새 민원 시스템 구축 사업이 착수 보고를 마쳤는데, 감리 단계에서 “개인정보 영향평가는 어디까지 진행됐느냐”는 질문이 나온다. 이때 영향평가를 시스템 오픈 직전에 받는 점검쯤으로 여겼다면 일정이 크게 꼬인다. 영향평가는 설계에 반영할 개선사항을 찾는 절차라서, 분석·설계 단계에서 시작해야 의미가 있다.
영향평가는 누구의 의무인가
근거는 「개인정보 보호법」 제33조다. 공공기관의 장은 시행령이 정한 기준에 해당하는 개인정보파일의 운용으로 정보주체의 개인정보 침해가 우려되면 영향평가를 하고 그 결과를 개인정보보호위원회에 제출해야 한다(제1항). 평가는 보호위원회가 지정한 평가기관에 의뢰해야 하고(제2항), 영향평가를 한 개인정보파일을 등록할 때는 영향평가 결과를 함께 첨부한다(제5항). 국회·법원·헌법재판소·중앙선거관리위원회는 각 기관의 규칙을 따른다(제10항).
민간 기업에는 영향평가 의무가 없다. 다만 법은 공공기관 외의 개인정보처리자도 침해가 우려되면 영향평가를 하기 위해 “적극 노력하여야 한다”고 정하고 있고(제11항), 대규모 개인정보를 다루는 서비스라면 자율적으로 같은 방식의 위험 평가를 하는 편이 사고 대응과 설명 책임 측면에서 유리하다.
어떤 시스템이 대상인가
대상 기준은 시행령 제35조에 있다. 전자적으로 처리할 수 있는 개인정보파일로서 다음 중 하나에 해당하면 의무 대상이다.
| 구분 | 기준 |
|---|---|
| 민감·고유식별정보 | 구축·운용 또는 변경하려는 파일로서 5만 명 이상 정보주체의 민감정보 또는 고유식별정보 처리가 수반 |
| 파일 연계 | 운용 중인 파일을 기관 내부·외부의 다른 개인정보파일과 연계하려는 경우로서, 연계 결과 50만 명 이상 정보주체의 개인정보가 포함 |
| 대규모 파일 | 구축·운용 또는 변경하려는 파일로서 100만 명 이상 정보주체에 관한 개인정보파일 |
| 운용체계 변경 | 영향평가를 받은 뒤 개인정보 검색체계 등 운용체계를 변경하려는 경우(대상은 변경된 부분으로 한정) |
숫자보다 더 자주 틀리는 것은 “파일” 단위로 세는 방식이다. 시스템 전체 회원 수가 아니라 개인정보파일별로 정보주체 수와 항목을 따져야 하고, 다른 시스템과의 연계로 규모가 커지는 경우도 놓치기 쉽다. 기준은 개정될 수 있으니 사업 계획 단계에서 최신 시행령 원문으로 다시 확인하는 것이 안전하다.
언제, 어떤 순서로 진행하나
개인정보보호위원회가 배포하는 영향평가 수행 안내서는 절차를 크게 세 묶음으로 나눈다.
사전 준비. 사업 계획에 영향평가 비용과 일정을 반영하고, 지정 평가기관을 선정한다. 영향평가를 정보화 사업과 별도 사업으로 발주할지, 함께 묶을지도 이 단계에서 정한다.
영향평가 수행. 평가기관이 자료를 수집하고, 개인정보가 수집부터 파기까지 어떻게 흐르는지 흐름표와 흐름도로 정리한다. 이 흐름을 바탕으로 수집 근거, 접근 통제, 암호화, 위탁, 파기 등 항목별 침해 요인을 분석하고 개선계획을 세운다.
이행. 공공기관은 해당 개인정보파일을 운용하거나 변경하기 전에 영향평가서를 보호위원회에 제출해야 한다(시행령 제38조 제2항). 이후 개선계획을 실제 설계와 구현에 반영한다. 개선사항을 이행했는지 확인하는 절차도 뒤따른다.
시점은 분석·설계 단계가 적당하다. 개발이 끝난 뒤 받으면 “테이블 구조상 암호화 대상 컬럼 분리가 어렵다” 같은 지적이 그대로 재작업이 된다.
실무에서 자주 걸리는 지점
첫째, 개인정보 흐름 분석이 부실하다. 화면 단위로만 정리하고 배치 작업, 로그, 백업, 외부 연계 인터페이스를 빠뜨리면 정작 위험이 큰 경로가 평가에서 빠진다.
둘째, 위탁과 연계를 별개로 본다. 유지보수 업체 접근, 클라우드 운영 위탁, 다른 기관 시스템과의 실시간 연계는 각각 평가 항목이 다르므로 계약서와 인터페이스 정의서를 함께 준비해야 한다.
셋째, 개선계획이 문서로만 남는다. 개선 항목마다 담당자와 완료 시점을 정해 사업 산출물 관리에 넣어 두지 않으면, 오픈 후 감리나 점검에서 같은 지적을 다시 받는다.
영향평가를 준비한다면 사업 착수 직후 개인정보파일 목록과 연계 목록부터 만들어 두기를 권한다. 대상 여부 판단도, 평가기관과의 첫 회의도 그 두 장으로 훨씬 빨라진다.
참고 자료
ℹ️ 이 글은 생성형 AI로 작성되었습니다. 대표 이미지도 AI로 생성했습니다. 법령·수치·일정 등은 관계 기관의 원문(법령, 고시, 보도자료)으로 확인하시기 바랍니다.
답글 남기기