국경 간 개인정보 보호 규칙 인증제도의 운영에 관한 지침

제1장 총칙 제1조(목적) 이 고시는 개인정보보호위원회(이하 "보호위원회"라 한다)가 글로벌 CBPR 포럼(Global CBPR Forum)에서 개발한 국경 간 개인정보 보호 규칙(Cross-Border Privacy Rules, 이하 "CBPR"이라 한다) 인증 제도를 국내에서 운영하기 위하여 필요한 사항을 정함을 목적으로 한다. 제2조(정의) 이 고시에서 사용하는 용어의 정의는 다음과 같다. 1. "글로벌 CBPR 인증(이하 "인증"이라 한다)"이란 신청인이 수립하여 운영하는 개인정보보호 관리체계가 글로벌 CBPR 포럼이 마련한 인증기준에 부합함을 인증기관이 인증하는 것을 말한다. 2. "신청인"이란 개인정보처리자로서 인증을 취득하거나 갱신하고자 하는 자를 말한다. 3. "인증심사"란 신청인이 수립하여 운영하는 개인정보보호 관리체계가 글로벌 CBPR 인증기준(이하 "인증기준"이라 한다)에 부합하는지의 여부를 서면심사 및 현장심사의 방법으로 확인하는 것을 말한다. 4. "인증기관"이란 인증에 관한 업무를 수행하는 기관으로서 보호위원회의 검토를 거쳐 글로벌 CBPR 포럼으로부터 자격을 획득한 한국인터넷진흥원을 말한다. 5. "심사기관"이란 인증기관이 인증심사에 관한 업무를 효율적으로 수행하기 위하여 별도로 지정하는 기관을 말한다. 6. "인증위원회"란 인증기관이 신청인의 인증 적합 여부 등을 심의ㆍ의결하기 위해 설치ㆍ운영하는 기구를 말한다. 7. "최초심사"란 처음으로 인증을 신청하거나 인증범위에 중요한 변경이 있어서 다시 인증을 신청한 때 실시하는 인증심사를 말한다. 8. "갱신심사"란 유효기간 만료로 유효기간 갱신을 위해 실시하는 인증심사를 말한다. 제3조(보호위원회의 역할) 보호위원회는 인증 제도를 원활히 운영하기 위하여 다음 각 호의 사항을 수행한다. 1. 제도 운영에 관한 정책의 수립 2. 글로벌 CBPR 포럼 등 관련 국제 협의체 내외에서의 협력 3. 인증기관에 대한 관리 및 감독 4. 그 밖에 제도의 운영을 위하여 보호위원회가 필요하다고 판단하는 사항 제2장 인증심사 제4조(신청인의 사전 준비사항) ① 신청인은 인증을 신청하기 전에 인증기준에 따른 개인정보보호 관리체계를 구축하여 최소 1개월 이상 운영하여야 한다. ② 신청인은 인증심사를 위해 다음 각 호의 사항을 인증심사 실시 전에 준비하여야 한다. 1. 인증심사를 위한 문서 및 증거자료 2. 인증심사 수행에 필요한 장소ㆍ시설ㆍ장비ㆍ기자재 등의 확보 3. 그 밖에 인증심사 수행에 필요한 사항 제5조(인증 신청 등) ① 신청인은 인증심사 신청 시 별지 제1호서식의 신청서에 다음 각 호의 서류를 첨부하여 인증기관에 제출하여야 한다. 1. 인증에 관한 명세서 2. 인증에 관한 자가평가지 3. 인증심사에 대한 신청인 확약서 4. 사업자등록증 5. 신청기관이 인증 수수료 감면 대상인 경우, 이를 증빙할 수 있는 서류 ② 제1항에 따라 인증심사 신청을 받은 인증기관은 신청인과 인증심사의 범위, 인증심사의 일정 등을 사전 협의할 수 있다. ③ 제1항에 따라 인증심사 신청을 받은 인증기관은 인증심사에 착수하기 전 제4조에 따른 신청인의 사전 준비사항을 확인할 수 있으며, 신청인의 준비가 미흡한 경우에는 신청인에 이를 보완할 것을 요구할 수 있다. ④ 인증기관은 인증심사의 범위에 변경이 필요한 경우 이를 신청인과 협의하여 변경할 수 있다. 