이 고시는 「개인정보 보호법」제13조제3호 및 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(이하 "정보통신망법"이라 한다) 제47조의3제2항에 따른 개인정보보호 관리체계 인증에 관하여 필요한 사항을 정함을 목적으로 한다.
이 고시에서 사용하는 용어의 정의는 다음 각 호와 같다.
1. "개인정보보호 관리체계 인증"이란 신청기관의 개인정보보호를 위한 일련의 조치와 활동이 인증심사 기준에 부합하다고 승인하는 것을 말한다.
2. "개인정보보호 관리체계 인증기관(이하 ‘인증기관’이라 한다)"이란 인증에 관한 업무를 수행할 수 있도록 「개인정보 보호법」 제13조제3호의 업무 수행을 위해 행정자치부가 정하는 전문기관 및 정보통신망법 제47조의3제3항 및 정보통신망법 제47조제5항에 따라 방송통신위원회가 지정하는 기관을 말한다.
3. "업무수행 요건·능력 심사"란 인증기관으로 지정받고자 신청한 법인 또는 단체의 업무수행 요건·능력을 별표 2의 세부기준에 따라 심사하는 것을 말한다.
4. "인증심사"란 신청기관이 수립하여 운영하는 개인정보보호 관리체계가 별표 5의 개인정보보호 관리체계 인증기준에 적합한 지의 여부를 ‘한국인터넷진흥원’(이하 ‘인터넷진흥원’이라 한다) 또는 인증기관이 서면심사 및 현장심사의 방법으로 확인하는 것을 말한다.
5. "개인정보보호 관리체계 인증위원회(이하 ‘인증위원회’이라 한다)"란 인터넷진흥원 또는 인증기관의 장이 인증심사 결과 등을 심의·의결하기 위해 설치·운영하는 기구로서 위원장과 위원으로 구성된다.
6. "인증심사원"이란 인터넷진흥원으로부터 자격을 부여받고 인증심사를 수행하는 자를 말한다.
7. "신청기관"이란 인터넷진흥원 또는 인증기관에 개인정보보호 관리체계 인증을 신청한 자를 말한다.
8. "최초심사"란 처음으로 인증을 신청하거나 인증범위에 중요한 변경이 있어서 다시 인증을 신청한 때 실시하는 인증심사를 말한다.
9. "사후심사"란 인증을 취득한 기관이 수립하여 운영 중인 개인정보보호 관리체계가 인증기준에 적합하고 지속적으로 유지되고 있는 지를 확인하기 위하여 인증 유효기간 중에 매년 1회 이상 시행하는 인증심사를 말한다.
10. "갱신심사"란 유효기간 만료로 다시 인증을 신청한 때 실시하는 인증심사를 말한다.
① 인터넷진흥원 또는 인증기관은 다음 각 호의 업무를 수행한다.
1. 인증심사의 실시 및 인증·인증취소
2. 인증서 발급, 인증마크의 교부 및 인증사실의 관리
3. 인증위원회의 구성·운영
4. 인증심사기준 및 인증심사기법의 연구개발
5. 인증심사원의 자격인정, 교육·승급 및 인증심사 경력의 관리
6. 인증제도 관련 연구 및 동향 조사·분석, 그밖에 인증제도의 운영에 필요한 사항
② 행정자치부와 방송통신위원회는 인증기관을 지정할 필요가 있는 때에는 협의하여 지정대상 기관의 수, 업무의 범위 및 신청방법 등을 정하여 관보 및 인터넷 홈페이지에 20일 이상 공고하여야 한다.
③ 제2항에 따라 인증기관으로 지정받으려는 자는 다음 각 호의 서류를 행정자치부 또는 방송통신위원회에 제출하여야 한다.
1. 별지 제1호 서식의 개인정보보호 관리체계 인증기관 지정 신청서
2. 별지 제2호 서식의 인증심사원 보유현황과 이를 증명할 수 있는 서류
3. 별표 1의 업무수행 요건·능력 심사를 위하여 필요한 서류
① 인증기관에 대한 업무수행 요건·능력 심사를 위한 세부기준은 별표 2와 같다.
