◉ 행정자치부 고시  제2015-52호

개인정보 보호 인증제 운영에 관한 규정 전부 개정

개인정보 보호 인증제 운영에 관한 규정을 다음과 같이 전부 개정한다.

개인정보보호 관리체계 인증 등에 관한 고시

제 1 장 총칙

제1조(목적) 이 고시는 ｢개인정보 보호법」제13조제3호 및 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(이하 "정보통신망법"이라 한다) 제47조의3제2항에 따른 개인정보보호 관리체계 인증에 관하여 필요한 사항을 정함을  목적으로 한다.

제2조(용어의 정의) 이 고시에서 사용하는 용어의 정의는 다음 각 호와 같다.

1. "개인정보보호 관리체계 인증"이란 신청기관의 개인정보보호를 위한 일련의 조치와 활동이 인증심사 기준에 부합하다고 승인하는 것을 말한다.

2. "개인정보보호 관리체계 인증기관(이하 ‘인증기관’이라 한다)"이란 인증에 관한 업무를 수행할 수 있도록 ｢개인정보 보호법｣ 제13조제3호의 업무 수행을 위해 행정자치부가 정하는 전문기관 및 정보통신망법 제47조의3제3항 및 정보통신망법 제47조제5항에 따라 방송통신위원회가 지정하는 기관을 말한다.

3. "업무수행 요건·능력 심사"란 인증기관으로 지정받고자 신청한 법인 또는 단체의 업무수행 요건·능력을 별표 2의 세부기준에 따라 심사하는 것을 말한다.

4. "인증심사"란 신청기관이 수립하여 운영하는 개인정보보호 관리체계가 별표 5의 개인정보보호 관리체계 인증기준에 적합한 지의 여부를 ‘한국인터넷진흥원’(이하 ‘인터넷진흥원’이라 한다) 또는 인증기관이 서면심사 및 현장심사의 방법으로 확인하는 것을 말한다.

5. "개인정보보호 관리체계 인증위원회(이하 ‘인증위원회’이라 한다)"란 인터넷진흥원 또는 인증기관의 장이 인증심사 결과 등을 심의‧의결하기 위해 설치‧운영하는 기구로서 위원장과 위원으로 구성된다.

6. "인증심사원"이란 인터넷진흥원으로부터 자격을 부여받고 인증심사를 수행하는 자를 말한다.

7. "신청기관"이란 인터넷진흥원 또는 인증기관에 개인정보보호 관리체계 인증을 신청한 자를 말한다.

8. "최초심사"란 처음으로 인증을 신청하거나 인증범위에 중요한 변경이 있어서 다시 인증을 신청한 때 실시하는 인증심사를 말한다.

9. "사후심사"란 인증을 취득한 기관이 수립하여 운영 중인 개인정보보호 관리체계가 인증기준에 적합하고 지속적으로 유지되고 있는 지를 확인하기 위하여 인증 유효기간 중에 매년 1회 이상 시행하는 인증심사를 말한다.

10. "갱신심사"란 유효기간 만료로 다시 인증을 신청한 때 실시하는 인증심사를 말한다.

제2장 개인정보보호 관리체계 인증기관

제3조(인증기관 등) ① 인터넷진흥원 또는 인증기관은 다음 각 호의 업무를 수행한다.

1. 인증심사의 실시 및 인증·인증취소

2. 인증서 발급, 인증마크의 교부 및 인증사실의 관리

3. 인증위원회의 구성·운영

4. 인증심사기준 및 인증심사기법의 연구개발

5. 인증심사원의 자격인정, 교육·승급 및 인증심사 경력의 관리

6. 인증제도 관련 연구 및 동향 조사·분석, 그밖에 인증제도의 운영에 필요한 사항

② 행정자치부와 방송통신위원회는 인증기관을 지정할 필요가 있는 때에는 협의하여 지정대상 기관의 수, 업무의 범위 및 신청방법 등을 정하여 관보 및 인터넷 홈페이지에 20일 이상 공고하여야 한다.

③ 제2항에 따라 인증기관으로 지정받으려는 자는 다음 각 호의 서류를 행정자치부 또는 방송통신위원회에 제출하여야 한다.

1. 별지 제1호 서식의 개인정보보호 관리체계 인증기관 지정 신청서

2. 별지 제2호 서식의 인증심사원 보유현황과 이를 증명할 수 있는 서류

3. 별표 1의 업무수행 요건‧능력 심사를 위하여 필요한 서류

제4조(인증기관의 지정기준 및 지정절차 등) ① 인증기관에 대한 업무수행 요건·능력 심사를 위한 세부기준은 별표 2와 같다.

② 행정자치부와 방송통신위원회는 제3조제3항에 따라 인증기관의 지정 신청을 받은 때에는 협의하여 제1항에 따라 업무수행요건‧능력을 심사하여  지정 대상기관의 순위를 정한다.

③ 행정자치부와 방송통신위원회는 협의하여 업무수행 요건‧능력을 심사하고 지정에 필요한 수만큼 점수의 합이 높은 순으로 선별한다.

④ 행정자치부와 방송통신위원회는 협의하여 심사 결과를 바탕으로 하여 인증기관으로의 지정여부를 최종 결정한다.

⑤ 행정자치부와 방송통신위원회는 인증기관으로 지정된 신청인에게 별지 제3호의 개인정보보호 관리체계 인증기관 지정서를 발급한다.

⑥ 인증기관의 유효기간은 3년으로 한다.

제5조(인증기관의 사후관리) 인증기관은 매년 2월말까지 전년도의 인증실적을 별지 제4호 서식의 인증실적 보고서에 작성하여 행정자치부와 방송통신위원회에 제출하여야 한다.

제6조(인증기관 재지정) ① 인증기관은 유효기간이 끝나기 전 6개월부터 3개월 전까지 별지 제1호 서식에 따라 행정자치부 또는 방송통신위원회에 재지정 신청을 할 수 있다.

② 행정자치부와 방송통신위원회는 제1항에 따라 재지정 신청을 받은 때에는 협의하여 재지정 여부를 결정한다.

제3장 인증심사원의 자격 및 관리

제7조(인증심사원의 자격 요건 등) ① 인증심사원의 등급별 자격 요건은 별표 3과 같다.

② 인증심사원은 인증심사 수행능력에 따라 심사원보, 심사원, 선임심사원으로 구분한다.

제8조(인증심사원 자격 신청) ① 인증심사원이 되려는 자는 인터넷진흥원이 시행하는 인증심사원 양성교육 과정을 수료하고 평가에 합격하여야 한다.

② 심사원 자격을 신청하고자 하는 자는 인터넷진흥원이 공고하는 신청기간 내에 별지 제5호 서식의 개인정보보호 관리체계 인증심사원 자격 신청서와 관련 서류를 제출하여야 한다.

제9조(인증심사원 자격 부여) ① 인터넷진흥원은 인증심사원 자격 신청서를 접수한 때에는 신청서류를 검토하여 서류 보완 및 추가제출을 요청할 수 있다.

② 서류 보완 및 추가제출을 요청받은 자격 신청자는 1개월 이내에 관련 서류 등을 제출하여야 한다.

③ 인터넷진흥원은 인증심사원 자격의 적합여부를 확인하여 통과한 자에게 별지 제6호 서식의 인증심사원 자격 증명서를 발급하여야 한다.

제10조(인증심사원 자격 유지) ① 인증심사원의 자격 유효기간은 자격 부여를 받은 날로부터 3년으로 한다.

② 인증심사원은 자격 유지를 위해 유효기간 만료 전까지 인터넷진흥원 또는 인터넷진흥원이 지정하는 기관에서 시행하는 인증심사원 보수교육을 이수하여야 한다. 다만, 부득이한 사유로 보수교육을 받지 못한 경우에는 인터넷진흥원이 인정하는 대체교육을 받아야 한다.

③ 보수교육을 이수한 자에 한하여 자격 유효기간이 3년간 연장된다.

제11조(인증심사원 자격 취소) 인터넷진흥원은 다음 각 호의 어느 하나에 해당하는 사유를 발견한 경우 인증심사원 자격을 취소할 수 있다.

1. 인증심사원 자격 신청 시 제출한 서류가 허위인 경우

2. 인증심사 수행 중 취득한 정보를 관련 법령의 근거나 신청기관의 동의 없이 타인에게 누설하거나 업무목적 외에 이를 사용한 경우

3. 인증심사와 관련된 일체의 금전, 금품, 이익 등을 부당하게 수수한 경우

제4장 인증심사의 신청 및 계약

제12조(신청기관의 사전 준비사항) ① 개인정보보호 관리체계 인증을 받고자 하는 신청기관은 개인정보보호 관리체계 인증을 신청하기 전에 인증기준에 따른 개인정보보호 관리체계를 구축하여 최소 2개월 이상 운영하여야 한다.

② 신청기관은 인증심사를 위하여 다음 각 호의 사항을 인증심사 실시 전에 준비하여야 한다.

1. 인증심사를 위한 관련 문서 및 증거자료 등의 열람제공

2. 인증심사를 수행하기 위하여 필요한 장소·시설·장비·기자재 등의 확보

3. 그밖에 인증심사를 원활하게 수행하기 위하여 인터넷진흥원 또는 인증기관이 요구하는 사항

제13조(인증 신청 등) ① 인증을 취득하고자 하는 신청기관은 다음 각 호의 어느 하나에 해당하는 유형의 인증을 신청할 수 있다.

1. 「소상공인 보호 및 지원에 관한 법률」제2조제1호 및 제2호에 따른 소상공인에 해당하는 사업자 및 그 밖의 사업자(유형1)

2. 「중소기업기본법」제2조에 따른 중소기업에 해당하는 사업자(유형2)

3. 「대‧중소기업 상생협력 촉진에 관한 법률」제2조제2호에 따른 대기업에 해당하는 사업자 및 정보통신망법 제2조제2호에 따른 “정보통신서비스 제공자”(유형3)

4. 「개인정보 보호법」제2조제6호에 따른 공공기관(유형4)

② 제1항에 따라 인증을 신청하는 기관은 인증의 대상을 특정 서비스·업무로 구분하여 신청하여야 한다.

