교육부 개인정보 보호지침

제1조(목적) 이 지침은 「개인정보 보호법」(이하 "법"이라 한다) 제12조제2항 및 「표준 개인정보 보호지침」에 따라 교육부 소관 분야의 개인정보보호에 필요한 세부적인 사항을 규정함을 목적으로 한다.

제2조(적용범위) 이 지침은 전자적 처리 여부를 불문하고 수기문서를 포함한 모든 형태의 개인정보파일을 운용하는 교육부 및 그 소속기관, 시도교육청 및 그 소속기관, 교육부장관의 지도감독을 받는 공공기관 및 각급학교(이하 "교육기관"이라 한다.)에 적용한다.

제3조(용어의 정의) 이 지침에서 사용하는 용어의 정의는 다음과 같다. 1. "개인정보"란 살아 있는 개인에 관한 정보로서 다음 각 목의 어느 하나에 해당하는 정보를 말한다. 가. 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보 나. 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보. 이 경우 쉽게 결합할 수 있는지 여부는 다른 정보의 입수 가능성 등 개인을 알아보는 데 소요되는 시간, 비용, 기술 등을 합리적으로 고려하여야 한다. 다. 가목 또는 나목을 제1호의 2에 따라 가명처리함으로써 원래의 상태로 복원하기 위한 추가 정보의 사용ㆍ결합 없이는 특정 개인을 알아볼 수 없는 정보(이하 "가명정보"라 한다) 1의2. "가명처리"란 개인정보의 일부를 삭제하거나 일부 또는 전부를 대체하는 등의 방법으로 추가 정보가 없이는 특정 개인을 알아볼 수 없도록 처리하는 것을 말한다. 2. "각급학교"란 다음 각 호의 어느 하나에 해당하는 기관을 말한다. 가. 「유아교육법」에 따른 학교 나. 「초ㆍ중등교육법」에 따른 각급학교 다. 「고등교육법」에 따른 각급학교 라. 그 밖의 다른 법률에 따라 설치된 각급학교 3. "개인정보처리자"란 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등을 말한다. 4. "개인정보 보호책임자"란 개인정보처리자의 개인정보 처리에 관한 업무를 총괄해서 책임지거나 업무처리를 최종적으로 결정하는 자로서, 법 제31조 및 「개인정보 보호법 시행령」(이하 "시행령"이라 한다) 제32조제2항에 따른 지위에 해당하는 자를 말한다. 5. "개인정보보호 업무 분야별책임자"(이하 "분야별책임자"라 한다)란 업무를 위하여 개인정보파일을 처리하는 부서의 장으로 개인정보 보호책임자가 지정한 자를 말한다. 6. "개인정보 보호담당자"란 교육기관의 실질적인 개인정보 보호업무를 담당하는 자로 개인정보처리자가 지정한 자를 말한다. 7. "개인정보취급자"란 개인정보처리자의 지휘감독을 받아 개인정보를 처리하는 업무를 담당하는 자로서 직원, 파견근로자, 시간제근로자 등을 말한다. 8. "정보주체"란 처리되는 정보에 의하여 알아볼 수 있는 사람으로서 그 정보의 주체가 되는 사람을 말한다. 9. "개인정보파일"이란 개인정보를 쉽게 검색할 수 있도록 일정한 규칙에 따라 체계적으로 배열하거나 구성한 개인정보의 집합물(集合物)을 말한다. 10. "처리"란 개인정보의 수집, 생성, 연계, 연동, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정(訂正), 복구, 이용, 제공, 공개, 파기(破棄), 그 밖에 이와 유사한 행위를 말한다. 11. "공공기관"이란 법 제2조제6호 및 시행령 제2조에 따른 기관을 말한다. 12. "고유식별정보"란 법령에 따라 개인을 고유하게 구별하기 위하여 부여된 식별정보로서 주민등록번호, 여권번호, 운전면허의 면허번호, 외국인등록번호를 말한다. 13. "민감정보"란 사상ㆍ신념, 노동조합ㆍ정당의 가입ㆍ탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보와 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보로서 시행령 제18조 각 호의 정보를 말한다.