② 행정자치부와 방송통신위원회는 제3조제3항에 따라 인증기관의 지정 신청을 받은 때에는 협의하여 제1항에 따라 업무수행요건·능력을 심사하여 지정 대상기관의 순위를 정한다.
③ 행정자치부와 방송통신위원회는 협의하여 업무수행 요건·능력을 심사하고 지정에 필요한 수만큼 점수의 합이 높은 순으로 선별한다.
④ 행정자치부와 방송통신위원회는 협의하여 심사 결과를 바탕으로 하여 인증기관으로의 지정여부를 최종 결정한다.
⑤ 행정자치부와 방송통신위원회는 인증기관으로 지정된 신청인에게 별지 제3호의 개인정보보호 관리체계 인증기관 지정서를 발급한다.
⑥ 인증기관의 유효기간은 3년으로 한다.
인증기관은 매년 2월말까지 전년도의 인증실적을 별지 제4호 서식의 인증실적 보고서에 작성하여 행정자치부와 방송통신위원회에 제출하여야 한다.
① 인증기관은 유효기간이 끝나기 전 6개월부터 3개월 전까지 별지 제1호 서식에 따라 행정자치부 또는 방송통신위원회에 재지정 신청을 할 수 있다.
② 행정자치부와 방송통신위원회는 제1항에 따라 재지정 신청을 받은 때에는 협의하여 재지정 여부를 결정한다.
① 인증심사원의 등급별 자격 요건은 별표 3과 같다.
② 인증심사원은 인증심사 수행능력에 따라 심사원보, 심사원, 선임심사원으로 구분한다.
① 인증심사원이 되려는 자는 인터넷진흥원이 시행하는 인증심사원 양성교육 과정을 수료하고 평가에 합격하여야 한다.
② 심사원 자격을 신청하고자 하는 자는 인터넷진흥원이 공고하는 신청기간 내에 별지 제5호 서식의 개인정보보호 관리체계 인증심사원 자격 신청서와 관련 서류를 제출하여야 한다.
① 인터넷진흥원은 인증심사원 자격 신청서를 접수한 때에는 신청서류를 검토하여 서류 보완 및 추가제출을 요청할 수 있다.
② 서류 보완 및 추가제출을 요청받은 자격 신청자는 1개월 이내에 관련 서류 등을 제출하여야 한다.
③ 인터넷진흥원은 인증심사원 자격의 적합여부를 확인하여 통과한 자에게 별지 제6호 서식의 인증심사원 자격 증명서를 발급하여야 한다.
① 인증심사원의 자격 유효기간은 자격 부여를 받은 날로부터 3년으로 한다.
② 인증심사원은 자격 유지를 위해 유효기간 만료 전까지 인터넷진흥원 또는 인터넷진흥원이 지정하는 기관에서 시행하는 인증심사원 보수교육을 이수하여야 한다. 다만, 부득이한 사유로 보수교육을 받지 못한 경우에는 인터넷진흥원이 인정하는 대체교육을 받아야 한다.
③ 보수교육을 이수한 자에 한하여 자격 유효기간이 3년간 연장된다.
인터넷진흥원은 다음 각 호의 어느 하나에 해당하는 사유를 발견한 경우 인증심사원 자격을 취소할 수 있다.
1. 인증심사원 자격 신청 시 제출한 서류가 허위인 경우
2. 인증심사 수행 중 취득한 정보를 관련 법령의 근거나 신청기관의 동의 없이 타인에게 누설하거나 업무목적 외에 이를 사용한 경우
3. 인증심사와 관련된 일체의 금전, 금품, 이익 등을 부당하게 수수한 경우
① 개인정보보호 관리체계 인증을 받고자 하는 신청기관은 개인정보보호 관리체계 인증을 신청하기 전에 인증기준에 따른 개인정보보호 관리체계를 구축하여 최소 2개월 이상 운영하여야 한다.
② 신청기관은 인증심사를 위하여 다음 각 호의 사항을 인증심사 실시 전에 준비하여야 한다.
1. 인증심사를 위한 관련 문서 및 증거자료 등의 열람제공
2. 인증심사를 수행하기 위하여 필요한 장소·시설·장비·기자재 등의 확보
3. 그밖에 인증심사를 원활하게 수행하기 위하여 인터넷진흥원 또는 인증기관이 요구하는 사항
① 인증을 취득하고자 하는 신청기관은 다음 각 호의 어느 하나에 해당하는 유형의 인증을 신청할 수 있다.
