개인정보보호컨설팅
Auditing, Consulting and Evaluation for Information System
개인정보영향평가
개인정보파일의 신규 도입·변경 시 위험요인 분석 및 개선 사항을 도출하기 위하여 사전에 조사 분석·평가하기 위한 제도
법적 근거 및 적용대상
- 법적근거 : 개인정보 보호법 제33조(개인정보 영향평가)
- 적용대상 : 개인정보 보호법 시행령 제35조에 해당하는 개인정보파일을 구축ㆍ운영하거나 기존 시스템을 변경 또는 연계하려는 공공기관
- 영향평가 의무수행 대상
- [구축·운용 시]
- 의료정보 등 민감정보 또는 주민등록번호 등 고유식별정보 포함 시 5만명 이상의 정보주체에 관한 개인정보파일 구축 운용 또는 변경하는 경우
- 내·외부 시스템과 연계결과, 50만명 이상의 정보주체에 관한 개인정보파일을 구축·운용 또는 변경하는 경우
- 100만명 이상의 개인정보파일을 구축ㆍ운용 또는 변경하는 경우
- [변경 시]
- 영향평가를 받은 후에 개인정보 검색체계 등 개인정보파일의 운용체계를 변경하는 경우
영향평가 수행체계
처리절차
- 평가시점 : 영향평가 수행은 개인정보처리 시스템 구축 전단계인 분석 또는 설계단계에서 실시
- 수행주체 : 영향평가 주관부서 담당자, 개인정보보호 책임자, 개인정보보호 담당자 등으로 영향평가팀을 구성하여 영향평가를 수행
※ 공공기관은 개인정보보호위원회에서 지정한 평가기관에 영향평가 의뢰 - 분석자료
| 항목 | 수집 목적 | 수집 대상 자료 |
|---|---|---|
| ① 내부 정책 자료 |
|
|
|
|
|
| ② 외부 정책 자료 |
|
|
|
|
|
| ③ 대상시스템 관련 자료 |
|
|
|
|
|
|
|
개인정보 영향평가 절차
기대효과
- 설계단계에서부터 개인정보 침해위험성을 검토하고 개선함으로써 시스템 구축·운영시 발생할 수 있는 침해위협 최소화 및 효과적인 대응책 마련
- 개인정보보호 관련 법령의 준수와 정보주체의 권리 및 이익보호 강화