주영진 홍보이사

 

개인정보보호법이 지난해 9월부터 시행됨에 따라, 세무사회는 회원에 대한 개인정보보호 조치를 강화하는 한편 회원을 대상으로 한 개인정보보호 교육을 통해 개인정보보호법의 관리적 측면의 기준을 마련하고 있다. 특히 세무사회는 개인정보보호지침의 기준이 되는 안을 마련하여 회원들의 불편함이 없도록 준비하고 있습니다. 특히 세무사회 출자법인인 한길tis에 회원들을 위한 기술적 준비를 지시함에 따라 개인정보보호법에 근접한 프로그램을 완비해오고 있다. 다음은 회원사무실에서 궁금해하는 개인정보보호법의 여러사항들을 질의형식으로 올리니 도움이 되었으면 한다.

 

 1. 개인정보란 무엇입니까?

 

개인정보란 살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보를 말합니다.

 

개인정보의 주체는 자연인이므로 업체명, 설립연도, 사업장주소, 주요생산품, 대표이사 또는 대표자의 성명, 임원정보 등의 기업정보는 개인정보로 볼 수 없습니다. 따라서 기업의 정보에 대한 동의는 별도로 필요하지 않습니다. 

 

개인정보는 필수정보와 선택정보로 분류되는데 <필수정보>에는 성명, 생년월일, 성별, 아이디, 비밀번호, 필수연락처, 가입인증정보 등이며 수집한 개인정보는 회원 유지기간 및 A/S 기간동안 보관합니다. 수임거래처가 세무대리계약시 필수정보에 대해 개인정보 수집 동의를 거부하는 경우 세무대리계약을 맺을 수 없게됩니다. <선택정보>에는 고유식별정보(고유식별정보의 범위 (영 제19조)와 민감정보가 있으며, 고유식별정보는 ① 주민등록번호 ② 여권번호 ③ 운전면허번호 ④ 외국인등록번호만을 의미하며 회원번호나 사원번호는 아닙니다. 민감정보는 사상, 신념, 노동조합, 정당가입, 건강, 기혼 여부, 기념일, 병력, 취미, 소득수준, 자녀 정보 등 사생활 침해 우려가 현저히 높은 개인정보이며 필요시 수임거래처로부터 필수정보에 대한 정보수집동의서와는 별도로 동의서를 받습니다.(세무사회회원게시판자료실에 배포된 정보제공동의서를 사용하면 됩니다.)

 

선택정보 사항을 획득하지 못한 사유로 인해 서비스 제공을 거부할 수 없는 것이 원칙이나 현실적으로 고유식별정보인 주민등록번호를 정보제공동의받지못하는 경우는 세무신고자체가 불가능함으로 고유식별정보에 대해서는 별도동의를 받는 것이 좋습니다. 목적외 제공동의여부등은 정보주체에게 별도 동의를 얻거나, 법령에서 구체적으로 허용된 경우에 한하여 예외적으로 처리 허용됩니다.

 

2. 개인정보 수집가능한 경우는 어떤 경우인가요?

 

1. 정보주체의 동의를 받은 경우
2. 법률의 특별한 규정, 법령상 의무 준수를 위해 불가피한 경우
3. 공공기관이 법령에서 정한 소관업무 수행을 위해 불가피한 경우
4. 정보주체와의 계약 체결·이행을 위해 불가피한 경우
5. 정보주체 등의 생명, 신체, 재산의 이익 보호 (사전동의 받기 곤란한 경우)
6. 개인정보처리자의 정당한 이익 달성을 위해 필요한 경우

 
상기와 같은 경우에 개인정보수집이 가능합니다.

 

개인정보보호법 제15조에 따라 세무사법에 따른 업무 수행을 위한 경우에는 정보주체의 동의가 없더라도 개인정보를 수집?이용할 수 있다고 해석될 수도 있지만, 주민등록번호 등의 고유식별정보 또는 민감정보는 별도 동의를 받아야함으로 세무대리계약의 체결 및 이행을 위하여 불가피한 경우라고 해도 정보주체의 동의를 반드시 받아야 합니다. 따라서 세무사사무실의 세무대리업무수행을 위해서라도 주민등록번호등의 사용이 불가피함으로 세무사회원분들은 신규거래처 수임시에 주민등록번호 등 고유식별정보에 대한 개인정보처리동의서를 수령하여야 합니다.
 
3. 세무사사무실에서 개인정보는 어떻게 이용되고 있나요?