1. 「소상공인 보호 및 지원에 관한 법률」제2조제1호 및 제2호에 따른 소상공인에 해당하는 사업자 및 그 밖의 사업자(유형1)
2. 「중소기업기본법」제2조에 따른 중소기업에 해당하는 사업자(유형2)
3. 「대·중소기업 상생협력 촉진에 관한 법률」제2조제2호에 따른 대기업에 해당하는 사업자 및 정보통신망법 제2조제2호에 따른 "정보통신서비스 제공자”(유형3)
4. 「개인정보 보호법」제2조제6호에 따른 공공기관(유형4)
② 제1항에 따라 인증을 신청하는 기관은 인증의 대상을 특정 서비스·업무로 구분하여 신청하여야 한다.
③ 제1항에 따라 인증을 신청하고자 하는 기관은 별지 제7호 서식의 개인정보보호 관리체계 인증 신청서 및 인증심사와 관련되는 다음 각 호의 사항을 인터넷진흥원 또는 인증기관에 제출하여야 한다.
1. 인증범위 내의 개인정보 처리시스템의 목록
2. 개인정보보호 관리체계를 수립·운영하는 방법과 절차
3. 개인정보보호 관리체계 및 보호대책 구현과 관련되는 문서 목록
④ 신청기관은 인증범위 및 일정 등을 인터넷진흥원 또는 인증기관과 사전 협의하여 신청하여야 한다.
⑤ 인터넷진흥원 또는 인증기관은 인증심사 실시 여부를 판단하기 위하여 제12조에 따른 신청기관의 인증심사 준비 여부를 확인할 수 있으며, 신청기관의 준비가 미흡한 경우에는 신청기관에 이를 보완할 것을 요구할 수 있다.
⑥ 인터넷진흥원 또는 인증기관은 인증범위의 변경이 필요한 경우에 이를 신청기관과 협의하여 변경할 수 있다.
신청기관은 인터넷진흥원 또는 인증기관과 협의한 후 심사기간, 심사인원, 인증수수료, 인증범위, 인증 정지 또는 취소 등을 포함하는 인증심사 계약을 체결한다.
① 인증 수수료는 별표 4의 개인정보보호 관리체계 인증 수수료 산정기준을 적용하여 산정한다.
② 인터넷진흥원 또는 인증기관은 제1항에 따라 산정된 인증 수수료를 공지하여야 한다. 다만, 「중소기업기본법」 제2조에 따른 중소기업이 인증을 신청하는 경우 수수료 감면 등 필요한 지원을 할 수 있다.
③ 같은 인증대상에 대하여 2개 이상의 신청기관이 있는 경우 또는 하나의 신청기관이 다수의 인증대상에 대하여 인증신청을 한 경우에는 통합하여 심사 일수를 산정하고 그에 따라 수수료를 정할 수 있다.
④ 인터넷진흥원 또는 인증기관은 신청기관의 인증범위가 제16조제2항에 따라 추가 또는 조정된 경우 신청기관과 협의하여 수수료를 조정할 수 있다.
⑤ 신청기관은 최초심사, 사후심사 및 갱신심사 신청시 수수료를 납부하여야 하며, 수수료를 납부하지 않은 경우에 인증심사를 실시하지 아니할 수 있다.
⑥ 신청기관은 인증심사 계약을 체결한 날로부터 1개월 이내에 인증 수수료를 인증기관에 납부하여야 한다.
① 신청기관의 인증심사 기준은 신청유형별로 별표 5의 구분에 따른다.
② 인터넷진흥원 또는 인증기관은 신청기관과 협의를 통해 개인정보 처리규모, 업무특성 등을 고려하여 인증심사 항목을 추가 또는 조정할 수 있다.
① 인터넷진흥원 또는 인증기관은 인증심사 계약을 체결한 때에는 인증심사팀을 구성하여야 한다.
② 인증심사팀 구성 시 심사팀장은 인터넷진흥원 또는 인증기관 소속의 심사원 이상으로 선정하여야 한다.
