① 보호위원회는 법 제33조제2항에 따라 다음 각 호의 요건을 모두 갖춘 법인을 개인정보 영향평가기관(이하 "평가기관"이라 한다)으로 지정할 수 있다. <개정 2013.3.23, 2014.11.19, 2015.12.22, 2017.7.26, 2020.8.4, 2023.9.12>
1. 최근 5년간 다음 각 목의 어느 하나에 해당하는 업무 수행의 대가로 받은 금액의 합계액이 2억원 이상인 법인
가. 영향평가 업무 또는 이와 유사한 업무
나. 「전자정부법」 제2조제13호에 따른 정보시스템(정보보호시스템을 포함한다)의 구축 업무 중 정보보호컨설팅 업무(전자적 침해행위에 대비하기 위한 정보시스템의 분석ㆍ평가와 이에 기초한 정보 보호 대책의 제시 업무를 말한다. 이하 같다)
다. 「전자정부법」 제2조제14호에 따른 정보시스템 감리 업무 중 정보보호컨설팅 업무
라. 「정보보호산업의 진흥에 관한 법률」 제2조제1항제2호에 따른 정보보호산업에 해당하는 업무 중 정보보호컨설팅 업무
마. 「정보보호산업의 진흥에 관한 법률」 제23조제1항제1호 및 제2호에 따른 업무
2. 개인정보 영향평가와 관련된 분야에서의 업무 경력 등 보호위원회가 정하여 고시하는 자격을 갖춘 전문인력을 10명 이상 상시 고용하고 있는 법인
3. 다음 각 목의 사무실 및 설비를 갖춘 법인
가. 신원 확인 및 출입 통제를 위한 설비를 갖춘 사무실
나. 기록 및 자료의 안전한 관리를 위한 설비
① 공공기관의 장은 대통령령으로 정하는 기준에 해당하는 개인정보파일의 운용으로 인하여 정보주체의 개인정보 침해가 우려되는 경우에는 그 위험요인의 분석과 개선 사항 도출을 위한 평가(이하 "영향평가"라 한다)를 하고 그 결과를 보호위원회에 제출하여야 한다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2020.2.4, 2023.3.14>
② 보호위원회는 대통령령으로 정하는 인력ㆍ설비 및 그 밖에 필요한 요건을 갖춘 자를 영향평가를 수행하는 기관(이하 "평가기관"이라 한다)으로 지정할 수 있으며, 공공기관의 장은 영향평가를 평가기관에 의뢰하여야 한다. <신설 2023.3.14>
③ 영향평가를 하는 경우에는 다음 각 호의 사항을 고려하여야 한다. <개정 2023.3.14>
1. 처리하는 개인정보의 수
2. 개인정보의 제3자 제공 여부
3. 정보주체의 권리를 해할 가능성 및 그 위험 정도
4. 그 밖에 대통령령으로 정한 사항
④ 보호위원회는 제1항에 따라 제출받은 영향평가 결과에 대하여 의견을 제시할 수 있다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2020.2.4, 2023.3.14>
⑤ 공공기관의 장은 제1항에 따라 영향평가를 한 개인정보파일을 제32조제1항에 따라 등록할 때에는 영향평가 결과를 함께 첨부하여야 한다. <개정 2023.3.14>
⑥ 보호위원회는 영향평가의 활성화를 위하여 관계 전문가의 육성, 영향평가 기준의 개발ㆍ보급 등 필요한 조치를 마련하여야 한다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2020.2.4, 2023.3.14>
⑦ 보호위원회는 제2항에 따라 지정된 평가기관이 다음 각 호의 어느 하나에 해당하는 경우에는 평가기관의 지정을 취소할 수 있다. 다만, 제1호 또는 제2호에 해당하는 경우에는 평가기관의 지정을 취소하여야 한다. <신설 2023.3.14>
1. 거짓이나 그 밖의 부정한 방법으로 지정을 받은 경우
2. 지정된 평가기관 스스로 지정취소를 원하거나 폐업한 경우
3. 제2항에 따른 지정요건을 충족하지 못하게 된 경우
4. 고의 또는 중대한 과실로 영향평가업무를 부실하게 수행하여 그 업무를 적정하게 수행할 수 없다고 인정되는 경우
5. 그 밖에 대통령령으로 정하는 사유에 해당하는 경우
⑧ 보호위원회는 제7항에 따라 지정을 취소하는 경우에는 「행정절차법」에 따른 청문을 실시하여야 한다. <신설 2023.3.14>
⑨ 제1항에 따른 영향평가의 기준ㆍ방법ㆍ절차 등에 관하여 필요한 사항은 대통령령으로 정한다. <개정 2023.3.14>
⑩ 국회, 법원, 헌법재판소, 중앙선거관리위원회(그 소속 기관을 포함한다)의 영향평가에 관한 사항은 국회규칙, 대법원규칙, 헌법재판소규칙 및 중앙선거관리위원회규칙으로 정하는 바에 따른다. <개정 2023.3.14>
⑪ 공공기관 외의 개인정보처리자는 개인정보파일 운용으로 인하여 정보주체의 개인정보 침해가 우려되는 경우에는 영향평가를 하기 위하여 적극 노력하여야 한다. <개정 2023.3.14>
이 법에서 사용하는 용어의 뜻은 다음과 같다. <개정 2013.3.23, 2014.1.28, 2014.11.19, 2017.7.26, 2025.1.7>
1. "전자정부"란 정보기술을 활용하여 행정기관 및 공공기관(이하 "행정기관등"이라 한다)의 업무를 전자화하여 행정기관등의 상호 간의 행정업무 및 국민에 대한 행정업무를 효율적으로 수행하는 정부를 말한다.
