개인정보영향평가 비용 2026, PIA 대가산정·사이버보안 예산 기준

개인정보영향평가 비용 PIA 대가산정과 사이버보안 예산 검토 회의 장면 — 개인정보영향평가 비용은 평가 보고서 가격보다 대상 판단, 자료 준비, 개선조치 예산에서 갈린다.

개인정보영향평가 비용을 묻는 조직은 대개 시스템 구축 예산 안에 평가비만 한 줄로 넣어 둔다.

하지만 실제 PIA 예산은 법적 대상 판단, 데이터 흐름 정리, 평가기관 수행비, 직접경비, 개선조치 비용을 나눠 봐야 맞는다.

특히 공공기관 시스템은 설계 단계에서 평가를 붙이지 않으면 개발이 끝난 뒤 권한, 로그, 보관, 파기 구조를 다시 고쳐야 한다.

핵심 요약

공공기관은 100만명, 50만명 연계, 민감정보·고유식별정보 5만명 기준부터 대상 여부를 판단한다.
PIPC 대가산정 가이드는 투입공수 방식과 컨설팅 업무량 방식을 구분한다.
투입공수 방식은 직접인건비, 제경비 140~150%, 기술료 20~40%, 직접경비를 합산한다.
사이버보안 보완 예산은 평가비와 별도이며, DB접근제어, DLP, 암호화, 로그 보관이 뒤따를 수 있다.

이 글이 필요한 사람

공공기관 정보시스템 구축 사업에서 개인정보영향평가 예산을 사업계획서에 넣어야 하는 담당자.
PIA 견적서가 투입공수와 직접경비를 어떻게 계산했는지 검토해야 하는 구매·계약 담당자.
AI, 마이데이터, 민원 포털, 보건·복지 시스템에서 개인정보파일 규모와 연계 범위를 따져야 하는 IT 관리자.
평가 결과로 나온 개선조치가 보안 솔루션 예산으로 이어질지 미리 설명해야 하는 CISO와 개인정보보호 책임자.
개인정보영향평가 비용과 ISMS-P, 개인정보보호솔루션, DB접근제어 비용을 구분해야 하는 재무 담당자.

개인정보영향평가 비용은 대상 판단에서 시작한다

개인정보보호위원회 제도 안내는 개인정보파일의 신규 도입이나 변경 때 위험요인을 사전에 분석하고 개선사항을 도출하는 제도라고 설명한다.

법적 근거는 개인정보 보호법 제33조이며, 대상은 시행령 제35조에 해당하는 개인정보파일을 구축·운영하거나 변경·연계하려는 공공기관이다.

따라서 첫 질문은 평가기관 견적이 얼마인지가 아니라 우리 사업이 의무수행 대상인지다.

대상 판단 질문	공식 기준 숫자	예산 영향	먼저 준비할 자료
대규모 개인정보파일인가	100만명 이상	평가 의무가 명확해져 평가기관 선정과 수행 일정이 필요하다	정보주체 수 산정 근거와 개인정보파일 목록
내·외부 시스템과 연계되는가	연계 결과 50만명 이상	연계 인터페이스와 수탁사 자료 수집 공수가 늘어난다	연계 시스템 목록과 데이터 항목 매핑
민감정보나 고유식별정보가 있는가	5만명 이상	위험도 분석과 보호조치 검토가 깊어진다	민감정보·주민등록번호 등 항목별 보유 현황
이미 평가받은 시스템을 바꾸는가	개인정보 검색체계 등 운용체계 변경	재평가 또는 변경 검토 범위를 잡아야 한다	기존 평가서, 변경 설계서, 영향 범위표
평가 시점이 맞는가	분석·설계 단계 권장	개발 후 보완보다 초기 반영 비용이 낮다	사업계획, 요구사항, 화면·DB 설계 초안

PIPC 대가산정 가이드의 핵심 산식

개인정보보호위원회의 개인정보 영향평가 대가산정 가이드는 평가 사업비를 투입공수 방식과 컨설팅 업무량 방식으로 본다.

