01 / When you need it
이런 경우에
이런 경우에
필요합니다
- 01개인정보를 대량으로 다루는데 점검을 받아본 적이 없다.
- 02처리방침을 만들어 두긴 했으나 실제 운영과 같은지는 자신이 없다.
- 03위탁과 재위탁 업체가 늘었는데 관리 절차가 없다.
- 04해외 SaaS를 쓰는데 국외이전 고지를 어떻게 해야 할지 모르겠다.
- 05영향평가 대상이 되었거나, 곧 될 것 같다.
02 / Scope
수행 범위
- 처리 흐름도 작성 — 수집 경로에서 파기까지 실제 동선을 그립니다. 어디에 저장되고 누가 열어 보며 어디로 제공·위탁되는지가 한 장에 들어옵니다. 시스템 구성도와 맞대 보면 빠져 있던 경로가 드러납니다.
- 적법성 검토 — 항목마다 무슨 근거로 받았는지, 동의는 어떤 방식이었는지, 목적을 넘어 쓰고 있지는 않은지 확인합니다.
- 안전성 확보조치 이행 점검 — 접근권한이 정리돼 있는지, 접속기록을 남기고 실제로 들여다보는지, 암호화는 걸려 있는지, 보관과 파기가 절차대로 도는지를 봅니다.
- 수탁사 관리 — 지금 어디에 무엇을 맡기고 있는지부터 셉니다. 계약서 필수 조항을 검토하고 정기 점검 절차를 설계합니다.
- 국외이전 점검 — 클라우드와 SaaS를 쓰면서 어떤 항목이 국경을 넘고 있는지 확인하고 고지 요건을 정비합니다.
- 영향평가 대응 준비 — 요구 자료를 정비하고 사전 점검을 돌려 평가기관 대응까지 준비해 둡니다.
| 근거 | 개인정보보호법 및 시행령, 안전성 확보조치 기준 |
| 범위 | 온라인 · 오프라인 수집 경로 모두 |
| 전제 | 처리 시스템 담당자 인터뷰, 화면·설정 확인 |
| 연계 | ISMS-P 개인정보 영역과 함께 수행 가능 |
03 / Deliverables
산출물
아래 목록은 계약서에 명시되는 항목과 같습니다. 여기 없는 문서가 필요하시면 착수 전에 말씀해 주세요. 중간에 끼워 넣으면 일정이 밀립니다.
기본 제공
- 개인정보 처리 흐름도
- 항목별 적법성 검토 결과
- 안전성 확보조치 이행 점검 결과서
- 개선 과제 목록 (담당 · 기한 포함)
- 처리방침 · 동의서 개선안
- 수탁사 점검 체크리스트
유의사항
- 개인정보 영향평가(PIA)는 지정된 평가기관이 수행합니다. 쉴더스랩은 평가기관이 아니며, 대응 준비를 지원합니다.
- 법령 해석이 갈리는 사안에서는 단정을 피합니다. 근거와 선택지를 정리해 드리고 판단은 담당자께 맡깁니다.
- 점검하다 실제 개인정보를 열람해야 하는 경우가 생기면, 최소 범위로 제한하고 그때마다 따로 합의합니다.
단계별 절차와 위험도 산정 기준은 진단 방법론에 모두 공개해 두었습니다. 받아 보신 다른 제안서와 나란히 놓고 비교하셔도 됩니다.
04 / FAQ
자주 묻는 질문
ISMS-P를 하면 개인정보는 자동으로 되는 것 아닌가요?
겹치는 부분이 있지만 보는 각도가 다릅니다. ISMS-P의 개인정보 영역은 인증기준 충족 여부를 확인하고, 컴플라이언스 점검은 실제 처리 흐름이 적법한지와 조치가 이행되고 있는지를 확인합니다. 둘을 나란히 준비하시는 경우에는 중복되는 작업을 빼고 산정합니다.
영향평가 대상인지 어떻게 아나요?
처리하는 개인정보의 규모와 성격, 기관 유형에 따라 갈립니다. 현재 처리 현황을 알려주시면 근거를 붙여 판단 의견을 드립니다.
해외 SaaS를 많이 쓰는데 다 정리해야 하나요?
한꺼번에 정리하기 전에 목록부터 만드는 편이 빠릅니다. 어떤 서비스로 어떤 항목이 흘러가는지가 보이면, 고지나 동의가 필요한 것과 그렇지 않은 것이 갈립니다. 정리는 그다음입니다.