2. "행정기관"이란 국회ㆍ법원ㆍ헌법재판소ㆍ중앙선거관리위원회의 행정사무를 처리하는 기관, 중앙행정기관(대통령 소속 기관과 국무총리 소속 기관을 포함한다. 이하 같다) 및 그 소속 기관, 지방자치단체를 말한다.
3. "공공기관"이란 다음 각 목의 기관을 말한다.
가. 「공공기관의 운영에 관한 법률」 제4조에 따른 법인ㆍ단체 또는 기관
나. 「지방공기업법」에 따른 지방공사 및 지방공단
다. 특별법에 따라 설립된 특수법인
라. 「초ㆍ중등교육법」, 「고등교육법」 및 그 밖의 다른 법률에 따라 설치된 각급 학교
마. 그 밖에 대통령령으로 정하는 법인ㆍ단체 또는 기관
4. "중앙사무관장기관"이란 국회 소속 기관에 대하여는 국회사무처, 법원 소속 기관에 대하여는 법원행정처, 헌법재판소 소속 기관에 대하여는 헌법재판소사무처, 중앙선거관리위원회 소속 기관에 대하여는 중앙선거관리위원회사무처, 중앙행정기관 및 그 소속 기관과 지방자치단체에 대하여는 행정안전부를 말한다.
5. "전자정부서비스"란 행정기관등이 전자정부를 통하여 다른 행정기관등 및 국민, 기업 등에 제공하는 행정서비스를 말한다.
6. "행정정보"란 행정기관등이 직무상 작성하거나 취득하여 관리하고 있는 자료로서 전자적 방식으로 처리되어 부호, 문자, 음성, 음향, 영상 등으로 표현된 것을 말한다.
7. "전자문서"란 컴퓨터 등 정보처리능력을 지닌 장치에 의하여 전자적인 형태로 작성되어 송수신되거나 저장되는 표준화된 정보를 말한다.
8. "전자화문서"란 종이문서와 그 밖에 전자적 형태로 작성되지 아니한 문서를 정보시스템이 처리할 수 있는 형태로 변환한 문서를 말한다.
9. "행정전자서명"이란 전자문서를 작성한 다음 각 목의 어느 하나에 해당하는 기관 또는 그 기관에서 직접 업무를 담당하는 사람의 신원과 전자문서의 변경 여부를 확인할 수 있는 정보로서 그 문서에 고유한 것을 말한다.
가. 행정기관
나. 행정기관의 보조기관 및 보좌기관
다. 행정기관과 전자문서를 유통하는 기관, 법인 및 단체
라. 제36조제2항의 기관, 법인 및 단체
10. "정보통신망"이란 「전기통신기본법」 제2조제2호에 따른 전기통신설비를 활용하거나 전기통신설비와 컴퓨터 및 컴퓨터 이용기술을 활용하여 정보를 수집ㆍ가공ㆍ저장ㆍ검색ㆍ송신 또는 수신하는 정보통신체제를 말한다.
11. "정보자원"이란 행정기관등이 보유하거나 이용하는 다음 각 목의 자원을 말한다. 다만, 이용하는 경우에는 나목부터 라목까지에 한정한다.
가. 행정정보
나. 정보시스템
다. 정보시스템의 구축에 적용되는 정보기술
라. 정보시스템의 운영에 필요한 건축물 및 건축설비(이하 "정보시스템 운영시설"이라 한다)
마. 정보화 예산
바. 정보화 인력
12. "정보기술아키텍처"란 일정한 기준과 절차에 따라 업무, 응용, 데이터, 기술, 보안 등 조직 전체의 구성요소들을 통합적으로 분석한 뒤 이들 간의 관계를 구조적으로 정리한 체제 및 이를 바탕으로 정보화 등을 통하여 구성요소들을 최적화하기 위한 방법을 말한다.
