대통령령 과학기술정보통신부 소관

전자서명법 시행령

시행: 2023.9.15
공포: 2023.9.12 · 제33723호 · 타법개정
조문: 15개

제1조(목적)

이 영은 「전자서명법」에서 위임된 사항과 그 시행에 필요한 사항을 규정함을 목적으로 한다.

제2조(증명서 발급사실의 공고)

「전자서명법」(이하 "법"이라 한다) 제9조제1항에 따른 인정기관(이하 "인정기관"이라 한다)은 같은 조 제3항 전단에 따라 전자서명인증사업자에게 법 제8조제2항에 따른 운영기준 준수사실의 인정(이하 "운영기준 준수사실의 인정"이라 한다)을 하여 증명서를 발급한 경우에는 그 사실을 인터넷 홈페이지에 공고해야 한다.

제3조(운영기준 준수사실 인정의 취소)

① 인정기관은 운영기준 준수사실의 인정을 받은 전자서명인증사업자가 다음 각 호의 어느 하나에 해당하는 경우에는 그 인정을 취소할 수 있다. 다만, 제1호 또는 제2호에 해당하는 경우에는 인정을 취소해야 한다.

1. 거짓이나 그 밖의 부정한 방법으로 운영기준 준수사실의 인정을 받은 경우

2. 폐업 또는 해산한 경우

3. 법 제17조제1호에 해당하여 시정명령을 받았으나 정당한 사유 없이 이를 이행하지 않은 경우

② 인정기관은 제1항에 따라 운영기준 준수사실의 인정을 취소한 경우에는 그 사실을 인터넷 홈페이지에 공고해야 한다.

제4조(운영기준 준수사실의 인정의 유효기간)

운영기준 준수사실의 인정의 유효기간은 인정을 받은 날부터 1년으로 한다.

제5조(평가기관의 선정기준 및 절차 등)

① 법 제10조제1항에 따른 평가기관(이하 "평가기관"이라 한다)의 선정기준은 다음 각 호와 같다.

1. 법인일 것

2. 최근 2년 이내에 평가기관 선정이 취소된 사실이 없을 것

3. 별표 1에 따른 요건을 갖춘 전문인력을 5명 이상 상시 고용하고 있을 것

4. 평가 업무를 수행하는 데 필요한 운영ㆍ관리 능력과 기술적ㆍ물리적 능력을 갖추고 있을 것

5. 평가 업무의 독립성, 객관성, 공정성 및 신뢰성을 확보할 수 있을 것

② 제1항제4호 및 제5호의 기준에 적합한지를 확인하기 위한 평가항목, 평가방법 등 세부적인 사항은 과학기술정보통신부령으로 정한다.

③ 평가기관 선정을 받으려는 자는 과학기술정보통신부령으로 정하는 선정신청서를 과학기술정보통신부장관에게 제출해야 한다.

④ 과학기술정보통신부장관은 제3항에 따른 신청을 받은 경우 선정 여부를 결정하기 위해 필요하면 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제52조에 따른 한국인터넷진흥원(이하 "한국인터넷진흥원"이라 한다)에 지원을 요청할 수 있으며, 신청인 또는 전자서명에 관한 학식과 경험이 풍부한 전문가 등으로부터 의견을 들을 수 있다.

⑤ 과학기술정보통신부장관은 제3항에 따른 신청을 검토한 결과 해당 기관이 제1항에 따른 선정기준에 적합하다고 인정하는 경우에는 과학기술정보통신부령으로 정하는 평가기관 선정서를 발급하고, 그 사실을 관보 또는 인터넷 홈페이지에 공고해야 한다.

제6조(평가기관의 업무수행방법 등)

① 평가기관은 평가업무를 수행하는 데 필요한 세부 평가기준과 평가 업무 수행지침을 마련하고, 이에 따라 공정하고 객관적으로 평가 업무를 수행해야 한다.

② 제1항에 따른 평가 업무 수행지침에는 다음 각 호의 사항이 포함되어야 한다.

1. 서면 평가, 현장 평가 등 평가방법

2. 평가 절차(평가 중단 또는 일부 생략의 사유 및 절차를 포함한다)

3. 평가의 품질관리, 운영관리 등 평가 업무 관리에 관한 사항

4. 평가 관련 문서ㆍ시설 등의 보안ㆍ관리에 관한 사항

5. 평가 업무 수행 직원의 의무 및 책임

6. 그 밖에 평가 업무의 독립성, 객관성, 공정성 및 신뢰성 확보를 위해 필요한 사항

③ 평가기관은 전자서명인증사업자로부터 법 제10조제2항에 따른 운영기준 준수사실의 인정을 받기 위한 평가를 신청받은 경우에는 해당 평가에 적용할 세부 평가기준과 평가 범위, 평가 일정 및 평가 참관에 관한 사항 등을 인정기관과 미리 협의해야 한다.

