세무사회는 개인정보보호법 시행에 따라 회원들을 위해 세무사 사무소에서 지켜야 할 ‘개인정보보호법 준수 매뉴얼’을 만들었다.
회원들의 편의를 도모코자 매뉴얼 핵심내용을 지면에 담았다. 관련 서식과 Q&A까지 포함된 ‘개인정보보호법 준수 매뉴얼’ 전문은 세무사회 홈페이지 ‘세무사전용의 회원공지란’이나 ‘자료실’에서 파일로 내려받아 사용할 수 있다. <편집자 주>

1. 개인정보수집ㆍ이용ㆍ제공 동의서 받기

이것만은 꼭!

 - 개인정보를 수집, 이용하기 위해서는 동의가 필요
 - 고유식별번호(주민등록번호 등) 수집시, 홍보 및 마케팅 목적으로 수집시, 제3자 제공시 별도 동의가 필요
※ 위반시 5년 이하 징역 또는 5천만원 이하의 벌금

1) 주요 조치사항
○ 사업을 영위하는 과정에서 개인정보를 수집?이용하기 위해서는 해당 정보주체에게 동의를 받아야 합니다.
※ 단, 개인정보보호법 제15조 제1항 2호~6호에 해당하는 경우 동의 없이도 가능

○ 특히 고유식별번호(주민등록번호 등)는 최대한 수집을 하지 않아야 하며, 불가피하게 수집할 때에는 별도의 동의를 받아야 합니다.

○ 개인정보를 홍보 및 마케팅 목적으로 수집할 때에는 이를 명확히 알리고 별도로 동의를 받아야 합니다.

○ 개인정보를 제3자에게 제공할 경우 제공받는자, 이용목적, 항목, 이용기간, 거부할 권리가 있다는 사실을 알리고 별도의 동의를 받아야 합니다.

2) 회원사무소의 개인 정보 보호

○ 세무사는 의뢰인의 정보를 수집, 저장, 가공, 보유, 출력, 이용, 공개 등의 정보처리를 할 경우에는 「개인정보 보호법」및 관련법규를 준수하여야 한다.

○ 「개인정보 보호법」에 따라 관리하여야 할 정보로는 살아 있는 개인에 관한 정보로서 성명, 주민등록번호 등에 의하여 개인을 알아볼 수 있는 부호, 문장, 음성 및 영상 등의 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함한다)일체를 말한다.
○ 개인정보의 예시
1) 일반정보 : 이름, 주민등록번호, 주소, 전화번호, 생년월일, 이메일 주소, ID/PW, 가족관계 및 가족구성원의 정보, IP 주소
2) 신체적 정보
① 신체 : 얼굴, 지문, 홍채, 음성, 유전자정보, 키, 몸무게
② 의료/건강 : 건강상태, 진료기록, 신체장애, 장애등급
3) 정신적 정보
① 기호/성향 : 도서·비디오 대여기록, 신문·잡지 구독정보, 여행 등 활동 내역, 인터넷 검색내역
② 신념/사상 : 종교 및 활동내역, 정당·노조 가입여부 및 활동내역
4) 재산적 정보
① 금융 : 소득정보, 신용카드번호 및 비밀번호, 통장계좌번호 및 비밀번호, 동산·부동산 보유내역, 저축내역
② 신용 : 개인신용평가정보, 대출·담보설정 내역, 신용카드 사용내역
5) 사회적 정보
① 교육 : 학력, 성적, 출석상황, 자격증 보유내역, 상벌기록, 생활기록부
② 범죄 등 : 전과·범죄기록, 재판기록, 과태료 납부내역
③ 근로 : 직장, 근무처, 근로경력, 상벌기록, 직무평가기록
6) 기타
① 통신 : 통화내역, 인터넷 접속내역, 이메일, 문자메시지
② 위치 : IP주소, GPS 등에 의한 개인위치정보
③ 병역 : 병역여부, 기간, 군번, 계급, 근무부대, 주특기
④ 화상 : CCTV 등 영상매체를 통해 수집된 화상정보
 
