개인정보 영향평가 대상 기준과 수행 절차
- 영향평가 의무 대상은 법에서 정한 공공기관이 운용하는 기준 해당 개인정보파일입니다.
- 민감정보·고유식별정보 5만 명, 다른 파일 연계 결과 50만 명, 개인정보파일 100만 명 기준 등을 확인합니다.
- 평가는 시스템 구축 전 분석 또는 설계 단계에서 준비하고, 대상 파일 운용·변경 전에 평가서를 제출해야 합니다.
개인정보 영향평가는 법정 기준에 해당하는 개인정보파일의 운용으로 정보주체의 개인정보 침해가 우려되는 경우 공공기관이 수행하는 평가입니다. 대상 여부는 기관이 법상 공공기관인지, 해당 파일이 전자적으로 처리할 수 있는 개인정보파일인지, 시행령의 규모·변경 기준에 해당하는지를 차례로 확인하면 됩니다. 공공기관은 지정 평가기관에 평가를 의뢰하고 결과를 개인정보보호위원회에 제출해야 합니다. 시스템 구축이 끝난 뒤가 아니라 분석 또는 설계 단계부터 준비하세요. 아래 내용은 2026년 10월 7일 확인한 현행 법령과 공식 안내를 기준으로 정리했습니다.
개인정보 영향평가 대상 여부 확인
기관이 법에서 정한 공공기관인지 확인
개인정보 보호법상 공공기관에는 국가기관과 지방자치단체 등이 포함됩니다. 시행령은 공공기관의 운영에 관한 법률에 따른 공공기관, 지방공사·지방공단, 지방자치단체 출자·출연기관 중 지정·고시된 기관, 특별법에 따라 설립된 특수법인, 각급 학교 등도 범위에 포함합니다. 국가인권위원회 등 법령에 정해진 기관도 있으므로 기관 명칭이나 공공성만으로 판단하지 말고 법 제2조제6호와 시행령 제2조를 확인하세요. 민간 기업은 규모가 크다는 이유만으로 이 영향평가의 법정 의무 대상이 되지는 않습니다. 다만 개인정보 보호법상 다른 의무와 자체적인 위험 점검은 별도로 살펴야 합니다.
전자적으로 처리할 수 있는 개인정보파일인지 확인
시행령상 대상은 개인정보를 전자적으로 처리할 수 있는 개인정보파일입니다. 개인정보파일은 개인정보를 쉽게 검색할 수 있도록 일정한 규칙에 따라 배열하거나 구성한 개인정보의 집합을 말합니다. 종이 서류인지 전산 시스템인지 이름만으로 단정하기보다, 실제로 개인정보가 전자적으로 처리되는지와 파일의 구성·검색 방식을 함께 살펴보세요. 스캔 PDF를 저장했다는 사실만으로 영향평가 대상 개인정보파일이라고 단정하지 말고, 처리 방식과 파일 단위를 확인해야 합니다.
법정 기준 4가지
개인정보 보호법 시행령 제35조는 아래 기준 중 하나에 해당하는 전자 개인정보파일을 대상으로 정합니다. 숫자는 계정 수가 아니라 해당 파일 또는 연계 결과에 포함되는 정보주체 수를 기준으로 확인합니다.
| 기준 | 대상 상황 | 확인할 점 |
|---|---|---|
| 5만 명 이상 | 민감정보 또는 고유식별정보 처리가 수반되는 개인정보파일을 구축·운용하거나 변경하려는 경우 | 해당 정보의 처리 여부와 정보주체 수 |
| 50만 명 이상 | 운용 중인 파일을 다른 개인정보파일과 연계하려는 경우 | 연계 결과에 포함되는 정보주체 수 |
| 100만 명 이상 | 해당 규모의 개인정보파일을 구축·운용하거나 변경하려는 경우 | 파일에 포함되는 정보주체 수 |
| 운용체계 변경 | 영향평가를 받은 뒤 개인정보 검색체계 등 파일 운용체계를 변경하려는 경우 | 평가 대상은 변경된 부분으로 한정 |
핵심 기준: 민감정보·고유식별정보 처리 파일은 5만 명 이상, 다른 파일과 연계한 결과는 50만 명 이상, 파일 자체는 100만 명 이상인지 확인하세요. 평가를 받은 파일의 검색체계 등 운용체계를 변경하는 경우에는 변경 부분이 평가 대상이 될 수 있습니다.
민감정보·고유식별정보 처리 여부 확인
민감정보에는 건강, 사상·신념 등 법에서 정한 정보가 포함됩니다. 고유식별정보에는 주민등록번호, 여권번호, 운전면허번호, 외국인등록번호 등이 포함됩니다. 이름이나 연락처만 처리한다고 가정하지 말고 파일의 실제 항목과 수집 예정 항목을 대조해 해당 정보가 포함되는지 확인하세요. 5만 명 기준은 이들 정보의 처리가 수반되는 개인정보파일에 적용됩니다.
파일 연계와 운용체계 변경을 함께 검토
다른 파일과 연계하려는 경우 연계 전 파일의 규모만 따로 보지 말고, 연계 결과에 포함될 정보주체 수를 확인해야 합니다. 내부 또는 외부에서 구축·운용하는 다른 개인정보파일과의 연계가 기준에 해당하는지 검토하세요. 변경의 경우에는 단순한 기능 수정이라는 표현만으로 대상 여부를 정하지 마세요. 이미 영향평가를 받은 파일의 검색체계 등 운용체계를 바꾸는지, 변경 범위가 어디까지인지 확인해야 합니다.
