yakdoli/chandra-27b-ocr-v1 huggingface dataset:
제19813호                 관        보         2020. 8. 11.(화요일)
 평가서를 작성한다.
 3. 이행 단계에서는 영향평가서의 침해요인에 대한 개선계획이 반영되는 가를 점검한다.
제9조의2(영향평가 수행) ① 개인정보파일을 구축･운용 또는 변경하고자 하는 공공기관의 장은 별표
 4의 필요한 사항이 반영될 수 있도록 설계완료 전에 영향평가를 수행하여야 한다.
 ② 공공기관의 장이 개인정보파일을 구축･운용 또는 변경하고자 할 때에는 제1항의 영향평가 결과
 를 반영한 조치를 이행하고 그 결과를 보호위원회에 제출하여야 한다.
제9조의3(영향평가 개선계획 반영여부의 확인) 공공기관의 장은 개인정보 영향평가 수행 후, 영향평
 가 개선계획의 반영여부를 정보시스템 감리 시 확인하여야 한다. 단, 감리를 수행하지 않은 경우에
 는 정보시스템 테스트단계에서 영향평가 개선계획의 반영여부를 확인하여야 한다.
제10조(평가영역 및 평가분야) 영 제38조제1항의 영향평가기준에 따른 평가영역은 별표 4와 같다. 다
 만, 대상기관이 1년 이내에 다른 정보시스템의 영향평가를 받은 경우에는 대상기관의 개인정보 보
 호 관리체계에 대한 평가는 생략할 수 있다.
제11조(평가항목) ① 평가기관은 별표 4에 따라 적합한 평가항목을 선정하여 영향평가를 수행하여야
 한다. 다만, 대상기관이 1년 이내에 이미 평가받은 항목은 그 변경이 없는 때에는 평가항목에서 제
 외된다.
 ② 별표 4에 명시되지 않은 특화된 IT기술을 적용하는 경우에는 해당 기술이 개인정보 보호에 미
 치는 영향에 대한 평가항목을 개발하여 영향평가 시 반영하여야 한다.
제12조(영향평가서의 제출) 영 제38조제2항에 따라 영향평가서를 제출받은 대상기관의 장은 2개월 이
 내에 평가결과에 대한 내부승인 절차를 거쳐 영향평가서를 보호위원회에 제출하여야 한다.
제13조(영향평가 수행안내서) 보호위원회는 영향평가에 필요한 세부기준 및 절차, 평가항목 등을 구
 체화하는 “영향평가 수행안내서”를 마련하여 제공할 수 있다.
제14조(영향평가 개선사항 이행) 영 제38조제2항에 따라 영향평가서를 제출받은 공공기관의 장은 개
 선사항으로 지적된 부분에 대한 이행계획 등을 별지 제8호서식에 따라 영향평가서를 제출받은 날
 로부터 1년 이내에 보호위원회에 제출하여야 한다.
제15조(재검토 기한) 보호위원회는 「훈령･예규 등의 발령 및 관리에 관한 규정」에 따라 이 고시에
 대하여 2020년 8월 11일을 기준으로 매 3년이 되는 시점(매 3년째의 8월 10일까지를 말한다)마다
 그 타당성을 검토하여 개선 등의 조치를 하여야 한다.
                              부칙
제1조(시행일) 이 고시는 고시한 날부터 시행한다.
제2조(경과조치) 이 고시 시행 전에 종전의 「개인정보 영향평가에 관한 고시」(행정안전부고시 제
 2019-11호)에 따라서 이루어진 행위는 이 고시에 따른 행위로 본다.
※ 별표 및 전문은 개인정보보호위원회 홈페이지(고시란)을 참조바랍니다.


◉개인정보보호위원회고시제2020-5호
 개인정보의 기술적·관리적 보호조치 기준을 다음과 같이 제정하여 고시합니다.
   2020년 8월 11일
             개인정보보호위원회 위원장
                  개인정보의 기술적·관리적 보호조치 기준 제정
제1조(목적) ① 이 기준은 「개인정보 보호법」(이하 "법"이라 한다) 제29조 및 같은 법 시행령 제48

                              95
제19813호                  관         보          2020. 8. 11.(화요일)
 조의2제3항에 따라 정보통신서비스 제공자등(법 제39조의14에 따라 준용되는 자를 포함한다. 이하
 같다)이 이용자의 개인정보를 처리함에 있어서 개인정보의 분실·도난·유출·위조·변조 또는 훼손을
 방지하고 개인정보의 안전성 확보를 위하여 필요한 기술적·관리적 보호조치의 최소한의 기준을 정
 하는 것을 목적으로 한다.
 ② 정보통신서비스 제공자등은 사업규모, 개인정보 보유 수 등을 고려하여 스스로의 환경에 맞는 개
 인정보 보호조치 기준을 수립하여 시행하여야 한다.
제2조(정의) 이 기준에서 사용하는 용어의 뜻은 다음과 같다.
 1. "개인정보 보호책임자"란 이용자의 개인정보보호 업무를 총괄하거나 업무처리를 최종 결정하는
 임직원을 말한다.
 2. "개인정보취급자"란 이용자의 개인정보를 수집, 보관, 처리, 이용, 제공, 관리 또는 파기 등의 업무
 를 하는 자를 말한다.
 3. "내부관리계획"이라 함은 정보통신서비스 제공자등이 개인정보의 안전한 처리를 위하여 개인정보
 보호 조직의 구성, 개인정보취급자의 교육, 개인정보 보호조치 등을 규정한 계획을 말한다.
 4. "개인정보처리시스템"이라 함은 개인정보를 처리할 수 있도록 체계적으로 구성한 데이터베이스시
 스템을 말한다.
 5. "망분리"라 함은 외부 인터넷망을 통한 불법적인 접근과 내부정보 유출을 차단하기 위해 업무망
 과 외부 인터넷망을 분리하는 망 차단조치를 말한다.
 6. "비밀번호"라 함은 이용자 및 개인정보취급자 등이 시스템 또는 정보통신망에 접속할 때 식별자
 와 함께 입력하여 정당한 접속 권한을 가진 자라는 것을 식별할 수 있도록 시스템에 전달해야 하는
 고유의 문자열로서 타인에게 공개되지 않는 정보를 말한다.
 7. "접속기록"이라 함은 이용자 또는 개인정보취급자 등이 개인정보처리시스템에 접속하여 수행한
 업무 내역에 대하여 식별자, 접속일시, 접속지를 알 수 있는 정보, 수행업무 등 접속한 사실을 전자
 적으로 기록한 것을 말한다.
 8. "바이오정보"라 함은 지문, 얼굴, 홍채, 정맥, 음성, 필적 등 개인을 식별할 수 있는 신체적 또는
 행동적 특징에 관한 정보로서 그로부터 가공되거나 생성된 정보를 포함한다.
 9. "P2P(Peer to Peer)"라 함은 정보통신망을 통해 서버의 도움 없이 개인과 개인이 직접 연결되어
 파일을 공유하는 것을 말한다.
 10. "공유설정"이라 함은 컴퓨터 소유자의 파일을 타인이 조회·변경·복사 등을 할 수 있도록 설정하
 는 것을 말한다.
 11. "보안서버"라 함은 정보통신망에서 송·수신하는 정보를 암호화하여 전송하는 웹서버를 말한다.
 12. "인증정보"라 함은 개인정보처리시스템 또는 정보통신망을 관리하는 시스템 등이 요구한 식별자
 의 신원을 검증하는데 사용되는 정보를 말한다.
 13. "모바일 기기"란 스마트폰, 태블릿PC 등 무선망을 이용할 수 있는 휴대용 기기를 말한다.
 14. "보조저장매체"란 이동형 하드디스크(HDD), USB메모리, CD(Compact Disk) 등 자료를 저장할
 수 있는 매체로서 개인정보처리시스템 또는 개인용 컴퓨터 등과 쉽게 분리·접속할 수 있는 저장매
 체를 말한다.
제3조(내부관리계획의 수립·시행) ① 정보통신서비스 제공자등은 다음 각 호의 사항을 정하여 개인정
 보보호 조직을 구성·운영하여야 한다.
 1. 개인정보 보호책임자의 자격요건 및 지정에 관한 사항
 2. 개인정보 보호책임자와 개인정보취급자의 역할 및 책임에 관한 사항

