2020년 공공기관 개인정보 관리수준 진단 추진계획

2020. 2.

	행정안전부 개인정보보호협력과

2020년 공공기관 개인정보 관리수준 진단 추진계획

공공기관의 개인정보 관리체계 및 유출 예방 활동 등을 진단하여 국민의 개인정보가 안전하게 관리될 수 있는 기반 조성 유도

※ 행정관리역량평가(4점), 지방공기업 경영평가(1점)

Ⅰ		개 요

□ 추진근거 : 개인정보 보호법 제11조(자료제출 요구 등)*

* 제2항: 행정안전부 장관은 개인정보 보호 정책 추진, 성과평가 등을 위하여...(중략)...개인정보관리 수준 및 실태파악 등을 위한 조사를 실시할 수 있다.

□ 대상기관 : 총 780개 기관(예정)

○ 중앙부처(46) 및 공공기관(340), 광역(17)·기초자치단체(226) 및 지방공기업(150)

※ ’20년 대상기관은 기재부‧행안부의 공공기관‧지방공기업 지정결과에 따르며, 개인정보파일이 없는 기관인 경우 신청에 의해 제외되어 변경될 수 있음

□ 진단내용 : 3개 분야 13개 지표 25개 항목

○ 관리체계 구축 및 운영 분야

- 개인정보 파일관리, 개인정보 보호기반 마련 등 5개 지표 9개 항목

○ 보호대책 수립 및 운영 분야

- 개인정보 수집‧이용‧제공‧위탁, 영상정보처리기기 운영 등 4개 지표 8개 항목

○ 침해대책 수립 및 이행 분야

- 개인정보 유‧노출 방지, 유출사고 대응절차 수립 등 4개 지표 8개 항목

□ 진단절차

6월~7월	⇨	8월~9월	⇨	10월~11월	⇨	12월～’21.1월
실적 증빙자료 온라인 등록 (intra.privacy.go.kr)		진단위원회 진단		․잠정결과 통보 ․증빙자료 재검증 ․현장방문		결과 확정통보 및 개선계획 등록

Ⅱ		2020년 주요 개선사항

◆ 업무담당자 이해도 증진과 관리역량 강화

- 진단 매뉴얼 개선, 업무절차도 마련, 전문교육 신설

◆ 수준진단 내실화 및 실효성 확보

- 지표개선, 개인정보 관리 활동에 대한 가・감점 다양화*

* 소속기관 관리‧진단시 가점, 산하 공공기관 지원 시 가점, 유출사고 감점 등

□ 관리수준 진단 매뉴얼 개선, 전문교육 신설 등 이해도 제고

‣ 담당자의 개인정보 업무 이해도를 높여 관리수준 향상 지원

○ 업무절차도 및 진단지표 연계도 마련

- 업무프로세스 중심의 개인정보 업무절차도를 마련하고 관리수준 진단지표와 연계하여 담당자가 쉽게 관리수준 업무를 파악하도록 함

○ 관리수준 진단 매뉴얼 및 제출서식 통합 개선

- 진단지표별 관련근거, 업무처리 내용, 증빙자료 제출 서식, 산정방법 등을 한눈에 파악할 수 있도록 제출서식과 매뉴얼 통합개선

○ 관리수준 진단 전문교육 신설

- 인사이동으로 인해 교체된 담당자의 관심과 이해도 증진을 위해, 상시적으로는 사이버교육*을, 주기적으로는 설명회와 사례위주의 전문교육**을 제공

* 개인정보보호 종합포털(privacy.go.kr) > 교육마당 > 온라인교육      ** ’20년 신설(연 1～2회 예정)

