제1조(목적)

이 지침은 남양주시다산노인복지관의 운영 및 서비스 제공 과정에서 처리되는 개인정보를 안전하게 보호하고, 정보주체의 권리를 보장하기 위하여 개인정보의 수집·이용·제공·보관·파기 및 침해 대응에 필요한 기본사항을 정하는 데 목적이 있다.

제2조(근거)

이 지침은 개인정보 보호법, 개인정보 보호법 시행령, 사회복지사업법, 노인복지법, 사회복지시설 관리안내, 기타 개인정보 보호와 관련된 관계 법령 및 복지관 운영규정에 근거한다.

제3조(적용범위)

① 이 지침은 남양주시다산노인복지관이 업무 수행 과정에서 처리하는 모든 개인정보에 적용한다.

② 이 지침은 이용자, 보호자 등 관련인, 후원자, 자원봉사자, 강사, 실습생, 사회복무요원, 종사자, 입사지원자, 방문자, 민원인, 홈페이지 이용자, CCTV 촬영 대상자 등 복지관과 관련하여 개인정보가 처리되는 정보주체에게 적용한다.

③ 이 지침은 종이문서, 전자파일, 전산시스템, 홈페이지, 사진, 영상, 음성, 이메일, 문자, 상담기록, 신청서, 동의서 등 개인정보가 포함된 모든 형태의 자료에 적용한다.

제4조(정의)

이 지침에서 사용하는 용어의 뜻은 다음과 같다.

① '개인정보'란 살아 있는 개인에 관한 정보로서 성명, 주민등록번호, 영상 등을 통하여 개인을 알아볼 수 있는 정보와 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보를 말한다.

② '정보주체'란 처리되는 개인정보에 의하여 알아볼 수 있는 사람으로서 그 정보의 주체가 되는 사람을 말한다.

③ '개인정보 처리'란 개인정보의 수집, 이용, 보관, 제공, 공개, 파기 등 개인정보와 관련된 일체의 행위를 말한다.

④ '개인정보취급자'란 복지관 업무 수행을 위하여 개인정보를 처리하는 종사자, 사회복무요원, 실습생, 자원봉사자, 강사, 위탁업체 관계자 등을 말한다.

⑤ '민감정보'란 건강정보, 장애정보, 상담내용, 사례관리 기록 등 정보주체의 사생활을 침해할 우려가 있어 특별한 보호가 필요한 정보를 말한다.

⑥ '영상정보처리기기'란 CCTV 등 일정한 공간에 설치되어 사람 또는 사물의 영상을 촬영하거나 저장하는 장치를 말한다.

⑦ 'AI'란 인공지능 기술 또는 인공지능 기반 시스템을 말하며, 문서 작성, 번역, 홍보물 제작, 상담기록 정리, 업무분석 등에 활용되는 기술을 포함한다.

제5조(기본원칙)

① 개인정보는 적법하고 정당한 방법으로 수집·이용하여야 한다.

② 개인정보는 업무 수행에 필요한 최소한의 범위에서 수집하여야 한다.

③ 개인정보는 수집 목적 범위 내에서만 이용하여야 하며, 목적 외 이용을 하여서는 아니 된다.

④ 개인정보는 정확하고 최신의 상태로 관리하도록 노력하여야 한다.

⑤ 개인정보는 보유기간 경과, 처리목적 달성 등 파기사유가 발생한 경우 지체 없이 파기하여야 한다.

⑥ 복지관은 개인정보가 분실, 도난, 유출, 위조, 변조, 훼손되지 않도록 필요한 보호조치를 하여야 한다.

⑦ 복지관은 정보주체의 개인정보 열람, 정정, 삭제, 처리정지, 동의철회 등 권리를 보장하여야 한다.

제6조(개인정보 보호책임자 지정)

① 복지관은 개인정보 보호업무를 총괄하는 개인정보 보호책임자를 지정한다.

② 개인정보 보호책임자는 부장으로 한다.