③ 신청기관의 개인정보보호 관리체계 인증을 위한 컨설팅에 참여한 인증심사원 또는 신청기관의 소속직원은 인증심사팀의 구성원에서 배제하여야 한다.
① 인증심사는 신청기관을 방문하여 서면심사와 현장심사를 병행한다.
② 서면심사는 별표 5의 인증기준에 적합한지에 대하여 개인정보보호 관리체계 구축·운영 관련 개인정보보호 정책, 지침, 절차 및 이행의 증적자료 검토, 개인정보보호대책 적용 여부 확인 등의 방법으로 관리적 요소를 심사한다.
③ 현장심사는 서면심사의 결과와 기술적·물리적 보호대책 이행여부를 확인하기 위하여 담당자 면담, 관련 시스템 확인 및 취약점 점검 등의 방법으로 기술적 요소를 심사한다.
④ 인터넷진흥원 또는 인증기관은 인증심사에서 발견된 결함에 대해 최대 90일(재조치 요구 60일 포함) 이내에 보완조치를 완료하도록 신청기관에게 요청할 수 있다.
⑤ 인터넷진흥원 또는 인증기관은 인증위원회 심의결과에 따라 30일 이내에 보완조치를 요구할 수 있다.
⑥ 인터넷진흥원 또는 인증기관은 보완조치 결과를 확인하기 위하여 필요한 때에는 현장 확인을 할 수 있다.
① 인터넷진흥원 또는 인증기관은 다음 각 호의 사유가 발생한 경우에는 인증심사를 중단할 수 있다.
1. 신청기관이 고의로 인증심사의 실시를 지연 또는 방해하거나 신청기관의 귀책사유로 인하여 인증심사를 계속 진행하기가 곤란하다고 인정되는 경우
2. 신청기관이 제출한 관련 자료 등을 검토한 결과 인증 준비가 되었다고 볼 수 없는 경우
3. 인증심사 후 제18조제4항에 따른 보완조치를 최대 90일(재조치 요구 60일 포함) 이내에 하지 않은 경우
4. 천재지변 및 경영환경 변화 등으로 인하여 인증심사 진행이 불가능하다고 판단되는 경우
② 인터넷진흥원 또는 인증기관은 제1항에 따라 인증심사를 중단하는 때에는 그 사유를 신청기관에 서면으로 통보하여야 한다.
③ 인터넷진흥원 또는 인증기관은 제1항의 인증심사 중단 사유가 해소되거나 제29조에 따른 이의제기 처리결과에 따라 인증심사를 재개하거나 종결할 수 있다.
① 인터넷진흥원 또는 인증기관의 장은 다음 각 호의 사항을 심의·의결하기 위하여 인증위원회를 설치·운영하여야 한다.
1. 최초심사 또는 갱신심사 결과가 인증기준에 적합한지 여부
2. 사후심사 결과 제28조제1항에 해당하는 사유를 발견한 경우에 그 결과의 적합성 여부
3. 제28조제1항에 따른 인증의 취소에 관한 사항
4. 제29조에 따른 이의신청에 관한 사항
5. 그 밖에 개인정보보호 관리체계 인증과 관련하여 위원장이 필요하다고 인정하는 사항
② 인증위원회는 1명을 포함한 35인 이내의 위원으로 구성하되, 위원은 개인정보보호 전문가, 변호사, 교수 등 개인정보보호 분야에 학식과 경험이 있는 자 중에서 인터넷진흥원 또는 인증기관의 장이 위촉하며, 위원장은 위원 중에서 호선한다.
③ 위원장은 인증위원회의 업무를 통할하며 위원회를 대표한다.
④ 인터넷진흥원 또는 인증기관의 장은 위원이 법령 또는 이 규정을 위반한 때에는 해당 위원을 해촉할 수 있다.
① 인증위원회의 회의는 인터넷진흥원 또는 인증기관의 요구로 개최하되, 회의마다 위원장과 인증위원의 전문분야를 고려하여 5인 이상의 인증위원으로 구성·운영한다.
