현행법에 따라 개인정보보호위원회는 중앙행정기관ㆍ지방자치단체ㆍ공기업 등 공공기관을 대상으로 개인정보 보호수준 평가를 실시함.

그러나 현행법상 평가 대상이 되는 정보시스템의 범위에 대한 명확한 규정이 미비한 실정임.

특히 최근 개인정보 유출 사고에 따른 불이익과 주요 시스템의 취약점 점검 의무가 대폭 강화되면서, 기관이 사전 자료 제출 및 사후 개선 권고에 따르는 행정적 부담을 피하고자 취약한 시스템을 고의로 배제하거나, 담당자의 인지 부족으로 인해 시스템이 평가망에서 누락되는 사례가 발생하고 있음.

이로 인해 해당 기관의 실질적 보안 수준을 정확히 파악하기 어렵고, 평가받지 않은 시스템들이 보안 사각지대로 방치될 우려가 있음.

이에 개인정보 보호수준 평가 시 원칙적으로 해당 공공기관이 운영하는 정보시스템 중 ‘개인정보를 처리하는 모든 정보시스템’ 에 대한 평가를 수행하도록 법률에 명확히 규정하되, 정보시스템의 수가 방대하여 위원회의 현실적으로 집행이 어려운 경우 등에는 대통령령으로 정하는 기준에 따라 평가 대상을 일부 선정할 수 있도록 단서 규정을 마련함.

이를 통해 자의적인 평가 회피와 누락을 방지하고 평가 제도의 실효성을 제고하여, 공공기관의 촘촘한 개인정보 보안망을 구축하려는 것임(안 제11조의2제3항 신설).