③ 개인정보 보호책임자는 개인정보 처리실태 점검, 침해사고 대응 총괄, 개인정보 보호업무 관리·감독, 주요 개인정보 민원 처리에 관한 최종 책임을 수행한다.

④ 개인정보 보호담당자는 상담돌봄팀장으로 한다.

⑤ 개인정보 보호담당자는 개인정보 보호계획 수립 지원, 개인정보 관련 민원 접수 및 실무 처리, 개인정보 보호교육, 침해사고 기록관리 등 실무를 수행한다.

제7조(개인정보취급자의 의무)

① 개인정보취급자는 업무상 알게 된 개인정보를 외부에 누설하거나 사적으로 이용하여서는 아니 된다.

② 개인정보취급자는 업무 수행에 필요한 범위에서만 개인정보에 접근하여야 한다.

③ 개인정보가 포함된 문서, 파일, 사진, 영상, 상담내용 등을 무단으로 복사, 반출, 전송, 공유하여서는 아니 된다.

④ 개인정보취급자는 퇴직, 계약종료, 활동종료 후에도 개인정보에 대한 비밀유지 의무를 가진다.

제8조(개인정보의 수집)

① 복지관은 이용자 등록·관리, 서비스 제공, 상담, 사례관리, 후원관리, 자원봉사관리, 인사관리, 회계처리, 시설안전, 민원처리 등 업무 수행에 필요한 개인정보를 수집할 수 있다.

② 개인정보 수집 시에는 수집·이용 목적, 수집 항목, 보유 및 이용기간, 동의 거부 권리 및 동의 거부 시 불이익을 정보주체에게 안내하여야 한다.

③ 고령, 장애, 문해력 부족 등으로 안내 내용을 이해하기 어려운 정보주체에게는 쉬운 표현으로 설명하도록 노력한다.

④ 복지관은 업무 목적과 무관한 개인정보를 수집하여서는 아니 된다.

제9조(민감정보 및 고유식별정보의 처리)

① 건강정보, 장애정보, 질병정보, 상담내용, 사례관리 기록 등 민감도가 높은 정보는 서비스 제공 및 안전관리에 필요한 경우에 한하여 최소한으로 처리한다.

② 주민등록번호 등 고유식별정보는 법령상 근거가 있는 경우에 한하여 수집·이용한다.

③ 민감정보 및 고유식별정보가 포함된 자료는 접근권한을 제한하고 안전하게 보관하여야 한다.

제10조(개인정보의 이용)

① 개인정보는 수집 당시 고지한 목적 범위 내에서만 이용한다.

② 목적 외 이용이 필요한 경우에는 법령상 근거가 있거나 정보주체의 별도 동의를 받아야 한다.

③ 통계, 보고, 평가, 교육, 홍보자료 등에 개인정보를 활용하는 경우에는 개인을 알아볼 수 없도록 익명처리 또는 비식별 처리하는 것을 원칙으로 한다.

제11조(개인정보의 제3자 제공)

① 복지관은 정보주체의 동의 없이 개인정보를 제3자에게 제공하여서는 아니 된다.

② 다음 각 호의 경우에는 필요한 최소한의 범위에서 개인정보를 제공할 수 있다.

1. 법령에 근거가 있는 경우
2. 정보주체의 별도 동의를 받은 경우
3. 정보주체 또는 제3자의 생명·신체·재산 보호를 위하여 긴급히 필요한 경우
4. 회계감사, 지도점검, 보조금 정산, 기부금 영수증 발급 등 법적·행정적 의무 이행에 필요한 경우
5. 노인학대, 범죄, 중대한 안전사고 등 관계기관 신고 또는 연계가 필요한 경우

③ 개인정보를 제3자에게 제공하는 경우 제공 목적, 제공 항목, 제공받는 자, 제공일자 등을 기록·관리할 수 있다.

제12조(개인정보 처리 위탁)

① 복지관은 홈페이지 운영, 전산시스템 유지보수, 문자발송, 회계프로그램, 후원관리, CCTV 유지보수 등 업무 수행을 위하여 개인정보 처리업무의 일부를 외부에 위탁할 수 있다.