② 인터넷진흥원 또는 인증기관의 장은 인증위원회의 심의안건을 검토하여 위원회 개최 5일 전까지 인증위원회에 제출한다. 다만, 긴급한 경우나 부득이한 사유가 있는 경우에는 그러하지 아니하다.
③ 인증위원회 위원장은 제20조제1항의 각호의 사항에 대한 심의·의결 결과를 인터넷진흥원 또는 인증기관의 장에게 제출한다.
④ 인증위원회는 심의를 위하여 필요하다고 인정되는 경우에는 인증심사에 참여한 인증심사원 또는 관련 전문가로부터 그에 관한 의견을 들을 수 있다.
⑤ 그밖에 인증위원회의 운영에 관한 세부사항은 인증위원회의 의결을 거쳐 인터넷진흥원 또는 인증기관의 장이 정한다.
① 인증위원회 위원은 신청기관과 다음 각 호의 사항 중 어느 하나에 해당하는 때에는 심의·의결에 관여할 수 없다.
1. 위원 본인과 직접적인 이해관계가 있는 사항
2. 위원 본인과 친족관계에 있거나 있었던 자와 관련된 사항
3. 위원이 되기 전에 감사·수사 또는 조사에 관여한 사항
② 위원에게 심의·의결의 공정을 기대하기 어려운 사정이 있는 경우 신청기관은 기피신청을 할 수 있고, 위원회는 의결로 이를 결정한다.
③ 위원은 제척사유 또는 기피사유에 해당하는 경우에는 자기 스스로 심의·의결을 회피할 수 있다.
① 인터넷진흥원 또는 인증기관의 장은 인증위원회의 심의·의결 결과를 제출받은 때에는 신청기관에게 결과를 통보하고, 신청기관의 개인정보보호 관리체계가 이 고시에서 정한 인증기준에 적합하다고 판단된 경우 별지 제8호 서식의 개인정보보호 관리체계 인증서를 발급하여야 한다.
② 제1항에 따른 개인정보보호 관리체계 인증서의 유효기간은 3년으로 한다.
③ 인터넷진흥원 또는 인증기관의 장은 인증서 발급 이외의 건에 대해 인증위원회의 심의·의결 결과를 제출 받은 때에는 신청기관에게 결과를 즉시 통보하여야 한다.
① 인터넷진흥원 또는 인증기관은 발급된 인증서의 인증번호, 발급일, 유효기간 등 인증서를 관리하여야 한다.
② 인증을 취득한 자는 인증서의 분실 등으로 인해 재발급을 받고자 할 경우 별지 제9호 서식의 개인정보보호 관리체계 인증서 재발급 신청서를 인터넷진흥원 또는 인증기관에 제출하여야 한다.
③ 인증을 취득한 자가 주소, 업체명 등 인증서 기재사항의 변경을 요청하고자 하는 경우 별지 제10호 서식의 개인정보보호 관리체계 인증서 변경 신청서를 인터넷진흥원 또는 인증기관에 제출하여야 한다.
① 「개인정보 보호법」 제13조제3호 및 「정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령」 제52조에 따른 인증의 표시는 별표 6과 같다.
② 제1항에 따른 인증의 표시를 사용하는 경우에는 제13조에 따른 인증의 유형과 인증범위 및 유효기간을 함께 표시하여야 한다.
① 인증 취득기관은 발급받은 인증서의 유효기간 중 연 1회 이상 인터넷진흥원 또는 인증기관에 사후심사를 신청하여야 한다.
② 사후심사는 제4장 및 제5장을 준용하여 진행한다.
① 인증 취득기관은 인증서 유효기간 만료 3개월 전까지 갱신심사를 신청하여야 한다.
② 갱신심사는 제4장, 제5장을 준용하여 진행한다.
③ 인증 취득기관이 제1항에 따른 인증의 갱신을 신청하지 않고 인증의 유효기간이 경과한 때에는 인증의 효력은 상실된다.
① 인터넷진흥원 또는 인증기관은 다음 각 호의 사유를 발견한 때는 인증위원회 심의·의결을 거쳐 인증을 취소할 수 있다.