투입공수 방식은 평가 업무 범위를 정한 뒤 업무 절차별 투입 인력을 확정하고, 직무별 공수와 평균임금으로 직접인건비를 계산한다.

그다음 제경비는 직접인건비의 140~150%로 계산하고, 기술료는 직접인건비과 제경비 합계의 20~40%로 계산한다.

최종 적정 대가는 직접인건비, 제경비, 기술료, 직접경비를 더한 값이며, 부가가치세는 별도 산정해야 한다.

산정 방식	공식 산식	맞는 상황	검토 포인트
투입공수 방식	직무별 공수 × 평균임금 + 제경비 + 기술료 + 직접경비	유사 사업이 있고 평가기관 투입계획을 받을 수 있는 경우	역할별 일수와 산출물 매칭
컨설팅 업무량 방식	컨설팅 업무량 × 업무 단가 + 직접경비	유사 공수 정보가 부족하고 업무별 난이도 조정이 필요한 경우	업무별 가중치와 난이도 근거
직접경비	시스템 사용료, 도구 사용료, 전문가 비용, 여비, 인쇄비 등	자료 열람, 현장 검토, 특수 전문가가 필요한 경우	평가비에 묻히지 않게 별도 행 표시
개선조치 예산	평가 대가 산식에는 별도 보완비로 관리	접근통제, 암호화, 로그 보관, DLP 보완이 필요한 경우	PIA 수행비와 보안 구축비 분리

2026년 임금 기준으로 보는 단순 예산 예시

대가산정 가이드의 직접인건비는 직무별 평균임금과 공수를 곱하는 방식이므로 최신 SW기술자 평균임금을 같이 봐야 한다.

KOSA의 2026년 적용 SW기술자 평균임금 공표 기준에서 전체 일평균은 414,762원이다.

같은 공표에서 IT컨설턴트는 일 522,340원, 정보보안전문가는 일 507,887원, IT PM은 일 492,039원이다.

예를 들어 중간 규모 평가에서 IT컨설턴트 12일, 정보보안전문가 8일, IT PM 4일을 잡으면 직접인건비는 12,299,332원이다.

여기에 제경비 140~150%와 기술료 20~40%를 붙이면 직접경비와 부가가치세 전 기준으로 약 35,422,076원에서 43,047,662원 범위가 나온다.

예시 항목	공식 기준 또는 계산식	금액	실무 해석
IT컨설턴트	12일 × 522,340원	6,268,080원	업무 범위, 개인정보 흐름, 평가 설계 검토
정보보안전문가	8일 × 507,887원	4,063,096원	접근통제, 암호화, 로그, 위험도 분석 검토
IT PM	4일 × 492,039원	1,968,156원	일정, 자료 요청, 산출물 품질 관리
직접인건비 합계	위 3개 역할 합산	12,299,332원	제경비와 기술료 계산의 기준선
제경비	직접인건비 × 140~150%	17,219,065~18,448,998원	평가기관 간접 운영비 성격
기술료	직접인건비+제경비의 20~40%	5,903,679~12,299,332원	기술축적, 이윤, 연구비 성격
합계	직접경비와 VAT 제외	35,422,076~43,047,662원	자료 범위와 난이도에 따라 조정

이 숫자는 견적 기준을 보여주는 예시이며, 실제 사업은 대상 시스템 수와 개인정보파일 수와 현장 검토 범위에 따라 달라진다.

직접경비를 빼면 개인정보영향평가 비용이 낮아 보인다

대가산정 가이드는 직접경비 항목을 별도로 반영할 수 있다고 설명한다.

평가기관이 자료실에서 문서만 보는 사업과 현장 인터뷰, 시스템 접속, 외부 전문가 검토가 필요한 사업은 비용 구조가 다르다.

따라서 견적서에는 직접경비가 0원인지, 별도 정산인지, 평가비에 포함인지 분리 표시해야 한다.