 

세무사 사무실에서의 개인정보 이용 형태를 보면, 먼저 수집한 개인정보 문서 및 데이터로 세무 또는 회계업무를 대행하는 것을 들 수 있습니다. 구체적으로는 회계프로그램, CMS, 고객관리 등 프로그램 입력, 갑근세 / 양도세 / 4대보험취득상실 등 각종 신고서 작성, 영업양수도/법인설립 / 신용평가 / 대출 등 수임업체가 위탁한 업무처리에 필요한 각종 서식 작성 등이 있겠습니다.

또한 세무사 사무실은 수집하여 이용하고 있는 개인정보를 외부의 제3자에게 제공하는 경우도 있을 수 있습니다. 예를 들어 국세청, 법원, 조세심판원, 근로복지공단, 지자체 등 공공기관에 제공하거나, 각종 금융기관, 신보/기보, 중기청, 세무사회, 법무사 및 변호사, 노무사 등에 제공하는 경우가 있을 수 있습니다.

 

4. 온라인 홈페이지를 운영하는 세무사사무실에서 특별히 유의할 점은 무엇인가요?

 

개별세무사사무실에서 온라인홈피를 운영하는 경우 개인정보를 홈페이지에 게시하면 나중에 삭제하더라도 구글 등  검색엔진에 남아 계속 열람될 수 있음으로 게시물에  주민등록번호 등 개인정보가 포함되지 않도록 홈페이지 게시물을 잘 확인하시기 바랍니다.

 

정보주체가 인터넷 홈페이지를 통해 회원으로 가입할 경우, 주민등록번호 이외의 회원가입 방법을 의무 제공 (법 제24조제2항, 영 제20조)하도록 하고 있으나 이는  일평균 홈페이지 이용자 1만명 이상의 개인정보처리자에 해당함으로 대부분 회원사무소홈페이지는 해당없습니다.

 

개인정보가 분실·도난·유출·변조·훼손되지 않도록 안전성 확보에 필요한 기술적접근으로 접근통제 및 접근권한 제한 조치, 업무수행에 필요한 최소한의 범위로 접근권한 차등부여가 있으며, 접근권한 부여기록은 최소 3년간 보관하도록 합니다. 그런데, 업무용 컴퓨터만을 이용해 개인정보 처리시, 접근통제시스템 설치의무 면제하도록 하고 있어 접근에 관한 기술적 접근문제는 대부분의 회원사무소의 경우 사무실컴퓨터를 업무용만으로 사용하고 있음으로 접근문제에 대한 구체적 대책은 불필요하다고 보겠습니다.(O/S, 보안프로그램의 접근통제기능 이용)

 

그러나, 홈페이지를 보유하고 있거나 고객관리시스템등을 보유하고 있는 세무사사무실은 해킹등에 대비해서 홈페이지접속권한을 IP로만 제한하는 등 침입차단시스템을 구축해야하며, 최소 6개월동안의 접속기록보관 및 위·변조 방지조치를 해야하며, 내부직원의 개인정보 DB 접속 시에는 일시, IP주소, 접속자 성명 등  접속기록을 보관 조치해야합니다. 퇴직한 직원의 ID, PW를 제거하여 불법적인 접근을 차단해야합니다.

    

5. 세무사사무실등에 cctv 설치하는 경우 유의할 사항은 무엇인가요?

 

개인정보 보호법은 CCTV 등 영상정보처리기기의 설치·운영 허용 사유로서 1) 법령에서 구체적으로 허용하는 경우 2) 범죄예방 및 수사     3) 시설안전 및 화재예방  4) 교통단속 5) 교통정보의 수집·분석 및 제공의 경우를 들고 있습니다. 세무사사무실의 경우 범죄예방 및 수사, 시설안전 및 화재예방의 경우로 설치?운영할 수 있을 것으로 보입니다. CCTV를 설치하는 경우는 반드시 정보주체가 CCTV 설치를 인식할 수 있도록 안내판을 잘보이는 곳에 설치해야 합니다. 안내판에는 1) 설치목적 및 장소 2) 촬영범위 및 시간 3) 관리책임자 및 연락처를 기재하여야 합니다.

 

목욕실, 화장실, 탈의실 등 개인 사생활을 현저히 침해할 우려가 있는 장소에는 영상정보처리기기 설치·운영 자체가 금지되므로 유의하여야 합니다.