                               96
제19813호                  관        보      2020. 8. 11.(화요일)
 3. 개인정보 내부관리계획의 수립 및 승인에 관한 사항
 4. 개인정보의 기술적·관리적 보호조치 이행 여부의 내부 점검에 관한 사항
 5. 개인정보 처리업무를 위탁하는 경우 수탁자에 대한 관리 및 감독에 관한 사항
 6. 개인정보의 분실·도난·유출·위조·변조·훼손 등이 발생한 경우의 대응절차 및 방법에 관한 사항
 7. 그 밖에 개인정보보호를 위해 필요한 사항
 ② 정보통신서비스 제공자등은 다음 각 호의 사항을 정하여 개인정보 보호책임자 및 개인정보취급
 자를 대상으로 사업규모, 개인정보 보유 수 등을 고려하여 필요한 교육을 정기적으로 실시하여야
 한다.
 1. 교육목적 및 대상
 2. 교육 내용
 3. 교육 일정 및 방법
 ③ 정보통신서비스 제공자등은 제1항 및 제2항에 대한 세부 계획, 제4조부터 제8조까지의 보호조치
 이행을 위한 세부적인 추진방안을 포함한 내부관리계획을 수립·시행하여야 한다.
제4조(접근통제) ① 정보통신서비스 제공자등은 개인정보처리시스템에 대한 접근권한을 서비스 제공을
 위하여 필요한 개인정보 보호책임자 또는 개인정보취급자에게만 부여한다.
 ② 정보통신서비스 제공자등은 전보 또는 퇴직 등 인사이동이 발생하여 개인정보취급자가 변경되었
 을 경우 지체 없이 개인정보처리시스템의 접근권한을 변경 또는 말소한다.
 ③ 정보통신서비스 제공자등은 제1항 및 제2항에 의한 권한 부여, 변경 또는 말소에 대한 내역을 기
 록하고, 그 기록을 최소 5년간 보관한다.
 ④ 정보통신서비스 제공자등은 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템
 에 접속이 필요한 경우에는 안전한 인증 수단을 적용하여야 한다.
 ⑤ 정보통신서비스 제공자등은 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 다음 각
 호의 기능을 포함한 시스템을 설치·운영하여야 한다.
 1. 개인정보처리시스템에 대한 접속 권한을 IP주소 등으로 제한하여 인가받지 않은 접근을 제한
 2. 개인정보처리시스템에 접속한 IP주소 등을 재분석하여 불법적인 개인정보 유출 시도를 탐지
 ⑥ 전년도 말 기준 직전 3개월간 그 개인정보가 저장·관리되고 있는 이용자 수가 일일평균 100만명
 이상이거나 정보통신서비스 부문 전년도(법인인 경우에는 전 사업연도를 말한다) 매출액이 100억원
 이상인 정보통신서비스 제공자등은 개인정보처리시스템에서 개인정보를 다운로드 또는 파기할 수
 있거나 개인정보처리시스템에 대한 접근권한을 설정할 수 있는 개인정보취급자의 컴퓨터 등을 물리
 적 또는 논리적으로 망분리 하여야 한다.
 ⑦ 정보통신서비스 제공자등은 이용자가 안전한 비밀번호를 이용할 수 있도록 비밀번호 작성규칙을
 수립하고, 이행한다.
 ⑧ 정보통신서비스 제공자등은 개인정보취급자를 대상으로 다음 각 호의 사항을 포함하는 비밀번호
 작성규칙을 수립하고, 이를 적용·운용하여야 한다.
 1. 영문, 숫자, 특수문자 중 2종류 이상을 조합하여 최소 10자리 이상 또는 3종류 이상을 조합하여
 최소 8자리 이상의 길이로 구성
 2. 연속적인 숫자나 생일, 전화번호 등 추측하기 쉬운 개인정보 및 아이디와 비슷한 비밀번호는 사
 용하지 않는 것을 권고
 3. 비밀번호에 유효기간을 설정하여 반기별 1회 이상 변경
 ⑨ 정보통신서비스 제공자등은 처리중인 개인정보가 인터넷 홈페이지, P2P, 공유설정 등을 통하여

