1 - 개인정보 수집

개인정보의 수집은 정보주체에게 회사가 개인정보 수집 목적을 고지하고 동의를 받아야 수집할 수 있다.
개인정보를 수집하며 업무가 시작되므로 가장 중요한 부분으로, 법령에서는 수집에 많은 컴플라이언스를 요구한다.
하지만 본 글은 개인정보보호 담당자가 현업 담당자를 인터뷰 할 때 참고하는 글이므로, 수집 시 동의서를 작성하는 방법을 다루지 않는다.

먼저 수집 시 개인정보 흐름표와 예시는 아래와 같다.

업무명	업무 담당자	수집 대상	수집항목		수집 주기	수집 수량	수집 방법	수집근거
			필수	선택
회원가입	쇼핑몰 운영 부서	이용자 (아동/성인)	[성인]   성명   휴대전화번호   생년월일 [아동]   성명   휴대전화번호   생년월일 [법정대리인]   성명   휴대전화번호	주소	상시	일 평균 100건 2024.05.24 기준 1235명	전자수집 (쇼핑몰)	이용약관 개인정보 동의서
비회원 주문	쇼핑몰 운영 부서	이용자 (성인)	[주문자]   성명   휴대전화번호 [수령인]   성명   휴대전화번호   주소	이메일	상시	일 평균 1000 ~1500건	전자수집 (쇼핑몰)	이용약관 개인정보 수집 이용 동의서
오프라인 행사	행사 운영 부서	정보주체	성명 휴대전화번호	-	분기	회 당 50건	서면수집	마케팅 정보 수집 이용 동의서
임직원 채용	인사팀	임직원	[본인] <개인정보>   얼굴   성명   휴대전화번호   집주소   이메일주소 <민감정보>   건강정보 <금융정보>   계좌번호 <고유식별정보>   주민등록번호 <생체인식정보>   지문, 안면 *피부양자 정보 생략	[본인] <개인정보>   학력   자격증   경력	상시	월 평균 100건	전자수집 (전자문서) 서면수집	임직원 수집 이용 동의서
어뷰징 고객 탐지	어뷰징 부서	이용자	<개인정보>   고객번호   IP   UUID	-	주	주 평균 10건	고객 DB 접속추출	품의/기안

담당자와 인터뷰는 위의 표를 모두 채우는 것을 목표로 진행하면 된다.
칼럼별 상세 설명은 아래와 같다.

1. 업무명
   - 임직원이 어떤 업무 목적으로 개인정보를 처리하는지를 위해 기재하는 란이다.
     업무명을 단순화 할 수도 있지만, 따로 부서코드를 분류하여, T-1113 등으로 코드를 채번할 수도 있다.
   - 개인정보보호 담당자는 현업 담당자에게 인터뷰를 진행할 때, 단순히 개인정보를 취급하는 업무를 질의 하는 것이 아니라, "어뷰징 고객 탐지" 업무 처럼 고객번호, IP, UUID는 고객과 직접적으로 상관없는 정보에 대해서도 확인해야 한다.
   - 개인정보 영향평가 안내서에서는 IP, 고개번호 등의 항목을 3등급 개인정보로 분류하고 있기 때문이다.
   
   
2. 업무 담당자
   - 해당 업무를 수행하는 담당자 또는 부서를 기재하는 란이다.
   - 다만 업무를 수행하는 담당자들이 2개 부서 이상인 곳은 상세 기재가 필요하다.
   - 업무 담당자들은 개인정보 접근권한 부여를 위해 가장 중요한 사항이므로, 최대한 상세하게 부서 및 담당자를 확인하는 것이 좋다.
   
   
3. 수집대상
   - 어떤 당사자에게 개인정보를 수집하는 지 기재하는 란이다.
   - 서비스에 따라 법률에서 요구하는 용어도 달라, 기재되는 내용에 따라 적용받는 법을 옅볼 수 있다.
      때문에 상세하게 기재가 필요하다.
     ㅇ 정보주체 : 개인정보보호법
     ㅇ 이용자 : 정보통신망법, 개인정보 안전성 확보조치
     ㅇ 아동 : 개인정보보호법
     ㅇ 임직원 : 근로기준법 & 개인정보보호법
   
   
4. 수집항목
   - 수집하는 개인정보 항목을 기재하는 가장 중요한 란이다.
   - 먼저, 한 동의서에 다른 정보주체의 정보도 수집하는 경우가 있기 때문에, 대상자를 구분지어 기재해야 한다.
      Ex. 아동의 법정대리인, 임직원의 부양가족, 주문자/수령인 정보 등
   - 또한, 단순히 필수, 수집을 나누는 것 뿐만 아니라 별도 동의를 받아야 하는 항목을 구분지어 기재하는 것이 좋다.
      Ex. 민감정보/고유식별정보/생체정보/아동정보/위치정보 등
   - 동의서 양식을 채번하여 별도 관리한다면, 해당 코드를 기재하여도 무방하다.
   
   
5. 수집주기
   - 개인정보를 수집하게 되는 주기를 기재하는 란이다.
   - 수집 방법이 수동으로 행해지는 경우, 개인정보 취급자의 기술적/물리적 접근 권한을 주기에 따라 제한할 수 있다.
      Ex. 분기마다 개인정보를 취급하는 경우, 권한은 분기마다 부여 할 수 있다.
   
   
6. 수집수량
   - 개인정보가 얼마나 수집되는지, 현재 수집된 인원이 몇명인지 기재하는 란이다.
   - 특히 수집수량은 추후 개인정보 안전성 확보조치에서 요구하는 접속, 다운로드, 조회 로그를 점검하는 데 필요한 항목이다. (인입 대비 사용량을 확인해야 상세한 사용량 점검이 가능)
   - 그리고, 현재 수집된 정보주체가 몇 명인지 기재해야 한다.
     리스크 관리의  가장 첫번째 요소는 자산식별이기 때문이다.
     또한, ISMS 등 에서의 인증요구는 사용량, 회원 수 등을 통해 인증 의무대상에 포함되기도 해서 수시로 확인하는 것이 좋다.
   
   
7. 수집방법
   - 수집 방법은 수집된 정보를 시스템으로 수집하는 지, 물리적으로 수집하는 지를 기재하는 란이다.
   - 다음 글에 서술할 저장, 보관 항목에서 관리방법이 달라지게 된다.
   
   
8. 수집근거
   - 수집 시 어떤 내용을 고지했으며, 동의는 어떻게 받고 있는지 현황을 기재하는 란이다.
   - 수집은 정보주체 관리의 첫 단계로서, 가장 중요한 단계이므로 법에서 요구하는 부분이 많다. 그러므로 개인정보를 어떤 근거로 수집 하는 지 같이 표기해 주는 것이 좋다. 법을 근거로 수집한다면 관계 법령을 기재 한다.
   - 따라서,  수집근거에 나온 동의서 양식 등을 확보하여 실제 업무와 비교하는 것을 추천한다.
   
   

발생하는 개인정보 업무들은 양이 꽤 많을 수 있다.
흐름표는 정보주체에게 개인정보를 제공 받아 취급하는 업무 뿐만 아니라, 타 부서에서 개인정보를 전달받아 업무를 진행하는 경우도 포함시켜야 한다. (Ex. 어뷰징 고객 탐지 등)

타 부서의 업무 유관 현황을 확인하기 위해 흐름도를 추가적으로 구성하는 것도 좋다.