1.4.1 법적 요구사항 준수 검토

인증 기준

조직이 준수하여야 할 정보보호 및 개인정보보호 관련 법적 요구사항을 주기적으로 파악하여 규정에 반영하고, 준수 여부를 지속적으로 검토하여야 한다.

주요 확인사항

조직이 준수하여야 하는 정보보호 및 개인정보보호 관련 법적 요구사항을 파악하여 최신성을 유지하고 있는가?
법적 요구사항의 준수 여부를 연 1회 이상 정기적으로 검토하고 있는가?

결함 사례

정보통신망법 및 개인정보 보호법이 최근 개정되었으나 개정사항이 조직에 미치는 영향을 검토하지 않았으며, 정책서 및 시행문서에도 해당 내용을 반영하지 않아 정책서 및 시행문서 내용이 법령 내용과 일치하지 않은 경우
조직에서 준수하여야 할 법률이 개정되었으나, 해당 법률 준거성 검토를 장기간 수행하지 않은 경우
법적 준거성 준수 여부에 대한 검토가 적절히 이루어지지 않아 개인정보 보호법 등 법규 위반 사항이 다수 발견된 경우
개인정보 보호법에 따라 개인정보 손해배상책임 보장제도 적용 대상이 되었으나, 이를 인지하지 못하여 보험 가입이나 준비금 적립을 하지 않은 경우 또는 보험 가입을 하였으나 이용자 수 및 매출액에 따른 최저가입금액 기준을 준수하지 못한 경우
정보보호 공시 의무대상 사업자이지만 법에 정한 시점 내에 정보보호 공시가 시행되지 않은 경우
모바일앱을 통해 위치정보사업자로부터 이용자의 개인위치정보를 전송받아 서비스에 이용하고 있으나, 위치기반서비스사업 신고를 하지 않은 경우

업종 특화

이 항목이 업종에 따라 달라지는 지점

가상자산사업자

가상자산 특화

경영진은 가상자산 거래 서비스 안전성 확보 및 이용자 보호를 위한 법적 요구사항에 대해 임직원의 준수여부를 연 1회 이상 정기적으로 검토하고 최고경영자에게 보고하고 있는가?

MVNO(알뜰폰)

MVNO 특화

(추가) 경영진은 MVNO서비스의 안전성 확보 및 이용자 보호를 위한 법적 요구사항에 대해 임직원의 준수 여부를 연 1회 이상 정기적으로 점검하고 최고경영자에게 보고하고 있는가?

MVNO 결함사례

연 1회 이상 법규 준수 여부에 대한 점검을 적절히 수행하지 않았거나, 점검 결과 발견된 개선사항을 조치하지 않은 경우

함께 보는 항목

이 기준과 맞물려 나오는 개념

국내대리인 지정

개념

국내에 주소·영업소가 없는 해외 개인정보처리자로서 일정 규모 이상은 국내에 대리인을 지정해야 하며, 이는 정보주체의 권리 행사를 보장하기 위한 제도이다.

법령 참조

개인정보 보호법 제31조의2(국내대리인의 지정)

주요내용

국내대리인 지정 의무 대상: 국내 주소·영업소 없는 해외사업자 중 ①매출액 1조 원 이상 또는 ②국내 이용자 100만 명 이상.
지정 방법: 문서(서면)로 지정.
국내대리인의 역할: 개인정보 처리 관련 고충 처리, 법 위반 시 연락 창구, 처리방침에 성명·주소·전화번호·전자우편 게재.
국내대리인은 법적으로 개인정보처리자와 동일한 의무 부담.

결함 사례

해외 플랫폼 사업자가 국내 이용자 100만 명을 초과하였음에도 국내대리인을 지정하지 않은 경우.
국내대리인을 구두로만 지정하고 문서화하지 않은 경우.

