개보위 "공공기관 개인정보 보호, 평가 실효성 단계적 강화"

핵심 요약

• 개인정보보호위원회가 공공기관 개인정보 보호수준 평가의 실효성을 단계적으로 강화한다고 밝혔다
• 2026년도 평가부터 사고 발생 시 감점 최대치가 10점에서 20점으로 상향된다
• 사후 대응 미흡 시 최대 5점 감점과 사전예방 지표 신설 등 페널티가 강화된다

개인정보보호위원회가 13일 보도설명 자료를 내고 공공기관 개인정보 보호수준 평가의 실효성을 단계적으로 강화하고 있다고 밝혔다. 이는 한 언론이 12일자로 S등급을 받은 공공기관에서 해킹 피해가 발생해 평가 제도가 유명무실하다고 보도한 데 따른 해명이다.

개인정보위는 개인정보 보호법 제11조의2에 따라 시행 중인 이 평가가 도입 3년차인 2024년부터 시행되며 관리체계 점검 기능을 확립해 가는 단계라고 설명했다. 제도 운영 경험을 바탕으로 평가 결과의 실효성을 단계적으로 높여 나가고 있다고 밝혔다.

사전 예방 제도 성격

개인정보위는 보호수준 평가가 법적 의무 이행 여부와 전담인력·예산 확보 등 기관의 개인정보 보호 관리체계 구비 수준을 점검하는 사전 예방 제도라고 설명했다. 평가 준비 과정에서 기관이 스스로 시스템 안전조치를 점검하고 내부 인식을 개선해 보안 수준을 높이며 선제적 사고 예방을 유도하는 효과가 있다고 밝혔다.

다만 1450여개 기관의 관리 수준 전반을 매년 점검·평가하는 체계여서 평가에 따르는 현실적 한계가 있을 수 있다고 짚었다.

공공기관 개인정보 보호수준 평가는 평가 실효성을 단계적으로 강화하고 있습니다

— 개인정보보호위원회

2026년도 평가 개선 방안

개인정보위는 2026년도 평가부터 사고 발생 시 적용되는 감점 최대치를 기존 10점에서 20점으로 상향하고, 사후 대응 조치가 미흡할 경우에도 최대 5점을 감점하도록 페널티 체계를 강화한다고 밝혔다. 또 사고 예방과 대응 노력 지표를 신설해 모의해킹 및 취약점 점검 실적을 직접 평가에 반영하고, 내부자 보안을 테마 지표로 선정해 집중 점검하며, 기관장 노력 지표 배점을 확대한다고 설명했다.

미흡 등급 기관의 개선을 위해 상급 기관과 감독부처에 평가 결과를 통보하는 방안을 추진한다. 최근 3개년 연속 D등급을 받거나 매년 등급이 하락하는 주요 반복 사례는 결과 발표 시 3개년 기관 등급을 별도 공개하고, 미흡 기관에는 보완 조치서를 징구해 차년도 평가에 반영하며, 연속 미흡 기관에는 개선권고와 명단 공표를 추진할 계획이다.

개인정보위는 공공부문 인력·예산 확충 지원과 전문 개인정보보호 책임자(CPO)를 통한 보호 체계 마련 등 다양한 정책을 이어가겠다고 전했다.

ⓒ K새벽 무단 전재 및 재배포 금지