본문 1쪽
법제처 1 국가법령정보센터
개인정보 보호법 시행령
개인정보 보호법 시행령
[시행 2026. 9. 11.] [대통령령 제36671호, 2026. 9. 10., 일부개정]
개인정보보호위원회 (심사총괄담당관 - 일반 법령해석) 02-2100-3043
개인정보보호위원회 (국제협력담당관 - 국외이전) 02-2100-2484, 2499
개인정보보호위원회 (개인정보보호정책과 - 법령 제ㆍ개정, 아동ㆍ청소년) 02-2100-3057, 3053
개인정보보호위원회 (신기술개인정보과 - 영상정보, 안전조치) 02-2100-3064, 3028
개인정보보호위원회 (데이터안전정책과 - 가명정보, 개인정보안심구역) 02-2100-3088, 3074, 3058, 3079
개인정보보호위원회 (자율보호정책과 - 보호책임자, 자율규제, 보호수준 평가, 처리방침, 영향평가) 02-2100-3083, 3089, 3087, 3096,
3048
개인정보보호위원회 (분쟁조정과 - 분쟁조정, 손해배상책임) 1833-6972, 02-2100-3142
개인정보보호위원회 (범정부마이데이터 추진단(전략기획팀 - 전송요구권(마이데이터)) 02-2100-3173
제1장 총칙
제1조(목적) 이 영은 「개인정보 보호법」에서 위임된 사항과 그 시행에 필요한 사항을 규정함을 목적으로 한다.
제2조(공공기관의 범위) 「개인정보 보호법」(이하 “법”이라 한다) 제2조제6호나목에서 “대통령령으로 정하는 기관”이란
다음 각 호의 기관을 말한다. <개정 2020. 7. 14., 2025. 9. 23.>
1. 「국가인권위원회법」 제3조에 따른 국가인권위원회
1의2. 「고위공직자범죄수사처 설치 및 운영에 관한 법률」 제3조제1항에 따른 고위공직자범죄수사처
2. 「공공기관의 운영에 관한 법률」 제4조에 따른 공공기관
3. 「지방공기업법」에 따른 지방공사와 지방공단
3의2. 「지방자치단체 출자ㆍ출연 기관의 운영에 관한 법률」 제5조에 따라 지정ㆍ고시된 출자기관 또는 출연기관
4. 특별법에 따라 설립된 특수법인
5. 「초ㆍ중등교육법」, 「고등교육법」, 그 밖의 다른 법률에 따라 설치된 각급 학교
제3조(영상정보처리기기의 범위) ① 법 제2조제7호에서 “대통령령으로 정하는 장치”란 다음 각 호의 장치를 말한다.
<개정 2023. 9. 12.>
1. 폐쇄회로 텔레비전: 다음 각 목의 어느 하나에 해당하는 장치
가. 일정한 공간에 설치된 카메라를 통하여 지속적 또는 주기적으로 영상 등을 촬영하거나 촬영한 영상정보를 유
무선 폐쇄회로 등의 전송로를 통하여 특정 장소에 전송하는 장치
나. 가목에 따라 촬영되거나 전송된 영상정보를 녹화ㆍ기록할 수 있도록 하는 장치
2. 네트워크 카메라: 일정한 공간에 설치된 기기를 통하여 지속적 또는 주기적으로 촬영한 영상정보를 그 기기를 설
치ㆍ관리하는 자가 유무선 인터넷을 통하여 어느 곳에서나 수집ㆍ저장 등의 처리를 할 수 있도록 하는 장치
② 법 제2조제7호의2에서 “대통령령으로 정하는 장치”란 다음 각 호의 장치를 말한다.<신설 2023. 9. 12.>
1. 착용형 장치: 안경 또는 시계 등 사람의 신체 또는 의복에 착용하여 영상 등을 촬영하거나 촬영한 영상정보를 수
집ㆍ저장 또는 전송하는 장치
2. 휴대형 장치: 이동통신단말장치 또는 디지털 카메라 등 사람이 휴대하면서 영상 등을 촬영하거나 촬영한 영상정
보를 수집ㆍ저장 또는 전송하는 장치
3. 부착ㆍ거치형 장치: 차량이나 드론 등 이동 가능한 물체에 부착 또는 거치(据置)하여 영상 등을 촬영하거나 촬영
한 영상정보를 수집ㆍ저장 또는 전송하는 장치
제2장 개인정보 보호위원회
제4조 삭제 <2020. 8. 4.>
개인정보 보호법 시행령
개인정보 보호법 시행령
[시행 2026. 9. 11.] [대통령령 제36671호, 2026. 9. 10., 일부개정]
개인정보보호위원회 (심사총괄담당관 - 일반 법령해석) 02-2100-3043
개인정보보호위원회 (국제협력담당관 - 국외이전) 02-2100-2484, 2499
개인정보보호위원회 (개인정보보호정책과 - 법령 제ㆍ개정, 아동ㆍ청소년) 02-2100-3057, 3053
개인정보보호위원회 (신기술개인정보과 - 영상정보, 안전조치) 02-2100-3064, 3028
개인정보보호위원회 (데이터안전정책과 - 가명정보, 개인정보안심구역) 02-2100-3088, 3074, 3058, 3079
개인정보보호위원회 (자율보호정책과 - 보호책임자, 자율규제, 보호수준 평가, 처리방침, 영향평가) 02-2100-3083, 3089, 3087, 3096,
3048
개인정보보호위원회 (분쟁조정과 - 분쟁조정, 손해배상책임) 1833-6972, 02-2100-3142
개인정보보호위원회 (범정부마이데이터 추진단(전략기획팀 - 전송요구권(마이데이터)) 02-2100-3173
제1장 총칙
제1조(목적) 이 영은 「개인정보 보호법」에서 위임된 사항과 그 시행에 필요한 사항을 규정함을 목적으로 한다.
제2조(공공기관의 범위) 「개인정보 보호법」(이하 “법”이라 한다) 제2조제6호나목에서 “대통령령으로 정하는 기관”이란
다음 각 호의 기관을 말한다. <개정 2020. 7. 14., 2025. 9. 23.>
1. 「국가인권위원회법」 제3조에 따른 국가인권위원회
1의2. 「고위공직자범죄수사처 설치 및 운영에 관한 법률」 제3조제1항에 따른 고위공직자범죄수사처
2. 「공공기관의 운영에 관한 법률」 제4조에 따른 공공기관
3. 「지방공기업법」에 따른 지방공사와 지방공단
3의2. 「지방자치단체 출자ㆍ출연 기관의 운영에 관한 법률」 제5조에 따라 지정ㆍ고시된 출자기관 또는 출연기관
4. 특별법에 따라 설립된 특수법인
5. 「초ㆍ중등교육법」, 「고등교육법」, 그 밖의 다른 법률에 따라 설치된 각급 학교
제3조(영상정보처리기기의 범위) ① 법 제2조제7호에서 “대통령령으로 정하는 장치”란 다음 각 호의 장치를 말한다.
<개정 2023. 9. 12.>
1. 폐쇄회로 텔레비전: 다음 각 목의 어느 하나에 해당하는 장치
가. 일정한 공간에 설치된 카메라를 통하여 지속적 또는 주기적으로 영상 등을 촬영하거나 촬영한 영상정보를 유
무선 폐쇄회로 등의 전송로를 통하여 특정 장소에 전송하는 장치
나. 가목에 따라 촬영되거나 전송된 영상정보를 녹화ㆍ기록할 수 있도록 하는 장치
2. 네트워크 카메라: 일정한 공간에 설치된 기기를 통하여 지속적 또는 주기적으로 촬영한 영상정보를 그 기기를 설
치ㆍ관리하는 자가 유무선 인터넷을 통하여 어느 곳에서나 수집ㆍ저장 등의 처리를 할 수 있도록 하는 장치
② 법 제2조제7호의2에서 “대통령령으로 정하는 장치”란 다음 각 호의 장치를 말한다.<신설 2023. 9. 12.>
1. 착용형 장치: 안경 또는 시계 등 사람의 신체 또는 의복에 착용하여 영상 등을 촬영하거나 촬영한 영상정보를 수
집ㆍ저장 또는 전송하는 장치
2. 휴대형 장치: 이동통신단말장치 또는 디지털 카메라 등 사람이 휴대하면서 영상 등을 촬영하거나 촬영한 영상정
보를 수집ㆍ저장 또는 전송하는 장치
3. 부착ㆍ거치형 장치: 차량이나 드론 등 이동 가능한 물체에 부착 또는 거치(据置)하여 영상 등을 촬영하거나 촬영
한 영상정보를 수집ㆍ저장 또는 전송하는 장치
제2장 개인정보 보호위원회
제4조 삭제 <2020. 8. 4.>
본문 2쪽
법제처 2 국가법령정보센터
개인정보 보호법 시행령
제4조의2(영리업무의 금지) 법 제7조제1항에 따른 개인정보 보호위원회(이하 “보호위원회”라 한다)의 위원은 법 제7조
의6제1항에 따라 영리를 목적으로 다음 각 호의 어느 하나에 해당하는 업무에 종사해서는 안 된다.
1. 법 제7조의9제1항에 따라 보호위원회가 심의ㆍ의결하는 사항과 관련된 업무
2. 법 제40조제1항에 따른 개인정보 분쟁조정위원회(이하 “분쟁조정위원회”라 한다)가 조정하는 사항과 관련된 업
무
[본조신설 2020. 8. 4.]
제5조(전문위원회) ① 보호위원회는 법 제7조의9제1항에 따른 심의ㆍ의결 사항에 대하여 사전에 전문적으로 검토하기
위하여 보호위원회에 다음 각 호의 분야별 전문위원회(이하 “전문위원회”라 한다)를 둔다. <개정 2020. 8. 4., 2023.
9. 12.>
1. 개인정보의 국외 이전 분야
2. 그 밖에 보호위원회가 필요하다고 인정하는 분야
② 제1항에 따라 전문위원회를 두는 경우 각 전문위원회는 위원장 1명을 포함한 20명 이내의 위원으로 성별을 고려
하여 구성하되, 전문위원회 위원은 다음 각 호의 사람 중에서 보호위원회 위원장이 임명하거나 위촉하고, 전문위원
회 위원장은 보호위원회 위원장이 전문위원회 위원 중에서 지명한다.<개정 2016. 7. 22., 2020. 8. 4., 2023. 9. 12.>
1. 보호위원회 위원
2. 개인정보 보호 관련 업무를 담당하는 중앙행정기관의 관계 공무원
3. 개인정보 보호에 관한 전문지식과 경험이 풍부한 사람
4. 개인정보 보호와 관련된 단체 또는 사업자단체에 속하거나 그 단체의 추천을 받은 사람
③ 제1항 및 제2항에서 규정한 사항 외에 전문위원회의 구성 및 운영 등에 필요한 사항은 보호위원회의 의결을 거
쳐 보호위원회 위원장이 정한다.<신설 2023. 9. 12.>
제5조의2(개인정보 보호 정책협의회) ① 개인정보 보호 정책의 일관성 있는 추진과 개인정보 보호 관련 사안에 대한 관
계 중앙행정기관 간 협의를 위하여 보호위원회에 개인정보 보호 정책협의회(이하 “정책협의회”라 한다)를 둘 수 있
다.
② 정책협의회는 다음 각 호의 사항을 협의한다.
1. 법 제9조에 따른 개인정보 보호 기본계획 및 법 제10조에 따른 시행계획 등 개인정보 보호와 관련된 주요 정책
2. 개인정보 보호와 관련된 주요 법령의 제ㆍ개정
3. 개인정보 보호와 관련된 주요 정책의 협력 및 의견조정
4. 개인정보 침해사고 예방 및 대응
5. 개인정보 보호 기술개발 및 전문인력의 양성
6. 그 밖에 개인정보 보호와 관련하여 관계 중앙행정기관 간 협의가 필요한 사항
③ 정책협의회는 관계 중앙행정기관의 고위공무원단에 속하는 공무원 또는 그에 상당하는 공무원으로서 개인정보
보호와 관련된 업무를 담당하는 사람 중 소속 기관의 장이 지명하는 사람으로 구성하되, 정책협의회의 의장(이하 이
조에서 “의장”이라 한다)은 보호위원회의 부위원장으로 한다.
④ 정책협의회는 업무를 수행하기 위하여 필요한 경우에는 실무협의회 또는 분야별 협의회를 둘 수 있다.
⑤ 실무협의회 및 분야별 협의회의 의장은 보호위원회 소속 공무원 중에서 의장이 임명한다.
⑥ 정책협의회, 실무협의회 및 분야별 협의회는 업무를 수행하기 위하여 필요한 경우에는 관계 기관ㆍ단체 및 전문
가 등에게 출석, 자료 또는 의견의 제출 등 필요한 협조를 요청할 수 있다.
⑦ 제1항부터 제6항까지에서 규정한 사항 외에 정책협의회의 운영 등에 필요한 사항은 정책협의회의 의결을 거쳐
의장이 정한다.
[본조신설 2020. 8. 4.]
제5조의3(시ㆍ도 개인정보 보호 관계 기관 협의회) ① 개인정보 보호 정책의 효율적인 추진과 자율적인 개인정보 보호
강화를 위하여 특별시, 통합특별시, 광역시, 특별자치시, 도 및 특별자치도(이하 “시ㆍ도”라 한다)에 시ㆍ도 개인정보
개인정보 보호법 시행령
제4조의2(영리업무의 금지) 법 제7조제1항에 따른 개인정보 보호위원회(이하 “보호위원회”라 한다)의 위원은 법 제7조
의6제1항에 따라 영리를 목적으로 다음 각 호의 어느 하나에 해당하는 업무에 종사해서는 안 된다.
1. 법 제7조의9제1항에 따라 보호위원회가 심의ㆍ의결하는 사항과 관련된 업무
2. 법 제40조제1항에 따른 개인정보 분쟁조정위원회(이하 “분쟁조정위원회”라 한다)가 조정하는 사항과 관련된 업
무
[본조신설 2020. 8. 4.]
제5조(전문위원회) ① 보호위원회는 법 제7조의9제1항에 따른 심의ㆍ의결 사항에 대하여 사전에 전문적으로 검토하기
위하여 보호위원회에 다음 각 호의 분야별 전문위원회(이하 “전문위원회”라 한다)를 둔다. <개정 2020. 8. 4., 2023.
9. 12.>
1. 개인정보의 국외 이전 분야
2. 그 밖에 보호위원회가 필요하다고 인정하는 분야
② 제1항에 따라 전문위원회를 두는 경우 각 전문위원회는 위원장 1명을 포함한 20명 이내의 위원으로 성별을 고려
하여 구성하되, 전문위원회 위원은 다음 각 호의 사람 중에서 보호위원회 위원장이 임명하거나 위촉하고, 전문위원
회 위원장은 보호위원회 위원장이 전문위원회 위원 중에서 지명한다.<개정 2016. 7. 22., 2020. 8. 4., 2023. 9. 12.>
1. 보호위원회 위원
2. 개인정보 보호 관련 업무를 담당하는 중앙행정기관의 관계 공무원
3. 개인정보 보호에 관한 전문지식과 경험이 풍부한 사람
4. 개인정보 보호와 관련된 단체 또는 사업자단체에 속하거나 그 단체의 추천을 받은 사람
③ 제1항 및 제2항에서 규정한 사항 외에 전문위원회의 구성 및 운영 등에 필요한 사항은 보호위원회의 의결을 거
쳐 보호위원회 위원장이 정한다.<신설 2023. 9. 12.>
제5조의2(개인정보 보호 정책협의회) ① 개인정보 보호 정책의 일관성 있는 추진과 개인정보 보호 관련 사안에 대한 관
계 중앙행정기관 간 협의를 위하여 보호위원회에 개인정보 보호 정책협의회(이하 “정책협의회”라 한다)를 둘 수 있
다.
② 정책협의회는 다음 각 호의 사항을 협의한다.
1. 법 제9조에 따른 개인정보 보호 기본계획 및 법 제10조에 따른 시행계획 등 개인정보 보호와 관련된 주요 정책
2. 개인정보 보호와 관련된 주요 법령의 제ㆍ개정
3. 개인정보 보호와 관련된 주요 정책의 협력 및 의견조정
4. 개인정보 침해사고 예방 및 대응
5. 개인정보 보호 기술개발 및 전문인력의 양성
6. 그 밖에 개인정보 보호와 관련하여 관계 중앙행정기관 간 협의가 필요한 사항
③ 정책협의회는 관계 중앙행정기관의 고위공무원단에 속하는 공무원 또는 그에 상당하는 공무원으로서 개인정보
보호와 관련된 업무를 담당하는 사람 중 소속 기관의 장이 지명하는 사람으로 구성하되, 정책협의회의 의장(이하 이
조에서 “의장”이라 한다)은 보호위원회의 부위원장으로 한다.
④ 정책협의회는 업무를 수행하기 위하여 필요한 경우에는 실무협의회 또는 분야별 협의회를 둘 수 있다.
⑤ 실무협의회 및 분야별 협의회의 의장은 보호위원회 소속 공무원 중에서 의장이 임명한다.
⑥ 정책협의회, 실무협의회 및 분야별 협의회는 업무를 수행하기 위하여 필요한 경우에는 관계 기관ㆍ단체 및 전문
가 등에게 출석, 자료 또는 의견의 제출 등 필요한 협조를 요청할 수 있다.
⑦ 제1항부터 제6항까지에서 규정한 사항 외에 정책협의회의 운영 등에 필요한 사항은 정책협의회의 의결을 거쳐
의장이 정한다.
[본조신설 2020. 8. 4.]
제5조의3(시ㆍ도 개인정보 보호 관계 기관 협의회) ① 개인정보 보호 정책의 효율적인 추진과 자율적인 개인정보 보호
강화를 위하여 특별시, 통합특별시, 광역시, 특별자치시, 도 및 특별자치도(이하 “시ㆍ도”라 한다)에 시ㆍ도 개인정보
본문 3쪽
법제처 3 국가법령정보센터
개인정보 보호법 시행령
보호 관계 기관 협의회(이하 “시ㆍ도협의회”라 한다)를 둘 수 있다. <개정 2026. 9. 10.>
② 시ㆍ도협의회는 다음 각 호의 사항을 협의한다.
1. 시ㆍ도 개인정보 보호 정책
2. 관계 기관ㆍ단체 등의 의견 수렴 및 전달
3. 개인정보 보호 우수사례 공유
4. 그 밖에 개인정보 보호와 관련하여 시ㆍ도협의회의 협의가 필요한 사항
③ 제1항 및 제2항에서 규정한 사항 외에 시ㆍ도협의회의 구성 및 운영 등에 필요한 사항은 시ㆍ도의 조례로 정한
다.
[본조신설 2020. 8. 4.]
제6조(의사의 공개) 보호위원회의 의사(議事)는 공개한다. 다만, 보호위원회 위원장이 필요하다고 인정하는 경우에는 공
개하지 아니할 수 있다.
제7조(공무원 등의 파견) 보호위원회는 그 업무 수행을 위하여 필요하다고 인정하는 경우에는 공공기관에 그 소속 공무
원 또는 임직원의 파견을 요청할 수 있다.
제8조 삭제 <2020. 8. 4.>
제9조(출석수당 등) 보호위원회, 전문위원회 또는 정책협의회에 출석한 위원, 법 제7조의9제2항에 따라 보호위원회에
출석한 사람, 전문위원회에 출석한 사람 또는 정책협의회에 출석한 사람에게는 예산의 범위에서 수당ㆍ여비, 그 밖
에 필요한 경비를 지급할 수 있다. 다만, 공무원이 그 소관 업무와 직접 관련되어 출석하는 경우에는 그렇지 않다.
<개정 2020. 8. 4.>
제9조의2(정책ㆍ제도ㆍ법령 개선 권고의 절차 등) ① 보호위원회는 법 제7조의9제4항에 따라 관계 기관에 정책ㆍ제도
및 법령의 개선을 권고하는 경우에는 그 내용과 사유 등을 함께 통보해야 한다. <개정 2020. 8. 4.>
② 보호위원회는 법 제7조의9제5항에 따른 권고내용의 이행여부를 점검하기 위하여 관계 기관에 권고사항의 이행
결과에 대한 자료 제출을 요청할 수 있다.<개정 2020. 8. 4.>
[본조신설 2016. 7. 22.]
제9조의3(개인정보 침해요인 평가 절차 등) ① 중앙행정기관의 장은 법 제8조의2제1항에 따라 개인정보 침해요인 평가
(이하 “침해요인 평가”라 한다)를 요청하는 경우 다음 각 호의 사항을 포함하는 개인정보 침해요인 평가 요청서(전자
문서를 포함한다)를 보호위원회에 제출하여야 한다.
1. 법령(법령안을 포함한다)을 통하여 도입되거나 변경되는 개인정보 처리를 수반하는 정책ㆍ제도의 목적과 주요
내용
2. 개인정보 처리를 수반하는 정책ㆍ제도의 도입ㆍ변경에 따른 제2항 각 호의 사항에 대한 개인정보 침해요인 자체
분석
3. 개인정보 처리를 수반하는 정책ㆍ제도의 도입ㆍ변경에 따른 개인정보 보호 대책
② 보호위원회는 제1항에 따른 요청서를 받은 경우에는 다음 각 호의 사항을 고려하여 침해요인 평가를 하고, 그 결
과를 해당 중앙행정기관의 장에게 통보하여야 한다.
1. 개인정보 처리의 필요성
2. 개인정보 주체의 권리보장의 적정성
3. 개인정보 관리의 안전성
4. 그 밖에 침해요인 평가에 필요한 사항
③ 중앙행정기관의 장은 법 제8조의2제2항에 따른 권고를 받은 경우에는 그 내용을 해당 법령안에 반영하는 등 권
고내용을 이행하도록 노력하여야 한다. 다만, 보호위원회의 권고대로 이행하기 곤란한 경우에는 그 사유를 보호위
원회에 통보하여야 한다.
개인정보 보호법 시행령
보호 관계 기관 협의회(이하 “시ㆍ도협의회”라 한다)를 둘 수 있다. <개정 2026. 9. 10.>
② 시ㆍ도협의회는 다음 각 호의 사항을 협의한다.
1. 시ㆍ도 개인정보 보호 정책
2. 관계 기관ㆍ단체 등의 의견 수렴 및 전달
3. 개인정보 보호 우수사례 공유
4. 그 밖에 개인정보 보호와 관련하여 시ㆍ도협의회의 협의가 필요한 사항
③ 제1항 및 제2항에서 규정한 사항 외에 시ㆍ도협의회의 구성 및 운영 등에 필요한 사항은 시ㆍ도의 조례로 정한
다.
[본조신설 2020. 8. 4.]
제6조(의사의 공개) 보호위원회의 의사(議事)는 공개한다. 다만, 보호위원회 위원장이 필요하다고 인정하는 경우에는 공
개하지 아니할 수 있다.
제7조(공무원 등의 파견) 보호위원회는 그 업무 수행을 위하여 필요하다고 인정하는 경우에는 공공기관에 그 소속 공무
원 또는 임직원의 파견을 요청할 수 있다.
제8조 삭제 <2020. 8. 4.>
제9조(출석수당 등) 보호위원회, 전문위원회 또는 정책협의회에 출석한 위원, 법 제7조의9제2항에 따라 보호위원회에
출석한 사람, 전문위원회에 출석한 사람 또는 정책협의회에 출석한 사람에게는 예산의 범위에서 수당ㆍ여비, 그 밖
에 필요한 경비를 지급할 수 있다. 다만, 공무원이 그 소관 업무와 직접 관련되어 출석하는 경우에는 그렇지 않다.
<개정 2020. 8. 4.>
제9조의2(정책ㆍ제도ㆍ법령 개선 권고의 절차 등) ① 보호위원회는 법 제7조의9제4항에 따라 관계 기관에 정책ㆍ제도
및 법령의 개선을 권고하는 경우에는 그 내용과 사유 등을 함께 통보해야 한다. <개정 2020. 8. 4.>
② 보호위원회는 법 제7조의9제5항에 따른 권고내용의 이행여부를 점검하기 위하여 관계 기관에 권고사항의 이행
결과에 대한 자료 제출을 요청할 수 있다.<개정 2020. 8. 4.>
[본조신설 2016. 7. 22.]
제9조의3(개인정보 침해요인 평가 절차 등) ① 중앙행정기관의 장은 법 제8조의2제1항에 따라 개인정보 침해요인 평가
(이하 “침해요인 평가”라 한다)를 요청하는 경우 다음 각 호의 사항을 포함하는 개인정보 침해요인 평가 요청서(전자
문서를 포함한다)를 보호위원회에 제출하여야 한다.
1. 법령(법령안을 포함한다)을 통하여 도입되거나 변경되는 개인정보 처리를 수반하는 정책ㆍ제도의 목적과 주요
내용
2. 개인정보 처리를 수반하는 정책ㆍ제도의 도입ㆍ변경에 따른 제2항 각 호의 사항에 대한 개인정보 침해요인 자체
분석
3. 개인정보 처리를 수반하는 정책ㆍ제도의 도입ㆍ변경에 따른 개인정보 보호 대책
② 보호위원회는 제1항에 따른 요청서를 받은 경우에는 다음 각 호의 사항을 고려하여 침해요인 평가를 하고, 그 결
과를 해당 중앙행정기관의 장에게 통보하여야 한다.
