[개인정보보호위원회] 개인정보 영향평가 수행 안내서 (2024.04)

안녕하세요. 황컴플라이언스 입니다.

[개인정보보호위원회] 개인정보 영향평가 수행 안내서 (2024.04) 입니다.

업무에 참고하시기 바랍니다.

 

○ 자료명 : 개인정보 영향평가 수행 안내서

○ 발행일 : 2024년 04월

○ 주관부처 : 개인정보보호위원회

---

[개인정보 영향평가 개요]

□ 개념

① 개인정보 영향평가(이하 영향평가)

• 개인정보 파일을 운용하는 새로운 정보시스템의 도입 및 기존에 운영 중인 개인정보처리시스템의 중대한 변경 시 시스템의 구축·운영·변경 등이 개인정보에 미치는 영향(Impact)을 사전에 조사·예측·거모하여 개선방안을 도출하고 이행여부를 점검하는 체계적인 절차

□ 목적 및 필요성

• 개인정보 처리가 수반되는 사업을 추진할 때는 사업이 개인정보에 미치는 영향을 사전에 분석하고 이에 대한 개선방안을 수립, 개인정보 침해사고를 사전에 예방해야 한다.

□ 평가 대상

① 일정 규모 이상의 개인정보를 전자적으로 처리하는 개인정보 파일을 구축 및 운영 또는 변경하는 공공기관은 '개인정보보호법' (이하 '법'이라 한다.) 제33조 및 '개인정보보호법 시행령' (이하 '영'이라 한다.)

• 5만명 조건 : 5만명 이상의 정보주체의 민감정보 또는 고유식별정보의 처리가 수반되는 개인정보 파일
• 50만명 조건 : 해당 공공기관의 내부 또는 외부의 다른 개인정보 파일과 연계하려는 경우로서, 연계 결과, 정보주체의 수가 50만명 이상인 개인정보 파일
• 100만명 조건 : 100만명 이상의 정보주체 수를 포함하고 있는 개인정보 파일
• 변경 시 : 영 제35조에 근거하여 영향평가를 실시한 기관이 개인정보 검색체계 등 개인정보 파일의 운용체계를 변경하려는 경우, 변경된 부분에 대해서는 영향평가를 실시
• 개인정보 영향평가를 하지 아니하고 그 결과를 보호위원회에 제출하지 아니한 자는 개인정보보호법 시행령 제75조 제2항 제16호에 근거하여 3천만원 이하의 과태료를 부과한다.

---

개인정보 영향평가 수행안내서(2024.04).pdf

19.10MB

개인정보 영향평가 수행안내서 (2024.04) : 개인정보보호위원회, 한국인터넷진흥원

---

□ 개인정보 파일 및 개인정보처리시스템의 정의

① 개인정보파일 (정의)

• 1. 개인정보 파일은 개인정보를 쉽게 검색할 수 있도록 일정한 규칙에 따라 체계적으로 배열하거나 구성한 개인정보의 집합물을 말한다. 
• 2. 개인정보 파일은 데이터베이스 등 전자적 형태 뿐 아니라 수기 문서 자료도 포함한다.
• 3. 영향평가 대상이 되는 개인정보 파일은 전자적으로 처리할 수 있는 것에 한정되어 있기에 일반적으로 종이 등의 문서에 수기로 기록된 개인정보 문서는 대상에서 제외된다.
• 4. 단, 종이로 기록될 경우에는 개인정보 문서가 PDF 등의 전자적인 매체로 변환될 경우, 해당 PDF 파일 등은 평가의 대상이 된다.

② 개인정보처리시스템 (정의)

• 1. 개인정보처리시스템은 데이터베이스 시스템 등 개인정보를 처리할 수 있도록 체계적으로 구성한 시스템을 말한다.
• 2. 개인정보처리시스템은 일반적으로 데이터베이스(DB) 내의 데이터에 접근할 수 있도록 해주는 응용 시스템을 의미한다.
• 3. 데이터베이스를 구축하거나 운영하는데 필요한 시스템을 말한다.
• 4. 다만, 개인정보처리시스템은 개인정보처리자의 개인정보 처리방법 · 시스템 구성 및 운영 환경 등에 따라 달라질 수 있으며, 작게는 한 대의 서버에서부터 크게는 수백대의 서버 및 DB를 운영하는 것까지 다양한 규모를 가진다.
• 5. 영향평가에서는 개인정보처리시스템 내의 개인정보 파일을 안전하게 보호하기 위해 필요한 기술적 · 관리적 및 물리적 안전조치가 적절하게 적용된지 여부를 비롯, 개인정보의 수집, 저장, 이용, 제공, 파기 등 생명주기 상에 관련 법규를 준수해야 한다.