 

6. 개인정보처리방침이 필요하다고 하는데 어떻게 작성해서 게시해야 하나요?

 

개인정보처리방침에는 1) 개인정보 처리목적 2) 개인정보 처리 및 보유기간 3) 개인정보 제3자 제공에 관한 사항 4) 개인정보 처리 위탁에 관한 사항 5) 정보주체의 권리·의무 및 행사방법에 관한 사항 6) 처리하는 개인정보항목 7) 개인정보 파기에 관한 사항 8) 개인정보 안전성 확보조치가 포함된 사항으로 합니다. 본회에서 개인정보처리지침기준을 마련하여 배포할 예정이오니 세무사회홈피 회원자료실을 참고하셔서 변형 사용하시면 됩니다.
  
개인정보처리지침은 만약 인터넷홈페이지가 있으시면, 인터넷 홈페이지의 첫화면 또는 첫화면과 직접 연결되는 화면에 게재하시고, 인터넷 홈페이지가 없는 경우라면 회원사무실의 벽면에 사업자등록증처럼 서면 게시하되, “개인정보 처리방침”이라는 명칭을 반드시 사용하여야 합니다. 

 

7. 세무사사무실에서 개인정보보호책임자는 누구이고 무엇을 해야하나요?

 

개인정보 보호법은 개인정보를 처리하는 모든 사업자나 공공기관에 대해 개인정보보호를 총괄하는 ‘개인정보 보호책임자’를 지정하도록 하고 있습니다. 개인정보 보호책임자는 내부관리계획를 수립·시행하고 취급자에 대한 교육 등을 실시합니다.  소규모 개인사업자의 경우에는 사업주나 대표자를 개인정보 보호책임자로 지정하도록 하고 있어 세무사사무실의 경우 대표세무사님이 개인정보보호책임자가 됩니다. 개인정보취급자교육의 경우 세무사회 교육을 이용하거나 동영상교육을 이용하도록 합니다.

<개인정보 보호책임자 업무>
(법 제31조제2항, 영 제32조제1항)

 

1) 개인정보 보호계획 수립·시행              
2) 개인정보 처리실태 및 관행의 정기적 조사·개선
3) 불만의 처리 및 피해구제                   
4) 유출 및 오남용 방지를 위한 내부통제시스템 구축
5) 개인정보 보호 교육계획 수립·시행
6) 개인정보파일 보호 및 관리· 감독
7) 개인정보처리방침 수립·변경 및 시행
8) 개인정보 보호 관련 자료의 관리
9) 처리목적이 달성되거나 보유기간이 경과한 개인정보 파기

 

8. 거래처에 이메일등을 송수신할 경우 개인정보의 안전한 저장·전송을 위한 암호화를 위해서 해야할 일은 무엇인가요?

 

암호화는 회원사무소에서 반드시 필요한 대책입니다.

암호화 대상은 고유식별정보(주민번호등), 비밀번호, 바이오정보(지문,홍채등)입니다.

 
세무사랑, 더존등 시중유통되는 회계프로그램데이타는 이미 암호화된 상태로 거래처기장된 파일을 거래처나 타세무사사무실에 보내주거나 할 때는 별도 암호화불필요합니다. 
 
특히 신경쓰셔야할 일은 사무실에서 거래처 고객정보가 들어간 엑셀,한글·각종서식등을 작성하실때는 반드시 암호화해야 하며, 사무실내 사용하는 모든 pc에 각각 암호화프로그램사용해야 함으로 한길tis의 개인정보보호솔루션등을 사용하시면 됩니다.

 

수임업체와 이메일 주고받는 경우에도 해당메일에 고객정보가 들어간 엑셀,한글파일등 첨부파일로 전송시에도 대해서 건마다 반드시 암호화해야합니다. 한글파일은 파일-문서암호, 엑셀등은 도구-옵션-보완의 수단으로 해당 첨부파일마다 암호화해야 하는 번거로움이 있습니다.

 

 개인정보가 포함된 각종 문서 및 데이터 수취시에 특히 유의바랍니다. (세무대리계약서, 임대차계약서, 주민등록등본, 인감증명서, 통장사본, 급여대장, 직원 이력서, 성적증명서, 자격증 사본 등)

 

9. 시중의 무료보안프로그램을 개인정보보호목적으로 사용해도 되나요?