제4조(다른 지침과의 관계) ① 교육기관에서 처리하는 개인정보는 교육부 소관 다른 지침에 특별한 규정이 있는 경우를 제외하고는 이 지침에서 정하는 바에 따른다. ② 교육기관이 소관 분야의 개인정보 처리와 관련한 개인정보 보호지침을 정하는 경우에는 이 지침에 부합하도록 해야 한다. ③ 이 지침에서 정하지 않은 사항은 「개인정보 보호법」 및 같은 법 시행령, 「표준 개인정보 보호지침」에 따른다.

제5조(개인정보 보호책임자의 지정) ① 개인정보처리자는 법 제31조제1항 및 시행령 제32조제2항에 따라 소관 개인정보의 보호 및 관리를 위하여 개인정보 보호책임자를 지정ㆍ운영하여야 한다. ② 개인정보처리자는 제1항에 따라 개인정보 보호책임자를 지정하려는 경우 다음 각 호의 구분에 따른다. 1. 교육부 : 고위공무원 2. 시ㆍ도교육청 : 3급 이상 공무원 또는 그에 상당하는 공무원 3. 교육지원청 : 4급 이상 공무원 또는 그에 상당하는 공무원(과단위 교육지원청은 5급 이상 공무원) 4. 유ㆍ초ㆍ중ㆍ고 : 원장 또는 교장 5. 대학 : 학무(교무)위원에 상당하는 행정사무를 총괄하는 사람 6. 그 외의 기관 : 개인정보 처리 관련 업무를 담당하는 부서의 장

제6조(개인정보 보호책임자의 업무 등) ① 개인정보 보호책임자는 다음 각 호의 업무를 수행한다. 1. 개인정보 보호 계획의 수립 및 시행 2. 개인정보 처리 실태의 정기적인 조사 및 개선 3. 개인정보 처리와 관련한 불만의 처리 및 피해 구제 4. 개인정보 유출 및 오용ㆍ남용 방지를 위한 내부통제시스템의 구축 5. 개인정보 보호 교육 계획의 수립 및 시행 6. 개인정보파일의 보호 및 관리ㆍ감독 7. 법 제30조에 따른 개인정보 처리방침의 수립ㆍ변경 및 시행 8. 개인정보 보호 관련 자료의 관리 9. 개인정보파일의 보유기간 산정 10. 처리 목적이 달성되거나 보유기간이 지난 개인정보의 파기 11. 시행령 제14조의2제1항 각 호의 고려사항에 대한 판단 기준의 공개 여부에 대한 점검 및 해당 기준에 따른 개인정보의 추가적인 이용 또는 제공 여부의 점검 ② 개인정보 보호책임자는 제1항 각 호의 업무를 수행함에 있어서 필요한 경우 개인정보의 처리 현황, 처리 체계 등에 대하여 수시로 조사하거나 관계 당사자로부터 보고를 받을 수 있다.

제7조(분야별책임자의 지정) ① 개인정보 보호책임자는 주요 개인정보를 취급하는 부서의 장을 분야별책임자로 지정할 수 있다. ② 분야별책임자는 해당부서의 다음 각 호의 업무를 위임받아 수행할 수 있다. 1. 개인정보 처리 실태의 정기적인 조사 및 개선 2. 개인정보 처리와 관련한 불만의 처리 및 피해 구제 3. 개인정보파일의 보호 및 관리ㆍ감독 4. 개인정보 처리방침의 수립ㆍ변경 및 시행 5. 개인정보 보호 관련 자료의 관리 6. 처리 목적이 달성되거나 보유기간이 지난 개인정보의 파기 7. 그 밖에 해당부서의 개인정보 보호를 위해 필요한 사항 등