                               97
제19813호                  관        보          2020. 8. 11.(화요일)
 열람권한이 없는 자에게 공개되거나 외부에 유출되지 않도록 개인정보처리시스템 및 개인정보취급
 자의 컴퓨터와 모바일 기기에 조치를 취하여야 한다.
 ⑩ 정보통신서비스 제공자등은 개인정보처리시스템에 대한 개인정보취급자의 접속이 필요한 시간
 동안만 최대 접속시간 제한 등의 조치를 취하여야 한다.
제5조(접속기록의 위·변조방지) ① 정보통신서비스 제공자등은 개인정보취급자가 개인정보처리시스템
 에 접속한 기록을 월 1회 이상 정기적으로 확인·감독하여야 하며, 시스템 이상 유무의 확인 등을
 위해 최소 1년 이상 접속기록을 보존·관리하여야 한다.
 ② 단, 제1항의 규정에도 불구하고 「전기통신사업법」 제5조의 규정에 따른 기간통신사업자의 경우
 에는 보존·관리해야할 최소 기간을 2년으로 한다.
 ③ 정보통신서비스 제공자등은 개인정보취급자의 접속기록이 위·변조되지 않도록 별도의 물리적인
 저장 장치에 보관하여야 하며 정기적인 백업을 수행하여야 한다.
제6조(개인정보의 암호화) ① 정보통신서비스 제공자등은 비밀번호는 복호화 되지 아니하도록 일방향
 암호화하여 저장한다.
 ② 정보통신서비스 제공자등은 다음 각 호의 정보에 대해서는 안전한 암호알고리듬으로 암호화하여
 저장한다.
 1. 주민등록번호
 2. 여권번호
 3. 운전면허번호
 4. 외국인등록번호
 5. 신용카드번호
 6. 계좌번호
 7. 바이오정보
 ③ 정보통신서비스 제공자등은 정보통신망을 통해 이용자의 개인정보 및 인증정보를 송·수신할 때에
 는 안전한 보안서버 구축 등의 조치를 통해 이를 암호화해야 한다. 보안서버는 다음 각 호 중 하나
 의 기능을 갖추어야 한다.
 1. 웹서버에 SSL(Secure Socket Layer) 인증서를 설치하여 전송하는 정보를 암호화하여 송·수신하
 는 기능
 2. 웹서버에 암호화 응용프로그램을 설치하여 전송하는 정보를 암호화하여 송·수신하는 기능
 ④ 정보통신서비스 제공자등은 이용자의 개인정보를 컴퓨터, 모바일 기기 및 보조저장매체 등에 저
 장할 때에는 이를 암호화해야 한다.
제7조(악성프로그램 방지) 정보통신서비스 제공자등은 악성 프로그램 등을 방지·치료할 수 있는 백신
 소프트웨어 등의 보안 프로그램을 설치·운영하여야 하며, 다음 각호의 사항을 준수하여야 한다.
 1. 보안 프로그램의 자동 업데이트 기능을 사용하거나, 또는 일 1회 이상 업데이트를 실시하여 최신
 의 상태로 유지
 2. 악성프로그램관련 경보가 발령된 경우 또는 사용 중인 응용 프로그램이나 운영체제 소프트웨어의
 제작업체에서 보안 업데이트 공지가 있는 경우, 즉시 이에 따른 업데이트를 실시
제8조(물리적 접근 방지) ① 정보통신서비스 제공자등은 전산실, 자료보관실 등 개인정보를 보관하고
 있는 물리적 보관 장소에 대한 출입통제 절차를 수립·운영하여야 한다.
 ② 정보통신서비스 제공자등은 개인정보가 포함된 서류, 보조저장매체 등을 잠금장치가 있는 안전한
 장소에 보관하여야 한다.

                               98
제19813호                   관        보      2020. 8. 11.(화요일)
 ③ 정보통신서비스 제공자등은 개인정보가 포함된 보조저장매체의 반출·입 통제를 위한 보안대책을
 마련하여야 한다.
제9조(출력·복사시 보호조치) ① 정보통신서비스 제공자등은 개인정보처리시스템에서 개인정보의 출력
 시(인쇄, 화면표시, 파일생성 등) 용도를 특정하여야 하며, 용도에 따라 출력 항목을 최소화 한다.
 ② 정보통신서비스 제공자등은 개인정보가 포함된 종이 인쇄물, 개인정보가 복사된 외부 저장매체
 등 개인정보의 출력·복사물을 안전하게 관리하기 위해 출력·복사 기록 등 필요한 보호조치를 갖추
 어야 한다.
제10조(개인정보 표시 제한 보호조치) 정보통신서비스 제공자등은 개인정보 업무처리를 목적으로 개인
 정보의 조회, 출력 등의 업무를 수행하는 과정에서 개인정보보호를 위하여 개인정보를 마스킹하여
 표시제한 조치를 취할 수 있다.
제11조(재검토 기한) 개인정보보호위원회는 「훈령·예규 등의 발령 및 관리에 관한 규정」에 따라 이
 고시에 대하여 2020년 8월 11일을 기준으로 매 3년이 되는 시점(매 3년째의 8월 10일까지를 말한
 다)마다 그 타당성을 검토하여 개선 등의 조치를 하여야 한다.
                                부칙
이 고시는 고시한 날부터 시행한다.


◉개인정보보호위원회고시제2020-6호
 개인정보보호 법규 위반에 대한 과징금 부과기준을 다음과 같이 제정하여 고시합니다.
   2020년 8월 11일
             개인정보보호위원회 위원장
                  개인정보보호 법규 위반에 대한 과징금 부과기준 제정
제1조(목적) 이 고시는 「개인정보 보호법」(이하 "법"이라 한다) 제39조의15제4항, 같은 법 시행령
(이하 "영"이라 한다) 제48조의10제4항 및 [별표 1의5]에 따른 과징금 부과에 필요한 세부기준을 정함
을 목적으로 한다.
제2조(과징금 산정 절차 및 기준) 과징금은 법 제39조의15제3항 각 호에서 정한 참작사유와 이에 영
향을 미치는 행위를 고려하여 산정하되, 기준금액에 필수적 가중·감경, 추가적 가중·감경을 거쳐 과징
금을 산정한다.
제3조(기준금액) ① 기준금액은 관련 매출액에 영 [별표 1의5] 2.가. 1)따른 부과기준율을 곱한 금액으
로 정한다.
② 영 제48조의10제2항에 따른 영 제29조의6제2항 각 호의 어느 하나에 해당하여 제1항을 적용할 수
없는 경우에는 아래 표에 따라 기준금액을 정한다.

            위반행위의 중대성                     기준금액
          매우 중대한 위반행위                    3억 6천만원
            중대한 위반행위                     2억 8천만원
             보통 위반행위                       2억원

제4조(관련 매출액의 산정) ① 관련 매출액은 위반 정보통신서비스 제공자등의 위반행위로 인하여 직
접 또는 간접적으로 영향을 받는 서비스의 직전 3개 사업년도의 연평균 매출액으로 한다.
② 제1항에 따른 관련 매출액 산정시 서비스의 범위는 「전기통신사업법」 제5조를 기준으로 판단하

