미디어스쿨

2025년 교육기관 상반기 개인정보 처리 유의사항 안내

 학생, 학부모 등의 개인정보 수집·이용이 집중되는 시기에 불필요한 개인정보 수집 방지 및 개인정보 유출 예방을 위한 유의사항 안내

⊙ 법 위반사례

☞ 학사업무와 무관한 학부모의 직업, 학력 등 개인정보를 과도하게 수집

☞ 채용 계약과 관련 없는 가족사항, 신체사항 등 불필요한 개인정보 수집

 ※ 채용 이후에 필요한 개인정보*를 채용되기 전에 수집(입사지원서에 기재 등)하는 것은 최소수집 원칙에 위배 소지

 * 가족수당 지급에 필요한 가족관계 정보 등

⊙ 개인정보 유출사례

☞ 성적, 졸업 관련 정보가 포함된 이메일 발송 시, 당사자 외의 타인의 개인정보를 포함하여 발송

☞ 개인정보취급자가 개인정보가 포함된 파일을 이메일을 통하여 다수의 사용자에게 무분별하게 발송

☞ SNS 단체 대화방, 메신저 등을 통해 교직원이 다수 학생에게 공지사항을 안내하며 학생의 개인정보가 포함된 자료 공유

☞ 합격결과 통보, 학사일정 안내, 교육프로그램 홍보 등을 다수의 학생에게 개별발송이 아닌 동보발송하여 타인의 이메일 정보 노출

* Excel 암호설정 : 파일 → 정보 → 통합 문서 보호 → 암호 설정

* 숨긴 행·열 표시 : Ctrl + A(전체선택) → Ctrl + Shift + 9(행) / Ctrl + Shift + 0(열)

* 숨긴 메모 표시 : 검토 → 메모표시 ☞ 개인정보가 포함된 메모 삭제

⊙ 개인정보 유출사례

☞ 반 편성 정보를 알리는 과정에서 불필요한 개인정보(성적 등)가 포함된 자료 게시

☞ 암호 설정을 한 자료를 구글 드라이브를 통해 공유 시 구글 스프레드시트에서 암호설정이 적용되지 않아 개인정보가 유출되는 사례

☞ 정보공개청구에 따라 제공한 파일에 엑셀의 다양한 기능(숨기기, 개체 삽입 등)이 적용되어 숨겨진 개인정보 발견

☞ 전출된 직원의 접근권한을 말소하지 않아 해당 직원이 업무시스템에 접속하여 개인정보 유출

⊙ 법 위반사례

☞ 학사업무를 목적으로 수집한 학생의 개인정보를 홍보·마케팅 등 수집 목적 범위를 초과하여 이용하거나 제3자에게 제공

☞ 민원업무로 알게 된 민원인의 성명, 연락처 등의 개인정보를 정당한 이유 없이 피민원기관에 제공

☞ 민원인이 선생님의 핸드폰번호를 요구하여, 해당 선생님의 동의 없이 핸드폰번호 제공

⊙ 파기 참고사례

☞ 개인정보를 포함한 파일을 PC(업무용)에 저장하는 경우 암호화하여 저장하고 목적 달성 시 즉시 파기 조치

☞ 개인정보가 포함된 인쇄물 등은 이면지로 활용해서는 안 되며, 복원할 수 없도록 파기 처리

☞ 재학생의 사진 등이 홈페이지 등에 게재된 경우 별도의 동의가 없다면 졸업 후에는 반드시 삭제 처리

【 고정형 영상정보처리기기 설치·운영 허용 】

1. 법령에서 구체적으로 허용하고 있는 경우

2. 범죄의 예방 및 수사를 위하여 필요한 경우

3. 시설의 안전 및 관리, 화재 예방을 위하여 정당한 권한을 가진 자가 설치·운영하는 경우

4. 교통단속을 위하여 정당한 권한을 가진 자가 설치·운영하는 경우

5. 교통정보의 수집·분석 및 제공을 위하여 정당한 권한을 가진 자가 설치·운영하는 경우

6. 촬영된 영상정보를 저장하지 아니하는 경우로서 대통령령으로 정하는 경우

※ [참고] “공개된 장소” 예시 

 ☞ 누구나 출입, 접근 또는 통행이 허용되는 장소(학교 운동장, 학교 복도* 등)