3) 세무서비스 유형별 취급하는 개인정보의 예시

(가) 회계장부 정리서비스 세무정보의 종류 <표1>
(나) 재산세제 신고 및 세무자문서비스 세무정보의 종류 <표2>
(다) 세무신고서비스 세무정보의 종류 <표3>
(라) 조세불복 및 세무컨설팅 세무정보의 종류 <표4>
(마) 회원사무소 업무별 개인정보 사항 및 개인정보T/F팀 검토의견 <표5>

4) 개인정보 수집ㆍ이용ㆍ제공 동의서(안)

○ 회원사무소에서 수정하여 활용토록 표준안을 제공

○ 고유식별번호(주민등록번호 등)의 경우 별도 동의 항목 필요 - 거래처 직원 및 주주 등 간접적인 고유식별정보의 경우 동의서 징구 불가능.(해당업체 대표자가 직접 받아야 함)

○ 선택항목 수집에 동의하지 아니한다는 이유로 재화 또는 서비스의 제공을 거부하여서는 안됨.(예:한국세무사회 감리자료 제출에 동의하지 않을 경우 동의한 차 순위 업체의 감리자료를 제출토록 함)

○ 최소한의 정보수집 필요 - 관리적 측면에서 분쟁발생시 입증책임

○ 검토시 유의사항<표6>

5) 채용전형시 유의사항

○ 서류전형
- 입사지원서 및 증빙서류 등을 통한 주민등록번호 수집 불가
※ 본인 확인이 필요한 경우 주소, 전화번호 등 활용
※ 증빙서류(자격, 학위, 경력 증명서 등)에 주민등록번호가 기재되는 경우 뒷자리는 마스킹 처리하여 발급받도록 안내
- 직무와 무관한 정보(정치적 성향, 가족의 직업, 신체정보 등) 수집 불가
※ 채용대행사 및 시중에 유통되는 입사지원서 및 이력서 양식을 활용할 경우, 반드시 필요한 항목에 ‘필수’를 표기하여 불필요한 개인정보의 수집 방지
※ 자기소개서에 직무와 무관한 사생활 정보, 민감정보 등를 기재하지 않도록 안내
- 실무편의를 위해 서류전형 단계에서 면접 및 입사 이후에 필요한 개인정보까지 일괄적으로 수집 불가
- 본인으로부터 직접 개인정보를 수집하는 것이 원칙이며, 제3자로부터 제공받는 것이 불가피한 경우 관련 내용(출처, 수집 내용 등) 고지
- 입사지원자가 제출한 각종 개인정보(학력, 경력, 자격, 성적 등)의 진위 확인이 필요한 경우, 관련 증명서 활용
※ 입사지원자의 성명, 주민번호 등을 해당 증명서 생성(발급)기관에 제공하고 관련 증명서의 진위를 확인하는 방법은 새로운 개인정보의 수집을 수반하므로 가급적 활용하지 않는 것이 바람직

○ 신체검사
- 직무수행 가능여부 등의 판단을 위해 신체검사를 실시할 경우, 필요 최소한의 건강정보를 수집해야 하며 동의를 받아 실시
* 채용예정업무의 특성에 따라 수집 정보의 종류 및 범위 결정
○ 합격 통보
- 합격여부는 당사자에게 직접 통보가 될 수 있도록 전화, 이메일 활용(홈페이지를 통한 통보는 비밀번호 등으로 본인 확인 후 실시)

○ 채용전형 종료 후 파기 및 보관
- 채용전형 및 이의신청 절차 등이 종료된 후 입사지원자의 개인정보는 지체 없이(5일 이내) 파기하는 것이 원칙
 - 인재의 수시선발 등을 위해 탈락자의 개인정보 보관?이용이 필요한 경우, 기간을 정하여 당사자로부터 동의 확보
※ 동의를 얻어서 보관?이용하는 중이라도 정보주체의 요구가 있는 경우 즉시 삭제 후 정보주체에게 통지
※ 동의를 얻어서 보관하는 경우 기업이 동의사실에 대한 입증책임 등을 부담

6) 직원 채용 후 - 개인정보 수집ㆍ이용ㆍ제공 동의서 및 보안서약서(안)