④ 평가기관은 평가를 신청받은 날부터 180일 이내에 평가를 마쳐야 한다. 다만, 평가를 마치기 어려운 불가피한 사유가 있는 경우에는 180일의 범위에서 한 차례만 그 기간을 연장할 수 있으며, 평가기간을 연장하는 경우에는 해당 전자서명인증사업자에게 그 사실을 통보해야 한다.

⑤ 평가기관은 매년 2월 말일까지 전년도 평가 업무 실적보고서를 과학기술정보통신부장관에게 제출해야 한다.

제7조(국제통용평가의 선정기준)

법 제11조제1항에 따른 국제통용평가의 선정기준은 다음과 같다.

1. 전자서명인증서비스의 안전성과 신뢰성에 관한 평가일 것

2. 평가기준이 법 제7조제2항에 따른 운영기준에 부합할 것

3. 전자서명인증서비스 관련 표준이나 기준을 제정하는 국제기구ㆍ단체 또는 국제적인 전자서명인증서비스 이용자 단체 등에서 통용되거나 인정되는 평가일 것

제8조(평가기관 선정취소 및 업무정지 등)

① 법 제12조제1항에 따른 평가기관의 선정취소 및 업무정지의 처분기준은 별표 2와 같다.

② 과학기술정보통신부장관은 법 제12조제1항에 따라 평가기관의 선정을 취소하거나 업무정지를 명한 경우에는 그 사실을 관보 또는 인터넷 홈페이지에 공고해야 한다.

제9조(신원확인의 방법)

① 운영기준 준수사실의 인정을 받은 전자서명인증사업자가 법 제14조에 따라 전자서명인증서비스에 가입하려는 자의 신원을 확인할 때에는 다음 각 호의 구분에 따른 방법으로 한다.

1. 해당 전자서명인증사업자가 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제23조의3제1항에 따른 본인확인기관(이하 "본인확인기관"이라 한다)인 경우: 「금융실명거래 및 비밀보장에 관한 법률」 제2조제4호에 따른 실지명의(이하 "실지명의"라 한다)를 기준으로 확인하는 방법. 다만, 가입하려는 자의 신원이 실지명의 기준으로 확인된 사실을 해당 전자서명인증사업자가 확인할 수 있는 경우에는 운영기준 준수사실의 인정을 받은 가입자 확인방법으로 할 수 있다.

2. 해당 전자서명인증사업자가 본인확인기관이 아닌 경우: 운영기준 준수사실의 인정을 받은 가입자 확인방법

② 제1항제1호에 따른 실지명의를 기준으로 신원을 확인하는 방법에 관한 세부적인 사항은 과학기술정보통신부령으로 정한다.

제10조(시정명령)

과학기술정보통신부장관은 법 제17조에 따라 시정을 명할 때에는 위반사실과 시정기한을 적은 서면으로 통지해야 한다.

제11조(손해배상을 위한 보험 가입)

운영기준 준수사실의 인정을 받은 전자서명인증사업자는 법 제20조제2항에 따라 다음 각 호의 요건을 모두 갖춘 책임보험에 가입해야 한다.

1. 연간 총 보상액의 한도가 10억 원 이상일 것

2. 제4조에 따른 유효기간 동안 발생한 사고를 보장 대상으로 할 것

제12조(업무의 위탁)

과학기술정보통신부장관은 법 제23조에 따라 다음 각 호의 업무를 한국인터넷진흥원에 위탁한다.

1. 법 제5조제2호부터 제4호까지의 사항에 대한 지원 업무

2. 법 제7조제2항에 따른 전자서명인증업무 운영기준 마련 업무

제13조(고유식별정보의 처리)

① 인정기관은 법 제8조제3항에 따른 자격 요건 충족 여부 확인에 관한 사무를 수행하기 위해 불가피한 경우 「개인정보 보호법 시행령」 제19조에 따른 주민등록번호, 여권번호 또는 외국인등록번호가 포함된 자료를 처리할 수 있다.

② 운영기준 준수사실의 인정을 받은 전자서명인증사업자(해당 사업자가 본인확인기관인 경우로 한정한다)는 제9조제1항제1호에 따른 신원확인에 관한 사무를 수행하기 위해 불가피한 경우 「개인정보 보호법 시행령」 제19조에 따른 주민등록번호, 여권번호 또는 외국인등록번호가 포함된 자료를 처리할 수 있다.

