최근 보안 사고가 잇따라 발생하면서 "개인정보가 노출됐다", "개인정보가 유출됐다"는 표현을 자주 접하게 됩니다.
일상에서는 비슷한 의미로 사용되기도 하지만 정보보호 및 개인정보 보호 관점에서는 명확한 차이가 있습니다.
■ 개인정보 노출
홈페이지 등에 개인정보가 공개되어 누구든지 확인할 수 있으며, 개인정보의 유출로 이어질 수 있는 상태를 의미합니다.
※ 개인정보 보호법 제34조의2(노출된 개인정보의 삭제·차단)
■ 개인정보 유출
개인정보에 대하여 개인정보처리자의 관리·통제권을 벗어나 권한이 없는 자가 접근할 수 있게 된 상태를 의미합니다.
※ 표준 개인정보 보호지침 제25조(개인정보의 유출등)
■ 개인정보 노출과 유출, 무엇이 다를까요?
구분 | 개인정보 노출 | 개인정보 유출 |
의미 | 개인정보를 누구나 확인할 수 있으며, 개인정보의 유출로 이어질 수 있는 상태 | 개인정보가 개인정보처리자의 관리·통제권을 벗어나
권한이 없는 자가 접근할 수 있게 된 상태 |
사례 | ① 개인정보가 포함된 게시물이 등록된 경우 ② 이용자가 개인정보를 작성하여 공개된 경우 ③ 개인정보가 포함된 첨부파일을 게시한 경우 | ① 개인정보가 포함된 서면, 이동식 저장장치, 휴대용 컴퓨터 등을 분실하거나 도난당한 경우 ② 개인정보처리시스템에 권한이 없는 자가 접근한 경우 ③ 개인정보처리자의 고의 또는 과실로 인해 개인정보가 포함된 파일 등이 권한이 없는 자에게 잘못 전달된 경우 |
조치 | ① 개인정보가 노출된 페이지의 삭제 또는 비공개 처리 ② 개인정보의 마스킹 및 삭제 처리 ③ 검색엔진에 노출된 개인정보의 삭제를 요청 ④ 시스템의 계정, 로그 등 점검 후 접속 경로를 차단 ⑤ 서버, PC 등 최신으로 업데이트 후 디렉터리를 점검 | ① 72시간 이내에 정보주체에게 통지 - 유출등이 된 개인정보의 항목 - 유출등이 된 시점과 그 경위 - 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 - 개인정보처리자의 대응조치 및 피해 구제절차 - 피해 신고 등을 접수할 수 있는 담당부서 및 연락처 ② 72시간 이내에 보호위원회 또는 한국인터넷진흥원에 신고 - 1천명 이상의 정보주체에 관한 개인정보가 유출등이 된 경우 - 민감정보 또는 고유식별정보가 유출등이 된 경우 - 외부 불법적인 접근에 의해 개인정보가 유출등이 된 경우 |
■ 마무리
개인정보 노출과 유출의 차이점은 권한이 없는 자의 접근 여부에 있습니다. 단순히 개인정보가 공개된 상태라면 개인정보 노출에 해당하고, 권한이 없는 자가 접근하거나 개인정보를 취득한 경우에는 개인정보 유출에 해당합니다. 개인정보 노출에 대한 신속한 조치가 이루어지지 않을 경우에는 개인정보 유출로 이어질 수 있습니다. 이에 따라 「개인정보 보호법」 제34조의2에서 노출된 개인정보의 삭제·차단을 규정하고 있습니다.
 오현주 | ohj@cela.kr |
최근 보안 사고가 잇따라 발생하면서 "개인정보가 노출됐다", "개인정보가 유출됐다"는 표현을 자주 접하게 됩니다.
일상에서는 비슷한 의미로 사용되기도 하지만 정보보호 및 개인정보 보호 관점에서는 명확한 차이가 있습니다.
■ 개인정보 노출
홈페이지 등에 개인정보가 공개되어 누구든지 확인할 수 있으며, 개인정보의 유출로 이어질 수 있는 상태를 의미합니다.
※ 개인정보 보호법 제34조의2(노출된 개인정보의 삭제·차단)
■ 개인정보 유출
개인정보에 대하여 개인정보처리자의 관리·통제권을 벗어나 권한이 없는 자가 접근할 수 있게 된 상태를 의미합니다.
※ 표준 개인정보 보호지침 제25조(개인정보의 유출등)
■ 개인정보 노출과 유출, 무엇이 다를까요?
권한이 없는 자가 접근할 수 있게 된 상태
① 개인정보가 포함된 게시물이 등록된 경우
② 이용자가 개인정보를 작성하여 공개된 경우
③ 개인정보가 포함된 첨부파일을 게시한 경우
① 개인정보가 포함된 서면, 이동식 저장장치, 휴대용 컴퓨터 등을 분실하거나 도난당한 경우
② 개인정보처리시스템에 권한이 없는 자가 접근한 경우
③ 개인정보처리자의 고의 또는 과실로 인해 개인정보가 포함된 파일 등이 권한이 없는 자에게 잘못 전달된 경우
① 개인정보가 노출된 페이지의 삭제 또는 비공개 처리
② 개인정보의 마스킹 및 삭제 처리
③ 검색엔진에 노출된 개인정보의 삭제를 요청
④ 시스템의 계정, 로그 등 점검 후 접속 경로를 차단
⑤ 서버, PC 등 최신으로 업데이트 후 디렉터리를 점검
① 72시간 이내에 정보주체에게 통지
- 유출등이 된 개인정보의 항목
- 유출등이 된 시점과 그 경위
- 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법
- 개인정보처리자의 대응조치 및 피해 구제절차
- 피해 신고 등을 접수할 수 있는 담당부서 및 연락처
② 72시간 이내에 보호위원회 또는 한국인터넷진흥원에 신고
- 1천명 이상의 정보주체에 관한 개인정보가 유출등이 된 경우
- 민감정보 또는 고유식별정보가 유출등이 된 경우
- 외부 불법적인 접근에 의해 개인정보가 유출등이 된 경우
■ 마무리
개인정보 노출과 유출의 차이점은 권한이 없는 자의 접근 여부에 있습니다. 단순히 개인정보가 공개된 상태라면 개인정보 노출에 해당하고, 권한이 없는 자가 접근하거나 개인정보를 취득한 경우에는 개인정보 유출에 해당합니다. 개인정보 노출에 대한 신속한 조치가 이루어지지 않을 경우에는 개인정보 유출로 이어질 수 있습니다. 이에 따라 「개인정보 보호법」 제34조의2에서 노출된 개인정보의 삭제·차단을 규정하고 있습니다.
오현주 | ohj@cela.kr