개인정보 영향평가는 공공기관이 대규모 개인정보 처리의 위험을 미리 분석하고 개선책을 마련하는 절차입니다. 대상 여부부터 평가기관 의뢰, 사전 제출과 개선 이행까지 실무 판단 기준을 살펴봅니다.
개인정보 영향평가 대상과 절차에서 먼저 정리할 법적 쟁점
개인정보 영향평가는 단순한 보안 점검이 아닙니다. 개인정보파일 운용으로 정보주체의 권리 침해가 우려되는지를 분석하고, 위험을 줄일 개선사항까지 도출하는 법정 평가입니다.
법적 책임의 주체는 외부 용역업체가 아니라 공공기관의 장입니다. 다만 공공기관이 직접 평가서를 작성하는 방식이 아니라, 보호위원회가 지정한 개인정보 영향평가기관에 평가를 의뢰해야 합니다.
여기서 개인정보파일은 개인정보를 일정한 규칙에 따라 검색하거나 처리할 수 있도록 구성한 자료 묶음을 의미합니다. 시스템 이름보다 실제로 어떤 정보를 누구에게서 수집하고 어떻게 이용하는지가 판단의 출발점입니다.
대상 기준에 해당하는데도 사업 완료 뒤 평가를 진행하면 사전 예방이라는 제도의 취지가 약해집니다. 기획서, 예산, 발주 일정에 영향평가와 내부승인 시간을 반영해야 하는 이유가 여기에 있습니다.
이 의무는 평가기관에 일을 맡겼다는 이유로 공공기관의 책임이 사라지는 구조가 아닙니다.
「개인정보 보호법」 제33조제1항은 “공공기관의 장은 대통령령으로 정하는 기준에 해당하는 개인정보파일의 운용으로 인하여 정보주체의 개인정보 침해가 우려되는 경우에는 그 위험요인의 분석과 개선 사항 도출을 위한 평가(이하 “영향평가”라 한다)를 하고 그 결과를 보호위원회에 제출하여야 한다.”라고 정합니다.
성립 요건과 판단 기준
첫째 기준은 민감정보 또는 고유식별정보를 5만명 이상 처리하는 개인정보파일입니다. 민감정보와 고유식별정보는 법이 별도로 보호하는 정보 범주이므로, 단순한 이름과 연락처만 처리하는 경우와 구분해 목록을 작성해야 합니다.
둘째는 다른 개인정보파일과 연계하는 경우입니다. 공공기관 내부 자료뿐 아니라 외부에서 구축, 운용하는 개인정보파일과 연결한 결과 50만명 이상 정보주체의 개인정보가 포함되면 대상이 됩니다.
셋째는 100만명 이상 정보주체의 개인정보파일을 구축, 운용 또는 변경하는 경우입니다. 민감정보가 없더라도 전체 규모만으로 기준에 들어갈 수 있으므로, 민감정보 유무만으로 대상 여부를 결론 내리면 안 됩니다.
넷째는 이미 영향평가를 받은 개인정보파일의 운용체계를 바꾸는 경우입니다. 개인정보 검색체계 등 운용체계 변경이 대상이면 전체 시스템을 다시 평가하는 것이 아니라 변경된 부분을 중심으로 평가합니다.
판단할 때는 저장 건수와 정보주체 수를 구분해야 합니다. 같은 사람이 여러 번 기록된 자료인지, 연계 후 실제 몇 명의 개인정보가 포함되는지 등 산정 근거를 문서로 남겨야 이후 분쟁에서 설명하기 쉽습니다.
법은 규모만 보지 않습니다. 처리하는 개인정보의 수, 제3자 제공 여부, 정보주체 권리를 해칠 가능성과 위험 정도를 함께 고려하고, 시행령은 민감정보나 고유식별정보 처리 여부와 보유기간도 판단 요소로 둡니다.
기준을 적용할 때는 파일을 새로 만드는지, 기존 파일을 연계하는지, 평가 후 운용체계를 바꾸는지를 먼저 나눠야 합니다. 그다음 정보주체 수와 정보 유형을 같은 기준으로 산정하고, 해당 항목과 산정 근거를 함께 기록해야 합니다.
절차 진행과 준비 자료
사업부서는 먼저 개인정보파일의 명칭, 처리 목적, 정보주체 범위, 개인정보 항목, 보유기간을 정리해야 합니다.
수집부터 파기까지 데이터가 이동하는 경로와 접근 주체도 함께 표시하면 평가 범위를 명확히 할 수 있습니다.
시스템 자료만 준비해서는 부족합니다. 개인정보 처리의 근거, 제3자 제공 현황, 위탁 계약, 개인정보취급자 권한, 접근기록, 인증과 암호화, 파기 방식 같은 운영 자료가 평가의 근거가 됩니다.