13. "정보시스템"이란 정보의 수집ㆍ가공ㆍ저장ㆍ검색ㆍ송신ㆍ수신 및 그 활용과 관련되는 기기와 소프트웨어의 조직화된 체계를 말한다.
14. "정보시스템 감리"란 감리발주자 및 피감리인의 이해관계로부터 독립된 자가 정보시스템의 효율성을 향상시키고 안전성을 확보하기 위하여 제3자의 관점에서 정보시스템의 구축 및 운영 등에 관한 사항을 종합적으로 점검하고 문제점을 개선하도록 하는 것을 말한다.
15. "감리원"(監理員)이란 정보시스템 감리의 업무(이하 "감리업무"라 한다)를 수행하기 위하여 제60조제1항에 따른 요건을 갖춘 사람을 말한다.
② 평가기관으로 지정받으려는 자는 보호위원회가 정하여 고시하는 평가기관 지정신청서에 다음 각 호의 서류를 첨부하여 보호위원회에 제출해야 한다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2017.10.17, 2020.8.4>
1. 정관
2. 대표자의 성명
3. 제1항제2호에 따른 전문인력의 자격을 증명할 수 있는 서류
4. 그 밖에 보호위원회가 정하여 고시하는 서류
③ 제2항에 따라 평가기관 지정신청서를 제출받은 보호위원회는 「전자정부법」 제36조제1항에 따른 행정정보의 공동이용을 통하여 다음 각 호의 서류를 확인해야 한다. 다만, 신청인이 제2호의 확인에 동의하지 않는 경우에는 신청인에게 그 서류를 첨부하게 해야 한다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2020.8.4>
1. 법인 등기사항증명서
2. 「출입국관리법」 제88조제2항에 따른 외국인등록 사실증명(외국인인 경우만 해당한다)
① 행정기관등의 장은 수집ㆍ보유하고 있는 행정정보를 필요로 하는 다른 행정기관등과 공동으로 이용하여야 하며, 다른 행정기관등으로부터 신뢰할 수 있는 행정정보를 제공받을 수 있는 경우에는 같은 내용의 정보를 따로 수집하여서는 아니 된다.
② 행정정보를 수집ㆍ보유하고 있는 행정기관등(이하 "행정정보보유기관"이라 한다)의 장은 다른 행정기관등과 「은행법」 제8조제1항에 따라 은행업의 인가를 받은 은행 및 대통령령으로 정하는 법인ㆍ단체 또는 기관으로 하여금 행정정보보유기관의 행정정보를 공동으로 이용하게 할 수 있다. <개정 2010.5.17>
③ 행정안전부장관은 행정기관등의 행정정보 목록을 조사ㆍ작성한 내용을 정보시스템을 통하여 공표하고, 행정기관등이 공동이용을 필요로 하는 행정정보에 대한 수요조사를 할 수 있다. <개정 2013.3.23, 2014.1.28, 2014.11.19, 2017.7.26>
④ 중앙사무관장기관의 장은 행정정보의 생성ㆍ가공ㆍ이용ㆍ제공ㆍ보존ㆍ폐기 등 행정정보의 효율적 관리를 위하여 관련 법령 및 제도의 개선을 추진하여야 한다.