직접경비 항목	비용이 생기는 상황	확인 질문	누락될 때 문제
컴퓨터시스템 사용료	평가 대상 시스템 접속 환경이나 테스트 장비가 필요한 경우	발주자가 환경을 제공하는가	평가기관이 별도 환경비를 사후 정산 요청할 수 있다
소프트웨어 도구 사용료	흐름도, 점검, 분석 도구를 요구하는 경우	도구 라이선스가 누구 비용인가	산출물 형식이 계약 뒤 흔들린다
전문가 비용	법무, 회계, 특정 보안 기술 전문가가 필요한 경우	전문가 투입 기준과 보수 기준이 있는가	특수 이슈가 평가서 밖으로 밀린다
여비와 현장 운영비	지방 현장, 다기관 인터뷰, 현장 사무공간이 필요한 경우	출장 횟수와 숙박 기준이 정해졌는가	총액 견적 비교가 왜곡된다
인쇄·자료조사·시험비	공식 보고서, 대량 증빙, 기자재 시험이 필요한 경우	제출 부수와 시험 범위가 명확한가	산출물 제출 단계에서 추가 비용이 난다

평가 수행비와 사이버보안 보완비를 분리한다

개인정보영향평가 비용은 평가서 작성비로 끝나지 않는다.

위험요인 분석 뒤에는 접근권한 재설계, DB암호화, 접속기록 보관, 개인정보 마스킹, DLP 정책, 수탁사 점검 같은 개선조치가 따라온다.

이 보완비를 평가 수행비에 숨기면 평가기관 견적은 낮아 보이지만 사업 전체 예산은 나중에 터진다.

보완 영역	PIA에서 발견되는 신호	예산 항목	내부 연결
DB접근제어	관리자 조회와 다운로드 로그가 부족함	접속기록 수집, 권한 승인, 로그 보관	DB접근제어 비용
DB암호화	고유식별정보와 민감정보 저장 위치가 명확함	KMS, TDE, 컬럼 암호화, 키 운영	DB암호화 비용
DLP	파일 반출과 외부 공유가 통제되지 않음	문서보안, 반출 승인, 예외 만료	DLP 솔루션 비교
개인정보보호솔루션	교육, 접속기록, 감사 대응이 분리되지 않음	교육 기록, 감사 리포트, 정책 튜닝	개인정보보호솔루션 비용
ISMS-P	인증 범위와 개인정보 처리 서비스가 겹침	인증수수료, 컨설팅, 보완 구축	ISMS-P 비용

실무 시나리오 1: 민원 포털 신규 구축

실무 시나리오 1은 주민 민원 포털을 새로 만들면서 회원, 민원 내용, 첨부파일, 본인확인 결과를 처리하는 사업이다.

이 조건이면 분석·설계 단계에서 개인정보영향평가 대상 여부를 먼저 확정해야 한다.

민원 포털은 회원 수가 커지고 첨부파일에 민감한 정보가 섞일 수 있으므로 100만명, 5만명 기준과 보유 항목을 같이 본다.

예산표에는 평가기관 수행비와 별도로 파일 업로드 마스킹, 다운로드 승인, 접속기록, 보관 기간 설정 비용을 둔다.

보류해야 하는 경우도 있다.

개인정보파일 목록이 없고, 민원 첨부파일 보관 기간도 정하지 못했으며, 수탁사와 연계기관이 아직 확정되지 않은 상태다.

실무 시나리오 2: AI 데이터 분석 사업

실무 시나리오 2는 공공기관이 상담 기록과 민원 데이터를 AI 분석에 쓰려는 사업이다.

이 경우는 평가 수행비보다 데이터 흐름과 가명처리, 접근권한, 원문 보관 정책을 먼저 잡아야 한다.

ZDNET 보도처럼 AI 개인정보 특례와 데이터 관리체계 논의가 커질수록, 사업 담당자는 분석 목적과 원문 반출 범위를 평가 자료로 남겨야 한다.

이 조건이면 제한된 샘플 데이터로 흐름도를 만들고, 학습·분석 환경과 운영 DB를 분리한 뒤 평가기관에 근거를 제공한다.