※ 향후 관리수준 업무 가이드 제공을 통해 상시적으로 활용할 수 있도록 지원 예정

□ 관리수준 진단지표 개선

‣ 법제도 개정 등 환경변화, 담당자 업무효율성 등을 위한 지표 신설‧통합 개선

○ 개인정보파일 관리를 독립된 지표로 신설하여 진단의 기준데이터 정립

- 공공기관은 개인정보파일의 보유·파기현황을 주기적으로 조사‧등록하여야 하나, 인식부족 등으로 관리가 미흡하여 독립된 지표로 신설

- 제출한 개인정보파일을 연관된 타 지표의 진단기준 데이터로 활용

○ 개인정보 관련 법‧제도 변경 사항을 반영한 진단지표 개편

- 「개인정보의 안전성 확보조치 기준」고시개정(’19.6.7) 사항 반영

○ 진단항목 간 중복 최소화를 위한 통합

- 지표별 개인정보 보호 교육 이행 항목을 업무 연계성‧중복성을 고려하여 하나의 진단항목으로 통합함으로써 진단 효율성 향상

- ’19년 추가된 개인정보 파기 지표항목(6.3)은 개인정보파일 파기로 명시하여 신설된 개인정보파일 관리에 이동·통합

⇨ (신설) ‘개인정보파일 관리’ 지표

- 개인정보파일을 관련된 여러 지표*의 진단 기준으로 활용

※ 영향평가 수행, 처리 위탁 감독, 접근권한‧접속기록 관리, 고유식별정보 처리 등 진단 시 개인정보파일을 기준으로 진단

⇨ (제도 반영) 접속기록 항목, 보관기간, 점검주기 등 고시 개정 반영

※ (접속기록 항목) 계정, 접속일시, 접속지 정보, 처리한 정보주체 정보, 수행업무 등 (보관기간) 기준에 따라 1년 이상, 2년 이상, (점검주기) 월 1회 등

⇨ (통합) 연계된 진단항목별 이동‧통합 등 정비

- 목적 외 이용, 유출사고 대응, 재해‧재난 대응을 위한 절차서 교육을 연간개인정보 보호 교육과 통합

- “개인정보 파기”는 신설 지표인 개인정보파일 관리로 이동‧통합

○ 과도한 행정 증빙 요구 축소

- 개인정보 제도‧정책에 변경이 없어도 매년 변경 없음을 결재 받은 문서만 인정함에 따라 행정력이 낭비되어, 변경 없으면 기존 수립 절차서 인정

- ‘개인정보 보호책임자의 역할 수행’ 진단지표의 증빙 자료를 기관 활동으로 수행 범위를 확대하여 CPO결재만이 아닌 기관 위임전결규정에 따른 결재문서도 실적인정으로 개선

⇨ (과도 증빙 축소) 접근권한 관리 정책 등이 매년 개정되지 않아도 인정, CPO 주도활동을 기관 주도활동으로 범위를 확대하고 결재는 대부분 위임전결규정으로 완화

○ 기관 주도의 개인정보 보호 활동 실적 제출기준을 구체화

- 실적인정 범주와 예시 안내로 개인정보 보호 활동의 자율성, 다양성 확대

⇨ (기관 주도활동 구체화) 범주*를 구분하여 실적 인정기준 및 예시 안내

- 기관주도의 다양한 개인정보 보호 활동 유도 및 활성화

* 홍보활동, 기관장 관심제고 및 지원, 기술적 안전조치 강화 등

□ 가‧감점 다양화

‣ 진단 실효성을 위한 유출사고 감점과 노력도 인정을 위한 가점  제공

○ 유출사고 발생 시 감점 반영

- 관리수준 서면진단의 실효성 확보를 위해 유출사고 발생기관 감점

○ 개인정보 보호 활동 적극 수행 시 가점 반영

- 소속기관 및 산하 공공기관 등의 개인정보 관리 활동 시 가점 부여

⇨ (감점) 개인정보 유출사고 발생 기관 감점

※ 유출사고 건당 5점, 중대 사안*인 경우 위원회 등 심의결과에 따라 10점 감점

* 예)대규모 유출 또는 민감한 정보 유출로 사회적 파급력이 큰 사건‧사고 발생 등

⇨ (가점)

