개인정보영향평가 (Privacy Impact Assessment (PIA))
쉽게 풀면
정부가 개인정보를 많이 다루는 시스템을 만들기 전에 위험을 미리 점검하는 제도이다. 평가 결과는 시스템 구축 계획에 반영되어야 하며, 개인정보보호위원회가 평가 이행 여부를 점검할 수 있다.
왜 중요한가
프라이버시영향평가는 새로운 정보시스템이나 정책을 도입하기 전 개인정보 침해 위험을 사전에 진단하고 대응 방안을 마련하는 절차로, 대규모 개인정보를 처리하는 공공사업 추진 시 의무적으로 실시되는 경우가 많다. 문제 발생 이후 사후 대응이 아니라 설계 단계부터 위험을 예방하는 접근으로 다뤄진다.
논문에서는 이렇게 쓰입니다
예) '개인정보영향평가 이행이 공공정보시스템의 개인정보 침해사고 발생률에 미치는 영향을 분석하였다.'
중앙정부가 아닌 지자체 사업을 사례로 들어, 대규모 개인정보를 다루는 지역 단위 시스템에서도 이 평가가 위험을 얼마나 구체적으로 짚어냈는지를 살핀 문장입니다.
조금 더 깊게 보면
평가가 사업 추진 일정에 맞춰 형식적으로 이뤄지면 실질적인 위험 진단보다 절차적 요건 충족에 그칠 위험이 있어, 평가 결과가 실제 시스템 설계에 반영되는 절차적 장치가 함께 필요하다. 개인정보보호제도가 전반적인 법적 규율 체계라면 프라이버시영향평가는 그 제도 안에서 개별 사업 단위로 실시되는 구체적 사전 진단 절차다. 개인정보 영향평가는 일정 규모 이상의 개인정보파일을 구축·운용하는 공공기관이 시스템 도입 전에 개인정보 침해 요인을 사전에 분석하고 개선 방안을 마련하도록 의무화한 절차이다. 영향평가는 개인정보보호위원회가 지정한 평가기관이 수행한다(개인정보 보호법 제33조).
주의할 점
일정 규모 이상의 개인정보파일을 구축하는 공공기관 시스템에 한해 의무적으로 실시되며, 모든 정보시스템에 일률적으로 적용되지는 않는다. 평가가 사업 착수 이후 형식적으로 진행되면 실제 설계에 개선사항이 반영되지 못하는 경우가 있어, 평가 시점을 시스템 설계 이전 단계로 앞당기는 것이 권고된다. 평가 결과는 개인정보보호위원회에 제출해야 한다. 평가 후 개선 조치 이행도 점검된다.