이 경우는 보류한다.

AI 분석이라는 이름으로 목적, 보관 기간, 파기, 재식별 위험, 외부 위탁 범위가 정리되지 않은 경우다.

실무 시나리오 3: 기존 시스템 운용체계 변경

실무 시나리오 3은 이미 영향평가를 받은 시스템에 통합 검색, 외부 연계, 관리자 권한 변경을 추가하는 경우다.

개인정보보호위원회 제도 안내는 영향평가를 받은 뒤 개인정보 검색체계 등 개인정보파일의 운용체계를 변경하는 경우도 의무수행 대상에 포함한다고 설명한다.

이 조건이면 새 시스템 구축비가 아니더라도 변경 영향 범위와 기존 개선계획 이행 여부를 예산에 넣어야 한다.

평가 비용은 작아 보여도 연계 로그, 접근권한 회수, 검색 결과 마스킹, 수탁사 재점검 비용이 붙을 수 있다.

개인정보영향평가 견적서에서 반드시 볼 항목

대상 판단 근거에 100만명, 50만명, 5만명, 운용체계 변경 여부가 각각 표시됐는지 확인한다.
투입공수 방식이면 역할별 일수, 직무 평균임금, 산출물, 인터뷰 횟수를 같은 줄에 둔다.
제경비 140~150%와 기술료 20~40%를 적용했는지, 다른 비율이면 근거를 요구한다.
컨설팅 업무량 방식이면 업무별 가중치와 난이도 표를 받아야 한다.
직접경비는 출장, 전문가, 시스템 접속 환경, 도구 사용료, 인쇄비를 별도 표로 받는다.
평가서 제출 후 1년 이내 이행확인에 필요한 내부 담당자와 예산을 따로 잡는다.
개선조치가 DB접근제어, DLP, 암호화, 로그 저장소로 이어지면 평가비와 보완 구축비를 분리한다.
평가기관 지정 여부와 개인정보 영향평가에 관한 고시 기준을 계약 전 확인한다.

실무 스켈레톤: PIA 비용 범위 YAML

아래 YAML은 견적 요청 전에 대상 여부와 비용 축을 같은 표로 맞추기 위한 검토용 스켈레톤이다.

# pia-cost-scope.yaml
# 목적: 개인정보영향평가 비용을 대상 여부, 평가 범위, 투입공수, 직접경비로 분리한다.
# 실제 대가는 최신 공고문, 평가기관 견적, KOSA 임금, PIPC 가이드, 계약 조건으로 재산정한다.

project:
  assessment_type: privacy_impact_assessment
  target_institution: public_agency_or_public_project
  legal_basis:
    privacy_law_article_33: true
    enforcement_decree_article_35: true
  trigger_check:
    personal_info_file_subjects_over_1000000: false
    linked_file_subjects_over_500000: false
    sensitive_or_unique_id_subjects_over_50000: false
    operation_structure_changed_after_previous_pia: false

scope:
  systems:
    - citizen_service_portal
    - admin_console
    - identity_verification
    - data_linkage_interface
  data_categories:
    - general_personal_information
    - resident_registration_number_or_unique_identifier
    - sensitive_information_if_any
  required_artifacts:
    - data_flow_table
    - data_flow_diagram
    - system_architecture
    - risk_analysis_matrix
    - improvement_plan
    - implementation_check_within_one_year

cost_formula:
  input_labor_method:
    direct_labor: role_days * official_average_wage
    overhead: direct_labor * 1.40_to_1.50
    technical_fee: (direct_labor + overhead) * 0.20_to_0.40
    total_before_vat: direct_labor + overhead + technical_fee + direct_expense
  consulting_workload_method:
    total_before_vat: consulting_workload * unit_price + direct_expense

governance_gate:
  block_if_no_data_inventory: true
  block_if_no_system_owner: true
  block_if_unique_identifier_scope_unknown: true
  block_if_improvement_budget_missing: true

핵심은 평가비 총액보다 대상 시스템, 개인정보파일, 직접경비, 개선조치 예산이 같은 문서 안에 있는지다.