정리

국내대리인 지정 의무는 해외 사업자에만 해당 — 국내 사업자에는 적용 안 됨.
국내대리인은 국적이 한국일 필요는 없다.
1조 원 매출 또는 100만 명 이상 중 하나만 해당해도 의무 발생.
국내대리인 지정 문서로 해야함.

손해배상 책임

개념

개인정보 보호법 위반으로 인한 손해에 대해 처리자는 손해배상 책임을 지며, 고의·중과실 시 징벌적 손해배상이, 손해 입증이 어려운 경우 법정손해배상이 적용된다.

법령 참조

개인정보 보호법 제39조(손해배상책임), 제39조의2(법정손해배상의 청구)

주요내용

3년(시효 기간) 또는 불법행위를 한 날로부터 10년(제척기간) 이내에 손해배상을 청구
손해배상책임 보장 의무: 매출액 10억 원 이상 + 이용자 1만 명 이상 (보험·공제 가입 또는 준비금 적립), 전문 CPO 의무 공공기관
단, 공공기관, 비영리법인 및 단체, 소상공인은 예외 가능

구분	손해배상책임 (개인정보 보호법 제39조)	법정손해배상의 청구 (개인정보 보호법 제39조의2)
설명	개인정보처리자가 개인정보 보호법 위반행위를 한 경우 위반행위의 재발을 방지하기 위하여 정보주체에게 입증된 재산상 손해보다 훨씬 많은 금액을 배상하는 책임	정보주체가 개인정보의 분실 등으로 인한 구체적 손해액을 증명하지 않고, 법률에 규정된 손해액의 규정에 근거하여 손해를 배상
관련 법 내용	개인정보처리자가 개인정보 보호법을 위반한 행위로 손해를 입으면 개인정보 처리자에게 손해배상을 청구할 수 있다.	정보주체는 개인정보처리자의 고의 또는 과실로 인하여 개인정보가 분실·도난·유출·위조·변조 또는 훼손된 경우에는 300만 원 이하의 범위에서 상당한 금액을 손해액으로 하여 배상을 청구할 수 있다.
입증 책임	정보주체가 개인정보처리자의 과실, 손해발생, 실손해액을 증명해야 한다.	개인정보처리자가 고의 또는 과실이 없다는 부분을 입증해야 한다.
면제 가능 여부	개인정보처리자가 자신에게 고의 또는 중대한 과실이 없음을 증명한 경우에는 징벌적 손해배상책임으로부터 벗어날 수 있도록 허용한다.	개인정보처리자는 고의 또는 과실이 없음을 입증하지 않으면 법정 손해배상책임을 면할 수 없다.
손해배상액 범위	손해액의 5배 이내	300만 원 이하의 범위에서 상당한 금액

결함 사례

손해배상책임 보장 의무 대상임에도 보험 가입·준비금 적립을 하지 않은 경우.

가입대상개인정보처리자의 가입금액 산정요소		최저가입금액 (최소적립금액)
정보주체 수	매출액등	최저가입금액 (최소적립금액)
1만 명 이상 10만 명 미만	800억 원 초과	2억 원
	50억 원 초과 800억 원 이하	1억 원
	10억 원 이상 50억 원 이하	5천만 원
10만 명 이상 100만 명 미만	800억 원 초과	5억 원
	50억 원 초과 800억 원 이하	2억 원
	10억 원 이상 50억 원 이하	1억 원
100만 명 이상	800억 원 초과	10억 원
	50억 원 초과 800억 원 이하	5억 원
	10억 원 이상 50억 원 이하	2억 원

정리

정보주체 수 산정: 온라인·오프라인 전체 합산, 임직원은 제외.
법정손해배상은 피해 증명이 어려운 개인정보 침해 특성을 반영한 제도.

핵심 키워드

법적 요구사항
최신성 유지
연 1회 이상
준수여부 검토

헷갈리는 항목

2.1.1정책의 유지관리

이 항목을 카드로 외우고 결함 판별 문제로 확인하기

출처: ISMS-P 인증제도 누리집(isms-p.or.kr) 제도소개