CPPG 36. 개인정보 영향평가 개요

1. 개인정보 영향평가 개요

• 개인정보파일을 운용하는 새로운 정보시스템의 도입이나 기존에 운영 중인 개인정보 처리시스템의 중대한 변경 시
• 시스템의 구축, 운영, 변경 등이 개인정보에 미치는 영향을 사전에 조사, 예측, 검토하여 개선방안을 도출하고 이행여부를 점검
• 목적 및 필요성: 개인정보 처리가 수반되는 사업 추진시 해당 사업이 개인정보에 미치는 영향을 사전에 분석하고 이에 대한 개선방안을 수립하여 개인정보 침해사고를 사전에 예방
• 평가 대상
  • (5만명 조건) 5만명 이상의 정보주체의 민감정보 또는 고유식별정보의 처리가 수반된 개인정보파일
  • (50만명 조건) 해당 공공기관의 내부 또는 외부의 다른 개인정보파일과 연계하려는 경우로서, 연계 결과 정보주체 수가 50만 명 이상인 개인정보파일
  • (100만명 조건) 100만명 이상의 정보주체 수를 포함하고 있는 개인정보파일
  • (변경 시) 영제 35조에 근거하여 영향평가를 실시한 기관이 개인정보 검색체계 등 개인정보파일의 운용체계를 변경하려는 경우, 변경된 부분에 대해서 영향평가
• 평가 수행 주체
  • 공공기관은 개인정보보호위원회가 지정한 영향평가기관에 평가 의뢰

2. 영향 평가 절차 - 영향 평가 사전준비 단계

• 영향평가 사업계획을 수립하여 신규 또는 변경 사업 추진 시 타당성 검토 후 조직 내 영향평가 협력 조직 구성 및 영향평가 수행 방향 수립
• 필요한 예산 및 지원 인력 등의 자원 확보, 평가 기관 선정
• 영항 평가 필요성 검토
  • 영향평가를 실시하는 3가지 유형
    • 개인정보파일을 신규 구축, 운용
    • 기 운용 중인 개인정보파일의 수집 보유 이용, 제공, 파기 등 처리절차를 변경하거나 개인정보 검색 체계 등 개인정보파일 운용체계 변경
    • 개인정보파일을 타 시스템과 연계 제공
  • 사전평가 수행
    • 영향평가 자율수행 프로그램을 통해 맛보기 기능 활용
  • 사업계획서 작성
    • 영향평가 사업계획서 작성, 영향평가 예산확보

• 영향평가 기관 선정
  • 제안요청서 작성 및 사업 발주
  • 영향평가 기관 선정

3. 영향평가 수행 단계

• 영향평가 수행단계는 영향평가 수행계획 수립, 평가자료 수립, 개인정보 흐름 분석, 개인정보 침해요인 분석, 개선계획 수립, 영향평가서 작성
• 영향평가 수행계획 수립
  • 영항평가 수행 계획서 작성
  • 영향평가 수행계획서 내 반영 사항: 평가 목적, 평가 대상 및 범위, 평가주체(영향평가팀), 평가기간, 평가 절차, 주요 평가사항, 평가 기준 및 항목, 자료수집 및 분석계획
• 영향평가팀 구성방안 협의
  • 평가기관의 PM: 개인정보 보호 담당자, 유관부서 담당자, 외부전문가 등의 참여를 요청
• 영향평가팀 역할 정의
  • 영향평가팀 평가기관 PM은 각 구성원의 역할 및 책임사항을 배분
  • 외부용역을 통해 개발하는 경우, 정보시스템 개발 업체를 포함
  • 영향펴악기관의 평가수행 인력은 반드시 상주, 품질관리 담당자는 비상주 가능
• 영향평가팀 운영계획 수립
• 평가자료 수집 - 내부 정책 자료 분석
  • (조직, 체계 자료) 기관별 개인정보 보호지침, 개인정보보호 내부 관리 계획, 개인정보 처리방침, 개인정보 보호업무 관련 직제표, 개인정보보호규정, 정보보안규정 등
  • (인적 통제, 교육 자료) 개인정보 관련 조직 내 업무분장표 및 직급별 업무 권한 현황, 정보 시스템의 접근권한에 대한 내부규정, 시스템 관리자 및 개인정보취급자에 대한 교육계획, 위탁업체 관리규정 등
  • (정보보안 자료) 방화벽 등 침입차단시스템 및 백신프로그램 도입현황, 네트워크 구성도 등
• 외부정책자료 분석
  • 법령, 지침, 가이드라인, 훈련 등으로 다양
• 대상시스템 관련 자료 분석
  • 사업추진계획서, 제안요청서 (RFP), 과제수행계획서, 요구사항 정의서
  • (사업수행자료) 사업추진계획서, 제안요청서, 과제수행계획서, 요구사항 정의서, (기 구축 시) 업무메뉴얼
• 개인정보 처리업무 분석: 평가방침을 분석
• 개인정보 흐름표 작성: 개인정보 처리현황, 흐름표 작성
• 개인정보 흐름도 작성: 흐름도 작성
• 정보시스템 구조도 작성
  • 개인정보 처리시스템, 개인정보 내 외부 연계시스템 및 관련 인프라의 구성 파악
• 평가항목 구성
  • 5개 평가영역 25개 평가분야에 대하여 총 85개의 지표로 구성
  • 대상기관 개인정보보호 관리체계 평가영역은 1년 애니에 수행된 이전 영향평가를 통해 이미 평가를 수행한 겨웅 대상기관과의 협의를 거쳐 제외 가능
  • 개인정보의 안전성 확보조치 기준과 관련된 평가항목은 대상기관의 유형에 따라 필수, 선택 여부가 결정되므로, 대상기관이 어떤 유형에 속하는지 분석 필요
• 개인정보 보호조치 현황 파악
  • 대상 사업의 특성에 맞게 작성된 평가항목을 바탕으로 자료검토, 시스템 점검, 현장 실사, 인터뷰
• 개인정보 침해요인 도출
  • 개인정보 흐름분석 및 개인정보보호 조치현황에 대한 평가결과를 기반으로 개인정보 침해요인 분석
• 개인정보 위험도 산정
  • 도출된 침해요인은 모두 개선하는 것이 원칙이나, 기관내 예산이 부족한 경우 등 불가피한 사유가 있는 경우에는 위험분석 결과에 따라 개선사항의 우선순위를 정해 선택적 조치 가능

4. 계선계획 수립

• 개선방안 도출
• 개선계획 수립

5. 영향평가서 작성

6. 영향평가 이행 단계

• 개선사항 반영여부 점검
  • 분석, 설계 단계에서 수행한 영향평가 개선계획의 반영여부를 개인정보파일 및 개인정보처리시스템 구축, 운영 전에 확인
• 개선사항 이행 확인
  • 영향평가서를 제출받은 공공기관 장은 개선사항으로 지적된 부분에 대한 이행현황을 영향평가서를 제출받은 날로부터 1년 이내에 보호위원회에 제출