2018년 공공기관 개인정보보호 관리수준 진단 계획

2018. 1.

	전자정부국 (개인정보보호정책과)

2018년 공공기관 개인정보보호 관리수준 진단 계획

◇ 공공기관 개인정보보호 관리체계 및 침해예방 활동 등을 진단하고 기관평가에 반영하여 개인정보보호 수준 향상을 유도

※ 정부 업무평가(4점), 지자체 합동평가(3점), 지방공기업 경영평가(0.5점)

Ⅰ		진단 개요

□ 대상기관 : 총 760개 기관

○ 중앙부처(46) 및 산하기관(330), 광역(17)·기초자치단체(226) 및 지방공기업(141)

○ 연도별 진단 대상기관 변경 추이

(’15년) 737개	⇒	(‘16년) 749개	⇒	(‘17년) 759개	⇒	(‘18년) 760개
중앙(45), 산하기관(315) 지자체(243), 지방공기업(134)		중앙(45), 산하기관(322) 지자체(243), 지방공기업(139)		중앙(45), 산하기관(330) 지자체(243), 지방공기업(141)		중앙(46), 산하기관(330) 지자체(243), 지방공기업(141)

※ ’18년 대상기관은 기재부‧행안부의 공공기관‧지방공기업 지정 결과에 따라 변경될 수 있음

□ 진단내용 : 3개 분야 12개 지표 24개 항목

○ 관리체계 구축 및 운영 분야

- 개인정보보호 기반 마련, 개인정보보호 교육 등 4개 지표 8개 항목

○ 보호대책 수립 및 이행 분야

- 개인정보 수집, 영상정보처리기기 운영 등 4개 지표 8개 항목

○ 침해대책 수립 및 이행 분야

- 개인정보 유‧노출 방지, 침해대응 절차 수립 등 4개 지표 8개 항목

□ 진단절차

7월	⇒	8월~9월	⇒	10월~11월	⇒	12월
실적 등록		진단위원회 평가		중간결과통보, 증빙자료 재검증, 현장방문		최종결과 확정 및 개선지원

Ⅱ		’17년 진단결과 및 개선방안

□ ’17년 관리수준 진단 결과

○ 지표별 기본점수를 20점 하향 조정(‘16년 40점 → ’17년 20점) 하였에도 불구하고 종합평균은 전년도(84.98) 대비 3.70점만 하락(4.3%↓)하였음

- 이는 실질적인 개인정보보호 관리수준은 향상되었다고 평가할 수 있음

○ 다만, 침해사고대책 분야가 78.73점으로 다른 분야보다 낮게 평가되어 수준제고를 위한 지속적인 투자와 노력이 필요

○ 특히 기초자치단체, 지방공기업과 산하기관에 대하여는 관리수준 제고를 위한 다각적인 노력이 필요함

< 기관 유형별 분야별 진단결과 >
구 분	대상	종합 평균	분 야 별
			관리체계	보호대책	침해사고대책
전체평균	759개	81.28	87.57	83.77	78.73
중앙부처	45개	88.86	92.62	91.01	87.56
광역자치단체	17개	84.55	91.35	89.35	81.22
기초자치단체	226개	81.31	87.61	85.03	78.15
지방공기업	141개	81.31	88.47	83.65	77.98
산하기관	330개	80.05	86.26	81.69	78.12

□ 문제점 및 개선방안

○ 개인정보 침해사고가 계속 발생하고 있음에도 ‘17년도 진단 결과 보통 수준 이상 공공기관이 83.8%로 실제 보호수준과 괴리 현상 지속

※ ’17년 진단결과 759개 기관중 양호 240(31.6%), 보통 396(52.2%), 미흡 123(16.2%)

⇨ 지표별 기본점수 20점을 폐지하여 실질적인 관리수준 진단 도모

※ 기본점수는 단계적으로 폐지(’16년 : 60점→40점, ’17년 40점→20점, ’18년 20점→0점)

○ 고질적인 미흡기관의 관리수준 제고를 위한 개선지원 확대 필요

※ 최근 3년간 미흡기관은 209개, 이중 2회 이상은 51개, 3년 연속은 21개임

⇨ 미흡기관 위주로 현장방문하여 집중적 개선지원 실시(30개 기관)