                                99
제19813호               관          보        2020. 8. 11.(화요일)
                  제2장 개인정보 영향평가기관의 지정
제3조(평가기관 지정절차) ① 영 제37조에 따른 평가기관의 지정절차는 지정신청 공고, 지정신청 서
 류 접수 및 검토, 현장실사, 종합심사의 순으로 진행된다.
 ② 보호위원회는 평가기관으로 지정받으려는 자가 지정 신청을 할 수 있도록 관보 등을 통해 15일
 이상 지정신청공고를 하여야 한다.
 ③ 평가기관으로 지정받으려는 자는 「개인정보 보호법 시행규칙」(이하 “규칙”이라 한다) 별지 제
 3호서식의 “개인정보 영향평가기관 지정신청서”와 함께 다음 각 호의 서류를 보호위원회에 제출한
 다.
 1. 별지 제1호서식의 개인정보 영향평가 수행실적 명세서
 2. 별지 제2호서식의 개인정보 영향평가 수행실적물 관리카드
 3. 별지 제3호서식의 개인정보 영향평가 수행인력의 경력 및 실적 증명서
 4. 별지 제4호서식의 개인정보 영향평가 수행인력 관리카드
 5. 별지 제5호서식의 개인정보 영향평가 수행능력 세부 심사자료
 6. 별지 제6호서식의 개인정보 영향평가 관련 기술자산 보유목록
 ④ 보호위원회는 제3항에 따른 평가기관 지정신청을 받은 경우 지정기준의 적합여부를 심사하기
 위하여 평가기관 지정심사위원회(이하 “지정심사위원회”라 한다)를 구성･운영한다.
 ⑤ 보호위원회는 지정심사위원회의 심사결과를 검증한 후 평가기관 지정을 확정한다.
 ⑥ 평가기관의 유효기간은 보호위원회가 평가기관으로 지정한 날로부터 3년으로 한다.
 ⑦ 평가기관의 유효기간을 연장하고자 하는 자는 유효기간 만료일 3개월 전까지 제3조제3항에 따른
 서류를 보호위원회에 제출해야 한다.
제4조(지정심사위원회의 구성 및 운영) ① 제3조에 따른 지정심사위원회는 다음 각 호의 자격을 가진
 자 중에서 보호위원회가 위촉하는 5인 이상 15인 이내의 위원으로 구성한다.
 1. 「고등교육법」제2조제1호･제2호 또는 제5호에 따른 학교나 공인된 연구기관에서 조교수 이상의
 직 또는 이에 상당하는 직에 있거나 있었던 자로 개인정보 보호 연구경력이 8년 이상인 사람
 2. 개인정보 보호 관련 업체, 기관 또는 단체(협회, 조합)에서 8년 이상 개인정보 보호 업무에 종사
 한 사람
 3. 그 밖에 개인정보 보호에 관한 학식과 경험이 풍부한 사람
 ② 지정심사위원회는 영 제37조제1항에 따른 신청한 법인의 자격 및 업무수행능력 등을 검토한다.
 ③ 지정심사위원회의 위원 임기는 3년으로 하되, 연임할 수 있다.
 ④ 지정심사위원회의 회의는 필요에 따라 보호위원회가 소집한다.
제5조(영향평가 수행인력 자격) ① 영향평가 수행인력은 다음 각 호와 같이 일반수행인력과 고급수행
 인력으로 구분할 수 있다.
 1. 일반수행인력의 자격은 다음 각 목과 같다.
 가. 영 제37조제1항제2호의 전문인력 자격을 갖춘 사람
 나. 한국CPO포럼이 시행하는 개인정보관리사 자격을 취득한 후 1년 이상 개인정보 영향평가 관련
 분야 수행실적이 있는 사람
 2. 고급수행인력의 자격은 다음 각 목과 같다.
 가. 제1호의 일반수행인력의 자격을 갖춘 후 5년 이상의 영향평가 관련 분야 수행실적이 있는 사람
 나. 관련 분야 박사학위를 취득한 후 3년 이상의 영향평가 관련 분야 수행실적이 있는 사람
 다. 「국가기술자격법 시행규칙」 제3조에 따른 정보관리기술사, 컴퓨터시스템응용기술사, 정보통

                              93
제19813호                 관         보    2020. 8. 11.(화요일)
 신기술사 자격을 취득한 후 3년 이상의 영향평가 관련 분야 수행실적이 있는 사람
 ② 제1항에 따른 영향평가 수행인력은 제6조제2항에 따른 전문교육을 이수하고 제6조제3항에 따른
 전문인력 인증서를 받은 경우에 영향평가를 수행할 수 있다.
제6조(영향평가 전문교육의 운영 및 실시) ① 보호위원회는 영향평가 전문인력 양성을 위한 세부 교
 육계획 수립 및 교육 운영 등의 업무를 효율적으로 추진하기 위하여 한국인터넷진흥원을 전문교육
 기관으로 지정한다.
 ② 전문교육기관의 장은 영향평가 전문인력 양성을 위한 세부 교육계획을 수립하여 전문교육 등을
 실시하여야 한다.
 ③ 전문교육기관의 장은 전문교육 이수자에 대한 평가를 실시하고 그 결과에 따라 개인정보 영향
 평가 전문인력 인증서를 교부한다.
 ④ 전문교육기관의 장은 다음 각 호의 1에 해당되는 경우에는 제3항에 따른 전문인력 인증서를 교
 부받은 자에 대한 계속교육을 실시하여야 하며, 이수 여부에 따라 전문인력 인증서를 갱신하여 교부
 한다.
 1. 인증서를 교부받은 후 매 2년이 경과한 경우
 2. 법령 또는 평가기준 등의 개정에 따른 변경사항이 발생하여 교육의 실시가 필요하다고 판단되는
 경우
 ⑤ 제3항 또는 제4항에 따라 전문인력 인증서를 교부받은 자가 전문교육기관의 장이 정하는 기간
 내에 제4항의 계속교육을 이수하지 아니하여 인증서를 갱신하지 못한 경우 기존 인증서의 효력은
 정지된다.
제7조(영향평가 수행능력심사의 세부평가 및 지정기준) ① 평가기관의 영향평가 수행능력심사의 세부
 평가기준은 별표 1과 같다.
 ② 보호위원회는 영향평가 수행능력심사 세부평가기준에 따른 심사결과가 총점 75점 이상인 경우
 신청한 법인을 평가기관으로 지정한다.
 ③ 평가기관의 유효기간을 연장하고자 하는 자에 대한 세부평가기준은 별표 2와 같다.
제8조(사후관리) ① 보호위원회는 평가기관이 영 제37조제1항의 평가기관 지정요건을 충족하는 지 여
 부와 영 제37조제6항에 따른 변경사항을 확인하기 위하여 현장실사, 관련 자료제출 요구 등을 할
 수 있다.
 ② 평가기관은 다음 각 호를 포함한 보호대책을 별표 3과 같이 수립･시행하여야 하며, 보호위원회
 는 그에 대한 준수여부를 점검할 수 있다.
 1. 영향평가 수행구역 및 설비에 대한 보호대책
 2. 영향평가 수행 인력에 대한 보호대책
 3. 문서 및 전산자료에 대한 보호대책
 4. 일반 관리적 보호대책
 ③ 보호위원회는 평가기관이 영 제37조제5항제3호부터 제6호까지의 규정에 해당하는 경우에는 지
 정취소 이전에 시정 및 보완을 요구할 수 있다.
                   제3장 개인정보 영향평가의 절차 등
제9조(평가절차) 대상기관은 다음 각 호와 같이 사전 준비, 영향평가 수행, 이행 단계로 영향평가를
 수행한다.
 1. 사전 준비 단계에서는 영향평가 사업계획을 수립하여 예산을 확보하고 평가기관을 선정한다.
 2. 영향평가 수행 단계에서는 평가기관이 개인정보 침해요인을 분석하고 개선계획을 수립하여 영향

