행정자료의 정보보호를 위한 운영규정

제1장 총칙 제1조(목적) 이 규정은 「통계법」(이하 "법"이라 한다), 같은 법 시행령에 따른 행정자료의 접수, 보관 및 활용에 있어서 개인이나 법인 또는 단체 등의 정보를 보호함을 목적으로 한다. 제2조(정의) 이 규정에서 사용하는 용어의 정의는 다음과 같다. 1. "행정자료"란 법 제24조제1항과 제24조의2에 따른 자료를 말한다. 2. "정보보호조치"란 행정자료에 포함되어 있는 개인, 법인 또는 단체 등의 정보를 보호하기 위하여 행하는 사용방법 및 사용부서 등에 대한 제한 및 그 밖의 보안조치를 말한다. 3. "개체식별정보"란 행정자료내의 주민등록번호, 사업자등록번호 또는 성명ㆍ명칭 등 개체를 식별할 수 있는 항목을 말한다. 4. "개체식별자료"란 개체식별정보를 포함하고 있는 행정자료를 말한다. 5. "개별파일"이란 DB화되지 않은 파일 형태의 행정자료를 말한다. 6. "행정자료 DB"란 행정자료를 수록한 데이터베이스 등을 말한다. 7. "온라인"이란 자료요청기관이 접속권한을 부여받아 자료제공기관의 시스템에 직접 접속하여 실시간으로 자료를 내려 받거나 자료제공기관이 자료요청기관의 시스템에 접속하여 실시간으로 전송하는 데이터처리시스템 및 이에 준하는 것을 말한다. 8. "오프라인"이란 해당 행정자료를 직접 제공 또는 접수하기 위한 인편 등의 수단을 말한다. 9. "고유식별정보"란 개인을 고유하게 구별하기 위하여 부여된 식별정보로서 주민등록번호, 여권번호, 운전면허의 면허번호, 외국인등록번호를 말한다. 10. "통계용 행정DB"란 입수한 행정자료의 고유식별정보 암호화, 내검 및 수정, 표준화, 산ㆍ직업분류 및 지역분류코드 부여, 다른 자료와의 연계 등 통계적 처리를 거친 행정자료 기반 통계자료 데이터베이스를 말한다. <개정 2025.2.13> 11. "내부망"이란 물리적 망분리, 접근 통제시스템 등에 의해 인터넷 구간에서의 접근이 통제 또는 차단되는 구간을 말한다. 12. "접속기록"이란 행정자료 이용자가 행정자료DB에 접속한 사실을 알 수 있는 계정, 접속일시, 접속자 정보, 수행업무 등을 전자적으로 기록한 것을 말한다. <개정 2018.4.27.><개정 2024. 3.12.> 제3조(적용범위) ① 이 규정은 국가데이터처와 통계인재개발원, 국가통계연구원, 지방통계청(이하 ‘소속기관’이라 한다)에 적용한다. <개정 2025. 2. 25., 2025. 12. 5.> ② 국가데이터처와 그 소속기관이 통계작성 목적으로 법 제24조와 제24조의2에 따른 공공기관(이하 "자료제공기관"으로 한다)으로부터 개체식별자료(이하 "자료"라 한다)를 접수해서 보관, 활용에 이르는 모든 과정을 포함한다. <개정 2025. 12. 5.> 제3조의2(다른 지침과의 관계) 행정자료에 포함된 개인정보에 대한 고유식별정보 처리 제한, 접근권한, 접근통제, 접속기록 등 개인정보 안전성 확보 조치에 관하여 「국가데이터처 개인정보 보호지침」을 우선 적용한다. <신설 2024. 3.12., 2025. 12. 5.> 제2장 행정자료의 접수 및 관리 제4조(관리주체) ① 국가데이터허브정책관은 행정자료의 접수, 보관, 관리, 활용에 관한 업무를 총괄한다. <개정 2025. 12. 5.> ② 국가데이터허브정책과장은 자료의 유출ㆍ변경ㆍ파괴 등을 방지하기 위하여 행정자료의 보안을 담당하는 자료보안책임자가 된다. <개정 2025. 12. 5.> ③ 행정자료관리과장은 자료 접수, 보관, 이용, 폐기, 제공 등 행정자료를 전반적으로 관리하는 자료관리책임자가 된다. 