개인정보 보호수준 평가
IT위키
더 많은 작업
개인정보 보호수준 평가
개인정보보호위원회가 공공기관의 개인정보 보호 정책·업무 수행과 법적 의무 준수 여부를 매년 평가하는 제도이다.
2023. 3. 14. 개정된 개인정보 보호법에 개인정보 보호법 제11조의2가 신설되면서(2023. 9. 15. 시행) 법률상 의무 평가가 되었다. 세부 대상과 기준은 개인정보 보호법 시행령 제13조의2가, 평가 절차와 평가단 운영은 「개인정보 보호수준 평가에 관한 고시」(2024. 3. 15. 제정, 현행 고시 제2026-2호)가 정한다. 개인정보보호위원회는 이 제도를 '공공기관 개인정보보호수준 평가제도'로 안내하며, 실제 평가 수행은 한국인터넷진흥원이 맡는다.
제11조의2가 생기기 전에는 공공기관 평가만을 위한 별도 조항이 없었고, 개인정보 보호법 제11조제2항이 개인정보관리 수준 및 실태파악 등을 위한 조사의 근거를 두고 있었다. CPPG 출제기준에 남아 있는 '개인정보보호 수준진단'은 법정 평가가 도입되기 전의 표현이므로, 현행 제도로는 개인정보 보호수준 평가를 공부하면 된다.
| 구분 | 대상 | 근거 |
|---|---|---|
| 법률 | 중앙행정기관 및 그 소속기관, 지방자치단체 | 법 제11조의2제1항 |
| 시행령 | 「공공기관의 운영에 관한 법률」 제4조에 따른 공공기관, 지방공사와 지방공단 | 영 제13조의2제1항제1호·제2호 |
| 고시 지정 | 지방자치단체 출자·출연기관, 특수법인, 「고등교육법」 제2조에 따른 학교 중 보호위원회가 정하는 기관 | 영 제13조의2제1항제3호, 고시 제2조 |
고시 지정 기관은 다음 사항을 종합적으로 고려하여 정한다.
- 5만명 이상의 정보주체에 관한 민감정보 또는 고유식별정보를 처리하는 경우
- 100만명 이상의 정보주체에 관한 개인정보를 처리하는 경우
- 최근 3년간 개인정보 유출 등 침해사고가 2회 이상 발생했거나, 보호위원회로부터 과징금 또는 과태료 처분을 1회 이상 받은 경우
- 그 밖에 개인정보 침해 우려가 크다고 판단되는 경우
새로 지정된 기관은 준비기간을 고려해 다음 해부터 평가할 수 있고, 최초 평가 연도를 포함해 3년간 평가한다.
시행령 제13조의2제2항은 다음 다섯 가지를 기준으로 든다.
- 개인정보 보호 정책·업무 수행실적 및 개선 정도
- 개인정보 관리체계의 적정성
- 정보주체의 권리보장을 위한 조치사항 및 이행 정도
- 개인정보 침해방지 조치사항 및 안전성 확보 조치 이행 정도
- 그 밖에 개인정보의 처리 및 안전한 관리를 위해 필요한 조치 사항의 준수 여부
| 단계 | 내용 | 근거 |
|---|---|---|
| 평가계획 수립·통보 | 평가 대상, 일정, 기준과 세부 평가방법, 평가지표를 담은 계획을 매년 수립해 대상 기관에 통보하고 누리집 등에 공개할 수 있다 | 고시 제3조 |
| 평가단 구성 | 조교수 이상으로서 개인정보 보호 경력 3년 이상인 사람, 개인정보·정보보호 분야 경력 3년 이상인 사람 등으로 구성하며 임기는 1년(연임 가능)이다 | 고시 제5조 |
| 평가자료 제출 | 기관이 자체 점검 결과와 증명자료를 제출하고, 보호위원회는 추가 자료를 요청할 수 있다 | 법 제11조의2제2항, 영 제13조의2제5항 |
| 평가 수행 | 제출 자료를 기준으로 평가하며, 평가단이 자료 검증과 현장검증을 맡는다 | 고시 제4조제2항, 고시 제5조제4항 |
| 결과 통지·발표 | 다음 해 상반기에 발표하고 각 기관에 통지한다 | 고시 제4조제3항 |
개인정보보호위원회 안내에 따르면 평가는 자체평가(정량지표 50점)와 심층평가(정성지표 50점), 현장검증으로 이루어진다.
- 공개: 보호위원회는 평가 결과를 누리집 등에 공개할 수 있다(법 제11조의2제3항). 공개 범위는 기관별 등급이며, 기관별 세부 평가자료와 점수는 공개하지 않는다(고시 제4조제4항).
- 포상: 우수기관과 소속 직원에게 표창, 포상금 등 우대조치를 할 수 있다(법 제11조의2제4항, 고시 제6조).
- 개선 권고: 필요하면 공공기관의 장에게 개선을 권고하며, 권고를 받은 기관은 이행에 성실히 노력하고 조치 결과를 보호위원회에 알려야 한다(법 제11조의2제4항).
- 미흡기관 지원: 현장 컨설팅과 실태점검을 할 수 있고, 평가 결과가 업무평가 등에 반영되도록 소관 기관의 장에게 결과를 제공할 수 있다(고시 제7조).
- 자료 미제출: 정당한 사유 없이 자료를 제출하지 않거나 거짓으로 제출하면 1천만원 이하의 과태료 대상이다(개인정보 보호법 제75조제4항).
- 개인정보 보호수준 평가에 관한 고시 제1조 (목적)
- 개인정보 보호수준 평가에 관한 고시 제2조 (평가 대상)
- 개인정보 보호수준 평가에 관한 고시 제3조 (평가계획의 수립)
- 개인정보 보호수준 평가에 관한 고시 제4조 (평가 절차)
- 개인정보 보호수준 평가에 관한 고시 제5조 (평가단 구성 및 운영)
- 개인정보 보호수준 평가에 관한 고시 제6조 (평가 결과에 따른 포상 등)
- 개인정보 보호수준 평가에 관한 고시 제7조 (평가 결과의 활용 및 지원)
- 개인정보 보호수준 평가에 관한 고시 제8조 (재검토기한)
- 평가 주체(개인정보보호위원회), 주기(매년), 대상(공공기관)을 개인정보 영향평가나 정보보호 및 개인정보보호관리체계 인증과 구분할 수 있어야 한다.
- 결과 공개 범위가 기관별 등급이고 세부 점수는 공개하지 않는다는 점을 묻는다.
- 출제기준의 '개인정보보호 수준진단'이 현행법에서는 제11조의2의 개인정보 보호수준 평가로 정비되었음을 알아 두어야 한다.