1. 개인정보 처리의 필요성
2. 개인정보 주체의 권리보장의 적정성
3. 개인정보 관리의 안전성
4. 그 밖에 침해요인 평가에 필요한 사항
③ 중앙행정기관의 장은 법 제8조의2제2항에 따른 권고를 받은 경우에는 그 내용을 해당 법령안에 반영하는 등 권
고내용을 이행하도록 노력하여야 한다. 다만, 보호위원회의 권고대로 이행하기 곤란한 경우에는 그 사유를 보호위
원회에 통보하여야 한다.
본문 4쪽
법제처 4 국가법령정보센터
개인정보 보호법 시행령
④ 보호위원회는 침해요인 평가를 하는 경우에는 침해요인 평가에 필요한 자료 등을 해당 중앙행정기관의 장에게
요청할 수 있다.
⑤ 보호위원회는 침해요인 평가의 세부기준 및 방법 등 침해요인 평가에 필요한 지침을 수립하여 중앙행정기관의
장에게 통보할 수 있다.
⑥ 보호위원회는 침해요인 평가를 실시하기 위하여 필요하면 관계 전문가에게 자문 등을 할 수 있다.
[본조신설 2016. 7. 22.]
제10조 삭제 <2020. 8. 4.>
제3장 기본계획 및 시행계획의 수립절차
제11조(기본계획의 수립절차 등) ① 보호위원회는 3년마다 법 제9조에 따른 개인정보 보호 기본계획(이하 “기본계획”이
라 한다)을 그 3년이 시작되는 해의 전년도 6월 30일까지 수립해야 한다. <개정 2013. 3. 23., 2014. 11. 19., 2016. 7.
22., 2020. 8. 4.>
② 보호위원회는 제1항에 따라 기본계획을 작성하는 경우에는 관계 중앙행정기관의 장으로부터 개인정보 보호 관
련 중장기 계획과 시책 등을 반영한 부문별 계획을 제출받아 기본계획에 반영할 수 있다. 이 경우 보호위원회는 기
본계획의 목표, 추진방향 및 부문별 계획의 작성 지침 등에 관하여 관계 중앙행정기관의 장과 협의하여야 한다.<개
정 2013. 3. 23., 2014. 11. 19., 2016. 7. 22.>
③ 보호위원회는 기본계획이 확정되면 지체 없이 관계 중앙행정기관의 장에게 통보하여야 한다.<개정 2013. 3. 23.,
2014. 11. 19., 2016. 7. 22.>
제12조(시행계획의 수립절차 등) ① 보호위원회는 매년 6월 30일까지 다음 해 시행계획의 작성방법 등에 관한 지침을
마련하여 관계 중앙행정기관의 장에게 통보해야 한다. <개정 2013. 3. 23., 2014. 11. 19., 2016. 7. 22., 2020. 8. 4.>
② 관계 중앙행정기관의 장은 제1항의 지침에 따라 기본계획 중 다음 해에 시행할 소관 분야의 시행계획을 작성하
여 매년 9월 30일까지 보호위원회에 제출해야 한다.<개정 2020. 8. 4.>
③ 보호위원회는 제2항에 따라 제출된 시행계획을 그 해 12월 31일까지 심의ㆍ의결해야 한다.<개정 2020. 8. 4.>
제13조(자료제출 요구 등의 범위와 방법) ① 보호위원회는 법 제11조제1항에 따라 개인정보처리자에게 다음 각 호의
사항에 관한 자료의 제출이나 의견의 진술 등을 요구할 수 있다. <개정 2013. 3. 23., 2014. 11. 19., 2016. 7. 22.,
2023. 9. 12.>
1. 해당 개인정보처리자가 처리하는 개인정보 및 개인정보파일의 관리와 고정형 영상정보처리기기 또는 이동형 영
상정보처리기기의 설치ㆍ운영에 관한 사항
2. 법 제31조에 따른 개인정보 보호책임자의 지정 여부에 관한 사항
3. 개인정보의 안전성 확보를 위한 기술적ㆍ관리적ㆍ물리적 조치에 관한 사항
4. 정보주체의 열람, 개인정보의 정정ㆍ삭제ㆍ처리정지의 요구 및 조치 현황에 관한 사항
5. 그 밖에 법 및 이 영의 준수에 관한 사항 등 기본계획의 수립ㆍ추진을 위하여 필요한 사항
② 보호위원회는 제1항에 따라 자료의 제출이나 의견의 진술 등을 요구할 때에는 기본계획을 효율적으로 수립ㆍ추
진하기 위하여 필요한 최소한의 범위로 한정하여 요구하여야 한다.<개정 2013. 3. 23., 2014. 11. 19., 2016. 7. 22.>
③ 법 제11조제3항에 따라 중앙행정기관의 장이 소관 분야의 개인정보처리자에게 자료의 제출 등을 요구하는 경우
에는 제1항과 제2항을 준용한다. 이 경우 “보호위원회”는 “중앙행정기관의 장”으로, “법 제11조제1항”은 “법 제11조
제3항”으로 본다.<개정 2013. 3. 23., 2014. 11. 19., 2016. 7. 22.>
제13조의2(개인정보 보호수준 평가의 대상ㆍ기준ㆍ방법ㆍ절차 등) ① 법 제11조의2제1항에서 “대통령령으로 정하는
기관”이란 다음 각 호의 기관을 말한다. <개정 2025. 9. 23.>
1. 「공공기관의 운영에 관한 법률」 제4조에 따른 공공기관
개인정보 보호법 시행령
④ 보호위원회는 침해요인 평가를 하는 경우에는 침해요인 평가에 필요한 자료 등을 해당 중앙행정기관의 장에게
요청할 수 있다.
⑤ 보호위원회는 침해요인 평가의 세부기준 및 방법 등 침해요인 평가에 필요한 지침을 수립하여 중앙행정기관의
장에게 통보할 수 있다.
⑥ 보호위원회는 침해요인 평가를 실시하기 위하여 필요하면 관계 전문가에게 자문 등을 할 수 있다.
[본조신설 2016. 7. 22.]
제10조 삭제 <2020. 8. 4.>
제3장 기본계획 및 시행계획의 수립절차
제11조(기본계획의 수립절차 등) ① 보호위원회는 3년마다 법 제9조에 따른 개인정보 보호 기본계획(이하 “기본계획”이
라 한다)을 그 3년이 시작되는 해의 전년도 6월 30일까지 수립해야 한다. <개정 2013. 3. 23., 2014. 11. 19., 2016. 7.
22., 2020. 8. 4.>
② 보호위원회는 제1항에 따라 기본계획을 작성하는 경우에는 관계 중앙행정기관의 장으로부터 개인정보 보호 관
련 중장기 계획과 시책 등을 반영한 부문별 계획을 제출받아 기본계획에 반영할 수 있다. 이 경우 보호위원회는 기
본계획의 목표, 추진방향 및 부문별 계획의 작성 지침 등에 관하여 관계 중앙행정기관의 장과 협의하여야 한다.<개
정 2013. 3. 23., 2014. 11. 19., 2016. 7. 22.>
③ 보호위원회는 기본계획이 확정되면 지체 없이 관계 중앙행정기관의 장에게 통보하여야 한다.<개정 2013. 3. 23.,
2014. 11. 19., 2016. 7. 22.>
제12조(시행계획의 수립절차 등) ① 보호위원회는 매년 6월 30일까지 다음 해 시행계획의 작성방법 등에 관한 지침을
마련하여 관계 중앙행정기관의 장에게 통보해야 한다. <개정 2013. 3. 23., 2014. 11. 19., 2016. 7. 22., 2020. 8. 4.>
② 관계 중앙행정기관의 장은 제1항의 지침에 따라 기본계획 중 다음 해에 시행할 소관 분야의 시행계획을 작성하
여 매년 9월 30일까지 보호위원회에 제출해야 한다.<개정 2020. 8. 4.>
③ 보호위원회는 제2항에 따라 제출된 시행계획을 그 해 12월 31일까지 심의ㆍ의결해야 한다.<개정 2020. 8. 4.>
제13조(자료제출 요구 등의 범위와 방법) ① 보호위원회는 법 제11조제1항에 따라 개인정보처리자에게 다음 각 호의
사항에 관한 자료의 제출이나 의견의 진술 등을 요구할 수 있다. <개정 2013. 3. 23., 2014. 11. 19., 2016. 7. 22.,
2023. 9. 12.>
1. 해당 개인정보처리자가 처리하는 개인정보 및 개인정보파일의 관리와 고정형 영상정보처리기기 또는 이동형 영
상정보처리기기의 설치ㆍ운영에 관한 사항
2. 법 제31조에 따른 개인정보 보호책임자의 지정 여부에 관한 사항
3. 개인정보의 안전성 확보를 위한 기술적ㆍ관리적ㆍ물리적 조치에 관한 사항
4. 정보주체의 열람, 개인정보의 정정ㆍ삭제ㆍ처리정지의 요구 및 조치 현황에 관한 사항
5. 그 밖에 법 및 이 영의 준수에 관한 사항 등 기본계획의 수립ㆍ추진을 위하여 필요한 사항
② 보호위원회는 제1항에 따라 자료의 제출이나 의견의 진술 등을 요구할 때에는 기본계획을 효율적으로 수립ㆍ추
진하기 위하여 필요한 최소한의 범위로 한정하여 요구하여야 한다.<개정 2013. 3. 23., 2014. 11. 19., 2016. 7. 22.>
③ 법 제11조제3항에 따라 중앙행정기관의 장이 소관 분야의 개인정보처리자에게 자료의 제출 등을 요구하는 경우
에는 제1항과 제2항을 준용한다. 이 경우 “보호위원회”는 “중앙행정기관의 장”으로, “법 제11조제1항”은 “법 제11조
제3항”으로 본다.<개정 2013. 3. 23., 2014. 11. 19., 2016. 7. 22.>
제13조의2(개인정보 보호수준 평가의 대상ㆍ기준ㆍ방법ㆍ절차 등) ① 법 제11조의2제1항에서 “대통령령으로 정하는
기관”이란 다음 각 호의 기관을 말한다. <개정 2025. 9. 23.>
1. 「공공기관의 운영에 관한 법률」 제4조에 따른 공공기관
본문 5쪽
법제처 5 국가법령정보센터
개인정보 보호법 시행령
2. 「지방공기업법」에 따른 지방공사와 지방공단
3. 그 밖에 제2조제3호의2, 제4호 및 제5호에 따른 공공기관 중 공공기관의 개인정보 처리 업무의 특성 등을 고려하
여 보호위원회가 고시하는 기준에 해당하는 기관
② 법 제11조의2제1항에 따른 개인정보 보호수준 평가(이하 “개인정보 보호수준 평가”라 한다)의 기준은 다음 각 호
와 같다.
1. 개인정보 보호 정책ㆍ업무 수행실적 및 개선 정도
2. 개인정보 관리체계의 적정성
3. 정보주체의 권리보장을 위한 조치사항 및 이행 정도
4. 개인정보 침해방지 조치사항 및 안전성 확보 조치 이행 정도
5. 그 밖에 개인정보의 처리 및 안전한 관리를 위해 필요한 조치 사항의 준수 여부
③ 보호위원회는 개인정보 보호수준 평가를 시행하기 전에 평가대상, 평가기준ㆍ방법 및 평가지표 등을 포함한 평
가계획을 마련하여 개인정보 보호수준 평가 대상 기관(이하 “평가대상기관”이라 한다)의 장에게 통보해야 한다.
④ 보호위원회는 개인정보 보호수준 평가를 효율적으로 실시하기 위해 개인정보 보호에 관한 전문적인 지식과 경
험이 풍부한 전문가를 포함하여 평가단을 구성ㆍ운영할 수 있다.
⑤ 보호위원회는 법 제11조의2제2항에 따라 다음 각 호의 자료를 제출하게 할 수 있다.
1. 평가대상기관이 개인정보 보호수준을 자체적으로 점검한 경우 그 결과 및 증명자료
2. 제1호의 증명자료의 검증에 필요한 자료
3. 그 밖에 개인정보의 안전한 관리 여부 등 개인정보 보호수준을 평가하기 위해 필요한 자료
⑥ 보호위원회는 제5항에 따라 평가대상기관의 장이 제출한 자료를 기준으로 평가를 진행하거나 평가대상기관을
방문하여 평가할 수 있다.
⑦ 보호위원회는 중앙행정기관의 장 또는 지방자치단체의 장에게 소속 기관 등 소관 분야 평가대상기관의 평가준
비 또는 평가결과에 따른 개인정보 보호 조치를 위해 필요한 사항을 지원하도록 요청할 수 있다. 이 경우 요청을 받
은 중앙행정기관의 장 또는 지방자치단체의 장은 요청에 따른 지원을 하기 위해 노력해야 한다.
⑧ 제1항부터 제7항까지의 규정에 따른 개인정보 보호수준 평가에 관한 세부 사항은 보호위원회가 정하여 고시한
다.
[본조신설 2024. 3. 12.]
제14조(자율규제의 촉진 및 지원) 보호위원회는 법 제13조제2호에 따라 개인정보처리자의 자율적인 개인정보 보호활
동을 촉진하기 위하여 예산의 범위에서 개인정보 보호와 관련된 기관 또는 단체에 필요한 지원을 할 수 있다. <개정
2013. 3. 23., 2014. 11. 19., 2017. 7. 26., 2020. 8. 4.>
제4장 개인정보의 처리
제14조의2(개인정보의 추가적인 이용ㆍ제공의 기준 등) ① 개인정보처리자는 법 제15조제3항 또는 제17조제4항에 따
라 정보주체의 동의 없이 개인정보를 이용 또는 제공(이하 “개인정보의 추가적인 이용 또는 제공”이라 한다)하려는
경우에는 다음 각 호의 사항을 고려해야 한다.
1. 당초 수집 목적과 관련성이 있는지 여부
2. 개인정보를 수집한 정황 또는 처리 관행에 비추어 볼 때 개인정보의 추가적인 이용 또는 제공에 대한 예측 가능
성이 있는지 여부
3. 정보주체의 이익을 부당하게 침해하는지 여부
4. 가명처리 또는 암호화 등 안전성 확보에 필요한 조치를 하였는지 여부
② 개인정보처리자는 개인정보의 추가적인 이용 또는 제공이 지속적으로 발생하는 경우에는 제1항 각 호의 고려사
항에 대한 판단 기준을 법 제30조제1항에 따른 개인정보 처리방침에 공개하고, 법 제31조제1항에 따른 개인정보 보
호책임자가 해당 기준에 따라 개인정보의 추가적인 이용 또는 제공을 하고 있는지 여부를 점검해야 한다.<개정
개인정보 보호법 시행령
2. 「지방공기업법」에 따른 지방공사와 지방공단
3. 그 밖에 제2조제3호의2, 제4호 및 제5호에 따른 공공기관 중 공공기관의 개인정보 처리 업무의 특성 등을 고려하
여 보호위원회가 고시하는 기준에 해당하는 기관
② 법 제11조의2제1항에 따른 개인정보 보호수준 평가(이하 “개인정보 보호수준 평가”라 한다)의 기준은 다음 각 호
와 같다.
1. 개인정보 보호 정책ㆍ업무 수행실적 및 개선 정도
2. 개인정보 관리체계의 적정성
3. 정보주체의 권리보장을 위한 조치사항 및 이행 정도
4. 개인정보 침해방지 조치사항 및 안전성 확보 조치 이행 정도
5. 그 밖에 개인정보의 처리 및 안전한 관리를 위해 필요한 조치 사항의 준수 여부
③ 보호위원회는 개인정보 보호수준 평가를 시행하기 전에 평가대상, 평가기준ㆍ방법 및 평가지표 등을 포함한 평
가계획을 마련하여 개인정보 보호수준 평가 대상 기관(이하 “평가대상기관”이라 한다)의 장에게 통보해야 한다.
④ 보호위원회는 개인정보 보호수준 평가를 효율적으로 실시하기 위해 개인정보 보호에 관한 전문적인 지식과 경
험이 풍부한 전문가를 포함하여 평가단을 구성ㆍ운영할 수 있다.
⑤ 보호위원회는 법 제11조의2제2항에 따라 다음 각 호의 자료를 제출하게 할 수 있다.
1. 평가대상기관이 개인정보 보호수준을 자체적으로 점검한 경우 그 결과 및 증명자료
2. 제1호의 증명자료의 검증에 필요한 자료
3. 그 밖에 개인정보의 안전한 관리 여부 등 개인정보 보호수준을 평가하기 위해 필요한 자료
⑥ 보호위원회는 제5항에 따라 평가대상기관의 장이 제출한 자료를 기준으로 평가를 진행하거나 평가대상기관을
방문하여 평가할 수 있다.
⑦ 보호위원회는 중앙행정기관의 장 또는 지방자치단체의 장에게 소속 기관 등 소관 분야 평가대상기관의 평가준
비 또는 평가결과에 따른 개인정보 보호 조치를 위해 필요한 사항을 지원하도록 요청할 수 있다. 이 경우 요청을 받
은 중앙행정기관의 장 또는 지방자치단체의 장은 요청에 따른 지원을 하기 위해 노력해야 한다.
⑧ 제1항부터 제7항까지의 규정에 따른 개인정보 보호수준 평가에 관한 세부 사항은 보호위원회가 정하여 고시한
다.
[본조신설 2024. 3. 12.]
제14조(자율규제의 촉진 및 지원) 보호위원회는 법 제13조제2호에 따라 개인정보처리자의 자율적인 개인정보 보호활
동을 촉진하기 위하여 예산의 범위에서 개인정보 보호와 관련된 기관 또는 단체에 필요한 지원을 할 수 있다. <개정
2013. 3. 23., 2014. 11. 19., 2017. 7. 26., 2020. 8. 4.>
제4장 개인정보의 처리
제14조의2(개인정보의 추가적인 이용ㆍ제공의 기준 등) ① 개인정보처리자는 법 제15조제3항 또는 제17조제4항에 따
라 정보주체의 동의 없이 개인정보를 이용 또는 제공(이하 “개인정보의 추가적인 이용 또는 제공”이라 한다)하려는
경우에는 다음 각 호의 사항을 고려해야 한다.
1. 당초 수집 목적과 관련성이 있는지 여부
2. 개인정보를 수집한 정황 또는 처리 관행에 비추어 볼 때 개인정보의 추가적인 이용 또는 제공에 대한 예측 가능
성이 있는지 여부
3. 정보주체의 이익을 부당하게 침해하는지 여부
4. 가명처리 또는 암호화 등 안전성 확보에 필요한 조치를 하였는지 여부
② 개인정보처리자는 개인정보의 추가적인 이용 또는 제공이 지속적으로 발생하는 경우에는 제1항 각 호의 고려사
항에 대한 판단 기준을 법 제30조제1항에 따른 개인정보 처리방침에 공개하고, 법 제31조제1항에 따른 개인정보 보
호책임자가 해당 기준에 따라 개인정보의 추가적인 이용 또는 제공을 하고 있는지 여부를 점검해야 한다.<개정
본문 6쪽
법제처 6 국가법령정보센터
개인정보 보호법 시행령
2023. 9. 12.>
[본조신설 2020. 8. 4.]
제15조(개인정보의 목적 외 이용 또는 제3자 제공의 관리) 공공기관은 법 제18조제2항에 따라 개인정보를 목적 외의
용도로 이용하거나 이를 제3자에게 제공하는 경우에는 다음 각 호의 사항을 보호위원회가 정하여 고시하는 개인정
보의 목적 외 이용 및 제3자 제공 대장에 기록하고 관리해야 한다. <개정 2013. 3. 23., 2014. 11. 19., 2017. 7. 26.,
2020. 8. 4.>
1. 이용하거나 제공하는 개인정보 또는 개인정보파일의 명칭
2. 이용기관 또는 제공받는 기관의 명칭
3. 이용 목적 또는 제공받는 목적
4. 이용 또는 제공의 법적 근거
5. 이용하거나 제공하는 개인정보의 항목
6. 이용 또는 제공의 날짜, 주기 또는 기간
7. 이용하거나 제공하는 형태
8. 법 제18조제5항에 따라 제한을 하거나 필요한 조치를 마련할 것을 요청한 경우에는 그 내용
제15조의2(개인정보 수집 출처 등 통지 대상ㆍ방법ㆍ절차) ① 법 제20조제2항 본문에서 “대통령령으로 정하는 기준에
해당하는 개인정보처리자”란 다음 각 호의 어느 하나에 해당하는 개인정보처리자를 말한다. 이 경우 다음 각 호에 규
정된 정보주체의 수는 전년도 말 기준 직전 3개월 간 일일평균을 기준으로 산정한다. <개정 2023. 9. 12.>
1. 5만명 이상의 정보주체에 관하여 법 제23조에 따른 민감정보(이하 “민감정보”라 한다) 또는 법 제24조제1항에 따
른 고유식별정보(이하 “고유식별정보”라 한다)를 처리하는 자
2. 100만명 이상의 정보주체에 관하여 개인정보를 처리하는 자
② 제1항 각 호의 어느 하나에 해당하는 개인정보처리자는 법 제20조제1항 각 호의 사항을 다음 각 호의 어느 하나
에 해당하는 방법으로 개인정보를 제공받은 날부터 3개월 이내에 정보주체에게 알려야 한다. 다만, 법 제17조제2항
제1호부터 제4호까지의 사항에 대하여 같은 조 제1항제1호에 따라 정보주체의 동의를 받은 범위에서 연 2회 이상
주기적으로 개인정보를 제공받아 처리하는 경우에는 개인정보를 제공받은 날부터 3개월 이내에 정보주체에게 알리
거나 그 동의를 받은 날부터 기산하여 연 1회 이상 정보주체에게 알려야 한다.<개정 2023. 9. 12.>
1. 서면ㆍ전자우편ㆍ전화ㆍ문자전송 등 정보주체가 통지 내용을 쉽게 확인할 수 있는 방법
2. 재화 및 서비스를 제공하는 과정에서 정보주체가 쉽게 알 수 있도록 알림창을 통해 알리는 방법
③ 개인정보처리자는 다음 각 호의 통지를 함께 할 수 있다.<개정 2025. 2. 25., 2026. 2. 19.>
1. 법 제20조제2항에 따른 개인정보의 수집 출처 등 통지
2. 법 제20조의2제1항에 따른 개인정보 이용ㆍ제공 내역의 통지
3. 제42조의6제12항 본문에 따른 전송요구대상정보 전송 내역의 통지
④ 제1항 각 호의 어느 하나에 해당하는 개인정보처리자는 제2항에 따라 알린 경우 다음 각 호의 사항을 법 제21조
또는 제37조제5항에 따라 해당 개인정보를 파기할 때까지 보관ㆍ관리하여야 한다.<개정 2023. 9. 12.>
1. 정보주체에게 알린 사실
2. 알린 시기
3. 알린 방법
[본조신설 2016. 9. 29.]
[제목개정 2023. 9. 12.]
제15조의3(개인정보 이용ㆍ제공 내역의 통지) ① 법 제20조의2제1항 본문에서 “대통령령으로 정하는 기준에 해당하는
개인정보처리자”란 다음 각 호의 어느 하나에 해당하는 개인정보처리자를 말한다. 이 경우 다음 각 호에 규정된 정보
주체의 수는 전년도 말 기준 직전 3개월 간 일일평균을 기준으로 산정한다.
개인정보 보호법 시행령
2023. 9. 12.>
[본조신설 2020. 8. 4.]