제5조(자료보안책임자의 임무) ① 자료보안책임자는 다음 각 호의 업무를 수행한다. 1. 자료의 접수, 관리, 제공, 이용 등 각 단계별 보안관리 2. 자료보안지도 및 점검 3. 자료의 접속기록 점검 및 확인 4. 입수자료의 DB구축을 위한 서버 적재 및 입수파일 폐기 5. 행정자료 업무개발실 보안 관리 6. 행정자료 용역사업 참여자 보안 지도 7. 그 밖의 정보보호조치를 위해 필요한 사항 ② 자료보안책임자는 업무를 효율적으로 수행하기 위하여 자료보안담당자를 지정할 수 있다. 제6조(자료관리책임자의 임무) ① 자료관리책임자는 다음 각 호의 업무를 수행한다. 1. 자료의 접수 2. 자료의 관리(행정자료DB, 개별파일) 3. 자료이용자의 인가 및 관리 4. 행정자료관리 관련 시스템 개발 및 운영 5. 접속기록 관리 6. 그 밖의 행정자료 관리와 관련하여 필요한 사항 ② 자료관리책임자는 자료관리를 효율적으로 수행하기 위하여 부서별 또는 업무별로 자료관리담당자(이하 "자료관리담당자"라 한다)를 지정할 수 있다. <개정 2024. 3.12.> 제7조(자료접수) ① 자료제공기관으로부터 자료의 접수는 자료관리책임자가 일괄하여 수행하여야 한다. 다만, 소관부서가 접수하는 것이 필요하다고 판단하는 경우에는 소관부서의 자료관리담당자를 지정하여 해당 자료를 접수하게 할 수 있다. ② 자료보안책임자는 자료의 접수방식, 서버 적재, 입수파일 폐기 등 접수단계의 보안사항을 점검하여야 한다. ③ 제1항 단서에 따라 자료를 접수한 소관부서는 특별한 사유가 없는 한 접수 후 지체 없이 해당 자료를 자료보안담당자에게 인계하여 행정자료DB로 구축할 수 있도록 서버에 적재하도록 하며, 자료보안담당자는 인계된 자료를 서버에 적재한 후 입수자료를 완전히 파기하여야 한다. 다만, 자료를 개별파일로 보관해야 하는 특별한 사유가 있는 경우에는 자료보안책임자와 협의하여 보안이 확보된 지정된 장소에 보관할 수 있다. 제8조(접수방법) ① 자료의 접수방법은 행정자료중계시스템 및 외부자료수집시스템 등을 통한 온라인 접수를 원칙으로 한다. 그 외 온나라를 통하여 자료를 접수하는 경우에 부서 내 서무담당자는 자료관리담당자를 해당 문서 업무담당자로 지정하여야 한다. 온메일 및 공직자통합메일로 접수하는 경우에는 반드시 자료관리담당자를 수신자로 지정하도록 하고 암호를 설정한 후 이용하도록 한다. ② 자료제공기관이 오프라인을 통한 자료접수를 요구하는 경우 자료관리책임자는 자료제공기관과 구체적인 접수방법 및 저장매체 등을 협의할 수 있다. ③ 제2항 단서의 오프라인을 통한 자료의 접수 시 보안적합성 검증을 필한 USB메모리 또는 이에 준하여 보안성이 인정되는 것으로 접수매체를 이용하도록 하며, 보안이 취약한 FAX를 이용하여 개체식별정보를 포함한 자료를 입수하지 않도록 한다. 다만, 보안성이 충분히 확보되지 않은 매체를 통해 자료를 접수할 특별한 사유가 있는 경우에는 자료보안책임자와 협의한 후에 자료를 접수할 수 있다. 제9조(자료보관) ① 국가데이터처장은 접수한 행정자료의 안전한 관리를 위하여 행정자료 DB(이하 "DB"라 한다)를 구축하여야 한다. 다만, DB구축 이전 또는 자료의 DB화를 위한 처리기간 및 자료제공기관의 요구 등 특별한 사유가 있는 경우에는 개별파일 형태로 보관할 수 있다. <개정 2025. 12. 5.> ② 제1항의 DB 및 전산파일로 구성된 개별파일은 인터넷망과 물리적으로 분리된 보안망에 구축한다. 