규제영향분석서

개인정보 보호책임자 경력 인정에 관한 고시

<목 차>

1.개인정보 보호책임자 경력 인정 요건(개인정보 보호책임자의 추가 경력 인정 요건 마련)

소관부처 및 작성자 인적사항	소관부처	개인정보보호위원회	작성자	이름	공수진
	담당부서(과)	자율보호정책과		직급	행정사무관
	국장	양청삼		연락처	02-2100-3084
	과장	윤여진		이메일	kanna33@korea.kr
2024. 01. 31.						작성

정책책임자직위    성명 (서명)

< 규제 개요 >

기본

정보

1.규제사무명

개인정보 보호책임자 경력 인정 요건(개인정보 보호책임자의 추가 경력 인정 요건 마련)

2.규제조문

개인정보 보호책임자 경력 인정에 관한 고시 제2조~제4조 및 별표 1

3.위임법령

개인정보 보호법 시행령 제32조제4항 및 별표 1

4.유형

강화

5.입법예고

2024.02.07~2024.02.27

규제의

필요성

6.추진배경

및 정부개입

필요성

ㅇ 개인정보 보호법 개정(법률 제19243호, 2023.3.14. 공포, 2023.9.15. 시행) 및 동법 시행령 개정으로 개인정보 보호책임자의 자격 요건이 도입됨에 따라 고시 위임사항*인 개인정보 보호책임자의 경력 인정을 위한 자격의 종류, 교육의 범위 등을 필요한 세부사항을 규정

** 개인정보 보호책임자의 자격요건 충족을 위한 그 밖의 자격 및 교육 이수 등을 통한 추가 경력 인정 요건을 고시로 위임

7.규제내용

1. 자격의 경력 인정 : 개인정보보호 및 정보보호, 정보기술 분야의 자격현황 및 자격의 검정수준, 개인정보보호 전문인력 인정요건 등을 종합적으로 고려하여 개인정보 보호책임자의 경력 인정을 위한 자격대상과 인정기간 확정

- 정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시 제14조에 따른 정보보호 및 개인정보보호 관리체계 인증심사원, 개인정보 영향평가에 관한 고시 제5조에 따른 개인정보 영향평가 전문인력, 변호사법 제4조에 따른 변호사 자격 취득자 : 개인정보보호 경력 1년 인정

- 정보관리기술사, 컴퓨터시스템응용기술사 : 정보보호, 정보기술 경력 1년 인정

- 정보보안기사, 정보처리기사 : 정보보호, 정보기술 경력 6개월 인정

2. 보호위원회가 주관하거나 위탁 운영하는 교육을 이수한 경우 개인정보 보호책임자의 개인정보보호 경력을 인정

- 경력 인정교육의 효과성 제고를 위해 교육목적, 교육내용, 교육방법, 검증체계 등을 구체화하여 교육과정에 포함하도록 함

- 개인정보위는 고시 발령일('24.3.15) 4년 전 교육부터 최대 3개월의 범위 내에서 개인정보 보호책임자의 개인정보보호 경력을 인정할 수 있음

8.피규제집단

및 이해관계자

자격요건을 갖춘 개인정보 보호책임자를 지정해야 하는 개인정보처리자(공공기관/민간기업 등)

유 형		인원수 또는 규모
피규제자	개인정보처리자(공공기관/민간기업 등)	700여 개(추정치)

9.규제목표

ㅇ 개인정보 보호책임자의 전문성을 확보하기 위한 유연한 경력인정 체계를 설계하여 처리자의 개인정보 보호체계 수준의 향상을 도모

규제의

적정성

10.영향평가

여부

기술영향평가

경쟁영향평가

중기영향평가

해당없음

해당없음

해당없음

11.비용편익

분석

(정성분석)

ㅇ 개인정보 보호책임자에 대한 자격요건 도입으로 일정 기준 이상의 개인정보처리자에게 자격요건을 갖춘 보호책임자 지정의무가 부과됨에 따라, 자격요건 충족을 위한 경력인정 체계를 함께 도입함으로써 해당 개인정보처리자의 부담을 경감하고, 대규모 처리자가 보유한 국민의 개인정보 보호라는 편익이 클 것으로 예상

기타

12.규제일몰제

대분류

소분류

일몰설정

예외기준

1. 국제조약 등에 따라 동일하게 적용 되어야

하는 규제

미해당

2. 국가의 질서 유지 및 국민생명· 안전과 직접

관련된 규제

미해당

3. 사회통념상 보편적으로 통용되는 규범적

성격의 규제

미해당

경제규제

여부기준

4. 국민과 기업의 경제활동에 대한 규제

미해당

5. 경제활동에 직접영향을 주는 규제

미해당

일몰설정

세부기준

6. 피규제자의 규제부담이 매우 큰 규제

미해당

7. 한시적 목적을 위한 규제이거나 주기적인

검토가 필요한 규제

미해당

일몰설정여부

일몰조문

연장여부

미설정

일몰유형

일몰설정기간

일몰주기

13. 우선허용·

사후 규제

적용여부

해당없음

<조문 대비표>

현  행

개  정  안

<신  설>

<신  설>

<신  설>

<신  설>

제1조(목적) 이 고시는 「개인정보 보호법」(이하 "법"이라 한다) 제31조제9항 및 같은 법 시행령(이하 "영"이라 한다) 별표 1에 따라 개인정보 보호책임자의 경력 인정에 필요한 세부 사항을 정함을 목적으로 한다.