제15조(개인정보의 목적 외 이용 또는 제3자 제공의 관리) 공공기관은 법 제18조제2항에 따라 개인정보를 목적 외의
용도로 이용하거나 이를 제3자에게 제공하는 경우에는 다음 각 호의 사항을 보호위원회가 정하여 고시하는 개인정
보의 목적 외 이용 및 제3자 제공 대장에 기록하고 관리해야 한다. <개정 2013. 3. 23., 2014. 11. 19., 2017. 7. 26.,
2020. 8. 4.>
1. 이용하거나 제공하는 개인정보 또는 개인정보파일의 명칭
2. 이용기관 또는 제공받는 기관의 명칭
3. 이용 목적 또는 제공받는 목적
4. 이용 또는 제공의 법적 근거
5. 이용하거나 제공하는 개인정보의 항목
6. 이용 또는 제공의 날짜, 주기 또는 기간
7. 이용하거나 제공하는 형태
8. 법 제18조제5항에 따라 제한을 하거나 필요한 조치를 마련할 것을 요청한 경우에는 그 내용
제15조의2(개인정보 수집 출처 등 통지 대상ㆍ방법ㆍ절차) ① 법 제20조제2항 본문에서 “대통령령으로 정하는 기준에
해당하는 개인정보처리자”란 다음 각 호의 어느 하나에 해당하는 개인정보처리자를 말한다. 이 경우 다음 각 호에 규
정된 정보주체의 수는 전년도 말 기준 직전 3개월 간 일일평균을 기준으로 산정한다. <개정 2023. 9. 12.>
1. 5만명 이상의 정보주체에 관하여 법 제23조에 따른 민감정보(이하 “민감정보”라 한다) 또는 법 제24조제1항에 따
른 고유식별정보(이하 “고유식별정보”라 한다)를 처리하는 자
2. 100만명 이상의 정보주체에 관하여 개인정보를 처리하는 자
② 제1항 각 호의 어느 하나에 해당하는 개인정보처리자는 법 제20조제1항 각 호의 사항을 다음 각 호의 어느 하나
에 해당하는 방법으로 개인정보를 제공받은 날부터 3개월 이내에 정보주체에게 알려야 한다. 다만, 법 제17조제2항
제1호부터 제4호까지의 사항에 대하여 같은 조 제1항제1호에 따라 정보주체의 동의를 받은 범위에서 연 2회 이상
주기적으로 개인정보를 제공받아 처리하는 경우에는 개인정보를 제공받은 날부터 3개월 이내에 정보주체에게 알리
거나 그 동의를 받은 날부터 기산하여 연 1회 이상 정보주체에게 알려야 한다.<개정 2023. 9. 12.>
1. 서면ㆍ전자우편ㆍ전화ㆍ문자전송 등 정보주체가 통지 내용을 쉽게 확인할 수 있는 방법
2. 재화 및 서비스를 제공하는 과정에서 정보주체가 쉽게 알 수 있도록 알림창을 통해 알리는 방법
③ 개인정보처리자는 다음 각 호의 통지를 함께 할 수 있다.<개정 2025. 2. 25., 2026. 2. 19.>
1. 법 제20조제2항에 따른 개인정보의 수집 출처 등 통지
2. 법 제20조의2제1항에 따른 개인정보 이용ㆍ제공 내역의 통지
3. 제42조의6제12항 본문에 따른 전송요구대상정보 전송 내역의 통지
④ 제1항 각 호의 어느 하나에 해당하는 개인정보처리자는 제2항에 따라 알린 경우 다음 각 호의 사항을 법 제21조
또는 제37조제5항에 따라 해당 개인정보를 파기할 때까지 보관ㆍ관리하여야 한다.<개정 2023. 9. 12.>
1. 정보주체에게 알린 사실
2. 알린 시기
3. 알린 방법
[본조신설 2016. 9. 29.]
[제목개정 2023. 9. 12.]
제15조의3(개인정보 이용ㆍ제공 내역의 통지) ① 법 제20조의2제1항 본문에서 “대통령령으로 정하는 기준에 해당하는
개인정보처리자”란 다음 각 호의 어느 하나에 해당하는 개인정보처리자를 말한다. 이 경우 다음 각 호에 규정된 정보
주체의 수는 전년도 말 기준 직전 3개월 간 일일평균을 기준으로 산정한다.
본문 7쪽
법제처 7 국가법령정보센터
개인정보 보호법 시행령
1. 5만명 이상의 정보주체에 관하여 민감정보 또는 고유식별정보를 처리하는 자
2. 100만명 이상의 정보주체에 관하여 개인정보를 처리하는 자
② 법 제20조의2제1항에 따른 통지의 대상이 되는 정보주체는 다음 각 호의 정보주체를 제외한 정보주체로 한다.
1. 통지에 대한 거부의사를 표시한 정보주체
2. 개인정보처리자가 업무수행을 위해 그에 소속된 임직원의 개인정보를 처리한 경우 해당 정보주체
3. 개인정보처리자가 업무수행을 위해 다른 공공기관, 법인, 단체의 임직원 또는 개인의 연락처 등의 개인정보를 처
리한 경우 해당 정보주체
4. 법률에 특별한 규정이 있거나 법령 상 의무를 준수하기 위하여 이용ㆍ제공한 개인정보의 정보주체
5. 공공기관이 법령 등에서 정하는 소관 업무의 수행을 위하여 이용ㆍ제공한 개인정보의 정보주체
③ 법 제20조의2제1항에 따라 정보주체에게 통지해야 하는 정보는 다음 각 호와 같다.
1. 개인정보의 수집ㆍ이용 목적 및 수집한 개인정보의 항목
2. 개인정보를 제공받은 제3자와 그 제공 목적 및 제공한 개인정보의 항목. 다만, 「통신비밀보호법」 제13조, 제13조
의2, 제13조의4 및 「전기통신사업법」 제83조제3항에 따라 제공한 정보는 제외한다.
④ 법 제20조의2제1항에 따른 통지는 다음 각 호의 어느 하나에 해당하는 방법으로 연 1회 이상 해야 한다.
1. 서면ㆍ전자우편ㆍ전화ㆍ문자전송 등 정보주체가 통지 내용을 쉽게 확인할 수 있는 방법
2. 재화 및 서비스를 제공하는 과정에서 정보주체가 쉽게 알 수 있도록 알림창을 통해 알리는 방법(법 제20조의2제
1항에 따른 개인정보의 이용ㆍ제공 내역을 확인할 수 있는 정보시스템에 접속하는 방법을 통지하는 경우로 한정
한다)
[본조신설 2023. 9. 12.]
제16조(개인정보의 파기방법) ①개인정보처리자는 법 제21조에 따라 개인정보를 파기할 때에는 다음 각 호의 구분에
따른 방법으로 해야 한다. <개정 2014. 8. 6., 2022. 7. 19.>
1. 전자적 파일 형태인 경우: 복원이 불가능한 방법으로 영구 삭제. 다만, 기술적 특성으로 영구 삭제가 현저히 곤란
한 경우에는 법 제58조의2에 해당하는 정보로 처리하여 복원이 불가능하도록 조치해야 한다.
2. 제1호 외의 기록물, 인쇄물, 서면, 그 밖의 기록매체인 경우: 파쇄 또는 소각
② 제1항에 따른 개인정보의 안전한 파기에 관한 세부 사항은 보호위원회가 정하여 고시한다.<신설 2014. 8. 6.,
2014. 11. 19., 2017. 7. 26., 2020. 8. 4.>
제17조(동의를 받는 방법) ① 개인정보처리자는 법 제22조에 따라 개인정보의 처리에 대하여 정보주체의 동의를 받을
때에는 다음 각 호의 조건을 모두 충족해야 한다. <신설 2023. 9. 12.>
1. 정보주체가 자유로운 의사에 따라 동의 여부를 결정할 수 있을 것
2. 동의를 받으려는 내용이 구체적이고 명확할 것
3. 그 내용을 쉽게 읽고 이해할 수 있는 문구를 사용할 것
4. 동의 여부를 명확하게 표시할 수 있는 방법을 정보주체에게 제공할 것
② 개인정보처리자는 법 제22조에 따라 개인정보의 처리에 대하여 다음 각 호의 어느 하나에 해당하는 방법으로 정
보주체의 동의를 받아야 한다.<개정 2023. 9. 12.>
1. 동의 내용이 적힌 서면을 정보주체에게 직접 발급하거나 우편 또는 팩스 등의 방법으로 전달하고, 정보주체가 서
명하거나 날인한 동의서를 받는 방법
2. 전화를 통하여 동의 내용을 정보주체에게 알리고 동의의 의사표시를 확인하는 방법
3. 전화를 통하여 동의 내용을 정보주체에게 알리고 정보주체에게 인터넷주소 등을 통하여 동의 사항을 확인하도록
한 후 다시 전화를 통하여 그 동의 사항에 대한 동의의 의사표시를 확인하는 방법
4. 인터넷 홈페이지 등에 동의 내용을 게재하고 정보주체가 동의 여부를 표시하도록 하는 방법
5. 동의 내용이 적힌 전자우편을 발송하여 정보주체로부터 동의의 의사표시가 적힌 전자우편을 받는 방법
6. 그 밖에 제1호부터 제5호까지의 규정에 따른 방법에 준하는 방법으로 동의 내용을 알리고 동의의 의사표시를 확
인하는 방법
개인정보 보호법 시행령
1. 5만명 이상의 정보주체에 관하여 민감정보 또는 고유식별정보를 처리하는 자
2. 100만명 이상의 정보주체에 관하여 개인정보를 처리하는 자
② 법 제20조의2제1항에 따른 통지의 대상이 되는 정보주체는 다음 각 호의 정보주체를 제외한 정보주체로 한다.
1. 통지에 대한 거부의사를 표시한 정보주체
2. 개인정보처리자가 업무수행을 위해 그에 소속된 임직원의 개인정보를 처리한 경우 해당 정보주체
3. 개인정보처리자가 업무수행을 위해 다른 공공기관, 법인, 단체의 임직원 또는 개인의 연락처 등의 개인정보를 처
리한 경우 해당 정보주체
4. 법률에 특별한 규정이 있거나 법령 상 의무를 준수하기 위하여 이용ㆍ제공한 개인정보의 정보주체
5. 공공기관이 법령 등에서 정하는 소관 업무의 수행을 위하여 이용ㆍ제공한 개인정보의 정보주체
③ 법 제20조의2제1항에 따라 정보주체에게 통지해야 하는 정보는 다음 각 호와 같다.
1. 개인정보의 수집ㆍ이용 목적 및 수집한 개인정보의 항목
2. 개인정보를 제공받은 제3자와 그 제공 목적 및 제공한 개인정보의 항목. 다만, 「통신비밀보호법」 제13조, 제13조
의2, 제13조의4 및 「전기통신사업법」 제83조제3항에 따라 제공한 정보는 제외한다.
④ 법 제20조의2제1항에 따른 통지는 다음 각 호의 어느 하나에 해당하는 방법으로 연 1회 이상 해야 한다.
1. 서면ㆍ전자우편ㆍ전화ㆍ문자전송 등 정보주체가 통지 내용을 쉽게 확인할 수 있는 방법
2. 재화 및 서비스를 제공하는 과정에서 정보주체가 쉽게 알 수 있도록 알림창을 통해 알리는 방법(법 제20조의2제
1항에 따른 개인정보의 이용ㆍ제공 내역을 확인할 수 있는 정보시스템에 접속하는 방법을 통지하는 경우로 한정
한다)
[본조신설 2023. 9. 12.]
제16조(개인정보의 파기방법) ①개인정보처리자는 법 제21조에 따라 개인정보를 파기할 때에는 다음 각 호의 구분에
따른 방법으로 해야 한다. <개정 2014. 8. 6., 2022. 7. 19.>
1. 전자적 파일 형태인 경우: 복원이 불가능한 방법으로 영구 삭제. 다만, 기술적 특성으로 영구 삭제가 현저히 곤란
한 경우에는 법 제58조의2에 해당하는 정보로 처리하여 복원이 불가능하도록 조치해야 한다.
2. 제1호 외의 기록물, 인쇄물, 서면, 그 밖의 기록매체인 경우: 파쇄 또는 소각
② 제1항에 따른 개인정보의 안전한 파기에 관한 세부 사항은 보호위원회가 정하여 고시한다.<신설 2014. 8. 6.,
2014. 11. 19., 2017. 7. 26., 2020. 8. 4.>
제17조(동의를 받는 방법) ① 개인정보처리자는 법 제22조에 따라 개인정보의 처리에 대하여 정보주체의 동의를 받을
때에는 다음 각 호의 조건을 모두 충족해야 한다. <신설 2023. 9. 12.>
1. 정보주체가 자유로운 의사에 따라 동의 여부를 결정할 수 있을 것
2. 동의를 받으려는 내용이 구체적이고 명확할 것
3. 그 내용을 쉽게 읽고 이해할 수 있는 문구를 사용할 것
4. 동의 여부를 명확하게 표시할 수 있는 방법을 정보주체에게 제공할 것
② 개인정보처리자는 법 제22조에 따라 개인정보의 처리에 대하여 다음 각 호의 어느 하나에 해당하는 방법으로 정
보주체의 동의를 받아야 한다.<개정 2023. 9. 12.>
1. 동의 내용이 적힌 서면을 정보주체에게 직접 발급하거나 우편 또는 팩스 등의 방법으로 전달하고, 정보주체가 서
명하거나 날인한 동의서를 받는 방법
2. 전화를 통하여 동의 내용을 정보주체에게 알리고 동의의 의사표시를 확인하는 방법
3. 전화를 통하여 동의 내용을 정보주체에게 알리고 정보주체에게 인터넷주소 등을 통하여 동의 사항을 확인하도록
한 후 다시 전화를 통하여 그 동의 사항에 대한 동의의 의사표시를 확인하는 방법
4. 인터넷 홈페이지 등에 동의 내용을 게재하고 정보주체가 동의 여부를 표시하도록 하는 방법
5. 동의 내용이 적힌 전자우편을 발송하여 정보주체로부터 동의의 의사표시가 적힌 전자우편을 받는 방법
6. 그 밖에 제1호부터 제5호까지의 규정에 따른 방법에 준하는 방법으로 동의 내용을 알리고 동의의 의사표시를 확
인하는 방법
본문 8쪽
법제처 8 국가법령정보센터
개인정보 보호법 시행령
③ 법 제22조제2항에서 “대통령령으로 정하는 중요한 내용”이란 다음 각 호의 사항을 말한다.<신설 2017. 10. 17.,
2023. 9. 12.>
1. 개인정보의 수집ㆍ이용 목적 중 재화나 서비스의 홍보 또는 판매 권유 등을 위하여 해당 개인정보를 이용하여 정
보주체에게 연락할 수 있다는 사실
2. 처리하려는 개인정보의 항목 중 다음 각 목의 사항
가. 민감정보
나. 제19조제2호부터 제4호까지의 규정에 따른 여권번호, 운전면허의 면허번호 및 외국인등록번호
3. 개인정보의 보유 및 이용 기간(제공 시에는 제공받는 자의 보유 및 이용 기간을 말한다)
4. 개인정보를 제공받는 자 및 개인정보를 제공받는 자의 개인정보 이용 목적
④ 개인정보처리자는 정보주체로부터 법 제22조제1항 각 호에 따른 동의를 받으려는 때에는 정보주체가 동의 여부
를 선택할 수 있다는 사실을 명확하게 알 수 있도록 표시해야 한다.<개정 2023. 9. 12.>
⑤ 법 제22조제3항 전단에서 “대통령령으로 정하는 방법”이란 서면, 전자우편, 팩스, 전화, 문자전송 또는 이에 상당
하는 방법(이하 “서면등의 방법”이라 한다)을 말한다.<개정 2023. 9. 12.>
⑥ 중앙행정기관의 장은 제2항에 따른 동의방법 중 소관 분야의 개인정보처리자별 업무, 업종의 특성 및 정보주체
의 수 등을 고려하여 적절한 동의방법에 관한 기준을 법 제12조제2항에 따른 개인정보 보호지침(이하 “개인정보 보
호지침”이라 한다)으로 정하여 그 기준에 따라 동의를 받도록 개인정보처리자에게 권장할 수 있다.<개정 2015. 12.
30., 2017. 10. 17., 2023. 9. 12.>
제17조의2(아동의 개인정보 보호) ① 개인정보처리자는 법 제22조의2제1항에 따라 법정대리인이 동의했는지를 확인하
는 경우에는 다음 각 호의 어느 하나에 해당하는 방법으로 해야 한다.
1. 동의 내용을 게재한 인터넷 사이트에 법정대리인이 동의 여부를 표시하도록 하고 개인정보처리자가 그 동의 표
시를 확인했음을 법정대리인의 휴대전화 문자메시지로 알리는 방법
2. 동의 내용을 게재한 인터넷 사이트에 법정대리인이 동의 여부를 표시하도록 하고 법정대리인의 신용카드ㆍ직불
카드 등의 카드정보를 제공받는 방법
3. 동의 내용을 게재한 인터넷 사이트에 법정대리인이 동의 여부를 표시하도록 하고 법정대리인의 휴대전화 본인인
증 등을 통하여 본인 여부를 확인하는 방법
4. 동의 내용이 적힌 서면을 법정대리인에게 직접 발급하거나 우편 또는 팩스를 통하여 전달하고, 법정대리인이 동
의 내용에 대하여 서명날인 후 제출하도록 하는 방법
5. 동의 내용이 적힌 전자우편을 발송하고 법정대리인으로부터 동의의 의사표시가 적힌 전자우편을 전송받는 방법
6. 전화를 통하여 동의 내용을 법정대리인에게 알리고 동의를 받거나 인터넷주소 등 동의 내용을 확인할 수 있는 방
법을 안내하고 재차 전화 통화를 통하여 동의를 받는 방법
7. 그 밖에 제1호부터 제6호까지의 규정에 준하는 방법으로서 법정대리인에게 동의 내용을 알리고 동의의 의사표시
를 확인하는 방법
② 법 제22조의2제2항에서 “대통령령으로 정하는 정보”란 법정대리인의 성명 및 연락처에 관한 정보를 말한다.
③ 개인정보처리자는 개인정보 수집 매체의 특성상 동의 내용을 전부 표시하기 어려운 경우에는 인터넷주소 또는
사업장 전화번호 등 동의 내용을 확인할 수 있는 방법을 법정대리인에게 안내할 수 있다.
[본조신설 2023. 9. 12.]
제18조(민감정보의 범위) 법 제23조제1항 각 호 외의 부분 본문에서 “대통령령으로 정하는 정보”란 다음 각 호의 어느
하나에 해당하는 정보를 말한다. 다만, 공공기관이 법 제18조제2항제5호부터 제9호까지의 규정에 따라 다음 각 호의
어느 하나에 해당하는 정보를 처리하는 경우의 해당 정보는 제외한다. <개정 2016. 9. 29., 2020. 8. 4.>
1. 유전자검사 등의 결과로 얻어진 유전정보
2. 「형의 실효 등에 관한 법률」 제2조제5호에 따른 범죄경력자료에 해당하는 정보
3. 개인의 신체적, 생리적, 행동적 특징에 관한 정보로서 특정 개인을 알아볼 목적으로 일정한 기술적 수단을 통해
생성한 정보
개인정보 보호법 시행령
③ 법 제22조제2항에서 “대통령령으로 정하는 중요한 내용”이란 다음 각 호의 사항을 말한다.<신설 2017. 10. 17.,
2023. 9. 12.>
1. 개인정보의 수집ㆍ이용 목적 중 재화나 서비스의 홍보 또는 판매 권유 등을 위하여 해당 개인정보를 이용하여 정
보주체에게 연락할 수 있다는 사실
2. 처리하려는 개인정보의 항목 중 다음 각 목의 사항
가. 민감정보
나. 제19조제2호부터 제4호까지의 규정에 따른 여권번호, 운전면허의 면허번호 및 외국인등록번호
3. 개인정보의 보유 및 이용 기간(제공 시에는 제공받는 자의 보유 및 이용 기간을 말한다)
4. 개인정보를 제공받는 자 및 개인정보를 제공받는 자의 개인정보 이용 목적
④ 개인정보처리자는 정보주체로부터 법 제22조제1항 각 호에 따른 동의를 받으려는 때에는 정보주체가 동의 여부
를 선택할 수 있다는 사실을 명확하게 알 수 있도록 표시해야 한다.<개정 2023. 9. 12.>
⑤ 법 제22조제3항 전단에서 “대통령령으로 정하는 방법”이란 서면, 전자우편, 팩스, 전화, 문자전송 또는 이에 상당
하는 방법(이하 “서면등의 방법”이라 한다)을 말한다.<개정 2023. 9. 12.>
⑥ 중앙행정기관의 장은 제2항에 따른 동의방법 중 소관 분야의 개인정보처리자별 업무, 업종의 특성 및 정보주체
의 수 등을 고려하여 적절한 동의방법에 관한 기준을 법 제12조제2항에 따른 개인정보 보호지침(이하 “개인정보 보
호지침”이라 한다)으로 정하여 그 기준에 따라 동의를 받도록 개인정보처리자에게 권장할 수 있다.<개정 2015. 12.
30., 2017. 10. 17., 2023. 9. 12.>
제17조의2(아동의 개인정보 보호) ① 개인정보처리자는 법 제22조의2제1항에 따라 법정대리인이 동의했는지를 확인하
는 경우에는 다음 각 호의 어느 하나에 해당하는 방법으로 해야 한다.
1. 동의 내용을 게재한 인터넷 사이트에 법정대리인이 동의 여부를 표시하도록 하고 개인정보처리자가 그 동의 표
시를 확인했음을 법정대리인의 휴대전화 문자메시지로 알리는 방법
2. 동의 내용을 게재한 인터넷 사이트에 법정대리인이 동의 여부를 표시하도록 하고 법정대리인의 신용카드ㆍ직불
카드 등의 카드정보를 제공받는 방법
3. 동의 내용을 게재한 인터넷 사이트에 법정대리인이 동의 여부를 표시하도록 하고 법정대리인의 휴대전화 본인인
증 등을 통하여 본인 여부를 확인하는 방법
4. 동의 내용이 적힌 서면을 법정대리인에게 직접 발급하거나 우편 또는 팩스를 통하여 전달하고, 법정대리인이 동
의 내용에 대하여 서명날인 후 제출하도록 하는 방법
5. 동의 내용이 적힌 전자우편을 발송하고 법정대리인으로부터 동의의 의사표시가 적힌 전자우편을 전송받는 방법
6. 전화를 통하여 동의 내용을 법정대리인에게 알리고 동의를 받거나 인터넷주소 등 동의 내용을 확인할 수 있는 방
법을 안내하고 재차 전화 통화를 통하여 동의를 받는 방법
7. 그 밖에 제1호부터 제6호까지의 규정에 준하는 방법으로서 법정대리인에게 동의 내용을 알리고 동의의 의사표시
를 확인하는 방법
② 법 제22조의2제2항에서 “대통령령으로 정하는 정보”란 법정대리인의 성명 및 연락처에 관한 정보를 말한다.
③ 개인정보처리자는 개인정보 수집 매체의 특성상 동의 내용을 전부 표시하기 어려운 경우에는 인터넷주소 또는
사업장 전화번호 등 동의 내용을 확인할 수 있는 방법을 법정대리인에게 안내할 수 있다.
[본조신설 2023. 9. 12.]
제18조(민감정보의 범위) 법 제23조제1항 각 호 외의 부분 본문에서 “대통령령으로 정하는 정보”란 다음 각 호의 어느
하나에 해당하는 정보를 말한다. 다만, 공공기관이 법 제18조제2항제5호부터 제9호까지의 규정에 따라 다음 각 호의
어느 하나에 해당하는 정보를 처리하는 경우의 해당 정보는 제외한다. <개정 2016. 9. 29., 2020. 8. 4.>
1. 유전자검사 등의 결과로 얻어진 유전정보
2. 「형의 실효 등에 관한 법률」 제2조제5호에 따른 범죄경력자료에 해당하는 정보
3. 개인의 신체적, 생리적, 행동적 특징에 관한 정보로서 특정 개인을 알아볼 목적으로 일정한 기술적 수단을 통해
생성한 정보
본문 9쪽
법제처 9 국가법령정보센터
개인정보 보호법 시행령
4. 인종이나 민족에 관한 정보
제19조(고유식별정보의 범위) 법 제24조제1항 각 호 외의 부분에서 “대통령령으로 정하는 정보”란 다음 각 호의 어느
하나에 해당하는 정보를 말한다. 다만, 공공기관이 법 제18조제2항제5호부터 제9호까지의 규정에 따라 다음 각 호의
어느 하나에 해당하는 정보를 처리하는 경우의 해당 정보는 제외한다. <개정 2016. 9. 29., 2017. 6. 27., 2020. 8. 4.>
1. 「주민등록법」 제7조의2제1항에 따른 주민등록번호
2. 「여권법」 제7조제1항제1호에 따른 여권번호
3. 「도로교통법」 제80조에 따른 운전면허의 면허번호
4. 「출입국관리법」 제31조제5항에 따른 외국인등록번호
제20조 삭제 <2014. 8. 6.>
제21조(고유식별정보의 안전성 확보 조치) ① 법 제24조제3항에 따른 고유식별정보의 안전성 확보 조치에 관하여는 제
30조를 준용한다. 이 경우 “법 제29조”는 “법 제24조제3항”으로, “개인정보”는 “고유식별정보”로 본다. <개정 2020.
8. 4., 2023. 9. 12.>
② 법 제24조제4항에서 “대통령령으로 정하는 기준에 해당하는 개인정보처리자”란 다음 각 호의 어느 하나에 해당
하는 개인정보처리자를 말한다.<개정 2024. 3. 12.>
1. 1만명 이상의 정보주체에 관하여 고유식별정보를 처리하는 공공기관
2. 보호위원회가 법 위반 이력 및 내용ㆍ정도, 고유식별정보 처리의 위험성 등을 고려하여 법 제24조제4항에 따른
조사가 필요하다고 인정하는 공공기관
3. 공공기관 외의 자로서 5만명 이상의 정보주체에 관하여 고유식별정보를 처리하는 자
③ 보호위원회는 제2항 각 호의 어느 하나에 해당하는 개인정보처리자에 대하여 법 제24조제4항에 따라 안전성 확
보에 필요한 조치를 하였는지를 3년마다 1회 이상 조사해야 한다.<개정 2017. 7. 26., 2020. 8. 4., 2024. 3. 12.>
④ 다음 각 호의 어느 하나에 해당하는 경우로서 고유식별정보의 안전성 확보 조치에 대한 점검이 이루어진 경우에
는 제3항에 따른 조사를 실시한 것으로 본다.<신설 2024. 3. 12.>
1. 법 제11조의2에 따라 개인정보 보호수준 평가를 받은 경우
2. 법 제32조의2에 따라 개인정보 보호 인증을 받은 경우
3. 「신용정보의 이용 및 보호에 관한 법률」 제45조의5에 따른 개인신용정보 활용ㆍ관리 실태에 대한 상시평가 등
다른 법률에 따라 고유식별정보의 안전성 확보 조치 이행 여부에 대한 정기적인 점검이 이루어지는 경우로서 관
계 중앙행정기관의 장의 요청에 따라 해당 점검이 제3항에 따른 조사에 준하는 것으로 보호위원회가 인정하는 경
우
⑤ 제3항에 따른 조사는 제2항 각 호의 어느 하나에 해당하는 개인정보처리자에게 온라인 또는 서면을 통하여 필요
한 자료를 제출하게 하는 방법으로 한다.<개정 2024. 3. 12.>
⑥ 법 제24조제5항에서 “대통령령으로 정하는 전문기관”이란 다음 각 호의 기관을 말한다.<개정 2017. 7. 26., 2020.