③ 제1항에 따라 인증을 신청하고자 하는 기관은 별지 제7호 서식의 개인정보보호 관리체계 인증 신청서 및 인증심사와 관련되는 다음 각 호의 사항을 인터넷진흥원 또는 인증기관에 제출하여야 한다.

1. 인증범위 내의 개인정보 처리시스템의 목록

2. 개인정보보호 관리체계를 수립·운영하는 방법과 절차

3. 개인정보보호 관리체계 및 보호대책 구현과 관련되는 문서 목록

④ 신청기관은 인증범위 및 일정 등을 인터넷진흥원 또는 인증기관과 사전 협의하여 신청하여야 한다.

⑤ 인터넷진흥원 또는 인증기관은 인증심사 실시 여부를 판단하기 위하여 제12조에 따른 신청기관의 인증심사 준비 여부를 확인할 수 있으며, 신청기관의 준비가 미흡한 경우에는 신청기관에 이를 보완할 것을 요구할 수 있다.

⑥ 인터넷진흥원 또는 인증기관은 인증범위의 변경이 필요한 경우에 이를 신청기관과 협의하여 변경할 수 있다.

제14조(인증심사 계약의 체결) 신청기관은 인터넷진흥원 또는 인증기관과 협의한 후 심사기간, 심사인원, 인증수수료, 인증범위, 인증 정지 또는 취소 등을 포함하는 인증심사 계약을 체결한다.

제15조(인증수수료의 산정) ① 인증 수수료는 별표 4의 개인정보보호 관리체계 인증 수수료 산정기준을 적용하여 산정한다.

② 인터넷진흥원 또는 인증기관은 제1항에 따라 산정된 인증 수수료를 공지하여야 한다. 다만, 「중소기업기본법」 제2조에 따른 중소기업이 인증을 신청하는 경우 수수료 감면 등 필요한 지원을 할 수 있다.

③ 같은 인증대상에 대하여 2개 이상의 신청기관이 있는 경우 또는 하나의 신청기관이 다수의 인증대상에 대하여 인증신청을 한 경우에는 통합하여 심사 일수를 산정하고 그에 따라 수수료를 정할 수 있다.

④ 인터넷진흥원 또는 인증기관은 신청기관의 인증범위가 제16조제2항에 따라 추가 또는 조정된 경우 신청기관과 협의하여 수수료를 조정할 수 있다.

⑤ 신청기관은 최초심사, 사후심사 및 갱신심사 신청시 수수료를 납부하여야 하며, 수수료를 납부하지 않은 경우에 인증심사를 실시하지 아니할 수 있다.

⑥ 신청기관은 인증심사 계약을 체결한 날로부터 1개월 이내에 인증 수수료를 인증기관에 납부하여야 한다.

제5장 인증심사의 기준 및 방법

제16조(인증기준) ① 신청기관의 인증심사 기준은 신청유형별로 별표 5의 구분에 따른다.

② 인터넷진흥원 또는 인증기관은 신청기관과 협의를 통해 개인정보 처리규모, 업무특성 등을 고려하여 인증심사 항목을 추가 또는 조정할 수 있다.

제17조(인증심사팀 구성) ① 인터넷진흥원 또는 인증기관은 인증심사 계약을 체결한 때에는 인증심사팀을 구성하여야 한다.

② 인증심사팀 구성 시 심사팀장은 인터넷진흥원 또는 인증기관 소속의 심사원 이상으로 선정하여야 한다.

③ 신청기관의 개인정보보호 관리체계 인증을 위한 컨설팅에 참여한 인증심사원 또는 신청기관의 소속직원은 인증심사팀의 구성원에서 배제하여야 한다.

제18조(인증심사 방법 및 보완조치) ① 인증심사는 신청기관을 방문하여 서면심사와 현장심사를 병행한다.

② 서면심사는 별표 5의 인증기준에 적합한지에 대하여 개인정보보호 관리체계 구축·운영 관련 개인정보보호 정책, 지침, 절차 및 이행의 증적자료 검토, 개인정보보호대책 적용 여부 확인 등의 방법으로 관리적 요소를 심사한다.

③ 현장심사는 서면심사의 결과와 기술적·물리적 보호대책 이행여부를 확인하기 위하여 담당자 면담, 관련 시스템 확인 및 취약점 점검 등의 방법으로 기술적 요소를 심사한다.

④ 인터넷진흥원 또는 인증기관은 인증심사에서 발견된 결함에 대해 최대 90일(재조치 요구 60일 포함) 이내에 보완조치를 완료하도록 신청기관에게 요청할 수 있다.

⑤ 인터넷진흥원 또는 인증기관은 인증위원회 심의결과에 따라 30일 이내에 보완조치를 요구할 수 있다.

⑥ 인터넷진흥원 또는 인증기관은 보완조치 결과를 확인하기 위하여 필요한 때에는 현장 확인을 할 수 있다.

제19조(심사중단) ① 인터넷진흥원 또는 인증기관은 다음 각 호의 사유가 발생한 경우에는 인증심사를 중단할 수 있다.

1. 신청기관이 고의로 인증심사의 실시를 지연 또는 방해하거나 신청기관의 귀책사유로 인하여 인증심사를 계속 진행하기가 곤란하다고 인정되는 경우

2. 신청기관이 제출한 관련 자료 등을 검토한 결과 인증 준비가 되었다고 볼 수 없는 경우

3. 인증심사 후 제18조제4항에 따른 보완조치를 최대 90일(재조치 요구 60일 포함) 이내에 하지 않은 경우

4. 천재지변 및 경영환경 변화 등으로 인하여 인증심사 진행이 불가능하다고 판단되는 경우

② 인터넷진흥원 또는 인증기관은 제1항에 따라 인증심사를 중단하는 때에는 그 사유를 신청기관에 서면으로 통보하여야 한다.

③ 인터넷진흥원 또는 인증기관은 제1항의 인증심사 중단 사유가 해소되거나 제29조에 따른 이의제기 처리결과에 따라 인증심사를 재개하거나 종결할 수 있다.

제6장 인증위원회의 구성 및 운영

제20조(인증위원회의 구성) ① 인터넷진흥원 또는 인증기관의 장은 다음 각 호의 사항을 심의·의결하기 위하여 인증위원회를 설치·운영하여야 한다.

1. 최초심사 또는 갱신심사 결과가 인증기준에 적합한지 여부

2. 사후심사 결과 제28조제1항에 해당하는 사유를 발견한 경우에 그 결과의 적합성 여부

3. 제28조제1항에 따른 인증의 취소에 관한 사항

4. 제29조에 따른 이의신청에 관한 사항

5. 그 밖에 개인정보보호 관리체계 인증과 관련하여 위원장이 필요하다고 인정하는 사항

② 인증위원회는 1명을 포함한 35인 이내의 위원으로 구성하되, 위원은 개인정보보호 전문가, 변호사, 교수 등 개인정보보호 분야에 학식과 경험이 있는 자 중에서 인터넷진흥원 또는 인증기관의 장이 위촉하며, 위원장은 위원 중에서 호선한다.

③ 위원장은 인증위원회의 업무를 통할하며 위원회를 대표한다.

④ 인터넷진흥원 또는 인증기관의 장은 위원이 법령 또는 이 규정을 위반한 때에는 해당 위원을 해촉할 수 있다.

제21조(인증위원회의 운영) ① 인증위원회의 회의는 인터넷진흥원 또는 인증기관의 요구로 개최하되, 회의마다 위원장과 인증위원의 전문분야를 고려하여 5인 이상의 인증위원으로 구성‧운영한다.

② 인터넷진흥원 또는 인증기관의 장은 인증위원회의 심의안건을 검토하여 위원회 개최 5일 전까지 인증위원회에 제출한다. 다만, 긴급한 경우나 부득이한 사유가 있는 경우에는 그러하지 아니하다.

③ 인증위원회 위원장은 제20조제1항의 각호의 사항에 대한 심의·의결 결과를 인터넷진흥원 또는 인증기관의 장에게 제출한다.

④ 인증위원회는 심의를 위하여 필요하다고 인정되는 경우에는 인증심사에 참여한 인증심사원 또는 관련 전문가로부터 그에 관한 의견을 들을 수 있다.

⑤ 그밖에 인증위원회의 운영에 관한 세부사항은 인증위원회의 의결을 거쳐 인터넷진흥원 또는 인증기관의 장이 정한다.

제22조(제척·기피‧회피) ① 인증위원회 위원은 신청기관과 다음 각 호의 사항 중 어느 하나에 해당하는 때에는 심의·의결에 관여할 수 없다.

1. 위원 본인과 직접적인 이해관계가 있는 사항

2. 위원 본인과 친족관계에 있거나 있었던 자와 관련된 사항

3. 위원이 되기 전에 감사·수사 또는 조사에 관여한 사항

② 위원에게 심의‧의결의 공정을 기대하기 어려운 사정이 있는 경우 신청기관은 기피신청을 할 수 있고, 위원회는 의결로 이를 결정한다.

③ 위원은 제척사유 또는 기피사유에 해당하는 경우에는 자기 스스로 심의·의결을 회피할 수 있다.

제7장 인증서의 발급·관리

제23조(인증서의 발급 등) ① 인터넷진흥원 또는 인증기관의 장은 인증위원회의 심의·의결 결과를 제출받은 때에는 신청기관에게 결과를 통보하고, 신청기관의 개인정보보호 관리체계가 이 고시에서 정한 인증기준에 적합하다고 판단된 경우 별지 제8호 서식의 개인정보보호 관리체계 인증서를 발급하여야 한다.