□ 공공기관의 범위(법 제2조 제6호 및 시행령 제2조)

① 국회 · 법원 · 헌법재판소 · 중앙선거관리위원회의 행정사무를 처리하는 기관, 중앙행정기관(대통령 소속 기관과 국무총리 소속 기관을 포함한다.) 및 그 소속기관, 지방자치단체

② 그 밖의 국가기관 및 공공단체 중 대통령령으로 정하는 기관

• 1. '국가인권위원회법' 제3조에 따른 국가인권위원회 1의2
• 2. '고위공직자범죄수사처 설치 및 운영에 관한 법률' 제3조 제1항에 따른 고위공직자범죄수사처
• 3. '공공기관의 운영에 관한 법률' 제4조에 따른 공공기관
• 4. '지방공기업법'에 따른 지방공사 및 지방공단
• 5. '특별법'에 의하여 설립된 특수법인

---

4. 영향평가 시기

□ 4.1 시스템을 신규 구축 또는 기존 시스템을 변경하는 경우

① 개인정보처리시스템을 신규로 구축하거나 기존 시스템을 변경하려는 기관은 사업계획 단계에서 영향평가 의무 대상 여부를 파악하여 예산을 확보해야 한다.

이후 대상 시스템의 설계 완료 전에 영향평가를 수행해야 한다.

□ 4.2 기 구축되어 운영 중인 시스템의 경우

① 개인정보처리시스템을 기 구축·운영 중, 아래의 경우 추가적으로 영향평가 수행 가능

② 수집과 이용 및 관리상에 중대한 침해위험의 발생이 우려되는 경우

③ 전반적인 개인정보 보호체계를 점검하여 개선하기 위한 경우

---

[목차]

Ⅰ. 총론

제1절. 개인정보 영향평가 개요

• 1. 개념
• 2. 목적 및 필요성
• 3. 평가 대상
• 4. 평가 시기
• 5. 평가 수행 주체
• 6. 평가 수행 체계

제2절. 용어정의 및 추진근거

• 1. 용어정의
• 2. 추진근거

제3절 개인정보 영향평가 수행절차 요약

Ⅱ. 영향평가 수행절차

제1절. 영향평가 사전준비 단계

1. 사업계획의 작성

• 1.1. 영향평가 필요성 검토
• 1.2. 사전평가 수행
• 1.3. 사업계획서 작성

2. 영향평가 기관 선정

• 2.1. 제안요청서 작성 및 사업발주
• 2.2. 영향평가 기관 선정

제2절. 영향평가 수행단계

1. 영향평가 수행계획 수립

• 1.1. 영향평가 수행계획 수립
• 1.2. 영향평가팀 구성방안 협의
• 1.3. 영향평가팀 역할 정의
• 1.4. 영향평가팀 운영계획 수립

2. 평가자료 수집

• 2.1. 내부 정책자료 분석
• 2.2. 외부 정책자료 분석
• 2.3. 대상시스템 관련 자료 분석

3. 개인정보 흐름 분석

• 3.1. 개인정보 처리 업무 현황 분석
• 3.2. 개인정보 처리 업무 흐름도 작성
• 3.3. 개인정보 흐름표 작성
• 3.4. 개인정보 흐름도 작성
• 3.5. 정보시스템 구조도 및 정보보호시스템 목록 작성

4. 개인정보 침해요인 분석

• 4.1. 평가항목 구성
• 4.2. 개인정보 보호조치 현황파악
• 4.3. 개인정보 침해요인 도출
• 4.4. 개인정보 위험도 산정

5. 개선계획 수립

• 5.1. 개선사항 도출
• 5.2. 개선계획수립

6. 영향평가서 작성

제3절. 이행단계

1. 이행점검

• 1.1. 개선사항 반영점검
• 1.2. 개선계획 이행점검

Ⅲ. 부록

부록1. 개인정보 영향평가 양식

부록2. 개인정보 영향평가 항목(요약)

부록3. 개인정보 영향평가 항목(평가표)

부록4. 개인정보 영향평가 FAQ

---

※ 더 자세한 내용은 개인정보보호위원회에서 발간한 개인정보 영향평가 수행 안내서를 참고하시길 바랍니다.