- 개인정보 처리량, 침해사고 여부 등을 고려하여 대상 기관 선정

○ 개인정보 영향평가*(70.38), 개인정보처리시스템의 안전한 이용 및 관리(56.98)** 등 미흡한 지표에 대한 관리수준 제고 촉진 필요

* 개인정보 영향평가 대상 여부 파악 등 개인정보파일 관리 부실

** 접속기록 보존 및 주기적 점검 등 보호조치의 완벽한 이행력 부족

⇨ 미흡한 지표에 대한 배점 및 가중치 확대, 관리 향상 유도

⇨ 분야별, 지표별 우수‧미흡사례를 진단지표 설명회에서 안내

○ 중앙 부처 산하기관은 우리부와 소관 부처가 각각 관리수준 진단을 함에 따라 중복 진단에 따른 업무 부담 호소

⇨ 산하기관이 20개 이상인 부처*는 본 진단계획에 따라 소관 산하기관을 자체 진단하고 우리부는 그 결과를 제출받아 진단에 반영

* 국무조정실(24), 미래창조과학부(46), 교육부(22), 문화체육관광부(33),

산업통상자원부(41), 보건복지부(23), 국토교통부(23)

※ ’17년도에는 교육부와 보건복지부가 소관 산하기관을 자체 진단하고,
우리부는 그 결과를 제출받아 진단에 반영한 바 있음

○ ‘17년도 법령 개정사항 반영 필요

⇨ 동의서의 주요고지 사항 명확화(법 제22조, ’17. 10. 19. 시행) :

5.2 동의절차 이행 지표에 반영

⇨ 고유식별정보의 안전성 확보 조치 조사(법 제24조, ‘17. 7. 26. 시행) :

12. 주민등록번호의 처리제한 → 12. 고유식별정보의 처리제한

Ⅲ		’18년 개인정보보호 관리수준 진단 계획

□ 진단 절차

	<사전준비>
◇ 관리수준 진단시스템 이용 권한(기관 실적 입력, 재검증 신청, 결과 확인 등)은 기관 담당자 1명에게만 부여되므로, “관리수준 진단 담당자” 명단을 사전에 제출하여 시스템 이용 권한을 부여받아야 함 ◇ “관리수준 진단 담당자”는 시스템에 접속하여 사용자 등록을 완료해야 함 ※ intra.privacy.go.kr 접속 → 담당자 등록 (개인용 GPKI, NPKI 인증서 필요) ♦ 공지사항에 “개인정보보호 관리수준 진단 증적자료 자료 작성 예시” 참고

○ 기관별 추진 실적 등록(7월)

- 진단항목별 실적 증빙 자료를 시스템(intra.privacy.go.kr)에 등록

- 실적기간(’17.7월 ~ ’18.6월) 중 지표별 인정실적 기준으로 입력

- 증빙자료 제출 편의를 위해 실적 제출 양식 마련 * 별도 공문 시행

◇ 제출자료의 시행일자, 최종결재자를 확인할 수 있는 시행문, 문서표지 등을 반드시 포함해야 함

◇ 별도의 실적 제출 양식에 맞추어 단일 파일 형태(HWP 또는 .PDF)로 등록

◇ 실적(증빙자료) 등록기간

- 중앙부처, 광역자치단체 : 7. 2. ~ 7. 9.

- 기초자치단체 : 7. 10. ~ 7. 17.

- 지방공기업 : 7. 17. ~ 7. 24.

- 중앙부처 산하기관 : 7. 18. ~ 7. 27.

※ 등록기간 이후에는 추가 실적 제출 불가

◇ 실적(증빙자료) 재검증 자료 제출 : 10. 25. ~ 10. 31.