1. 거짓 혹은 부정한 방법으로 인증을 취득한 경우
2. 제16조제1항에 따른 인증기준에 미달하게 된 경우
3. 인증 취득기관이 제26조제1항에 따른 사후심사 또는 제27조제1항에 따른 갱신심사를 받지 않았거나 제18조제4항에 따른 보완조치를 하지 않은 경우
4. 인증 받은 내용을 홍보하면서 제25조제2항에 따른 인증의 유형과 인증범위 및 유효기간을 허위로 표기하거나 누락한 경우
5. 인증을 취득한 기관이 제26조 및 제27조에 따른 사후관리를 거부 또는 방해하는 경우
② 인터넷진흥원 또는 인증기관은 제1항에 따라 인증을 취소한 경우에 인증 취득기관에 통지하고, 제23조에 따라 발급한 인증서를 회수한다.
① 신청기관 또는 인증 취득기관이 인증심사 결과 또는 인증 취소처분에 관하여 이의가 있는 때에는 그 결과를 통보받은 날로부터 15일 이내에 인터넷진흥원 또는 인증기관에 이의신청을 할 수 있다.
② 인터넷진흥원 또는 인증기관은 제1항에 따른 이의신청이 이유가 있다고 인정되는 경우에는 인증위원회에 재심의를 요청할 수 있다.
③ 인터넷진흥원 또는 인증기관은 이의신청에 대한 처리결과를 신청기관 또는 인증 취득기관에 서면으로 통지하여야 한다.
① 인터넷진흥원 또는 인증기관, 인증위원회 위원, 인증심사원 등 인증심사 업무에 종사하는 자 또는 종사하였던 자는 정당한 권한 없이 또는 허용된 권한을 초과하여 업무상 지득한 비밀에 관한 정보를 누설하거나 이를 업무 목적 이외에 사용하여서는 아니 된다.
② 인터넷진흥원 또는 인증기관, 인증위원회 위원, 인증심사원 등 인증심사 업무에 종사하는 자 또는 종사하였던 자는 인증에 관련하여 일체의 금전, 금품, 이익 등을 부당하게 수수하여서는 아니 된다.
인터넷진흥원 또는 인증기관은 인증업무 수행을 위해 필요한 경우 인증업무에 관한 지침을 마련하여 시행할 수 있다.
행정자치부 및 방송통신위원회는「행정규제기본법」 및 「훈령·예규 등의 발령 및 관리에 관한 규정」에 따라 이 고시에 대하여 2016년 1월 1일을 기준으로 매3년이 되는 시점(매 3년째의 12월 31일까지를 말한다)마다 그 타당성을 검토하여 개선 등의 조치를 하여야 한다.
부칙
이 고시는 2016년 1월 1일부터 시행한다.
① 이 고시 시행 이전에 「개인정보 보호 인증제 운영에 관한 규정」(행정자치부고시 제2014-1호) 제23조 또는 「개인정보보호 관리체계 인증 등에 관한 고시」(방송통신위원회고시 제2013-17호) 제9조의 인증심사원 자격요건에 상응하는 요건을 갖추고 인터넷진흥원, 한국정보화진흥원으로부터 심사원으로 위촉된 자는 이 고시에 의한 인증심사원 자격을 취득한 것으로 본다.
② 이 고시 시행 이전에 「개인정보 보호 인증제 운영에 관한 규정」(행정자치부고시 제2014-1호) 제17조 또는 「개인정보보호 관리체계 인증 등에 관한 고시」(방송통신위원회고시 제2013-17호) 제22조에 따른 인증서를 발급받은 자는 인터넷진흥원 또는 인증기관으로부터 이 고시에 의한 인증서를 발급받은 것으로 본다.
③ 신청기관 또는 이 고시의 시행 이전에 인증을 취득한 자는 이 고시의 시행으로부터 1년간 제16조에 따른 인증기준 대신 「개인정보 보호 인증제 운영에 관한 규정」(행정자치부고시 제2014-1호) 제9조 또는 「개인정보보호 관리체계 인증 등에 관한 고시」(방송통신위원회고시 제2013-17호) 제17조에 따른 인증 기준으로 심사를 신청할 수 있다. 이 경우, 인터넷진흥원 또는 인증기관은 신청받은 인증기준으로 심사를 수행할 수 있다.
별표 서식 정보
댓글 없음:
댓글 쓰기