8. 4., 2024. 3. 12.>
1. 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제52조에 따른 한국인터넷진흥원(이하 “한국인터넷진흥원
”이라 한다)
2. 법 제24조제4항에 따른 조사를 수행할 수 있는 기술적ㆍ재정적 능력과 설비를 보유한 것으로 인정되어 보호위원
회가 정하여 고시하는 법인, 단체 또는 기관
[전문개정 2016. 9. 29.]
제21조의2(주민등록번호 암호화 적용 대상 등) ① 법 제24조의2제2항에 따라 암호화 조치를 하여야 하는 암호화 적용
대상은 주민등록번호를 전자적인 방법으로 보관하는 개인정보처리자로 한다.
② 제1항의 개인정보처리자에 대한 암호화 적용 시기는 다음 각 호와 같다.
개인정보 보호법 시행령
4. 인종이나 민족에 관한 정보
제19조(고유식별정보의 범위) 법 제24조제1항 각 호 외의 부분에서 “대통령령으로 정하는 정보”란 다음 각 호의 어느
하나에 해당하는 정보를 말한다. 다만, 공공기관이 법 제18조제2항제5호부터 제9호까지의 규정에 따라 다음 각 호의
어느 하나에 해당하는 정보를 처리하는 경우의 해당 정보는 제외한다. <개정 2016. 9. 29., 2017. 6. 27., 2020. 8. 4.>
1. 「주민등록법」 제7조의2제1항에 따른 주민등록번호
2. 「여권법」 제7조제1항제1호에 따른 여권번호
3. 「도로교통법」 제80조에 따른 운전면허의 면허번호
4. 「출입국관리법」 제31조제5항에 따른 외국인등록번호
제20조 삭제 <2014. 8. 6.>
제21조(고유식별정보의 안전성 확보 조치) ① 법 제24조제3항에 따른 고유식별정보의 안전성 확보 조치에 관하여는 제
30조를 준용한다. 이 경우 “법 제29조”는 “법 제24조제3항”으로, “개인정보”는 “고유식별정보”로 본다. <개정 2020.
8. 4., 2023. 9. 12.>
② 법 제24조제4항에서 “대통령령으로 정하는 기준에 해당하는 개인정보처리자”란 다음 각 호의 어느 하나에 해당
하는 개인정보처리자를 말한다.<개정 2024. 3. 12.>
1. 1만명 이상의 정보주체에 관하여 고유식별정보를 처리하는 공공기관
2. 보호위원회가 법 위반 이력 및 내용ㆍ정도, 고유식별정보 처리의 위험성 등을 고려하여 법 제24조제4항에 따른
조사가 필요하다고 인정하는 공공기관
3. 공공기관 외의 자로서 5만명 이상의 정보주체에 관하여 고유식별정보를 처리하는 자
③ 보호위원회는 제2항 각 호의 어느 하나에 해당하는 개인정보처리자에 대하여 법 제24조제4항에 따라 안전성 확
보에 필요한 조치를 하였는지를 3년마다 1회 이상 조사해야 한다.<개정 2017. 7. 26., 2020. 8. 4., 2024. 3. 12.>
④ 다음 각 호의 어느 하나에 해당하는 경우로서 고유식별정보의 안전성 확보 조치에 대한 점검이 이루어진 경우에
는 제3항에 따른 조사를 실시한 것으로 본다.<신설 2024. 3. 12.>
1. 법 제11조의2에 따라 개인정보 보호수준 평가를 받은 경우
2. 법 제32조의2에 따라 개인정보 보호 인증을 받은 경우
3. 「신용정보의 이용 및 보호에 관한 법률」 제45조의5에 따른 개인신용정보 활용ㆍ관리 실태에 대한 상시평가 등
다른 법률에 따라 고유식별정보의 안전성 확보 조치 이행 여부에 대한 정기적인 점검이 이루어지는 경우로서 관
계 중앙행정기관의 장의 요청에 따라 해당 점검이 제3항에 따른 조사에 준하는 것으로 보호위원회가 인정하는 경
우
⑤ 제3항에 따른 조사는 제2항 각 호의 어느 하나에 해당하는 개인정보처리자에게 온라인 또는 서면을 통하여 필요
한 자료를 제출하게 하는 방법으로 한다.<개정 2024. 3. 12.>
⑥ 법 제24조제5항에서 “대통령령으로 정하는 전문기관”이란 다음 각 호의 기관을 말한다.<개정 2017. 7. 26., 2020.
8. 4., 2024. 3. 12.>
1. 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제52조에 따른 한국인터넷진흥원(이하 “한국인터넷진흥원
”이라 한다)
2. 법 제24조제4항에 따른 조사를 수행할 수 있는 기술적ㆍ재정적 능력과 설비를 보유한 것으로 인정되어 보호위원
회가 정하여 고시하는 법인, 단체 또는 기관
[전문개정 2016. 9. 29.]
제21조의2(주민등록번호 암호화 적용 대상 등) ① 법 제24조의2제2항에 따라 암호화 조치를 하여야 하는 암호화 적용
대상은 주민등록번호를 전자적인 방법으로 보관하는 개인정보처리자로 한다.
② 제1항의 개인정보처리자에 대한 암호화 적용 시기는 다음 각 호와 같다.
본문 10쪽
법제처 10 국가법령정보센터
개인정보 보호법 시행령
1. 100만명 미만의 정보주체에 관한 주민등록번호를 보관하는 개인정보처리자: 2017년 1월 1일
2. 100만명 이상의 정보주체에 관한 주민등록번호를 보관하는 개인정보처리자: 2018년 1월 1일
③ 보호위원회는 기술적ㆍ 경제적 타당성 등을 고려하여 제1항에 따른 암호화 조치의 세부적인 사항을 정하여 고시
할 수 있다.<개정 2017. 7. 26., 2020. 8. 4.>
[본조신설 2015. 12. 30.]
제22조(고정형 영상정보처리기기 설치ㆍ운영 제한의 예외) ① 법 제25조제1항제6호에서 “대통령령으로 정하는 경우
”란 다음 각 호의 어느 하나에 해당하는 경우를 말한다. <신설 2023. 9. 12.>
1. 출입자 수, 성별, 연령대 등 통계값 또는 통계적 특성값 산출을 위해 촬영된 영상정보를 일시적으로 처리하는 경
우
2. 그 밖에 제1호에 준하는 경우로서 보호위원회의 심의ㆍ의결을 거친 경우
② 법 제25조제2항 단서에서 “대통령령으로 정하는 시설”이란 다음 각 호의 시설을 말한다.<개정 2017. 5. 29.,
2020. 8. 4., 2023. 9. 12.>
1. 「형의 집행 및 수용자의 처우에 관한 법률」 제2조제1호에 따른 교정시설
2. 「정신건강증진 및 정신질환자 복지서비스 지원에 관한 법률」 제3조제5호부터 제7호까지의 규정에 따른 정신의
료기관(수용시설을 갖추고 있는 것만 해당한다), 정신요양시설 및 정신재활시설
③ 중앙행정기관의 장은 소관 분야의 개인정보처리자가 법 제25조제2항 단서에 따라 제2항 각 호의 시설에 고정형
영상정보처리기기를 설치ㆍ운영하는 경우 정보주체의 사생활 침해를 최소화하기 위하여 필요한 세부 사항을 개인
정보 보호지침으로 정하여 그 준수를 권장할 수 있다.<개정 2023. 9. 12.>
[제목개정 2023. 9. 12.]
제23조(고정형 영상정보처리기기 설치 시 의견 수렴) ① 법 제25조제1항 각 호에 따라 고정형 영상정보처리기기를 설
치ㆍ운영하려는 공공기관의 장은 다음 각 호의 어느 하나에 해당하는 절차를 거쳐 관계 전문가 및 이해관계인의 의
견을 수렴하여야 한다. <개정 2023. 9. 12.>
1. 「행정절차법」에 따른 행정예고의 실시 또는 의견청취
2. 해당 고정형 영상정보처리기기의 설치로 직접 영향을 받는 지역 주민 등을 대상으로 하는 설명회ㆍ설문조사 또
는 여론조사
② 법 제25조제2항 단서에 따른 시설에 고정형 영상정보처리기기를 설치ㆍ운영하려는 자는 다음 각 호의 사람으로
부터 의견을 수렴하여야 한다.<개정 2023. 9. 12.>
1. 관계 전문가
2. 해당 시설에 종사하는 사람, 해당 시설에 구금되어 있거나 보호받고 있는 사람 또는 그 사람의 보호자 등 이해관
계인
[제목개정 2023. 9. 12.]
제24조(안내판의 설치 등) ① 법 제25조제1항 각 호에 따라 고정형 영상정보처리기기를 설치ㆍ운영하는 자(이하 “고정
형영상정보처리기기운영자”라 한다)는 고정형 영상정보처리기기가 설치ㆍ운영되고 있음을 정보주체가 쉽게 알아볼
수 있도록 같은 조 제4항 각 호의 사항이 포함된 안내판을 설치하여야 한다. 다만, 건물 안에 여러 개의 고정형 영상
정보처리기기를 설치하는 경우에는 출입구 등 잘 보이는 곳에 해당 시설 또는 장소 전체가 고정형 영상정보처리기
기 설치지역임을 표시하는 안내판을 설치할 수 있다. <개정 2016. 9. 29., 2023. 9. 12.>
1. 삭제<2016. 9. 29.>
2. 삭제<2016. 9. 29.>
3. 삭제<2016. 9. 29.>
② 제1항에도 불구하고 고정형 영상정보처리기기운영자가 설치ㆍ운영하는 고정형 영상정보처리기기가 다음 각 호
의 어느 하나에 해당하는 경우에는 안내판 설치를 갈음하여 고정형영상정보처리기기운영자의 인터넷 홈페이지에
법 제25조제4항 각 호의 사항을 게재할 수 있다.<개정 2016. 9. 29., 2023. 9. 12.>
개인정보 보호법 시행령
1. 100만명 미만의 정보주체에 관한 주민등록번호를 보관하는 개인정보처리자: 2017년 1월 1일
2. 100만명 이상의 정보주체에 관한 주민등록번호를 보관하는 개인정보처리자: 2018년 1월 1일
③ 보호위원회는 기술적ㆍ 경제적 타당성 등을 고려하여 제1항에 따른 암호화 조치의 세부적인 사항을 정하여 고시
할 수 있다.<개정 2017. 7. 26., 2020. 8. 4.>
[본조신설 2015. 12. 30.]
제22조(고정형 영상정보처리기기 설치ㆍ운영 제한의 예외) ① 법 제25조제1항제6호에서 “대통령령으로 정하는 경우
”란 다음 각 호의 어느 하나에 해당하는 경우를 말한다. <신설 2023. 9. 12.>
1. 출입자 수, 성별, 연령대 등 통계값 또는 통계적 특성값 산출을 위해 촬영된 영상정보를 일시적으로 처리하는 경
우
2. 그 밖에 제1호에 준하는 경우로서 보호위원회의 심의ㆍ의결을 거친 경우
② 법 제25조제2항 단서에서 “대통령령으로 정하는 시설”이란 다음 각 호의 시설을 말한다.<개정 2017. 5. 29.,
2020. 8. 4., 2023. 9. 12.>
1. 「형의 집행 및 수용자의 처우에 관한 법률」 제2조제1호에 따른 교정시설
2. 「정신건강증진 및 정신질환자 복지서비스 지원에 관한 법률」 제3조제5호부터 제7호까지의 규정에 따른 정신의
료기관(수용시설을 갖추고 있는 것만 해당한다), 정신요양시설 및 정신재활시설
③ 중앙행정기관의 장은 소관 분야의 개인정보처리자가 법 제25조제2항 단서에 따라 제2항 각 호의 시설에 고정형
영상정보처리기기를 설치ㆍ운영하는 경우 정보주체의 사생활 침해를 최소화하기 위하여 필요한 세부 사항을 개인
정보 보호지침으로 정하여 그 준수를 권장할 수 있다.<개정 2023. 9. 12.>
[제목개정 2023. 9. 12.]
제23조(고정형 영상정보처리기기 설치 시 의견 수렴) ① 법 제25조제1항 각 호에 따라 고정형 영상정보처리기기를 설
치ㆍ운영하려는 공공기관의 장은 다음 각 호의 어느 하나에 해당하는 절차를 거쳐 관계 전문가 및 이해관계인의 의
견을 수렴하여야 한다. <개정 2023. 9. 12.>
1. 「행정절차법」에 따른 행정예고의 실시 또는 의견청취
2. 해당 고정형 영상정보처리기기의 설치로 직접 영향을 받는 지역 주민 등을 대상으로 하는 설명회ㆍ설문조사 또
는 여론조사
② 법 제25조제2항 단서에 따른 시설에 고정형 영상정보처리기기를 설치ㆍ운영하려는 자는 다음 각 호의 사람으로
부터 의견을 수렴하여야 한다.<개정 2023. 9. 12.>
1. 관계 전문가
2. 해당 시설에 종사하는 사람, 해당 시설에 구금되어 있거나 보호받고 있는 사람 또는 그 사람의 보호자 등 이해관
계인
[제목개정 2023. 9. 12.]
제24조(안내판의 설치 등) ① 법 제25조제1항 각 호에 따라 고정형 영상정보처리기기를 설치ㆍ운영하는 자(이하 “고정
형영상정보처리기기운영자”라 한다)는 고정형 영상정보처리기기가 설치ㆍ운영되고 있음을 정보주체가 쉽게 알아볼
수 있도록 같은 조 제4항 각 호의 사항이 포함된 안내판을 설치하여야 한다. 다만, 건물 안에 여러 개의 고정형 영상
정보처리기기를 설치하는 경우에는 출입구 등 잘 보이는 곳에 해당 시설 또는 장소 전체가 고정형 영상정보처리기
기 설치지역임을 표시하는 안내판을 설치할 수 있다. <개정 2016. 9. 29., 2023. 9. 12.>
1. 삭제<2016. 9. 29.>
2. 삭제<2016. 9. 29.>
3. 삭제<2016. 9. 29.>
② 제1항에도 불구하고 고정형 영상정보처리기기운영자가 설치ㆍ운영하는 고정형 영상정보처리기기가 다음 각 호
의 어느 하나에 해당하는 경우에는 안내판 설치를 갈음하여 고정형영상정보처리기기운영자의 인터넷 홈페이지에
법 제25조제4항 각 호의 사항을 게재할 수 있다.<개정 2016. 9. 29., 2023. 9. 12.>
본문 11쪽
법제처 11 국가법령정보센터
개인정보 보호법 시행령
1. 공공기관이 원거리 촬영, 과속ㆍ신호위반 단속 또는 교통흐름조사 등의 목적으로 고정형 영상정보처리기기를 설
치하는 경우로서 개인정보 침해의 우려가 적은 경우
2. 산불감시용 고정형 영상정보처리기기를 설치하는 경우 등 장소적 특성으로 인하여 안내판을 설치하는 것이 불가
능하거나 안내판을 설치하더라도 정보주체가 쉽게 알아볼 수 없는 경우
③ 제2항에 따라 인터넷 홈페이지에 법 제25조제4항 각 호의 사항을 게재할 수 없으면 고정형영상정보처리기기운
영자는 다음 각 호의 어느 하나 이상의 방법으로 법 제25조제4항 각 호의 사항을 공개하여야 한다.<개정 2016. 9.
29., 2020. 8. 4., 2023. 9. 12.>
1. 고정형영상정보처리기기운영자의 사업장ㆍ영업소ㆍ사무소ㆍ점포 등(이하 “사업장등”이라 한다)의 보기 쉬운 장
소에 게시하는 방법
2. 관보(고정형영상정보처리기기운영자가 공공기관인 경우만 해당한다)나 고정형영상정보처리기기운영자의 사업장
등이 있는 시ㆍ도 이상의 지역을 주된 보급지역으로 하는 「신문 등의 진흥에 관한 법률」 제2조제1호가목ㆍ다목
또는 같은 조 제2호에 따른 일반일간신문ㆍ일반주간신문 또는 인터넷신문에 싣는 방법
④ 법 제25조제4항 각 호 외의 부분 단서에서 “대통령령으로 정하는 시설”이란 「보안업무규정」 제32조에 따른 국
가보안시설을 말한다.<개정 2016. 9. 29.>
제25조(고정형 영상정보처리기기 운영ㆍ관리 방침) ① 고정형영상정보처리기기운영자는 법 제25조제7항에 따라 다음
각 호의 사항이 포함된 고정형 영상정보처리기기 운영ㆍ관리 방침을 마련해야 한다. <개정 2023. 9. 12.>
1. 고정형 영상정보처리기기의 설치 근거 및 설치 목적
2. 고정형 영상정보처리기기의 설치 대수, 설치 위치 및 촬영 범위
3. 관리책임자, 담당 부서 및 영상정보에 대한 접근 권한이 있는 사람
4. 영상정보의 촬영시간, 보관기간, 보관장소 및 처리방법
5. 고정형영상정보처리기기운영자의 영상정보 확인 방법 및 장소
6. 정보주체의 영상정보 열람 등 요구에 대한 조치
7. 영상정보 보호를 위한 기술적ㆍ관리적 및 물리적 조치
8. 그 밖에 고정형 영상정보처리기기의 설치ㆍ운영 및 관리에 필요한 사항
② 제1항에 따라 마련한 고정형 영상정보처리기기 운영ㆍ관리 방침의 공개에 관하여는 제31조제2항 및 제3항을 준
용한다. 이 경우 “개인정보처리자”는 “고정형영상정보처리기기운영자”로, “법 제30조제2항”은 “법 제25조제7항”으
로, “개인정보 처리방침”은 “고정형 영상정보처리기기 운영ㆍ관리 방침”으로 본다.<개정 2023. 9. 12.>
[제목개정 2023. 9. 12.]
제26조(공공기관의 고정형 영상정보처리기기 설치ㆍ운영 사무의 위탁) ① 법 제25조제8항 단서에 따라 공공기관이 고
정형 영상정보처리기기의 설치ㆍ운영에 관한 사무를 위탁하는 경우에는 다음 각 호의 내용이 포함된 문서로 하여야
한다. <개정 2023. 9. 12.>
1. 위탁하는 사무의 목적 및 범위
2. 재위탁 제한에 관한 사항
3. 영상정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항
4. 영상정보의 관리 현황 점검에 관한 사항
5. 위탁받는 자가 준수하여야 할 의무를 위반한 경우의 손해배상 등 책임에 관한 사항
② 제1항에 따라 사무를 위탁한 경우에는 제24조제1항부터 제3항까지의 규정에 따른 안내판 등에 위탁받는 자의
명칭 및 연락처를 포함시켜야 한다.
[제목개정 2023. 9. 12.]
제27조(이동형 영상정보처리기기 운영 제한의 예외) 법 제25조의2제2항 단서에서 “대통령령으로 정하는 경우”란 범죄,
화재, 재난 또는 이에 준하는 상황에서 인명의 구조ㆍ구급 등을 위하여 사람 또는 그 사람과 관련된 사물의 영상(개
인정보에 해당하는 경우로 한정한다. 이하 같다)의 촬영이 필요한 경우를 말한다.
개인정보 보호법 시행령
1. 공공기관이 원거리 촬영, 과속ㆍ신호위반 단속 또는 교통흐름조사 등의 목적으로 고정형 영상정보처리기기를 설
치하는 경우로서 개인정보 침해의 우려가 적은 경우
2. 산불감시용 고정형 영상정보처리기기를 설치하는 경우 등 장소적 특성으로 인하여 안내판을 설치하는 것이 불가
능하거나 안내판을 설치하더라도 정보주체가 쉽게 알아볼 수 없는 경우
③ 제2항에 따라 인터넷 홈페이지에 법 제25조제4항 각 호의 사항을 게재할 수 없으면 고정형영상정보처리기기운
영자는 다음 각 호의 어느 하나 이상의 방법으로 법 제25조제4항 각 호의 사항을 공개하여야 한다.<개정 2016. 9.
29., 2020. 8. 4., 2023. 9. 12.>
1. 고정형영상정보처리기기운영자의 사업장ㆍ영업소ㆍ사무소ㆍ점포 등(이하 “사업장등”이라 한다)의 보기 쉬운 장
소에 게시하는 방법
2. 관보(고정형영상정보처리기기운영자가 공공기관인 경우만 해당한다)나 고정형영상정보처리기기운영자의 사업장
등이 있는 시ㆍ도 이상의 지역을 주된 보급지역으로 하는 「신문 등의 진흥에 관한 법률」 제2조제1호가목ㆍ다목
또는 같은 조 제2호에 따른 일반일간신문ㆍ일반주간신문 또는 인터넷신문에 싣는 방법
④ 법 제25조제4항 각 호 외의 부분 단서에서 “대통령령으로 정하는 시설”이란 「보안업무규정」 제32조에 따른 국
가보안시설을 말한다.<개정 2016. 9. 29.>
제25조(고정형 영상정보처리기기 운영ㆍ관리 방침) ① 고정형영상정보처리기기운영자는 법 제25조제7항에 따라 다음
각 호의 사항이 포함된 고정형 영상정보처리기기 운영ㆍ관리 방침을 마련해야 한다. <개정 2023. 9. 12.>
1. 고정형 영상정보처리기기의 설치 근거 및 설치 목적
2. 고정형 영상정보처리기기의 설치 대수, 설치 위치 및 촬영 범위
3. 관리책임자, 담당 부서 및 영상정보에 대한 접근 권한이 있는 사람
4. 영상정보의 촬영시간, 보관기간, 보관장소 및 처리방법
5. 고정형영상정보처리기기운영자의 영상정보 확인 방법 및 장소
6. 정보주체의 영상정보 열람 등 요구에 대한 조치
7. 영상정보 보호를 위한 기술적ㆍ관리적 및 물리적 조치
8. 그 밖에 고정형 영상정보처리기기의 설치ㆍ운영 및 관리에 필요한 사항
② 제1항에 따라 마련한 고정형 영상정보처리기기 운영ㆍ관리 방침의 공개에 관하여는 제31조제2항 및 제3항을 준
용한다. 이 경우 “개인정보처리자”는 “고정형영상정보처리기기운영자”로, “법 제30조제2항”은 “법 제25조제7항”으
로, “개인정보 처리방침”은 “고정형 영상정보처리기기 운영ㆍ관리 방침”으로 본다.<개정 2023. 9. 12.>
[제목개정 2023. 9. 12.]
제26조(공공기관의 고정형 영상정보처리기기 설치ㆍ운영 사무의 위탁) ① 법 제25조제8항 단서에 따라 공공기관이 고
정형 영상정보처리기기의 설치ㆍ운영에 관한 사무를 위탁하는 경우에는 다음 각 호의 내용이 포함된 문서로 하여야
한다. <개정 2023. 9. 12.>
1. 위탁하는 사무의 목적 및 범위
2. 재위탁 제한에 관한 사항
3. 영상정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항
4. 영상정보의 관리 현황 점검에 관한 사항
5. 위탁받는 자가 준수하여야 할 의무를 위반한 경우의 손해배상 등 책임에 관한 사항
② 제1항에 따라 사무를 위탁한 경우에는 제24조제1항부터 제3항까지의 규정에 따른 안내판 등에 위탁받는 자의
명칭 및 연락처를 포함시켜야 한다.
[제목개정 2023. 9. 12.]
제27조(이동형 영상정보처리기기 운영 제한의 예외) 법 제25조의2제2항 단서에서 “대통령령으로 정하는 경우”란 범죄,
화재, 재난 또는 이에 준하는 상황에서 인명의 구조ㆍ구급 등을 위하여 사람 또는 그 사람과 관련된 사물의 영상(개
인정보에 해당하는 경우로 한정한다. 이하 같다)의 촬영이 필요한 경우를 말한다.
본문 12쪽
법제처 12 국가법령정보센터
개인정보 보호법 시행령
[본조신설 2023. 9. 12.]