○ 회원사무소에서 수정하여 활용토록 표준안을 제공
○ 고유식별번호(주민등록번호 등)의 경우 별도 동의 항목 필요

7) 회원사무소 사용 개인정보관련 소프트웨어
 
○ 인터넷 웹브라우저 : 인터넷 익스플로러, 구글, 파이어 폭스 등

○ 회계프로그램(아이플러스, 세무사랑, 세무명인 등), 양도세 계산프로그램(이택스코리아, 양도박사 등)

○ 사무용 프로그램 : 엑셀, ?글, MS워드, 파워포인트, 기타 텍스트 파일(홈택스 변환 파일 포함)

○ 업무용 프로그램 : 홈택스, 위택스, 감리전산 제출 프로그램

※ 사무소에서 주의해야 할 사항(안)-내부 관리지침에 포함
① 아이디 비번 관리 철저(본인 아이디는 본인만 사용)
② 백신프로그램 악성코드 제거 프로그램 설치 및 수시 확인
③ 인증되지 않은 프로그램 설치 금지(p2p 프로그램 사용 금지)
④ 윈도우 보안 업데이트 충실히 하기(보안등급도 중간 단계 이상 설치)
⑤ 공유폴더 될수 있으면 사용하지 않기(사용시 비밀번호 필수)
⑥ USB로 개인정보(세무회계데이터 포함) 백업할시 세무사에게 반드시 확인 받고, 세무사는 데이터 삭제시 까지 감독하기
⑦ 이면지 사용시 개인정보 사항 없는지 꼭 확인필요
⑧ 사무실 컴퓨터내의 파일 중 개인정보가 포함된 파일은 모두 암호화 필요(한길TIS에서 공급하는 개인정보보호 프로그램 참조(www.semuportal. com))

2. 개인정보 처리 방침 만들고 공개하기

이것만은 꼭!

- 개인정보 처리방침 만들기
- 만든 후 홈페이지에 공개하기(홈페이지 없을 때는 사업장에 비치)
  ※ 위반시 1천만원 이하의 과태료

○ 개인정보를 안전하게 관리하고 있다는 것을 알리기 위해서 개인정보처리방침을 수립하고 이를 홈페이지에 공개해야 합니다.(홈페이지가 없는 경우에는 사업장의 잘 보이는 곳에 게시)

[개인정보 처리방침 작성시 유의사항]

□ 개인정보 처리방침이란?

○ 「개인정보 처리방침」이란 개인정보를 처리하고 있는 사업자/단체의 개인정보 처리기준 및 보호조치 등을 문서화하여 공개하는 것을 말함

○ 개인정보 보호법에서는 사업자 등 개인정보처리자로 하여금 개인정보 처리방침을 수립?공개하도록 의무화하고 있음 (법 제30조)
※ 개인정보 처리방침을 정하지 않거나 공개하지 않는 자는 1천만원 이하 과태료가 부과됨

○ 어떤 내용을 담아야 하는가?

[개인정보 처리방침 기재사항]
(가) 필수적 기재사항
1. 개인정보의 처리 목적
2. 개인정보의 처리 및 보유 기간
3. 개인정보의 제3자 제공에 관한
   사항(해당되는 경우에만 정함)
4. 개인정보처리의 위탁에 관한
   사항(해당되는 경우에만 정함)
5. 정보주체의 권리?의무 및 그
   행사방법에 관한 사항
6. 처리하는 개인정보의 항목
7. 개인정보의 파기에 관한 사항
8. 개인정보 보호책임자에 관한 사항
9. 개인정보 처리방침의 변경에
   관한 사항
10. 개인정보의 안전성 확보조치에
   관한 사항

(나) 임의적 기재사항
1. 정보주체의 권익침해에 대한
   구제방법
2. 개인정보의 열람청구를 접수
     처리하는 부서
3. 영상정보처리기기 운영, 관리에
   관한 사항(개인정보 보호법 제25
   조제7항에 따른 영상정보처리기기
   운영, 관리방침’을 개인정보처리
   방침에 포함하여 정하는 경우)

※ 필수적 기재사항이란 개인정보 보호법 제30조, 시행령 제31조, 표준 개인정보 보호지침 제37조에 따라 「개인정보 처리방침」에 반드시 모두 포함해야 하는 사항임

※ 임의적 기재사항이란「개인정보 처리방침」에 포함시킬지 여부를 사업자/단체 스스로가 개인정보 처리현황을 고려하여 자율적으로 정할 수 있는 사항임

□ 어떻게 공개해야 하는가?

