처리 불가

	관련규정

▸개인정보 보호법 제15조, 제16조, 제23조, 제24조

- 제15조(개인정보의 수집ㆍ이용) ① 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다.

1. 정보주체의 동의를 받은 경우

2. 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우

3. 공공기관이 법령 등에서 정하는 소관 업무의 수행을 위하여 불가피한 경우

4. 정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우

5. 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우

6. 개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우.  이 경우 개인정보처리자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우에 한한다. (개인정보의 수집목적과 합리적으로 관련된 범위내 이용)

7. 공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우

- 제16조(개인정보의 수집 제한), 제23조(민감정보의 처리 제한),제24조(고유식별정보의 처리 제한)

진단항목	❺ 개인정보 목적 외 이용·제3자 제공

진단방법		참고서류
▸｢개인정보의 목적 외 이용□제3자 제공 대장｣ 기록□관리 여부: O/X		▸목적 외 이용□제3자 제공 대장 ▸공문: 디지털·혁신미래교육과-3572 ('24.2.22.) “2024년 각급학교 개인정보 처리 종합안내” [붙임4] [작성예시_학교]개인정보 내부관리계획 참고 [붙임5] [작성예시_학교]개인정보 처리방침 참고
▸목적 외 이용□제3자 제공 내역 홈페이지 공개 여부: O/X - 대장에 기재된 내용을 홈페이지에 공개하고 있는지 확인(10일 이상) 단, 정보주체 동의, 범죄수사와 공소의 제기 및 유지를 위하여 제공한 경우는 제외 (개인정보 보호법 제18조제2항제7호에 따라 제공한 경우) - 개인정보를 통상적이거나 반복적으로 제공하는 제3자 제공 내역은 개인정보 처리방침에 게시 ✤ 각급학교 개인정보파일 표준목록 중 [개인정보의 통상적 반복적 제공내역] ① 학교생활기록부 ③ 학생건강기록부 ⑦ 학교운영위원회명부 ⑧ 스쿨뱅킹(CMS)정보 ✤ 개인정보의 목적 외 이용□제공 절차

	관련규정

▸개인정보 보호법 제18조

- 제18조(개인정보의 목적 외 이용□제공 제한) ② 제1항에도 불구하고 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고는 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공할 수 있다. 제5호부터 제9호까지의 경우는 공공기관의 경우로 한정한다.

1. 정보주체로부터 별도의 동의를 받은 경우

2. 다른 법률에 특별한 규정이 있는 경우

3. 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우

4. 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하지 아니하면 다른 법률에서 정하는 소관 업무를 수행할 수 없는 경우로서 보호위원회의 심의□의결을 거친 경우

5. 조약, 그 밖의 국제협정의 이행을 위하여 외국정부 또는 국제기구에 제공하기 위하여 필요한 경우

6. 범죄의 수사와 공소의 제기 및 유지를 위하여 필요한 경우

7. 법원의 재판업무 수행을 위하여 필요한 경우

8. 형(刑) 및 감호, 보호처분의 집행을 위하여 필요한 경우

9. 공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우

진단항목	❻ 개인정보의 처리 업무 위탁

진단방법		참고서류
▸위탁계약서(협약서)의 필수사항(7) 포함 여부: O/X ✤ [위탁계약서] 내 7개 필수적 내용 포함 여부 점검 ① 위탁업무 수행 목적외 개인정보의 처리 금지에 관한 사항 ② 개인정보의 기술적, 관리적 보호조치에 관한 사항 ③ 위탁업무의 목적 및 범위 ④ 재위탁 제한에 관한 사항 ⑤ 개인정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항 ⑥ 위탁업무와 관련하여 보유하고 있는 개인정보의 관리 현황 점검 등 감독에 관한 사항 ⑦ 수탁자가 준수하여야 할 의무를 위반한 경우의 손해배상 등 책임에 관한 사항(손해배상책임 발생 시 수탁자는 개인정보처리자의 소속직원으로 간주)		▸개인정보 표준위탁계약서 ▸공문: 디지털·혁신미래교육과-3572 ('24.2.22.) “2024년 각급학교 개인정보 처리 종합안내” [붙임4] [작성예시_학교]개인정보 내부관리계획 참고
▸위탁내용 홈페이지 게시 여부: O/X - 개인정보 처리방침 내 위탁내용 게시 확인		▸학교홈페이지 개인정보 처리방침
▸수탁업체 대상 교육 등 관리‧감독 여부: O/X ✤ 사업자 대상 개인정보보호 교육 참고자료(온라인 교육센터) ※ 개인정보보호 포털 http://www.privacy.go.kr - 교육마당/온라인교육(개인수강)-교육과정(사업자) 온라인연수 이수 후 이수증 출력 가능		▸수탁자 교육 증빙자료 (연수이수증, 참석자 서명 등)

	관련규정

▸개인정보 보호법 제26조(업무위탁에 따른 개인정보의 처리 제한), 동법 시행령 제28조

- 개인정보의 처리 업무 위탁 시 다음 사항을 문서에 의해 처리한다.

