[개인정보보호위원회] 개인정보 영향평가에 관한 고시 일부개정 안내 (2024.04)

안녕하세요. 황컴플라이언스 입니다.

[개인정보보호위원회] 개인정보 영향평가에 관한 고시 일부개정 안내 (2024.04) 입니다.

업무에 참고하시기 바랍니다.

---

개인정보 영향평가에 관한 고시(2024.04).pdf

0.91MB

개인정보 영향평가에 관한 고시 일부개정 (2024.03) : 개인정보보호위원회

---

[제1장 총칙]

제1조(목적) 

이 고시는 '개인정보보호법' (이하 '법'이라 한다.) 제33조와 '개인정보보호법 시행령' (이하 '영'이라 한다.) 제36조, 제38조에 따른 평가기관의 지정 및 영향평가의 절차 등에 관한 세부기준을 정함을 목적으로 한다.

제2조(용어의 정의) 

이 고시에서 사용하는 용어의 정의는 다음과 각 호와 같다.

• '개인정보 영향평가' (이하 '영향평가'라 한다.)란 법 제33조 제1항에 따라 공공기관의 장이 영 제35조에 해당하는 개인정보 파일의 운용으로 인하여 정보주체의 개인정보 침해가 우려되는 경우에 그 위험요인의 분석과 개선사항 도출을 위한 평가를 말한다.
• '대상기관'이란 영 제35조에 해당하는 개인정보 파일을 구축·운용, 변경 또는 연계하려는 공공기관을 말한다.
• '개인정보 영향평가 기관' (이하 '평가기관'이라 한다.)이란 영 제36조 제1항 각 호의 요건을 모두 갖춘 법인으로서 공공기관의 영향평가를 수행하기 위하여 '개인정보보호위원회' (이하 '보호위원회'라 한다.)가 지정한 기관을 말한다.
• '대상시스템'이란 영 제25조에 해당하는 개인정보 파일을 구축·운용, 변경 또는 연계하려는 정보시스템을 말한다.
• '개인정보 영향평가 관련 분야 수행실적' (이하 '영향평가 관련 분야 수행실적'이라 한다.)이란 영 제36조 제1항 제1호에 따른 영향평가 업무 또는 이와 유사한 업무, 정보보호 컨설티 업무 등을 수행한 실적을 말한다.

---

[제2장 개인정보 영항평가 기관의 지정]

제3조(평가기관 지정절차)

영 제36조에 따른 평가기관의 지정절차는 지정신청 공고, 지정신청 서류 접수 및 검토, 현장실사, 종합심사의 순으로 진행된다.

• 보호위원회는 평가기관으로 지정받으려는 자가 지정 신청을 할 수 있도록 관보 등을 통해 15일 이상 지정신청 공고를 하여야 한다.
• 영 제36조 제2항에 따라 평가기관으로 지정받으려는 자는 별지 제1호 서식의 '개인정보 영향평가 기관 지정신청서'와 함게 다음 각 호의 서류를 보호위원회에 제출한다.

[제출서류]

1. 영 제36조 제2항 제1호부터 제3호까지의 규정에 따른 서류
2. 별지 제2호 서식의 개인정보 영향평가 수행실적 명세서
3. 별지 제3호 서식의 개인정보 영향평가 수행실적물 관리카드
4. 별지 제4호 서식의 개인정보 영향평가 수행인력 보유현황
5. 별지 제5호 서식의 개인정보 영향평가 수행인력의 경력 및 실적 증명서
6. 별지 제6호 서식의 개인정보 영향평가 수행인력 관리카드
7. 별지 제7호 서식의 개인정보 영향평가 수행능력 세부 심사자료
8. 별지 제8호 서식의 개인정보 영향평가 관련 기술자산 보유목록
9. 별지 제9호 서식의 개인정보 영향평가 수행 관련 사무실 및 설비 보유 현황
10. 영 제 36조 제1항 제1호의 사실을 증명할 수 있는 서류
11. '출입국관리법' 제88조 제2항에 따른 외국인등록 사실증명(영 제36조 제3항 각 호 외의 부분 단서에 해당하는 경우에만 첨부한다.) 등 그 밖에 평가기관 지정을 위해 필요하다고 판단되는 서류

• 보호위원회는 제3항에 따른 평가기관 지정신청을 받은 경우 지정기준의 적합여부를 심사하기 위하여 평가기관 지정심사위원회(이하 '지정심사위원회'라 한다.)를 구성·운영한다.
• 보호위원회는 지정심사위원회의 심사결과를 검증한 후 평가기관 지정을 확정하고, 별지 제10호 서식의 개인정보 영향평가 기관 지정서를 교부한다.
• 평가기관의 유효기간은 보호위원회가 평가기관으로 지정한 날로부터 3년으로 한다.
• 영 제36조 제6항에 따른 신고는 별지 제11호 서식의 개인정보 영향평가 기관 변경사항 신고서에 따른다.

제4조(지정심사위원회의 구성 및 운영)

제3조에 따른 지정심사위원회는 다음 각 호의 자격을 가진 자 중에서 보호위원회가 위촉하는 5인 이상 15인 이내의 위원으로 구성한다.

1. '고등교육법' 제2조 제1호·제2호 또는 제5호에 따른 학교나 공인된 연구기관에서 조교수 이상의 직 또는 이에 상당하는 직에 있거나 있었던 자로 개인정보보호 연구경력이 8년 이상인 사람
2. 개인정보보호 관련 업체, 기관 또는 단체(협회, 조합)에서 8년 이상 개인정보보호 업무에 종사한 사람
3. 그 밖에 개인정보보호에 관한 학식과 경험이 풍부한 사람

• 지정심사위원회는 영 제36조 제1항에 따른 신청한 법인의 자격 및 업무수행 능력 등을 검토한다.
• 지정심사위원회의 위원 임기는 3년으로 하되, 연임할 수 있다.
• 지정심사위원회 회의는 필요에 따라 보호위원회가 소집한다.

---