다만, 행정자료와 민간자료 간 연계 분석을 위한 DB구축 시 또는 제공기관이 요청한 경우에는 별도의 독립된 서버(또는 PC)에 구축할 수 있다. ③ 개별파일이 인쇄물 형식으로 접수된 경우에는 시건장치가 장착된 캐비닛에 보관해야 한다. 그 외 개별파일을 예외적으로 보관해야 하는 사안 등에 대해서는 "행정자료 개별파일 보안관리 매뉴얼"을 따르도록 한다. ④ 행정자료에 포함된 고유식별정보는 안전한 암호화 알고리즘을 사용하여 암호화하여 저장하고, 접근 통제 등에 관한 조치를 취하여야 한다. <개정 2018.4.27.> 제10조(자료관리) ① DB를 구축하여 자료를 보관ㆍ활용하는 경우 자료관리책임자 또는 자료관리담당자는 자료의 등록부터 폐기까지의 모든 이력을 DB에서 관리하여야 한다. <개정 2024. 3.12.> ② 자료를 개별파일 형태로 보관하는 경우에도 등록부터 폐기까지의 모든 이력을 DB에서 관리하여야 한다. 다만, DB로 관리되지 않는 경우에는 별지 제1호서식으로 관리할 수 있다. 관리부서의 변경으로 자료를 이관하는 경우에는 동 관리대장을 같이 이관하여야 한다. ③ 소관부서의 자료관리담당자는 제2항의 단서의 개별파일로 보관하는 경우, 정기적으로 접수되는 자료에 대해서는 별지 제1호서식에 따라 반기 1회 이상 자료관리책임자에게 보고하여야 하며, 신규 접수 또는 변동사항이 많은 자료에 대해서는 접수 즉시 자료관리책임자에게 보고하여야 한다. ④ 국가데이터처장은 자료제공기관이 제1항과 제2항에 따른 자료관리 현황에 대해 열람을 요구하는 경우 이에 따라야 한다. <개정 2025. 12. 5.> 제11조(자료파기) 자료관리책임자 또는 자료관리담당자는 접수한 행정자료의 이용목적을 달성한 경우에는 해당 행정자료를 복구할 수 없는 방법으로 파기하여야 한다. 자료제공기관이 자료에 대해 활용 후 파기를 요구하는 경우에도 이와 같다. <개정 2024. 3.12.> 제3장 행정자료의 활용 제12조(자료이용) ① 행정자료 DB 및 개별파일 형태로 보관중인 개체식별자료는 「통계법 시행령」제38조제1항제3호에 따른 사용 목적대로 이용하여야 한다. 다만, 다른 목적으로 이용 시에는 자료제공기관의 장에게 그 목적에 따른 자료제공 결정을 득한 후 이용할 수 있다. ② 국가데이터처와 그 소속기관의 직원은 통계용 행정DB 등 통계자료를 이용할 수 있다. <개정 2025. 12. 5.> ③ <삭제 2017.6.9.> ④ 국가데이터처 이외 기관 및 개인은 통계자료제공심의회의 심의를 거친 통계자료를 통계데이터센터 내에서 「통계데이터센터 운영 및 이용 등에 관한 규정」을 준수하여 이용할 수 있다. <개정 2017. 6. 9., 2018. 4. 27. 2020. 2. 11., 2025. 12. 5.> ⑤ 통계 작성 및 공동 연구 등을 위해 국가데이터처 외부로 통계자료를 반출하려는 자는 별표1의 자료반출 이용절차를 준수하여야 한다. <신설 2017. 6. 9., 2020. 2. 11., 2025. 12. 5.> ⑥ 통계용 행정DB 등 통계자료를 이용하여 연구용역 등을 하고자 하는 부서의 장은 참여자, 이용자료(항목, 시계열), 이용방법, 이용기간, 보안관리방안 등이 포함된 자료이용계획을 수립하여 자료보안책임자와 자료관리책임자 또는 자료관리담당자에게 공문 형식으로 제출 후 승인을 받아 사업수행자에게 자료를 이용하게 할 수 있다. 단, 사업수행자에게 파일 형태로 제공하여 이용하게 할 수는 없으며, 특별한 사유가 인정되지 않는 한 통계데이터센터에서 이용하게 하여야 한다. <신설 2020.02.11.