수행 절차: 사전 준비부터 개선 이행까지
개인정보보호위원회와 한국인터넷진흥원의 수행 안내서는 영향평가를 사전 준비, 평가 수행, 이행 단계로 안내합니다. 공공기관은 지정 평가기관에 평가를 의뢰해야 하며, 평가기관이 작성한 평가서를 대상 파일을 운용하거나 변경하기 전에 개인정보보호위원회에 제출해야 합니다. 세부 흐름은 개인정보보호위원회 개인정보 영향평가 수행 안내서와 개인정보 포털 제도안내에서 확인할 수 있습니다.
- 사업계획과 일정을 준비합니다. 기획 단계에서 대상 여부를 확인하고 평가 일정과 예산, 자료 제공 책임을 사업계획에 반영합니다.
- 평가기관을 선정하고 수행계획을 세웁니다. 지정 평가기관에 의뢰하고 기관 담당자, 개인정보 보호책임자 등 관계자가 참여하는 협업 체계를 마련합니다.
- 평가 자료를 준비하고 개인정보 흐름을 분석합니다. 처리 업무와 목적, 개인정보 항목, 수집·저장·이용·제공·파기 경로, 외부 연계·위탁 현황, 시스템 구조를 정리합니다.
- 침해 위험요인을 평가합니다. 개인정보 처리 흐름과 보호조치, 관련 법령 준수 상태를 살펴 위험요인을 분석합니다.
- 평가 결과와 개선계획을 정리해 제출합니다. 평가기관이 평가서를 작성해 기관에 보내면, 기관은 파일 운용 또는 변경 전에 개인정보보호위원회에 제출합니다.
- 개선계획을 이행하고 확인합니다. 조치 담당자와 적용 시점을 정하고, 설계·개발·테스트 과정에서 반영 여부와 확인 자료를 관리합니다.
분석·설계 단계에서 평가를 시작
개인정보 포털은 영향평가를 정보시스템 구축 전 단계인 분석 또는 설계 단계에서 실시하도록 안내합니다. 이때 개인정보 항목, 접근권한, 보유기간, 연계 방식을 검토하면 필요한 개선을 설계에 반영하기 쉽습니다. 사업계획서와 제안요청서에 평가 일정, 자료 제공 책임, 개선사항 반영 주체를 명확히 두세요.
개인정보 처리 흐름을 확인할 자료 준비
시스템 소개 자료만으로는 실제 처리 흐름을 파악하기 어려울 수 있습니다. 개인정보 처리업무와 항목, 보유기간, 화면·인터페이스 설계, 연계·위탁 현황, 권한 체계, 시스템 구성 자료 등을 평가기관과 협의해 준비하세요. 각 자료의 범위와 형식은 대상 사업과 평가기관의 수행계획에 맞춰 정하면 됩니다.
실무에서 자주 생기는 누락
- 기관 유형을 확인하지 않고 규모부터 계산: 법령과 공식 안내에 따라 기관이 공공기관 범위에 해당하는지 먼저 확인합니다.
- 연계 결과를 누락: 다른 파일과 연계하는 사업은 연계 후 정보주체 수를 산정합니다.
- 설계가 끝난 뒤 평가 착수: 기획 단계에서 필요성을 확인하고 분석·설계 단계에 평가를 계획합니다.
- 평가서 제출 후 조치 누락: 개선계획의 담당자와 적용 시점, 이행 확인 자료를 관리합니다.
- 시스템과 개인정보파일을 같은 단위로 간주: 시스템 수만으로 판단하지 말고 개인정보파일의 구성과 처리 방식을 확인합니다.
최종 대상 여부는 기관의 법적 유형, 개인정보파일의 구성, 정보주체 수, 연계 결과와 변경 범위를 바탕으로 판단해야 합니다. 적용 기준은 개인정보 보호법 제33조, 개인정보 보호법 시행령 제35조, 개인정보 보호법 시행령 제2조에서 확인할 수 있습니다.
자주 묻는 질문
민간 기업도 개인정보 영향평가를 의무적으로 해야 하나요?
법 제33조의 영향평가 의무는 법에서 정한 공공기관의 장에게 적용됩니다. 민간 기업은 이 영향평가 의무 대상과 구분되지만, 개인정보 보호법상 다른 의무나 자체 위험 점검 필요성은 별도로 확인해야 합니다.
5만 명 기준은 전체 개인정보가 5만 명이라는 뜻인가요?
5만 명 기준은 민감정보 또는 고유식별정보의 처리가 수반되는 개인정보파일에 관한 기준입니다. 해당 파일의 정보주체 수와 처리 항목을 확인하고, 연계 결과 50만 명 기준 및 파일 자체 100만 명 기준과 구분해 판단하세요.
이미 운영 중인 시스템도 평가 대상이 될 수 있나요?
대상 규모의 파일을 변경하거나 다른 파일과 연계해 기준에 해당하는 경우를 검토해야 합니다. 이미 영향평가를 받은 파일의 검색체계 등 운용체계를 바꾸는 경우에도 변경된 부분이 평가 대상이 될 수 있습니다.
평가를 개발 완료 후 받아도 되나요?
개인정보 포털은 분석 또는 설계 단계에서 평가를 실시하도록 안내합니다. 또한 대상 파일을 운용하거나 변경하기 전에 평가서를 제출해야 하므로 사업 기획과 일정 수립 단계부터 평가 필요성과 일정을 반영하세요.
평가서 제출로 개선 업무가 끝나나요?
평가 결과에 개선계획이 포함되면 담당자와 적용 시점을 정하고, 설계·개발·테스트 과정에서 조치가 반영됐는지 확인해야 합니다. 이행 여부와 확인 자료도 함께 관리하세요.