② 개인정보 처리 위탁 시에는 위탁업무의 목적과 범위, 개인정보 보호조치, 재위탁 제한, 계약 종료 후 파기 등에 관한 사항을 계약서 또는 협약서에 반영하여야 한다.

③ 복지관은 수탁자가 개인정보를 안전하게 처리하는지 필요한 범위에서 관리·감독하여야 한다.

제13조(정보주체의 권리)

① 정보주체는 자신의 개인정보에 대해 열람, 정정, 삭제, 처리정지, 동의철회 등을 요구할 수 있다.

② 복지관은 정보주체의 권리행사 요구를 받은 경우 관계 법령에 따라 필요한 조치를 하여야 한다.

③ 다른 사람의 개인정보, 종사자의 업무상 비밀, 제3자의 권리를 침해할 우려가 있는 경우에는 열람 또는 제공을 제한할 수 있다.

④ 동의철회 또는 처리정지로 인해 서비스 제공이 제한될 수 있는 경우에는 그 내용을 정보주체에게 안내하여야 한다.

제14조(개인정보의 보관)

① 개인정보는 지정된 장소 또는 승인된 시스템에 보관하여야 한다.

② 종이문서는 잠금장치가 있는 장소에 보관하고, 전자파일은 접근권한이 부여된 업무용 PC 또는 승인된 저장공간에 보관하되, 별도의 잠금장치를 마련한다.

③ 개인정보가 포함된 문서 또는 저장매체를 책상, 회의실, 교육장, 차량, 공용공간 등에 방치하여서는 아니 된다.

④ 개인정보가 포함된 자료를 외부로 반출하거나 전송하는 경우에는 필요한 보호조치를 하여야 한다.

제15조(접근권한 및 보안관리)

① 개인정보 접근권한은 업무 수행에 필요한 최소한의 인원에게 부여한다.

② 종사자의 입사, 전보, 퇴사, 계약종료, 활동종료 시 개인정보 접근권한을 부여·변경·회수하여야 한다.

③ 개인정보 처리 시스템의 계정과 비밀번호를 다른 사람과 공유하여서는 아니 된다.

④ 개인정보가 포함된 전자파일은 필요한 경우 암호 설정 등 보호조치를 하여 저장·전송한다.

⑤ 개인 이메일, 개인 메신저, 개인 클라우드, 개인 USB 등을 통한 개인정보 보관 및 공유는 원칙적으로 제한한다.

제16조(개인정보의 파기)

① 개인정보는 보유기간의 경과, 처리목적 달성, 동의철회 등 파기사유가 발생한 경우 지체 없이 파기하여야 한다.

② 종이문서는 분쇄 또는 소각 등 복구할 수 없는 방법으로 파기한다.

③ 전자파일은 복구 또는 재생되지 않도록 삭제한다.

④ 법령에 따라 보존하여야 하는 개인정보는 다른 개인정보와 분리하여 보관할 수 있다.

⑤ 개인정보가 포함된 문서를 일반 폐지 또는 재활용품으로 배출하여서는 아니 된다.

제17조(사진 및 영상정보의 처리)

① 복지관은 사업 운영, 기록관리, 홍보, 보도자료, 소식지, 홈페이지, SNS 등을 위하여 사진 또는 영상을 촬영·활용할 수 있다.

② 사진 및 영상 촬영 시에는 촬영 목적, 활용 범위, 게시 매체 등을 사전에 안내하고 필요한 동의를 받아야 한다.

③ 홈페이지, SNS, 소식지, 보도자료 등에 사진 또는 영상을 게시하는 경우에는 동의 여부를 확인하여야 한다.

④ 이용자의 질병, 장애, 경제상황, 상담내용 등 민감한 정보가 드러나지 않도록 주의한다.

