완도군 '23억 해양치유 플랫폼' 개인정보 영향평가 미실시로 개인정보보호법 위반 지적

핵심 요약

- 완도군이 23억 원 규모 해양치유 플랫폼 구축 과정에서 5만 명 이상 민감정보 처리에도 불구하고 법정 의무인 개인정보 영향평가(PIA)를 미실시 - 개인정보보호법 제33조 위반으로 과태료 부과 대상이며, 사업 추진 과정의 총체적 부실 관리 드러남 - 일반직·공무직 채용 공고 후 예산 문제로 갑작스런 취소 등 사업 관리 전반의 문제점 노출

주요 내용

완도군의회가 2026년 7월 완도군이 추진한 23억 원 규모 해양치유 플랫폼 사업의 개인정보보호법 위반 사실을 지적했다. 박 모 의원의 질의에 따르면, 해당 플랫폼은 5만 명 이상의 민감정보를 처리하는 시스템임에도 불구하고 법적으로 필수인 개인정보 영향평가를 실시하지 않은 것으로 확인됐다.

개인정보보호법 제33조는 5만 명 이상의 정보주체에 관한 민감정보, 고유식별정보를 처리하는 개인정보파일을 운용하려는 공공기관에 대해 개인정보 영향평가 실시를 의무화하고 있다. 특히 건강정보가 포함된 해양치유 플랫폼의 경우 민감정보 처리에 해당해 반드시 사전 영향평가를 거쳐야 한다. 위반 시 개인정보보호법 제75조에 따라 3천만 원 이하의 과태료가 부과될 수 있다.

의회는 개인정보 영향평가 미실시 외에도 사업 추진 과정의 전반적인 부실을 지적했다. 플랫폼 운영을 위해 일반직 및 공무직 채용 공고를 냈다가 예산 문제를 이유로 갑작스럽게 취소한 점, 사업 기획 단계부터 법적 요구사항 검토가 미흡했던 점 등이 문제로 제기됐다.

이번 사례는 지자체의 디지털 플랫폼 구축 과정에서 개인정보보호 법적 요구사항에 대한 이해 부족과 컴플라이언스 체계 미비가 여전히 심각한 수준임을 보여준다. 특히 건강·의료 관련 민감정보를 다루는 사업의 경우 더욱 엄격한 사전 검토가 필요함에도 형식적 행정 처리에 그친 것으로 평가된다.

전문가 시각

ISMS-P 심사 현장에서 가장 빈번하게 발견되는 부적합 사항 중 하나가 바로 개인정보 영향평가 미실시 또는 형식적 실시다. 특히 공공기관의 경우 개인정보보호법 제33조의 적용 대상 여부를 사전에 판단하지 않고 시스템 구축을 진행한 후 뒤늦게 법 위반 사실을 인지하는 사례가 2026년 현재까지도 반복되고 있다. 이는 정보화 사업 기획 단계에서 개인정보보호 담당 부서 또는 개인정보보호책임자(CPO)의 사전 검토 프로세스가 부재하거나 형식적으로만 운영되기 때문이다.

실무적으로 지자체는 새로운 정보시스템 구축 시 ①처리 정보주체 규모 산정 ②민감정보·고유식별정보 포함 여부 확인 ③개인정보 영향평가 대상 여부 판단 ④영향평가 전문기관 선정 및 실시 ⑤개인정보보호위원회 평가서 제출의 5단계 프로세스를 사업 초기 단계에 반드시 포함해야 한다. 특히 예산 편성 시점부터 영향평가 비용(통상 3천만~5천만 원)을 별도 항목으로 확보하지 않으면 완도군 사례처럼 법 위반 상태로 시스템을 운영하게 되는 리스크에 직면한다.

ISMS-P 심사원 체크포인트

1. 개인정보 영향평가 수행 여부 (ISMS-P 인증기준 2.5.3) - 개인정보보호법 제33조 제1항에 따른 영향평가 대상 여부 확인 필수 - 5만 명 이상 민감정보(건강정보 등) 또는 고유식별정보 처리 시스템의 경우 개인정보보호위원회 지정 전문기관을 통한 영향평가 실시 및 평가서 제출 증적 확인 - 심사 시 ①대상 판단 근거 문서 ②영향평가 보고서 ③개인정보보호위원회 제출 확인서 ④평가 결과 개선조치 이행 현황을 종합적으로 점검

2. 정보시스템 도입 및 변경 시 개인정보보호 고려 (ISMS-P 인증기준 2.5.1) - 정보시스템 기획·구축 단계에서 개인정보보호 요구사항 식별 및 반영 절차 수립 여부 - 개인정보 영향평가를 포함한 개인정보보호 사전 검토 체계가 프로젝트 관리 프로세스에 통합되어 있는지 확인 - 심사 시 정보화전략계획(ISP), 사업계획서, 제안요청서(RFP) 등에서 개인정보보호 요구사항 명시 여부 점검

3. 개인정보 처리 현황 관리 (개인정보보호법 제32조) - 개인정보파일 등록·공개 의무 이행 여부 및 처리 정보주체 수 산정 근거 확인 - 민감정보 처리 시 개인정보보호법 제23조에 따른 별도 동의 취득 및 최소 처리 원칙 준수 여부

CPPG·ISMS-P 연계 포인트

개인정보 영향평가(Privacy Impact Assessment, PIA) 대상 및 절차 개인정보보호법 제33조는 ①5만 명 이상 정보주체의 민감정보·고유식별정보 처리 ②구축·운용 또는 변경하려는 경우 사전 영향평가를 의무화한다. 평가는 개인정보보호위원회 지정 전문기관이 수행하며, 평가 결과는 위원회에 제출해야 한다. 시험에서는 대상 판단 기준(5만 명, 민감정보, 고유식별정보)과 절차(전문기관 수행, 위원회 제출), 위반 시 과태료(3천만 원 이하)가 주요 출제 포인트다.

시스템 구축 단계별 개인정보보호 통제(Privacy by Design) ISMS-P 인증기준 2.5.1은 정보시스템 도입·개발·변경 시 기획 단계부터 개인정보보호 요구사항을 식별하고 설계에 반영하도록 요구한다. 이는 사후 대응이 아닌 사전 예방적 접근(Privacy by Design)의 구현을 의미하며, RFP 작성, 보안성 검토, 영향평가, 개인정보 흐름도 작성 등이 프로젝트 관리 프로세스에 통합되어야 한다. 시험에서는 각 단계별 필수 활동과 산출물이 출제된다.