○ 사업자, 단체 등의 인터넷 홈페이지에 지속적으로 게재해야 함
※ 반드시 “개인정보 처리방침”이라는 명칭을 사용하고, 글자크기?색상 등을 활용하여 다른 고지사항(이용약관, 저작권 안내 등)과 구분하여 정보주체가 쉽게 확인하도록 해야 함

○ 인터넷 홈페이지에 게재할 수 없는 경우 아래 방법으로 공개해야 함
1) 사업자/단체 사무소 등의 보기쉬운 장소에 게시  
2) 간행물, 소식시, 홍보지, 청구서 등에 지속적 게재
3) 사업자/단체 사무소가 있는 지역을 주된 보급지역으로 하는 일반일간신문 등에 게재
4) 재화?용역 제공을 위해 사업자/단체와 정보주체가 작성한 계약서 등에 실어 정보주체에게 발급

3. 내부관리계획의 수립과 보안 조치

이것만은 꼭!

- 내부관리계획 수립하고 보안조치 충실히 이행하기
  (5인 미만의 소상공인은 보안조치만 하면 되고, 내부관리 계획은 불필요)
   ※ 위반시 3천만원 이하의 과태료
○ 내부관리계획은 안전성 확보를 위해 작성하는 내부 문서로 다음의 사항들을 포함하여 임의 서식으로 작성하면 됩니다. (*공개 불필요)

○ 내부관리계획에 포함되는 내용
1. 개인정보보호책임자 지정
2. 개인정보보호책임자와 개인정보
   취급자의 역할 및 책임
3. 개인정보취급자의 교육에 관한 사항
4. 안전성 확보를 위한 조치사항
1) 접근 통제 및 접근 권한의 제한
2) 암호화 기술의 적용
  (비밀번호 일방향 암호화,
   고유식별정보 암호화)
3) 접속 기록의 보관
4) 보안프로그램의 설치 및 갱신
5) 잠금장치의 설치 등 물리적 조치

※ 상시 근무인원 5인미만의 소상공인은 내부관리계획을 수립하지 않아도 되나, 세무사의 경우 직무의 특성상 내부관리계획을 수립하는 것이 바람직 합니다.

※ 작성시 <안전성 확보조치 기준 고시>를 참고하시면 됩니다.
(http://www.privacy.go.kr/ - 자료실 - 지침자료 - 개인정보의 안전성 확보조치 기준 고시 및 해설서)

○ 내부관리계획에서 수립한 항목들의 충실한 이행이 필요합니다.

※ 내부관리계획을 수립하지 않는 소상공인도 접근 통제 및 접근 권한의 제한, 암호화, 접속기록의 보관, 보안프로그램 설치, 잠금장치 설치는 꼭 하여야 합니다.

4. 회원사무소에서 필요한 기타 조치 사항

가) 개인정보 유출시 정부주체에게 인지하는 즉시 알리기

이것만은 꼭!

 - 개인정보 유출시 정보주체에게 인지하는 즉시
    (최소5일 이내) 알리기
    ※ 위반시 3천만원 이하의 과태료
 - 침해신고나 관련문의는 (국번없이)118

 
<개인정보 유출시 정보주체에게 알리기>

○ 개인정보가 유출된 것을 확인한 경우 즉시(5일 이내) 정보주체에게 통보하여야 합니다. (통보방법 : 우편, 전화, e-mail 등)
- 1만건 이상의 정보가 유출된 경우 유출사실을 홈페이지에 게시하고 행정안전부 또는 전문기관(한국정보화진흥원, 한국인터넷진흥원)에 신고하여야 합니다.

