[사실은 이렇습니다] 공공기관 개인정보 보호수준 평가는 평가 실효성을 단계적으로 강화하고 있습니다

○ '26.10.12.자 "S등급 받고도 줄줄이 뚫렸다... 개인정보 보호평가 '유명무실'"(MBN) 보도와 관련하여, 평가 제도의 성격과 실효성 강화방안을 설명드립니다.

○ 「개인정보 보호법」 제11조의2에 따라 시행중인 공공기관 개인정보 보호수준 평가는 도입 3년차*를 맞아 관리체계 점검 기능을 확립해 가는 단계에 있으며, 제도 운영 경험을 바탕으로 평가 결과의 실효성을 단계적으로 높여 나가고 있습니다.

* 2024년부터 법정 평가로서 공공기관 개인정보 보호수준 평가 시행

○ 보호수준 평가는 법적 의무 이행 여부, 전담인력·예산 확보 등 기관의 개인정보 보호 관리체계 구비 수준을 점검하는 사전 예방 제도입니다.

- 보호수준 평가는 평가를 준비하는 과정에서 기관 스스로 시스템의 안전조치를 점검하고, 내부 개인정보 보호 인식을 개선하는 등 보안 수준을 향상하고 선제적인 사고 예방 노력을 유도하는 효과가 있습니다.

- 다만, 보호수준평가는 1,450여개 기관의 관리 수준 전반을 매년 점검·평가하는 체계로서 평가에 따르는 현실적 한계가 있을 수 있습니다.

○ 개인정보위는 평가 결과가 기관의 실질적인 보호수준 향상으로 이어지도록 다음과 같이 평가 방식·제도를 개선할 계획입니다.

- 2026년도 평가부터, 공공기관 유출과 사후 조치에 대한 경각심 제고를 위해 사고 발생 시 적용되는 감점 최대치를 기존 10점에서 20점으로 상향하고, 사고 발생 이후의 사후 대응 조치가 미흡할 경우에도 최대 5점의 감점을 부여하도록 페널티 체계를 강화하는 한편, '사고 예방과 대응 노력' 지표를 신설하여 모의해킹 및 취약점 점검 실적을 직접 평가에 반영할 수 있도록 개선하고, '내부자 보안'을 테마 지표로 선정하여 집중 점검하며, 사전예방과 관련된 기관장 노력 지표의 배점을 확대하는 등 선제적 예방 관리를 강화합니다.

- 또한, 미흡 등급 기관이 개선되도록 상급 기관 및 감독부처에 평가 결과를 통보하는 방안을 추진합니다. 이와 함께 기관별 최근 3개년 연속 D등급을 받는 경우, 최근 3개년간 매년 등급이 하락하는 경우 등 주요 반복 사례에 대해 결과 발표 시 3개년 기관 등급을 별도 공개할 예정입니다. 아울러, 미흡 기관에 대해 보완 조치서를 징구하고, 보완조치 노력 여부를 차년도 평가에 반영할 계획입니다. 또한 연속하여 미흡등급을 받는 기관에 대해서는 개선권고를 부과하고 이에 따른 명단 공표를 추진할 계획입니다.

○ 개인정보위는 공공기관의 개인정보 보호수준 향상을 위하여 개인정보 보호수준 평가의 개선뿐만 아니라, 공공부문의 인력·예산 확충 지원, 전문 개인정보보호 책임자(CPO)를 통한 보호 체계 마련 등 다양한 정책을 이어가겠습니다.

정책브리핑의 자료는 「공공누리 제1유형:출처표시」의 조건에 따라 자유롭게 이용이 가능합니다. 다만, 사진의 경우 제3자에게 저작권이 있으므로 사용할 수 없습니다. 기사 이용 시에는 출처를 반드시 표기해야 하며, 위반 시 저작권법 제37조 및 제138조에 따라 처벌될 수 있습니다. <자료출처=정책브리핑 www.korea.kr>