제2조(자격의 인정) 법 제31조제9항 및 영 별표 1에 따른 개인정보 보호책임자의 경력 인정을 위한 자격 요건은 별표 1과 같다.

제3조(경력 인정을 위한 교육의 범위 등) ① 개인정보 보호위원회(이하 "보호위원회"라 한다)는 개인정보 보호책임자의 역량을 강화하기 위하여 개인정보 보호책임자의 경력 개발 및 직무 수행과 관련된 교육과정을 운영할 수 있으며, 보호위원회가 주관하거나 위탁하는 기관이 운영하는 교육과정을 이수한 경우에는 영 별표1에 따른 개인정보 보호책임자의 개인정보 보호 경력 인정 요건을 갖춘 것으로 본다.

② 제1항에 따른 교육과정에는 다음 각 호의 사항 전부 또는 일부를 포함하여야 한다.

1. 개인정보 관련 법률·정책·제도 및 최신 이슈

2. 개인정보 보호책임자의 역할 및 업무 수행에 필요한 사항

3. 개인정보 처리단계별 관리 방안

4. 개인정보 보호 기술

5. 개인정보 유출사고 대응

6. 개인정보 보호 우수사례

7. 그 밖에 개인정보철지의 개인정보 보호를 위하여 필요한 사항 등

③ 보호위원회 또는 보호위원회의 위탁을 받은 교육기관은 대면 또는 비대면으로 교육을 운영하고, 교육의 효과를 확인할 수 있는 평가 또는 결과보고서 제출 등 적절한 검증체계를 교육과정에 갖추어야 한다.

제4조(교육의 경력 인정기간) 제3조에 따른 교육을 이수한 경우 보호위원회는 최대 3개월의 범위 내에서 개인정보 보호책임자의 개인정보 보호 경력으로 인정할 수 있다.

부  칙

이 고시는 발령한 날부터 시행한다.

다만, 제3조 및 제4조에 따른 교육은

고시 발령일 4년전 교육부터 적용한다.

■ 개인정보 보호책임자 자격 인정에 관한 고시〔별표1〕

<개인정보 보호책임자 경력인정 자격>

구분	경력인정 자격	인정기간
개인정보 보호 경력	• 정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시 제14조에 따른 정보보호 및 개인정보보호 관리체계 인증심사원 • 개인정보 영향평가에 관한 고시 제5조에 따른 개인정보 영향평가 전문인력 • 「변호사법」 제4조에 따른 변호사 자격 취득자	1년
정보보호, 정보기술 경력	• 정보관리기술사, 컴퓨터시스템응용기술사	1년
	• 정보보안기사, 정보처리기사	6개월

※ 각각의 자격을 보유한 경우에는 구분된 경력 내(개인정보보호, 정보보호·정보기술)에서는 하나의 자격만 인정하며, 구분된 경력별로 중복 인정은 가능함

Ⅰ. 규제의 필요성 및 대안선택

1. 추진배경 및 정부개입 필요성

ㅇ 개인정보 보호책임자에게는 개인정보 보호 계획의 수립 및 시행, 개인정보 처리실태 조사 등 조직 내 개인정보 처리에 관한 업무를 총괄해서 책임지는 역량과 역할이 요구되므로 개인정보 보호책임자의 전문성을 강화할 필요가 있다는 지적이 제기

- 이에 개인정보 보호법 개정('23.9.15. 시행)으로 보호책임자의 전문성 강화를 위한 근거를 마련하고 시행령에 보호책임자의 자격요건이 도입됨에 따라, 고시에 위임된 보호책임자의 경력 인정을 위한 세부사항을 규정

2. 규제 대안 검토 및 선택

① 대안의 내용 및 선택 근거

ㅇ 대안의 내용

- 개인정보보호 및 정보보호·정보기술 분야의 자격현황 및 자격의 검정수준, 개인정보보호 전문인력 인정요건 등을 고려하여 개인정보 보호책임자 경력인정을 위한 자격대상과 인정기간 규정(안 제2조제1항 및 별표1)

- 보호위원회가 주관하거나 위탁 운영하는 교육을 이수한 경우 개인정보 보호책임자의 개인정보 보호 경력을 인정함(안 제3조제1항)