⑤ 정보주체가 사진 또는 영상 삭제를 요청하는 경우 법령상 보존 필요성이 없는 한 지체 없이 삭제 또는 비공개 조치한다.

제18조(CCTV 등 영상정보처리기기의 관리)

① CCTV 등 영상정보처리기기는 시설 안전, 화재 예방, 범죄 예방, 사고 대응 등 필요한 목적 범위에서 설치·운영한다.

② 복지관은 CCTV 설치 목적, 촬영 범위, 촬영 시간, 관리책임자, 보관기간, 열람 방법 등을 안내판 또는 홈페이지 등을 통해 고지하여야 한다.

③ CCTV 영상정보는 목적 외로 이용하거나 제3자에게 제공하여서는 아니 된다. 다만 법령에 근거가 있거나 생명·신체 보호 등 정당한 사유가 있는 경우에는 필요한 최소한의 범위에서 제공할 수 있다.

④ 보관기간이 경과한 영상정보는 지체 없이 삭제하여야 한다.

⑤ 영상정보 열람 시 다른 사람의 권리가 침해되지 않도록 필요한 조치를 하여야 한다.

제19조(AI 및 디지털 도구 활용 시 개인정보 보호)

① 복지관은 AI 및 디지털 도구를 문서 작성, 번역, 요약, 홍보물 제작, 교육자료 구성, 업무 아이디어 도출 등 업무 보조수단으로 활용할 수 있다.

② AI 및 디지털 도구 활용 시 성명, 연락처, 주소, 주민등록번호, 회원번호, 계좌번호 등 개인을 직접 알아볼 수 있는 정보는 삭제하거나 대체한 후 활용하는 것을 원칙으로 한다.

③ 상담내용, 사례관리 기록, 건강정보, 장애정보, 가족상황, 경제상황 등 민감한 정보가 포함된 자료를 AI로 정리·요약·분석할 필요가 있는 경우에는 개인을 알아볼 수 없도록 비식별 처리하고, 업무상 필요한 최소한의 범위에서 활용하여야 한다.

④ 사진, 영상, 음성 등 개인을 알아볼 수 있는 자료를 AI 또는 디지털 도구로 편집·가공·활용하는 경우에는 정보주체의 동의 여부와 활용 목적을 확인하여야 한다.

⑤ AI가 생성한 자료는 사실과 다를 수 있으므로 외부 배포, 이용자 안내, 공문 작성, 보고자료 활용 전 담당자가 검토하여야 한다.

⑥ AI 결과만으로 이용자의 서비스 이용 여부, 지원 우선순위, 이용 제한, 민감한 상담판단 등 정보주체에게 중대한 영향을 미치는 결정을 하여서는 아니 된다.

⑦ AI 및 디지털 도구 활용 과정에서 개인정보 유출 또는 권리침해 우려가 발생한 경우 개인정보 보호책임자 또는 담당자에게 보고하고 필요한 조치를 하여야 한다.

제20조(개인정보 침해사고 대응)

① 개인정보의 분실, 도난, 유출, 오발송, 무단열람, 온라인 노출, 사진·영상 무단게시, AI 입력 사고 등 개인정보 침해사고가 발생하거나 의심되는 경우 즉시 개인정보 보호책임자 또는 담당자에게 보고하여야 한다.

② 복지관은 침해사고 발생 시 피해 확산을 방지하기 위하여 접근 차단, 게시물 삭제, 발송 회수 요청, 비밀번호 변경, 저장매체 회수 등 필요한 초기조치를 실시하여야 한다.

③ 필요한 경우 관계기관 신고, 정보주체 통지, 피해 최소화 조치, 재발방지 대책을 시행한다.

④ 개인정보 침해사고의 발생 경위, 조치내용, 처리결과, 재발방지 대책은 기록·관리할 수 있다.

제21조(개인정보 보호교육)

① 복지관은 개인정보취급자를 대상으로 연 1회 이상 개인정보 보호교육을 실시한다.