[종전 제27조는 제27조의3으로 이동 <2023. 9. 12.>]
제27조의2(이동형 영상정보처리기기 촬영 사실 표시 등) 법 제25조의2제1항 각 호에 해당하여 이동형 영상정보처리기
기로 사람 또는 그 사람과 관련된 사물의 영상을 촬영하는 경우에는 불빛, 소리, 안내판, 안내서면, 안내방송 또는 그
밖에 이에 준하는 수단이나 방법으로 정보주체가 촬영 사실을 쉽게 알 수 있도록 표시하고 알려야 한다. 다만, 드론
을 이용한 항공촬영 등 촬영 방법의 특성으로 인해 정보주체에게 촬영 사실을 알리기 어려운 경우에는 보호위원회
가 구축하는 인터넷 사이트에 공지하는 방법으로 알릴 수 있다.
[본조신설 2023. 9. 12.]
제27조의3(영상정보처리기기 설치ㆍ운영 지침) 보호위원회는 법 및 이 영에서 규정한 사항 외에 고정형 영상정보처리
기기의 설치ㆍ운영 및 이동형 영상정보처리기기의 운영에 관한 기준, 설치ㆍ운영 사무의 위탁 등에 관하여 법 제
12조제1항에 따른 표준 개인정보 보호지침을 정하여 고정형영상정보처리기기운영자와 이동형 영상정보처리기기를
운영하는 자에게 그 준수를 권장할 수 있다. <개정 2013. 3. 23., 2014. 11. 19., 2017. 7. 26., 2020. 8. 4., 2023. 9. 12.>
[제27조에서 이동 <2023. 9. 12.>]
제28조(개인정보의 처리 업무 위탁 시 조치) ① 법 제26조제1항제3호에서 “대통령령으로 정한 사항”이란 다음 각 호의
사항을 말한다.
1. 위탁업무의 목적 및 범위
2. 재위탁 제한에 관한 사항
3. 개인정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항
4. 위탁업무와 관련하여 보유하고 있는 개인정보의 관리 현황 점검 등 감독에 관한 사항
5. 법 제26조제2항에 따른 수탁자(이하 “수탁자”라 한다)가 준수하여야 할 의무를 위반한 경우의 손해배상 등 책임
에 관한 사항
② 법 제26조제2항에서 “대통령령으로 정하는 방법”이란 개인정보 처리 업무를 위탁하는 개인정보처리자(이하 “위
탁자”라 한다)가 위탁자의 인터넷 홈페이지에 위탁하는 업무의 내용과 수탁자를 지속적으로 게재하는 방법을 말한
다.
③ 제2항에 따라 인터넷 홈페이지에 게재할 수 없는 경우에는 다음 각 호의 어느 하나 이상의 방법으로 위탁하는
업무의 내용과 수탁자를 공개하여야 한다.<개정 2023. 9. 12.>
1. 위탁자의 사업장등의 보기 쉬운 장소에 게시하는 방법
2. 관보(위탁자가 공공기관인 경우만 해당한다)나 위탁자의 사업장등이 있는 시ㆍ도 이상의 지역을 주된 보급지역
으로 하는 「신문 등의 진흥에 관한 법률」 제2조제1호가목ㆍ다목 및 같은 조 제2호에 따른 일반일간신문, 일반주
간신문 또는 인터넷신문에 싣는 방법
3. 같은 제목으로 연 2회 이상 발행하여 정보주체에게 배포하는 간행물ㆍ소식지ㆍ홍보지 또는 청구서 등에 지속적
으로 싣는 방법
4. 재화나 서비스를 제공하기 위하여 위탁자와 정보주체가 작성한 계약서 등에 실어 정보주체에게 발급하는 방법
④ 법 제26조제3항 전단에서 “대통령령으로 정하는 방법”이란 서면등의 방법을 말한다.<개정 2023. 9. 12.>
⑤ 위탁자가 과실 없이 제4항에 따른 방법으로 위탁하는 업무의 내용과 수탁자를 정보주체에게 알릴 수 없는 경우
에는 해당 사항을 인터넷 홈페이지에 30일 이상 게재하여야 한다. 다만, 인터넷 홈페이지를 운영하지 아니하는 위탁
자의 경우에는 사업장등의 보기 쉬운 장소에 30일 이상 게시하여야 한다.
⑥ 위탁자는 수탁자가 개인정보 처리 업무를 수행하는 경우에 법 또는 이 영에 따라 개인정보처리자가 준수하여야
할 사항과 법 제26조제1항 각 호의 사항을 준수하는지를 같은 조 제4항에 따라 감독하여야 한다.
제29조(영업양도 등에 따른 개인정보 이전의 통지) ① 법 제27조제1항 각 호 외의 부분과 같은 조 제2항 본문에서 “대
통령령으로 정하는 방법”이란 서면등의 방법을 말한다.
개인정보 보호법 시행령
[본조신설 2023. 9. 12.]
[종전 제27조는 제27조의3으로 이동 <2023. 9. 12.>]
제27조의2(이동형 영상정보처리기기 촬영 사실 표시 등) 법 제25조의2제1항 각 호에 해당하여 이동형 영상정보처리기
기로 사람 또는 그 사람과 관련된 사물의 영상을 촬영하는 경우에는 불빛, 소리, 안내판, 안내서면, 안내방송 또는 그
밖에 이에 준하는 수단이나 방법으로 정보주체가 촬영 사실을 쉽게 알 수 있도록 표시하고 알려야 한다. 다만, 드론
을 이용한 항공촬영 등 촬영 방법의 특성으로 인해 정보주체에게 촬영 사실을 알리기 어려운 경우에는 보호위원회
가 구축하는 인터넷 사이트에 공지하는 방법으로 알릴 수 있다.
[본조신설 2023. 9. 12.]
제27조의3(영상정보처리기기 설치ㆍ운영 지침) 보호위원회는 법 및 이 영에서 규정한 사항 외에 고정형 영상정보처리
기기의 설치ㆍ운영 및 이동형 영상정보처리기기의 운영에 관한 기준, 설치ㆍ운영 사무의 위탁 등에 관하여 법 제
12조제1항에 따른 표준 개인정보 보호지침을 정하여 고정형영상정보처리기기운영자와 이동형 영상정보처리기기를
운영하는 자에게 그 준수를 권장할 수 있다. <개정 2013. 3. 23., 2014. 11. 19., 2017. 7. 26., 2020. 8. 4., 2023. 9. 12.>
[제27조에서 이동 <2023. 9. 12.>]
제28조(개인정보의 처리 업무 위탁 시 조치) ① 법 제26조제1항제3호에서 “대통령령으로 정한 사항”이란 다음 각 호의
사항을 말한다.
1. 위탁업무의 목적 및 범위
2. 재위탁 제한에 관한 사항
3. 개인정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항
4. 위탁업무와 관련하여 보유하고 있는 개인정보의 관리 현황 점검 등 감독에 관한 사항
5. 법 제26조제2항에 따른 수탁자(이하 “수탁자”라 한다)가 준수하여야 할 의무를 위반한 경우의 손해배상 등 책임
에 관한 사항
② 법 제26조제2항에서 “대통령령으로 정하는 방법”이란 개인정보 처리 업무를 위탁하는 개인정보처리자(이하 “위
탁자”라 한다)가 위탁자의 인터넷 홈페이지에 위탁하는 업무의 내용과 수탁자를 지속적으로 게재하는 방법을 말한
다.
③ 제2항에 따라 인터넷 홈페이지에 게재할 수 없는 경우에는 다음 각 호의 어느 하나 이상의 방법으로 위탁하는
업무의 내용과 수탁자를 공개하여야 한다.<개정 2023. 9. 12.>
1. 위탁자의 사업장등의 보기 쉬운 장소에 게시하는 방법
2. 관보(위탁자가 공공기관인 경우만 해당한다)나 위탁자의 사업장등이 있는 시ㆍ도 이상의 지역을 주된 보급지역
으로 하는 「신문 등의 진흥에 관한 법률」 제2조제1호가목ㆍ다목 및 같은 조 제2호에 따른 일반일간신문, 일반주
간신문 또는 인터넷신문에 싣는 방법
3. 같은 제목으로 연 2회 이상 발행하여 정보주체에게 배포하는 간행물ㆍ소식지ㆍ홍보지 또는 청구서 등에 지속적
으로 싣는 방법
4. 재화나 서비스를 제공하기 위하여 위탁자와 정보주체가 작성한 계약서 등에 실어 정보주체에게 발급하는 방법
④ 법 제26조제3항 전단에서 “대통령령으로 정하는 방법”이란 서면등의 방법을 말한다.<개정 2023. 9. 12.>
⑤ 위탁자가 과실 없이 제4항에 따른 방법으로 위탁하는 업무의 내용과 수탁자를 정보주체에게 알릴 수 없는 경우
에는 해당 사항을 인터넷 홈페이지에 30일 이상 게재하여야 한다. 다만, 인터넷 홈페이지를 운영하지 아니하는 위탁
자의 경우에는 사업장등의 보기 쉬운 장소에 30일 이상 게시하여야 한다.
⑥ 위탁자는 수탁자가 개인정보 처리 업무를 수행하는 경우에 법 또는 이 영에 따라 개인정보처리자가 준수하여야
할 사항과 법 제26조제1항 각 호의 사항을 준수하는지를 같은 조 제4항에 따라 감독하여야 한다.
제29조(영업양도 등에 따른 개인정보 이전의 통지) ① 법 제27조제1항 각 호 외의 부분과 같은 조 제2항 본문에서 “대
통령령으로 정하는 방법”이란 서면등의 방법을 말한다.
본문 13쪽
법제처 13 국가법령정보센터
개인정보 보호법 시행령
② 법 제27조제1항에 따라 개인정보를 이전하려는 자(이하 이 항에서 “영업양도자등”이라 한다)가 과실 없이 제1항
에 따른 방법으로 법 제27조제1항 각 호의 사항을 정보주체에게 알릴 수 없는 경우에는 해당 사항을 인터넷 홈페이
지에 30일 이상 게재하여야 한다. 다만, 인터넷 홈페이지에 게재할 수 없는 정당한 사유가 있는 경우에는 다음 각
호의 어느 하나의 방법으로 법 제27조제1항 각 호의 사항을 정보주체에게 알릴 수 있다.<개정 2020. 8. 4.>
1. 영업양도자등의 사업장등의 보기 쉬운 장소에 30일 이상 게시하는 방법
2. 영업양도자등의 사업장등이 있는 시ㆍ도 이상의 지역을 주된 보급지역으로 하는 「신문 등의 진흥에 관한 법률」
제2조제1호가목ㆍ다목 또는 같은 조 제2호에 따른 일반일간신문ㆍ일반주간신문 또는 인터넷신문에 싣는 방법
제4장의2 가명정보의 처리에 관한 특례 <신설 2020. 8. 4.>
제29조의2(결합전문기관의 지정 및 지정 취소) ① 법 제28조의3제1항에 따른 전문기관(이하 “결합전문기관”이라 한다
)의 지정 기준은 다음 각 호와 같다. <개정 2025. 2. 25.>
1. 보호위원회가 정하여 고시하는 바에 따라 가명정보의 결합ㆍ반출 업무를 담당하는 조직을 구성하고, 개인정보
보호와 관련된 자격이나 경력을 갖춘 사람을 3명 이상 상시 고용할 것
2. 보호위원회가 정하여 고시하는 바에 따라 가명정보를 안전하게 결합하기 위하여 필요한 공간, 시설 및 장비를 구
축하고 가명정보의 결합ㆍ반출 관련 정책 및 절차 등을 마련할 것
3. 보호위원회가 정하여 고시하는 기준에 따른 재정 능력을 갖출 것
4. 최근 3년 이내에 법 제66조제1항에 따라 공표되거나 같은 조 제2항에 따른 공표명령을 받은 사실이 없을 것
5. 최근 1년 이내에 제4항에 따른 유효기간 연장 신청을 하였으나 재지정되지 않은 사실 또는 제5항에 따라 지정 취
소된 사실이 없을 것
② 법인, 단체 또는 기관이 법 제28조의3제1항에 따라 결합전문기관으로 지정을 받으려는 경우에는 보호위원회가
정하여 고시하는 결합전문기관 지정신청서에 다음 각 호의 서류(전자문서를 포함한다. 이하 같다)를 첨부하여 보호
위원회 또는 관계 중앙행정기관의 장에게 제출해야 한다.
1. 정관 또는 규약
2. 제1항에 따른 지정 기준을 갖추었음을 증명할 수 있는 서류로서 보호위원회가 정하여 고시하는 서류
③ 보호위원회 또는 관계 중앙행정기관의 장은 제2항에 따라 지정신청서를 제출한 법인, 단체 또는 기관이 제1항에
따른 지정 기준에 적합한 경우에는 결합전문기관으로 지정할 수 있다.
④ 결합전문기관 지정의 유효기간은 지정을 받은 날부터 3년으로 하며, 보호위원회 또는 관계 중앙행정기관의 장은
결합전문기관이 유효기간의 연장을 신청하면 다음 각 호의 사항을 검토하여 결합전문기관으로 재지정할 수 있다.
<개정 2025. 2. 25.>
1. 제1항에 따른 지정 기준에 적합한지 여부
2. 향후 업무 수행 계획이 지정 목적 달성에 적합한지 여부
3. 지정 목적에 따라 업무를 제대로 수행했는지 여부
4. 제29조의3제5항에 따른 비용을 과다하게 청구하는 등 결합을 부당하게 제한했는지 여부
⑤ 보호위원회 또는 관계 중앙행정기관의 장은 결합전문기관이 다음 각 호의 어느 하나에 해당하는 경우에는 결합
전문기관의 지정을 취소할 수 있다. 다만, 제1호 또는 제2호에 해당하는 경우에는 지정을 취소해야 한다.
1. 거짓이나 부정한 방법으로 결합전문기관으로 지정을 받은 경우
2. 결합전문기관 스스로 지정 취소를 요청하거나 폐업한 경우
3. 제1항에 따른 결합전문기관의 지정 기준을 충족하지 못하게 된 경우
4. 결합 및 반출 등과 관련된 정보의 유출 등 개인정보 침해사고가 발생한 경우
5. 그 밖에 법 또는 이 영에 따른 의무를 위반한 경우
⑥ 보호위원회 또는 관계 중앙행정기관의 장은 제5항에 따라 결합전문기관의 지정을 취소하려는 경우에는 청문을
해야 한다.
개인정보 보호법 시행령
② 법 제27조제1항에 따라 개인정보를 이전하려는 자(이하 이 항에서 “영업양도자등”이라 한다)가 과실 없이 제1항
에 따른 방법으로 법 제27조제1항 각 호의 사항을 정보주체에게 알릴 수 없는 경우에는 해당 사항을 인터넷 홈페이
지에 30일 이상 게재하여야 한다. 다만, 인터넷 홈페이지에 게재할 수 없는 정당한 사유가 있는 경우에는 다음 각
호의 어느 하나의 방법으로 법 제27조제1항 각 호의 사항을 정보주체에게 알릴 수 있다.<개정 2020. 8. 4.>
1. 영업양도자등의 사업장등의 보기 쉬운 장소에 30일 이상 게시하는 방법
2. 영업양도자등의 사업장등이 있는 시ㆍ도 이상의 지역을 주된 보급지역으로 하는 「신문 등의 진흥에 관한 법률」
제2조제1호가목ㆍ다목 또는 같은 조 제2호에 따른 일반일간신문ㆍ일반주간신문 또는 인터넷신문에 싣는 방법
제4장의2 가명정보의 처리에 관한 특례 <신설 2020. 8. 4.>
제29조의2(결합전문기관의 지정 및 지정 취소) ① 법 제28조의3제1항에 따른 전문기관(이하 “결합전문기관”이라 한다
)의 지정 기준은 다음 각 호와 같다. <개정 2025. 2. 25.>
1. 보호위원회가 정하여 고시하는 바에 따라 가명정보의 결합ㆍ반출 업무를 담당하는 조직을 구성하고, 개인정보
보호와 관련된 자격이나 경력을 갖춘 사람을 3명 이상 상시 고용할 것
2. 보호위원회가 정하여 고시하는 바에 따라 가명정보를 안전하게 결합하기 위하여 필요한 공간, 시설 및 장비를 구
축하고 가명정보의 결합ㆍ반출 관련 정책 및 절차 등을 마련할 것
3. 보호위원회가 정하여 고시하는 기준에 따른 재정 능력을 갖출 것
4. 최근 3년 이내에 법 제66조제1항에 따라 공표되거나 같은 조 제2항에 따른 공표명령을 받은 사실이 없을 것
5. 최근 1년 이내에 제4항에 따른 유효기간 연장 신청을 하였으나 재지정되지 않은 사실 또는 제5항에 따라 지정 취
소된 사실이 없을 것
② 법인, 단체 또는 기관이 법 제28조의3제1항에 따라 결합전문기관으로 지정을 받으려는 경우에는 보호위원회가
정하여 고시하는 결합전문기관 지정신청서에 다음 각 호의 서류(전자문서를 포함한다. 이하 같다)를 첨부하여 보호
위원회 또는 관계 중앙행정기관의 장에게 제출해야 한다.
1. 정관 또는 규약
2. 제1항에 따른 지정 기준을 갖추었음을 증명할 수 있는 서류로서 보호위원회가 정하여 고시하는 서류
③ 보호위원회 또는 관계 중앙행정기관의 장은 제2항에 따라 지정신청서를 제출한 법인, 단체 또는 기관이 제1항에
따른 지정 기준에 적합한 경우에는 결합전문기관으로 지정할 수 있다.
④ 결합전문기관 지정의 유효기간은 지정을 받은 날부터 3년으로 하며, 보호위원회 또는 관계 중앙행정기관의 장은
결합전문기관이 유효기간의 연장을 신청하면 다음 각 호의 사항을 검토하여 결합전문기관으로 재지정할 수 있다.
<개정 2025. 2. 25.>
1. 제1항에 따른 지정 기준에 적합한지 여부
2. 향후 업무 수행 계획이 지정 목적 달성에 적합한지 여부
3. 지정 목적에 따라 업무를 제대로 수행했는지 여부
4. 제29조의3제5항에 따른 비용을 과다하게 청구하는 등 결합을 부당하게 제한했는지 여부
⑤ 보호위원회 또는 관계 중앙행정기관의 장은 결합전문기관이 다음 각 호의 어느 하나에 해당하는 경우에는 결합
전문기관의 지정을 취소할 수 있다. 다만, 제1호 또는 제2호에 해당하는 경우에는 지정을 취소해야 한다.
1. 거짓이나 부정한 방법으로 결합전문기관으로 지정을 받은 경우
2. 결합전문기관 스스로 지정 취소를 요청하거나 폐업한 경우
3. 제1항에 따른 결합전문기관의 지정 기준을 충족하지 못하게 된 경우
4. 결합 및 반출 등과 관련된 정보의 유출 등 개인정보 침해사고가 발생한 경우
5. 그 밖에 법 또는 이 영에 따른 의무를 위반한 경우
⑥ 보호위원회 또는 관계 중앙행정기관의 장은 제5항에 따라 결합전문기관의 지정을 취소하려는 경우에는 청문을
해야 한다.
본문 14쪽
법제처 14 국가법령정보센터
개인정보 보호법 시행령
⑦ 보호위원회 또는 관계 중앙행정기관의 장은 결합전문기관을 지정, 재지정 또는 지정 취소한 경우에는 이를 관보
에 공고하거나 보호위원회 또는 해당 관계 중앙행정기관의 홈페이지에 게시해야 한다. 이 경우 관계 중앙행정기관
의 장이 결합전문기관을 지정, 재지정, 또는 지정 취소한 경우에는 보호위원회에 통보해야 한다.
⑧ 제1항부터 제7항까지에서 규정한 사항 외에 결합전문기관의 지정, 재지정 및 지정 취소 등에 필요한 사항은 보
호위원회가 정하여 고시한다.
[본조신설 2020. 8. 4.]
제29조의3(개인정보처리자 간 가명정보의 결합 및 반출 등) ① 결합전문기관에 가명정보의 결합을 신청하려는 개인정
보처리자(이하 “결합신청자”라 한다)는 보호위원회가 정하여 고시하는 결합신청서에 다음 각 호의 서류를 첨부하여
결합전문기관에 제출해야 한다.
1. 사업자등록증, 법인등기부등본 등 결합신청자 관련 서류
2. 결합 대상 가명정보에 관한 서류
3. 결합 목적을 증명할 수 있는 서류
4. 그 밖에 가명정보의 결합 및 반출에 필요하다고 보호위원회가 정하여 고시하는 서류
② 결합전문기관은 법 제28조의3제1항에 따라 가명정보를 결합하는 경우에는 특정 개인을 알아볼 수 없도록 해야
한다. 이 경우 보호위원회는 필요하면 한국인터넷진흥원 또는 보호위원회가 지정하여 고시하는 기관으로 하여금 특
정 개인을 알아볼 수 없도록 하는 데에 필요한 업무를 지원하도록 할 수 있다.
③ 결합신청자는 법 제28조의3제2항에 따라 결합전문기관이 결합한 정보를 결합전문기관 외부로 반출하려는 경우
에는 결합전문기관에 설치된 안전성 확보에 필요한 기술적ㆍ관리적ㆍ물리적 조치가 된 공간에서 제2항에 따라 결
합된 정보를 가명정보 또는 법 제58조의2에 해당하는 정보로 처리한 뒤 결합전문기관의 승인을 받아야 한다.
④ 결합전문기관은 다음 각 호의 기준을 충족하는 경우에는 법 제28조의3제2항에 따른 반출을 승인해야 한다. 이
경우 결합전문기관은 결합된 정보의 반출을 승인하기 위하여 반출심사위원회를 구성해야 한다.
1. 결합 목적과 반출 정보가 관련성이 있을 것
2. 특정 개인을 알아볼 가능성이 없을 것
3. 반출 정보에 대한 안전조치 계획이 있을 것
⑤ 결합전문기관은 결합 및 반출 등에 필요한 비용을 결합신청자에게 청구할 수 있다.
⑥ 제1항부터 제5항까지에서 규정한 사항 외에 가명정보의 결합 절차와 방법, 반출 및 승인 등에 필요한 사항은 보
호위원회가 정하여 고시한다.
[본조신설 2020. 8. 4.]
제29조의4(결합전문기관의 관리ㆍ감독 등) ① 보호위원회 또는 관계 중앙행정기관의 장은 결합전문기관을 지정한 경
우에는 해당 결합전문기관의 업무 수행능력 및 기술ㆍ시설 유지 여부 등을 관리ㆍ감독해야 한다.
② 결합전문기관은 제1항에 따른 관리ㆍ감독을 위하여 다음 각 호의 서류를 보호위원회가 정하여 고시하는 바에 따
라 보호위원회 또는 관계 중앙행정기관의 장에게 제출해야 한다.<개정 2025. 2. 25.>
1. 가명정보의 결합ㆍ반출 실적보고서
2. 결합전문기관의 지정 기준을 유지하고 있음을 증명할 수 있는 서류
3. 가명정보의 안전성 확보에 필요한 조치를 하고 있음을 증명할 수 있는 서류로서 보호위원회가 정하여 고시하는
서류
③ 보호위원회는 다음 각 호의 사항을 관리ㆍ감독해야 한다.
1. 결합전문기관의 가명정보의 결합 및 반출 승인 과정에서의 법 위반 여부
2. 결합신청자의 가명정보 처리 실태
3. 그 밖에 가명정보의 안전한 처리를 위하여 필요한 사항으로서 보호위원회가 정하여 고시하는 사항
[본조신설 2020. 8. 4.]
개인정보 보호법 시행령
⑦ 보호위원회 또는 관계 중앙행정기관의 장은 결합전문기관을 지정, 재지정 또는 지정 취소한 경우에는 이를 관보
에 공고하거나 보호위원회 또는 해당 관계 중앙행정기관의 홈페이지에 게시해야 한다. 이 경우 관계 중앙행정기관
의 장이 결합전문기관을 지정, 재지정, 또는 지정 취소한 경우에는 보호위원회에 통보해야 한다.
⑧ 제1항부터 제7항까지에서 규정한 사항 외에 결합전문기관의 지정, 재지정 및 지정 취소 등에 필요한 사항은 보
호위원회가 정하여 고시한다.
[본조신설 2020. 8. 4.]
제29조의3(개인정보처리자 간 가명정보의 결합 및 반출 등) ① 결합전문기관에 가명정보의 결합을 신청하려는 개인정
보처리자(이하 “결합신청자”라 한다)는 보호위원회가 정하여 고시하는 결합신청서에 다음 각 호의 서류를 첨부하여
결합전문기관에 제출해야 한다.
1. 사업자등록증, 법인등기부등본 등 결합신청자 관련 서류
2. 결합 대상 가명정보에 관한 서류
3. 결합 목적을 증명할 수 있는 서류
4. 그 밖에 가명정보의 결합 및 반출에 필요하다고 보호위원회가 정하여 고시하는 서류
② 결합전문기관은 법 제28조의3제1항에 따라 가명정보를 결합하는 경우에는 특정 개인을 알아볼 수 없도록 해야
한다. 이 경우 보호위원회는 필요하면 한국인터넷진흥원 또는 보호위원회가 지정하여 고시하는 기관으로 하여금 특
정 개인을 알아볼 수 없도록 하는 데에 필요한 업무를 지원하도록 할 수 있다.