② 제1항에 따른 개인정보보호 관리체계 인증서의 유효기간은 3년으로 한다.

③ 인터넷진흥원 또는 인증기관의 장은 인증서 발급 이외의 건에 대해 인증위원회의 심의‧의결 결과를 제출 받은 때에는 신청기관에게 결과를 즉시 통보하여야 한다.

제24조(인증서 관리 및 재발급) ① 인터넷진흥원 또는 인증기관은 발급된 인증서의 인증번호, 발급일, 유효기간 등 인증서를 관리하여야 한다.

② 인증을 취득한 자는 인증서의 분실 등으로 인해 재발급을 받고자 할 경우 별지 제9호 서식의 개인정보보호 관리체계 인증서 재발급 신청서를 인터넷진흥원 또는 인증기관에 제출하여야 한다.

③ 인증을 취득한 자가 주소, 업체명 등 인증서 기재사항의 변경을 요청하고자 하는 경우 별지 제10호 서식의 개인정보보호 관리체계 인증서 변경 신청서를 인터넷진흥원 또는 인증기관에 제출하여야 한다.

제25조(인증의 표시 및 홍보) ① ｢개인정보 보호법｣ 제13조제3호 및 ｢정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령｣ 제52조에 따른 인증의 표시는 별표 6과 같다.

② 제1항에 따른 인증의 표시를 사용하는 경우에는 제13조에 따른 인증의 유형과 인증범위 및 유효기간을 함께 표시하여야 한다.

제8장 인증서 사후관리

제26조(사후심사) ① 인증 취득기관은 발급받은 인증서의 유효기간 중 연 1회 이상 인터넷진흥원 또는 인증기관에 사후심사를 신청하여야 한다.

② 사후심사는 제4장 및 제5장을 준용하여 진행한다.

제27조(갱신심사) ① 인증 취득기관은 인증서 유효기간 만료 3개월 전까지 갱신심사를 신청하여야 한다.

② 갱신심사는 제4장, 제5장을 준용하여 진행한다.

③ 인증 취득기관이 제1항에 따른 인증의 갱신을 신청하지 않고 인증의 유효기간이 경과한 때에는 인증의 효력은 상실된다.

제28조(인증의 취소) ① 인터넷진흥원 또는 인증기관은 다음 각 호의 사유를 발견한 때는 인증위원회 심의·의결을 거쳐 인증을 취소할 수 있다.

1. 거짓 혹은 부정한 방법으로 인증을 취득한 경우

2. 제16조제1항에 따른 인증기준에 미달하게 된 경우

3. 인증 취득기관이 제26조제1항에 따른 사후심사 또는 제27조제1항에 따른 갱신심사를 받지 않았거나 제18조제4항에 따른 보완조치를 하지 않은 경우

4. 인증 받은 내용을 홍보하면서 제25조제2항에 따른 인증의 유형과 인증범위 및 유효기간을 허위로 표기하거나 누락한 경우

5. 인증을 취득한 기관이 제26조 및 제27조에 따른 사후관리를 거부 또는 방해하는 경우

② 인터넷진흥원 또는 인증기관은 제1항에 따라 인증을 취소한 경우에 인증 취득기관에 통지하고, 제23조에 따라 발급한 인증서를 회수한다.

제29조(이의신청) ① 신청기관 또는 인증 취득기관이 인증심사 결과 또는 인증 취소처분에 관하여 이의가 있는 때에는 그 결과를 통보받은 날로부터 15일 이내에 인터넷진흥원 또는 인증기관에 이의신청을 할 수 있다.

② 인터넷진흥원 또는 인증기관은 제1항에 따른 이의신청이 이유가 있다고 인정되는 경우에는 인증위원회에 재심의를 요청할 수 있다.

③ 인터넷진흥원 또는 인증기관은 이의신청에 대한 처리결과를 신청기관 또는 인증 취득기관에 서면으로 통지하여야 한다.

제30조(비밀유지 등) ① 인터넷진흥원 또는 인증기관, 인증위원회 위원, 인증심사원 등 인증심사 업무에 종사하는 자 또는 종사하였던 자는 정당한 권한 없이 또는 허용된 권한을 초과하여 업무상 지득한 비밀에 관한 정보를 누설하거나 이를 업무 목적 이외에 사용하여서는 아니 된다.

② 인터넷진흥원 또는 인증기관, 인증위원회 위원, 인증심사원 등 인증심사 업무에 종사하는 자 또는 종사하였던 자는 인증에 관련하여 일체의 금전, 금품, 이익 등을 부당하게 수수하여서는 아니 된다.

제31조(인증업무 지침) 인터넷진흥원 또는 인증기관은 인증업무 수행을 위해 필요한 경우 인증업무에 관한 지침을 마련하여 시행할 수 있다.

제32조(재검토 기한) 행정자치부 및 방송통신위원회는「행정규제기본법」 및 「훈령·예규 등의 발령 및 관리에 관한 규정」에 따라 이 고시에 대하여 2016년 1월 1일을 기준으로 매3년이 되는 시점(매 3년째의 12월 31일까지를 말한다)마다 그 타당성을 검토하여 개선 등의 조치를 하여야 한다.

부      칙

제1조(시행일) 이 고시는 2016년 1월 1일부터 시행한다.

제2조(인증심사원 및 인증 취득기관에 관한 경과조치) ① 이 고시 시행 이전에 「개인정보 보호 인증제 운영에 관한 규정」(행정자치부고시 제2014-1호) 제23조 또는 「개인정보보호 관리체계 인증 등에 관한 고시」(방송통신위원회고시 제2013-17호) 제9조의 인증심사원 자격요건에 상응하는 요건을 갖추고 인터넷진흥원, 한국정보화진흥원으로부터 심사원으로 위촉된 자는 이 고시에 의한 인증심사원 자격을 취득한 것으로 본다.

② 이 고시 시행 이전에 「개인정보 보호 인증제 운영에 관한 규정」(행정자치부고시 제2014-1호) 제17조 또는 「개인정보보호 관리체계 인증 등에 관한 고시」(방송통신위원회고시 제2013-17호) 제22조에 따른 인증서를 발급받은 자는 인터넷진흥원 또는 인증기관으로부터 이 고시에 의한 인증서를 발급받은 것으로 본다.

③ 신청기관 또는 이 고시의 시행 이전에 인증을 취득한 자는 이 고시의 시행으로부터 1년간 제16조에 따른 인증기준 대신 「개인정보 보호 인증제 운영에 관한 규정」(행정자치부고시 제2014-1호) 제9조 또는 「개인정보보호 관리체계 인증 등에 관한 고시」(방송통신위원회고시 제2013-17호) 제17조에 따른 인증 기준으로 심사를 신청할 수 있다. 이 경우, 인터넷진흥원 또는 인증기관은 신청받은 인증기준으로 심사를 수행할 수 있다.

[별표 1]

업무수행 요건‧능력 심사 규정에 따른 제출서류(제3조제3항 관련)

구 분	제 출 서 류
1. 개인정보보호 관리체계 인증심사 참여 실적을 확인하는 데 필요한 서류	가. 별지 제4호 서식에 따른 개인정보보호 관리체계 인증심사 참여실적 명세서 및 이를 증빙할 수 있는 자료 (인증심사 참여통지 문서 등) 나. 인증심사원 자격 증빙 자료
2. 업무수행 요건‧능력 심사를 위하여 필요한 서류	가. 부채비율 및 자기자본 이익률의 계산내역 (회계결산내역 등 관련 증빙자료) 나. 인증심사 업무 운영체계 관련 규정 및 지침 등 o 심사기관의 운영체계 및 인증의 품질관리 o 인증심사 업무를 수행하는 직원에 대한 운영관리 등의 내부규정 o 인증심사 업무 수행 방법 및 절차

[별표 2]

업무수행 요건‧능력 심사 세부기준(제4조제1항 관련)

가. 업무수행 요건 심사 세부기준

평가 항목	세부 평가기준
1. 인증심사원 5명이상 상시 고용 여부	o 인증심사원 5명 이상을 상시 고용하고 있어야 함 - 다만, 심사팀장급 선임심사원 1명 이상 확보해야 함
2. 인증기관 공정성 확보 여부	o 개인정보보호 관리체계 인증기관으로 지정을 받으려는 기관은 인증업무의 독립성, 객관성, 공정성, 신뢰성을 확보하기 위하여 개인정보보호 관리체계 구축과 관련된 컨설팅 업무를 수행하지 않아야 함

나. 업무수행능력 심사 세부기준

평가항목

평가요소

배점

평가지표

세부 평가방법

1.조직내 직원들의 개인정보보호 전문성

(30)

개인정보보호 업무 전문성

10

비율

o 심사원 이상 인력 수

심사원 수	점수
5명 이상	배점의 100%
5명 미만	배점의 χ%
※ χ = (심사원 수/5명) × 100

5

비율

o (개인)정보보호 관련 박사학위 소지자 ‧ 기술사 인력의 수

박사학위소지자‧ 기술사 수	점수
5명 이상	배점의 100%
5명 미만	배점의 χ%
※ χ = (박사학위 소지자‧기술사 수/5명) × 100

5

비율

o CISM, SIS, CISSP, CISA, CPPG, 정보보안기사/산업기사 자격증 소지자 수

자격증 소지자 수	점수
5명 이상	배점의 100%
5명 미만	배점의 χ%
※ χ = (자격증 소지자 수/5명) × 100

개인정보보호 관리체계

인증심사

참여실적

10

비율

o 상시 고용하고 있는 인증심사원이 최근 3년간 참여한 개인정보보호 관리체계 인증심사 참여 실적을 인정하고 평가점수는 개별 참여 실적을 합한 총 참여일수에 따라 산출