- 중앙부처가 소속기관 진단시 가점(2점 이내)

※ 소속기관 진단 수행결과 제출 시 소속기관 수 10개 미만 1점, 10개 이상 2점

- 중앙부처·광역지자체가 산하 공공기관·기초지자체 지원시 가점(1점 이내)

※ 개인정보 보호 관련 관리·감독을 위한 교육, 컨설팅 등 지원시 가점 부여

- 기초지자체의 개인정보보호지원센터 활동 우수 가점(1점 이내)

※ 개인정보보호 지원센터 운영성과 실적 제출 시 가점 부여

< 2020년 개인정보 관리수준 진단 주요 개선 사항 >

주요개선 항목	2019년	2020년 개선
① 업무절차도 및 진단지표 연계도 마련	-	관리수준 업무이해도 증진을 위해 개인정보 업무흐름도 마련 및 지표와의 연관성 표시
② 매뉴얼과 제출서식 통합 개선	매뉴얼과 제출서식 별개 제공	지표별 관련근거, 업무처리 내용, 증빙자료 제출 서식, 산정방법 등을 한눈에 파악할 수 있도록 매뉴얼 개선
③ 전문교육 개설		사례 중심의 관리수준 진단 교육(연 1~2회 예정)
④ 지표 신설‧재구성	4.1 개인정보보호 책임자 역할수행에서‘개인정보파일 현황’제출 6.3 개인정보 파기	개인정보파일 관리를 독립지표로 신설 1번 지표*에 개인정보파일 파기를 포함
⑤ 법령 ‧ 고시 개정 반영	※ 「개인정보의 안전성 확보조치 기준」고시개정 : ’19. 6. 7.	접속기록 항목, 보관기관, 점검주기, 다운로드 사유 확인 등 고시 개정사항 반영
⑥ 연계‧중복사항 통합 (교육)	연간 교육 증빙자료와 타 지표 교육 증빙자료의 중복성 존재	개별 교육 지표항목(연간교육, 목적 외 이용 절차서, 유출사고 대응 절차서, 재해 ․ 재난 대응 절차서 교육)을 하나의 지표 항목으로 통합
⑦ 과도한 행정 증빙 요구 축소	-정책문서의 개정사항이 없는 경우에도 매년 결재 보고된 결과만 인정 -CPO 결재 요구	-접근권한 관리 정책 등 매년 개정사항이 없는 경우, 실적대상 기간 전 수립된 정책도 인정 -CPO결재요구는 대부분 기관 위임전결규정으로 완화
⑧ CPO주도실적 명확화	홍보활동 위주의 주도실적으로 편향	유형별 범주구분 및 제출기준 제시 기관 주도활동으로 범위확대
⑨ 가감점 다양화	행정처분 건별 1점 감점 2. - 3. 중앙 및 광역의 산하공공 및 기초지자체 지원기능 수행 가점폐지	1. 유출사고 시 별도 감점 추가 2. 중앙부처가 소속기관 별도 진단 시 가점 부여 추가 3. 중앙 및 광역의 산하공공․ 및 기초지자체 지원기능 수행 가점 다시 유지

* 1번 지표는 “개인정보파일 관리”, 13개 지표 중 하나로 10쪽 참조

Ⅲ		2020년 개인정보 관리수준 진단 계획

□ 진단 준비

○ ’20년 관리수준 진단 매뉴얼 마련(2월)

○ ’20년 관리수준 진단 설명회 개최(2~3월, 총 4회)

※ 일자 및 장소는 추후 통보 예정

○ 미흡기관 대상 ‘20년 진단 준비지원 현장 컨설팅(4~5월, 총 15개 기관 예정)

- 미흡 정도, 개인정보 처리규모 등을 고려하여 선정 및 개선지원 컨설팅

※ 3인1조 편성(진단위원1, 행정안전부1, 한국인터넷진흥원1)

