제13조의2(개인정보 보호수준 평가의 대상ㆍ기준ㆍ방법ㆍ절차 등)
①법 제11조의2제1항에서 "대통령령으로 정하는 기관"이란 다음 각 호의 기관을 말한다. <개정 2025.9.23>
1.「공공기관의 운영에 관한 법률」 제4조에 따른 공공기관
2.「지방공기업법」에 따른 지방공사와 지방공단
3.그 밖에 제2조제3호의2, 제4호 및 제5호에 따른 공공기관 중 공공기관의 개인정보 처리 업무의 특성 등을 고려하여 보호위원회가 고시하는 기준에 해당하는 기관
②법 제11조의2제1항에 따른 개인정보 보호수준 평가(이하 "개인정보 보호수준 평가"라 한다)의 기준은 다음 각 호와 같다.
1.개인정보 보호 정책ㆍ업무 수행실적 및 개선 정도
2.개인정보 관리체계의 적정성
3.정보주체의 권리보장을 위한 조치사항 및 이행 정도
4.개인정보 침해방지 조치사항 및 안전성 확보 조치 이행 정도
5.그 밖에 개인정보의 처리 및 안전한 관리를 위해 필요한 조치 사항의 준수 여부
③보호위원회는 개인정보 보호수준 평가를 시행하기 전에 평가대상, 평가기준ㆍ방법 및 평가지표 등을 포함한 평가계획을 마련하여 개인정보 보호수준 평가 대상 기관(이하 "평가대상기관"이라 한다)의 장에게 통보해야 한다.
④보호위원회는 개인정보 보호수준 평가를 효율적으로 실시하기 위해 개인정보 보호에 관한 전문적인 지식과 경험이 풍부한 전문가를 포함하여 평가단을 구성ㆍ운영할 수 있다.
⑤보호위원회는 법 제11조의2제2항에 따라 다음 각 호의 자료를 제출하게 할 수 있다.
1.평가대상기관이 개인정보 보호수준을 자체적으로 점검한 경우 그 결과 및 증명자료
2.제1호의 증명자료의 검증에 필요한 자료
3.그 밖에 개인정보의 안전한 관리 여부 등 개인정보 보호수준을 평가하기 위해 필요한 자료
⑥보호위원회는 제5항에 따라 평가대상기관의 장이 제출한 자료를 기준으로 평가를 진행하거나 평가대상기관을 방문하여 평가할 수 있다.
⑦보호위원회는 중앙행정기관의 장 또는 지방자치단체의 장에게 소속 기관 등 소관 분야 평가대상기관의 평가준비 또는 평가결과에 따른 개인정보 보호 조치를 위해 필요한 사항을 지원하도록 요청할 수 있다. 이 경우 요청을 받은 중앙행정기관의 장 또는 지방자치단체의 장은 요청에 따른 지원을 하기 위해 노력해야 한다.
⑧제1항부터 제7항까지의 규정에 따른 개인정보 보호수준 평가에 관한 세부 사항은 보호위원회가 정하여 고시한다.