 

개인정보 보호법은 개인정보처리자에 대해 백신소프트웨어 등 보안프로그램 설치를 의무화하고, 자동 또는 일1회 이상 업데이트를 하도록 하고 있습니다. 이는 네이버나 다음등 포털의 무료백신이 아닌 사업자용  라이센스를 구입하여 업무용 PC에 설치하셔야 합니다. 백신소프트웨어는 1PC 1라이센스가 원칙입니다. 따라서 1copy 구입으로 여러대의 pc는 사용이 불가능하며, 적발시 소프트웨어 저작권법 위반에 해당됩니다. 또한 개인정보보호법상 개인정보를 처리하는 PC는 모두 의무적으로 백신을 설치해야 하므로 사무실컴퓨터대수만큼 백신을 구입하셔야 합니다. 현재 한길tis에서는 백신및 알툴즈등 판매대행하고 있습니다. 
 
10. 개인정보보호법에 따르면 회원사무소에서 거래처 파일등을 어떻게 보관해야하나요?  
 
각종 고객정보가 들어있는 거래처파일철이나 조정계산서, 장부증빙철등은 오픈된 책장이 아니라 반드시 잠금장치가 설치된 책장이나 책상을 이용하시기 바랍니다. 이는 개인정보 보호법에서 물리적 보안조치입니다. 이면지는 파기하시기 바라며, 명함등도 폐기하시거나 잠금보관하시기 바랍니다.

 

12. 개인세무사에서 세무법인으로 전환으로 인한 영업양도시에 개인정보보호법에 따라 유의사항은 무엇인가요?

 

개인세무사가 세무법인구성원이 되면서 기존거래처의 영업의 전부, 일부의 양도·합병 등으로 고객정보를 세무법인에게 이전하는 경우, 다음 사항을 정보주체에 고지합니다.

 

<영업양도 등 고지시항>
1) 개인정보 이전사실
2) 개인정보를 이전 받는 자(영업양수자 등)의 성명, 주소, 전화번호, 연락처
3) 정보주체가 개인정보 이전을 원하지 않는 경우 조치할 수 있는 방법 및 절차

고지방법은 서면, 전자우편, FAX, 전화, 문자전송 또는 이에 상당하는 방법으로 하되, 과실 없이 정보주체에게 고지할 수 없는 경우 해당 사항을 인터넷 홈페이지에 30일 이상 게재합니다. 인터넷 홈페이지가 없는 경우에는 사업장 등의 보기 쉬운 장소에 게재합니다. (법 제27조제1항)
예) 본사무소은 2011년 1월 1일자로 세무대리업을 세무법인**에 양도함에 따른 개인정보 이전 안내  
o 사업양도로 이전 o 양수자(세무법인**), 00구 00동,                              
전화 123-4567, 팩스 02-234-5678
※ 개인정보 이전을 원하지 않는 경우 당사  
홈페이지나 내방,유선으로 회원탈퇴 가능
 
13. 보유기간이 경과한 개인정보는 파기해야 하는 것으로 알고 있습니다. 구체적인 방법은 무엇인가요?

보유기간의 경과, 개인정보 처리목적 달성등으로 개인정보가 불필요하게 되었을때는 지체 없이(5일 이내) 개인정보 파기합니다. (법 제21조, 표준지침 제11조)  소득세나 법인세신고후에는 납세자가 5년간 증빙보관의무가 있는데, 증빙등을 거래처에 전송하도록 하는 것이 좋으며 세무사사무실에 보관하는 것은 바람직하지 않다하겠습니다. 

 

전자적 파일 형태는 복원이 불가능한 방법으로 영구 삭제하고 기록물, 인쇄물, 서면 등은 문서파쇄기로 파쇄 또는 소각합니다.  컴퓨터에서 일반적인 방법으로 파일을 삭제할 경우, 휴지통에 파일이 남으므로 안됩니다. 반드시 개인정보를 다시 복원하거나 재생할 수 없는 기술적 방법을 써서 완벽하게 파기하여야 합니다.(포맷 또는 개인정보보호솔루션 삭제프로그램이용하면 됨) 

 

대부분 세무사 사무소의 경우, 개인정보문서를 거래처에게 FAX로 송수신해서 해당 업체 파일에 끼워 책상위 또는 책장에 보관합니다만, 출력물 별도보관은 반드시 책상 또는 책장(덮개와 시건장치가 있는 책장을 구입하는 것이 좋음)에 잠금장치를 하여 보관하셔야 합니다. 