총 참여 일수(단위 : 일)	점수
200일 이상	배점의 100%
200일 미만	배점의 χ%
※ χ = (총 참여일수/200일) × 100

2. 시설(10)

사무공간 ‧ 인증심사 서류 보관 장소 및 보안설비・시설 확보

10

평가점수

세부 평가요소	점수
o 인증심사의 상담, 인증심사 업무의 처리를 위해 필요한 사무실	2점
o 사무 관련 장비 확보	2점
o 사무실 출입자에 대한 신원확인 및 출입통제를 위한 설비	2점
o 기록물 및 자료의 안전한 관리를 위한 보관 장소	2점
o 인증심사 서류의 분실, 도난 등 예방을 위한 보안 시설	2점

3. 신뢰도 및 재정상태 건실도 (10)

※비영리기관

평가제외

부채비율

5

비율

o  지정 공고일 기준으로 직전년도 부채비율(부채총계/자기자본)

비율	점수
50%미만	5점
50%이상 ~ 100%미만	4점
100%이상 ~ 150%미만	3점
150%이상 ~ 200%미만	2점
200%이상	1점

자기자본

이익률

5

비율

o  지정 공고일 기준으로 직전년도 자기자본이익률(당기순이익/자기자본)

비율	점수
20%이상	5점
20%미만 ~ 15%이상	4점
15%미만 ~ 10%이상	3점
10%미만 ~ 5%이상	2점
5%미만	1점

4.인증업무   운영 체계

(50)

인증기관의

운영 체계 및 인증 품질 관리

20

평가점수

세부 평가요소	점수
o 인증기관의 공정성‧객관성‧신뢰성‧독립성 보증 방안	5점
o 인증기관의 내부감사 실시 및 검토 등에 대한 방안	5점
o 인증의 품질 보증 및 관리방안	5점
o 인증업무의 기록 및 문서화 관리체계의 적절성	5점

인증업무를 수행하는 직원에 대한 운영‧관리 등의 내부 규정

10

평가점수

세부 평가요소	점수
o 인증 업무를 수행하는 직원에 대한 규정 보유 및 동 규정의 타당성과 실효성 - 인증 업무를 수행하는 직원의 의무와 책임 등 준수사항 - 인증 업무를 수행하는 직원의 자체 보안관리 및 감독 요령	5점
o 인증 업무를 수행하는 직원의 교육 및 평가 등에 대한 방안 및 그 방안의 적절성과 타당성	5점

인증업무 수행 방법 및 절차

5

평가점수

세부 평가요소	점수
o 인증 업무 수행 방법, 절차 등의 적절성 및 타당성 - 인증심사의 절차 및 방법 - 인증 수수료 및 그 징수방법 - 인증심사팀 구성 원칙 - 인증심사 사후관리방안 등	5점

인증업무

지원체계

15

평가점수

세부 평가요소	점수
o 운영자금 법인통장 보유 및 유지 수준	5점
o 지정취소, 부도ㆍ해산 등에 따른 신청기관 피해보상 관련 대책마련 여부	5점
o 인증의 품질 제고를 위한 지원방안	5점

5. 가점 및

감점

인증심사업무를 전담하는 인증심사원 보유수

5

(가점)

보유 인원수

o 인증심사업무를 수행하는 전담조직을 갖추고, 그 전담조직에 속한 직원에 대해 인정

구분	점수
10명 이상	5점
10명 미만 ~ 5명 이상	배점의 χ%
5명 미만	없음
※ χ = (인원수/10명) × 100

개인정보보호 관리체계 인증의 취득 및 유지

2

(가점)

인증 취득 및 유지

o 개인정보보호 관리체계 인증을 취득하고, 인증을 유지하고 있을 때

자격취소 사실

5

(가점)

취소사실 및 취소회수

o 지정 공고일 기준으로 10년 이내에 행정자치부 및 방송통신위원회가 부여한 (개인)정보보호 관련 수행 자격이 취소된 경우

- (개인)정보보호 관리체계 인증기관, 안전진단 수행기관 등

※ 취소 1회당 : 감점 5점

<비 고>

1. 평가항목에 대한 각 평가요소별 세부평가 점수는 소수점 이하 둘째 자리에서 반올림한다.

2. 평가항목에 대한 각 평가요소별 평가점수는 평가결과의 최저점과 최고점을 제외한 점수들의 평균점을 부여한다. 다만, 최저점 또는 최고점이 2개 이상일 경우 각 1개만 제외한다.

3. 가점을 합한 점수가 100점을 초과해도 만점 100점으로 표기한다.

4. ‘시설’, ‘인증업무 운영체계’에 대한 각 평가요소별 세부평가 점수 부여기준은 각 평가요소의 평가결과에 평가등급(계수)를 곱하여 나온 점수를 합산한다.

평가요소별 세부평가 점수	평가등급(계수)
100점 이하 ~ 90점 이상	우수(1.0)
90점 미만 ~ 80점 이상	보통(0.6)
80점 미만 ~	미흡(0.2)
미 제출	점수없음(0)

[별표 3]

인증심사원 자격 요건(제7조 관련)

1. 인증심사원 자격 신청 요건

□ 기본요건

4년제 대학졸업 이상 또는 이와 동등학력을 취득한 자로서 정보기술 유관경력 또는 정보보호 유관경력을 합하여 6년 이상의 경력을 보유하고 이 중 개인정보보호 실무경력 2년 이상을 보유

가.“동등학력”이란 고등학교 졸업자는 4년 이상, 2년제 대학 졸업자는 2년 이상 업무경력을 말한다.

나.“정보기술 유관경력”이란 공공기관, 민간기업, 교육기관 등에서 정보통신서비스(기간통신, 별정통신, 부가통신, 방송서비스 등을 말한다), 정보통신기기(정보기기, 방송기기, 부품 등을 말한다) 또는 소프트웨어 및 컴퓨터 관련 서비스(패키지 소프트웨어, 컴퓨터 관련 서비스, 디지털콘텐츠, 데이터베이스 제작 및 검색 등을 말한다)에 해당되는 분야에서 계획‧분석‧설계‧개발‧운영‧유지보수‧컨설팅‧감리 또는 연구개발 업무 등을 수행한 경력 또는 정보기술 관련 법률자문 경력을 말한다.

다.“정보보호 유관경력”이란 공공기관, 기업체, 교육·연구기관에서 정보보호를 위한 공통기반기술(암호기술, 인증기술 등) 분야, 시스템‧네트워크 보호(시스템 보호, 해킹‧바이러스 대응, 네트워크 보호 등) 분야, 응용서비스 보호(전자거래 보호, 응용서비스 보호, 정보보호 표준화 등) 분야에서 계획‧분석‧설계‧개발‧운영‧유지보수‧컨설팅‧감리 또는 연구개발 업무 등의 업무를 수행한 경력 또는 정보보호 관련 법률자문 경력을 말한다.

라. “개인정보보호 실무경력”이란 공공기관·기업체 등에서 개인정보보호 업무 수행, 개인정보보호 컨설팅, 개인정보보호 관련 법률자문 등의 업무를 수행한 경력을 말한다.

마. 변호사법에 따른 변호사의 경우에는 6년의 정보기술 유관경력 또는 정보보호 유관경력을 보유한 것으로 본다.

바. 모든 해당 경력은 신청일 기준 최근 10년 이내의 경력에 한해 인정하며 최근 5년 이내에 2년 이상의 관련 경력이 포함되어야 한다.

□ 경력 대체 요건

구 분	경력 인정요건 해당 자격	인정기간
정보보호 또는 정보기술 유관경력 인정 요건 (중복경력인정불가)	가. “정보보호” 또는 “정보기술” 관련 박사학위 취득자 나. 국가기술자격법시행규칙 별표2의 ‘정보기술’ 직무분야 기술사 다. 정보시스템감리사(ISA)	2년
	가. “정보보호” 또는 “정보기술” 관련 석사학위 취득자 나. 국가기술자격법시행규칙 별표2의 ‘정보기술’ 직무분야 기사 다. 정보보안기사(정보보호전문가) 라. 국제공인정보시스템감사사(CISA) 마. 국제공인정보시스템보안전문가(CISSP)	1년
개인정보보호 실무경력 인정 요건 (중복경력인정불가)	가. “개인정보 보호” 관련 박사학위 취득자	2년
	가. “개인정보 보호” 관련 석사학위 취득자 나. 개인정보보호 관리사(CPPG)	1년

2. 인증심사원 등급별 자격 요건

구 분	자격 기준
심사원보	o 인증심사원 학력 및 경력요건을 만족하는 자로서 인터넷진흥원이 시행하는 인증심사원 양성교육 과정을 수료하고 평가에 합격한 자
심사원	o 심사원보 자격 취득자로서 인증심사에 4회 이상 참여하고 심사일수의 합이 20일 이상인 자
선임 심사원	o 심사원 자격 취득자로서 3회 이상 심사 총괄업무를 수행하고 심사일수의 합이 15일 이상인 자

[별표 4]

개인정보보호 관리체계 인증 수수료 산정기준(제15조 관련)

1. 인증 수수료 산정 방식

인증 수수료 = 직접인건비 + 직접경비 + 제경비 + 기술료

직접인건비는 인증심사에 투입되는 인증심사원에 대한 인건비로 산정한다. 인건비는 SW사업 대가산정 가이드의 정보보안 컨설팅비를 준용한다.

인증심사원 등급	컨설턴트 등급
선임심사원	전임 컨설턴트 이상
심사원
심사원보	컨설턴트

직접경비는 인증심사업무의 수행에 따라 발생하는 교통비, 숙박비 및 식대 등 인증심사업무에 소요되는 직접적인 경비를 산정한다.

제경비는 최대 (직접인건비×120%) 로 산정한다.