○ 진단위원회 중간 평가(8월~9월)

- 외부 전문가(20명)로 진단위원회 구성

- 진단위원회 회의를 통하여 외부진단위원이 진단점수 부여

○ 중간평가 결과 통보 및 증빙자료 재검증(10월~11월)

- 기관별 진단결과 통보(10월중) □ 기관 증빙자료 재검증 자료제출(10월말)

- 진단위원회에서 제출된 증빙자료 재검증

※ 이미 제출된 실적(증빙자료)에 대해서만 재검증, 추가 실적 제출은 불가

○ 중간평가 결과 미흡기관 현장 방문(10월~11월, 총 30개 기관)

- 개인정보 처리규모, 미흡 정도 등을 고려하여 선정, 개선지원 컨설팅

※ 3인1조 편성(진단위원1, 행정안전부1, 한국인터넷진흥원1)

○ 최종결과 확정 및 개선 지원(12월~)

- 증빙자료 재검증 결과, 현장확인 결과, 기관별 가‧감점 등을 적용하여 진단위원회에서 최종결과 확정

	< 가감점 기준 >
․ 개인정보보호 관리 우수사례 가점 - 중앙부처·광역지자체의 산하기관·기초지자체에 대한 개인정보보호 관련 지원 기능 수행여부에 따라 가점(1점 이내) ※ 순회교육, 세미나, 개인정보보호 컨설팅 등(별도 증빙자료 제출) - 개인정보보호 지원센터 활동 우수 기초자치단체 가점(0.5점) ․ 개인정보보호 부적절 사례 감점 - 개선권고(1점/건당), 시정조치(1점/건당), 과태료 부과(2점/건당), 유출사고 발생(10점/건당)

○ 관리수준 진단 결과 환류

- 기관별 진단 결과를 평가점수에 따라 3등급*으로 구분하여 공개

* 양호(90점 이상), 보통(70점~90점 미만), 미흡(70점 미만)

- 진단결과 기관평가에 반영(행정관리역량평가, 지자체합동평가, 지방공기업경영평가)

- 우수사례집 발간 및 우수사례 전파

Ⅳ		향후 추진 일정

○ 진단계획(안) 대상기관 의견수렴 및 진단계획 확정(2월초)

○ 진단계획 통보 및 설명회 개최(2월말)

○ 기관별 실적 증빙자료 등록(7월)

○ 진단 실시 및 평가(8월~9월)

○ 중간결과 통보, 증빙자료 재검증 및 현장방문 확인(9월~11월)

○ 최종결과 통보 및 개선사항 조치(12월)

붙임1	’17년 대비 주요 변경 사항

구 분	’17년도	’18년도
진단대상	◦ 총 759개 기관 - 중 앙 부 처 : 45개 - 광역자치단체 : 17개 - 기초자치단체 : 226개 - 지방공기업 : 141개 - 중앙부처 산하기관 : 330개	◦ 총 760개 기관(+1개) - 중 앙 부 처 : 46개(+1) - 광역자치단체 : 17개 - 기초자치단체 : 226개 - 지방공기업 : 141개 - 중앙부처 산하기관 : 330개 * 기재부와 행안부의 산하기관‧지방공기업 지정결과에 따라 변경될 수 있음
진단지표 변경사항	◦ 분야별 배점 비율 - 관리체계 30 - 보호대책 30 - 침해대책 40	◦ 침해대책 분야 배점 확대 - 관리체계 25(-5) - 보호대책 30 - 침해대책 45(+5)
	◦ 지표별 가중치 - 7. 개인정보 영향평가 수행 : 10 - 11. 개인정보처리시스템의 안전한 이용 및 관리 : 14	◦ 미흡 지표 가중치 확대 - 7. 개인정보 영향평가 : 13(+3) - 11. 개인정보처리시스템의 안전한 이용 및 관리 : 18(+4)
	※ 개인정보 보호법령 개정 ․ 동의서 고지사항 명확화 (법 제22조, ’17. 10월 시행) ․ 고유식별정보 안전성 확보조치 정기적 조사(법 제24조, ’17. 7월 시행)	◦ 법령 개정사항 반영 - ‘5.2 동의절차 이행’ 지표에 반영 - 12. 주민등록번호의 처리제한 → 12. 고유식별정보의 처리제한
진단방법	◦현장점검 100개 기관 - 증빙자료의 현장 확인 위주	◦ 현장점검 30개 기관 - 미흡기관의 개선지원 위주
	◦중앙부처의 산하기관 자체 진단 - 교육부, 보건복지부 실시	◦ 중앙부처의 산하기관 자체 진단 - 산하기관 20개 이상 중앙부처
기본점수	◦ 20점	◦ 0점