② 교육 대상에는 종사자, 사회복무요원, 실습생, 자원봉사자, 강사 등 개인정보를 처리하거나 접근할 수 있는 사람이 포함될 수 있다.

③ 교육 내용에는 개인정보 보호 원칙, 수집·이용·제공 기준, 비밀유지, 문서관리, 사진·영상 처리, CCTV 관리, AI 활용 제한, 침해사고 대응 등을 포함할 수 있다.

④ 신규 종사자 및 신규 활동자에게는 업무 시작 전 개인정보 보호 기본사항을 안내할 수 있다.

제22조(비밀유지 서약)

① 복지관은 개인정보취급자에게 개인정보 보호 및 비밀유지 서약서를 받을 수 있다.

② 비밀유지 의무는 재직 또는 활동 중뿐 아니라 퇴직, 계약종료, 활동종료 후에도 적용된다.

③ 자원봉사자, 실습생, 강사, 위탁업체 관계자 등에게도 업무 특성에 따라 비밀유지 서약을 받을 수 있다.

제23조(개인정보 처리방침의 수립 및 공개)

① 복지관은 개인정보 처리방침을 수립하여 홈페이지, 관내 게시판 등 정보주체가 쉽게 확인할 수 있는 방법으로 공개하여야 한다.

② 개인정보 처리방침에는 개인정보의 처리목적, 처리항목, 보유기간, 제3자 제공, 처리 위탁, 정보주체 권리, 파기절차, 안전성 확보조치, 개인정보 보호책임자, 권익침해 구제방법 등을 포함한다.

③ 개인정보 처리방침이 변경되는 경우 변경사항을 정보주체가 확인할 수 있도록 안내한다.

제24조(다른 지침과의 관계)

① 이용자의 인권 및 권익옹호 과정에서 처리되는 개인정보는 이용자 인권 및 권익옹호지침과 이 지침을 함께 적용한다.

② 종사자 인권침해 사건기록, 고충상담, 보호조치 등과 관련하여 처리되는 개인정보는 종사자 인권보호 지침과 이 지침을 함께 적용한다.

③ 이 지침과 관계 법령이 상충하는 경우에는 관계 법령을 우선 적용한다.

④ 이 지침은 법령상 권한을 초과하여 정보주체의 권리를 제한하거나 복지관에 부여되지 않은 강제권을 행사하는 근거로 해석되어서는 아니 된다.

부 칙

제1조(시행일) 이 지침은 기관장의 결재를 득한 날로부터 시행한다.

제2조(세부사항) 이 지침의 시행에 필요한 세부사항은 개인정보 처리방침, 개인정보 수집·이용 동의서, 개인정보 제3자 제공 동의서, 개인정보 처리 위탁계약서, CCTV 운영·관리 방침, 개인정보 침해사고 기록서, 내부 업무매뉴얼 등에 따른다.

제3조(개정) 복지관은 관계 법령, 사회복지시설 운영기준, 개인정보 보호 관련 지침, AI 관련 제도 변화, 기관 운영상 필요에 따라 이 지침을 개정할 수 있다.

<별표 1> AI 활용 점검표

점검항목	확인내용	확인
개인정보 입력 여부	식별 가능한 개인정보나 민감정보를 삭제·대체 또는 비식별 처리하지 않은 상태로 AI에 입력하지 않았는가
비식별 처리	업무상 필요한 경우 개인정보를 삭제·대체하거나 익명·가명 처리하였는가
최종 검토	AI가 작성한 문서, 안내문, 상담자료를 담당자가 검토하였는가
차별 가능성	특정 연령, 장애, 질병, 경제상태, 디지털 취약계층에게 불리한 내용이 없는가
외부 공개 적정성	홍보물, SNS, 보도자료 등에 이용자 초상권·개인정보 침해 우려가 없는가
사람의 최종 판단	서비스 제한, 지원 우선순위, 민감한 상담판단을 AI 결과만으로 결정하지 않았는가
사실 확인	복지·의료·법률·제도 관련 내용은 담당자가 별도 출처 및 사실 확인하였는가