개보위, 제3회 '개인정보 고래상' 시상...개인정보보호 우수기업 선정

핵심 요약

- 개인정보보호위원회가 2026년 8월 24일 제3회 '개인정보 고래상' 시상식을 개최하고 우수 기업·기관 선정 - 개인정보 보호 문화 확산과 자발적 보호활동 장려를 위해 2024년부터 시행된 포상 제도 - 중소기업, 공공기관, 개인 부문에서 개인정보보호 모범사례를 발굴하여 시상

주요 내용

개인정보보호위원회(위원장 고학수, 이하 개보위)는 2026년 8월 24일 제3회 개인정보 고래상 시상식을 개최했다고 밝혔다. '고래상'은 개인정보보호 분야에서 모범적인 활동을 펼친 기업, 기관, 개인을 발굴·포상하여 사회 전반의 개인정보 보호 문화를 확산하기 위해 2024년 신설된 상이다.

이번 시상은 중소기업 부문, 공공기관 부문, 개인 부문으로 나뉘어 진행됐다. 심사는 개인정보 보호 정책의 체계성, 기술적·관리적 보호조치의 우수성, 정보주체 권리 보장 노력, 개인정보보호 인식 제고 활동 등을 종합적으로 평가했다. 특히 올해는 AI 기술 활용 환경에서의 개인정보 보호 대응 사례가 주목받았다.

개보위는 "개인정보 고래상은 법적 의무 준수를 넘어 자발적으로 개인정보보호 수준을 높인 우수사례를 발굴하는 데 의의가 있다"며 "중소기업과 공공기관이 개인정보보호를 경쟁력으로 인식하고 적극 투자할 수 있도록 유인책을 제공하는 것이 목적"이라고 설명했다.

수상 기업·기관에게는 개보위 위원장 표창과 함께 정부 입찰 시 가점 부여, ISMS-P 인증 심사 시 우대 등의 혜택이 주어진다. 개보위는 향후 수상사례집을 발간하여 우수 보호조치 사례를 타 기업·기관과 공유할 계획이다.

전문가 시각

ISMS-P 선임심사원 관점에서 개인정보 고래상은 단순 포상을 넘어 국내 개인정보보호 수준의 상향평준화를 유도하는 정책 수단으로 기능한다. 개인정보보호법 제5조(개인정보 보호원칙)와 제6조(국가 등의 책무)에 따라 국가는 개인정보 보호를 위한 시책을 마련해야 하며, 고래상은 이러한 법적 책무를 이행하는 구체적 방안이다. 특히 ISMS-P 인증 취득 기업이 고래상을 수상할 경우, 이는 인증 유지·갱신 심사 시 지속적 개선 활동의 명확한 증거자료로 활용될 수 있다.

기업 입장에서는 고래상 수상을 목표로 개인정보 보호 체계를 고도화하는 과정이 곧 ISMS-P 인증기준 충족으로 이어진다는 점을 주목해야 한다. 개인정보 영향평가 자발적 실시, 개인정보 처리방침의 정보주체 친화적 개선, 임직원 대상 정기 교육 강화, 개인정보 보호책임자(CPO)의 독립성 보장 등 고래상 심사기준은 ISMS-P 인증심사 시 필수 점검 항목과 상당 부분 중복된다. 따라서 고래상 준비 과정은 ISMS-P 인증 획득 및 유지를 위한 실질적 준비 활동으로 연계될 수 있다.

ISMS-P 심사원 체크포인트

1. 2.9.1 개인정보 최소수집 및 2.9.3 개인정보 보유 및 이용 제한
고래상 심사에서 평가하는 '개인정보 최소수집 원칙 이행'은 ISMS-P 인증기준 2.9.1항과 직결된다. 심사 시 ①개인정보 수집 시 필수·선택 항목 구분의 적정성 ②수집 목적과 항목 간 연관성 ③법적 근거 명시 여부를 중점 점검한다. 개인정보보호법 제16조(개인정보의 수집 제한) 및 제3조(개인정보 보호 원칙) 제1항에 따라 최소수집 원칙 위반 시 과태료 부과 대상이다.

2. 2.9.8 정보주체 권리보장 및 2.9.9 개인정보 보호책임자 지정
고래상 심사기준인 '정보주체 권리 보장 노력'은 ISMS-P 2.9.8항의 핵심이다. 심사 시 ①열람·정정·삭제·처리정지 요구 접수 및 처리 프로세스 ②처리 기한 준수 여부(10일 이내) ③개인정보 보호책임자 및 담당자 연락처 공개 여부를 확인한다. 개인정보보호법 제35조~제37조(열람, 정정·삭제, 처리정지)에 근거하며, 미이행 시 5천만원 이하 과태료가 부과된다(법 제75조).

3. 2.10.1 개인정보 보호조직 및 2.10.2 개인정보 보호 활동
고래상의 '자발적 보호활동'은 ISMS-P 2.10.1, 2.10.2항과 연계된다. 심사 시 ①개인정보 보호책임자의 독립성과 권한 ②개인정보 보호 전담조직 구성 ③연간 교육계획 수립 및 이행 ④개인정보 영향평가(PIA) 자발적 실시 여부를 평가한다. 개인정보보호법 제31조(개인정보 보호책임자 지정) 및 제28조(개인정보 영향평가)가 근거 조항이다.

위반 조항

본 보도자료는 개인정보보호 우수사례 포상에 관한 내용으로, 개인정보보호법 위반 사항은 없음. 오히려 개인정보보호법 제6조(국가 등의 책무)에 따른 정부의 적극적 시책 이행 사례에 해당한다.

참고: 고래상 심사 시 평가되는 주요 법령 조항
- 개인정보보호법 제3조(개인정보 보호 원칙) - 최소수집, 목적 내 이용, 투명성 원칙
- 개인정보보호법 제16조(개인정보의 수집 제한) - 최소수집 의무
- 개인정보보호법 제29조(안전조치 의무) - 기술적·관리적·물리적 보호조치
- 개인정보보호법 제31조(개인정보 보호책임자의 지정) - CPO 지정 및 역할
- 개인정보보호법 제35조~제37조(정보주체의 권리) - 열람, 정정·삭제, 처리정지 권리

CPPG·ISMS-P 연계 포인트

1. 개인정보 보호 원칙 7가지 (CPPG 핵심 개념)
개인정보보호법 제3조는 ①적법성·투명성 ②목적 명확화 ③최소수집 ④정확성·최신성 ⑤목적 내 이용 ⑥안전성 확보 ⑦책임성 원칙을 규정한다. 고래상 심사기준은 이 7대 원칙의 실질적 이행 수준을 평가하며, CPPG 시험에서는 각 원칙의 법적 근거와 위반 시 제재를 묻는다. 특히 최소수집 원칙(제16조) 위반 시 3천만원 이하 과태료가 부과된다.

2. ISMS-P 인증기준 2.9~2.10 개인정보 보호 프로세스
ISMS-P 인증기준 제2장(보호대책 요구사항) 중 2.9절(개인정보 수집·이용·제공·파기)과 2.10절(개인정보 보호 관리체계)은 고래상 심사항목과 직접 연계된다. 실무에서는 ①개인정보 처리 단계별 보호조치 ②정보주체 권리 보장 절차 ③개인정보 보호조직 운영 ④교육·인식제고 활동을 문서화하고 이행해야 한다. ISMS-P 시험에서는 각 통제항목의 세부 점검사항과 증적자료를 출제한다.