개보위, 2026년 공공기관 개인정보 보호수준 평가단 위촉...공공부문 보호체계 강화

핵심 요약

- 개인정보보호위원회가 2026년 공공기관 개인정보 보호수준 평가단을 공식 위촉 - 개인정보보호법 제12조에 따른 공공기관 대상 정기 보호수준 평가 실시 - 평가 결과는 기관별 개선과제 도출 및 공공부문 개인정보 보호체계 고도화에 활용

주요 내용

개인정보보호위원회(위원장 고학수)는 2026년 8월 24일, 공공기관의 개인정보 보호수준을 평가할 평가단을 위촉했다고 밝혔다. 이번 평가단 위촉은 개인정보보호법 제12조(공공기관의 개인정보 보호 수준 평가)에 근거한 법정 의무사항으로, 공공부문의 체계적인 개인정보 보호체계 구축을 목적으로 한다.

평가단은 각 분야 전문가들로 구성되며, 중앙행정기관, 지방자치단체, 공공기관 등을 대상으로 개인정보 처리 단계별 보호조치 이행 여부, 관리체계 운영 실태, 기술적·관리적 보호대책 적정성 등을 종합적으로 점검한다. 평가는 서면평가와 현장평가를 병행하며, 개인정보 처리량, 민감정보 취급 여부, 정보주체 규모 등을 고려해 평가 대상과 강도를 차등 적용한다.

개보위는 평가 결과를 바탕으로 우수사례를 발굴·확산하고, 미흡 기관에 대해서는 개선권고 및 컨설팅을 제공할 계획이다. 특히 반복적으로 낮은 평가를 받거나 중대한 개인정보 침해사고가 발생한 기관에 대해서는 개인정보보호법 제64조의2(시정조치 등)에 따른 후속조치도 검토된다.

이번 평가는 2026년 하반기 중 완료될 예정이며, 평가 결과는 2027년 상반기 중 공개된다. 개보위 관계자는 "공공기관은 국민의 개인정보를 대량으로 처리하는 만큼 보다 엄격한 보호기준이 요구된다"며 "평가를 통해 공공부문의 개인정보 보호 수준을 지속적으로 향상시켜 나가겠다"고 밝혔다.

전문가 시각

공공기관 개인정보 보호수준 평가는 단순한 점검을 넘어 공공부문 전체의 개인정보 거버넌스 성숙도를 높이는 핵심 제도다. ISMS-P 인증이 주로 민간 부문에서 자율적으로 이루어지는 반면, 공공기관 평가는 법적 의무사항으로 전 공공부문에 적용된다는 점에서 파급력이 크다. 특히 최근 공공기관의 개인정보 유출사고가 빈발하면서 평가 기준도 점차 강화되는 추세다. 평가단 구성 시점부터 각 기관은 내부 점검체계를 재정비하고, 개인정보 처리 전 과정에 대한 문서화와 증적 관리를 철저히 해야 한다.

실무적으로는 평가 대비를 위해 개인정보 영향평가(PIA) 이행 현황, 개인정보 처리방침 적정성, 개인정보 파일 등록·공개 현황, 개인정보 보호책임자(CPO) 지정 및 활동 내역, 내부 관리계획 수립·시행 여부 등을 선제적으로 점검해야 한다. 특히 개인정보 처리시스템에 대한 접근통제, 암호화, 접속기록 관리 등 기술적 보호조치는 ISMS-P 인증기준과도 상당 부분 중첩되므로, 통합적 관점에서 관리체계를 구축하는 것이 효율적이다.

ISMS-P 심사원 체크포인트

1. 개인정보 보호조직 및 관리체계 (ISMS-P 2.1.1 ~ 2.1.3)
- 개인정보 보호책임자(CPO) 및 개인정보 보호담당자 지정·공개 여부 (개인정보보호법 제31조)
- 개인정보 보호 내부 관리계획 수립 및 연 1회 이상 정기 점검 이행 여부 (법 제29조, 시행령 제30조)
- 개인정보 처리방침 수립·공개 및 정기 갱신 이행 상태 (법 제30조)
- 심사 시 조직도, CPO 임명장, 내부 관리계획 승인 문서, 처리방침 공개 증적 확인 필수

2. 개인정보 파일 관리 및 영향평가 (ISMS-P 2.2.1, 2.3.1)
- 개인정보 파일 등록 및 행정안전부 개인정보 파일 목록 공개시스템 등록 여부 (법 제32조)
- 개인정보 영향평가(PIA) 대상 업무에 대한 평가 수행 및 개보위 제출 이행 (법 제33조)
- 개인정보 처리 단계별(수집→이용→제공→파기) 적법성 및 최소수집 원칙 준수 여부
- 심사 시 파일 등록대장, PIA 보고서, 개인정보 처리 흐름도, 동의서 양식 등 검토

3. 개인정보 기술적 보호조치 (ISMS-P 2.7.1 ~ 2.7.3)
- 개인정보의 안전성 확보조치 기준(고시 제2020-2호) 준수 여부
- 개인정보 및 고유식별정보 암호화 적용 (법 제24조의2, 제29조)
- 개인정보처리시스템 접근권한 관리 및 접속기록 2년 이상 보관 (법 제29조)

위반 조항

본 보도자료는 평가단 위촉에 관한 행정절차 안내로 직접적인 위반 사안은 아니나, 평가 결과 발견될 수 있는 주요 위반 조항은 다음과 같다:

개인정보보호법 제12조(공공기관의 개인정보 보호 수준 평가)
- 공공기관은 보호위원회가 실시하는 개인정보 보호수준 평가에 성실히 응해야 함
- 평가 거부 또는 불성실 응대 시 법 제64조의2에 따른 시정조치 대상

개인정보보호법 제29조(안전조치의무)
- 개인정보의 안전성 확보에 필요한 관리적·기술적·물리적 조치 미이행 시
- 위반 시 5천만원 이하 과태료 (법 제75조 제2항 제5호)

개인정보보호법 제31조(개인정보 보호책임자 지정)
- 개인정보 보호책임자 미지정 또는 업무 미수행 시
- 위반 시 2천만원 이하 과태료 (법 제75조 제4항 제1호)

CPPG·ISMS-P 연계 포인트

1. 공공기관 개인정보 보호 법적 의무체계
개인정보보호법은 공공기관에 대해 일반 개인정보처리자보다 강화된 의무를 부과한다. 개인정보 파일 등록·공개(법 제32조), 영향평가 실시(법 제33조), 보호수준 평가 응대(법 제12조) 등은 공공부문 특화 의무사항이다. CPPG 시험 출제 시 공공/민간 차별화된 의무사항 비교 문제가 자주 출제되며, 특히 개인정보 파일 등록 대상, PIA 의무 대상 판단 기준이 핵심이다.

2. 내부 관리계획과 ISMS-P 관리체계의 연계
개인정보보호법 제29조에 따른 '내부 관리계획'은 ISMS-P의 정보보호 및 개인정보보호 관리체계와 구조적으로 유사하다. 두 제도 모두 최고경영자 책임, 조직 구성, 위험분석, 보호대책 수립, 점검·개선의 PDCA 사이클을 요구한다. ISMS-P 인증을 보유한 공공기관은 인증 범위와 내부 관리계획을 통합 운영함으로써 관리 효율성을 높일 수 있으며, 보호수준 평가 대비에도 유리하다. 심사원은 두 체계의 정합성과 실질적 운영 여부를 중점 확인한다.