14. 개인정보 영향평가 제도

1. 개인정보 영향평가 제도 개요

○ 공공기관이 개인정보파일의 운용으로 인하여 정보조체의 개인정보 침해가 우려되는 경우에는 영향평가를 실시하고 그 결과를 행정안전부에 제출해야 한다.

○ 영향평가 시 고려할 사항

▷ 처리하는 개인정보의 수

▷ 개인정보의 제3자 제공 여부

▷ 정보주체의 권리를 해할 가능성 및 그 위험 정도

▷ 민감정보 또는 고유식별정보의 처리 여부

▷ 개인정보 보유기간

○ 국회, 법원, 헌법재판소, 중앙선거관리위원회와 그 소속기관은 자율적으로 정하여 할 수 있다.

○ 민간기업은 자율적으로 개인정보 영향평가를 실시할 수 있다.

2. 개인정보 영향평가 대상

○ 민감정보 또는 고유식별정보의 처리가 수반되는 개인정보파일 : 5만명 이상의 정보주체

○ 다른 개인정보파일과 연계하려는 경우 : 연계한 결과 50만명 이상의 정보주체

○ 일반적인 개인정보 파일 : 100만명 이상의 정보주체에 관한 개인정보

○ 영향평가를 받은 후 개인정보 검색 체계 등 개인정보파일의 운용 체계를 변경하려는 경우 : 변경된 부분에 한정

3. 개인정보 영향평가 기준과 절차

○ 평가기관은 영향평가 시행 후 영향평가서를 해당 공공기관에 제출

○ 해당 공공기관은 그 영향평가서를 행정안전부장관에게 제출

○ 행정안전부장관은 제출받은 영향평가 결과에 대해 '개인정보 보호위원회'의 심의·의결을 거쳐 의결 제시 가능

4. 평가기관 지정 및 지정취소

○ 평가기관 지정 요건(아래 사항 모두를 만족해야 함)

▷ 최근 5년간의 개인정보 영향평가업무 및 이와 유사한 업무 등의 영향평가 수행실적이 2억원 이상

▷ 10인이상의 전문인력을 보유

▷ 신원 확인 및 출입통제를 위한 설비를 갖춘 사무실, 기록 및 자료의 안전한 관리를 위한 설비

○ 평가기관이 거짓이나 그 밖의 부정한 방법으로 지정을 받은 경우에는 행정안전부장관은 반드시 지정을 취소해야 함