1. CPPG 1과목 (개인정보보호의 이해- 1.개인정보의 개요)

 CPPG의 1과목은 크게 3가지로 나뉜다.

1. 개인정보의 개요,

2. 개인정보보호의 중요성,

3. 기업의 사회적 책임 파트로 나뉜다.

 

점수는 10%이므로 10점이며,

이중에 4개이상 맞지 못하면 과락으로 되어버리는 무서운 부분이다.

필자는 2019년도 11월 시험에서 1과목 과락했었다.

 

사실 공부도 얼마 안했고,, 취업도 했다는 생각에 안일하게 생각했던 것 같다.

오늘은 그래서 1과목에 대해서 알아 보겠다.

 

1과목 목차

이는 1과목의 목차이다. 

먼저 개요에 대해서 정리해보았다.

 

1.    개인정보의 개요

 

-       개인정보의 정의 및 특성

 

개인정보의 정의는 해당 정보만으로 또는 다른 정보와 결합하여 살아있는 개인을
식별, 접촉, 위치를 식별 할 수 있는 정보이다.(실종자는 사망자로 취급함)
ex) 이름, 주민등록번호, 휴대폰번호, 사진, 동영상, 지문 등

 

또한 가명처리한 정보도 개인정보의 범주이며, 익명처리한 정보는 개인정보가 아니다.

 

a.       실종선고

         특별실종: 전쟁, 항공기사고, 선박사고 등으로 인한 신고는 1년 후 가능

         일반실종: 실종한지 5년뒤 신고할 수 있다.

 

-       프라이버시와 개인정보

 

프라이버시의 유형은 공간(개인 환경), 신체(유전자검사), 통신(우편, 전화), 정보프라이버시로 나뉜다.

 정보 프라이버시는 신용정보, 의료정보등으로

공개되고 사용되는 통제권을 스스로 결정하는 개인정보의 권리를 말하며

“자기정보통제권”, “자기정보관리 통제권”, “정보자기 결정권”, “개인정보 자기결정권”을 담고있다.

 

개인정보 자기결정권이란 "자신에 관한 정보가 언제 어떻게 어느범위까지 수집, 이용, 공개될 수 있는지를

정보주체가 스스로 통제 결정할 수 있는 권리" 를 말한다.

 

-       개인정보의 유형 및 종류

 

유형: 일반정보, 가족정보, 교육 및 훈련정보, 병역정보, 부동산정보, 소득정보, 수익정보, 신용정보, 고용,

법적정보, 의료정보, 조직정보, 통신정보, 위치정보, 신체정보, 습관 및 취미 정보 등

 

-       개인정보의 가치산정

 

개인정보 침해사고 발생 시 정보주체에게 손해배상을 하게 되는데, 법정손해배상과, 징벌적 손해배상, 민사합의가 있다.

이때 법정손해배상은 정보주체의 피해입증을 면제받을 수 있으며

최대 300만원까지 보상이 가능하며,

징벌적 손해배상은 정보주체의 피해 입증책임을 가지게 되지만, 피해금액의 3배까지 보상받을 수 있다.

 

이 과정에서 정보주체는 자신의 정보를 과대평가하는 경향이 있고, 개인정보 처리자는 개인정보에 대한 가치를 저평가하는 경향이 있다.

 

이때 개인정보의 가치를 산정하기 위한 몇가지의 가치산정방식이 존재한다.

 

<정성적인 방식> - 의견위주

가.     Delphi: 전문가 판단과 같은 일반 사회학적 방법

 

나.  시나리오법:다양한 시각에서의 분석 방법으로 침해 시발생할 수 있는 위험도 예측 및 분석

 

<정량적인 방식> - 숫자를 이용

다.     CVM: 설문조사에 의한 가치 산정방식(비시장 자원: 환경, 공해), 보통 설문조사를 통해

어느 정도의 금액을 지불할 의사(WTP)가 존재하는가 확인

(결과물 식별, 가치 대상 구별, 두 항목의 가치 취합 후 평균값 환산)

 

라.     설문지 기법: 동일한 전문가 집단에 설문조사를 단계별로 실시(동일한 사람에게 3~4회 반복)

 

마.  양분선택법: 여러 응답자에게 각각 가격이 적힌 여러 카드 중 하나를 응답자에게 수용할지 안할지 선택

(WTP: 지불가능액수, WTA: 지불수용액수 갭차이 줄임)

 

-       해외 개인정보보호 제도 소개

 

유럽연합: 자연인의 신원 확인되었거나, 확인할 수 있는 것과 관련된 정보

OECD: 식별되었거나, 식별될 수 있는 개인에 관한 모든 정보

미국: 개인에 관한 정보로 성명, 신분번호, 기호, 지문 등 개인에게 배정된 신분의 식별을 위한 특기사항

일본: 생존하는 개인에 관한 정보, 성명, 생년월일, 기타 기술 등에 의해 특정 개인 식별하는 일이 가능한 것

 

-       GDPR(지침 -> 법 계기)

 

a.       정의: EU회원국 간 개인정보의 자유로운 이동을 보장하는 동시에 정보주체의 개인정보 보호 권리를 강화하는 내용. 또한 GDPR은 속인주의(외국에서 저지른 범죄 인정) 성격을 가지고 있어 국내 기업도 적용

 

b.       위반시 벌금 규정

심각한 위반: 매출 4%, 2000만 유로

일반적 위반: 매출 2%, 1000만 유로

 

c.       원칙

가.     적법성, 공정성, 투명성의 원칙

나.     목적 제한의 원칙

다.     개인정보처리의 최소화

라.     정확성의 원칙

마.     보관기간 제한의 원칙

바.     무결성 및 기밀성의 원칙

사.     책임성의 원칙

d.       적용대상: EU에 자회사, 지점, 영업소 가지거나, 상품/서비스 제공, EU로부터 데이터 처리 위탁받은 기업

 

-       Safe-Harbor

 

미국과 유럽은 개인정보의 처리가 다르다.
미국은 선수집 후동의 (OPT-OUT)이며,
유럽은 선동의 후수집 (OPT-IN)이다.
미국과 영국, 양국의 기업들간의 활동제약 완화를 위해 맺은 협정이 세이프하버 7원칙이다.

고지, 선택, 제공, 접근, 안전성, 데이터무결성, 이행 (고선제접안데이)