「웨비나Webinar 감사포커스 #37」 개인정보처리방침 평가제도에 대한 내부감사 실무 방안

요약

핵심 포인트

• 강화된 개인 정보 보호법에 따라 개인 정보 처리방침 평가 제도가 의무화되었으며, 이는 과태료 및 개선 권고와 같은 불이익으로 이어질 수 있어 내부 감사를 통한 사전 점검이 중요하다. 0:40
• 개인 정보 보호법은 2023년 3월 14일 개정되었고, 16개월의 경과 조치를 거쳐 시행되면서 개인 정보 처리방침 수립 및 공개(제30조)와 더불어 평가 제도(제30조의2)가 신설되었다. 2:03
• 개인 정보 처리 방침은 불특정 다수인 정보 주체에게 알리는 '공개 및 안내 조건'으로, 개인 정보 처리자가 정보 주체에게 명확하게 인지할 수 있도록 홈페이지 등을 통해 공개해야 한다. 3:08
• 개정된 법에 따라 개인 정보 처리방침에는 민감 정보 공개 가능성, 가명 정보 처리, 이동형 영상 정보 처리 기기 운영 관리 방침, 자동화된 결정에 대한 정보 주체 권리 등 신설된 조항들이 추가적으로 포함되어 공개되어야 한다. 4:12
• 내부 감사는 독립성과 객관성을 유지하며, 개인 정보 보호위원회가 발표한 적정성, 가독성, 접근성의 세 가지 분야에 걸친 63개 세부 평가 지표를 명확한 평가 기준으로 활용해야 한다. 9:09
• 내부 감사팀은 개인 정보 보호위원회 평가 지표를 바탕으로 법적 근거와 표준 지침을 확인하고, 업무 담당자 인터뷰, 증적 확인, 정보 주체 의견 청취를 통해 적정성, 가독성, 접근성을 다각도로 분석하여 개선 사항을 도출해야 한다. 17:35
• 개인 정보 처리 방침에 포함되어야 할 내용은 처리 목적, 보유 기간, 제3자 제공, 파기 절차, 위탁, 가명 정보 처리, 정보 주체 권리, 보호 책임자 정보 등 민간 기업 기준 25개, 공공기관 기준 24개 항목으로 매우 광범위하다. 21:12
• 개인 정보 처리 방침에 대한 점검은 업무 담당자, 정보 주체, 내부 감사 부서의 세 가지 관점에서 갭 분석을 수행하여 실질적인 대비가 이루어지도록 해야 한다. 22:03
• 내부 감사인은 개인 정보 관련 준법 감사 이슈에 효과적으로 대응하기 위해 국제 내부 감사 기준에 따라 지속적인 전문성 개발과 역량 관리에 힘써야 한다. 23:11