제8조 (개인정보보호 지원단 운영) ① 교육부장관은 교육기관의 개인정보 보호 활동을 효율적으로 수행하기 위하여 "개인정보보호 지원단"을 운영할 수 있다. ② 교육부장관은 개인정보보호 지원단 운영 시 필요하다고 인정하는 경우에 교육기관의 장에게 소속 공무원 및 전문요원의 파견(업무지원)을 요청할 수 있다. ③ 개인정보보호 지원단은 다음 각호의 업무를 수행한다. 1. 개인정보보호 업무를 위한 지침 및 계획 수립 지원 2. 개인정보 영향평가 및 개인정보보호 수준진단 지원 3. 개인정보 분실ㆍ도난ㆍ유출(이하 "유출등"이라 한다) 예방 점검 및 현장 확인ㆍ이행 조치 지원 4. 개인정보 보호 역량 강화 지원을 위한 교육, 컨설팅 지원(정기, 특별) 5. 그 밖에 개인정보보호 업무를 위하여 필요한 사항 ④ 교육부장관 및 시ㆍ도교육감은 법 제61조제4항에 따라 교육기관에 대하여 개인정보 보호에 관한 의견을 제시하거나 지도ㆍ점검을 할 수 있다.

제9조(교육분야 개인정보보호 전문기관) ① 교육부장관은 교육분야 개인정보 보호 활동을 효율적으로 수행하기 위하여 한국교육학술정보원을 교육분야 개인정보보호 전문기관으로 지정한다. ② 교육부장관은 한국교육학술정보원에 개인정보보호 관련 다음 각 호의 업무를 위탁하고 관련 예산을 지원할 수 있다. 1. 개인정보보호 교육 및 컨설팅 2. 개인정보보호 수준진단 운영 3. 개인정보보호 지원단 운영 4. 교육부 개인정보보호 포털 운영 5. 개인정보 유출등 조사 지원 및 노출점검시스템 운영 6. 가명처리지원시스템 운영 및 컨설팅 7. 그 밖에 개인정보보호 업무를 위하여 필요한 사항

제10조(각급학교 폐교ㆍ통폐합에 따른 개인정보의 이전) ① 각급학교에서 폐교 및 통폐합 등 처리 시 불필요 개인정보파일은 삭제하는 것을 원칙으로 한다. 다만, 관련 법령 등에 의해 보관이 필요한 경우는 그러하지 아니하다. ② 각급학교의 폐교 및 통폐합 등으로 인한 개인정보파일의 이전은 교육부장관 및 시ㆍ도교육감이 지정한 개인정보처리자가 안전하게 이전될 수 있도록 처리하여야 한다. ③ 제2항에 따라 개인정보파일을 이전하려는 자 또는 받는 자는 해당 사항을 인터넷 홈페이지에 30일 이상 게재하여야 한다. 다만, 인터넷 홈페이지를 운영하지 아니하는 경우에는 사업장 등의 보기 쉬운 장소에 30일 이상 게시하여야 한다. ④ 학교 통ㆍ폐합과 관련하여 행정예고 등에 제2항의 개인정보파일 이전에 관한 사항을 포함하여 공고한 경우에는 제3항의 내용을 준수한 것으로 본다.

제11조(개인정보보호 교육) ① 개인정보처리자는 매년 당해 연도 개인정보보호를 위한 교육계획을 수립하여 시행하여야 한다. ② 제1항에 따라 개인정보 보호 교육계획을 수립할 때에는 다음 각 호의 사항이 포함되어야 한다. 1. 교육목적 2. 교육대상 3. 교육내용 4. 교육일정 5. 교육방법 6. 그 밖에 개인정보 보호 교육을 위하여 필요한 사항 ③ 교육부장관은 개인정보 보호책임자, 개인정보 보호담당자에게 개인정보보호에 필요한 교육을 실시하여야 한다. 다만, 유ㆍ초ㆍ중ㆍ고 등 소관 교육기관의 교육은 관할하는 시ㆍ도교육감이 실시한다. ④ 개인정보처리자는 개인정보취급자 등을 대상으로 개인정보보호에 필요한 교육을 실시하여야 한다. ⑤ 개인정보 보호책임자는 신규 채용자, 전입자에게 개인정보 보호 교육을 하여야 한다. ⑥ 개인정보 보호책임자는 개인정보 관련 전문기관 교육 및 기술 세미나 참석을 장려하고 신규로 지정된 개인정보 보호담당자가 신규 발령일로부터 1년 이내에 15시간 이상의 개인정보보호 교육(정보보안 교육을 포함하되 5시간을 초과할 수 없다)을 받도록 노력하여야 한다.