기술료는 최대 {(직접인건비+제경비)×40%｝로 산정한다.

[별표 5]

개인정보보호 관리체계 인증기준(제16조 관련)

인증기준						상세내용	적용 유형
							유형(4)공공기관	유형(3)대기업	유형(2)중소기업	유형(1)소상공인
개인 정보 보 호 관리과정	1.관리 체계 수립(7)	1.1	정책 및 범위	1.1.1	정책의 수립	개인정보보호정책과 시행문서를 수립하여 조직의 개인정보보호 방침과 방향을 명확하게 제시하여야 한다. 또한, 개인정보보호(관리)책임자 등 경영진의 승인을 받고 임직원 및 관련자에게 공표하여야 한다.	○	○	○	○
				1.1.2	정책의 유지관리	개인정보보호정책 및 시행문서는 관련 법·규제를 준수하고, 상위 정책과 일관성을 유지하여야 한다. 또한, 정기적으로 검토하여 필요한 경우 제･개정 및 이력관리하고 운영기록을 생성·유지하여야 한다.	○	○	○
				1.1.3	범위설정	조직에 미치는 영향을 고려하여 중요한 업무, 서비스, 조직, 자산 등을 포함하는 개인정보보호 관리체계 범위를 설정하여야 한다.	○	○	○
		1.2	경영진의 책임	1.2.1	경영진의 참여	개인정보보호 관리체계 수립 및 운영 등 조직이 수행하는 개인정보보호 활동 전반에 경영진의 참여가 이루어질 수 있도록 보고 및 의사결정 체계를 수립하여야 한다.	○	○
		1.3	조직	1.3.1	개인정보보호(관리)책임자의 지정	지속적인 개인정보보호 관리체계 운영활동을 위하여 개인정보보호(관리)책임자를 지정하여야 한다.	○	○	○	○
				1.3.2	조직의 구성	조직 전반의 중요한 개인정보보호 관련사항을 검토 및 의사결정할 수 있는 조직(협의체)을 구성하여야 한다. 또한 개인정보보호 관리체계 운영 활동을 수행하는데 필요한 자원(예산 및 인력)을 확보하여야 한다.	○	○	○
				1.3.3	역할 및 책임	개인정보관리(보호)책임자 및 개인정보를 취급하는 각 부서의 책임자, 담당자에 대한 역할과 책임을 정의하고 그 활동을 평가할 수 있는 체계를 마련하여야 한다. 또한, 상호 의사소통할 수 있는 보고체계를 정의하여야 한다.	○	○	○
	2.실행 및 운영(5)	2.1	개인정보 식별	2.1.1	개인정보 식별	조직의 개인정보 및 개인정보 관련 자산을 식별하고 중요도를 결정하여 보안등급을 부여한 후 그에 따른 취급절차를 정의·이행하여야 한다. 또한, 자산별 책임 소재를 명확히 정의하여야 한다.	○	○	○	○
				2.1.2	개인정보 흐름 파악	조직의 개인정보 관련 서비스 및 업무에서 개인정보 흐름을 파악하여 개인정보 흐름도(표)를 작성하고 이를 주기적으로 검토하여 최신성을 유지하여야 한다.	○	○	○
		2.2	위험 관리	2.2.1	위험관리 방법 및 계획 수립	조직의 개인정보보호 전 영역에 대하여 위험식별 및 평가가 가능하도록 위험관리 방법을 선정하고 위험관리계획을 수립하여야 한다.	○	○	○
				2.2.2	위험식별 및 평가	위험관리 방법 및 계획에 따라 위험 식별 및 평가를 연 1회 이상 수행하고 그 결과에 따라 조직에서 수용 가능한 위험수준을 설정하여 관리하여야 한다.	○	○	○
				2.2.3	이행계획 수립 및 보호대책 구현	위험을 수용 가능한 수준으로 감소시키기 위해 개인정보보호대책을 선정하고 이행계획을 수립하여 경영진의 승인을 받아야 한다. 또한, 수립된 이행계획에 따라 보호대책을 구현하여야 한다.	○	○	○
	3.검토 및 모니터링(2)	3.1	개인정보 보호체계의 검토	3.1.1	법적요구사항 준수검토	조직이 준수해야 할 개인정보보호 관련 법적 요구 사항을 지속적으로 파악하여 최신성을 유지하고 준수여부를 지속적으로 검토하여야 한다.	○	○	○
				3.1.2	내부 감사	개인정보보호 관리체계가 효과적으로 운영되고 있는지를 점검하기 위해 연 1회 이상 내부감사 계획을 수립하고 수행하여야 한다. 내부감사를 통해 발견된 문제점을 보완하여 경영진에게 보고하여야 한다.	○	○	○
	4.교정 및 개선 (2)	4.1	교정 및 개선 활동	4.1.1	개인정보보호 개선 활동	주기적 또는 상시적으로 수행해야 하는 개인정보보호 활동을 문서화하여 그 운영현황을 지속적으로 점검‧개선하는 등의 관리를 하여야 한다.	○	○	○
		4.2	내부 공유 및 교육	4.2.1	내부 공유 및 교육	개인정보 관리계획을 운영 또는 이행할 부서 및 담당자를 파악하여 관련 내용을 공유하고 교육하여야 한다.	○	○	○	○
생명주기 및 권리보장	5.개인정보 생명주기 관리 (16)	5.1	개인정보 수집 시 보호조치	5.1.1	개인정보 수집 제한	서비스 제공을 위해 필요한 최소한의 정보만을 수집해야 한다. 개인정보 수집 시 필수와 선택 사항으로 구분하여 기재할 수 있도록 하여야 하며, 선택 사항의 정보를 제공하지 않는다는 이유로 서비스 제공을 거부하여서는 아니된다.	○	○	○	○
				5.1.2	정보주체의 동의	개인정보는 법령에 특별한 규정이 있는 경우를 제외하고는 정보주체(이용자)의 동의를 얻은 후에 수집해야 한다.	○	○	○	○
				5.1.3	법정대리인 동의 및 고지	만14세 미만 아동의 개인정보를 수집할 경우 법정대리인에게 필요한 사항을 고지하고, 동의를 획득하여야 한다.	○	○	○	○
				5.1.4	민감정보 및 고유 식별정보의 수집 제한	고유식별정보와 민감정보는 정보주체(이용자)의 별도 동의를 받거나 다른 법령에서 처리를 요구하여 허용된 경우를 제외하고는 수집할 수 없다.	○	○	○	○
				5.1.5	주민등록번호 수집‧이용 제한	법령에서 정보주체(이용자)의 주민등록번호 수집‧이용을 허용한 경우를 제외하고 주민등록번호를 수집‧이용할 수 없다.	○	○	○	○
				5.1.6	주민등록번호 대체수단	법령에서 정보주체(이용자)의 주민등록번호 수집‧이용을 허용한 경우에도 주민등록번호 대체수단을 제공해야 한다.	○	○	○	○
				5.1.7	간접수집 보호조치	시스템에 의한 수집 또는 개인정보 처리를 통해 생성한 간접 수집 개인정보에 대하여 적절한 보호대책을 수립·이행해야 한다.	○	○	○	○
				5.1.8	개인정보처리(취급)방침	개인정보처리(취급)방침을 수립하여 정보주체(이용자)가 언제든지 확인할 수 있도록 적절한 방법에 따라 공개하여야 한다.	○	○	○	○
		5.2	개인정보이용 및 제공	5.2.1	개인정보 제3자 제공	개인정보를 제3자에게 제공 시, 관련내용을 고지하고 동의를 획득한 후 제공하여야 하며, 제3자에게 개인정보의 접근을 허용하는 경우 개인정보를 안전하게 보호하기 위한 보호절차에 따라 통제해야 한다.	○	○	○	○
				5.2.2	제공받은 개인정보의 관리	개인정보를 제공받은 경우 제공받은 목적 외의 용도로 이용하지 않고 제3자에게 제공하지 않아야 하며, 개인정보를 안전하게 관리하여야 한다.	○	○	○	○
				5.2.3	개인정보 목적 외 이용 및 제공	개인정보를 정보주체(이용자)에게 고지‧동의받은 범위에서 벗어나지 않도록 이용하여야 하며, 만약 동의 범위를 벗어날 경우 정보주체(이용자)로부터 추가 동의를 획득하고, 적절한 보호조치를 하여야 한다.	○	○	○	○
				5.2.4	개인정보의 이전	영업의 양도, 합병 등으로 개인정보를 이전하는 경우 적절한 보호대책을 수립·이행해야 한다. 또한, 개인정보를 해외로 이전하는 경우 개인정보에 대한 적절한 보호대책을 수립·이행해야 한다.	○	○	○	○
		5.3	개인정보 보유 시 보호조치	5.3.1	개인정보 품질 보장	수집된 개인정보는 안전하게 저장 및 관리 하여야 하며 정확성, 완전성, 최신성을 유지 하여야 한다.	○	○	○	○
				5.3.2	개인정보 파일관리	개인정보파일을 운용하는 공공기관은 그 현황을 행정자치부에 등록하여야 하고, 변경사항 발생 시, 이를 고지하여야 한다.	○
		5.4	개인정보 파기 시 보호조치	5.4.1	개인정보 파기 규정 및 절차	개인정보의 보유기간 및 파기와 관련한 내부 규정을 수립하고, 파기 관련 보호조치를 마련하여야 한다. 또한, 개인정보 수집 동의 등에 대한 기록은 탈퇴 전까지 안전하게 보관하여야 한다.	○	○	○	○
				5.4.2	개인정보의 파기	개인정보의 수집 목적이 달성된 경우, 안전한 방법으로 지체없이 파기하고 관련 사항은 기록 관리하여야 한다. 개인정보의 수집목적 달성 후에도 관련 법령 등에 의해 보유가 필요하다면 정보주체(이용자)에게 고지하고 최소한의 항목을 보유해야 한다.	○	○	○	○
	6.정보주체 권리 보장 (4)	6.1	권리보장	6.1.1	개인정보 열람	개인정보에 대한 열람∙정정∙삭제 방법 및 절차를 제공하고, 정보주체(이용자)가 요구 시 열람하게 하여야 한다.	○	○	○	○
				6.1.2	개인정보정정·삭제	정보주체(이용자)가 개인정보에 대한 정정∙삭제 요구 시 지체없이 처리하고, 기록을 남겨야 한다. 또한, 개인정보 이용내역을 법령에 따라 주기적으로 통지하여야 한다.	○	○	○	○
				6.1.3	개인정보 처리 정지	정보주체(이용자)에게 개인정보에 대한 처리정지 방법 및 절차를 제공하고, 처리정지 요구 시 지체없이 처리하고, 기록을 남겨야 한다.	○	○	○	○
				6.1.4	권리행사의 방법 및 절차	정보주체(이용자)가 열람 등 요구에 대한 거절 등 조치에 이의를 제기할 수 있도록 상담창구 등 필요한 절차를 마련하여야 한다.	○	○	○	○
개인정보 보호대책	7.관리적 보호조치 (10)	7.1	교육 및 훈련	7.1.1	교육 및 훈련 시행·평가	연간 개인정보보호 교육 계획을 수립하고, 관련 임직원 및 외부자를 대상으로 주기적인 교육을 시행하여야 한다. 또한, 교육 시행에 대한 기록을 남기고 결과를 평가하여 다음 교육에 반영하여야 한다.	○	○	○	○
		7.2	개인정보 취급자 관리	7.2.1	개인정보 취급자 감독	개인정보를 취급하는 임직원 및 외부자를 최소한으로 제한하고 개인정보취급자 목록을 관리하여야 한다. 또한 개인정보보호 책임의 충실한 이행 여부에 대해 상벌 규정을 마련하여야 한다.	○	○	○	○
				7.2.2	보안 서약서	개인정보를 취급하는 개인정보취급자, 임시직원, 외부자 등에게 보안서약서를 받아야 한다.	○	○	○	○
				7.2.3	퇴직 및 직무변경 관리	개인정보취급자의 퇴직 및 직무변경 시 자산반납, 계정 및 권한 회수․조정, 결과 확인 등의 개인정보취급자 인사 관리 절차를 수립하고 이행하여야 한다.	○	○	○	○
		7.3	위탁업무 관리	7.3.1	외부 위탁 계약	개인정보 처리업무를 외부에 위탁하는 경우 개인정보보호에 관한 요구사항, 관리감독, 법규정 위반의 배상책임 등에 관한 사항을 계약서 등에 문서화하여야 한다.	○	○	○	○