③ 결합신청자는 법 제28조의3제2항에 따라 결합전문기관이 결합한 정보를 결합전문기관 외부로 반출하려는 경우
에는 결합전문기관에 설치된 안전성 확보에 필요한 기술적ㆍ관리적ㆍ물리적 조치가 된 공간에서 제2항에 따라 결
합된 정보를 가명정보 또는 법 제58조의2에 해당하는 정보로 처리한 뒤 결합전문기관의 승인을 받아야 한다.
④ 결합전문기관은 다음 각 호의 기준을 충족하는 경우에는 법 제28조의3제2항에 따른 반출을 승인해야 한다. 이
경우 결합전문기관은 결합된 정보의 반출을 승인하기 위하여 반출심사위원회를 구성해야 한다.
1. 결합 목적과 반출 정보가 관련성이 있을 것
2. 특정 개인을 알아볼 가능성이 없을 것
3. 반출 정보에 대한 안전조치 계획이 있을 것
⑤ 결합전문기관은 결합 및 반출 등에 필요한 비용을 결합신청자에게 청구할 수 있다.
⑥ 제1항부터 제5항까지에서 규정한 사항 외에 가명정보의 결합 절차와 방법, 반출 및 승인 등에 필요한 사항은 보
호위원회가 정하여 고시한다.
[본조신설 2020. 8. 4.]
제29조의4(결합전문기관의 관리ㆍ감독 등) ① 보호위원회 또는 관계 중앙행정기관의 장은 결합전문기관을 지정한 경
우에는 해당 결합전문기관의 업무 수행능력 및 기술ㆍ시설 유지 여부 등을 관리ㆍ감독해야 한다.
② 결합전문기관은 제1항에 따른 관리ㆍ감독을 위하여 다음 각 호의 서류를 보호위원회가 정하여 고시하는 바에 따
라 보호위원회 또는 관계 중앙행정기관의 장에게 제출해야 한다.<개정 2025. 2. 25.>
1. 가명정보의 결합ㆍ반출 실적보고서
2. 결합전문기관의 지정 기준을 유지하고 있음을 증명할 수 있는 서류
3. 가명정보의 안전성 확보에 필요한 조치를 하고 있음을 증명할 수 있는 서류로서 보호위원회가 정하여 고시하는
서류
③ 보호위원회는 다음 각 호의 사항을 관리ㆍ감독해야 한다.
1. 결합전문기관의 가명정보의 결합 및 반출 승인 과정에서의 법 위반 여부
2. 결합신청자의 가명정보 처리 실태
3. 그 밖에 가명정보의 안전한 처리를 위하여 필요한 사항으로서 보호위원회가 정하여 고시하는 사항
[본조신설 2020. 8. 4.]
본문 15쪽
법제처 15 국가법령정보센터
개인정보 보호법 시행령
제29조의5(가명정보에 대한 안전성 확보 조치) ① 개인정보처리자는 법 제28조의4제1항에 따라 가명정보 및 가명정보
를 원래의 상태로 복원하기 위한 추가 정보(이하 이 조에서 “추가정보”라 한다)에 대하여 다음 각 호의 안전성 확보
조치를 해야 한다. <개정 2021. 2. 2., 2023. 9. 12.>
1. 제30조에 따른 안전성 확보 조치
2. 가명정보와 추가정보의 분리 보관. 다만, 추가정보가 불필요한 경우에는 추가정보를 파기해야 한다.
3. 가명정보와 추가정보에 대한 접근 권한의 분리. 다만, 「소상공인기본법」 제2조에 따른 소상공인으로서 가명정보
를 취급할 자를 추가로 둘 여력이 없는 경우 등 접근 권한의 분리가 어려운 정당한 사유가 있는 경우에는 업무 수
행에 필요한 최소한의 접근 권한만 부여하고 접근 권한의 보유 현황을 기록으로 보관하는 등 접근 권한을 관리ㆍ
통제해야 한다.
② 법 제28조의4제3항에서 “대통령령으로 정하는 사항”이란 다음 각 호의 사항을 말한다.<개정 2023. 9. 12.>
1. 가명정보 처리의 목적
2. 가명처리한 개인정보의 항목
3. 가명정보의 이용내역
4. 제3자 제공 시 제공받는 자
5. 가명정보의 처리 기간(법 제28조의4제2항에 따라 가명정보의 처리 기간을 별도로 정한 경우로 한정한다)
6. 그 밖에 가명정보의 처리 내용을 관리하기 위하여 보호위원회가 필요하다고 인정하여 고시하는 사항
[본조신설 2020. 8. 4.]
제29조의6 삭제 <2023. 9. 12.>
제4장의3 개인정보의 국외 이전 <신설 2023. 9. 12.>
제29조의7(개인정보의 국외 처리위탁ㆍ보관 시 정보주체에게 알리는 방법) 법 제28조의8제1항제3호나목에서 “전자우
편 등 대통령령으로 정하는 방법”이란 서면등의 방법을 말한다.
[본조신설 2023. 9. 12.]
제29조의8(개인정보의 국외 이전 인증) ① 보호위원회는 법 제28조의8제1항제4호 각 목 외의 부분에 따른 인증을 고시
하려는 경우에는 다음 각 호의 순서에 따른 절차를 모두 거쳐야 한다.
1. 제34조의6에 따른 개인정보 보호 인증 전문기관의 평가
2. 제5조제1항제1호에 따른 개인정보의 국외 이전 분야 전문위원회(이하 “국외이전전문위원회”라 한다)의 평가
3. 정책협의회의 협의
② 보호위원회는 법 제28조의8제1항제4호 각 목 외의 부분에 따른 인증을 고시할 때에는 5년의 범위에서 유효 기
간을 정하여 고시할 수 있다.
③ 제1항 및 제2항에서 규정한 사항 외에 인증의 고시 절차 등에 관하여 필요한 사항은 보호위원회가 정하여 고시
한다.
[본조신설 2023. 9. 12.]
제29조의9(국가 등에 대한 개인정보 보호 수준 인정) ① 보호위원회는 법 제28조의8제1항제5호에 따라 개인정보가 제
공(조회되는 경우를 포함한다)ㆍ처리위탁ㆍ보관(이하 이 장에서 “이전”이라 한다)되는 국가 또는 국제기구(이하 “이
전대상국등”이라 한다)의 개인정보 보호체계, 정보주체 권리보장 범위, 피해구제 절차 등이 법에 따른 개인정보 보호
수준과 실질적으로 동등한 수준을 갖추었다고 인정하려는 경우에는 다음 각 호의 사항을 종합적으로 고려해야 한다.
1. 이전대상국등의 법령, 규정 또는 규칙 등 개인정보 보호체계가 법 제3조에서 정하는 개인정보 보호 원칙에 부합
하고, 법 제4조에서 정하는 정보주체의 권리를 충분히 보장하고 있는지 여부
2. 이전대상국등에 개인정보 보호체계를 보장하고 집행할 책임이 있는 독립적 감독기관이 존재하는지 여부
개인정보 보호법 시행령
제29조의5(가명정보에 대한 안전성 확보 조치) ① 개인정보처리자는 법 제28조의4제1항에 따라 가명정보 및 가명정보
를 원래의 상태로 복원하기 위한 추가 정보(이하 이 조에서 “추가정보”라 한다)에 대하여 다음 각 호의 안전성 확보
조치를 해야 한다. <개정 2021. 2. 2., 2023. 9. 12.>
1. 제30조에 따른 안전성 확보 조치
2. 가명정보와 추가정보의 분리 보관. 다만, 추가정보가 불필요한 경우에는 추가정보를 파기해야 한다.
3. 가명정보와 추가정보에 대한 접근 권한의 분리. 다만, 「소상공인기본법」 제2조에 따른 소상공인으로서 가명정보
를 취급할 자를 추가로 둘 여력이 없는 경우 등 접근 권한의 분리가 어려운 정당한 사유가 있는 경우에는 업무 수
행에 필요한 최소한의 접근 권한만 부여하고 접근 권한의 보유 현황을 기록으로 보관하는 등 접근 권한을 관리ㆍ
통제해야 한다.
② 법 제28조의4제3항에서 “대통령령으로 정하는 사항”이란 다음 각 호의 사항을 말한다.<개정 2023. 9. 12.>
1. 가명정보 처리의 목적
2. 가명처리한 개인정보의 항목
3. 가명정보의 이용내역
4. 제3자 제공 시 제공받는 자
5. 가명정보의 처리 기간(법 제28조의4제2항에 따라 가명정보의 처리 기간을 별도로 정한 경우로 한정한다)
6. 그 밖에 가명정보의 처리 내용을 관리하기 위하여 보호위원회가 필요하다고 인정하여 고시하는 사항
[본조신설 2020. 8. 4.]
제29조의6 삭제 <2023. 9. 12.>
제4장의3 개인정보의 국외 이전 <신설 2023. 9. 12.>
제29조의7(개인정보의 국외 처리위탁ㆍ보관 시 정보주체에게 알리는 방법) 법 제28조의8제1항제3호나목에서 “전자우
편 등 대통령령으로 정하는 방법”이란 서면등의 방법을 말한다.
[본조신설 2023. 9. 12.]
제29조의8(개인정보의 국외 이전 인증) ① 보호위원회는 법 제28조의8제1항제4호 각 목 외의 부분에 따른 인증을 고시
하려는 경우에는 다음 각 호의 순서에 따른 절차를 모두 거쳐야 한다.
1. 제34조의6에 따른 개인정보 보호 인증 전문기관의 평가
2. 제5조제1항제1호에 따른 개인정보의 국외 이전 분야 전문위원회(이하 “국외이전전문위원회”라 한다)의 평가
3. 정책협의회의 협의
② 보호위원회는 법 제28조의8제1항제4호 각 목 외의 부분에 따른 인증을 고시할 때에는 5년의 범위에서 유효 기
간을 정하여 고시할 수 있다.
③ 제1항 및 제2항에서 규정한 사항 외에 인증의 고시 절차 등에 관하여 필요한 사항은 보호위원회가 정하여 고시
한다.
[본조신설 2023. 9. 12.]
제29조의9(국가 등에 대한 개인정보 보호 수준 인정) ① 보호위원회는 법 제28조의8제1항제5호에 따라 개인정보가 제
공(조회되는 경우를 포함한다)ㆍ처리위탁ㆍ보관(이하 이 장에서 “이전”이라 한다)되는 국가 또는 국제기구(이하 “이
전대상국등”이라 한다)의 개인정보 보호체계, 정보주체 권리보장 범위, 피해구제 절차 등이 법에 따른 개인정보 보호
수준과 실질적으로 동등한 수준을 갖추었다고 인정하려는 경우에는 다음 각 호의 사항을 종합적으로 고려해야 한다.
1. 이전대상국등의 법령, 규정 또는 규칙 등 개인정보 보호체계가 법 제3조에서 정하는 개인정보 보호 원칙에 부합
하고, 법 제4조에서 정하는 정보주체의 권리를 충분히 보장하고 있는지 여부
2. 이전대상국등에 개인정보 보호체계를 보장하고 집행할 책임이 있는 독립적 감독기관이 존재하는지 여부
본문 16쪽
법제처 16 국가법령정보센터
개인정보 보호법 시행령
3. 이전대상국등의 공공기관(이와 유사한 사무를 수행하는 기관을 포함한다)이 법률에 따라 개인정보를 처리하는지
여부 및 이에 대한 피해구제 절차 등 정보주체에 대한 보호수단이 존재하고 실질적으로 보장되는지 여부
4. 이전대상국등에 정보주체가 쉽게 접근할 수 있는 피해구제 절차가 존재하는지 여부 및 피해구제 절차가 정보주
체를 효과적으로 보호하고 있는지 여부
5. 이전대상국등의 감독기관이 보호위원회와 정보주체의 권리 보호에 관하여 원활한 상호 협력이 가능한지 여부
6. 그 밖에 이전대상국등의 개인정보 보호체계, 정보주체의 권리보장 범위, 피해구제 절차 등의 개인정보 보호 수준
을 인정하기 위해 필요한 사항으로서 보호위원회가 정하여 고시하는 사항
② 보호위원회는 제1항에 따른 인정을 하려는 경우에는 다음 각 호의 절차를 거쳐야 한다.
1. 국외이전전문위원회의 평가
2. 정책협의회의 협의
③ 보호위원회는 제1항에 따른 인정을 할 때에는 정보주체의 권리 보호 등을 위하여 필요한 경우 이전대상국등으로
이전되는 개인정보의 범위, 이전받는 개인정보처리자의 범위, 인정 기간, 국외 이전의 조건 등을 이전대상국등별로
달리 정할 수 있다.
④ 보호위원회는 제1항에 따른 인정을 한 경우에는 인정 기간 동안 이전대상국등의 개인정보 보호수준이 법에 따른
수준과 실질적으로 동등한 수준을 유지하고 있는지 점검해야 한다.
⑤ 보호위원회는 제1항에 따른 인정을 받은 이전대상국등의 개인정보 보호체계, 정보주체의 권리보장 범위, 피해구
제 절차 등의 수준이 변경된 경우에는 해당 이전대상국등의 의견을 듣고 해당 이전대상국등에 대한 인정을 취소하
거나 그 내용을 변경할 수 있다.
⑥ 보호위원회가 제1항에 따른 인정을 하거나 제5항에 따라 인정을 취소하거나 그 내용을 변경하는 경우에는 그 사
실을 관보에 고시하고 보호위원회 인터넷 홈페이지에 게재해야 한다.
⑦ 제1항부터 제6항까지에서 규정한 사항 외에 이전대상국등에 대한 인정에 필요한 사항은 보호위원회가 정하여
고시한다.
[본조신설 2023. 9. 12.]
제29조의10(개인정보의 국외 이전 시 보호조치 등) ① 개인정보처리자는 법 제28조의8제1항 각 호 외의 부분 단서에
따라 개인정보를 국외로 이전하는 경우에는 같은 조 제4항에 따라 다음 각 호의 보호조치를 해야 한다.
1. 제30조제1항에 따른 개인정보 보호를 위한 안전성 확보 조치
2. 개인정보 침해에 대한 고충처리 및 분쟁해결에 관한 조치
3. 그 밖에 정보주체의 개인정보 보호를 위하여 필요한 조치
② 개인정보처리자는 법 제28조의8제1항 각 호 외의 부분 단서에 따라 개인정보를 국외로 이전하는 경우에는 제
1항 각 호의 사항에 관하여 이전받는 자와 미리 협의하고 이를 계약내용 등에 반영해야 한다.
[본조신설 2023. 9. 12.]
제29조의11(국외 이전 중지 명령의 기준 등) ① 보호위원회는 법 제28조의9제1항에 따라 개인정보의 국외 이전을 중지
할 것을 명하려는 경우에는 다음 각 호의 사항을 종합적으로 고려해야 한다.
1. 국외로 이전되었거나 추가적인 국외 이전이 예상되는 개인정보의 유형 및 규모
2. 법 제28조의8제1항, 제4항 또는 제5항 위반의 중대성
3. 정보주체에게 발생하거나 발생할 우려가 있는 피해가 중대하거나 회복하기 어려운 피해인지 여부
4. 국외 이전의 중지를 명하는 것이 중지를 명하지 않는 것보다 명백히 정보주체에게 이익이 되는지 여부
5. 법 제64조제1항 각 호에 해당하는 조치를 통해 개인정보의 보호 및 침해 방지가 가능한지 여부
6. 개인정보를 이전받는 자나 개인정보가 이전되는 이전대상국등이 정보주체의 피해구제를 위한 실효적인 수단을
갖추고 있는지 여부
7. 개인정보를 이전받는 자나 개인정보가 이전되는 이전대상국등에서 중대한 개인정보 침해가 발생하는 등 개인정
보를 적정하게 보호하기 어렵다고 인정할 만한 사유가 존재하는지 여부
개인정보 보호법 시행령
3. 이전대상국등의 공공기관(이와 유사한 사무를 수행하는 기관을 포함한다)이 법률에 따라 개인정보를 처리하는지
여부 및 이에 대한 피해구제 절차 등 정보주체에 대한 보호수단이 존재하고 실질적으로 보장되는지 여부
4. 이전대상국등에 정보주체가 쉽게 접근할 수 있는 피해구제 절차가 존재하는지 여부 및 피해구제 절차가 정보주
체를 효과적으로 보호하고 있는지 여부
5. 이전대상국등의 감독기관이 보호위원회와 정보주체의 권리 보호에 관하여 원활한 상호 협력이 가능한지 여부
6. 그 밖에 이전대상국등의 개인정보 보호체계, 정보주체의 권리보장 범위, 피해구제 절차 등의 개인정보 보호 수준
을 인정하기 위해 필요한 사항으로서 보호위원회가 정하여 고시하는 사항
② 보호위원회는 제1항에 따른 인정을 하려는 경우에는 다음 각 호의 절차를 거쳐야 한다.
1. 국외이전전문위원회의 평가
2. 정책협의회의 협의
③ 보호위원회는 제1항에 따른 인정을 할 때에는 정보주체의 권리 보호 등을 위하여 필요한 경우 이전대상국등으로
이전되는 개인정보의 범위, 이전받는 개인정보처리자의 범위, 인정 기간, 국외 이전의 조건 등을 이전대상국등별로
달리 정할 수 있다.
④ 보호위원회는 제1항에 따른 인정을 한 경우에는 인정 기간 동안 이전대상국등의 개인정보 보호수준이 법에 따른
수준과 실질적으로 동등한 수준을 유지하고 있는지 점검해야 한다.
⑤ 보호위원회는 제1항에 따른 인정을 받은 이전대상국등의 개인정보 보호체계, 정보주체의 권리보장 범위, 피해구
제 절차 등의 수준이 변경된 경우에는 해당 이전대상국등의 의견을 듣고 해당 이전대상국등에 대한 인정을 취소하
거나 그 내용을 변경할 수 있다.
⑥ 보호위원회가 제1항에 따른 인정을 하거나 제5항에 따라 인정을 취소하거나 그 내용을 변경하는 경우에는 그 사
실을 관보에 고시하고 보호위원회 인터넷 홈페이지에 게재해야 한다.
⑦ 제1항부터 제6항까지에서 규정한 사항 외에 이전대상국등에 대한 인정에 필요한 사항은 보호위원회가 정하여
고시한다.
[본조신설 2023. 9. 12.]
제29조의10(개인정보의 국외 이전 시 보호조치 등) ① 개인정보처리자는 법 제28조의8제1항 각 호 외의 부분 단서에
따라 개인정보를 국외로 이전하는 경우에는 같은 조 제4항에 따라 다음 각 호의 보호조치를 해야 한다.
1. 제30조제1항에 따른 개인정보 보호를 위한 안전성 확보 조치
2. 개인정보 침해에 대한 고충처리 및 분쟁해결에 관한 조치
3. 그 밖에 정보주체의 개인정보 보호를 위하여 필요한 조치
② 개인정보처리자는 법 제28조의8제1항 각 호 외의 부분 단서에 따라 개인정보를 국외로 이전하는 경우에는 제
1항 각 호의 사항에 관하여 이전받는 자와 미리 협의하고 이를 계약내용 등에 반영해야 한다.
[본조신설 2023. 9. 12.]
제29조의11(국외 이전 중지 명령의 기준 등) ① 보호위원회는 법 제28조의9제1항에 따라 개인정보의 국외 이전을 중지
할 것을 명하려는 경우에는 다음 각 호의 사항을 종합적으로 고려해야 한다.
1. 국외로 이전되었거나 추가적인 국외 이전이 예상되는 개인정보의 유형 및 규모
2. 법 제28조의8제1항, 제4항 또는 제5항 위반의 중대성
3. 정보주체에게 발생하거나 발생할 우려가 있는 피해가 중대하거나 회복하기 어려운 피해인지 여부
4. 국외 이전의 중지를 명하는 것이 중지를 명하지 않는 것보다 명백히 정보주체에게 이익이 되는지 여부
5. 법 제64조제1항 각 호에 해당하는 조치를 통해 개인정보의 보호 및 침해 방지가 가능한지 여부
6. 개인정보를 이전받는 자나 개인정보가 이전되는 이전대상국등이 정보주체의 피해구제를 위한 실효적인 수단을
갖추고 있는지 여부
7. 개인정보를 이전받는 자나 개인정보가 이전되는 이전대상국등에서 중대한 개인정보 침해가 발생하는 등 개인정
보를 적정하게 보호하기 어렵다고 인정할 만한 사유가 존재하는지 여부
본문 17쪽
법제처 17 국가법령정보센터
개인정보 보호법 시행령
② 보호위원회는 법 제28조의9제1항에 따라 개인정보의 국외 이전을 중지할 것을 명하려는 경우에는 국외이전전문
위원회의 평가를 거쳐야 한다.
③ 보호위원회는 법 제28조의9제1항에 따라 개인정보의 국외 이전을 중지할 것을 명할 때에는 개인정보처리자에게
중지명령의 내용, 사유, 이의 제기 절차ㆍ방법 및 그 밖에 필요한 사항을 문서로 알려야 한다.
④ 제1항부터 제3항까지에서 규정한 사항 외에 개인정보의 국외 이전 중지 명령의 기준 등에 관하여 필요한 사항은
보호위원회가 정하여 고시한다.
[본조신설 2023. 9. 12.]
제29조의12(국외 이전 중지 명령에 대한 이의 제기) ① 법 제28조의9제2항에 따라 이의를 제기하려는 자는 같은 조 제
1항에 따른 국외 이전 중지 명령을 받은 날부터 7일 이내에 보호위원회가 정하는 이의신청서에 이의신청 사유를 증
명할 수 있는 서류를 첨부하여 보호위원회에 제출해야 한다.
② 보호위원회는 제1항에 따라 이의신청서를 제출받은 날부터 30일 이내에 그 처리결과를 해당 개인정보처리자에
게 문서로 알려야 한다.
③ 제1항 및 제2항에서 규정한 사항 외에 이의 제기의 절차 등에 관하여 필요한 사항은 보호위원회가 정하여 고시
한다.
[본조신설 2023. 9. 12.]
제5장 개인정보의 안전한 관리
제30조(개인정보의 안전성 확보 조치) ① 개인정보처리자는 법 제29조에 따라 다음 각 호의 안전성 확보 조치를 해야
한다. <개정 2023. 9. 12.>
1. 개인정보의 안전한 처리를 위한 다음 각 목의 내용을 포함하는 내부 관리계획의 수립ㆍ시행 및 점검
가. 법 제28조제1항에 따른 개인정보취급자(이하 “개인정보취급자”라 한다)에 대한 관리ㆍ감독 및 교육에 관한 사
항
나. 법 제31조에 따른 개인정보 보호책임자의 지정 등 개인정보 보호 조직의 구성ㆍ운영에 관한 사항
다. 제2호부터 제8호까지의 규정에 따른 조치를 이행하기 위하여 필요한 세부 사항
2. 개인정보에 대한 접근 권한을 제한하기 위한 다음 각 목의 조치
가. 데이터베이스시스템 등 개인정보를 처리할 수 있도록 체계적으로 구성한 시스템(이하 “개인정보처리시스템
”이라 한다)에 대한 접근 권한의 부여ㆍ변경ㆍ말소 등에 관한 기준의 수립ㆍ시행
나. 정당한 권한을 가진 자에 의한 접근인지를 확인하기 위해 필요한 인증수단 적용 기준의 설정 및 운영
다. 그 밖에 개인정보에 대한 접근 권한을 제한하기 위하여 필요한 조치
3. 개인정보에 대한 접근을 통제하기 위한 다음 각 목의 조치
가. 개인정보처리시스템에 대한 침입을 탐지하고 차단하기 위하여 필요한 조치
나. 개인정보처리시스템에 접속하는 개인정보취급자의 컴퓨터 등으로서 보호위원회가 정하여 고시하는 기준에
해당하는 컴퓨터 등에 대한 인터넷망의 차단. 다만, 전년도 말 기준 직전 3개월 간 그 개인정보가 저장ㆍ관리
되고 있는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조제1항제4호에 따른 이용자 수가 일일평
균 100만명 이상인 개인정보처리자만 해당한다.
다. 그 밖에 개인정보에 대한 접근을 통제하기 위하여 필요한 조치
4. 개인정보를 안전하게 저장ㆍ전송하는데 필요한 다음 각 목의 조치
가. 비밀번호의 일방향 암호화 저장 등 인증정보의 암호화 저장 또는 이에 상응하는 조치
나. 주민등록번호 등 보호위원회가 정하여 고시하는 정보의 암호화 저장 또는 이에 상응하는 조치
다. 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조제1항제1호에 따른 정보통신망을 통하여 정보주체
의 개인정보 또는 인증정보를 송신ㆍ수신하는 경우 해당 정보의 암호화 또는 이에 상응하는 조치
개인정보 보호법 시행령
② 보호위원회는 법 제28조의9제1항에 따라 개인정보의 국외 이전을 중지할 것을 명하려는 경우에는 국외이전전문
위원회의 평가를 거쳐야 한다.
③ 보호위원회는 법 제28조의9제1항에 따라 개인정보의 국외 이전을 중지할 것을 명할 때에는 개인정보처리자에게
중지명령의 내용, 사유, 이의 제기 절차ㆍ방법 및 그 밖에 필요한 사항을 문서로 알려야 한다.
