자율주행자동차 영상정보의 안전성 확보 조치안

제1조(목적) 이 고시는 「자율주행자동차상용화 촉진 및 지원에 관한 법률」제20조의2, 같은 법 시행령 제16조의2 및 제16조의3에서 국토교통부장관에게 위임한 사항과 그 시행에 필요한 세부적인 사항을 정함을 목적으로 한다. 제2조(정의) 이 고시에서 사용하는 용어의 뜻은 다음과 같다. 1. "영상정보처리자"란 법 제20조의2제1항에 따라 특정 개인정보가 포함된 자동차의 영상정보를 수집, 처리 또는 이용하는 자율주행자동차제작자등을 말한다. 2. "영상정보취급자"란 영상정보처리자의 지휘ㆍ감독을 받아 영상정보를 처리하는 자를 말한다. 제3조(내부 관리계획의 수립ㆍ시행 및 점검) 영상정보처리자는 영상정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 의사결정 절차를 통하여 다음 각 호의 사항을 포함하는 내부 관리계획을 수립ㆍ시행하여야 한다. 1. 영상정보 보호 조직의 구성 및 영상정보 활용 목적과 기준, 세부 절차 등 운영에 관한 사항 2. 영상정보 처리 단계별(생성, 보관, 활용, 폐기 등) 관리체계에 관한 사항 3. 물리적 보관 장소 점검 등 비인가자 출입 통제 및 외부 침입자 발생시 대응에 관한 사항 4. 영상정보 유출사고 대응 계획 등 내부 운영계획 수립, 변경 및 승인에 관한 사항 5. 영상정보취급자 및 외주용역에 대한 관리ㆍ감독(보안서약서를 징구하고 영상정보취급자 정보 현행화 등을 포함한 보안대책 등) 및 교육에 관한 사항 6. 자율주행자동차의 성능 및 안전성 향상 등 연구 목적 외 활용 및 제3자 제공 금지에 관한 사항 7. 그 밖에 영상정보 보호를 위하여 필요한 사항 제4조(영상정보의 암호화) ① 영상정보처리자는 영상정보를 정보통신망을 통하여 송ㆍ수신하는 경우에 이를 안전한 암호 알고리즘으로 암호화하여야 한다. ② 영상정보처리자는 영상정보를 저장하는 경우에는 영상파일 또는 저장매체에 비밀번호를 설정하는 등의 보안조치를 하여야 한다. 제5조(악성프로그램 등 방지) ① 영상정보처리자는 악성프로그램 등을 방지ㆍ치료할 수 있는 보안 프로그램을 설치ㆍ운영하여야 하며, 다음 각 호의 사항을 준수하여야 한다. 1. 프로그램의 자동 업데이트 기능을 사용하거나, 정당한 사유가 없는 한 일 1회 이상 업데이트를 실시하는 등 최신의 상태로 유지 2. 발견된 악성프로그램 등에 대해 삭제 등 대응 조치 ② 영상정보처리자는 악성프로그램 관련 경보가 발령된 경우 또는 사용 중인 응용 프로그램이나 운영체제 소프트웨어의 제작업체에서 보안 업데이트 공지가 있는 경우 정당한 사유가 없는 한 즉시 이에 따른 업데이트 등을 실시하여야 한다. 제6조(클라우드 서비스 이용에 따른 안전조치) ①영상정보처리자는 자율주행자동차의 성능 및 안전성을 향상시키기 위하여 「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률」제2조제3호에 따른 클라우드컴퓨팅서비스(이하 "클라우드컴퓨팅서비스"라 한다)를 이용하여 영상정보를 처리하고자 하는 경우에는 「개인정보 보호법」제26조제1항 각 호의 내용이 포함된 문서로 관리하여야 한다. ② 제1항에 따라 영상정보를 처리하는 경우 클라우드컴퓨팅서비스에 접속할 수 있는 영상정보처리자를 최소화하고, 안전한 인증수단 적용, 가상사설망(VPN), 가상터미널(VDI) 등의 다양한 보호조치 적용을 고려하여야 한다. 제7조(물리적 안전조치) ① 영상정보처리자는 전산실, 자료보관실 등 영상정보를 보관하고 있는 물리적 보관 장소를 별도로 두고 있는 경우에는 관련 관리계획 등을 제3조에 따른 내부계획에 포함하여 수립할 수 있다. ② 영상정보처리자는 물리적 보관 장소에 대한 출입자 최소화, 출입기록 보관, 비인가 저장매체 반입 금지 등 인적ㆍ물적 통제를 실시할 수 있다. ③ 영상정보처리자는 물리적 보관 장소를 포함하여 영상정보가 포함된 보조저장매체 등을 내부관리계획에 따른 위험분석 결과 잠금장치가 있는 안전한 장소에 보관하여야 한다. ④ 영상정보처리자는 영상정보가 포함된 보조저장매체의 반출ㆍ입 통제를 위한 보안대책을 마련하여야 한다. ⑤ 영상정보처리자는 영상정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손 가능성 등을 고려하여 충분한 안전성이 확보된 장소에서만 영상정보를 처리할 수 있도록 하여야 한다. 제8조(영상정보의 파기) ① 영상정보처리자는 영상정보를 파기할 경우 다음 각 호 중 어느 하나의 조치를 하여야 한다. 1. 완전파괴(소각ㆍ파쇄 등) 2. 전용 소자장비(자기장을 이용해 저장장치의 데이터를 삭제하는 장비)를 이용하여 삭제 3. 데이터가 복원되지 않도록 초기화 또는 덮어쓰기 수행 ② 영상정보처리자가 영상정보의 일부만을 파기하는 경우, 제1항 각 호의 방법으로 파기하는 것이 어려울 때에는 다음 각 호의 조치를 하여야 한다. 1. 전자적 파일 형태인 경우 : 영상정보를 삭제한 후 복구 및 재생되지 않도록 관리 및 감독 2. 제1호 외의 영상정보의 인쇄물 및 그 밖의 기록매체인 경우 : 해당 부분을 마스킹, 구멍 뚫기 등으로 삭제 ③ 기술적 특성으로 제1항 및 제2항 각 호의 방법으로 파기하는 것이 현저히 곤란한 경우에는 「개인정보 보호법」 제58조의2에 해당하는 정보로 처리하여 복원이 불가능하도록 조치하여야 한다. 제9조(재검토기한) 국토교통부장관은 이 고시에 대하여 「훈령ㆍ예규 등의 발령 및 관리에 관한 규정」에 따라 2026년 7월 1일 기준으로 매 3년이 되는 시점(매 3년째의 6월 30일까지를 말한다)마다 그 타당성을 검토하여 개선 등의 조치를 하여야 한다.