><개정 2024. 3.12.> ⑦ 제6항에 따라 승인 요청을 받은 자료보안책임자와 자료관리책임자 또는 자료관리담당자는 자료이용계획의 자료 범위와 이용방법 등의 타당성을 심사하여 승인하여야 한다. <신설 2020.02.11.><개정 2024. 3.12.> 제12조의2(고유식별정보의 이용) ① 고유식별정보는 다음의 경우에 한해서만 이용할 수 있다. 1. 행정자료 제공기관에서 고유식별정보를 연계키로 요청한 경우 2. 그 외 고유식별정보 처리가 불가피한 경우로 법령에 명확한 근거가 있는 경우 3. 제2호에도 불구하고 주민등록번호의 경우 법률ㆍ대통령령ㆍ국회규칙ㆍ대법원규칙ㆍ헌법재판소규칙ㆍ중앙선거관리위원회규칙 및 감사원 규칙에서 구체적으로 주민등록번호의 처리를 요구하거나 허용한 경우 <신설 2024. 3.12.> ② 고유식별정보를 이용할 때는 분실, 도난, 유출, 위조, 변조 또는 훼손하지 않도록 안전하게 관리하여야 한다. ③ 고유식별정보가 포함된 파일 등을 정보통신망을 통하여 송신하거나 보조저장매체 등을 통하여 전달하는 경우에는 이를 안전한 암호 알고리즘으로 암호화하여야 한다. <개정 22024. 3.12.> ④ 자료관리책임자 또는 자료관리담당자는 고유식별정보에 대한 접근 및 이용내역을 「개인정보의 안전성 확보조치 기준」 제5조 및 제16조(개인정보보호위원회가 지정하는 공공시스템만 해당한다)에 따라 관리하여야 한다. [본조신설 2018.4.27.]<개정 2024. 3.12.> 제13조(자료접근권자) ① 자료접근권자는 다음 각 호에 따라 구분할 수 있다. <개정 2025.2.13> 1. 자료이용 접근권자 : 통계용 행정DB 등 구축된 자료를 이용하여 통계를 생산하거나 자체 업무에 내검, 항목 대체 등에 자료를 활용하고자 하는 자 2. 자료관리 접근권자 : 행정자료DB 구축 및 관리업무인 자료의 정제, DB구축, 연계 등 작업을 위해 접근권한을 부여받고자 하는 자 ② 제1항제1호에 따른 자료이용 접근권자는 자료를 활용하기 위해 별지 제3호서식의 서약서 및 제4호서식의 자료이용신청서를 작성하여 자료관리책임자 또는 자료관리담당자에게 제출하여야 한다. 자료보안책임자 및 자료관리책임자 또는 자료관리담당자는 소관업무 및 자료의 사용목적 등을 종합적으로 심사하여 인가하여야 한다. <개정 2024. 3.12.> ③ 제1항제2호에 따른 자료관리 접근권자는 자료를 관리하기 위해 별지 제8호서식의 보안 서약서를 작성하여 공문형식으로 자료보안책임자 및 자료관리책임자에게 제출하여야 한다. 자료보안책임자와 자료관리책임자는 소관업무 및 자료의 사용목적 등을 종합적으로 심사하여 인가하여야 한다. 제14조(자료접근통제) ① 자료관리책임자 또는 자료관리담당자는 인가된 PC에서 인가된 이용자만 인가된 자료를 이용할 수 있도록 접근을 통제하여야 한다. <개정 2024. 3.12.> ② 자료관리책임자는 자료이용 접근권자가 자료처리과정에서 개체식별자료를 다운로드 또는 저장("화면캡쳐"를 포함한다)할 수 없도록 관련 프로그램을 설치하여야 한다. ③ 자료이용 접근권자는 개체식별정보가 포함되지 않은 분석 결과물을 다운로드받아 이용할 수 있다. 다만, 국가데이터처 및 소속기관의 자료이용 접근권자는 자체적으로 보유한 자료와의 비교, 내검, 항목대체 등에 활용하기 위하여 개체식별정보가 포함된 분석 결과를 이용할 수 있다. 