간단한 대상·비용 누락 점검 스크립트

아래 Python 예시는 실제 법률 판단기가 아니라 견적 전 위험 신호를 찾는 검토용 스켈레톤이다.

# pia_cost_review.py
# 개인정보영향평가 견적 검토용 스켈레톤이다.
# 금액은 확인일의 공식 임금과 평가기관 견적으로 교체한다.

from dataclasses import dataclass

@dataclass
class PIAProject:
    subjects: int
    linked_subjects: int
    sensitive_or_unique_id_subjects: int
    systems: int
    external_interfaces: int
    data_files: int
    previous_pia_done: bool
    operation_structure_changed: bool
    improvement_budget_reserved: bool


def review(project: PIAProject) -> list[str]:
    risks = []
    if project.subjects >= 1_000_000:
        risks.append('mandatory_pia_large_personal_info_file')
    if project.linked_subjects >= 500_000:
        risks.append('mandatory_pia_linked_file_over_500k')
    if project.sensitive_or_unique_id_subjects >= 50_000:
        risks.append('mandatory_pia_sensitive_or_unique_id_over_50k')
    if project.previous_pia_done and project.operation_structure_changed:
        risks.append('reassessment_or_change_review_needed')
    if project.external_interfaces >= 3:
        risks.append('data_flow_and_linkage_review_cost_high')
    if project.data_files >= 5:
        risks.append('inventory_and_retention_rule_review_needed')
    if not project.improvement_budget_reserved:
        risks.append('assessment_only_budget_missing_remediation_cost')
    return risks


sample = PIAProject(
    subjects=1_200_000,
    linked_subjects=420_000,
    sensitive_or_unique_id_subjects=80_000,
    systems=4,
    external_interfaces=5,
    data_files=8,
    previous_pia_done=False,
    operation_structure_changed=False,
    improvement_budget_reserved=False,
)
print(review(sample))

출력된 risk는 평가기관과 내부 개인정보보호 책임자가 함께 확인해야 할 예산 질문이다.

평가 산출물 JSON 게이트

아래 JSON은 계약서와 검수표에 넣을 수 있는 산출물 게이트 예시다.

{
  "pia_assessment_gate": {
    "legal_thresholds": ["100만명", "50만명 연계", "민감정보·고유식별정보 5만명", "운용체계 변경"],
    "cost_inputs": ["직무별 공수", "평균임금", "제경비 140~150%", "기술료 20~40%", "직접경비", "부가가치세"],
    "evidence": ["개인정보파일 목록", "개인정보 흐름표", "시스템 구조도", "위탁·연계 목록", "개선계획", "이행확인서"],
    "payment_hold": ["대상 여부 불명확", "자료 미제출", "개선 예산 미확보", "평가기관 산출물 부족"]
  }
}

이 게이트가 없으면 평가서 제출은 끝났는데 개선조치 예산이 비어 있는 상황이 생긴다.

낮은 개인정보영향평가 견적에서 자주 빠지는 항목

누락 항목	처음에는 싸게 보이는 이유	실제 영향	판단
개인정보파일 목록 정비	기존 자료를 그대로 쓰면 된다고 본다	대상 여부와 정보주체 수 산정이 흔들린다	평가 전 인벤토리 정비 필요
연계기관 인터뷰	내부 시스템만 보면 일정이 짧다	50만명 연계 기준과 위탁 범위를 놓친다	연계 흐름도와 책임자 확인
개선조치 비용 산정	평가서 작성비만 비교한다	보안 보완 예산이 뒤늦게 추가된다	수행비와 구축비 분리
이행확인 준비	평가 제출 뒤 업무로 본다	1년 이내 확인 자료가 부족해진다	증적 owner와 일정 지정
직접경비 정산 기준	총액 견적서에서 작게 보인다	출장, 전문가, 도구비가 분쟁이 된다	계약서에 별도 행 표시