개인정보보호 관리체계(PIMS) 국제표준화 기구 국제표준으로 제정(2017.05.12)

우리나라의 개인정보보호 관리체계(PIMS)를

국제표준화 양대 기구 ISO/IEC, ITU-T가 모두 국제표준으로 제정 (2017.05.12)

□ 방송통신위원회와 한국인터넷진흥원은 국내 개인정보보호 관리체계(Personal Information Management System, 이하 ‘PIMS’)를 국제표준화 양대 기구인 ISO/IEC와 ITU-T가 국제표준으로 각각 제정했다고 밝혔다.

※ ISO/IEC : 국제표준화기구(ISO)와 국제전기표준회의(IEC)가 정보기술 분야의 국제 표준화 작업을 합동 관리하기 위해 설립한 공동 기술 위원회
   ITU-T : 국제전기통신연합(ITU) 산하의 전기통신기술 분야 국제 표준화 기관

 o PIMS는 ｢정보통신망 이용촉진 및 정보보호 등에 관한 법률｣ 제47조의3에 따라 기업 또는 공공기관이 고객의 개인정보를 수집, 이용, 제공, 파기하는 전 과정을 안전하게 보호하기 위한 체계를 갖추었는지 심사해 인증하는 제도다.

방송통신위원회와 행정자치부가 관련 정책을 소관하며 한국인터넷진흥원이 제도를 운영하고 있다.

2017년 4월 기준 PIMS 인증을 취득한 기업 및 공공기관은 총 65개이다.

 o 이번에 국제표준으로 제정된 PIMS는 접근통제, 암호화, 운영보안 등의 기술적․관리적 보호조치 뿐만 아니라, 정보주체의 개인정보 제공 동의 및 선택, 수집목적의 명확화, 이용 최소화 등 개인정보보호에 특화된 지침을 제시하고 있다.

□ 그간 국제표준화의 양대 기구인 ISO/IEC와 ITU-T에서는 개인정보보호 관련 국제표준의 필요성이 꾸준히 제기되어 왔다.

 o 이에, 방송통신위원회는 PIMS를 기반으로 표준을 개발하여 지난 ‘11년에 신규과제로 제안(ISO/IEC : ‘11.10월, ITU-T : ’11.8월)하였다.

’12년 각 기구의 표준화 과제로 채택(ISO/IEC : ‘12.10월, ITU-T : ’12.2월)된 이후 약 6여년에 걸쳐 각 기구별 총 11회의 표준화 회의를 통해 최종 합의를 이끌어 냈다.

 o 그 결과 PIMS 인증기준 기반으로 마련된 표준안은 지난 3월 31일 ITU-T 회의에서 ‘통신조직의 개인정보 관리 가이드(X.1058)‘로, 지난 4월 23일 열린 ISO/IEC 회의에서 ‘개인정보보호를 위한 보호대책 지침(29151)’으로 각각 표준이 되었으며, 해당 표준문서는 ’17년 상반기에 표준화 기구 홈페이지에 게시될 예정이다.

□ ITU-T 정보보호분야 연구그룹(SG17)의 의장으로서 이번 표준안의 국가 간 협의를 주도한 염흥열 순천향대 정보보호학과 교수는 “이번 양대 국제 표준화 기구에서 PIMS를 국제표준으로 제정함으로써 글로벌 PIMS 인증 제도를 시행하기 위한 표준 기반이 마련됐다”라고 언급하며,

“향후 우리나라가 개인정보보호를 위한 기술적․관리적 보호조치 등 글로벌 정책을 선도할 수 있을 것으로 기대되어 그 의미가 매우 크다”고 강조했다.

 o 방송통신위원회 김재영 이용자정책국장은 “이번 PIMS의 국제표준 제정이 PIMS 인증취득 활성화와 더불어 국내 개인정보보호 수준 향상의 계기가 될 것으로 기대한다”며,

“아울러 개인정보보호 관련 국제 표준화의 초석이 마련되었으므로 국가 간 개인정보 이전 문제의 원활한 해결과 관련 산업의 활성화를 전망한다”고 밝혔다.

■ 참고 : 개인정보보호 관리체계(PIMS) 국제 표준화 제정 주요 경과

□ 주요 경과

 o 개인정보보호 관리체계(이하 ‘PIMS’) 인증제도 국내 시행 : 2010년

 o PIMS를 국제 표준화 신규과제로 제안 : 2011년
  - 제도시행 당시 인증기준 118개 항목*을 기반으로 표준 초안을 개발하여 ISO/IEC(‘11.10월)와 ITU-T(’11.8월)에 신규과제로 제안

   * 개인정보 관리과정 11개, 보호대책 79개, 생명주기 28개 항목으로 구성

  - ITU-T 정보보호분야 연구그룹(SG17)의 부의장 및 의장 역임 중인 순천향대 정보보호학과 염흥열 교수를 통해 해당 표준과제의 에디터쉽 확보

 o ITU-T(‘12. 2월),  ISO/IEC(‘12. 10월)의 표준화 과제로 채택 : 2012년

 o 양 기구 표준화 회의를 통한 최종합의 도출 : 2013년∼2016년
  - 정기회의 참여국과 초안의 각 항목에 대한 필요성, 중복성 등에 대한 검토를 거쳐 총 113개*의 보안통제(Control) 항목을 제시

  * 초안 중 개인정보보호 관리체계 정책의 수립 및 공표 등 항목이 통합되었으며 내용은 동일

 o ITU-T : ｢통신조직의 개인정보 관리 가이드(X.1058)｣ (‘17.3.31)

 o ISO/IEC : ｢개인정보보호를 위한 보호대책 지침(29151)｣ (‘17.4.23)

 o 표준안 최종 검수 및 국제기구 홈페이지 게시 : ‘17년 상반기