제6조(인증심사 기준) ① 인증기관은 별표 1의 글로벌 CBPR 인증기준에 따라 인증심사를 수행한다. ② 인증기관은 인증기준이 변경되는 경우 인증기관의 인터넷 홈페이지에 이를 공개하여야 한다. 제7조(수수료의 청구 등) ① 인증기관은 신청인에게 인증심사에 대한 수수료를 청구할 수 있으며, 수수료는 「정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시」 별표 6에 따른 인증 수수료 산정 및 심사원 보수 기준을 준용하되 인증기간, 심사 항목 수 등을 고려하여 정할 수 있다. ② 인증기관은 신청인이 「중소기업기본법」 제2조제2항에 따른 소기업에 해당하는 경우 수수료를 감면할 수 있다. ③ 인증기관은 신청인이 다음 각 호의 어느 하나에 해당하는 경우 심사 일수와 심사 투입 인력을 조정할 수 있다. 1. 신청인이 갱신심사를 신청한 경우 2. 신청인이 인증기관에 "정보보호 및 개인정보보호 관리체계 인증(이하 "ISMS-P 인증"이라 한다)"을 함께 신청하여 글로벌 CBPR 인증과 ISMS-P 인증의 인증심사가 동시에 가능한 경우 3. 신청인이 ISMS-P 인증을 이미 취득하여 유지하고 있는 경우 제8조(인증심사팀) ① 인증기관은 인증심사 일정이 확정된 때에는 심사 수행을 위하여 인증심사팀을 구성할 수 있다. ② 인증심사팀은 별표 2에 따른 자격을 갖춘 3인 이상의 인증심사원으로 구성한다. ③ 인증기관은 인증심사팀을 구성할 때 이해관계인을 배제하여야 한다. ④ 인증기관은 인증심사에 필요한 전문 교육과정을 운영할 수 있다. 제9조(인증심사 방법 및 보완조치) ① 인증기관은 서면심사 및 현장심사의 방법으로 인증심사를 한다. ② 인증기관은 제1항에도 불구하고 「재난 및 안전관리 기본법」제3조에 따른 재난의 발생 등으로 신청인에 대한 현장심사가 어렵다고 판단하는 경우, 원격심사를 병행할 수 있다. ③ 인증기관은 인증심사에서 발견된 결함에 대해 일정한 기간을 정하여 보완조치를 요청할 수 있다. ④ 인증기관은 인증심사가 공정하게 이루어질 수 있도록 노력하여야 한다. 제10조(인증의 갱신) ① 인증을 취득한 자는 인증서 유효기간 만료일로부터 3개월 전까지 갱신심사를 신청할 수 있다. ② 인증을 취득한 자가 제1항에 따른 인증의 갱신을 신청하지 않고 인증의 유효기간이 경과한 때에는 인증의 효력은 상실된다. 제11조(심사기관) ① 인증기관은 인증심사의 효율적인 운영을 위해 심사기관을 지정할 수 있다. ② 인증기관은 심사기관을 지정하는 경우 인증심사의 공정성과 독립성을 확보하기 위하여 노력하여야 한다. ③ 심사기관은 인증심사를 실시하고 그 결과를 인증기관에 송부하여야 한다. ④ 인증기관은 인증심사 품질의 향상을 위하여 심사기관이 수행하는 인증심사에 함께 참여할 수 있다. 제12조(준용규정) ① 인증기관이 심사기관을 지정하여 운영하는 경우 심사기관에 대하여는 제5조 내지 제7조, 제8조제1항 내지 제3항 및 제9조의 인증기관 관련 규정을 준용하고, 이 경우 ‘인증기관’은 ‘심사기관’으로 본다. ② 갱신심사의 수행을 위하여 필요한 내용은 제2장을 준용한다. 제3장 인증서의 발급 제13조(인증위원회) ① 인증기관은 다음 각 호의 사항을 심의ㆍ의결하기 위해 개인정보보호 및 정보보호 관련 분야에 학식과 경험이 있는 자들로 구성된 인증위원회를 설치ㆍ운영할 수 있다. 1. 