■「가명정보의 결합 및 반출 등에 관한 고시」 [별표1]

결합전문기관 지정 기준

1. 담당 조직의 구성ㆍ운영

가. 결합전문기관 운영을 위해 제2호에 따른 전문가를 포함한 8명 이상의 담당 조직 구성. 다만, 고시 제4조제3항의 지원센터를 담당조직으로 구성하는 경우 3명 이상으로 구성할 수 있다.

나. 담당 조직에 대한 관리책임자 지정

다. 운영 인력에 대한 교육계획 수립

2. 제1호 가목의 담당 조직 구성 시 다음 각 목의 어느 하나에 해당하는 전문가를 3명 이상 상시 고용할 것(이 경우 기술ㆍ법률 전문가가 각 1명 이상 포함되도록 하여야 한다. 다만, 최대 1명(고시 제4조제3항의 지원센터를 담당조직으로 하는 경우 최대 3명)에 한하여 법인ㆍ단체ㆍ기관 내 다른 조직의 소속 직원을 겸임하게 할 수 있다.)

가. 「국가기술자격법」에 따른 정보통신 직무분야의 국가기술자격 중 정보관리기술사, 컴퓨터시스템응용기술사, 정보통신기술사 자격 취득 후 1년 이상 개인정보 보호 관련 경력이 있는 사람

나. 정보보호, 정보통신, 정보기술, 개인정보 보호, 데이터 분석, 통계학, 법학 관련 박사학위 취득 후 1년 이상 개인정보 보호 관련 경력이 있는 사람

다. 「정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시」 제14조제1항에 따른 정보보호 및 개인정보보호 관리체계 인증심사원 자격(「정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시」로 통합 이전 「정보보호 관리체계 인증 증에 관한 고시」와 「개인정보보호 관리체계 인증 등에 관한 고시」에 따른 인증심사원 자격을 포함한다)을 취득한 자로 4년 이상 개인정보 보호 관련 경력이 있는 사람

라. 「변호사법」에 따른 변호사 자격 취득 후 1년 이상 개인정보 보호 관련 경력이 있는 사람

마. 정보시스템감사통제협회(Information Systems Audit and Control Association)의 공인정보시스템감사사(CISA) 자격 취득 후 5년 이상 개인정보 보호 관련 경력이 있는 사람

바. 국제정보시스템보안자격협회(International Information System Security Certification Consortium)의 공인정보시스템보호전문가(CISSP) 자격 취득 후 5년 이상 개인정보 보호 관련 경력이 있는 사람

사. 정보보호, 정보통신, 정보기술, 개인정보 보호, 데이터 분석, 통계학, 법학 관련 석사학위 취득 후 4년 이상 개인정보 보호 관련 경력이 있는 사람

아. 정보통신기사ㆍ정보처리기사 및 전자계산기조직응용기사, 정보보안기사 자격 취득 후 6년 이상 개인정보 보호 관련 경력이 있는 사람

자. 정보보호, 정보통신, 정보기술, 데이터 분석, 통계, 가명처리 관련 업무에 10년 이상 종사한 사람

3. 다음 각 목에 따른 공간 및 시설 구축

가. 결합, 가명정보 또는 법 제58조의2에 해당하는 정보로 처리(이하 ‘가명처리등’이라 한다), 반출심사를 위한 공간 및 시설

나. 그 밖에 결합전문기관 업무 수행을 위한 공간 및 시설

다. 가목 및 나목에 대한 물리적 안전조치

4. 다음 각 목의 기능을 수행하는 시스템 구축

가. 가명정보 결합, 가명처리등, 반출심사에 필요한 기능

나. 데이터 송신ㆍ수신에 필요한 기능

다. 그 밖에 결합전문기관 업무를 위한 기능

5. 데이터 및 네트워크에 대한 보안조치 마련

가. 데이터의 유출을 방지하기 위한 조치

나. 결합, 가명처리등, 반출심사와 관련한 정보 및 시스템에 대한 접근 권한 관리

다. 비인가자의 불법적인 접근 차단 및 침해사고 방지를 위한 조치

라. 개인정보 암호화 및 데이터 송신ㆍ수신 시 암호화 적용을 위한 조치

마. 접속기록 보관 및 위조ㆍ변조 방지 조치

바. 악성프로그램 등 방지 조치

사. 결합전문기관 업무 수행을 위한 관리용 단말기의 안전조치

아. 백업 및 복구를 위한 조치

자. 데이터 파기를 위한 조치

차. 결합전문기관으로서 처리하는 정보와 그 밖에 자신이 보유한 개인정보의 분리

6. 정책 및 절차 마련

가. 결합, 가명처리등, 반출심사(심사위원 구성 방안 포함)를 위한 정책 및 절차

나. 결합전문기관 업무를 위한 각 공간에 대한 출입 통제 정책 및 절차

다. 데이터 반출ㆍ반입 통제 정책 및 절차

라. 데이터 파기 및 기록ㆍ보관에 대한 정책 및 절차

마. 개인정보의 안전성 확보조치 기준 제4조제1항제4호부터 제9호까지, 제11호, 제13호(접근권한 관리, 접근 통제, 개인정보 암호화, 접속기록 보관 및 점검, 악성프로그램 등 방지, 물리적 안전조치, 개인정보 유출사고 대응 계획, 재해 및 재난 대비에 관한 사항)에 대한 내부관리계획

7. 자본금 50억원 이상(비영리법인의 경우 기본재산 또는 자본총계 50억원 이상)에 해당하는 재정 능력을 갖출 것. 다만, 다음 각 호에 해당하는 기관은 적용을 제외한다.

가. 법 제2조제6호가목에 해당하는 공공기관

나. 특별법에 따라 설립된 특수법인으로 기관의 사업과 운영에 필요한 비용을 중앙행정기관 또는 지방자치단체가 출연할 수 있도록 법률에서 정하고 있는 경우

다. 공공 업무를 주 목적으로 설립된 비영리법인으로 기관의 사업과 운영에 필요한 비용을 중앙행정기관 또는 지방자치단체로부터 지급받고 소관 중앙행정기관의 장 또는 지방자치단체의 장의 요청에 따라 보호위원회가 인정한 경우

8. 최근 3년 이내(결합전문기관 지정 신청일 기준)에 법 제66조에 따라 공표된 적이 없을 것