                               94
제19813호                관         보        2020. 8. 11.(화요일)
◉개인정보보호위원회고시제2020-2호
 개인정보의 안전성 확보조치 기준을 다음과 같이 제정하여 고시합니다.
   2020년 8월 11일
             개인정보보호위원회 위원장
                  개인정보의 안전성 확보조치 기준 제정
제1조(목적) 이 기준은 「개인정보 보호법」(이하 "법"이라 한다) 제23조제2항, 제24조제3항 및 제29
 조와 같은 법 시행령(이하 "영"이라 한다) 제21조 및 제30조에 따라 개인정보처리자가 개인정보를
 처리함에 있어서 개인정보가 분실·도난·유출·위조·변조 또는 훼손되지 아니하도록 안전성 확보에
 필요한 기술적·관리적 및 물리적 안전조치에 관한 최소한의 기준을 정하는 것을 목적으로 한다.
제2조(정의) 이 기준에서 사용하는 용어의 뜻은 다음과 같다.
 1. "정보주체"란 처리되는 정보에 의하여 알아볼 수 있는 사람으로서 그 정보의 주체가 되는 사람
 을 말한다.
 2. "개인정보파일"이란 개인정보를 쉽게 검색할 수 있도록 일정한 규칙에 따라 체계적으로 배열하
 거나 구성한 개인정보의 집합물(集合物)을 말한다.
 3. "개인정보처리자"란 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을
 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등을 말한다.
 4. "대기업"이란 「독점규제 및 공정거래에 관한 법률」제14조에 따라 공정거래위원회가 지정한 기
 업집단을 말한다.
 5. "중견기업"이란「중견기업 성장촉진 및 경쟁력 강화에 관한 특별법」제2조에 해당하는 기업을
 말한다.
 6. "중소기업"이란 「중소기업기본법」제2조 및 동법 시행령 제3조에 해당하는 기업을 말한다.
 7. "소상공인"이란 「소상공인 보호 및 지원에 관한 법률」제2조에 해당하는 자를 말한다.
 8. "개인정보 보호책임자"란 개인정보처리자의 개인정보 처리에 관한 업무를 총괄해서 책임지는 자
 로서 영 제32조제2항에 해당하는 자를 말한다.
 9. "개인정보취급자"란 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 업무를 담당하는
 자로서 임직원, 파견근로자, 시간제근로자 등을 말한다.
 10. "개인정보처리시스템"이란 데이터베이스시스템 등 개인정보를 처리할 수 있도록 체계적으로 구
 성한 시스템을 말한다.
 11. "위험도 분석"이란 개인정보 유출에 영향을 미칠 수 있는 다양한 위험요소를 식별·평가하고 해
 당 위험요소를 적절하게 통제할 수 있는 방안 마련을 위한 종합적으로 분석하는 행위를 말한다.
 12. "비밀번호"란 정보주체 또는 개인정보취급자 등이 개인정보처리시스템, 업무용 컴퓨터 또는 정
 보통신망 등에 접속할 때 식별자와 함께 입력하여 정당한 접속 권한을 가진 자라는 것을 식별할
 수 있도록 시스템에 전달해야 하는 고유의 문자열로서 타인에게 공개되지 않는 정보를 말한다.
 13. "정보통신망"이란 「전기통신기본법」 제2조제2호에 따른 전기통신설비를 이용하거나 전기통신
 설비와 컴퓨터 및 컴퓨터의 이용기술을 활용하여 정보를 수집·가공·저장·검색·송신 또는 수신하는
 정보통신체계를 말한다.
 14. "공개된 무선망"이란 불특정 다수가 무선접속장치(AP)를 통하여 인터넷을 이용할 수 있는 망을
 말한다.
 15. "모바일 기기"란 무선망을 이용할 수 있는 PDA, 스마트폰, 태블릿PC 등 개인정보 처리에 이용

                              84
제19813호                     관          보            2020. 8. 11.(화요일)
 되는 휴대용 기기를 말한다.
 16. "바이오정보"란 지문, 얼굴, 홍채, 정맥, 음성, 필적 등 개인을 식별할 수 있는 신체적 또는 행동
 적 특징에 관한 정보로서 그로부터 가공되거나 생성된 정보를 포함한다.
 17. "보조저장매체"란 이동형 하드디스크, USB메모리, CD(Compact Disk), DVD(Digital Versatile
 Disk) 등 자료를 저장할 수 있는 매체로서 개인정보처리시스템 또는 개인용 컴퓨터 등과 용이하게
 연결·분리할 수 있는 저장매체를 말한다.
 18. "내부망"이란 물리적 망분리, 접근 통제시스템 등에 의해 인터넷 구간에서의 접근이 통제 또는
 차단되는 구간을 말한다.
 19. "접속기록"이란 개인정보취급자 등이 개인정보처리시스템에 접속하여 수행한 업무내역에 대하
 여 개인정보취급자 등의 계정, 접속일시, 접속지 정보, 처리한 정보주체 정보, 수행업무 등을 전자
 적으로 기록한 것을 말한다. 이 경우 "접속"이란 개인정보처리시스템과 연결되어 데이터 송신 또
 는 수신이 가능한 상태를 말한다.
 20. "관리용 단말기"란 개인정보처리시스템의 관리, 운영, 개발, 보안 등의 목적으로 개인정보처리시
 스템에 직접 접속하는 단말기를 말한다.
제3조(안전조치 기준 적용) 개인정보처리자가 개인정보의 안전성 확보에 필요한 조치를 하는 경우에
 는 [별표] 개인정보처리자 유형 및 개인정보 보유량에 따른 안전조치 기준을 적용하여야 한다. 이
 경우 개인정보처리자가 어느 유형에 해당하는지에 대한 입증책임은 당해 개인정보처리자가 부담한
 다.
제4조(내부 관리계획의 수립·시행) ① 개인정보처리자는 개인정보의 분실·도난·유출·위조·변조 또는
 훼손되지 아니하도록 내부 의사결정 절차를 통하여 다음 각 호의 사항을 포함하는 내부 관리계획
 을 수립·시행하여야 한다.
 1. 개인정보 보호책임자의 지정에 관한 사항
 2. 개인정보 보호책임자 및 개인정보취급자의 역할 및 책임에 관한 사항
 3. 개인정보취급자에 대한 교육에 관한 사항
 4. 접근 권한의 관리에 관한 사항
 5. 접근 통제에 관한 사항
 6. 개인정보의 암호화 조치에 관한 사항
 7. 접속기록 보관 및 점검에 관한 사항
 8. 악성프로그램 등 방지에 관한 사항
 9. 물리적 안전조치에 관한 사항
 10. 개인정보 보호조직에 관한 구성 및 운영에 관한 사항
 11.개인정보 유출사고 대응 계획 수립·시행에 관한 사항
 12. 위험도 분석 및 대응방안 마련에 관한 사항
 13. 재해 및 재난 대비 개인정보처리시스템의 물리적 안전조치에 관한 사항
 14. 개인정보 처리업무를 위탁하는 경우 수탁자에 대한 관리 및 감독에 관한 사항
 15. 그 밖에 개인정보 보호를 위하여 필요한 사항
 ② [별표]의 유형1에 해당하는 개인정보처리자는 제1항에 따른 내부 관리계획을 수립하지 아니할
 수 있고, [별표]의 유형2에 해당하는 개인정보처리자는 제1항제12호부터 제14호까지를 내부 관리계
 획에 포함하지 아니할 수 있다.
 ③ 개인정보처리자는 제1항 각 호의 사항에 중요한 변경이 있는 경우에는 이를 즉시 반영하여 내