제12조(개인정보보호 수준진단) ① 교육부장관은 자율적인 개인정보 보호 활동을 촉진하고 지원하기 위하여 교육기관을 대상으로 개인정보보호 수준진단을 실시할 수 있다. ② 시ㆍ도교육감은 소관 교육기관을 대상으로 개인정보보호 수준진단을 실시할 수 있다. ③ 교육부장관 및 시ㆍ도교육감은 소관 교육기관의 수준진단 결과에 따라 제8조제4항에 따라 지도ㆍ점검을 할 수 있다.

제13조(개인정보 유출등의 신고) ① 개인정보처리자는 1명이라도 정보주체에 관한 개인정보의 유출등이 발생한 것을 알게 되었을 때에는 유출등 내용 및 조치결과를 72시간 내에 상급기관을 경유하여 교육부에 신고하여야 한다. 다만 다음 각 호의 어느 하나에 해당하는 경우에는 72시간 내에 상급기관을 경유하여 교육부 신고와 동시에 개인정보 보호위원회(이하 "보호위원회"라 한다) 또는 시행령 제40조제3항의 전문기관에 신고하여야 한다. 1. 1천명 이상의 정보주체에 관한 개인정보가 유출등이 된 경우 2. 민감정보, 고유식별정보가 유출등이 된 경우 3. 외부로부터의 불법적인 접근에 의해 개인정보가 유출등이 된 경우 ② 제1항에도 불구하고 개인정보 유출등의 경로가 확인되어 해당 개인정보를 회수ㆍ삭제하는 등의 조치를 통해 정보주체의 권익침해 가능성이 현저히 낮아진 경우에는 신고하지 않을 수 있다. ③ 제1항에 따른 신고는 별지 제5호서식에 따른 개인정보 유출등 신고서를 통하여 하여야 한다. ④ 개인정보처리자는 전자우편, 모사전송 또는 교육부 개인정보보호 포털(privacy.moe.go.kr) 및 개인정보 포털(www.privacy.go.kr)을 통하여 유출등 신고를 할 시간적 여유가 없거나 그 밖에 특별한 사정이 있는 때에는 먼저 전화를 통하여 법 제34조제1항 각 호의 사항을 신고한 후, 별지 제5호서식에 따른 개인정보 유출등 신고서를 제출할 수 있다. ⑤ 개인정보처리자는 개인정보 유출등 신고를 하려는 경우에 법 제34조제1항제1호 또는 제2호의 사항에 관한 구체적인 내용을 확인하지 못한 경우에는 그때까지 확인된 내용과 같은 항 제3호부터 제5호까지의 사항을 우선 신고하고 추가로 확인되는 내용에 대해서는 확인되는 즉시 신고해야 한다.

제14조(개인정보의 유출등 조사) ① 개인정보처리자는 개인정보 유출등이 발생되었을 경우 유출등의 원인을 조사하고 다음 각 호의 사항을 준수해야 한다. 1. 유출등의 원인 보완 및 재발방지 조치계획 수립ㆍ이행 2. 개인정보취급자(전직원) 대상 사례 전파 및 재발방지 교육 3. 그 밖에 개인정보의 유출등 방지를 위해 필요하다고 판단되는 사항 ② 교육부장관 및 시ㆍ도교육감은 소관 교육기관으로부터 개인정보 유출등 신고를 받고 필요하다고 판단되는 경우 관련 자료제출을 요구하거나 해당 기관, 해당 유출등의 원인 및 그와 관련한 관계인에 대해 제9조에 따른 전문기관과 함께 조사를 실시하고 법 제34조제1항 각 호에 따른 사항을 요구할 수 있다. 해당 요구를 받은 개인정보처리자 등은 특별한 사정이 없으면 이에 응하여야 한다. ③ 개인정보의 유출등 조사를 위해서는 정보주체 및 유출등 사고 관련자의 사생활 침해를 최소화하는 방법(익명처리 등)으로 처리될 수 있도록 노력하여야 한다.