제14조(연계정보의 처리)

운영기준 준수사실의 인정을 받은 전자서명인증사업자는 제9조제1항에 따른 신원확인에 관한 사무 또는 이용자가 서명자의 신원을 식별할 수 있도록 하기 위해 불가피한 경우 본인확인기관이 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조제3호에 따른 정보통신서비스 제공자의 온ㆍ오프라인 서비스 연계를 위해 서명자 등의 주민등록번호와 연계해 생성한 정보를 해당 서명자 등의 동의를 받아 처리할 수 있다.

제15조(과태료의 부과기준)

법 제26조제1항 및 제2항에 따른 과태료의 부과기준은 별표 3과 같다.

최근 개정 이유 (법제처 제공)

[일부개정] ◇ 개정이유 종전에 정보통신서비스 제공자에게만 적용되던 개인정보 이용ㆍ제공내역의 통지 의무 등을 모든 개인정보처리자에 대해 동일하게 적용되도록 하고, 개인정보를 국외로 이전할 수 있는 경우를 확대하여 규정하는 등의 내용으로 「개인정보 보호법」이 개정(법률 제19234호, 2023. 3. 14. 공포, 9. 15. 시행)됨에 따라, 개인정보의 이용ㆍ제공 내역을 통지하여야 하는 개인정보처리자의 기준을 정하고, 개인정보처리자가 아동의 법정대리인이 아동의 개인정보 처리에 동의하였는지를 확인할 수 있는 방법을 규정하며, 개인정보 보호위원회가 개인정보의 국외 이전을 위해 국가 또는 국제기구의 개인정보 보호체계 등이 이 법에 따른 개인정보 보호 수준과 실질적으로 동등한 수준을 갖추었다고 인정하려는 경우 고려해야 하는 사항 및 절차를 정하는 등 법률에서 위임된 사항과 그 시행에 필요한 사항을 정하는 한편, 공공부문에서 발생하는 개인정보 침해사고를 예방하기 위하여 일정 규모 이상의 개인정보처리시스템을 운영하는 공공기관은 일반적인 개인정보처리자가 하여야 하는 안전성 확보 조치 외에 추가적인 조치를 하도록 하는 등 현행 제도의 운영상 나타난 일부 미비점을 개선ㆍ보완하려는 것임. ◇ 주요내용 가. 개인정보의 국외 이전 분야 전문위원회의 설치(제5조) 개인정보의 국외 이전 분야에 관한 개인정보 보호위원회의 심의ㆍ의결 사항에 대해 전문적으로 검토하기 위하여 개인정보 보호위원회에 전문위원회를 두도록 함. 나. 개인정보의 이용ㆍ제공 내역 통지(제15조의3 신설) 개인정보처리자는 일일평균 5만명 이상의 정보주체에 관하여 민감정보 또는 고유식별정보를 처리하거나 100만명 이상의 정보주체에 관하여 개인정보를 처리하는 경우에는 개인정보의 수집ㆍ이용 목적, 수집한 개인정보의 항목 등을 정보주체에게 통지하도록 함. 다. 아동의 개인정보 보호에 관한 사항(제17조의2 신설) 개인정보처리자가 14세 미만 아동의 법정대리인이 해당 아동의 개인정보 처리에 동의하였는지를 확인하기 위한 방법을 구체적으로 정하고, 법정대리인의 동의를 받기 위하여 필요한 경우에는 법정대리인의 성명 및 연락처에 관한 정보는 법정대리인의 동의 없이 해당 아동으로부터 직접 수집할 수 있도록 함. 라. 이동형 영상정보처리기기의 운영에 관한 사항(제27조 및 제27조의2 신설) 1) 목욕실, 화장실 등 개인의 사생활을 현저히 침해할 우려가 있는 장소라 하더라도 범죄, 화재, 재난 등의 상황에서 인명의 구조ㆍ구급 등을 위하여 필요한 경우에는 사람 또는 그 사람과 관련된 사물의 영상을 이동형 영상정보처리기기로 촬영할 수 있도록 함. 2) 이동형 영상정보처리기기로 영상을 촬영하는 경우에는 불빛, 소리, 안내판 등의 수단이나 방법으로 정보주체가 촬영 사실을 알 수 있도록 표시하고 알리도록 하되, 드론을 이용한 촬영 등의 경우에는 개인정보 보호위원회가 정하는 방법으로 알릴 수 있도록 함. 마. 국가 등에 대한 개인정보 보호 수준 인정에 관한 사항(제29조의9 신설) 개인정보 보호위원회는 개인정보가 이전되는 국가 또는 국제기구의 개인정보 보호체계 등이 「개인정보 보호법」에 따른 보호 수준과 실질적으로 동등한 수준을 갖추었다고 인정하려는 경우에는 해당 국가 등의 개인정보 보호체계, 개인정보 보호를 위한 독립적인 감독기관의 존재 여부 등을 종합적으로 고려하도록 하고, 해당 국가 등의 개인정보 보호체계, 정보주체의 피해구제 절차 등의 개인정보 보호수준이 변경된 경우에는 인정을 취소하거나 그 내용을 변경할 수 있도록 함. 