                                   85
제19813호                  관         보           2020. 8. 11.(화요일)
 부 관리계획을 수정하여 시행하고, 그 수정 이력을 관리하여야 한다.
 ④ 개인정보보호책임자는 접근권한 관리, 접속기록 보관 및 점검, 암호화 조치 등 내부 관리계획의
 이행 실태를 연1회 이상으로 점검·관리 하여야 한다.
제5조(접근 권한의 관리) ① 개인정보처리자는 개인정보처리시스템에 대한 접근 권한을 업무 수행에
 필요한 최소한의 범위로 업무 담당자에 따라 차등 부여하여야 한다.
 ② 개인정보처리자는 전보 또는 퇴직 등 인사이동이 발생하여 개인정보취급자가 변경되었을 경우
 지체없이 개인정보처리시스템의 접근 권한을 변경 또는 말소하여야 한다.
 ③ 개인정보처리자는 제1항 및 제2항에 의한 권한 부여, 변경 또는 말소에 대한 내역을 기록하고,
 그 기록을 최소 3년간 보관하여야 한다.
 ④ 개인정보처리자는 개인정보처리시스템에 접속할 수 있는 사용자계정을 발급하는 경우 개인정보
 취급자 별로 사용자계정을 발급하여야 하며, 다른 개인정보취급자와 공유되지 않도록 하여야 한다.
 ⑤ 개인정보처리자는 개인정보취급자 또는 정보주체가 안전한 비밀번호를 설정하여 이행할 수 있
 도록 비밀번호 작성규칙을 수립하여 적용하여야 한다.
 ⑥개인정보처리자는 권한 있는 개인정보취급자만이 개인정보처리시스템에 접근할 수 있도록 계정
 정보 또는 비밀번호를 일정 횟수 이상 잘못 입력한 경우 개인정보처리시스템에 대한 접근을 제한
 하는 등 필요한 기술적 조치를 하여야 한다.
 ⑦ [별표]의 유형1에 해당하는 개인정보처리자는 제1항 및 제6항을 아니할 수 있다.
제6조(접근통제) ① 개인정보처리자는 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 다
 음 각 호의 기능을 포함한 조치를 하여야 한다.
 1. 개인정보처리시스템에 대한 접속 권한을 IP(Internet Protocol) 주소 등으로 제한하여 인가받지
 않은 접근을 제한
 2. 개인정보처리시스템에 접속한 IP (Internet Protocol)주소 등을 분석하여 불법적인 개인정보 유출
 시도 탐지 및 대응
 ② 개인정보처리자는 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하
 려는 경우 가상사설망(VPN : Virtual Private Network) 또는 전용선 등 안전한 접속수단을 적용하
 거나 안전한 인증수단을 적용하여야 한다.
 ③ 개인정보처리자는 취급중인 개인정보가 인터넷 홈페이지, P2P, 공유설정, 공개된 무선망 이용
 등을 통하여 열람권한이 없는 자에게 공개되거나 유출되지 않도록 개인정보처리시스템, 업무용 컴
 퓨터, 모바일 기기 및 관리용 단말기 등에 접근 통제 등에 관한 조치를 하여야 한다.
 ④ 고유식별정보를 처리하는 개인정보처리자는 인터넷 홈페이지를 통해 고유식별정보가 유출·변조·
 훼손되지 않도록 연 1회 이상 취약점을 점검하고 필요한 보완 조치를 하여야 한다.
 ⑤개인정보처리자는 개인정보처리시스템에 대한 불법적인 접근 및 침해사고 방지를 위하여 개인정
 보취급자가 일정시간 이상 업무처리를 하지 않는 경우에는 자동으로 시스템 접속이 차단되도록 하
 여야 한다.
 ⑥ 개인정보처리자가 별도의 개인정보처리시스템을 이용하지 아니하고 업무용 컴퓨터 또는 모바일
 기기를 이용하여 개인정보를 처리하는 경우에는 제1항을 적용하지 아니할 수 있으며, 이 경우 업
 무용 컴퓨터 또는 모바일 기기의 운영체제(OS : Operating System)나 보안프로그램 등에서 제공
 하는 접근 통제 기능을 이용할 수 있다.
 ⑦ 개인정보처리자는 업무용 모바일 기기의 분실·도난 등으로 개인정보가 유출되지 않도록 해당 모
 바일 기기에 비밀번호 설정 등의 보호조치를 하여야 한다.