○ 공공기관의 ‘관리수준 진단 담당자’ 등록(담당자 변경 즉시)

- 관리수준 진단시스템 이용권한(실적입력, 재검증신청, 결과확인 등) 부여(기관당 1명)

※ 시스템 등록시 개인용 GPKI, NPKI 인증서 필요

□ 진단 절차

○ 기관별 추진 실적 등록(6~7월)

- 진단항목별 실적 증빙 자료를 시스템(intra.privacy.go.kr)에 등록

- 실적 대상기간(’19. 7.1. ~ ’20. 6.30.)에 대해 지표별 인정실적 입력

※ 실적(증빙자료) 등록기간

중앙부처, 광역자치단체	6. 1. ~ 7. 10.
기초자치단체	6. 1. ~ 7. 17.
지방공기업	6. 1. ~ 7. 24.
중앙부처 산하 공공기관	6. 1. ~ 7. 31.

○ 진단위원회 진단(8~10월)

- 진단위원회(21명)에서 기관별 진단점수 부여

○ 제출자료에 대한 운영상황 확인을 위한 현장 검증(10월~11월, 15개 기관 예정)

- 증빙자료 제출내용에 대한 현장 확인 및 실사를 통한 검증

※ 3인1조 편성(진단위원1, 행정안전부1, 한국인터넷진흥원1)

○ 잠정결과 통보 및 재검증 신청기관 자료 재검토(10~11월)

- 기관별 진단결과 통보*(10월) → 기관에서 재검증요청사항 자료제출**(10월말)

* intra.privacy.go.kr을 통해 결과 확인,  ** 10.26. ~ 10.30. 기간 중

- 신청된 재검증요청자료에 대해 진단위원회에서 재검증(11월)

※ 이미 제출된 실적(증빙자료)에 대해서만 재검증, 추가 실적 제출은 불가

○ 최종결과 및 개선조치사항 안내(12월 말, intra.privacy.go.kr 확인)

- 증빙자료 재검증 결과, 현장검증 결과, 기관별 가‧감점사항 등을 적용하여 진단위원회에서 최종결과 확정

	< 가‧감점 기준 >
◈ 개인정보 관리 활동 우수사례 가점 - 중앙부처가 소속기관의 개인정보 관리수준을 직접 진단하여 결과 제출시 가점(2점 이내 : 진단 소속기관 수 기준*) * 소속기관 수가 10개 미만 1점, 10개 이상 2점 가점) - 중앙부처·광역지자체가 산하 공공기관·기초지자체의 개인정보보호 관련 지원 기능 수행여부에 따라 가점(1점 이내) ※ 순회교육, 세미나, 개인정보보호 컨설팅 등(별도 증빙자료 제출) - 개인정보보호 지원센터 활동 우수 기초자치단체 가점(1점 이내) ※ 활동 실적에 따른 결과보고서 등(별도 증빙자료 제출) ◈ 개인정보 보호 부적절 사례 감점 - 개선권고, 시정조치, 과태료 부과 등 각 건당 1점 감점 - 유출사고 발생 건당 5점 감점 ※ 중대사안인 경우 진단위원회 심의 등을 통해 최대 10점 감점 * 예) 대규모 유출 또는 민감한 정보 유출로 사회적 파급력이 큰 사건‧사고 발생 등

- ’21. 1. 31.까지 ’20년 진단 결과에 대한 개선조치 계획 등록

○ 관리수준 진단 결과 환류

- 기관별 진단 결과를 진단점수에 따라 3등급*으로 구분하여 공개

* 양호(90점 이상), 보통(70점~90점 미만), 미흡(70점 미만)

- 기관평가에 진단결과반영(행정관리역량평가, 지방공기업경영평가)

* 지자체합동평가 반영은 협의 예정

- 우수기관 포상

Ⅳ		향후 추진 일정 * 일정 변동 가능

○ ‘20년 관리수준 진단 계획 통보 및 설명회 개최(2~3월)

