[가이드] 인공지능(AI) 개인정보보호 자율점검표(개발자·운영자용) (2021.5. 제정) - 출처 : 개인정보보호위원회(2021.05)

https://pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS217&mCode=D010030000&nttId=7347

개인정보보호위원회

AI 개인정보보호 자율점검표 📋🔒

AI 개인정보보호 자율점검표는 AI 기술과 서비스를 개발하고 운영하는 과정에서 개인정보 보호의 안전성과 신뢰성을 확보하기 위해 만들어졌어요. 이는 법적 의무사항뿐만 아니라, 자율적인 개인정보 보호활동을 실천하는 데 필요한 지침을 제공합니다. 💡🤖

1. AI 개인정보보호의 6대 원칙 🛡️✨

AI 개인정보 보호를 위해 다음과 같은 6가지 원칙을 따라야 해요:

1. 적법성: 개인정보의 수집과 이용은 법적으로 명확해야 해요. 📜
2. 안전성: 개인정보는 안전하게 처리되고 관리되어야 합니다. 🔒
3. 투명성: 정보주체가 자신의 개인정보가 어떻게 처리되는지 알 수 있어야 해요. 🔍
4. 참여성: 개인정보 처리에 대한 소통 체계를 갖추고, 정보주체의 권리를 보장해야 해요. 🤝
5. 책임성: 개인정보 처리에 대한 관리 책임이 명확해야 합니다. ⚖️
6. 공정성: 개인정보를 공정하게 처리하여 차별이나 편향이 발생하지 않도록 합니다. 🤖🤍

---

2. 보안성 검토 기준 📊🔍

다음은 AI 개발 및 운영 시 개인정보 보호를 위해 따라야 하는 보안성 검토 기준입니다. 이를 의무사항과 권고사항으로 나누어 정리했어요. 😊✨

 

보안영역	검토 기준	의무 사항	권고 사항
개인정보 수집 📥	정보주체로부터의 수집 동의	수집 목적, 항목, 보유 기간을 명확히 알리고 동의 받기 📄	간편한 철회 절차 제공 및 고지 🔄
	민감정보 및 고유식별정보 별도 동의	민감정보(예: 건강 정보) 및 고유식별정보 별도 동의 📝	비대면 동의 시 신원 확인 절차 권고 🔍
개인정보 가명처리 🧩	가명정보의 처리 목적 및 안전성 확인	가명정보는 과학적 연구나 통계 목적으로만 처리 ⚠️	가명정보 재식별 위험 방지 조치 시행 🔒
	가명처리의 기록 및 관리	가명처리 이력을 기록하고 재식별 위험 평가 실시 📑	가명처리 시 가명정보 식별 기준을 명확히 설정 ✅
개인정보 보관 📂	암호화 및 접근 통제	중요 정보(예: 고유식별정보)는 반드시 암호화 저장 🔐	접근 권한을 최소화하여 역할에 따른 권한 분리 🛡️
	내부 관리 계획 수립	개인정보 취급자의 역할과 책임을 정의하고 관리 계획 수립 📜	보안 인프라에 대한 주기적 보안 점검 실시 🔄
	접근 내역 기록 및 모니터링	접근 기록을 전자적 방식으로 저장하고 정기적으로 점검 🔍	비인가 접근 탐지 시 알림 시스템 구축 🚨
개인정보 파기 🗑️	보유기간 경과 또는 목적 달성 시 파기	보유 기간이 경과하거나 목적 달성 시 지체 없이 파기 🚮	파기 절차의 투명한 공개 및 문서화 📑
	파기 방법의 명확성	복원 불가능한 방법으로 파기하고, 파기 과정 기록 📋	데이터 파기 인증서 발급 및 보관 📂
개인정보 유출 🚨	유출 시 피해 최소화를 위한 대응 매뉴얼 마련	유출 항목, 시기, 방법 등을 신속히 정보주체에게 통지 📧	유출 모니터링 체계와 침해 대응 계획 강화 🔍
	유출 후 재발 방지 대책 수립	사고 원인을 분석하여 추가적인 보안 조치 수립 및 시행 🛠️	모의 유출 사고 훈련을 통해 대응 능력 강화 🏋️‍♂️
개인정보 처리 시스템 보안 🖥️	시스템 보안성 점검 및 취약점 관리	정기적인 보안 취약점 점검 및 패치 관리 🛠️	침입탐지 시스템(IDS) 및 침입방지 시스템(IPS) 운영 🔐

---

보안성 검토 기준 보완 사항 🌟

1. 개인정보 수집 단계 📥

• 민감정보의 별도 동의: 민감정보의 수집은 개인정보 보호법에 따라 별도로 동의가 필요하며, 비대면 동의 시에는 신원 확인 절차가 강화될 필요가 있어요. 이를 통해 동의가 확실하게 이루어졌는지를 검증할 수 있습니다.