				7.3.2	정보주체 고지	개인정보 처리업무 위탁시 수탁자, 수탁목적 등 관련사항을 정보주체(이용자)에게 고지하고 필요한 경우 동의를 받아야 한다.	○	○	○	○
				7.3.3	위탁자 관리·감독	위탁 업체가 계약서 및 서비스 수준 협약, 관련 법‧규정 등에 명시된 사항을 충분히 이행하는지 주기적으로 관리‧감독해야 한다.	○	○	○	○
		7.4	침해사고 관리	7.4.1	침해사고 대응절차 및 체계구축	개인정보 침해사고 대응절차를 수립하고, 개인정보 침해사고 대응이 신속하게 이루어질 수 있도록 대응체계를 구축하며 외부기관 및 전문가들과의 협조체계를 수립하여야 한다.	○	○	○
				7.4.2	침해사고 훈련 및 개선	침해사고 대응절차를 임직원들이 숙지할 수 있도록 시나리오에 따른 모의훈련을 실시하여야 한다. 모의훈련 결과는 침해사고 대응절차에 반영하여 주기적으로 개선하여야 한다.	○	○	○
				7.4.3	침해사고 대응	개인정보 침해사고 발생 시 절차에 따라 신속히 복구를 수행하고, 사고분석 후 발견된 취약점은 관련 조직 및 임직원과 공유하며, 유사 사고가 반복되지 않도록 재발방지 대책을 수립하여 침해사고 대응체계에 반영하여야 한다.	○	○	○
	8.기술적 보호조치 (32)	8.1	접근권한 관리	8.1.1	접근통제 정책 수립	개인정보보호 요구사항을 기반으로 비인가자의 접근을 통제할 수 있도록 개인정보취급자의 접근통제 정책을 수립하여야 한다.	○	○
				8.1.2	개인정보취급자 등록	개인정보 및 개인정보처리시스템의 접근을 통제하기 위한 개인정보취급자 등록 및 해지 절차를 마련하여야 한다. 또한, 개인정보 취급 PC의 보안책임이 자신에게 있음을 규정화하고 인식시켜야 한다.	○	○	○	○
				8.1.3	개인정보취급자 권한관리	개인정보처리시스템의 접근권한은 최소한의 업무수행자에게만 부여하고 권한변경 내역을 보관하여야 한다.	○	○	○	○
				8.1.4	특수권한 관리	개인정보 및 개인정보처리시스템에 특수 목적을 위해 부여한 계정 및 권한을 식별하고 별도 통제하여야 한다.	○	○	○	○
				8.1.5	개인정보취급자 접근 권한 검토	개인정보 및 개인정보처리시스템 등을 사용하는 개인정보취급자의 접근권한 현황을 정기적으로 점검해야 한다.	○	○	○
				8.1.6	개인정보취급자 인증 및 식별	개인정보처리시스템 접근 시 안전한 인증 절차에 따라 통제하고, 필요한 경우 법적요구사항 등을 고려하여 강화된 인증방식을 적용해야 한다.	○	○	○	○
				8.1.7	비밀번호 관리	법적요구사항, 외부 위협요인 등을 고려하여 개인정보취급자 및 사용자, 정보주체(이용자)의 비밀번호 관리절차를 수립하고 이행하여야 한다.	○	○	○	○
		8.2	접속기록 관리	8.2.1	개인정보처리시스템 접속기록 관리	개인정보처리시스템의 접속기록을 보관하고, 접속기록의 정확성을 보장하기 위해 관련 장비 및 시스템을 표준시간으로 동기화하여 해야 한다.	○	○	○	○
				8.2.2	접속기록 모니터링	접속기록은 위·변조되지 않도록 보호대책을 적용하여야 하며, 개인정보의 오남용이 발생되지 않도록 모니터링을 수행하여야 한다. 또한 문제 발생 시 적절한 사후조치가 적시에 이루어져야 한다.	○	○	○
		8.3	접근통제영역관리	8.3.1	네트워크 접근	유·무선 네트워크에 대한 비인가 접근을 통제하기 위해 네트워크 접근통제 관리절차를 수립하고 서비스, 사용자 그룹, 개인정보 자산의 중요도, 법적요구사항에 따라 네트워크를 분리하여야 한다.	○	○	○	○
				8.3.2	서버 접근	서버별로 접근이 허용되는 사용자, 접근제한 방식, 안전한 접근수단 등을 정의하여 적용하여야 한다.	○	○	○	○
				8.3.3	응용 프로그램 접근	사용자의 업무 또는 직무에 따라 개인정보를 취급하는 응용프로그램 접근권한을 제한하여야 한다.	○	○	○	○
				8.3.4	데이터 베이스 접근	데이터베이스 접근을 허용하는 응용프로그램 및 사용자 직무를 명확하게 정의하고 응용프로그램 및 직무별 접근통제 정책을 수립·이행하여야 한다.	○	○	○	○
				8.3.5	원격 운영접근	내부 네트워크를 통하여 개인정보처리시스템을 관리하는 경우 특정 단말에서만 접근을 할 수 있도록 제한하고, 외부 네트워크를 통하여 개인정보처리시스템을 관리하는 것은 원칙적으로 금지한다. 부득이한 사유로 인해 허용하는 경우에는 관련 법률에 따른 보호대책을 수립하여야 한다.	○	○	○
				8.3.6	인터넷 접속 통제	개인정보처리시스템에 접근 가능한 개인정보취급자의 PC는 인터넷 접속 또는 서비스를 제한 및 통제하고, 필요시 인터넷 접속내역을 모니터링 하여야 한다.	○	○	○
		8.4	운영보안	8.4.1	운영절차 수립	개인정보처리시스템 동작에 문제 발생 시 재 동작 및 복구, 오류 및 예외사항 처리 등 시스템 운영을 위한 절차를 수립하여야 한다.	○	○
				8.4.2	직무분리	개인정보처리시스템의 오남용 예방을 위해 직무 분리 기준을 수립·적용하고, 직무 분리가 어려운 특수한 경우 별도의 보호대책을 마련하여야 한다.	○	○
				8.4.3	악성코드 통제	바이러스, 웜, 트로이목마 등의 악성코드로부터 정보시스템과 개인정보취급자 단말기(PC, 노트북 등)를 보호하기 위해 보호대책을 수립하여야 한다.	○	○	○	○
				8.4.4	취약점 점검	개인정보처리시스템에 대한 비인가 접근 시도 등을 예방하기 위하여 정기적으로 기술적 취약점 점검을 수행하고 발견된 취약점들은 조치하여야 한다.	○	○	○
				8.4.5	개인정보 표시제한	개인정보 조회, 출력 등을 수행할 경우, 마스킹 기술 등을 통해 개인정보 표시를 제한하여야 한다.	○	○	○
				8.4.6	보안 시스템 설치‧운용	불법적인 접근 및 침해사고 방지를 위해 침입차단 및 탐지 기능을 포함한 시스템을 설치·운용하여야 한다. 또한, 보안시스템 운영절차를 수립하고 보안시스템별 정책적용 현황을 관리하여야 한다.	○	○	○
				8.4.7	공개 서버 보안	웹사이트 등에 정보를 공개하는 경우 정보 수집, 저장, 공개에 따른 허가 및 게시절차를 수립하고 공개서버에 대한 물리적, 기술적 보호대책을 수립하여야 한다.	○	○	○	○
				8.4.8	모바일 기기 관리	업무 목적으로 모바일기기를 내·외부 네트워크에 연결하여 사용할 경우 모바일기기 접근통제 대책을 수립하여야 한다.	○	○	○
				8.4.9	백업 관리	데이터의 무결성 및 개인정보처리시스템의 가용성을 유지하기 위해 백업 절차를 수립하여 주기적으로 백업 및 관리를 하여야 한다.	○	○
				8.4.10	패치 관리	소프트웨어, 운영체제, 보안시스템 등에 대하여 시스템에 미치는 영향을 분석하여 주기적으로 최신 패치를 적용하여야 한다.	○	○	○	○
		8.5	암호화 통제	8.5.1	암호화 정책 수립	개인정보를 안전하게 관리하기 위하여 법적 요구사항을 반영한 암호화 정책을 수립하여야 한다.	○	○	○
				8.5.2	암호화 적용	암호화 정책에 따라 개인정보 저장 및 전송, 원격접속 시 암호화를 수행하고 암호키를 안전하게 관리하여야 한다.	○	○	○	○
		8.6	개발 보안	8.6.1	개인정보 영향평가	개인정보파일의 운용으로 인하여 정보주체의 개인정보 침해가 우려되는 경우에는 영향평가를 수행하여야 한다.	○
				8.6.2	개발 시 보안조치	개인정보처리시스템을 개발·변경 시 개인정보 영향평가 수행 결과를 보안 요구사항에 포함하여 개발하고, 안전한 코딩방법에 따라 구현 및 시험을 수행하며, 취약성에 대한 노출여부를 점검하여 이에 대한 보호대책을 수립하여야 한다.	○	○
				8.5.3	개발과 운영환경 분리	개발 및 시험 시스템은 운영시스템과 원칙적으로 분리하고, 운영환경으로의 이관은 통제된 절차에 따라 이루어져야 하며, 실행코드는 시험과 인수 절차에 따라 실행되어야 한다.	○	○
				8.5.4	시험 데이터 및 소스 프로그램 보안	운영데이터를 테스트 데이터로 사용할 시 보호조치에 관한 절차를 수립·이행하여야 한다. 또한, 소스 프로그램은 인가된 사용자만이 접근하도록 통제하고 운영환경에 보관하지 않아야 한다.	○	○
				8.5.5	외주개발 보안	개인정보처리시스템의 개발을 외주 위탁하는 경우 준수해야 할 보안요구사항을 계약서에 명시하고 이행여부를 관리·감독하여야 한다.	○	○
	9.물리적 보호조치 (8)	9.1	영상정보처리기기 관리	9.1.1	영상정보처리기기의 설치·운영 제한	영상정보처리기기 설치ㆍ운영 시, 설치 목적에 따라 법적 요구사항(안내판 설치 등)을 준수하고, 적절한 보호조치를 마련하여야 한다.	○	○	○	○
				9.1.2	영상정보처리기기 설치·운영 사무의 위탁 관리	영상정보처리기기 설치ㆍ운영에 관한 사무를 위탁하는 경우, 적절한 위탁절차를 마련하여야 한다.	○
		9.2	물리적 보안관리	9.2.1	보호구역의 지정 및 관리	주요 설비 및 시스템을 보호하기 위하여 보호구역을 지정하고 보호구역 내의 작업 절차를 포함하여 보호대책을 수립·이행하여야 한다. 보호구역의 특성에 따라 보호설비를 갖추고 운영하여야 한다. 또한 외부 집적정보통신시설에 위탁·운영하는 경우 관련 요구사항을 계약서에 반영하고 주기적으로 검토하여야 한다.	○	○	○
				9.2.2	출입통제 및 사무실 보안	보호구역은 인가된 사람만이 접근할 수 있도록 통제하고 출입 및 접근 이력을 주기적으로 검토하여야 한다. 또한 사무실에서 공용으로 사용하는 사무용 기기 등에서 중요정보 유출이 발생하지 않도록 보호대책을 마련하여야 한다.	○	○	○	○
				9.2.3	개인 업무 환경 보안	책상 위에 중요 문서나 저장매체를 남겨놓지 않고, 중요정보가 노출되지 않도록 보호대책을 수립·이행하여야 한다.	○	○	○	○
		9.3	매체 관리	9.3.1	개인정보처리시스템 저장매체 관리	개인정보처리시스템 저장매체 관리절차를 수립하여 운영하고, 개인정보처리시스템 폐기 및 재사용 시 매체에 기록된 개인정보는 복구 불가능하도록 완전히 삭제하여야 한다.	○	○	○
				9.3.2	휴대용 저장매체 관리	휴대용 저장매체를 통해 개인정보 유출이 발생하거나 악성코드가 감염되지 않도록 관리하고, 개인정보가 포함된 휴대용 저장매체는 안전한 장소에 보관하여야 한다.	○	○	○
				9.3.3	이동컴퓨팅관리	보호구역 내 임직원 및 외부자의 이동컴퓨팅에 대하여 반·출입을 통제하고 기록·관리하여야 한다.	○	○	○