※ 일자 및 장소는 추후 통보 예정

○ ‘19년 진단결과 미흡기관 대상 현장컨설팅 실시(4~5월)

○ ‘20년 관리수준 진단 대상기관별 실적 증빙자료 등록(6~7월)

○ ‘20년 관리수준 진단위원회 진단 실시 및 잠정결과 통보(8~10월)

○ 재검증 신청·조정 및 현장검증(10~12월)

○ 최종결과 통보 및 개선사항 조치(12월 말~’21.1월)

붙임1	2019년 대비 2020년 주요 변경 사항

구 분		2019년	2020년
대상기관		◦ 총 778개 기관 - 중 앙 부 처 : 46개 - 중앙산하 공공기관 : 339개 - 광역자치단체 : 17개 - 기초자치단체 : 226개 - 지방공기업 : 150개	◦ 총 780개 기관(예정) - 중 앙 부 처 : 46개 - 중앙산하 공공기관 : 340개 - 광역자치단체 : 17개 - 기초자치단체 : 226개 - 지방공기업 : 150개
지표변경	지표 신설		◦ ‘1. 개인정보파일 관리’ 지표 독립신설 ※ 지표 신설에 따른 지표 순번 조정
	지표 내용 보완 (법령‧고시개정반영)	◦ 11.2. 접속기록 점검 및 후속조치	◦ 12.2 접속기록 점검 및 후속조치 - 항목, 보관기관, 점검주기, 다운로드 사유확인 등 「개인정보의 안전성 확보조치 기준」고시개정 사항 반영
	지표 재구성	◦ 개인정보 보호 교육별 별도항목 진단 - 3.2 연간 개인정보 보호 교육 - 6.2 목적 외 이용 절차서 교육 - 10.1 개인정보 침해대응 절차서 교육 - 10.2 재해‧재난 대응 절차서 교육	◦ 4.2. 개인정보 보호 교육 이행 - (교육 통합) 7.2 목적 외 이용 절차서 교육, 11.1, 11.2 유출사고대응 및 재해‧재난 대응 절차서 교육 이행 여부를 하나의 진단항목으로 포함
		◦ 6.3 개인정보 파기	◦ 1. 개인정보파일 관리 지표에 포함 - ‘개인정보파일 파기’ 현황 제출
진단방법	감점조정	◦개선권고, 시정조치, 과태료 부과 (각 1점/건당)	◦ 개선권고, 시정조치, 과태료 부과 (각 1점/건당) ◦ 유출시 감점(건당 5점, 중대사안 10점)
	가점추가	◦개인정보보호 관리 우수사례 가점 폐지	◦ 중앙부처의 소속기관 진단시 가점 (2점 이내 : 진단 소속기관 수 기준) ◦ 중앙부처·광역지자체가 산하공공·기초지자체의 지원 수행시 가점(1점 이내) ◦ 기초지자체가 개인정보보호 지원센터 활동 우수시 가점(1점 이내)
	진단등급	◦ 계획수립시 5등급(A～E)으로 세분화 - 내부 결정에 따라 최종결과 통보 시 3등급(양호, 보통, 미흡)으로 재조정	◦ 3등급으로 유지 - 양호(90점 이상) - 보통(70점~90점 미만) - 미흡(70점 미만)

붙임2	2020년 공공기관 개인정보 관리수준 진단 항목

□ 진단지표 및 가중치(3개 분야, 13개 지표, 25개 항목)