1. 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항, 2.개인정보의 기술적□관리적 보호조치에 관한 사항

- 업무의 내용과 개인정보 처리 업무를 위탁받아 처리하는 자를 정보주체가 언제든지 쉽게 확인할 수 있도록 공개

진단항목	❼ 개인정보 파기

진단방법		참고서류
▸목적이 달성된 개인정보의 파기절차에 따른 파기 여부: O/X - 내부관리계획에 수립된 파기절차 이행 확인 - 개인정보 보호책임자(교장) 결재 여부		▸개인정보파기계획서 ▸공문: 디지털·혁신미래교육과-3572 ('24.2.22.) “2024년 각급학교 개인정보 처리 종합안내” [붙임4] [작성예시_학교]개인정보 내부관리계획 참고

	관련규정

▸개인정보 보호법 제21조(개인정보의 파기)

- 개인정보처리자는 보유기간의 경과, 개인정보의 처리 목적 달성 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 한다. 개인정보를 파기할 때에는 복구 또는 재생되지 아니하도록 조치하여야 한다.

진단항목	❽ 개인정보의 안전성 확보 조치

진단방법

참고서류

▸개인정보(고유식별정보, 생체인식정보, 비밀번호 등)의 암호화 조치 여부: O/X

- PC내 개인정보파일 암호화 미처건이 0건이 되도록 현황 점검

EPP(PC보안통합시스템) 관리자 접속 > 보고서 > 개인정보 검색 현황보고서 > 개인정보 처리 현황

[개인정보가 있는 PC의 현황 정보 확인]

[학교 전체 PC의 처리/미처리 현황 정보 확인]

▸EPP(PC보안통합시스템) 관리자 접속

-> 보고서 -> 보고서생성 ->

개인정보처리현황, 격리파일현황, 암호화파일현황, 예외처리파일현황, 미처리파일현황

(상세내용 EPP 매뉴얼 참조)

▸접속기록 보관(1년 이상) 및 점검(월 1회 이상) 여부: O/X

- 별도로 운영하는 개인정보처리시스템의 접속기록 보관 및 점검

(나이스, K-에듀파인, 통합 학교 홈페이지 등은 제외)

▸개인정보처리시스템 접속기록 점검표

▸개인정보처리시스템(학교 자체 운영 시스템) 접속기록 점검

▸접근권한 최소(차등) 부여 및 권한내역 관리(최소 3년) 여부: O/X

- 개인정보처리시스템의 접근권한 내역 기록 보관 및 점검
(나이스, K-에듀파인는 제외)

- 권한관리 메뉴가 없는 시스템(홈페이지 등)의 경우는 내부결재 또는 대장 관리

- 계정 공유 금지 여부 점검

▸개인정보처리시스템 접근권한 관리대장

▸개인정보처리시스템(학교 자체 운영 시스템) 접근권한 관리

▸홈페이지 게시글 공개기한 설정‧관리 및 불필요한 게시글 정비 여부:O/X

- 게시판의 운영목적에 맞게 게시글의 공개기한을 설정하고 있는지 확인(공개기한 설정 문구 등 확인)

- 게시판의 불필요한 게시글을 정비하는지 확인

- 엑셀 취약점 조치 및 대응방법 등을 전파하는지 확인

▸홈페이지 운영관련 내부결재 등

▸공문서 생산‧접수 시 개인정보에 보안설정(비공개 및 직원열람제한) 설정 여부: O/X

▸[K-에듀파인 > 업무관리 > 문서관리 > 문서등록대장]

	관련규정

▸개인정보 보호법 제29조

- 제29조(안전조치의무) 개인정보처리자는 개인정보가 분실□도난□유출□위조□변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적□관리적 및 물리적 조치를 하여야 한다.

진단항목	❾ 학교 내 개인영상정보 관리

진단방법		참고서류
▸｢개인영상정보 관리대장｣ 기록□관리 여부: O/X - 개인영상정보 이용□제공□열람□파기 내역을 빠짐없이 기록□관리하고 있는지 확인 ✤ 보관기간에 맞게 개인정보 파기 철저(자동삭제의 경우에도 자동삭제 여부 확인 후 대장에 기록)		▸개인영상정보 관리대장(교육부 개인정보 보호지침 별지 제12호) ▸(예시)개인영상정보 관리대장(129p)

	관련규정

▸개인정보 보호법 제25조, 시행령 제3조, 제24조, 제25조