평가기관에는 사업 개요와 시스템 구조를 숨김없이 제공해야 합니다. 개발 중인 기능, 외부 연계, 관리자 화면, 테스트 데이터 사용 여부까지 알려야 위험요인 분석이 형식적인 점검에 그치지 않습니다.
평가서는 대상과 범위, 평가 분야와 항목, 침해 위험요인의 분석과 평가, 조치내용과 개선계획, 평가 결과와 요약을 포함해야 합니다. 따라서 결과보고서의 결론만 받기보다 위험요인별 근거와 개선 책임자를 함께 확인하는 것이 좋습니다.
평가서를 받은 공공기관은 내부승인을 거쳐 대상 개인정보파일을 운용하거나 변경하기 전에, 늦어도 평가서를 받은 날부터 2개월 이내에 평가서와 요약본을 보호위원회에 제출해야 합니다. 개선사항의 이행결과와 계획은 그 제출 기간에 내고, 그 기간 뒤 조치한 사항은 원칙적으로 평가서를 받은 날부터 1년 이내에 제출해야 합니다.
대상 개인정보파일을 운용하거나 변경하기 전에는 영향평가서를 보호위원회에 제출해야 하므로, 제출 일정을 그 전에 확정해야 합니다.
내부승인은 제출할 평가서와 요약본의 내용, 개선사항의 이행결과와 계획을 확인하는 단계로 관리하는 것이 좋습니다. 제출 시점과 이후 조치 시점을 나누어 기록하면 2개월 제출 기간과 1년 이내 제출 원칙을 혼동하기 어렵습니다.
분쟁 대응에서 유의할 부분
대상 여부가 다투어지면 가장 먼저 기준일의 개인정보파일 상태를 재구성해야 합니다. 신규 구축인지, 기존 파일의 변경인지, 다른 파일과의 연계인지에 따라 적용되는 기준과 평가 범위가 달라집니다.
정보주체 수의 산정표와 연계 구조도는 핵심 자료입니다. 단순히 시스템 용량이나 데이터베이스 행 수를 제시하는 것보다, 법정 기준에 맞춰 사람 수를 산정한 과정과 사용한 원자료를 남겨야 합니다.
평가기관 의뢰서, 계약서, 회의록, 평가서 초안과 최종본, 내부승인 기록, 보호위원회 제출 기록을 한 묶음으로 보관해야 합니다. 개선사항이 있었다면 조치 완료 화면이나 정책 개정본 등 이행 자료도 연결해 두어야 합니다.
영향평가를 마쳤다는 사실이 모든 개인정보 처리의 적법성을 대신하는 것은 아닙니다. 수집 근거, 목적 제한, 보유기간, 제3자 제공, 안전성 확보와 정보주체 권리보장 의무는 별도로 점검해야 합니다.
분쟁이 생겼을 때는 평가를 했다는 사실만 제시하기보다 대상 기준을 적용한 자료와 제출 시점을 함께 제시해야 합니다. 특히 평가서 수령일, 2개월 제출 기간, 이후 개선사항 제출 여부를 한 흐름으로 정리하면 사실관계를 확인하기 쉽습니다.
자주 묻는 질문 FAQ
FAQ는 대상 기준과 제출 책임을 나누어 확인하는 데 초점을 둡니다. 특히 평가기관의 역할과 공공기관의 장이 부담하는 제출, 개선 이행 책임을 구분해야 합니다.
Q1) 민감정보를 처리하지 않으면 개인정보 영향평가 대상이 아닌가?
그렇지 않습니다. 다른 개인정보파일과 연계한 결과가 50만명 이상이거나, 개인정보파일 규모가 100만명 이상이면 민감정보가 없어도 대상이 될 수 있습니다. 기존 평가 후 운용체계를 변경하는 경우도 별도 기준으로 판단합니다.
Q2) 외부 평가기관이 보호위원회에 평가서를 직접 제출하나요?
공공기관의 장은 보호위원회가 지정한 개인정보 영향평가기관에 영향평가를 의뢰합니다. 공공기관의 장이 내부승인을 거친 뒤 보호위원회에 제출하는 구조입니다. 따라서 제출 기록과 개선 이행 책임도 공공기관에 남습니다.
Q3) 이미 운영 중인 시스템을 바꾸면 전체 평가를 다시 해야 하나요?
이미 영향평가를 받은 개인정보파일의 운용체계를 변경하는 경우에는 변경된 부분이 평가 대상입니다. 다만 변경 내용이 새로운 개인정보파일 구축이나 다른 대상 기준에 해당하는지 함께 살펴야 합니다. 변경 범위와 판단 근거를 문서화하면 평가 범위를 설명하기 쉽습니다.
공식 자료: 국가법령정보센터, 국가법령정보센터, 국가법령정보센터
본 글은 일반적인 정보 제공 목적이며, 구체적 사안은 변호사 상담을 권장합니다.