붙임2	’18년 개인정보보호 관리수준 진단 평가항목(안)

□ 진단지표 및 가중치(3개 분야, 12개 지표, 24개 항목)

분야	진단지표	가중치				진단항목
총계		100
관리체계 구축 및 운영 (25)	1. 개인정보보호 기반마련	4		6		1.1. 개인정보보호를 위한 전담조직과 인력을 구성·운영하고 있는가?
						1.2. 개인정보보호 활동을 수행하는데 필요한 예산을 반영하고 있는가?
	2. 개인정보 처리 업무위탁에 따른 개인정보보호	10		-		2.1. 개인정보 처리 업무위탁 현황을 파악하고 법 의무사항을 문서화 하고 있는가?
						2.2. 개인정보 처리 업무를 위탁한 후 수탁자 대상 교육 및 감독을 이행하고 있는가?
	3. 개인정보보호 교육 추진	4		8		3.1. 교육대상별(개인정보 보호책임자, 개인정보 보호담당자, 개인정보취급자/일반직원) 연간 개인정보보호 교육 계획이 수립되어 있는가?
						3.2. 교육대상별(개인정보 보호책임자, 개인정보 보호담당자, 개인정보취급자/일반직원) 개인정보보호 교육이 이행되고 있는가?
	4. 개인정보 보호 책임자의 역할 수행	7		11		4.1. 개인정보 보호책임자가 관리·감독 등 역할을 이행하고 있는가?
						4.2. 개인정보보호 수준 향상을 위한 개인정보 보호책임자 주도 실적이 있는가?
보호대책 수립 및 이행 (30)	5. 개인정보 수집	7	12	9	17	5.1 필요 최소한의 개인정보를 수집하고 있는가?
						5.2 개인정보 수집에 대한 동의절차를 잘 이행하고 있는가?
	6. 개인정보 목적 외 이용·제3자 제공 절차 운영	5	9	7	13	6.1. 개인정보의 목적 외 이용·제공에 대비하기 위한 목적 외 이용·제공 절차서를 수립하고 있는가?
						6.2. 목적 외 이용·제공 절차서를 개인정보취급자에게 전파하고, 목적 외 이용·제공 시 대장에 기록·관리하는가?
	7. 개인정보 영향 평가 수행	13	-	14	-	7.1. 개인정보 영향평가 대상 여부를 파악하고 있는가?
						7.2. 개인정보 영향평가 계획을 수립·이행하였는가?
	8. 영상정보처리기기 설치 및 운영	5	9	-	-	8.1. 영상정보처리기기 운영·관리 방침을 수립·공개하며, 법 의무사항이 모두 반영되어 있는가?
						8.2. 개인영상정보에 대한 이용·제공·열람·파기 내역을 대장에 기록하고 관리하는가?
침해대책 수립 및 이행 (45)	9. 개인정보 유·노출 방지 조치	10	16	15	21	9.1. 홈페이지 및 개인정보처리시스템의 개인정보 유·노출 방지를 위한 체계를 구축·운영하고 있는가?
						9.2. 업무용 컴퓨터, 모바일기기 등에 대한 개인정보 유·노출 방지를 위한 체계를 구축·운영하고 있는가?
	10. 개인정보 침해 대응 및 재해·재난 대응 절차 수립	7	13	10	19	10.1. 개인정보 침해사고 발생에 대응하기 위한 절차서를 수립하여 전파하고 있는가?
						10.2. 재해·재난 발생에 대응하기 위한 절차서를 수립하여 전파하고 있는가?
	11. 개인정보처리 시스템의 안전한 이용 및 관리	18	-	20	-	11.1. 개인정보처리시스템의 접근권한 관리 정책을 수립·이행하고 있는가?
						11.2. 개인정보처리시스템의 접속기록에 대한 점검 및 후속 조치를 이행하고 있는가?
	12. 고유식별정보의 처리 제한	10	16	-	-	12.1. 고유식별정보의 처리 현황을 파악하고 있는가?
						12.2. 고유식별정보의 안전성 확보 조치를 이행하였는가?
※ 2, 7, 8, 11, 12번 지표 비대상 기관은 해당 지표 점수를 동일 분야 타 지표에 분배한 가중치 적용