                               86
제19813호                관        보        2020. 8. 11.(화요일)
 ⑧ [별표]의 유형1에 해당하는 개인정보처리자는 제2항, 제4항부터 제5항까지의 조치를 아니할 수
 있다.
제7조(개인정보의 암호화) ① 개인정보처리자는 고유식별정보, 비밀번호, 바이오정보를 정보통신망을
 통하여 송신하거나 보조저장매체 등을 통하여 전달하는 경우에는 이를 암호화하여야 한다.
 ② 개인정보처리자는 비밀번호 및 바이오정보는 암호화하여 저장하여야 한다. 다만, 비밀번호를 저
 장하는 경우에는 복호화되지 아니하도록 일방향 암호화하여 저장하여야 한다.
 ③ 개인정보처리자는 인터넷 구간 및 인터넷 구간과 내부망의 중간 지점(DMZ : Demilitarized
 Zone)에 고유식별정보를 저장하는 경우에는 이를 암호화하여야 한다.
 ④ 개인정보처리자가 내부망에 고유식별정보를 저장하는 경우에는 다음 각 호의 기준에 따라 암호
 화의 적용여부 및 적용범위를 정하여 시행할 수 있다.
 1. 법 제33조에 따른 개인정보 영향평가의 대상이 되는 공공기관의 경우에는 해당 개인정보 영향평
 가의 결과
 2. 암호화 미적용시 위험도 분석에 따른 결과
 ⑤ 개인정보처리자는 제1항, 제2항, 제3항, 또는 제4항에 따라 개인정보를 암호화하는 경우 안전한
 암호알고리즘으로 암호화하여 저장하여야 한다.
 ⑥ 개인정보처리자는 암호화된 개인정보를 안전하게 보관하기 위하여 안전한 암호 키 생성, 이용,
 보관, 배포 및 파기 등에 관한 절차를 수립·시행하여야 한다.
 ⑦ 개인정보처리자는 업무용 컴퓨터 또는 모바일 기기에 고유식별정보를 저장하여 관리하는 경우
 상용 암호화 소프트웨어 또는 안전한 암호화 알고리즘을 사용하여 암호화한 후 저장하여야 한다.
 ⑧ [별표]의 유형1 및 유형2에 해당하는 개인정보처리자는 제6항을 아니할 수 있다.
제8조(접속기록의 보관 및 점검) ① 개인정보처리자는 개인정보취급자가 개인정보처리시스템에 접속
 한 기록을 1년 이상 보관·관리하여야 한다. 다만, 5만명 이상의 정보주체에 관하여 개인정보를 처
 리하거나, 고유식별정보 또는 민감정보를 처리하는 개인정보처리시스템의 경우에는 2년 이상 보
 관·관리하여야 한다.
 ② 개인정보처리자는 개인정보의 오·남용, 분실·도난·유출·위조·변조 또는 훼손 등에 대응하기 위하
 여 개인정보처리시스템의 접속기록 등을 월 1회 이상 점검하여야 한다. 특히 개인정보를 다운로드
 한 것이 발견되었을 경우에는 내부관리 계획으로 정하는 바에 따라 그 사유를 반드시 확인하여야
 한다.
 ③ 개인정보처리자는 개인정보취급자의 접속기록이 위·변조 및 도난, 분실되지 않도록 해당 접속기
 록을 안전하게 보관하여야 한다.
제9조(악성프로그램 등 방지) 개인정보처리자는 악성프로그램 등을 방지·치료할 수 있는 백신 소프트
 웨어 등의 보안 프로그램을 설치·운영하여야 하며, 다음 각 호의 사항을 준수하여야 한다.
 1. 보안 프로그램의 자동 업데이트 기능을 사용하거나, 일 1회 이상 업데이트를 실시하여 최신의
 상태로 유지
 2. 악성프로그램 관련 경보가 발령된 경우 또는 사용 중인 응용 프로그램이나 운영체제 소프트웨어
 의 제작업체에서 보안 업데이트 공지가 있는 경우 즉시 이에 따른 업데이트를 실시
 3. 발견된 악성프로그램 등에 대해 삭제 등 대응 조치
제10조(관리용 단말기의 안전조치) 개인정보처리자는 개인정보 유출 등 개인정보 침해사고 방지를 위
 하여 관리용 단말기에 대해 다음 각 호의 안전조치를 하여야 한다.
 1. 인가 받지 않은 사람이 관리용 단말기에 접근하여 임의로 조작하지 못하도록 조치

                             87
제19813호                 관         보         2020. 8. 11.(화요일)
② 제1항에 따른 위반기간을 산정하면서 위반행위의 개시일 또는 종료일이 불분명한 경우에는 위반
정보통신서비스 제공자등의 영업·재무관련 자료, 임직원·이용자 등의 진술, 동종 유사 정보통신서비스
제공자등의 영업 및 거래실태·관행 등을 고려하여 이를 산정할 수 있다.
제8조(추가적 가중·감경) 개인정보보호위원회는 사업자의 위반행위 주도 여부, 조사 협력 여부 등을
고려하여 필수적 가중·감경을 거친 금액의 100분의 50의 범위 내에서 [별표]에 따라 추가적으로 가중
하거나 감경할 수 있다.
제9조(시정조치의 명령) 개인정보보호위원회는 과징금 부과와 함께 법 제64조제1항에 따라 해당 위반
행위의 중지나 시정을 위하여 필요한 시정조치를 명할 수 있으며, 위반 정도가 경미하다고 판단되는
경우에는 과징금 부과를 시정조치의 명령으로 갈음할 수 있다.
제10조(재검토 기한) 개인정보보호위원회는 「훈령·예규 등의 발령 및 관리에 관한 규정」(대통령훈
령 제394호)에 따라 이 고시에 대하여 2020년 8월 11일을 기준으로 매 3년이 되는 시점(매 3년째의 8
월 10일까지를 말한다)마다 그 타당성을 검토하여 개선 등의 조치를 하여야 한다.
                              부 칙
이 고시는 고시한 날부터 시행한다.
※ 별표 및 전문은 개인정보보호위원회 홈페이지(고시란)을 참조바랍니다.


◉개인정보보호위원회고시제2020-7호
 개인정보 처리 방법에 관한 고시를 다음과 같이 제정하여 고시합니다.
   2020년 8월 11일
             개인정보보호위원회 위원장
                    개인정보 처리 방법에 관한 고시 제정
제1조(목적) 이 고시는 「개인정보 보호법」 및 같은 법 시행령에서 위임된 사항과 그 시행에 필요한
 사항을 규정함을 목적으로 한다.
제2조(공공기관에 의한 개인정보의 목적 외 이용 또는 제3자 제공의 공고) 공공기관은 개인정보를 목
 적 외의 용도로 이용하거나 제3자에게 제공(이하 "목적외이용등"이라 한다)하는 경우에는 「개인정
 보 보호법」(이하 "법"이라 한다) 제18조제4항에 따라 개인정보를 목적외이용등을 한 날부터 30일
 이내에 다음 각 호의 사항을 관보 또는 인터넷 홈페이지에 게재하여야 한다. 이 경우 인터넷 홈페
 이지에 게재할 때에는 10일 이상 계속 게재하되, 게재를 시작하는 날은 목적외이용등을 한 날부터
 30일 이내여야 한다.
 1. 목적외이용등을 한 날짜
 2. 목적외이용등의 법적 근거
 3. 목적외이용등의 목적
 4. 목적외이용등을 한 개인정보의 항목(구성)
제3조(개인정보 보호업무 관련 장부 및 문서 서식) ① 법 제18조제2항과 「개인정보 보호법 시행령」(이
  하 "영"이라 한다) 제15조에 따른 개인정보의 목적 외 이용 및 제3자 제공 대장은 별지 제1호서식과
  같다.
 ② 법 제32조제1항과 영 제34조제1항에 따른 개인정보파일 등록 신청 및 변경등록 신청은 별지 제2호
  서식의 개인정보파일 등록ㆍ변경등록 신청서에 따른다.
 ③ 영 제37조제2항에 따라 개인정보 영향평가기관의 지정을 신청하려는 자는 별지 제3호서식의 개인

