개인정보 영향평가(PIA), 대상과 절차 총정리

 

개인정보 영향평가(PIA), 대상과 절차 총정리

개인정보 영향평가는 새 시스템을 만들거나 크게 바꾸기 전에 개인정보 침해 위험을 미리 점검하는 제도입니다. 영어 약자로 PIA라고 부릅니다.

“우리도 해야 하나?”가 첫 질문일 텐데, 답은 기관 성격과 규모에 따라 다릅니다. 순서대로 정리하겠습니다.

목차

1. 영향평가가 무엇인가

2. 누가 해야 하나

3. 민간기업은 어떤가

4. 진행 절차 7단계

5. 핵심 산출물은 개인정보 흐름표

6. 평가기관은 어떻게 선정하나

7. 자주 하는 실수

8. 점검 체크리스트

영향평가가 무엇인가

한 문장으로 말하면 “만들기 전에 위험을 점검하는 절차”입니다.

시스템을 다 만든 뒤에 문제를 발견하면 고치는 비용이 훨씬 큽니다. 설계 단계에서 잡자는 것이 이 제도의 취지입니다. 앞서 다룬 위험평가가 조직 전반을 보는 것이라면, 영향평가는 특정 개인정보파일이나 시스템을 대상으로 합니다.

누가 해야 하나

개인정보 영향평가 의무 대상  |  업로드 파일 : r1.png

개인정보 보호법 제33조는 공공기관이 일정 기준에 해당하는 개인정보파일을 운용하는 경우 영향평가를 하도록 정하고 있습니다.

번호	대상 기준
①	민감정보 또는 고유식별정보의 처리가 수반되는 5만 명 이상의 정보주체에 관한 개인정보파일
②	내부의 다른 개인정보파일과 연계한 결과 50만 명 이상의 정보주체에 관한 개인정보가 포함되는 파일
③	100만 명 이상의 정보주체에 관한 개인정보파일
④	기존에 평가한 파일이 중대하게 변경된 경우

기준 수치와 대상 범위는 시행령에 규정돼 있으며 개정 이력이 있습니다. 실제 판단 전에 최신 조문과 보호위원회의 영향평가 안내서를 확인하십시오.

민간기업은 어떤가

법적 의무 대상은 아닙니다. 다만 자율적으로 수행하도록 권장되고 있습니다.

상황	권장 여부
대규모 신규 서비스 출시	권장. 설계 단계 점검 수단으로 유용
민감정보를 대량 처리	권장
AI 등 새로운 처리 방식 도입	권장. 위험 요인이 명확하지 않은 영역
소규모 내부 시스템	비용 대비 효과 검토

민간이라면 정식 영향평가 대신 축약된 자체 점검을 하는 방법도 있습니다. 흐름표를 그리고 위험 요인을 정리하는 것만으로도 상당한 효과가 있습니다.

진행 절차 7단계

영향평가 진행 절차  |  업로드 파일 : r2.png

단계	할 일	산출물
1. 사전 준비	대상 판단, 예산 확보, 평가기관 선정	계약
2. 수행 계획	범위·일정·참여자 확정	수행계획서
3. 자료 수집	흐름표·흐름도, 시스템 구조 파악	개인정보 흐름표
4. 위험 분석	침해 요인 도출과 위험도 산정	위험 분석 결과
5. 개선 계획	위험별 대응 방안 수립	개선계획서
6. 결과 제출	보호위원회 제출, 요약본 공개	영향평가서
7. 이행 점검	개선 사항이 실제로 반영됐는지 확인	이행점검 결과

가장 자주 실패하는 단계는 1번입니다. 예산과 일정이 확보되지 않은 채 시스템 개발이 먼저 진행되면, 영향평가가 형식적인 사후 절차가 됩니다. 사업 기획 단계에서 예산에 반영하십시오.

핵심 산출물은 개인정보 흐름표

영향평가의 실질적 가치는 여기서 나옵니다.

항목	기재 내용
수집	어떤 항목을 누구에게서 어떤 방법으로
보유	어디에 얼마나 오래
이용	누가 어떤 목적으로 접근
제공·위탁	외부로 나가는가, 어디로
파기	언제 어떤 방법으로

이 표를 한 번 제대로 만들어 두면 처리방침 작성, 위수탁 관리, 파기 계획, 접근권한 설계가 모두 여기서 파생됩니다. 영향평가 대상이 아니어도 만들어 둘 가치가 있습니다.

평가기관은 어떻게 선정하나

영향평가는 보호위원회가 지정한 평가기관이 수행합니다. 선정 시 확인할 점은 다음과 같습니다.

확인 사항	이유
유사 사업 수행 경험	우리 업무 특성을 아는가
투입 인력의 자격과 경력	실제로 누가 수행하는가
산출물 샘플	보고서 품질 확인
일정 현실성	개발 일정과 맞물리는가
이행 점검 포함 여부	6단계에서 끝나지 않는가

자주 하는 실수

실수	문제
개발 완료 후 평가	개선 사항 반영이 어려워집니다
예산 미확보	일정에 쫓겨 형식적으로 진행됩니다
현업 참여 없이 진행	실제 처리 흐름이 반영되지 않습니다
개선 계획만 세우고 미이행	이행 점검에서 드러납니다
흐름표를 외주에만 맡김	내부에 지식이 남지 않습니다

점검 체크리스트

항목	확인
우리 기관·시스템이 대상인지 판단했는가	☐
사업 기획 단계에서 예산에 반영했는가	☐
개발 착수 전에 평가를 시작했는가	☐
개인정보 흐름표를 작성했는가	☐
현업 담당자가 참여했는가	☐
개선 계획에 담당자와 기한이 있는가	☐
결과를 제출하고 요약본을 공개했는가	☐
이행 점검을 수행했는가	☐

마치며

영향평가는 규제라기보다 설계 도구에 가깝습니다. 나중에 고칠 것을 미리 잡는 절차이기 때문입니다.

의무 대상이 아니더라도 개인정보 흐름표만큼은 만들어 두시길 권합니다. 이 시리즈에서 다룬 대부분의 업무가 그 표 하나에서 시작됩니다.

이 글은 공개된 법령·고시와 실무 경험을 바탕으로 정리한 일반 정보이며, 법률자문이 아닙니다. 기준과 수치는 개정될 수 있으므로 국가법령정보센터와 개인정보보호위원회·KISA의 최신 자료를 확인하시고, 중요한 사안은 전문가 자문을 받으시기 바랍니다.

태그
#개인정보영향평가 #PIA #제33조 #개인정보흐름표 #공공기관 #개인정보보호법 #보안실무 #컴플라이언스