  

 수임업체에 Fax로 보내주거나 받아야 할 개인정보문서가 있을 경우는, 일괄 암호화되는 한길tis전자FAX 시스템을 이용하여 컴퓨터에서 Fax내용을 확인하시는 것이 별도 출력의 필요가 없음으로 좋습니다.

 

개인정보의 파기에 관한 사항을 반드시 기록하고 관리대장을 만듭니다. 보유목적을 달성한 개인정보의 파기는 법적 의무사항이며 위반시 벌칙이 부과됩니다. 개인정보보호책임자는 반드시 파기 결과를 확인하여야 합니다. (표준지침 제11조 제3항∼제5항)

 

14. 세무사사무실에서 불가피하게 개인정보유출된 경우 어떻게 해야하나요?

 

불가피하게 개인정보가 유출된 경우는 개인정보처리자는 개인정보 유출시 지체없이 (5일 이내) 정보주체에게 유출사실을 서면, 전자우편, FAX, 전화, 문자전송 또는 이에 상당하는 방법으로 통지합니다.(법 제34조, 표준지침 제27조)  유출된 개인정보 확산 및 추가유출 방지를 위하여 접속경로 차단, 취약점 점검·보완, 유출 개인정보 삭제 등 긴급한 조치 필요시 해당 조치를 취한 후 정보주체에게 통지 가능합니다. (영 제40조제1항)

 

15. 거래처고객이 자신의 개인정보열람요청을 하는 경우 어떻게 해야하나요?

 

정보주체(거래처고객)는 자신의 개인정보에 대한 열람, 정정·삭제, 처리정지를 개인정보처리자에 대해 요구할 수 있습니다. (법 제35조~제37조)  개인정보 열람 요구시에는 다음과 같이 대응조치합니다. (영 제41조)
- 내용적으로 10일 이내에 열람할 수 있도록 조치,
- 열람할 수 없는 정당한 사유가 있을 경우 정보주체에게 그 사유를 알리고 열람 연기 (사유가 소멸하면 지체없이 열람)
개인정보 정정·삭제, 처리정지 요구시에도 10일 이내에 조치합니다. (영 제43조)

 

16. 기타유의사항

 

홍보, 판매 등 목적외 이용제공을 위해서는  별도동의 획득 및 고지 필요. 개인정보 목적외 제3자 제공시에도 별도의 동의 획득 필요합니다. 
  
직원이 재택근무하는 경우 직원개인컴퓨터와 업무용컴퓨터를 반드시 구분사용하도록하고 개인정보 내부관리계획을  작성하고 개인정보보호책임자의 관리가 필요합니다. 

 

세무사 사무소의 우편배송업무는 개인이 아닌 사업자를 대상으로 이루어지므로 발송업체에서 상호, 주소 등만 관리한다면 개인정보보호 대상이 아니므로 별도의 동의는 필요하지 않습니다.

 

표준 개인정보 보호지침에서는 근로자와 사용자가 근로계약을 체결하는 경우, 임금지급, 교육, 증명서 발급, 근로자 복지제공을 위하여 근로자의 동의없이 개인정보를 수집, 이용할 수 있도록 규정하고 있습니다. 이력서와 자기소개서는 정보제공동의서가 불필요하나 주민등록번호는 별도 동의가 필요합니다.  본인 확인이 필요한 경우 주소, 전화번호 등 활용. 자기소개서에 직무와 무관한 사생활 정보, 민감정보 등를 기재하지 않도록 안내합니다.

 

Fax나 이메일송수신중 개별 통보해야 하는 개인정보가 포함된 서류를 여러거래처에 일괄 발송하여 개인정보유출되는 경우가 없도록 거래처에 발송문서중 개인정보가 포함된 경우는 각각 해당수신자에게만 발송 조치합니다.

 

이상으로 간략히 회원사무소안에서의 개인정보보호문제를 다루었습니다만 시행초기라 주무관청에서도 지침을 보완하고 있사오니 추후 보완될 내용이 있으리라 봅니다. 현재까지 상기내용정도가 회원사무실에서 유의할 사항이며 회원사무소에서 필요한 개인정보보호프로그램에 관련해서는 세무사회 출자법인인 한길tis에서 대부분을 준비한 걸로 보입니다. 

 

정구정 회장님과 본회 집행부는 앞으로도 개인정보보호법시행관련해서 회원사무소에서 불편함이 없도록 지속적인 개인정보보호교육과 자료제공서비스를 계속할 방침입니다.

 

세무사신문 제589호(2012.10.2)