                              101
제19813호                관         보         2020. 8. 11.(화요일)
  정보 영향평가기관 지정신청서에 다음 각 호의 서류(전자문서를 포함한다)를 첨부하여 개인정보 보
  호위원회에 제출하여야 한다.
  1. 영 제37조제2항제1호부터 제3호까지의 규정에 따른 서류
  2. 영 제37조제2항제4호에 따른 다음 각 목의 서류
   가. 별지 제4호서식의 개인정보 영향평가 수행인력 보유 현황
   나. 별지 제5호서식의 개인정보 영향평가 수행 관련 사무실 및 설비 보유 현황
   다. 영 제37조제1항제1호의 사실을 증명할 수 있는 서류 등 개인정보 보호위원회가 정하는 서류
  3. 「출입국관리법」 제88조제2항에 따른 외국인등록 사실증명(영 제37조제3항 각 호 외의 부분 단
  서에 해당하는 경우에만 첨부한다)
 ④ 법 제33조제1항과 영 제37조제4항에 따른 개인정보 영향평가기관 지정서는 별지 제6호서식과 같다.
 ⑤ 법 제33조제6항과 영 제37조제6항에 따른 신고는 별지 제7호서식의 개인정보 영향평가기관 변경사
  항 신고서에 따른다.
 ⑥ 법 제35조제2항과 영 제41조제3항에 따른 개인정보 열람의 요구는 별지 제8호서식의 개인정보 열
  람 요구서에 따른다.
 ⑦ 법 제35조제5항과 영 제41조제4항에 따른 개인정보 열람 및 일부열람의 통지, 법 제35조제3항 후단
  과 영 제42조제2항에 따른 개인정보 열람연기의 통지, 법 제35조제4항과 영 제42조제2항에 따른 열
  람거절의 통지는 별지 제9호서식의 개인정보 열람, 일부열람, 열람연기, 열람거절 통지서에 따른다.
 ⑧ 법 제36조제6항과 영 제43조제3항에 따른 개인정보 정정ㆍ삭제 요구에 대한 결과의 통지, 법 제37
  조제5항과 영 제44조제2항에 따른 개인정보 처리정지 요구에 대한 결과의 통지는 별지 제10호서식
  의 개인정보 정정ㆍ삭제, 처리정지 요구에 대한 결과 통지서에 따른다.
 ⑨ 영 제45조제2항에 따른 정보주체의 위임장은 별지 제11호서식과 같다.
제4조(서면 동의 시 중요한 내용의 표시 방법) 법 제22조제2항에서 "보호위원회가 고시로 정하는 방법"
  이란 다음 각 호의 방법을 말한다.
 1. 글씨의 크기는 최소한 9포인트 이상으로서 다른 내용보다 20퍼센트 이상 크게 하여 알아보기 쉽게
  할 것
 2. 글씨의 색깔, 굵기 또는 밑줄 등을 통하여 그 내용이 명확히 표시되도록 할 것
 3. 동의 사항이 많아 중요한 내용이 명확히 구분되기 어려운 경우에는 중요한 내용이 쉽게 확인될 수
  있도록 그 밖의 내용과 별도로 구분하여 표시할 것
                             부 칙
이 고시는 고시한 날부터 시행한다.
※ 별표 및 전문은 개인정보보호위원회 홈페이지(고시란)을 참조바랍니다.


◉개인정보보호위원회고시제2020-8호
 정보보호 및 개인정보보호 관리체계 인증 등에 관한 사항을 다음과 같이 제정하여 고시합니다.
   2020년 8월 11일
             개인정보보호위원회 위원장
     (개인정보보호위원회) 정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시 제정
                          제1장 총칙

                             102
제19813호                         관            보            2020. 8. 11.(화요일)
 자 또는 종사하였던 자는 인증에 관련하여 일체의 금전, 금품, 이익 등을 부당하게 수수하여서는
 아니 된다.
제38조(업무 지침 등) 인터넷진흥원, 인증기관 또는 심사기관은 인증 또는 심사업무 수행을 위해 필
 요한 경우 법령의 범위 내에서 인증 또는 심사업무에 관한 지침을 마련하여 시행할 수 있다.
제39조(재검토 기한) 과학기술정보통신부장관과 보호위원회는 「행정규제기본법」 및 「훈령･예규 등
 의 발령 및 관리에 관한 규정」에 따라 이 고시에 대하여 2019년 1월 1일을 기준으로 매3년이 되
 는 시점(매 3년째의 12월 31일까지를 말한다)마다 그 타당성을 검토하여 개선 등의 조치를 하여야
 한다.
                                      부칙
제1조(시행일) 이 고시는 고시한 날부터 시행한다.
제2조(종전의 고시에 따른 처분 및 계속 중인 행위에 관한 경과조치) 이 고시 시행 당시 행정안전부
 고시 제2018-71호 및 방송통신위원회 고시 제2018-14호(이하 ‘종전 고시’라 한다)에 따라 행정안전
 부장관 및 방송통신위원회가 행한 공고⋅지정 및 그 밖의 행위와 그에 대하여 행한 신고⋅신청 및
 그 밖의 행위는 이 고시에 따라 보호위원회가 행한 행위로 본다.
제3조(인증심사원에 관한 경과조치) ① 종전 고시 시행 이전에 「정보보호 관리체계 인증 등에 관한
 고시」제11조 및 「개인정보보호 관리체계 인증 등에 관한 고시」제9조에 따라 인터넷진흥원으로
 부터 인증심사원 자격을 받은 자는 심사원 자격 유효기간까지 종전 고시 시행이전 인증기준의 심
 사에 참여할 수 있다.
 ② 제1항의 인증심사원이 종전 고시 및 이 고시에 의한 인증기준의 심사에 참여하기 위해서는 심
 사원 자격 유효기간 이내에 인터넷진흥원이 실시하는 심사원 자격전환 과정을 신청하고 자격전환
 과정을 수료하여야 하며, 이 경우 종전 고시 및 이 고시에 의한 인증심사원으로 본다. 이때 자격전
 환 과정을 수료한 심사원은 종전 고시 시행 이전 인증기준의 심사에 참여할 수 있다.
 ③ 인증심사원 자격전환 시 인증심사원 등급은 기존 인증심사 경력을 합산하여 적용하며 종전 고
 시 및 이 고시 별표 3의 자격요건을 따른다.
제4조(신청인에 관한 경과조치) 종전 고시 시행 이전의 인증기준으로 인증심사를 받은 자는 인증서의
 유효기간까지 기존 인증기준으로 사후심사를 받을 수 있다.
제5조(인증기관 및 심사기관에 관한 경과조치) 종전 고시에 의해 지정받은 인증기관 또는 심사기관은
 지정서의 유효기간까지 부칙 제4조의 신청인에 대하여 종전 고시 시행 이전의 인증기준으로 인증
 또는 심사를 수행할 수 있다.
※ 별표 및 전문은 개인정보보호위원회 홈페이지(고시란)을 참조바랍니다.


◉법무부고시제2020-298호
 다음사람들은국적법제8조내지제9조규정에따라대한민국국적취득(회복)을하였기에고시합니다.
   2020년 8월 11일
                법 무 부 장 관

                                            한국국적          한국국적
 성명    생년월일         성별   종전국적   등록기준지                             수반취득   비고
                                            상실일자          상실원인

                                 경기도                     외국국적포기
 오무영   2003.**.**   여성   중국                 2013.05.25
                                화성시 ****                  불이행

                                      111