[별표 6]

개인정보보호 관리체계 인증의 표시(제25조 관련)

1. 도안모형

인증유형 :

유효기간 :

인증범위 :

2. 인증 표시에 대한 유의사항

가. 개인정보보호 관리체계 인증 취득 사실의 홍보는 개인정보보호 관리체계 인증서를 발급받은 날부터 효력이 유지되는 동안에만 사용이 가능하다. 인증이 취소된 경우에는 인증에 대한 홍보, 개인정보보호 관리체계 인증서 사용을 중지하여야 한다.

나. 인증 표시를 사용하는 경우 인증유형, 유효기간, 인증범위를 함께 표시하여야 한다.

다. 인증유형을 기재할 때에는 제13조제1항의 신청기관 유형 중 인증받은 기관에 해당되는 유형을 기재하여야 한다.

라. 인증을 취득한 자는 인증의 사실을 과장되거나 불명확한 표현을 사용하여 광고할 수 없다.

3. 인증 표시의 사용 방법

가. 인증 표시는 지정된 색상으로 사용할 수 있다. 또한 색상이 명확하게 나타날 수 있는 바탕색 위에 흑백으로 사용하거나 표시된 인쇄물의 주된 단일색상으로 사용 할 수 있다.

나. 인증 표시의 크기는 표시물 대상의 크기나 표시장소의 여건에 따라 조정할 수 있으며, 같은 비율로 축소 또는 확대하여 표시할 수 있다.

다. 일반문서, 편지의 상단, 송장, 홍보 책자 등에 개인정보보호 관리체계 인증 취득 사실의 내용을 홍보할 수 있다.

4. 인증명판 제작 시 유의사항

가. 소재는 가급적 동판으로 제작한다(전체 두께 1.0㎝, 바탕 0.4㎝, 테두리 폭 0.5㎝)

나. 바탕색은 가급적 연마하지 않은 황동색으로 한다.

다. 도안 모형은 인증의 표지를 중앙에 둔다.

라. 글씨 및 도형은 양각으로 한다.

마. 크기는 사각형으로 하며 가로와 세로 비율을 3 : 2로 하여 일정 비율로 조정할 수 있다.

■「개인정보보호 관리체계 인증 등에 관한 고시」 [별지 제1호 서식] <개정 2016.1.1>
개인정보보호 관리체계 인증기관 지정 신청서
※ 색상이 어두운 곳은 신청인이 적지 않습니다.
접수번호		접수일자			처리기간	3개월 이내
신청인	업체명	사업자등록번호
주소	전화번호
대표자
총 직원 수	인증심사원 직원 수
신청구분	□ 신규 □ 재지정
인증에 관한 업무범위
「개인정보 보호법」 제13조제3호 및「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제47조의3 및 동법 시행령 제53조의2에 따라 위와 같이 개인정보보호 관리체계 인증기관 지정을 신청합니다.
년 월 일
신청인(대표자)	(서명 또는 인)
행정자치부 또는 방송통신위원회	귀중
신청(신고)인 제출서류	1. 정관 또는 규약 1부. 2. 별지 제2호 서식의 인증심사원의 보유현황과 이를 증명할 수 있는 서류 1부. 3. 별표 1의 업무수행 요건‧능력 심사를 위하여 필요한 서류 1부.	수수료 없음
담당공무원 확인사항	법인등기사항증명서
처 리 절 차
신청서 작성	□	접 수	□	심 사	□	지정여부 결정	□	지정서 교부
신청인		처 리 기 관		처 리 기 관		처 리 기 관		처 리 기 관
210mm×297mm[백상지(80g/㎡)]

■「개인정보보호 관리체계 인증 등에 관한 고시」 [별지 제2호 서식] <개정 2016.1.1>
인증심사원 보유현황 (제1쪽)
신청인		업체명					사업자등록번호
		주소					전화번호
		대표자
		직원 수				인증심사원 직원 수
일련번호	성명		주소				최종학력	해당요건
			생년월일		입사일		취득학위 및 학과
유의사항
1. ｢해당요건｣란에는 선임심사원, 심사원, 심사원보 요건을 기재한다. 2. 기재된 최종학위를 증명할 수 있는 직원의 졸업 또는 학위증명서 사본을 제출하여야 한다. 3. 별표 3의 「인증심사원 자격 요건」을 충족하는 직원은 기술자격증 사본 등 자격을 취득하였음을 확인할 수 있는 서류를 함께 제출하여야 한다. 4. 정보통신 유관경력 또는 정보보호 유관경력을 증명할 수 있는 경력증명서(근무부서 또는 담당업무 등이 기재되어야 한다)와 해당 직원이 신청업체에 현재 근무하고 있음을 확인할 수 있는 재직증명서를 함께 제출하여야 한다.
210mm×297mm[백상지(80g/㎡)]

인증심사 업무를 전담하는 직원의 보유현황 (제2쪽)
일련번호	성명	주소			최종학력		해당요건
		생년월일		입사일	취득학위 및 학과
210mm×297mm[백상지(80g/㎡)]

■「개인정보보호 관리체계 인증 등에 관한 고시」 [별지 제3호 서식] <개정 2016.1.1>

(제1쪽)

개인정보보호 관리체계 인증기관 지정서

등록번호 :

업체명 :

대표자 :

주소 :

지정의 유효기간 :

인증업무의 범위 :

「개인정보 보호법」 제13조제3호 및「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제47조의3 및 동법 시행령 제53조의2에 따라 위와 같이 개인정보보호 관리체계 인증기관으로 지정합니다.