나) 개인정보 보호 관련 연락처

○ 개인정보보호 침해신고나 상담을 원하실 경우 (국번없이)118로 문의하시면 됩니다.

○ 개인정보보호 관련 자료는 개인정보보호 종합지원시스템에서 확인해 보실 수 있습니다. (www.privacy.go.kr)

다) CCTV 설치된 경우 안내판 설치와 방침 만들기 : CCTV 있는 사무소만 해당

이것만은 꼭!

공개된 장소에 CCTV 설치시,
- 안내판 설치하기 
- 영상정보처리기기 운영,관리 방침 만들고 홈페이지에 공개
  ※ 위반시 1천만원 이하의 과태료

○ 시설안전 및 화재 예방, 범죄 예방 목적으로만 공개된 장소에 CCTV를 설치.운영 할 수 있습니다. (법에서 허용하는 경우도 가능)
- 화장실, 탈의실 등 개인의 사생활을 침해할 우려가 있는 장소에는 절대로 설치하면 안됩니다!

○ 공개된 장소(특별한 허가없이 출입이 자유로운 공간)에 CCTV를 설치한 경우 알기 쉬운 곳에 안내판을 설치하여야 합니다.

○ 안내판 설치와 더불어 영상정보처리기기 운영,관리 방침을 마련하여야 합니다.
- 별도로 영상정보처리기기 운영?관리방침을 만들지 않고, 개인정보처리방침에 내용을 추가하는 것도 가능합니다.

라) 영업양도 등에 따른 개인정보의 이전 제한

「개인정보 보호법」
제27조(영업양도 등에 따른 개인정보의 이전 제한) ① 개인정보처리자는 영업의 전부 또는 일부의 양도·합병 등으로 개인정보를 다른 사람에게 이전하는 경우에는 미리 다음 각 호의 사항을 대통령령으로 정하는 방법에 따라 해당 정보주체에게 알려야 한다.

1. 개인정보를 이전하려는 사실

2. 개인정보를 이전받는 자(이하 “영업양수자등”이라 한다)의 성명(법인의 경우에는 법인의 명칭을 말한다), 주소, 전화번호 및 그 밖의 연락처

3. 정보주체가 개인정보의 이전을 원하지 아니하는 경우 조치할 수 있는 방법 및 절차
② 영업양수자등은 개인정보를 이전받았을 때에는 지체 없이 그 사실을 대통령령으로 정하는 방법에 따라 정보주체에게 알려야 한다. 다만, 개인정보처리자가 제1항에 따라 그 이전 사실을 이미 알린 경우에는 그러하지 아니하다.
③ 영업양수자등은 영업의 양도·합병 등으로 개인정보를 이전받은 경우에는 이전 당시의 본래 목적으로만 개인정보를 이용하거나 제3자에게 제공할 수 있다. 이 경우 영업양수자등은 개인정보처리자로 본다.

제75조(과태료) ① ~ ② (생략)
③ 다음 각 호의 어느 하나에 해당하는 자에게는 1천만원 이하의 과태료를 부과한다.
1. ~ 5. (생략)
6. 제27조 제1항 또는 제2항을 위반하여 정보주체에게 개인정보의 이전 사실을 알리지 아니한 자

「개인정보 보호법 시행령」
제29조(영업양도 등에 따른 개인정보 이전의 통지) ① 법 제27조 제1항 각 호 외의 부분과 같은 조 제2항 본문에서 "대통령령으로 정하는 방법"이란 서면등의 방법을 말한다.
② 법 제27조제1항에 따라 개인정보를 이전하려는 자(이하 이 항에서 "영업양도자등"이라 한다)가 과실 없이 제1항에 따른 방법으로 법 제27조제1항 각 호의 사항을 정보주체에게 알릴 수 없는 경우에는 해당 사항을 인터넷 홈페이지에 30일 이상 게재하여야 한다. 다만, 인터넷 홈페이지를 운영하지 아니하는 영업양도자등의 경우에는 사업장등의 보기 쉬운 장소에 30일 이상 게시하여야 한다.

세무사신문 제590호(2012.10.16)