④ 제1항부터 제3항까지에서 규정한 사항 외에 개인정보의 국외 이전 중지 명령의 기준 등에 관하여 필요한 사항은
보호위원회가 정하여 고시한다.
[본조신설 2023. 9. 12.]
제29조의12(국외 이전 중지 명령에 대한 이의 제기) ① 법 제28조의9제2항에 따라 이의를 제기하려는 자는 같은 조 제
1항에 따른 국외 이전 중지 명령을 받은 날부터 7일 이내에 보호위원회가 정하는 이의신청서에 이의신청 사유를 증
명할 수 있는 서류를 첨부하여 보호위원회에 제출해야 한다.
② 보호위원회는 제1항에 따라 이의신청서를 제출받은 날부터 30일 이내에 그 처리결과를 해당 개인정보처리자에
게 문서로 알려야 한다.
③ 제1항 및 제2항에서 규정한 사항 외에 이의 제기의 절차 등에 관하여 필요한 사항은 보호위원회가 정하여 고시
한다.
[본조신설 2023. 9. 12.]
제5장 개인정보의 안전한 관리
제30조(개인정보의 안전성 확보 조치) ① 개인정보처리자는 법 제29조에 따라 다음 각 호의 안전성 확보 조치를 해야
한다. <개정 2023. 9. 12.>
1. 개인정보의 안전한 처리를 위한 다음 각 목의 내용을 포함하는 내부 관리계획의 수립ㆍ시행 및 점검
가. 법 제28조제1항에 따른 개인정보취급자(이하 “개인정보취급자”라 한다)에 대한 관리ㆍ감독 및 교육에 관한 사
항
나. 법 제31조에 따른 개인정보 보호책임자의 지정 등 개인정보 보호 조직의 구성ㆍ운영에 관한 사항
다. 제2호부터 제8호까지의 규정에 따른 조치를 이행하기 위하여 필요한 세부 사항
2. 개인정보에 대한 접근 권한을 제한하기 위한 다음 각 목의 조치
가. 데이터베이스시스템 등 개인정보를 처리할 수 있도록 체계적으로 구성한 시스템(이하 “개인정보처리시스템
”이라 한다)에 대한 접근 권한의 부여ㆍ변경ㆍ말소 등에 관한 기준의 수립ㆍ시행
나. 정당한 권한을 가진 자에 의한 접근인지를 확인하기 위해 필요한 인증수단 적용 기준의 설정 및 운영
다. 그 밖에 개인정보에 대한 접근 권한을 제한하기 위하여 필요한 조치
3. 개인정보에 대한 접근을 통제하기 위한 다음 각 목의 조치
가. 개인정보처리시스템에 대한 침입을 탐지하고 차단하기 위하여 필요한 조치
나. 개인정보처리시스템에 접속하는 개인정보취급자의 컴퓨터 등으로서 보호위원회가 정하여 고시하는 기준에
해당하는 컴퓨터 등에 대한 인터넷망의 차단. 다만, 전년도 말 기준 직전 3개월 간 그 개인정보가 저장ㆍ관리
되고 있는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조제1항제4호에 따른 이용자 수가 일일평
균 100만명 이상인 개인정보처리자만 해당한다.
다. 그 밖에 개인정보에 대한 접근을 통제하기 위하여 필요한 조치
4. 개인정보를 안전하게 저장ㆍ전송하는데 필요한 다음 각 목의 조치
가. 비밀번호의 일방향 암호화 저장 등 인증정보의 암호화 저장 또는 이에 상응하는 조치
나. 주민등록번호 등 보호위원회가 정하여 고시하는 정보의 암호화 저장 또는 이에 상응하는 조치
다. 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조제1항제1호에 따른 정보통신망을 통하여 정보주체
의 개인정보 또는 인증정보를 송신ㆍ수신하는 경우 해당 정보의 암호화 또는 이에 상응하는 조치
본문 18쪽
법제처 18 국가법령정보센터
개인정보 보호법 시행령
라. 그 밖에 암호화 또는 이에 상응하는 기술을 이용한 보안조치
5. 개인정보 침해사고 발생에 대응하기 위한 접속기록의 보관 및 위조ㆍ변조 방지를 위한 다음 각 목의 조치
가. 개인정보처리시스템에 접속한 자의 접속일시, 처리내역 등 접속기록의 저장ㆍ점검 및 이의 확인ㆍ감독
나. 개인정보처리시스템에 대한 접속기록의 안전한 보관
다. 그 밖에 접속기록 보관 및 위조ㆍ변조 방지를 위하여 필요한 조치
6. 개인정보처리시스템 및 개인정보취급자가 개인정보 처리에 이용하는 정보기기에 대해 컴퓨터바이러스, 스파이웨
어, 랜섬웨어 등 악성프로그램의 침투 여부를 항시 점검ㆍ치료할 수 있도록 하는 등의 기능이 포함된 프로그램의
설치ㆍ운영과 주기적 갱신ㆍ점검 조치
7. 개인정보의 안전한 보관을 위한 보관시설의 마련 또는 잠금장치의 설치 등 물리적 조치
8. 그 밖에 개인정보의 안전성 확보를 위하여 필요한 조치
② 보호위원회는 개인정보처리자가 제1항에 따른 안전성 확보 조치를 하도록 시스템을 구축하는 등 필요한 지원을
할 수 있다.<개정 2013. 3. 23., 2014. 11. 19., 2017. 7. 26., 2020. 8. 4.>
③ 제1항에 따른 안전성 확보 조치에 관한 세부 기준은 보호위원회가 정하여 고시한다.<개정 2013. 3. 23., 2014.
11. 19., 2017. 7. 26., 2020. 8. 4.>
제30조의2(공공시스템 운영기관 등의 개인정보 안전성 확보 조치 등) ① 개인정보의 처리 규모, 접근 권한을 부여받은
개인정보취급자의 수 등 보호위원회가 고시하는 기준에 해당하는 개인정보처리시스템(이하 “공공시스템”이라 한다
)을 운영하는 공공기관(이하 “공공시스템운영기관”이라 한다)은 법 제29조에 따라 이 영 제30조의 안전성 확보 조치
외에 다음 각 호의 조치를 추가로 해야 한다. <개정 2024. 3. 12.>
1. 제30조제1항제1호에 따른 내부 관리계획에 공공시스템별로 작성한 안전성 확보 조치를 포함할 것
2. 공공시스템에 접속하여 개인정보를 처리하는 기관(이하 이 조에서 “공공시스템이용기관”이라 한다)이 정당한 권
한을 가진 개인정보취급자에게 접근 권한을 부여ㆍ변경ㆍ말소 등을 할 수 있도록 하는 등 접근 권한의 안전한 관
리를 위해 필요한 조치
3. 개인정보에 대한 불법적인 접근 및 침해사고 방지를 위한 공공시스템 접속기록의 저장ㆍ분석ㆍ점검ㆍ관리 등의
조치
② 공공시스템운영기관 및 공공시스템이용기관은 정당한 권한 없이 또는 허용된 권한을 초과하여 개인정보에 접근
한 사실이 확인되는 경우에는 지체 없이 정보주체에게 해당 사실과 피해 예방 등을 위해 필요한 사항을 통지해야
한다. 이 경우 다음 각 호의 어느 하나에 해당하는 경우에는 통지를 한 것으로 본다.<개정 2026. 9. 10.>
1. 법 제34조제1항에 따라 정보주체에게 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손(이하 “유출등”이라
한다)에 대하여 통지한 경우
2. 다른 법령에 따라 정보주체에게 개인정보에 접근한 사실과 피해 예방 등을 위해 필요한 사항을 통지한 경우
③ 공공시스템운영기관(공공시스템을 개발하여 배포하는 공공기관이 따로 있는 경우에는 그 공공기관을 포함한다.
이하 이 조에서 같다)은 해당 공공시스템의 규모와 특성, 해당 공공시스템이용기관의 수 등을 고려하여 개인정보의
안전한 관리에 관련된 업무를 전담하는 부서를 지정하여 운영하거나 전담인력을 배치해야 한다.
④ 공공시스템운영기관은 공공시스템별로 해당 공공시스템을 총괄하여 관리하는 부서의 장을 관리책임자로 지정
해야 한다. 다만, 해당 공공시스템을 총괄하여 관리하는 부서가 없을 때에는 업무 관련성 및 수행능력 등을 고려하
여 해당 공공시스템운영기관의 관련 부서의 장 중에서 관리책임자를 지정해야 한다.
⑤ 공공시스템운영기관은 공공시스템의 안전성 확보 조치 이행상황 점검 및 개선에 관한 사항을 협의하기 위하여
다음 각 호의 기관으로 구성되는 공공시스템운영협의회를 공공시스템별로 설치ㆍ운영해야 한다. 다만, 하나의 공공
기관이 2개 이상의 공공시스템을 운영하는 경우에는 공공시스템운영협의회를 통합하여 설치ㆍ운영할 수 있다.
1. 공공시스템운영기관
2. 공공시스템의 운영을 위탁하는 경우 해당 수탁자
3. 공공시스템운영기관이 필요하다고 인정하는 공공시스템이용기관
개인정보 보호법 시행령
라. 그 밖에 암호화 또는 이에 상응하는 기술을 이용한 보안조치
5. 개인정보 침해사고 발생에 대응하기 위한 접속기록의 보관 및 위조ㆍ변조 방지를 위한 다음 각 목의 조치
가. 개인정보처리시스템에 접속한 자의 접속일시, 처리내역 등 접속기록의 저장ㆍ점검 및 이의 확인ㆍ감독
나. 개인정보처리시스템에 대한 접속기록의 안전한 보관
다. 그 밖에 접속기록 보관 및 위조ㆍ변조 방지를 위하여 필요한 조치
6. 개인정보처리시스템 및 개인정보취급자가 개인정보 처리에 이용하는 정보기기에 대해 컴퓨터바이러스, 스파이웨
어, 랜섬웨어 등 악성프로그램의 침투 여부를 항시 점검ㆍ치료할 수 있도록 하는 등의 기능이 포함된 프로그램의
설치ㆍ운영과 주기적 갱신ㆍ점검 조치
7. 개인정보의 안전한 보관을 위한 보관시설의 마련 또는 잠금장치의 설치 등 물리적 조치
8. 그 밖에 개인정보의 안전성 확보를 위하여 필요한 조치
② 보호위원회는 개인정보처리자가 제1항에 따른 안전성 확보 조치를 하도록 시스템을 구축하는 등 필요한 지원을
할 수 있다.<개정 2013. 3. 23., 2014. 11. 19., 2017. 7. 26., 2020. 8. 4.>
③ 제1항에 따른 안전성 확보 조치에 관한 세부 기준은 보호위원회가 정하여 고시한다.<개정 2013. 3. 23., 2014.
11. 19., 2017. 7. 26., 2020. 8. 4.>
제30조의2(공공시스템 운영기관 등의 개인정보 안전성 확보 조치 등) ① 개인정보의 처리 규모, 접근 권한을 부여받은
개인정보취급자의 수 등 보호위원회가 고시하는 기준에 해당하는 개인정보처리시스템(이하 “공공시스템”이라 한다
)을 운영하는 공공기관(이하 “공공시스템운영기관”이라 한다)은 법 제29조에 따라 이 영 제30조의 안전성 확보 조치
외에 다음 각 호의 조치를 추가로 해야 한다. <개정 2024. 3. 12.>
1. 제30조제1항제1호에 따른 내부 관리계획에 공공시스템별로 작성한 안전성 확보 조치를 포함할 것
2. 공공시스템에 접속하여 개인정보를 처리하는 기관(이하 이 조에서 “공공시스템이용기관”이라 한다)이 정당한 권
한을 가진 개인정보취급자에게 접근 권한을 부여ㆍ변경ㆍ말소 등을 할 수 있도록 하는 등 접근 권한의 안전한 관
리를 위해 필요한 조치
3. 개인정보에 대한 불법적인 접근 및 침해사고 방지를 위한 공공시스템 접속기록의 저장ㆍ분석ㆍ점검ㆍ관리 등의
조치
② 공공시스템운영기관 및 공공시스템이용기관은 정당한 권한 없이 또는 허용된 권한을 초과하여 개인정보에 접근
한 사실이 확인되는 경우에는 지체 없이 정보주체에게 해당 사실과 피해 예방 등을 위해 필요한 사항을 통지해야
한다. 이 경우 다음 각 호의 어느 하나에 해당하는 경우에는 통지를 한 것으로 본다.<개정 2026. 9. 10.>
1. 법 제34조제1항에 따라 정보주체에게 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손(이하 “유출등”이라
한다)에 대하여 통지한 경우
2. 다른 법령에 따라 정보주체에게 개인정보에 접근한 사실과 피해 예방 등을 위해 필요한 사항을 통지한 경우
③ 공공시스템운영기관(공공시스템을 개발하여 배포하는 공공기관이 따로 있는 경우에는 그 공공기관을 포함한다.
이하 이 조에서 같다)은 해당 공공시스템의 규모와 특성, 해당 공공시스템이용기관의 수 등을 고려하여 개인정보의
안전한 관리에 관련된 업무를 전담하는 부서를 지정하여 운영하거나 전담인력을 배치해야 한다.
④ 공공시스템운영기관은 공공시스템별로 해당 공공시스템을 총괄하여 관리하는 부서의 장을 관리책임자로 지정
해야 한다. 다만, 해당 공공시스템을 총괄하여 관리하는 부서가 없을 때에는 업무 관련성 및 수행능력 등을 고려하
여 해당 공공시스템운영기관의 관련 부서의 장 중에서 관리책임자를 지정해야 한다.
⑤ 공공시스템운영기관은 공공시스템의 안전성 확보 조치 이행상황 점검 및 개선에 관한 사항을 협의하기 위하여
다음 각 호의 기관으로 구성되는 공공시스템운영협의회를 공공시스템별로 설치ㆍ운영해야 한다. 다만, 하나의 공공
기관이 2개 이상의 공공시스템을 운영하는 경우에는 공공시스템운영협의회를 통합하여 설치ㆍ운영할 수 있다.
1. 공공시스템운영기관
2. 공공시스템의 운영을 위탁하는 경우 해당 수탁자
3. 공공시스템운영기관이 필요하다고 인정하는 공공시스템이용기관
본문 19쪽
법제처 19 국가법령정보센터
개인정보 보호법 시행령
⑥ 보호위원회는 공공시스템운영기관이 개인정보의 안전성 확보 조치를 이행하는데 필요한 지원을 할 수 있다.
⑦ 제1항부터 제6항까지에서 규정한 사항 외에 공공시스템운영기관 등의 개인정보의 안전성 확보 조치에 필요한
사항은 보호위원회가 정하여 고시한다.
[본조신설 2023. 9. 12.]
제31조(개인정보 처리방침의 내용 및 공개방법 등) ① 법 제30조제1항제8호에서 “대통령령으로 정한 사항”이란 다음
각 호의 사항을 말한다. <개정 2016. 9. 29., 2020. 8. 4., 2023. 9. 12., 2024. 3. 12.>
1. 처리하는 개인정보의 항목
2. 법 제28조의8제1항 각 호에 따라 개인정보를 국외로 이전하는 경우 국외 이전의 근거와 같은 조 제2항 각 호의
사항
3. 제30조에 따른 개인정보의 안전성 확보 조치에 관한 사항
4. 국외에서 국내 정보주체의 개인정보를 직접 수집하여 처리하는 경우 개인정보를 처리하는 국가명
② 개인정보처리자는 법 제30조제2항에 따라 수립하거나 변경한 개인정보 처리방침을 개인정보처리자의 인터넷
홈페이지에 지속적으로 게재하여야 한다.
③ 제2항에 따라 인터넷 홈페이지에 게재할 수 없는 경우에는 다음 각 호의 어느 하나 이상의 방법으로 수립하거나
변경한 개인정보 처리방침을 공개하여야 한다.<개정 2023. 9. 12.>
1. 개인정보처리자의 사업장등의 보기 쉬운 장소에 게시하는 방법
2. 관보(개인정보처리자가 공공기관인 경우만 해당한다)나 개인정보처리자의 사업장등이 있는 시ㆍ도 이상의 지역
을 주된 보급지역으로 하는 「신문 등의 진흥에 관한 법률」 제2조제1호가목ㆍ다목 및 같은 조 제2호에 따른 일반
일간신문, 일반주간신문 또는 인터넷신문에 싣는 방법
3. 같은 제목으로 연 2회 이상 발행하여 정보주체에게 배포하는 간행물ㆍ소식지ㆍ홍보지 또는 청구서 등에 지속적
으로 싣는 방법
4. 재화나 서비스를 제공하기 위하여 개인정보처리자와 정보주체가 작성한 계약서 등에 실어 정보주체에게 발급하
는 방법
제31조의2(개인정보 처리방침의 평가 대상 및 절차) ① 보호위원회는 법 제30조의2제1항에 따라 개인정보 처리방침을
평가하는 경우 다음 각 호의 사항을 종합적으로 고려하여 평가 대상을 선정한다. <개정 2024. 3. 12.>
1. 개인정보처리자의 유형 및 매출액(매출액을 산정하지 않는 경우에는 「법인세법」 제4조제3항제1호에 따른 수익
사업에서 생기는 소득을 말하며, 이하 제32조 및 제48조의7에서 “매출액등”이라 한다) 규모
2. 민감정보 및 고유식별정보 등 처리하는 개인정보의 유형 및 규모
3. 개인정보 처리의 법적 근거 및 방식
4. 법 위반행위 발생 여부
5. 아동ㆍ청소년 등 정보주체의 특성
② 보호위원회는 제1항에 따라 평가 대상 개인정보 처리방침을 선정한 경우에는 평가 개시 10일 전까지 해당 개인
정보처리자에게 평가 내용ㆍ일정 및 절차 등이 포함된 평가계획을 통보해야 한다.
③ 보호위원회는 법 제30조의2에 따른 개인정보 처리방침의 평가에 필요한 경우에는 해당 개인정보처리자에게 의
견을 제출하도록 요청할 수 있다.
④ 보호위원회는 법 제30조의2에 따라 개인정보 처리방침을 평가한 후 그 결과를 지체 없이 해당 개인정보처리자
에게 통보해야 한다.
⑤ 제1항부터 제4항까지에서 규정한 사항 외에 개인정보 처리방침 평가를 위한 세부적인 대상 선정 기준과 절차는
보호위원회가 정하여 고시한다.
[본조신설 2023. 9. 12.]
제32조(개인정보 보호책임자의 지정 등) ① 법 제31조제1항 단서에서 “종업원 수, 매출액 등이 대통령령으로 정하는 기
준에 해당하는 개인정보처리자”란 「소상공인기본법」 제2조제1항에 따른 소상공인에 해당하는 개인정보처리자를 말
개인정보 보호법 시행령
⑥ 보호위원회는 공공시스템운영기관이 개인정보의 안전성 확보 조치를 이행하는데 필요한 지원을 할 수 있다.
⑦ 제1항부터 제6항까지에서 규정한 사항 외에 공공시스템운영기관 등의 개인정보의 안전성 확보 조치에 필요한
사항은 보호위원회가 정하여 고시한다.
[본조신설 2023. 9. 12.]
제31조(개인정보 처리방침의 내용 및 공개방법 등) ① 법 제30조제1항제8호에서 “대통령령으로 정한 사항”이란 다음
각 호의 사항을 말한다. <개정 2016. 9. 29., 2020. 8. 4., 2023. 9. 12., 2024. 3. 12.>
1. 처리하는 개인정보의 항목
2. 법 제28조의8제1항 각 호에 따라 개인정보를 국외로 이전하는 경우 국외 이전의 근거와 같은 조 제2항 각 호의
사항
3. 제30조에 따른 개인정보의 안전성 확보 조치에 관한 사항
4. 국외에서 국내 정보주체의 개인정보를 직접 수집하여 처리하는 경우 개인정보를 처리하는 국가명
② 개인정보처리자는 법 제30조제2항에 따라 수립하거나 변경한 개인정보 처리방침을 개인정보처리자의 인터넷
홈페이지에 지속적으로 게재하여야 한다.
③ 제2항에 따라 인터넷 홈페이지에 게재할 수 없는 경우에는 다음 각 호의 어느 하나 이상의 방법으로 수립하거나
변경한 개인정보 처리방침을 공개하여야 한다.<개정 2023. 9. 12.>
1. 개인정보처리자의 사업장등의 보기 쉬운 장소에 게시하는 방법
2. 관보(개인정보처리자가 공공기관인 경우만 해당한다)나 개인정보처리자의 사업장등이 있는 시ㆍ도 이상의 지역
을 주된 보급지역으로 하는 「신문 등의 진흥에 관한 법률」 제2조제1호가목ㆍ다목 및 같은 조 제2호에 따른 일반
일간신문, 일반주간신문 또는 인터넷신문에 싣는 방법
3. 같은 제목으로 연 2회 이상 발행하여 정보주체에게 배포하는 간행물ㆍ소식지ㆍ홍보지 또는 청구서 등에 지속적
으로 싣는 방법
4. 재화나 서비스를 제공하기 위하여 개인정보처리자와 정보주체가 작성한 계약서 등에 실어 정보주체에게 발급하
는 방법
제31조의2(개인정보 처리방침의 평가 대상 및 절차) ① 보호위원회는 법 제30조의2제1항에 따라 개인정보 처리방침을
평가하는 경우 다음 각 호의 사항을 종합적으로 고려하여 평가 대상을 선정한다. <개정 2024. 3. 12.>
1. 개인정보처리자의 유형 및 매출액(매출액을 산정하지 않는 경우에는 「법인세법」 제4조제3항제1호에 따른 수익
사업에서 생기는 소득을 말하며, 이하 제32조 및 제48조의7에서 “매출액등”이라 한다) 규모
2. 민감정보 및 고유식별정보 등 처리하는 개인정보의 유형 및 규모
3. 개인정보 처리의 법적 근거 및 방식
4. 법 위반행위 발생 여부
5. 아동ㆍ청소년 등 정보주체의 특성
② 보호위원회는 제1항에 따라 평가 대상 개인정보 처리방침을 선정한 경우에는 평가 개시 10일 전까지 해당 개인
정보처리자에게 평가 내용ㆍ일정 및 절차 등이 포함된 평가계획을 통보해야 한다.
③ 보호위원회는 법 제30조의2에 따른 개인정보 처리방침의 평가에 필요한 경우에는 해당 개인정보처리자에게 의
견을 제출하도록 요청할 수 있다.
④ 보호위원회는 법 제30조의2에 따라 개인정보 처리방침을 평가한 후 그 결과를 지체 없이 해당 개인정보처리자
에게 통보해야 한다.
⑤ 제1항부터 제4항까지에서 규정한 사항 외에 개인정보 처리방침 평가를 위한 세부적인 대상 선정 기준과 절차는
보호위원회가 정하여 고시한다.
[본조신설 2023. 9. 12.]
제32조(개인정보 보호책임자의 지정 등) ① 법 제31조제1항 단서에서 “종업원 수, 매출액 등이 대통령령으로 정하는 기
준에 해당하는 개인정보처리자”란 「소상공인기본법」 제2조제1항에 따른 소상공인에 해당하는 개인정보처리자를 말
본문 20쪽
법제처 20 국가법령정보센터
개인정보 보호법 시행령
한다. <신설 2024. 3. 12.>
② 개인정보처리자는 법 제31조제1항에 따라 개인정보 보호책임자를 지정하려는 경우에는 다음 각 호의 구분에 따
라 지정해야 한다. 이 경우 제3항에 따른 개인정보처리자는 다음 각 호의 구분에 따른 사람 중 별표 1에 따른 개인
정보 보호책임자의 자격을 갖춘 사람을 개인정보 보호책임자로 지정해야 한다.<개정 2016. 7. 22., 2024. 3. 12.,
2026. 9. 10.>
1. 공공기관: 다음 각 목의 구분에 따른 기준에 해당하는 공무원 등
가. 국회, 법원, 헌법재판소, 중앙선거관리위원회의 행정사무를 처리하는 기관 및 중앙행정기관: 고위공무원단에
속하는 공무원(이하 “고위공무원”이라 한다) 또는 그에 상당하는 공무원
나. 가목 외에 정무직공무원을 장(長)으로 하는 국가기관: 3급 이상 공무원(고위공무원을 포함한다) 또는 그에 상
당하는 공무원
다. 가목 및 나목 외에 고위공무원, 3급 공무원 또는 그에 상당하는 공무원 이상의 공무원을 장으로 하는 국가기
관: 4급 이상 공무원 또는 그에 상당하는 공무원
라. 가목부터 다목까지의 규정에 따른 국가기관 외의 국가기관(소속 기관을 포함한다): 해당 기관의 개인정보 처
리 관련 업무를 담당하는 부서의 장
마. 시ㆍ도 및 시ㆍ도 교육청: 3급 이상 공무원 또는 그에 상당하는 공무원
바. 시ㆍ군 및 자치구: 4급 이상 공무원 또는 그에 상당하는 공무원
사. 제2조제5호에 따른 각급 학교: 해당 학교의 행정사무를 총괄하는 사람. 다만, 제3항제2호에 해당하는 경우에
는 교직원을 말한다.
