개인정보위, 공공기관 개인정보 평가 강화…유출사고 감점 10→20점

개인정보보호위원회가 공공기관 개인정보 보호수준 평가의 실효성을 높이기 위해 개인정보 유출사고에 대한 감점을 두 배로 확대하고, 반복적으로 낮은 평가를 받은 기관의 등급을 별도로 공개하기로 했다.

개인정보위는 공공기관 개인정보 보호수전 평가 방식과 제도를 단계적으로 강화하고 있다고 12일 밝혔다. 공공기관 개인정보 보호수준 평가는 개인정보보호법에 따라 2024년부터 시행된 법정 평가다. 법적 의무 이행 여부와 개인정보 보호 전담인력·예산 확보 등 기관의 관리체계를 매년 점검한다. 현재 평가 대상은 1450여개 기관이다.

개인정보위는 보호수준 평가가 개별 기관의 실제 침해사고 발생 가능성을 직접 예측하는 제도라기보다, 개인정보 보호 관리체계가 제대로 마련돼 있는지를 점검하는 사전 예방 성격의 제도라고 설명했다.

다만 실제 유출사고와 평가 결과 사이의 괴리를 줄이기 위해 올해부터 페널티를 강화한다. 우선 개인정보 유출사고가 발생했을 때 적용하는 감점 최대치를 기존 10점에서 20점으로 높인다. 사고 이후 대응이 미흡한 경우에도 최대 5점을 추가로 감점한다.

'사고 예방과 대응 노력' 지표도 새로 만든다. 모의해킹과 취약점 점검 실적을 평가에 직접 반영하고, '내부자 보안'을 테마 지표로 선정해 집중적으로 살펴볼 계획이다. 개인정보 보호를 위한 기관장의 사전 예방 노력에 대한 배점도 확대한다.

낮은 평가를 반복해서 받은 기관에 대한 관리도 강화한다. 개인정보위는 미흡 등급 기관의 평가 결과를 상급기관과 감독부처에 통보하는 방안을 추진한다. 최근 3년 연속 D등급을 받거나 3년 동안 매년 등급이 떨어진 기관 등 반복 사례는 결과 발표 때 최근 3개년 등급을 별도로 공개한다.

미흡 기관에는 보완조치서를 제출하도록 하고 개선 노력을 다음 연도 평가에 반영한다. 연속해서 미흡 등급을 받은 기관에는 개선권고를 내리고 해당 기관 명단을 공개하는 방안도 추진한다. 아울러 공공부문의 개인정보 보호 인력·예산 확충 지원과 전문 개인정보보호책임자(CPO)를 통한 보호체계 강화도 함께 추진할 계획이다.

개인정보위 관계자는 "보호수준 평가는 기관이 평가를 준비하는 과정에서 자체적으로 안전조치를 점검하고 개인정보 보호 인식을 개선하도록 유도하는 제도"라며 "공공기관의 실질적인 개인정보 보호수준 향상으로 이어지도록 평가 방식을 계속 개선하겠다"고 밝혔다.