개인정보 보호수준 평가에 관한 고시

제1조(목적) 이 고시는 「개인정보 보호법」(이하 "법"이라 한다) 제11조의2와 같은 법 시행령(이하 "영"이라 한다) 제13조의2에 따라 개인정보 보호수준 평가를 위한 세부적인 평가 대상, 평가의 절차, 평가단의 구성ㆍ운영 방법, 평가 결과의 활용 등 필요한 세부 사항을 정함을 목적으로 한다. 제2조(평가 대상) ① 보호위원회는 매년 평가 대상이 되는 기관의 신설, 통ㆍ폐합, 제2항에 따른 신규 및 재지정 등을 반영하여 당해연도 개인정보 보호수준 평가 대상을 확정하여야 한다. ② 영 제13조의2제1항제3호에 따른 평가 대상은 영 제2조제3호의2, 제4호 및 제5호(다만, 제5호의 경우 「고등교육법」 제2조에 따른 학교로 한정한다) 중에 다음 각 호의 사항을 종합적으로 고려하여 보호수준 평가가 필요한 기관에 대해 보호위원회가 정할 수 있다. 1. 5만명 이상의 정보주체에 관한 법 제23조에 따른 민감정보 또는 법 제24조제1항에 따른 고유식별정보를 처리하는 경우 2. 100만명 이상의 정보주체에 관한 개인정보를 처리하는 경우 3. 최근 3년간 개인정보 유출 등 개인정보 침해사고가 2회 이상 발생하였거나, 보호위원회로부터 과징금 또는 과태료 처분 등을 1회 이상 받은 경우 4. 그 밖에 개인정보 처리 및 관리에 있어서 개인정보 침해 우려가 크다고 판단되는 경우 ③ 제2항에 따라 지정된 평가 대상은 최초 평가를 위한 준비기간을 고려하여 차년도부터 평가를 실시할 수 있으며, 이 경우 최초 평가를 실시한 연도를 포함하여 3년간 평가를 실시한다. 제3조(평가계획의 수립) ① 보호위원회는 법 제11조의2에 따른 평가를 수행하는 경우 평가 대상, 평가 일정, 평가 기준 및 세부 평가방법, 평가지표 등을 포함하여 평가계획을 수립하여야 한다. ② 보호위원회는 제1항에 따라 매년 평가계획을 수립하여 평가 대상에게 통보하여야 하고, 평가계획을 보호위원회 누리집 등에 공개할 수 있다. 제4조(평가 절차) ① 개인정보 보호수준 평가는 평가계획 수립 및 통보, 평가단 구성, 평가자료 제출, 평가 수행, 평가 결과 통지 등의 절차에 따라 실시한다. ② 보호위원회는 제1항에 따라 평가 대상이 제출한 자료를 기준으로 평가한다. 이 경우 제출된 자료의 사실 여부 또는 추가적 사항의 확인 등을 위해 평가 대상에게 추가 자료의 제출을 요청할 수 있으며, 평가 대상은 관련 자료의 제출 요구에 성실히 응하여야 한다. ③ 보호위원회는 제2항에 따른 평가 결과를 차년도 상반기에 발표하며, 각 평가 대상에게 통지하여야 한다. ④ 평가 결과의 공개범위는 기관별 등급으로 하며, 평가 결과는 보호위원회 누리집 등에 공개할 수 있다. 다만, 기관별 세부 평가자료 및 점수는 공개하지 않는다. 제5조(평가단 구성 및 운영) ① 보호위원회는 개인정보 보호수준 평가의 전문성ㆍ공정성 확보를 위해 평가단을 구성하여 운영할 수 있다. ② 평가단은 단장 1명을 포함하여 보호위원회가 위촉하는 개인정보에 관한 경력과 전문지식이 풍부한 전문가로 다음 각호의 경력을 가진 사람 중에서 구성한다. 1. 「고등교육법」제2조에 따른 학교에서 조교수 이상으로 재직하는 자로서 개인정보 보호 관련 경력 3년 이상인 사람 2. 개인정보 보호 또는 정보 보호ㆍ보안 분야에서 3년 이상 업무 경력을 갖춘 사람 3. 그 밖에 개인정보 관련 분야에 경력과 전문지식이 풍부하다고 보호위원회가 인정하는 사람 ③ 평가단원의 임기는 위촉된 날부터 1년으로 하되 연임할 수 있으며, 단장 및 단원은 보호위원회 위원장이 위촉한다. ④ 평가단은 평가를 위해 다음 각호의 업무를 수행한다. 1. 평가 대상 제출자료에 대한 검증, 평가 및 적정성 여부 판단 2. 평가 대상 현장검증 및 자문 3. 평가 결과 평정 4. 그 밖에 개인정보 보호수준 평가의 효율적 수행 및 개선을 위한 지원 ⑤ 평가단원은 업무에 직접 관여하는 등 직접적인 이해관계가 있거나 공정성을 기할 수 없는 현저한 사유가 있는 경우에는 해당 평가 대상의 평가에 관여할 수 없으며 평가단원이 그러한 사유가 있다고 판단하는 때에는 스스로 해당 평가 대상의 평가에서 회피할 수 있다. ⑥ 보호위원회는 평가단원이 다음 각호의 하나에 해당할 때는 해촉할 수 있다. 1. 평가와 관련한 법령상 의무를 위반한 때 2. 평가와 관련한 직무를 태만히 하거나 직무수행 능력이 부족하다고 인정될 때 3. 그 밖에 평가단원으로서 품위를 손상하는 행위를 한 때 ⑦ 보호위원회는 평가단에 대하여 예산의 범위 안에서 수당과 여비, 그 밖에 필요한 경비를 지급할 수 있다. 제6조(평가 결과에 따른 포상 등) ① 보호위원회는 개인정보 보호수준 평가 결과에 따라 선정한 우수기관 또는 소속 직원에 대하여 표창 수여, 포상금 지급 등의 우대조치를 할 수 있다. ② 평가 우수기관에 대한 포상금은 예산의 범위 내에서 지급한다. 제7조(평가 결과의 활용 및 지원) ① 보호위원회는 공공기관의 개인정보 보호수준을 향상시키기 위하여 개인정보 보호수준 평가 결과 우수사례 홍보 등에 활용할 수 있다. ② 보호위원회는 개인정보 보호수준 평가 결과 미흡기관에 대해 현장 컨설팅 및 실태점검을 실시할 수 있다. ③ 보호위원회는 중앙행정기관의 장 또는 지방자치단체의 장에게 소속 기관ㆍ단체 등 소관 분야 공공기관에 대해 컨설팅, 교육, 기술지원 및 주기적 점검 등의 필요한 사항을 지원하도록 요청할 수 있다. ④ 보호위원회는 개인정보 보호수준 평가 결과가 업무평가 등에 반영될 수 있도록 소관 기관의 장에게 평가 결과를 제공할 수 있다. 제8조(재검토기한) 보호위원회는 이 고시에 대하여 「훈령ㆍ예규 등의 발령 및 관리에 관한 규정」에 따라 2024년 1월 1일을 기준으로 매 3년이 되는 시점(매 3년째의 12월 31일까지를 말한다)마다 그 타당성을 검토하여 개선 등의 조치를 하여야 한다.