[법률][개보위] [고시] 개인정보 보호수준 평가에 관한 고시 일부개정(개인정보보호위원회고시 제2026-2호, 2026.2.20. 시행

확인 시간 : 2026-02-20 09:50

개보위 : 법령정보 > 훈련.예규.고시

[게시판] https://www.pipc.go.kr/np/cop/bbs/selectBoardList.do?bbsId=BS216&mCode=G010020010

[게시글] https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS216&mCode=G010020010&nttId=11826

제목 : [고시] 개인정보 보호수준 평가에 관한 고시 일부개정(개인정보보호위원회고시 제2026-2호, 2026.2.20. 시행

 제11조의2(개인정보 보호수준 평가) 

① 보호위원회는 공공기관 중 중앙행정기관 및 그 소속기관, 지방자치단체, 그 밖에 대통령령으로 정하는 기관을 대상으로 매년 개인정보 보호 정책ㆍ업무의 수행 및 이 법에 따른 의무의 준수 여부 등을 평가(이하 “개인정보 보호수준 평가”라 한다)하여야 한다.

② 보호위원회는 개인정보 보호수준 평가에 필요한 경우 해당 공공기관의 장에게 관련 자료를 제출하게 할 수 있다.

③ 보호위원회는 개인정보 보호수준 평가의 결과를 인터넷 홈페이지 등을 통하여 공개할 수 있다.

④ 보호위원회는 개인정보 보호수준 평가의 결과에 따라 우수기관 및 그 소속 직원에 대하여 포상할 수 있고, 개인정보 보호를 위하여 필요하다고 인정하면 해당 공공기관의 장에게 개선을 권고할 수 있다. 이 경우 권고를 받은 공공기관의 장은 이를 이행하기 위하여 성실하게 노력하여야 하며, 그 조치 결과를 보호위원회에 알려야 한다.

⑤ 그 밖에 개인정보 보호수준 평가의 기준ㆍ방법ㆍ절차 및 제2항에 따른 자료 제출의 범위 등에 필요한 사항은 대통령령으로 정한다.

[본조신설 2023. 3. 14.]

위 개인정보보호법 11조의 2에 따라 개인정보 보호수준 평가 시행, 대상은 공공기관

개인정보 보호수준 평가에 관한 고시

[시행 2026. 2. 20.]
[개인정보보호위원회고시 제2026-2호, 2026. 2. 20., 일부개정]
개인정보보호위원회(자율보호정책과) ☎ 02-2100-3050

제1조(목적)

이 고시는 「개인정보 보호법」(이하 "법"이라 한다) 제11조의2 및 같은 법 시행령(이하 "영"이라 한다) 제13조의2에 따라 다음 사항을 정함을 목적으로 한다.

• 개인정보 보호수준 평가의 세부 평가 대상

• 평가 절차

• 평가단 구성·운영 방법

• 평가 결과의 활용

• 기타 필요한 세부 사항

제2조(평가 대상)

① 연도별 평가 대상 확정

보호위원회는 매년 다음 사항을 반영하여 해당 연도 개인정보 보호수준 평가 대상을 확정하여야 한다.

• 기관 신설

• 통·폐합

• 제2항에 따른 신규 지정 및 재지정

② 지정 평가 대상

영 제13조의2제1항제3호에 따른 평가 대상은 영 제2조제3호의2, 제4호, 제5호(단, 「고등교육법」 제2조에 따른 학교로 한정) 중 다음 사항을 종합 고려하여 보호위원회가 정할 수 있다.

1. 민감·고유식별정보 대량 처리

   • 5만명 이상 정보주체의

     • 법 제23조(민감정보)

     • 법 제24조제1항(고유식별정보) 처리

2. 대규모 개인정보 처리

   • 100만명 이상 정보주체 개인정보 처리

3. 침해 이력 보유

   • 최근 3년간 개인정보 유출 등 침해사고 2회 이상 발생

   • 과징금 또는 과태료 처분 1회 이상 수령

4. 침해 우려가 크다고 판단되는 경우

③ 최초 평가 유예

• 최초 평가 준비기간을 고려하여 차년도부터 실시 가능

• 최초 평가 연도 포함 3년간 평가 실시

제3조(평가계획의 수립)

① 평가계획 수립

보호위원회는 다음 사항을 포함한 평가계획을 수립하여야 한다.

• 평가 대상

• 평가 일정

• 평가 기준 및 세부 평가방법

• 평가지표

② 통보 및 공개

• 매년 평가계획을 수립 후 평가 대상에게 통보

• 필요 시 보호위원회 누리집 공개 가능

제4조(평가 절차)

① 절차

개인정보 보호수준 평가는 다음 순서에 따른다.

1. 평가계획 수립 및 통보

2. 평가단 구성

3. 평가자료 제출

4. 평가 수행

5. 평가 결과 통지

② 자료 검증

• 제출자료 기준 평가

• 추가자료 제출 요구 가능

• 평가 대상은 성실히 응해야 함

③ 결과 발표

• 차년도 상반기 발표

• 각 평가 대상에 통지

④ 공개 범위

• 공개범위: 기관별 등급

• 세부 평가자료 및 점수는 비공개

제5조(평가단 구성 및 운영)

① 구성 목적

전문성·공정성 확보를 위해 평가단 구성 가능

② 구성 요건

단장 1명 포함, 다음 경력자 중 위촉

1. 「고등교육법」 제2조 학교 조교수 이상

   • 개인정보 보호 관련 경력 3년 이상

2. 개인정보 보호 또는 정보보호·보안 분야

   • 3년 이상 실무 경력

3. 기타 전문성 인정자

③ 임기

• 1년 (연임 가능)

• 위원장이 위촉

④ 수행 업무

1. 제출자료 검증 및 평가

2. 현장검증 및 자문

3. 평가 결과 평정

4. 기타 평가 수행 지원

⑤ 이해충돌 회피

• 직접 이해관계 존재 시 평가 참여 불가

• 스스로 회피 가능

⑥ 해촉 사유

1. 법령상 의무 위반

2. 직무 태만 또는 능력 부족

3. 품위 손상 행위

⑦ 수당 지급

예산 범위 내 지급 가능

제6조(평가 결과에 따른 포상)

① 우수기관 우대

• 표창

• 포상금 지급 등

② 포상금

예산 범위 내 지급

제7조(평가 결과 활용 및 지원)

① 우수사례 홍보

공공기관 보호수준 향상을 위해 활용 가능

② 미흡기관 조치

• 현장 컨설팅

• 실태점검

③ 지원 요청

중앙행정기관장·지자체장에게
컨설팅·교육·기술지원·주기점검 요청 가능

④ 업무평가 반영

소관 기관장에게 평가 결과 제공 가능