개인정보보호 관련 법규와 표준
개인정보 처리 의무는 법령마다 적용 대상과 내용이 다릅니다. 조직에 적용되는 법규는 법령 원문으로 확인해야 합니다.
ISO/IEC 27701:2025 발행
제2판은 독립 경영시스템 규격으로 다시 쓰였습니다. ISO 27001 없이도 도입할 수 있으며, 인증기관의 전환 기한은 2028년 10월 31일입니다.
개인정보 보호법
개인정보처리자에게 안전성 확보 조치, 유출 통지 등을 요구합니다. 처분의 기준과 범위는 법령 원문으로 확인해야 합니다.
* 출처: ISO/IEC 27701:2025, 법제처 국가법령정보센터(개인정보 보호법)
ISO 27701을 검토하는 조직
대규모 고객 개인정보를 처리하는 조직
개인정보 처리 현황을 파악하고 위험을 평가해 통제를 정하는 체계가 심사 대상입니다.
해외 고객 데이터를 처리하는 조직
GDPR(유럽), CCPA(미국) 등 각국 법규의 적용 여부를 확인해야 하는 조직입니다. ISO 27701은 여러 법규의 요구사항을 하나의 경영시스템으로 관리하는 틀이며 법규 준수를 보증하지 않습니다.
민감정보를 다루는 조직
의료 정보, 금융 정보, 생체 정보 등 민감한 개인정보를 처리하는 조직입니다. 민감정보 처리에 대한 통제가 적용되고 운영되는지 확인합니다.
ISO 27001 보유 기업이 개인정보 관리 체계를 갖추려는 경우
ISO 27001(정보보안)은 있지만 개인정보 관리 체계가 별도로 없는 기업. 2025년 제2판은 독립 경영시스템 규격이라 ISO 27001 없이도 도입할 수 있고, ISO 27001을 보유한 기업은 두 경영시스템을 맞추거나 통합해 운영할 수 있습니다.
인증심사에서 확인하는 사항
개인정보 처리 현황과 흐름
개인정보의 수집, 이용, 제공, 파기, 위탁, 국외 이전 현황을 파악했고 데이터 흐름이 기록으로 남아 있는지 확인합니다.
개인정보 보호법 요구사항의 관리
동의, 목적 외 이용 금지, 파기 절차, 유출 통지 등 법적 요구사항을 경영시스템 안에서 관리하는지 확인합니다. 인증은 법규 준수를 보증하지 않습니다.
개인정보 위험 평가
처리 활동별로 위험을 평가하고 처리 방안을 정했는지 확인합니다. 개인정보 영향평가(DPIA)도 이 단계에 포함됩니다.
통제 항목의 적용과 문서화
개인정보 처리 방침, 동의 관리, 접근 권한 통제 등 선택한 통제가 문서화되고 운영되는지 확인합니다.
인증 절차
신청부터 인증 결정까지의 절차입니다. 일정은 견적 문의 때 안내드립니다.
개인정보 처리 현황 파악
어떤 개인정보를 수집·이용·제공·파기하는지 전수 조사합니다. 생각보다 많은 부서에서 개인정보를 처리하고 있습니다.
PII(개인식별정보) 흐름 분석
개인정보가 조직 내외부로 어떻게 흐르는지 데이터 흐름도를 작성합니다. 위탁, 제3자 제공, 국외 이전 등을 모두 식별합니다.
개인정보 위험 평가
식별된 처리 활동별로 위험을 평가하고 처리 방안을 결정합니다. DPIA(개인정보 영향평가)가 이 단계에 포함됩니다.
통제 항목 적용 및 문서화
ISO 27701 Annex의 통제 항목을 적용합니다. 개인정보 처리 방침, 동의 관리, 접근 권한 통제 등의 절차를 수립합니다.
인증 심사 (1단계 + 2단계)
1단계에서 문서와 체계 설계를 검토하고, 2단계에서 실제 개인정보 처리 현황을 현장 심사합니다.
인증서 발급
심사 통과 후 인증서를 발급받습니다. 인증은 3년 유효이며, 매년 사후심사를 받게 됩니다.
심사원이 확인하는 것
ISO 27001 보유 기업은 두 경영시스템을 함께 운영할 수 있습니다
2019년 판은 ISO 27001의 확장이었지만, 2025년 제2판은 독립 경영시스템 규격으로 다시 쓰였습니다. 규격은 개인정보보호 경영시스템을 ISO 27001의 정보보호 경영시스템과 맞추거나 통합할 수 있다고 설명합니다. 두 인증을 함께 준비할 때의 심사 일수와 비용은 견적 시 확인하세요.
2025년 개정으로 독립 인증도 가능해졌습니다
ISO 27701:2025 개정판에서는 ISO 27001 없이도 단독(Standalone PIMS)으로 인증받을 수 있습니다. 전환 기한은 2028년 10월입니다.
개인정보 처리 위탁과 제3자 제공 현황을 확인합니다
심사원은 외부 업체에 개인정보를 위탁하거나 제3자에게 제공하는 현황과, 그에 대한 관리 기록을 확인합니다.
인증 비용
심사 비용은 사업장 수·인원·표준에 따라 정해지는 심사일수로 산정하며, 문의하시면 견적을 드립니다.
우리 회사의 정확한 인증 비용이 궁금하신가요?
인증 견적 문의자주 묻는 질문
ISO 27701과 ISO 27001의 차이는 무엇인가요?
ISO 27001은 "정보보안" 전체를 다루고, ISO 27701은 "개인정보 처리"에 책임이 있는 개인정보처리자와 수탁자를 대상으로 하는 독립 경영시스템 표준입니다. 27001이 해킹·데이터 유출 등 보안 위협 전반을 관리한다면, 27701은 개인정보의 수집·이용·제공·파기 등 프라이버시 생애주기 관리에 초점을 맞춥니다.
ISO 27001 없이 ISO 27701만 받을 수 있나요?
2025년 개정 전에는 반드시 ISO 27001을 먼저 보유해야 했지만, ISO 27701:2025 개정판에서는 독립(Standalone) 인증이 가능해졌습니다. 다만 기존 인증 기업은 2028년 10월까지 새 버전으로 전환해야 합니다.
개인정보 보호법 준수와 ISO 27701의 관계는?
ISO 27701은 GDPR, 한국 개인정보 보호법 등 법규의 요구사항을 관리하는 데 쓸 수 있는 경영시스템 규격입니다. 인증은 법규 준수와 과징금 등 처분의 결과를 보증하지 않습니다.
인증 비용은 얼마나 드나요?
심사 비용은 사업장 수·인원·표준에 따라 정해지는 심사일수로 산정하며, 문의하시면 견적을 드립니다.
인증 기간은 얼마나 걸리나요?
심사 일정은 심사일수와 신청 조직의 사정을 확인한 뒤 정합니다. 견적을 문의하실 때 함께 안내드립니다.