년        월        일

행정자치부 장관	직인
방송통신위원회 위원장	직인

210mm×297mm[백상지(120g/㎡)]

	(제2쪽)
CERTIFICATE OF DESIGNATION AS PIMS Certification Authority Registry Number : Name of Organization : Name of Representative : Address : Period of Validity : Scope of Certification WORK : This is to certify that the above mentioned organization is designated Personal Information Management System (PIMS) Certification Authority in accordance with Article 13 3 of 「Personal Information Protection Act」, Article 47-3 of 「Act on Promotion of Information and Communications Network Utilization and Information Protection, etc.」 and Article 53-2 of the Enforcement Decree of the same Act. Date of Issuance: Signed by Minister of the Interior Chairman of Korea Communications Commission
210mm×297mm[백상지120g/㎡]

■「개인정보보호 관리체계 인증 등에 관한 고시」 [별지 제4호 서식] <개정 2016.1.1>

인증실적 보고서

개인정보보호 관리체계 인증기관

업체명

사업자등록번호

주소

전화번호

대표자

개인정보보호 관리체계 인증심사 실적 총계

최초심사                      등           건

사후심사                      등           건

갱신심사                      등           건

일련번호

인증 번호

대상기관(기업)명

인증범위

유효기간

구분

최초심사

사후심사

갱신심사

년 월 일
신청인(대표자)			(서명 또는 인)
행정자치부 또는 방송통신위원회		귀중
제출서류	1.상세 인증실적 보고서 1부.
210mm×297mm[백상지(80g/㎡)]

■「개인정보보호 관리체계 인증 등에 관한 고시」 [별지 제5호 서식] <개정 2016.1.1>
개인정보보호 관리체계 인증심사원 자격 신청서
신청자 인적사항		성 명			생년월일						사진
		소 속
		주 소	(우: )
		휴대전화
		이메일
신청분야
학력사항		최종학력	□ 고졸	□ 전문대졸			□ 대졸		□ 석사			□ 박사
경력사항 ※ 서류로 증명가능한 내용만 기술		총 경력	총 년 개월 (①+②) ※중복경력은 인정되지 않음				①정보보호 또는 정보기술 유관경력			총 년 개월 (대체 경력 : 년 포함)
							②개인정보보호 유관 경력			총 년 개월 (대체 경력 : 년 포함)
		경력대체 내역	□ 정보보호 또는 정보기술 경력 대체사항
			□ 개인정보보호 경력 대체사항
개인정보보호 관리체계 인증심사원 자격을 신청하기 위하여 이 신청서를 제출합니다. 본 신청서에 적힌 내용이 사실과 다르거나, 「개인정보보호 관리체계 인증 등에 관한 고시」 별표3에 따른 인증심사원 자격 요건에 해당하지 아니할 때에는 합격 또는 자격을 취소하여도 아무런 이의를 제기하지 않겠습니다.
년 월 일
신청자						(서명 또는 인)
한국인터넷진흥원						귀중
신청인 제출서류	1. 인증심사원 자격 신청 내역서 2. 지격 증빙서류 ①학위증명서 ②관련 경력사항이 구체적으로 기재된 상세 경력증명서 또는 상세 재직증명서 ③기술실적증명서(해당 시) ④자격 증명서(해당 시) 3. 정보보호 서약서 4. 개인정보이용 동의서 등

■「개인정보보호 관리체계 인증 등에 관한 고시」 [별지 제6호 서식]  <개정 2016.1.1>

인증심사원 자격 증명서

발급번호 :

성    명 :

생년월일 :      년    월    일

취득자격 :

유효기간 :      .   .    ~    .    .

위 사람은 「개인정보보호 관리체계 인증 등에 관한 고시」 제9조에 따른
개인정보보호 관리체계 인증심사원임을 증명합니다.

년        월        일

한국인터넷진흥원장	직인

210mm×297mm[백상지(120g/㎡)]

■「개인정보보호 관리체계 인증 등에 관한 고시」 [별지 제7호 서식] <개정 2016.1.1>
개인정보보호 관리체계 인증 신청서
※ [ ]에는 해당되는 곳에 √표를 하고, 어두운 부분은 신청인이 작성하지 않습니다.
접수번호		접수일자		발급일		처리기간
신청인	업체명	사업자등록번호
주소	전화번호
대표자
인증신청의 구분	［ ］최초심사 ［ ］사후심사 ［ ］갱신심사
신청기관 유형	□「소상공인 보호 및 지원에 관한 법률」제2조제1호 및 제2호에 따른 소상공인에 해당하는 사업자 및 그 밖의 사업자 □「중소기업기본법」제2조에 따른 중소기업에 해당하는 사업자 □「대‧중소기업 상생협력 촉진에 관한 법률」제2조제2호에 따른 대기업에 해당하는 사업자 및「정보통신망 이용촉진 및 정보보호 등에 관한 법률」제2조제2호에 따른 정보통신서비스 제공자 □「개인정보 보호법」제2조제6호에 따른 공공기관
개인정보보호 관리체계의 범위
개인정보보호 관리체계의 범위에 포함되어 있는 인원의 수
개인정보보호 관리체계의 범위에 포함되어 있는 시스템의 수
「개인정보 보호법」 제13조제3호에 따라 위와 같이 개인정보보호 관리체계의 인증을 신청합니다. 또는, 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제47조의3 제1항 및 동법 시행령 제47조에 따라 위와 같이 개인정보보호 관리체계의 인증을 신청합니다.
년 월 일
신청인(대표자)	(서명 또는 인)
(한국인터넷진흥원 또는 개인정보보호 관리체계 인증기관명)	귀중
신청(신고)인 제출서류	개인정보보호 관리체계의 내역서 1부.	수수료 없음
담당공무원 확인사항	법인등기사항증명서
210mm×297mm[백상지(80g/㎡)]

■「개인정보보호 관리체계 인증 등에 관한 고시」 [별지 제8호 서식]  <개정 2016.1.1>

(제1쪽)

개인정보보호 관리체계(PIMS) 인증서

인증번호 :

업체명 :

대표자 :

주소 :

인증 유형 :

인증의 범위 :

유효기간 :

「개인정보 보호법」제13조제3호에 따라 위와 같이 개인정보보호 관리체계를 인증합니다. 또는,｢정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제47조의3 제1항 및 동법 시행령 제47조에 따라 위와 같이 개인정보보호 관리체계를 인증합니다.

년        월        일

한국인터넷진흥원 원장 또는 개인정보보호 관리체계 인증기관 장	직인

210mm×297mm[백상지(120g/㎡)]

	(제2쪽)
CERTIFICATE OF Personal Information Management System Certificate Number : Name of Organization : Name of Representative : Address : Certification Type : Scope of Certification : Period of Validity : This is to certify that the above mentioned organization is compliant to the assessment standard for Personal Information Management System certification in accordance with Article 13 3 of 「Personal Information Protection Act」 또는, This is to certify that the above mentioned organization is compliant to the assessment standard for Personal Information Management System certification in accordance with Article 47-3 Paragraph 1 of 「Act on Information Network Utilization and Data Protection, etc.」and Article 47 of the Enforcement Decree of the Act. Date of Issuance : Signed by the President of Korea Internet & Security Agency 또는, certification body
210mm×297mm[백상지(120g/㎡)]

■「개인정보보호 관리체계 인증 등에 관한 고시」 [별지 제9호 서식] <개정 2016.1.1>
개인정보보호 관리체계 인증서 재발급 신청서
※ 색상이 어두운 곳은 신청인이 적지 않습니다.
접수번호			접수일자				발급일			처리기간
신청인		업체명							사업자등록번호
		주소							전화번호
		대표자
재발급 사유
위와 같이 개인정보보호 관리체계 인증서의 재발급을 신청합니다.
년 월 일
신청인(대표자)						(서명 또는 인)
(한국인터넷진흥원 또는 개인정보보호 관리체계 인증기관명)					귀중
제출서류		해당없음								수수료 없 음
210mm×297mm[백상지(80g/㎡)]

■「개인정보보호 관리체계 인증 등에 관한 고시」 [별지 제10호 서식] <개정 2016.1.1>
개인정보보호 관리체계 인증서 변경 신청서 ※ 색상이 어두운 곳은 신청인이 적지 않습니다.
접수번호		접수일자		발급일		처리기간
신청인	업체명	사업자등록번호
주소	전화번호
대표자
변경 내용	변경전	(국문)
(영문)
변경후	(국문)
(영문)
변경사유
위와 같이 개인정보보호 관리체계 인증서 변경을 신청합니다.
년 월 일
신청인(대표자)	(서명 또는 인)
(한국인터넷진흥원 또는 개인정보보호 관리체계 인증기관명)	귀중
제출서류	해당없음	수수료 없 음
210mm×297mm[백상지(80g/㎡)]