본문
요청 내용
□(건의배경) 금융회사가 클라우드 컴퓨팅 사용시 '고유식별정보' 또는 '개인신용정보' 처리(송신, 수신 또는 전달 포함)시 지정 불가하도록 되어 있음
ㅇ이를 확대 해석하여 암호화된 경우에도 웹서버 또는 채널시스템을 클라우드 컴퓨팅에 적용하지 못하도록 가이드하고 있음 ※ 관련법령 또는 지도 -「금융권 클라우드 서비스 이용가이드」2016. 10(금융보안원)
□(건의내용) 웹서버와 채널 시스템에 대한 비중요 정보처리시스템 지정 완화 검토 요청
ㅇ위 시스템은 확장성과 안정성 확보가 필요한 업무 시스템으로 클라우드 활용시 가장 효과가 높을 것으로 예상되는 업무임
ㅇ이미 개인 정보를 종단간 암호화하여 처리하고 있어 개인정보 유출에 대한 위험도는 낮은 편임. 처리데이터가 암호화되어 있는 경우에는 예외적인 허용이 필요함
판단 이유
ㅁ 전자금융감독규정 제14조의2 제1항에 따라 금융회사는 정보자산의 중요도가 현저히 낮은 시스템을 ‘비중요 정보처리시스템’으로 지정할 수 있고 해당 시스템에 대해 클라우드 서비스를 활용할 수 있습니다. 다만, 개인의 고유식별정보 또는 '신용정보의 이용 및 보호에 관한 법률'상 개인신용정보를 처리하는 시스템은 ’비중요 정보처리시스템‘으로 지정할 수 없습니다.
ㅇ귀사에서 건의한 ‘암호화된 개인정보’가 ‘개인정보’ 인지 아닌지 여부에 따라 ‘비중요 정보처리시스템’ 지정 가능 여부를 결정할 수 있습니다. 상기 여부에 대하여 개인정보보호법 소관부처(행정자치부) 의견을 포함하오니 업무에 참고하시기 바랍니다. < 참고 : 암호화된 개인정보가 개인정보인지 여부에 대한 행정자치부 의견 >
가.'개인정보 보호법' 제2조제1호는 “개인정보”란 살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함한다)를 말한다.’고 규정하고 있습니다.
나.따라서 개인정보를 암호화한 경우, 해당 정보가 개인정보인지 여부는 해당 암호화 조치가 복호화 될 가능성, 다른 정보와 쉽게 결합하여 개인을 알아볼 가능성 등을 구체적·종합적으로 판단하여야 할 것으로 보입니다.
관련 법령
연결
문서 기준 관련 조문·시행본
문서의 판단 기준일에 맞춘 시행본입니다. 현행 조문은 별도 링크에서 대조하세요.
개인정보 보호법 제2조 제1호문서 기준 시행본 · 시행 2017-03-30 더 찾아보기