이 경우 별지 제6호서식의 서약서를 자료보안책임자에게 제출한 후 승인을 받아야 이용할 수 있으며, 이용목적을 다 한 경우에는 별지 제7호서식의 자료파기확인서를 제출하여야만 한다. <개정 2025. 12. 5.> ④ 자료관리 접근권자는 업무의 효율적인 수행을 위해 행정자료 DB를 직접 접근하여 자료를 관리할 수 있다. 이 경우, 자료관리책임자는 DB 이용자의 접속 로그를 관리하고 비인가자의 접근을 통제할 수 있도록 조치하여야 한다. ⑤ 자료접근권자는 자료에 대한 활용이 종료되거나 이용기간이 만료되는 경우에는 자료의 활용과정에서 생성된 개체식별정보 또는 개체식별자료가 기록된 인쇄물 및 전자파일 등 생성자료를 복구할 수 없는 방법으로 파기하여야 한다. 제15조(접속기록의 관리 및 보관) ① 자료관리책임자는 자료접근권자가 자료를 접근하여 처리한 내역(이하 "접속기록"이라 한다)을 관리하기 위하여 다음 각 호의 사항을 자동적으로 기록하고 관리하여야 한다. 1. 자료접근권자의 성명ㆍ소속ㆍ직급ㆍIP주소 2. 자료접근권자가 활용한 자료의 명칭 및 작업내용 3. 접속시간(시작일시 및 종료일시) 4. 자료처리 결과 생성자료의 명칭ㆍ크기ㆍ보관매체 5. 자료처리 후 조치결과 등 ② 제1항에도 불구하고 자동 로그기록이 불가한 캐비닛 보관 파일 등을 이용하는 경우에는 별지 제5호서식에 따른 작업일지를 통해 접속기록을 관리ㆍ보관할 수 있다. ③ 제1항 및 제2항에 따른 접속기록을 2년 이상 상시 보관하고 접속기록의 이상 유무 등을 분기 1회 이상 점검하여야 한다. <개정 2024. 3.12.> ④ 국가데이터처장은 자료제공기관이 접속기록에 대해 열람을 요구하는 경우 이에 따라야 한다. <개정 2025. 12. 5.> 제16조(개별파일의 제공) ① 자료관리담당자는 캐비닛 보관 등 별도의 공간에 개별적으로 보관중인 자료에 대해 통계작성 목적으로 활용하고자 하는 부서 등(이하 "자료활용부서"라 한다)에 제공할 수 있다. ② 제1항에 따라 자료관리담당자가 자료활용부서에 자료를 제공하는 경우 다음 각 호의 정보보호조치를 해야 한다. 1. 제8조제3항이 정하는 보조기억매체의 이용 2. 별지 제1호서식의 자료관리대장의 기록 3. 별지 제2호서식의 자료제공대장의 기록 4. 별지 제3호서식의 서약서 징구 5. 자료활용부서의 자료관리담당자 지정 ③ 자료활용부서장은 인수한 자료의 활용기간 동안 자료관리책임자의 관리의무에 준하여 이를 관리하여야 한다. ④ 자료보안책임자는 제3항에 따른 자료활용부서의 자료관리 현황을 점검하고 필요시 적절한 정보보호조치를 취하도록 요구할 수 있다. ⑤ 자료활용부서장은 인수한 자료를 통한 활용이 종료되는 즉시 인수한 자료는 반납하고 개체식별정보나 개체식별자료가 기록된 인쇄물 및 전자파일 등 생성자료는 복구할 수 없는 방법으로 파기하여야 한다. 제4장 행정자료 보안지도ㆍ감사ㆍ조사 및 교육 제17조(보안지도 및 점검) ① 자료보안책임자는 자체 및 소속기관의 자료관리 실태를 확인, 개선대책을 마련하기 위하여 연 1회 이상 보안지도 및 점검을 실시하여야 한다. ② 자료보안책임자가 제1항에 따라 보안지도 및 점검시 확인해야 할 사항은 다음 각 호와 같다. 1. 제7조제3항과 관련하여 소관부서가 해당 자료를 자료관리책임자에게 인계시 지연여부 2. 오프라인을 통한 자료 접수시 제8조제3항에서 정한 이외의 접수매체의 이용여부 3. 제10조제1항 및 제2항에 따른 자료 관리의 이상 유무 4. 제11조에서 정하는 자료의 파기 여부 5. 제12조의2제4항에 따른 고유식별정보 관리실태 및 이용 적합성 6. 