  *학교 건물이 엄격하게 출입통제 및 관리되는 경우 비공개 장소로 볼 수 있음

⊙ 법 위반사례

☞ (과태료 처분) 00고등학교 화장실에 학생 흡연 및 학교 폭력 방지를 위한 목적으로 고정형 영상정보처리기기(CCTV) 설치

※ [참고] “비공개된 장소” 예시 

 ☞ 학생, 교사 등 학교 관계자만 출입이 가능한 학교시설(교실, 실험실 등)

안내판 필수사항

① 설치목적 및 장소

② 촬영범위 및 시간

③ 관리책임자의 연락처

④ 그 밖에 대통령령으로 정하는 사항

열람대상

열람 등의 청구

본인 또는 정당한 대리인 여부 확인

⇒

1, 정보주체

2. 명백히 정보주체의 급박한 생명,신체, 재산의 이익을 위해 필요한 경우

⇒

정보주체의 개인영상정보 열람 또는 존재확인 요청 

⇒

열람 여부 결정

열람 조치

열람 기록·관리

※ (열람 거부 사유)

1. 법률에 따라 제한된 경우

2. 타인의 생명·신체를 해하거나 재산 등을 침해할 우려가 있는 경우

3. 다음에 해당하는 업무수행 시 중대한 지장을 초래하는 경우

- 조세의 부과·징수 또는 환급에 관한 업무

- 각급학교, 평생교육시설, 고등교육기관에서의 성적평가 또는 입학자 선발에 관한 업무

- 채용에 관한 시험, 자격심사에 관한 업무

- 보상금·급부금 산정 등에 관한 업무

- 감사 및 조사에 관한 업무

⇒

비식별조치가 가능한 경우

정보주체 외 모자이크 처리

⇒

개인영상정보 관리대장 기록 및 관리

비식별조치가 어려운 경우

타 정보주체의 제3자 제공 동의 징구

※ 공무원이 영리를 목적으로 개인정보를 유출한 사건과 유사한 사례가 발생하지 않도록 개인정보취급자에 대한 접근권한 최소화, 접속기록 점검 등 관리 강화 필요

※ 시험지 유출 사고 등 PC 보안, 출입 통제 미흡에 따른 개인정보 침해사고가 증가함에 따라 접근통제 강화 필요 

※ 홈페이지 및 시스템 취약점 점검 등 해킹사고 예방을 위한 안전조치 강화

《 교육부와 개인정보보호위원회* 신고사항(72시간 이내) 》

 ① 1천명 이상 유출등

 ② 민감정보·고유식별정보 1건 이상 유출등

 ③ 외부로부터의 불법적인 접근에 의해 1건 이상 유출등

 * 개인정보보호위원회 개인정보 포털(privacy.go.kr)

붙임

 교육기관 개인정보 안전조치의무(법 제29조) 관련 체크리스트

1. 개인정보 관리 현황

정보주체 건 수

 000,000건 (000,000명)

개인정보 파일 수

00개

개인정보처리시스템 수

00식

고유식별정보 보유 현황

□주민등록번호 □여권번호 □외국인등록번호 □운전면허번호

전체 정보주체 건 수 [000명]

비 고 

개인정보 파일명(DB명)

정보주체수
 (명)

수집하는 개인정보 항목

※ 필수/선택 구분

민감정보 및 고유식별정보 수집 여부

※ 수집시 해당 항목 명시

취급부서

취급자(명)

학사시스템

5,000,999건

(100,999명)

(필수) 학생,연락처 등

(선택) 주소, 건강정보

‧민감정보(건강) 수집

·학적관리팀

50

홈페이지회원정보

건수 확인불가

(100,999명)

(필수) 이름, 성명, 아이디, 비밀번호 CI

(선택) 자택주소

‧수집하지 않음

·인사팀

·전산팀

50

연구인력관리시스템

1.000,999건

(10,999명)