분야	진단지표	가중치				진단항목
총계		100
관리체계 구축및 운영 (30)	1. 개인정보파일 관리	5	6			1. 기관이 운용하고 있는 모든 개인정보파일 및 개인정보처리시스템과 영향평가 대상 여부에 대한 현황 파악 및 현행화를 하고 있는가?
	2. 개인정보 보호 기반마련	4	5			2.1. 개인정보 보호를 위한 전담조직과 인력을 구성·운영하고 있는가?
						2.2. 개인정보 보호 활동을 수행하는데 필요한 예산을 반영하고 있는가?
	3. 개인정보 영향평가 수행	5	-			3.1. 개인정보 영향평가 수행계획을 수립하였는가?
						3.2. 개인정보 영향평가를 이행하고 지적된 부분에 대한 후속조치를 수행하였는가?
	4. 개인정보 보호 교육 추진	8	9			4.1. 교육대상별(개인정보 보호책임자, 개인정보 보호담당자, 개인정보취급자 및 일반직원) 연간 개인정보 보호 교육 계획이 수립되어 있는가?
						4.2. 교육대상별(개인정보 보호책임자, 개인정보 보호담당자, 개인정보취급자, 일반직원) 개인정보 보호 교육이 이행되고 있는가?
	5. 개인정보 보호 책임자의 역할 수행	8	10			5.1. 개인정보 보호책임자가 관리·감독 등 역할을 이행하고 있는가?
						5.2. 개인정보 보호 수준 향상을 위한 기관 주도 실적이 있는가?
보호대책 수립 및 운영 (30)	6. 개인정보 처리방침 및 정보주체의 권리보장	7	12	9	17	6.1. 개인정보 처리방침을 공개하고 변경 내용을 지속적으로 이력관리하고 있는가?
						6.2. 정보주체의 권리행사 방법 및 절차를 마련하여 이행하고 있는가?
	7. 개인정보 수집･ 이용･제공	5	9	7	13	7.1. 개인정보는 적법하게 수집·이용·제공하고 있는가?
						7.2. 개인정보의 목적 외 이용·제공에 대비하기 위한 목적 외 이용·제공 절차를 준수하였는가?
	8. 개인정보 처리업무 위탁에 따른 개인 정보 보호	13	-	14	-	8.1. 개인정보 처리업무 위탁 현황을 파악하고 법 의무사항을 문서화 하고 있는가?
						8.2. 개인정보 처리업무를 위탁한 후 수탁자 대상으로 교육 및 감독을 이행하고 있는가?
	9. 영상정보처리기기 설치 및 운영	5	9	-	-	9.1. 영상정보처리기기 운영·관리 방침을 수립·공개하며, 법 의무사항이 모두 반영되어 있는가?
						9.2. 개인영상정보에 대한 이용·제공·열람·파기 내역을 대장에 기록하고 관리하는가?
침해대책 수립 및 이행 (40)	10. 개인정보 침해사고 방지 조치	10	15	15	25	10.1. 개인정보처리시스템의 개인정보 침해사고 방지를 위한 체계를 구축·운영하고 있는가?
						10.2. 업무용 컴퓨터, 모바일 기기 등에 대한 개인정보 유·노출 방지를 위한 체계를 구축·운영하고 있는가?
	11. 개인정보 유출사고 및 재해·재난 대응 절차 수립	5	10	10	15	11.1. 개인정보 유출사고 발생에 대응하기 위한 절차서를 수립하여 전파하고 있는가?
						11.2. 재해·재난 발생에 대응하기 위한 절차서를 수립하여 전파하고 있는가?
	12. 개인정보처리 시스템의 안전한 이용 및 관리	15	-	15	-	12.1. 개인정보처리시스템의 접근권한 관리 정책을 수립·이행하고 있는가?
						12.2. 개인정보처리시스템의 접속기록에 대한 점검 및 후속조치를 이행하고 있는가?
	13. 고유식별정보의 처리 제한	10	15	-	-	13.1. 고유식별정보의 처리 현황을 파악하고 있는가?
						13.2. 고유식별정보 암호화를 이행하였는가?

※ 가중치의 ‘-’부분은 해당 지표(3,8,9,12,13)가 비대상 기관인 경우임

붙임3	개인정보 주요 업무절차 및 관리수준 진단지표 연계도