제13조에 따라 인가받은 목적 이외의 자료의 이용여부 7. 제14조제5항이 정하는 개체식별정보가 포함된 생성자료의 파기여부 8. 제15조제2항에 따른 접속기록의 이상 유무 9. 제16조제3항에 따른 자료활용부서장의 관리의무 준수여부 10. 그 밖의 정보보호조치를 위하여 필요한 사항 <개정 2018.4.27.> ③ 보안점검은 정기점검과 수시점검으로 구분하여 실시한다. 다만, 정기점검은 보안감사로 갈음할 수 있다. ④ 자료보안책임자는 보안지도 및 점검 결과 도출된 미비점을 시정ㆍ보완하기 위한 개선대책을 마련하여야 한다. ⑤ 자료보안책임자는 제1항에 따른 보안지도ㆍ점검계획 및 결과를 국가데이터처장에게 보고하여야 한다. <개정 2025. 12. 5.> 제18조(업무개발실 보호) ① 행정자료DB 구축 및 시스템 개발 외주 인력이 근무하는 "행정자료 업무개발실"은 「보안업무규정 시행세칙」에 따라 비인가자의 접근을 방지하여 출입에 안내가 요구되는 제한구역으로 지정하여야 한다. ② 제1항에 따라 자료보안책임자는 허가받은 인가자 이외의 출입을 안내하고 통제하는 등 보안대책을 마련하여야 한다. 제19조(용역사업 참여자 보안대책) ① 자료보안책임자는 외주 용역사업 참여자에 대하여 개발 장비관리, 개체식별자료관리 형태, 출입통제 등 다각적으로 보안대책을 강구해야 한다. ② 자료보안책임자는 행정자료 용역사업 참여자에 대해 「국가데이터처 정보보안 기본지침」 제7장의 사업자 보안사항 준수여부를 점검하여야 한다. <개정 2025. 12. 5.> ③ 자료보안책임자는 개체식별자료를 보호하기 위하여 용역사업참여자가 업무개발실에 입실하게 되면 휴대폰 카메라에 보안스티커를 부착하도록 해야 한다. ④ 용역사업 참여자가 상기 제2항 및 제3항의 보안사항을 준수하지 않아 적발이 된 경우에는 관련규정에 따라 처벌을 요청할 수 있다. 제20조(보안감사) 국가데이터처장은 「보안업무규정 시행세칙」에 따른 정기보안감사에 자료관리 보안업무를 포함하여 실시하여야 한다. <개정 2025. 12. 5.> 제21조(보안교육) 자료보안책임자는 자체 및 소속기관의 행정정보 활용업무 취급자를 대상으로 연 1회 이상 순회 또는 소집 보안교육을 실시하여야 한다. 다만, 「국가데이터처 정보보안 기본지침」에 따른 정보보안 교육으로 갈음할 수 있다. <개정 2025. 12. 5.> 제22조(보안사고에 대한 조치) ① 행정자료 취급과 관련하여 개인이나 법인, 단체 등의 정보가 침해되었거나 침해되는 사실을 인지한 자는 즉시 자료보안책임자에게 보고하여야 한다. ② 제1항의 보고를 받은 자료보안책임자는 지체 없이 그 내용을 국가데이터처장에게 보고 및 국가정보원장에게 통보한 후 자체조사를 실시하여야 한다. <개정 2025. 12. 5.> ③ 국가데이터처장은 조사결과에 따라 관련자를 문책하고 재발방지를 위한 대책을 마련하여 국가정보원장 및 자료제공기관장에게 통보하여야 한다. <개정 2025. 12. 5.> 제5장 보칙 제23조(준용) 이 규정에 명시되지 않은 사항은 다음의 관련 규정 및 지침에 따른다. <개정 2018. 4. 27., 2020. 2. 11., 2025. 12. 5.> 1. 국가데이터처 정보보안 기본지침 2. 국가 정보보안 기본지침 3. 국가데이터처 보안업무규정 시행세칙 4. 국가데이터처 정보시스템 저장매체 불용처리지침 5. 보존용 전산자료 관리 및 이용 지침 6. 정보자산 보안관리 지침 7. 정보보호 침해사고 대응지침 8. 통계데이터센터 운영 및 이용 등에 관한 규정 9. 그 밖의 관련법령