(필수) 이름, 성명, , 주소, 이메일주소, 연락처, 주민등록번호

‧고유식별정보(주민등록번호) 수집

 교무팀

30

도서예약정보

건수 확인불가

5,999,999명

(필수) 영문이름, 한글이름, 연락처, 여권번호, 주민번호

‧고유식별정보(여권정보,주민등록번호) 수집

·사서팀

30

개인정보

처리시스템명

보유개인정보파일명

소프트웨어 아키텍쳐

※ web, c/s 중 하나 이상 택일

개발업체

유지보수

업체

학사시스템

·학생정보

·web방식

A정보통신

A정보통신

대표홈페이지시스템

·홈페이지회원정보

·web방식

A정보통신

B정보통신

도서예약관리시스템

·홈페이지회원정보

·회원정보

·web방식, c/s방식

자체개발

자체유지보수

개인정보처리시스템명

개인정보파일명

고유식별/민감정보

개인정보 보유량

연계시스템 여부 

영향평가 실시

비고

학사시스템

·학생정보

건강정보

1,787,070

해당사항 없음

영향평가 실시 2012년 12월 31일

_

대표홈페이지시스템

·홈페이지회원정보

주민등록번호

3,244,148

유치원입학관리시스템과 연동

영향평가 실시 

2018년 9월 3일

(2015년 10월 31일)

※ 일부 운영체계 변경으로 2018년도 영향평가 수행

_

도서예약관리

시스템

·홈페이지회원정보

·회원정보

주민등록번호

외국인등록번호

6,999,377

해당사항 없음

영향평가 미실시

2022년도 실시 예정

2. 개인정보처리시스템 자율 점검

개인정보처리시스템별 안전성확보에 필요한 필수 요건 사항을 점검한다. 

개인정보처리시스템 자율 점검표

점검 항목

세부 점검 내용

양호

개선
 필요

해당

없음

개선 기한

(개선필요 
 해당 시)

1

내부 관리계획의 이행 실태를 연 1회 이상으로 점검·관리하는지 여부 

2

① 업무 위탁 계약문서에 필수 반영사항(7개)이 포함되었는지 여부

 ※ 법 제26조 제1항 및 시행령 제28조 제1항 참조

② 수탁자가 제3자에게 다시 위탁하는 경우 위탁자의 동의 여부

3

내부관리계획 수립‧시행여부 [필수 15개 항목]

 ※ 개인정보의 안전성 확보조치 기준 제4조 제1항 참조

4

개인정보처리방침의 공개 및 필수 사항 포함 여부

 ※ 법 제30조 제1항 및 시행령 제31조 제1항 참조

5

개인정보파일을 운용하는 경우 개인정보보호 종합지원시스템(intra.privacy.go.kr)에 등록여부

6

개인정보 제3자 제공 절차 수립 및 전파하고 개인정보 보호책임자 확인 하에 이행준수 여부 

7

개인정보 파기절차 수립 및 전파하고 개인정보 보호책임자 확인 하에 이행준수 여부 

점검 항목

세부 점검 내용

양호

개선
 필요

해당

없음

개선 기한

(개선필요 
 해당 시)

8

개인정보 수집에 따른 정보주체의 동의 여부

9

개인정보 수집·이용 동의를 받는 경우, 필수사항(4개) 고지 및 내용의 적정성 여부

 ※ 법 제15조 제2항 참조

10

만 14세 미만 아동의 개인정보 처리 시 법정대리인(부모 등)의 동의 및 확인 여부

11

제3자에게 개인정보 제공시 법률 근거 여부, 정보주체의 동의 여부 및 동의를 받을 때 필수 사항(5개) 고지 및 내용의 적정성 여부

 ※ 법 제17조 제2항 참조

12

민감정보, 고유식별정보 수집에 따른 법령 근거 유무 또는 별도의 동의를 받고 있는지 여부

13

법령에 근거하지 않고 주민등록번호를 수집 및 처리하고 있는지 여부

14

개인정보(개인정보 파일) 보유기간 경과, 처리 목적(제공받은 경우 제공받은 목적) 달성 후 지체 없이 파기하고 있는지 여부

15

접근권한 관리 정책서 보유 여부[필수 사항 반영 여부]

