개보위 "공공기관 개인정보 보호, 평가 실효성 단계적 강화"

"S등급 공공기관 해킹 피해 제도 유명무실" 보도에 설명 자료 배포

"공공기관 개인정보 보호수준 평가는 평가 실효성을 단계적으로 강화하고 있습니다"

13일 개인정보보호위원회는 이 같은 보도설명 자료를 내놨다. 앞서 모 언론이 12일자로 "S등급을 받은 공공기관들에게서 해킹 피해가 발생, 평가 제도가 유명무실하다"고 보도했고, 이에 따른 해명이다.

설명에서 개인정보위는 "개인정보 보호법 제11조의2에 따라 시행중인 공공기관 개인정보 보호수준 평가는 도입 3년차(2024년부터 시행)를 맞아 관리체계 점검 기능을 확립해 가는 단계에 있으며, 제도 운영 경험을 바탕으로 평가 결과의 실효성을 단계적으로 높여 나가고 있다"고 밝혔다.

이어 보호수준 평가는 법적 의무 이행 여부, 전담인력·예산 확보 등 기관의 개인정보 보호 관리체계 구비 수준을 점검하는 사전 예방 제도로, 보호수준 평가는 평가를 준비하는 과정에서 기관 스스로 시스템의 안전조치를 점검하고, 내부 개인정보 보호 인식을 개선하는 등 보안 수준을 향상하고 선제적인 사고 예방 노력을 유도하는 효과가 있다면서 "다만, 보호수준평가는 1450여개 기관의 관리 수준 전반을 매년 점검·평가하는 체계로 평가에 따르는 현실적 한계가 있을 수 있다"고 짚었다.

개선 방안도 전했다. 평가 결과가 기관의 실질적인 보호수준 향상으로 이어지도록 다음과 같이 평가 방식·제도를 개선할 계획이라면서 2026년도 평가부터, 공공기관 유출과 사후 조치에 대한 경각심 제고를 위해 사고 발생 시 적용되는 감점 최대치를 기존 10점에서 20점으로 상향하고, 사고 발생 이후의 사후 대응 조치가 미흡할 경우에도 최대 5점의 감점을 부여하도록 페널티 체계를 강화하는 한편, ‘사고 예방과 대응 노력’ 지표를 신설해 모의해킹 및 취약점 점검 실적을 직접 평가에 반영할 수 있도록 개선하고, ‘내부자 보안’을 테마 지표로 선정해 집중 점검하며, 사전예방과 관련된 기관장 노력 지표의 배점을 확대하는 등 선제적 예방 관리를 강화하겠다고 설명했다.

또, 미흡 등급 기관이 개선되도록 상급 기관 및 감독부처에 평가 결과를 통보하는 방안을 추진하며, 이와 함께 기관별 최근 3개년 연속 D등급을 받을 경우, 최근 3개년간 매년 등급이 하락하는 경우 등 주요 반복 사례에 대해 결과 발표 시 3개년 기관 등급을 별도 공개할 예정이라고 덧붙였다. 아울러, 미흡 기관에 대해 보완 조치서를 징구하고, 보완조치 노력 여부를 차년도 평가에 반영할 계획이다. 또 연속해 미흡등급을 받는 기관에 대해서는 개선권고를 부과하고 이에 따른 명단 공표를 추진할 계획이라고 밝혔다.

특히 개인정보위는 공공기관의 개인정보 보호수준 향상을 위해 개인정보 보호수준 평가 개선뿐 아니라 "공공부문의 인력·예산 확충 지원, 전문 개인정보보호 책임자(CPO)를 통한 보호 체계 마련 등 다양한 정책을 이어가겠다"고 전했다.