바. 개인정보의 국외 이전 중지 명령의 기준 및 이의신청(제29조의11 및 제29조의12 신설) 개인정보 보호위원회가 개인정보처리자에게 개인정보의 국외 이전 중지를 명하려는 경우에는 이전되는 개인정보의 유형ㆍ규모, 정보주체에게 발생한 피해의 중대성 등을 종합적으로 고려하도록 하고, 개인정보의 국외 이전 중지 명령에 이의를 제기하려는 개인정보처리자는 명령을 받은 날부터 7일 이내에 개인정보 보호위원회가 정하는 이의신청서에 이의 신청 사유를 증명할 수 있는 서류를 첨부하여 개인정보 보호위원회에 제출하도록 함. 사. 공공기관의 개인정보 안전성 확보 조치(제30조의2 신설) 1) 개인정보 처리 규모 등이 일정한 기준에 해당하는 개인정보처리시스템을 운영하는 공공기관은 일반적인 안전성 확보 조치 외에 개인정보처리시스템별 안전성 확보 조치, 개인정보처리시스템 접속기록의 저장ㆍ분석ㆍ점검ㆍ관리 등의 조치를 추가로 하도록 하고, 2) 개인정보처리시스템의 규모와 특성 등을 고려하여 개인정보의 안전한 관리를 위한 전담 부서를 지정ㆍ운영하거나 전담인력을 배치하고, 개인정보처리시스템의 안전성에 관한 협의를 위해 해당 시스템 이용기관 등으로 구성되는 공공시스템운영협의회를 설치ㆍ운영하도록 함. 아. 개인정보 처리방침의 평가 대상 및 절차(제31조의2 신설) 개인정보 보호위원회가 개인정보처리자가 수립한 개인정보 처리방침을 평가하려는 경우에는 개인정보처리자 및 처리하는 개인정보의 유형 등을 고려하여 평가 대상을 선정하고, 평가 과정에서 필요한 경우에는 개인정보처리자에게 의견을 제출할 것을 요청할 수 있도록 함. 자. 개인정보 유출 등의 통지(제39조) 개인정보처리자는 개인정보의 유출 등을 알게 되었을 때에는 서면 등의 방법으로 72시간 이내에 정보주체에게 통지하도록 하고, 정보주체의 연락처를 알 수 없는 경우 등 정당한 사유가 있는 경우에는 해당 개인정보처리자의 인터넷 홈페이지에 30일 이상 통지내용을 게시하는 것으로 통지를 갈음할 수 있도록 함. 차. 개인정보 유출 등의 신고(제40조) 개인정보처리자는 민감정보 또는 고유식별정보가 유출되었거나 개인정보처리자 외부로부터의 불법적인 접근에 의한 개인정보의 유출 등을 알게 되었을 때에는 72시간 이내에 개인정보 보호위원회 등에 신고하도록 하고, 신고하려는 때에 구체적인 내용을 확인하지 못한 경우에는 그때까지 확인된 내용 등을 먼저 신고하고 추가로 확인되는 내용에 대해서는 확인되는 즉시 신고하도록 함. 카. 분쟁의 조정절차 및 조정업무의 처리에 관한 사항(제51조의2부터 제51조의4까지 신설) 분쟁조정에 응하지 않으려는 개인정보처리자는 분쟁조정의 통지를 받은 날부터 10일 이내에 분쟁조정 불응 의사를 분쟁조정위원회에 알리도록 하고, 분쟁조정위원회가 분쟁의 조정을 위하여 사건과 관련된 장소에 출입하여 관련 자료를 조사ㆍ열람을 할 때에는 분쟁당사자 등이 입회하거나 의견을 진술하도록 요청할 수 있도록 함. 타. 과징금 산정기준 및 납부 등에 관한 사항(제60조의2부터 제60조의5까지 신설, 별표 1의5) 1) 과징금 산정의 기준이 되는 전체 매출액을 원칙적으로 위반행위가 있었던 사업연도 직전 3개 사업연도의 매출액을 연평균한 금액으로 하고, 수익사업을 영위하지 않거나 재해로 인해 자료가 훼손되는 등의 사유로 매출액이 없거나 매출액 산정이 곤란한 경우에는 20억원 이하의 과징금을 부과할 수 있도록 함. 2) 과징금 납부기한을 연장하려는 경우에는 원래 납부기한의 다음 날부터 2년까지만 연장할 수 있도록 하고, 과징금을 분할하여 납부하려는 경우에는 납부기한 간 간격이 6개월을 초과할 수 없으며, 분할 횟수는 6회를 초과할 수 없도록 함.