최초심사 또는 갱신심사 결과에 따른 인증 적합 여부 2. 제15조에 따른 인증의 취소에 관한 사항 3. 제16조에 따른 이의신청에 관한 사항 4. 그 밖에 인증과 관련하여 보호위원회 또는 인증기관이 필요하다고 인정하는 사항 ② 제1항제1호의 사항을 심의한 결과 인증 기준에 부적합한 사유가 있고 그 사유가 경미한 경우 인증위원회는 일정한 기한을 정하여 보완조치를 요청할 수 있다. ③ 인증위원회 위원은 신청인과 직접적ㆍ간접적 이해관계가 있는 때에는 심의ㆍ의결에 관여할 수 없다. 제14조(인증서의 발급 및 홍보) ① 인증기관은 신청인의 개인정보보호 관리체계가 인증위원회에서 인증 적합으로 판정된 경우 신청인에게 별지 제2호서식의 글로벌 CBPR 인증서를 발급하여야 한다. ② 인증서 발급 시 별표 3의 글로벌 CBPR 인증의 표시를 따른다. ③ 제1항에 따른 인증서의 유효기간은 1년으로 한다. ④ 인증기관은 인증기관의 인터넷 홈페이지 또는 글로벌 CBPR 인증 홈페이지를 통해 인증 현황을 공개할 수 있다. 제15조(인증의 취소) ① 인증기관은 인증을 취득한 자가 다음 각 호의 어느 하나에 해당하는 경우 인증위원회 심의ㆍ의결을 거쳐 인증을 취소할 수 있다. 1. 거짓 혹은 부정한 방법으로 인증을 취득한 경우 2. 제6조에 따른 인증심사 기준에 미달하게 된 경우 3. 별표 3의 글로벌 CBPR 인증의 표시에 따른 표시 방법을 준수하지 않은 경우 4. 개인정보보호 관련 법령을 위반하고 그 위반사유가 중대한 경우 ② 인증기관은 제1항 각 호에 따른 사실관계 확인을 위하여 필요한 경우 인증을 취득한 자에 대한 현장점검 등을 진행할 수 있다. ③ 제1항에도 불구하고 제1항제2호 내지 제3호의 사유가 경미하여 바로 인증을 취소하는 것이 적절하지 않다고 판단하는 경우 인증위원회는 일정한 기한을 정하여 보완조치를 요청할 수 있다. ④ 인증기관은 제1항에 따라 인증을 취소한 경우에 그 결과를 통지하고, 제14조에 따라 발급한 인증서를 회수한다. 제16조(이의신청) 인증기관은 인증 적합 여부 또는 인증의 취소 등에 관하여 신청인 또는 인증을 취득한 자의 이의신청을 처리하는 절차를 둘 수 있다. 제4장 인증 일반업무 등 제17조(비밀유지 등) ① 인증기관, 심사기관, 인증위원회 위원, 인증심사원 등 인증심사 업무에 종사하는 자 또는 종사하였던 자는, 업무상 지득한 정보, 인증심사 및 심의 결과에 관한 정보를 누설하거나 이를 업무 목적 이외에 보관ㆍ사용하여서는 아니 된다. ② 인증기관, 심사기관, 인증위원회 위원, 인증심사원 등 인증심사 업무에 종사하는 자 또는 종사하였던 자는 인증에 관하여 일체의 금전, 금품, 이익 등을 부당하게 수수하여서는 아니 된다. 제18조(업무 지침 등) 인증기관과 심사기관은 인증 또는 심사 업무 수행을 위해 필요한 경우 법령 및 글로벌 CBPR 정책(CBPR Policies, Rules and Guidelines)의 범위 내에서 인증 또는 심사 업무에 관한 지침을 마련하여 시행할 수 있다. 제19조(재검토 기한) 보호위원회는 「훈령ㆍ예규 등의 발령 및 관리에 관한 규정」에 따라 이 고시에 대하여 2026년 2월 3일을 기준으로 매 3년이 되는 시점(매 3년째의 2월 2일까지를 말한다)마다 그 타당성을 검토하여 개선 등의 조치를 하여야 한다.