2. 개인정보 가명처리 단계 🧩

• 가명처리 이력 관리: 가명처리의 재식별 위험을 방지하기 위해 처리 이력을 기록하고, 주기적으로 재식별 위험 평가를 실시해야 합니다. 이를 통해 가명정보의 안전성을 지속적으로 유지할 수 있어요.

3. 개인정보 보관 및 접근 통제 📂🔐

• 접근 기록 및 모니터링: 개인정보 접근 기록을 철저히 관리하고, 비인가 접근 탐지 시 경고 알림을 즉각 제공하는 시스템이 필요합니다. 접근 통제를 통해 누가 언제 어떤 데이터를 보았는지 명확히 관리할 수 있어요.

4. 개인정보 파기 단계 🗑️

• 파기 인증서 발급: 파기 완료 후 데이터 파기 인증서를 발급하고 이를 보관함으로써 파기의 투명성과 신뢰성을 확보할 수 있습니다. 이를 통해 데이터가 안전하게 처리되었음을 보장합니다.

5. 개인정보 유출 대응 🚨

• 유출 대응 훈련: 개인정보 유출 대응 능력을 강화하기 위해 모의 유출 사고 훈련을 정기적으로 실시하는 것이 필요합니다. 이를 통해 실제 유출 사고 발생 시 신속하고 효과적으로 대응할 수 있는 체계를 마련할 수 있어요.

6. 개인정보 처리 시스템 보안 강화 🖥️🔒

• 침입탐지 시스템(IDS) 및 침입방지 시스템(IPS): 시스템의 보안성을 강화하기 위해 IDS와 IPS를 운영하여, 네트워크를 통해 이루어질 수 있는 공격을 실시간으로 탐지하고 차단해야 합니다. 이러한 보안 장치는 시스템 내 데이터의 무결성을 유지하는 데 중요한 역할을 합니다.

 

3. AI 개인정보 처리 절차 📊🛠️

개인정보의 안전한 처리를 위해서는 단계별로 명확한 절차가 필요합니다. 이 절차를 흐름도 형태로 정리해 볼게요:

개인정보 처리 절차 흐름도 🛠️➡️

1️⃣ 기획·설계 단계 🎨:

• Privacy by Design (PbD) 원칙 적용: 초기 기획부터 개인정보의 침해 가능성을 분석하고, 사전에 제거합니다. PbD는 개인정보 보호를 고려한 설계를 의미해요.

2️⃣ 개인정보 수집 단계 📥:

• 정보주체에게 수집 항목, 처리 목적 등을 명확히 알리고 동의를 받아요. 특히 민감정보나 고유식별정보는 별도 동의를 받아야 합니다.

3️⃣ 개인정보 이용·제공 단계 📊:

• 당초 수집 목적에 맞게 이용·제공하며, 목적 외 사용 시 별도의 동의를 받습니다. 가명정보 활용이 필요한 경우 법적 근거에 따라 처리해야 해요.

4️⃣ 개인정보 보관·관리 단계 📂:

• 암호화, 접근통제 등의 조치를 통해 안전하게 개인정보를 보관합니다. 내부 관리 계획을 수립해 개인정보를 안전하게 처리해요.

5️⃣ 개인정보 파기 단계 🗑️:

• 개인정보가 불필요하게 되었을 때는 지체 없이 복원이 불가능한 방법으로 파기합니다. 다른 법령에서 보관을 요구하는 경우, 다른 개인정보와 분리해 보관해야 해요.

6️⃣ 보안 사고 대응 🚨:

• 개인정보 유출 시 신속하게 유출 통지 및 대응 매뉴얼을 이행하며, 피해 최소화를 위해 노력합니다.

---

결론 📌✨

AI 기술이 발전하면서 개인정보 보호의 중요성도 점점 커지고 있어요. AI 개인정보보호 자율점검표는 AI 기술 개발자와 운영자가 개인정보를 적법하고 안전하게 처리하기 위해 따라야 할 중요한 기준과 절차를 제공합니다. 이를 통해 개인정보의 투명성, 안전성, 공정성을 지키고 신뢰성 있는 AI 서비스를 구축할 수 있어요. 💪🔐✨