- 경력 인정교육의 효과성 제고를 위해 교육목적·교육내용·교육방법·검증체계 등을 구체화하여 교육과정에 포함하도록 함

(안 제3조제2항~제3항)

- 개인정보위는 제3조에 따른 교육을 이수한 경우 최대 3개월의 범위 내에서 개인정보 보호책임자의 개인정보 보호 경력을 인정할 수 있음(안 제345조)

- 제3조 및 제4조에 따른 교육은 고시 발령일('24.3.15.) 4년 전 교육부터 적용함(부칙)

ㅇ 선택 근거

- 개인정보 보호책임자의 자격요건 충족을 위해 자격취득 및 교육이수 등을 통한 유연한 경력인정 체계를 도입하여 전문성을 갖춘 개인정보 보호책임자를 지정해야 하는 개인정보처리자의 부담 완화

- 시행령에서 정한 개인정보 보호책임자의 자격요건 충족을 위한 경력인정 등에 필요한 사항을 구체화하여 개인정보처리자의 예측 가능성 제고

② 이해관계자 의견수렴

※ 고시 제정안의 행정예고 등에서 의견 수렴 예정

3. 규제목표

ㅇ 개인정보 보호책임자의 경력인정을 위한 세부적인 사항을 규정하여, 규제의 불확실성을 완화하고 전문성을 갖춘 보호책임자의 지정을 통해 개인정보처리자의 개인정보 처리 책임성 및 투명성 제고

Ⅱ. 규제의 적정성

1. 목적‧수단 간 비례적 타당성

ㅇ 동 제도는 개인정보 보호책임자의 전문성 강화를 위한 자격요건을 도입함에 따라, 경력 인정을 위한 방안을 규정하여 전문성을 갖춘 보호책임자를 지정하여야 하는 처리자의 부담을 완화하기 위함임

ㅇ 이에 개인정보 보호책임자 경력인정을 위한 세부적인 사항 등을 구체화함으로써 합리적이고 예측 가능한 법 적용을 도모하는 것으로, 목적과 수단 간 비례성 확보

2. 영향평가 필요성 등 고려사항

영향평가
기술	경쟁	중기
해당없음	해당없음	해당없음

o 영향평가

- 기술규제영향평가

해당없음

- 경쟁영향평가

해당없음

경쟁영향평가 점검항목	해당 여부
(A) 사업자의 수 또는 범위 제한	해당없음
(B) 사업자의 경쟁능력 제한	해당없음
(C) 사업자의 경쟁유인 감소	해당없음
(D) 소비자에게 제공되는 선택과 정보의 제한	해당없음

- 중기영향평가

해당없음

①	규제 영역		해당없음
②	규제 방식		해당없음
③	예비분석모델		해당없음
		판단 근거	해당없음
④	대상 업종		해당없음
⑤	예비분석내용		해당없음
⑥	차등화적용 여부		해당없음

- 규제 차등화 예비분석 결과표

o 기타 고려사항

- 고용친화적 규제설계

해당없음

- 시장유인적 규제설계

해당없음

- 일몰설정 여부

해당없음

- 우선허용·사후규제 적용 여부

해당없음

분류	적용여부	적용내용/미적용사유
포괄적 개념 정의	-	인허가 또는 지원사항을 규정한 것이 아니므로 포괄적 개념 정의 불필요
유연한 분류 체계	-	인허가 또는 지원사항을 규정한 것이 아니므로 유연한 분류체계에 미해당
네거티브리스트	-	신사업 관련 허용대상을 한정 열거하는 사항이 아님
사후 평가관리	-	신사업 관련 사전 심의·검사 또는 사후 평가·관리와 무관
규제 샌드박스	-	신기술을 활용한 서비스 창출과 무관

3. 해외 및 유사입법사례

o 해외사례

해당사항 없음

관련 국제기준	일치여부	불일치 사유(불일치 시에 한함)
-	-	-

o 타법사례

해당사항 없음

Ⅲ. 규제의 실효성

1. 규제의 순응도

o 피규제자 준수 가능성

- 개인정보 보호책임자 자격요건 도입에 따른 경력인정 체계를 마련하는 것은 전문성을 갖춘 개인정보 보호책임자 지정 제도의 실효성 제고로 국민의 개인정보 보호를 보다 강화하기 위한 취지임

- 또한, 자격취득 및 교육이수 등을 통한 개인정보 보호책임자 경력 인정으로 전문성을 갖춘 보호책임자를 지정해야 하는 대규모 처리자의 부담을 경감함으로써, 규제 준수의 가능성은 충분한 것으로 보여짐

2. 규제의 집행가능성

o 행정적 집행가능성

- 개인정보 보호책임자 지정 제도 운영을 위해 기존 개인정보보호위원회 인력 활용이 가능하므로 행정적 집행능력 보유

o 재정적 집행가능성

- 인건비 외 별도의 재정이 소요되지 않음