제15조(개인정보파일의 등록 주체) ① 개인정보파일을 운용하는 교육기관의 개인정보 보호책임자는 그 현황을 보호위원회 개인정보보호 종합지원시스템에 등록하여야 한다. ② 교육부는 보호위원회에 직접 등록하여야 한다. ③ 교육기관은 상급기관을 통하여 보호위원회에 등록하여야 한다.

제16조(개인정보파일 등록 및 변경 확인) 개인정보파일의 등록 또는 변경 신청을 받은 상급기관은 보호위원회 개인정보보호 종합지원시스템을 확인하여 60일 이내에 처리하여야 한다.

제17조(개인정보파일 표준목록 등록과 관리) 개인정보 보호책임자가 제15조제1항에 따라 개인정보파일을 등록하는 때에는 교육부가 제공하는 ‘개인정보파일 표준목록’에 따라 등록하여야 한다.

제18조(개인정보파일대장 작성) 교육기관은 1개의 개인정보파일에 1개의 개인정보파일대장을 작성하여야 한다.

제19조(개인정보파일 이용ㆍ제공 관리) 교육기관은 법 제18조제2항 각 호에 따라 제3자가 개인정보파일의 이용ㆍ제공을 요청한 경우에는 각각의 이용ㆍ제공 가능 여부를 확인하고 별지 제8호서식의 개인정보의 목적 외 이용 및 제3자 제공 대장에 기록하여 관리하여야 한다.

제20조(개인정보파일 현황 공개 및 방법) 교육기관의 개인정보 보호책임자는 개인정보파일의 보유ㆍ파기 현황을 주기적으로 조사하여 그 결과를 해당 기관의 개인정보 처리방침에 반영하여 관리해야 한다.

제21조(등록ㆍ파기에 대한 개선권고 및 점검) ① 교육기관의 개인정보 보호책임자는 제20조에 따라 개인정보파일의 보유ㆍ파기 현황을 조사한 결과 개인정보파일이 과다하게 운용되고 있다고 판단하거나 제17조에 따라 교육부가 제공하는 개인정보 파일 표준목록에 따라 등록되지 않은 파일이 있는 것으로 확인되는 경우에는 그 개선을 권고할 수 있다. ② 교육부장관 및 시ㆍ도교육감은 소관 교육기관의 개인정보파일의 등록사항과 그 내용을 검토하고 다음 각 호의 어느 하나에 해당되는 경우에는 법 제32조제3항에 따라 교육기관의 개인정보 보호책임자에게 개선을 권고할 수 있다. 1. 개인정보파일이 과다하게 운용된다고 판단되는 경우 2. 등록하지 않은 개인정보파일이 있는 경우 3. 개인정보파일 등록 사실이 삭제되었음에도 불구하고 개인정보파일을 계속 보유하고 있는 경우 4. 개인정보 영향평가를 받은 개인정보파일을 보유하고 있음에도 그 결과를 등록사항에 포함시키지 않은 경우 5. 그 밖에 법 제32조에 따른 개인정보파일의 등록 및 공개에 위반되는 사항이 있다고 판단되는 경우 ③ 교육부장관 및 시ㆍ도교육감은 소관 교육기관의 개인정보파일 등록ㆍ파기 현황에 대한 점검을 실시할 수 있다.

제22조(개인정보의 파기 방법 및 절차) 개인정보 보호책임자는 개인정보 파기 절차, 파기 여부의 확인 등을 포함하는 파기계획을 수립하고 주기적으로 점검하는 등 필요한 조치를 하여야 한다. 단, 분야별책임자를 지정한 경우에는 분야별책임자가 개인정보 보호책임자의 승인을 득한 후 이를 수행할 수 있다.

제23조(재검토기한) 교육부장관은 이 훈령에 대하여 「훈령ㆍ예규 등의 발령 및 관리에 관한 규정」에 따라 2023년 12월 1일 기준으로 매 3년이 되는 시점(매 3년째의 11월 30일까지를 말한다)마다 그 타당성을 검토하여 개선 등의 조치를 하여야 한다.