16

접근권한의 부여‧변경‧말소 내역을 기록 및 관리하고, 최소 3년간 보관하는지 여부

17

안전한 비밀번호 작성규칙을 수립 및 적용하는지 여부

18

일정 횟수 이상 인증에 실패한 경우 개인정보처리시스템에 대한 접근을 제한하는 등의 기술적 조치 여부

19

개인정보처리시스템에 대한 접속 권한을 IP주소 등으로 제한하거나 접속한 IP주소 등을 분석하여 개인정보 유출 시도 탐지 및 대응 여부

 ※ 관리자페이지 외부 노출 여부

20

외부에서 개인정보처리시스템에 접속하려는 경우, 안전한 접속수단* 또는 안전한 인증수단을 적용하는지 여부

 * VPN 또는 전용선 

21

물리적 보관 장소의 안전조치 여부 

22

고유식별정보를 처리하는 경우 인터넷 홈페이지를 통해 고유식별정보가 유출·변조·훼손되지 않도록 연 1회 이상 취약점 점검여부

23

개인정보취급자가 일정시간 이상 업무처리를 하지 않는 경우에는 자동으로 시스템 접속이 차단되도록 하는지 여부

24

개인정보를 정보통신망을 통하여 인터넷망 구간으로 송·수신하는 경우 안전한 암호 알고리즘으로 암호화 적용 여부

 ※ 개인정보의 안전성 확보조치 기준 제7조제4항 참조

25

고유식별정보,생체인식정보를 개인정보취급자의 컴퓨터, 모바일 기기 및 보조저장매체 등에 저장할 때에는 안전한 암호 알고리즘으로 암호화하여 저장 여부

 ※ 개인정보의 안전성 확보조치 기준 제7조제5항 참조

26

비밀번호,생체인식정보 등 인증정보를 저장하는 경우 이를 안전한 암호 알고리즘으로 암호화 하고 있으며, 특히 비밀번호의 경우 복호화 되지 않는 일방향 암호화(해쉬함수) 알고리즘 적용 여부

 ※ 개인정보의 안전성 확보조치 기준 제7조제1항 참조

27

고유식별정보를 인터넷과 내부망의 중간지점(DMZ) 및 내부망에 저장하는 경우 암호화 조치 적용 여부

28

안전한 키 생성, 이용, 보관, 배포 및 파기 등에 관한 절차의 수립·시행 여부

 ※ 10만명 이상의 개인정보를 보유한 공공기관만 해당

29

개인정보취급자의 접속기록을 최소 1년 이상 보관 및 관리하고, 위·변조 및 도난, 분실되지 않도록 안전하게 보관 및 관리하는지 여부

* 5만명 이상 또는 주민등록번호나 민감정보를 처리하는 경우, 2년 이상 보관

30

개인정보취급자의 접속이력 기록 시 필수 항목(5개)을 기록하고 있는지 여부

 ※ 계정/접속일시/접속지정보/수행업무/처리한 정보주체의 정보

31

월 1회 이상 접속기록 점검 여부(다운로드가 있을 경우 사유 확인 여부)

32

보안 프로그램(백신)을 정당한 사유가 없는 한 자동 업데이트 또는 1일 1회 이상 업데이트하여 최신의 상태로 유지하고 있는지 여부

33

개인정보를 출력(인쇄, 화면표시, 파일생성 등)할 때 용도에 따라 출력 항목을 최소화하고, 개인정보의 출력·복사물*을 안전하게 관리하기 위해 필요한 안전조치 마련 여부

 * 개인정보가 포함된 종이 인쇄물, 개인정보가 복사된 외부 저장매체 등 

34

개인정보 침해사고 대응 절차서[필수 4가지 사항 반영 여부] 수립 및 전파여부 

35

재해·재난 발생 시 개인정보처리시스템 보호를 위한 위기대응 매뉴얼 등 대응절차 마련·점검 및 전파 여부

 ※ 10만명 이상의 개인정보를 보유한 공공기관만 해당

36

재해·재난 발생 시 개인정보처리시스템 백업 및 복구를 위한 계획 마련 여부

 ※ 10만명 이상의 개인정보를 보유한 공공기관만 해당

3. 업무용PC, 모바일 기기 등에 대한 관리 점검

업무용PC·모바일 기기 개인정보 관리 점검표

점검 항목

세부 점검 내용

예

아니오

해당

없음

1

공유폴더 내 개인정보가 저장되어 업무용PC 등을 통해 공유되지 않도록 하는가?

2

업무용PC 및 모바일 기기 사용 시 개인정보를 암호화하고 저장하는가? 

3

업무용PC에서 보조저장매체 이용 시 개인정보 유·노출 방지 조치가 되어 있는가?

4

업무용PC에서 상용 웹메일, P2P, 웹하드, 메신저, SNS서비스 등 이용 시 개인정보 유·노출 방지 조치가 되어 있는가? 

5

업무용PC 및 모바일 기기 사용 시 비밀번호 설정 등의 보호조치 및 관리가 되고 있는가? 

6

업무용PC 내 PMS(개인정보관리솔루션) 등의 개인정보 관리를 위한 보안프로그램이 설치되어 운영 및 점검·관리되고 있는가?