Analyzing Assessment Factors to Develop a Privacy Impact Assessment Pre-Diagnostic Tool

개인정보 영향평가 사전진단도구 개발을 위한 평가 요소 분석

The Privacy Impact Assessment, PIPA in Korea refers to the process of analyzing risk factors and identifying improvements that must be carried out by organizations that operate personal information files as stipulated in Article 33 of the Personal Information Protection Act, PIPA and Article 35 of the Enforcement Decree of the PIPA. There are two main limitations of the PIA in Korea. The first limitation is that the targets of the PIA are limited to public institutions and organizations that are legally equivalent to public institutions, and the second limitation is that only organizations with adequate manpower, facilities, and other necessary requirements which are regulated upon the Enforcement Decree of the PIPA can conduct a PIA. This paper proposes to develop a preliminary diagnostic tool that can be performed by private companies, small and medium-sized venture companies, and small businesses in the era of rapidly developing data in recent years and presents an analysis of specific assessment factors. The results of this study are provided in the form of a self-checklist, which is expected to serve as a pre-diagnostic tool for the PIA that can be easily accessed by the general public. It is also expected to contribute to strengthening privacy protection and achieving legal compliance at the national level.

우리 나라의 개인정보 영향평가는 개인정보보호법 제33조 및 같은 법 시행령 제35조에 규정된 개인정보파일을 운용하는 기관이 필수적으로 수행하여야 하는 위험요인 분석과 개선사항 도출의 과정을 의미한다. 우리나라의 개인정보 영향평가 제도에는 크게 두가지의 한계가 존재한다고 볼 수 있다. 첫 번째 한계는 개인정보 영향평가를 받아야 하는 대상이 공공기관과 공공기관에 준하는 기관으로 한정되어 있다는 점이고, 두번째 한계는 적정한 인력과 설비 및 그 밖에 필요한 요건을 갖춘 기관만이 개인정보 영향평가를 수행할 수 있다는 점이다. 본 연구에서는 최근 들어 급속하게 발전하고 있는 데이터 시대에 민간기업 또는 중소벤처기업, 소상공인 등도 직접 수행할 수 있는 사전진단도구 개발을 위한 제안을 하고, 구체적인 평가 요소에 대한 분석을 제시한다. 본 연구의 결과는 셀프-체크리스트 형식의 제공되어, 일반 국민들이 손쉽게 접근할 수 있는 개인정보 영향평가 사전진단도구의 역할을 할 것으로 기대된다. 국가적으로도 개인정보 보호를 강화하고 관련한 법적 준수를 달성하는 데 기여할 것으로 예상된다.