⑤ 행정안전부장관은 다른 중앙사무관장기관의 장과 협의하여 행정정보의 공동이용에 대한 기준과 절차 등에 관한 지침을 마련하여 고시할 수 있다. <개정 2013.3.23, 2014.11.19, 2017.7.26>
⑥ 제3항에 따른 행정정보 목록의 조사 방법 등에 필요한 사항은 대통령령으로 정한다. <신설 2014.1.28>
① 지방출입국ㆍ외국인관서의 장, 시ㆍ군ㆍ구(자치구가 아닌 구를 포함한다. 이하 이 조에서 같다) 및 읍ㆍ면ㆍ동 또는 재외공관의 장은 이 법의 절차에 따라 출국 또는 입국한 사실 유무에 대하여 법무부령으로 정하는 바에 따라 출입국에 관한 사실증명을 발급할 수 있다. 다만, 출국 또는 입국한 사실이 없는 사람에 대하여는 특히 필요하다고 인정되는 경우에만 이 법의 절차에 따른 출국 또는 입국 사실이 없다는 증명을 발급할 수 있다. <개정 2012.1.26, 2014.3.18, 2016.3.29>
② 지방출입국ㆍ외국인관서의 장, 시ㆍ군ㆍ구 또는 읍ㆍ면ㆍ동의 장은 이 법의 절차에 따라 외국인등록을 한 외국인 및 그의 법정대리인 등 법무부령으로 정하는 사람에게 법무부령으로 정하는 바에 따라 외국인등록 사실증명을 발급하거나 열람하게 할 수 있다. <개정 2014.3.18, 2016.3.29>
④ 보호위원회는 제1항에 따라 평가기관을 지정한 경우에는 지체 없이 평가기관 지정서를 발급하고, 다음 각 호의 사항을 관보에 고시해야 한다. 고시된 사항이 변경된 경우에도 또한 같다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2020.8.4>
1. 평가기관의 명칭ㆍ주소 및 전화번호와 대표자의 성명
2. 지정 시 조건을 붙이는 경우 그 조건의 내용
⑤ 법 제33조제7항제5호에서 "대통령령으로 정하는 사유에 해당하는 경우"란 다음 각 호의 어느 하나에 해당하는 경우를 말한다. <개정 2023.9.12>
1. 제6항에 따른 신고의무를 이행하지 않은 경우
2. 평가기관으로 지정된 날부터 2년 이상 계속하여 정당한 사유 없이 영향평가 실적이 없는 경우
3. 제38조제2항 각 호 외의 부분에 따른 영향평가서 등 영향평가 업무 수행 과정에서 알게 된 정보를 누설한 경우
4. 그 밖에 법 또는 이 영에 따른 의무를 위반한 경우
① 줄에 본문이 있습니다
① 법 제33조제9항에 따른 영향평가의 기준(이하 "평가기준"이라 한다)은 다음 각 호와 같다. <개정 2016.7.22, 2023.9.12>
1. 해당 개인정보파일에 포함되는 개인정보의 종류ㆍ성질, 정보주체의 수 및 그에 따른 개인정보 침해의 가능성
2. 법 제23조제2항, 제24조제3항, 제24조의2제2항, 제25조제6항(제25조의2제4항에 따라 준용되는 경우를 포함한다) 및 제29조에 따른 안전성 확보 조치의 수준 및 이에 따른 개인정보 침해의 가능성
3. 개인정보 침해의 위험요인별 조치 여부
4. 그 밖에 법 및 이 영에 따라 필요한 조치 또는 의무 위반 요소에 관한 사항
② 법 제33조제2항에 따라 영향평가를 의뢰받은 평가기관은 평가기준에 따라 개인정보파일의 운용으로 인한 개인정보 침해의 위험요인을 분석ㆍ평가한 후 다음 각 호의 사항이 포함된 평가 결과를 영향평가서로 작성하여 해당 공공기관의 장에게 보내야 하며, 공공기관의 장은 제35조 각 호에 해당하는 개인정보파일을 운용 또는 변경하기 전에 그 영향평가서를 보호위원회에 제출해야 한다. <개정 2023.9.12>
1. 영향평가의 대상 및 범위
2. 평가 분야 및 항목
3. 평가기준에 따른 개인정보 침해의 위험요인에 대한 분석ㆍ평가
4. 제3호의 분석ㆍ평가 결과에 따라 조치한 내용 및 개선계획
5. 영향평가의 결과
6. 제1호부터 제5호까지의 사항에 대하여 요약한 내용
③ 보호위원회 또는 공공기관의 장은 제2항제6호에 따른 영향평가서 요약 내용을 공개할 수 있다. <신설 2023.9.12>
④ 보호위원회는 법 및 이 영에서 정한 사항 외에 평가기관의 지정 및 영향평가의 절차 등에 관한 세부 기준을 정하여 고시할 수 있다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2020.8.4, 2023.9.12>
⑥ 제1항에 따라 지정된 평가기관은 지정된 후 다음 각 호의 어느 하나에 해당하는 사유가 발생한 경우에는 보호위원회가 정하여 고시하는 바에 따라 그 사유가 발생한 날부터 14일 이내에 보호위원회에 신고해야 한다. 다만, 제3호에 해당하는 경우에는 그 사유가 발생한 날부터 60일 이내에 신고해야 한다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2017.10.17, 2020.8.4>
1. 제1항 각 호의 어느 하나에 해당하는 사항이 변경된 경우
2. 제4항제1호에 해당하는 사항이 변경된 경우
3. 평가기관을 양도ㆍ양수하거나 합병하는 등의 사유가 발생한 경우
⑦ 삭제 <2023.9.12>