아. 가목부터 사목까지의 규정에 따른 기관 외의 공공기관: 개인정보 처리 관련 업무를 담당하는 부서의 장. 다만,
개인정보 처리 관련 업무를 담당하는 부서의 장이 2명 이상인 경우에는 해당 공공기관의 장이 지명하는 부서
의 장이 된다.
2. 공공기관 외의 개인정보처리자: 다음 각 목의 어느 하나에 해당하는 사람
가. 사업주 또는 대표자
나. 임원(「상법」 제401조의2제1항제3호에 따라 회사의 업무를 집행한 자와 같은 법 제408조의2제1항에 따른 집
행임원을 포함하며, 임원이 없는 경우에는 개인정보 처리 관련 업무를 담당하는 부서의 장을 말한다)
③ 법 제31조제3항 각 호 외의 부분에서 “대통령령으로 정하는 기준에 해당하는 개인정보처리자”란 다음 각 호의
어느 하나에 해당하는 개인정보처리자(공공기관의 경우에는 제2조제2호, 제3호, 제3호의2, 제4호 및 제5호에 해당
하는 경우로 한정한다)를 말한다.<신설 2026. 9. 10.>
1. 연간 매출액등이 1,800억원을 초과하는 자(제2조제5호에 따른 각급 학교 및 「의료법」 제3조에 따른 의료기관은
제외한다)로서 다음 각 목의 어느 하나에 해당하는 자
가. 5만명 이상의 정보주체에 관하여 민감정보 또는 고유식별정보를 처리하는 자
나. 100만명 이상의 정보주체에 관하여 개인정보를 처리하는 자
2. 전년도 말 기준 재학생 수(대학원 재학생 수를 포함한다)가 2만명 이상인 「고등교육법」 제2조에 따른 학교
3. 「의료법」 제3조의4에 따른 상급종합병원
4. 공공시스템운영기관
④ 제3항에 따른 개인정보처리자는 법 제31조제3항제2호에 따라 개인정보 보호책임자를 지정ㆍ변경 또는 해제하
는 경우 그 사유가 발생한 날부터 6개월 이내에 보호위원회 고시로 정하는 개인정보 보호책임자 지정ㆍ변경ㆍ해제
신고서를 보호위원회에 제출해야 한다. 다만, 보호위원회는 경영상의 이유로 이사회가 소집되기 어려운 경우 등 부
득이한 사유로 기간 내에 신고서를 제출할 수 없다고 인정하는 경우 개인정보처리자의 요청에 따라 1년의 범위에서
기간을 연장할 수 있다.<개정 2026. 9. 10.>
⑤ 법 제31조제4항제9호에서 “대통령령으로 정한 업무”란 다음 각 호와 같다.<개정 2024. 3. 12., 2026. 9. 10.>
1. 법 제30조에 따른 개인정보 처리방침의 수립ㆍ변경 및 시행
2. 개인정보 처리와 관련된 인적ㆍ물적 자원 및 정보의 관리
개인정보 보호법 시행령
한다. <신설 2024. 3. 12.>
② 개인정보처리자는 법 제31조제1항에 따라 개인정보 보호책임자를 지정하려는 경우에는 다음 각 호의 구분에 따
라 지정해야 한다. 이 경우 제3항에 따른 개인정보처리자는 다음 각 호의 구분에 따른 사람 중 별표 1에 따른 개인
정보 보호책임자의 자격을 갖춘 사람을 개인정보 보호책임자로 지정해야 한다.<개정 2016. 7. 22., 2024. 3. 12.,
2026. 9. 10.>
1. 공공기관: 다음 각 목의 구분에 따른 기준에 해당하는 공무원 등
가. 국회, 법원, 헌법재판소, 중앙선거관리위원회의 행정사무를 처리하는 기관 및 중앙행정기관: 고위공무원단에
속하는 공무원(이하 “고위공무원”이라 한다) 또는 그에 상당하는 공무원
나. 가목 외에 정무직공무원을 장(長)으로 하는 국가기관: 3급 이상 공무원(고위공무원을 포함한다) 또는 그에 상
당하는 공무원
다. 가목 및 나목 외에 고위공무원, 3급 공무원 또는 그에 상당하는 공무원 이상의 공무원을 장으로 하는 국가기
관: 4급 이상 공무원 또는 그에 상당하는 공무원
라. 가목부터 다목까지의 규정에 따른 국가기관 외의 국가기관(소속 기관을 포함한다): 해당 기관의 개인정보 처
리 관련 업무를 담당하는 부서의 장
마. 시ㆍ도 및 시ㆍ도 교육청: 3급 이상 공무원 또는 그에 상당하는 공무원
바. 시ㆍ군 및 자치구: 4급 이상 공무원 또는 그에 상당하는 공무원
사. 제2조제5호에 따른 각급 학교: 해당 학교의 행정사무를 총괄하는 사람. 다만, 제3항제2호에 해당하는 경우에
는 교직원을 말한다.
아. 가목부터 사목까지의 규정에 따른 기관 외의 공공기관: 개인정보 처리 관련 업무를 담당하는 부서의 장. 다만,
개인정보 처리 관련 업무를 담당하는 부서의 장이 2명 이상인 경우에는 해당 공공기관의 장이 지명하는 부서
의 장이 된다.
2. 공공기관 외의 개인정보처리자: 다음 각 목의 어느 하나에 해당하는 사람
가. 사업주 또는 대표자
나. 임원(「상법」 제401조의2제1항제3호에 따라 회사의 업무를 집행한 자와 같은 법 제408조의2제1항에 따른 집
행임원을 포함하며, 임원이 없는 경우에는 개인정보 처리 관련 업무를 담당하는 부서의 장을 말한다)
③ 법 제31조제3항 각 호 외의 부분에서 “대통령령으로 정하는 기준에 해당하는 개인정보처리자”란 다음 각 호의
어느 하나에 해당하는 개인정보처리자(공공기관의 경우에는 제2조제2호, 제3호, 제3호의2, 제4호 및 제5호에 해당
하는 경우로 한정한다)를 말한다.<신설 2026. 9. 10.>
1. 연간 매출액등이 1,800억원을 초과하는 자(제2조제5호에 따른 각급 학교 및 「의료법」 제3조에 따른 의료기관은
제외한다)로서 다음 각 목의 어느 하나에 해당하는 자
가. 5만명 이상의 정보주체에 관하여 민감정보 또는 고유식별정보를 처리하는 자
나. 100만명 이상의 정보주체에 관하여 개인정보를 처리하는 자
2. 전년도 말 기준 재학생 수(대학원 재학생 수를 포함한다)가 2만명 이상인 「고등교육법」 제2조에 따른 학교
3. 「의료법」 제3조의4에 따른 상급종합병원
4. 공공시스템운영기관
④ 제3항에 따른 개인정보처리자는 법 제31조제3항제2호에 따라 개인정보 보호책임자를 지정ㆍ변경 또는 해제하
는 경우 그 사유가 발생한 날부터 6개월 이내에 보호위원회 고시로 정하는 개인정보 보호책임자 지정ㆍ변경ㆍ해제
신고서를 보호위원회에 제출해야 한다. 다만, 보호위원회는 경영상의 이유로 이사회가 소집되기 어려운 경우 등 부
득이한 사유로 기간 내에 신고서를 제출할 수 없다고 인정하는 경우 개인정보처리자의 요청에 따라 1년의 범위에서
기간을 연장할 수 있다.<개정 2026. 9. 10.>
⑤ 법 제31조제4항제9호에서 “대통령령으로 정한 업무”란 다음 각 호와 같다.<개정 2024. 3. 12., 2026. 9. 10.>
1. 법 제30조에 따른 개인정보 처리방침의 수립ㆍ변경 및 시행
2. 개인정보 처리와 관련된 인적ㆍ물적 자원 및 정보의 관리
본문 21쪽
법제처 21 국가법령정보센터
개인정보 보호법 시행령
3. 처리 목적이 달성되거나 보유기간이 지난 개인정보의 파기
⑥ 보호위원회는 개인정보 보호책임자가 법 제31조제4항의 업무를 원활히 수행할 수 있도록 개인정보 보호책임자
에 대한 교육과정을 개설ㆍ운영하는 등 지원을 할 수 있다.<개정 2013. 3. 23., 2014. 11. 19., 2017. 7. 26., 2020. 8.
4., 2024. 3. 12., 2026. 9. 10.>
⑦ 개인정보처리자(법 제31조제2항에 따라 사업주 또는 대표자가 개인정보 보호책임자가 되는 경우는 제외한다)는
법 제31조제7항에 따른 개인정보 보호책임자의 독립성 보장을 위해 다음 각 호의 사항을 준수해야 한다.<신설
2024. 3. 12., 2026. 9. 10.>
1. 개인정보 처리와 관련된 정보에 대한 개인정보 보호책임자의 접근 보장
2. 개인정보 보호책임자가 개인정보 보호 계획의 수립ㆍ시행 및 그 결과에 관하여 정기적으로 대표자 또는 이사회
에 직접 보고할 수 있는 체계의 구축
3. 개인정보 보호책임자의 업무 수행에 적합한 조직체계의 마련 및 인적ㆍ물적 자원의 제공
[제목개정 2026. 9. 10.]
제32조의2(개인정보 보호책임자 협의회의 사업 범위 등) ① 법 제31조제8항에서 “대통령령으로 정하는 공동의 사업”이
란 다음 각 호의 사업을 말한다. <개정 2026. 9. 10.>
1. 개인정보처리자의 개인정보 보호 강화를 위한 정책의 조사, 연구 및 수립 지원
2. 개인정보 침해사고 분석 및 대책 연구
3. 개인정보 보호책임자 지정ㆍ운영, 업무 수행 현황 등 실태 파악 및 제도 개선을 위한 연구
4. 개인정보 보호책임자 교육 등 개인정보 보호책임자의 개인정보 보호 역량 및 전문성 향상
5. 개인정보 보호책임자의 업무와 관련된 국내외 주요 동향의 조사, 분석 및 공유
6. 그 밖에 개인정보처리시스템 등의 안전한 관리를 위해 필요한 사업
② 보호위원회는 법 제31조제9항에 따라 예산의 범위에서 개인정보 보호책임자 협의회의 운영과 사업에 필요한 행
정적ㆍ기술적 지원을 할 수 있다.<개정 2026. 9. 10.>
[본조신설 2024. 3. 12.]
[종전 제32조의2는 제32조의3으로 이동 <2024. 3. 12.>]
제32조의3(국내대리인 지정 대상자의 범위 등) ① 법 제31조의2제1항 각 호 외의 부분 전단에서 “대통령령으로 정하는
자”란 다음 각 호의 어느 하나에 해당하는 자를 말한다.
1. 전년도(법인인 경우에는 전 사업연도를 말한다) 전체 매출액이 1조원 이상인 자
2. 전년도 말 기준 직전 3개월 간 그 개인정보가 저장ㆍ관리되고 있는 국내 정보주체의 수가 일일평균 100만명 이
상인 자
3. 법 제63조제1항에 따라 관계 물품ㆍ서류 등 자료의 제출을 요구받은 자로서 국내대리인을 지정할 필요가 있다고
보호위원회가 심의ㆍ의결한 자
② 제1항제1호에 따른 전체 매출액은 전년도 평균환율을 적용하여 원화로 환산한 금액을 기준으로 한다.
③ 법 제31조의2제2항제2호에서 “대통령령으로 정하는 법인”이란 다음 각 호의 어느 하나에 해당하는 법인을 말한
다.<신설 2025. 9. 23.>
1. 해당 개인정보처리자가 대표이사를 임면하거나 임원의 100분의 50 이상을 선임하거나 선임할 수 있는 법인
2. 해당 개인정보처리자가 발행주식총수 또는 출자총액의 100분의 30 이상을 출자한 법인
④ 법 제31조의2제1항에 따라 국내대리인을 지정한 개인정보처리자는 같은 조 제3항에 따라 국내대리인이 업무를
충실히 수행하도록 다음 각 호에 따라 관리ㆍ감독해야 한다.<신설 2025. 9. 23.>
1. 국내대리인에 대하여 연 1회 이상 국내대리인의 업무에 대한 교육 실시
2. 다음 각 목의 사항에 대한 점검
가. 국내대리인이 업무수행에 대한 계획을 수립하였는지 여부
나. 국내대리인이 업무수행에 대한 계획을 이행하였는지 여부
개인정보 보호법 시행령
3. 처리 목적이 달성되거나 보유기간이 지난 개인정보의 파기
⑥ 보호위원회는 개인정보 보호책임자가 법 제31조제4항의 업무를 원활히 수행할 수 있도록 개인정보 보호책임자
에 대한 교육과정을 개설ㆍ운영하는 등 지원을 할 수 있다.<개정 2013. 3. 23., 2014. 11. 19., 2017. 7. 26., 2020. 8.
4., 2024. 3. 12., 2026. 9. 10.>
⑦ 개인정보처리자(법 제31조제2항에 따라 사업주 또는 대표자가 개인정보 보호책임자가 되는 경우는 제외한다)는
법 제31조제7항에 따른 개인정보 보호책임자의 독립성 보장을 위해 다음 각 호의 사항을 준수해야 한다.<신설
2024. 3. 12., 2026. 9. 10.>
1. 개인정보 처리와 관련된 정보에 대한 개인정보 보호책임자의 접근 보장
2. 개인정보 보호책임자가 개인정보 보호 계획의 수립ㆍ시행 및 그 결과에 관하여 정기적으로 대표자 또는 이사회
에 직접 보고할 수 있는 체계의 구축
3. 개인정보 보호책임자의 업무 수행에 적합한 조직체계의 마련 및 인적ㆍ물적 자원의 제공
[제목개정 2026. 9. 10.]
제32조의2(개인정보 보호책임자 협의회의 사업 범위 등) ① 법 제31조제8항에서 “대통령령으로 정하는 공동의 사업”이
란 다음 각 호의 사업을 말한다. <개정 2026. 9. 10.>
1. 개인정보처리자의 개인정보 보호 강화를 위한 정책의 조사, 연구 및 수립 지원
2. 개인정보 침해사고 분석 및 대책 연구
3. 개인정보 보호책임자 지정ㆍ운영, 업무 수행 현황 등 실태 파악 및 제도 개선을 위한 연구
4. 개인정보 보호책임자 교육 등 개인정보 보호책임자의 개인정보 보호 역량 및 전문성 향상
5. 개인정보 보호책임자의 업무와 관련된 국내외 주요 동향의 조사, 분석 및 공유
6. 그 밖에 개인정보처리시스템 등의 안전한 관리를 위해 필요한 사업
② 보호위원회는 법 제31조제9항에 따라 예산의 범위에서 개인정보 보호책임자 협의회의 운영과 사업에 필요한 행
정적ㆍ기술적 지원을 할 수 있다.<개정 2026. 9. 10.>
[본조신설 2024. 3. 12.]
[종전 제32조의2는 제32조의3으로 이동 <2024. 3. 12.>]
제32조의3(국내대리인 지정 대상자의 범위 등) ① 법 제31조의2제1항 각 호 외의 부분 전단에서 “대통령령으로 정하는
자”란 다음 각 호의 어느 하나에 해당하는 자를 말한다.
1. 전년도(법인인 경우에는 전 사업연도를 말한다) 전체 매출액이 1조원 이상인 자
2. 전년도 말 기준 직전 3개월 간 그 개인정보가 저장ㆍ관리되고 있는 국내 정보주체의 수가 일일평균 100만명 이
상인 자
3. 법 제63조제1항에 따라 관계 물품ㆍ서류 등 자료의 제출을 요구받은 자로서 국내대리인을 지정할 필요가 있다고
보호위원회가 심의ㆍ의결한 자
② 제1항제1호에 따른 전체 매출액은 전년도 평균환율을 적용하여 원화로 환산한 금액을 기준으로 한다.
③ 법 제31조의2제2항제2호에서 “대통령령으로 정하는 법인”이란 다음 각 호의 어느 하나에 해당하는 법인을 말한
다.<신설 2025. 9. 23.>
1. 해당 개인정보처리자가 대표이사를 임면하거나 임원의 100분의 50 이상을 선임하거나 선임할 수 있는 법인
2. 해당 개인정보처리자가 발행주식총수 또는 출자총액의 100분의 30 이상을 출자한 법인
④ 법 제31조의2제1항에 따라 국내대리인을 지정한 개인정보처리자는 같은 조 제3항에 따라 국내대리인이 업무를
충실히 수행하도록 다음 각 호에 따라 관리ㆍ감독해야 한다.<신설 2025. 9. 23.>
1. 국내대리인에 대하여 연 1회 이상 국내대리인의 업무에 대한 교육 실시
2. 다음 각 목의 사항에 대한 점검
가. 국내대리인이 업무수행에 대한 계획을 수립하였는지 여부
나. 국내대리인이 업무수행에 대한 계획을 이행하였는지 여부
본문 22쪽
법제처 22 국가법령정보센터
개인정보 보호법 시행령
다. 나목에 따른 계획 이행 여부 점검 결과 개선이 필요한 사항을 개선하였는지 여부
[본조신설 2023. 9. 12.]
[제목개정 2025. 9. 23.]
[제32조의2에서 이동 <2024. 3. 12.>]
제33조(개인정보파일의 등록사항 등) ① 법 제32조제1항제7호에서 “대통령령으로 정하는 사항”이란 다음 각 호의 사항
을 말한다. <개정 2023. 9. 12.>
1. 개인정보파일을 운용하는 공공기관의 명칭
2. 개인정보파일로 보유하고 있는 개인정보의 정보주체 수
3. 해당 공공기관에서 개인정보 처리 관련 업무를 담당하는 부서
4. 제41조에 따른 개인정보의 열람 요구를 접수ㆍ처리하는 부서
5. 개인정보파일의 개인정보 중 법 제35조제4항에 따라 열람을 제한하거나 거절할 수 있는 개인정보의 범위 및 제
한 또는 거절 사유
② 법 제32조제2항제4호에서 “대통령령으로 정하는 개인정보파일”이란 다음 각 호의 어느 하나에 해당하는 개인정
보파일을 말한다.<신설 2023. 9. 12.>
1. 회의 참석 수당 지급, 자료ㆍ물품의 송부, 금전의 정산 등 단순 업무 수행을 위해 운영되는 개인정보파일로서 지
속적 관리 필요성이 낮은 개인정보파일
2. 공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우로서 일시적으로 처리되는 개인정보파일
3. 그 밖에 일회적 업무 처리만을 위해 수집된 개인정보파일로서 저장되거나 기록되지 않는 개인정보파일
[제목개정 2023. 9. 12.]
제34조(개인정보파일의 등록 및 공개 등) ① 개인정보파일(법 제32조제2항 및 이 영 제33조제2항에 따른 개인정보파일
은 제외한다. 이하 이 조에서 같다)을 운용하는 공공기관의 장은 그 운용을 시작한 날부터 60일 이내에 보호위원회가
정하여 고시하는 바에 따라 보호위원회에 법 제32조제1항 및 이 영 제33조제1항에 따른 등록사항(이하 “등록사항
”이라 한다)의 등록을 신청하여야 한다. 등록 후 등록한 사항이 변경된 경우에도 또한 같다. <개정 2013. 3. 23.,
2014. 11. 19., 2017. 7. 26., 2020. 8. 4., 2023. 9. 12.>
② 보호위원회는 법 제32조제4항에 따라 개인정보파일의 등록 현황을 공개하는 경우 이를 보호위원회가 구축하는
인터넷 사이트에 게재해야 한다.<개정 2013. 3. 23., 2014. 11. 19., 2017. 7. 26., 2020. 8. 4., 2023. 9. 12.>
③ 보호위원회는 제1항에 따른 개인정보파일의 등록사항을 등록하거나 변경하는 업무를 전자적으로 처리할 수 있
도록 시스템을 구축ㆍ운영할 수 있다.<개정 2013. 3. 23., 2014. 11. 19., 2017. 7. 26., 2020. 8. 4.>
제34조의2(개인정보 보호 인증의 기준ㆍ방법ㆍ절차 등) ① 보호위원회는 제30조제1항 각 호의 사항을 고려하여 개인
정보 보호의 관리적ㆍ기술적ㆍ물리적 보호대책의 수립 등을 포함한 법 제32조의2제1항에 따른 인증의 기준을 정하
여 고시한다. <개정 2017. 7. 26., 2020. 8. 4., 2023. 9. 12.>
② 법 제32조의2제1항에 따라 개인정보 보호 인증을 받으려는 자(이하 이 조 및 제34조의3에서 “신청인”이라 한다
)는 다음 각 호의 사항이 포함된 개인정보 보호 인증신청서(전자문서로 된 신청서를 포함한다)를 제34조의6에 따른
개인정보 보호 인증 전문기관(이하 “인증기관”이라 한다)에 제출하여야 한다.<개정 2024. 3. 12., 2026. 9. 10.>
1. 인증 대상 개인정보 처리시스템의 목록
2. 개인정보 관리체계를 수립ㆍ운영하는 방법과 절차
3. 개인정보 관리체계 및 보호대책 구현과 관련되는 문서 목록
③ 인증기관은 제2항에 따른 인증신청서를 받은 경우에는 신청인과 인증의 범위 및 일정 등에 관하여 협의하여야
한다.
④ 법 제32조의2제1항에 따른 개인정보 보호 인증심사는 제34조의8에 따른 개인정보 보호 인증심사원이 서면심사
또는 현장심사의 방법으로 실시한다.
개인정보 보호법 시행령
다. 나목에 따른 계획 이행 여부 점검 결과 개선이 필요한 사항을 개선하였는지 여부
[본조신설 2023. 9. 12.]
[제목개정 2025. 9. 23.]
[제32조의2에서 이동 <2024. 3. 12.>]
제33조(개인정보파일의 등록사항 등) ① 법 제32조제1항제7호에서 “대통령령으로 정하는 사항”이란 다음 각 호의 사항
을 말한다. <개정 2023. 9. 12.>
1. 개인정보파일을 운용하는 공공기관의 명칭
2. 개인정보파일로 보유하고 있는 개인정보의 정보주체 수
3. 해당 공공기관에서 개인정보 처리 관련 업무를 담당하는 부서
4. 제41조에 따른 개인정보의 열람 요구를 접수ㆍ처리하는 부서
5. 개인정보파일의 개인정보 중 법 제35조제4항에 따라 열람을 제한하거나 거절할 수 있는 개인정보의 범위 및 제
한 또는 거절 사유
② 법 제32조제2항제4호에서 “대통령령으로 정하는 개인정보파일”이란 다음 각 호의 어느 하나에 해당하는 개인정
보파일을 말한다.<신설 2023. 9. 12.>
1. 회의 참석 수당 지급, 자료ㆍ물품의 송부, 금전의 정산 등 단순 업무 수행을 위해 운영되는 개인정보파일로서 지
속적 관리 필요성이 낮은 개인정보파일
2. 공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우로서 일시적으로 처리되는 개인정보파일
3. 그 밖에 일회적 업무 처리만을 위해 수집된 개인정보파일로서 저장되거나 기록되지 않는 개인정보파일
[제목개정 2023. 9. 12.]
제34조(개인정보파일의 등록 및 공개 등) ① 개인정보파일(법 제32조제2항 및 이 영 제33조제2항에 따른 개인정보파일
은 제외한다. 이하 이 조에서 같다)을 운용하는 공공기관의 장은 그 운용을 시작한 날부터 60일 이내에 보호위원회가
정하여 고시하는 바에 따라 보호위원회에 법 제32조제1항 및 이 영 제33조제1항에 따른 등록사항(이하 “등록사항
”이라 한다)의 등록을 신청하여야 한다. 등록 후 등록한 사항이 변경된 경우에도 또한 같다. <개정 2013. 3. 23.,
2014. 11. 19., 2017. 7. 26., 2020. 8. 4., 2023. 9. 12.>
② 보호위원회는 법 제32조제4항에 따라 개인정보파일의 등록 현황을 공개하는 경우 이를 보호위원회가 구축하는
인터넷 사이트에 게재해야 한다.<개정 2013. 3. 23., 2014. 11. 19., 2017. 7. 26., 2020. 8. 4., 2023. 9. 12.>
③ 보호위원회는 제1항에 따른 개인정보파일의 등록사항을 등록하거나 변경하는 업무를 전자적으로 처리할 수 있
도록 시스템을 구축ㆍ운영할 수 있다.<개정 2013. 3. 23., 2014. 11. 19., 2017. 7. 26., 2020. 8. 4.>
제34조의2(개인정보 보호 인증의 기준ㆍ방법ㆍ절차 등) ① 보호위원회는 제30조제1항 각 호의 사항을 고려하여 개인
정보 보호의 관리적ㆍ기술적ㆍ물리적 보호대책의 수립 등을 포함한 법 제32조의2제1항에 따른 인증의 기준을 정하
여 고시한다. <개정 2017. 7. 26., 2020. 8. 4., 2023. 9. 12.>
② 법 제32조의2제1항에 따라 개인정보 보호 인증을 받으려는 자(이하 이 조 및 제34조의3에서 “신청인”이라 한다
)는 다음 각 호의 사항이 포함된 개인정보 보호 인증신청서(전자문서로 된 신청서를 포함한다)를 제34조의6에 따른
개인정보 보호 인증 전문기관(이하 “인증기관”이라 한다)에 제출하여야 한다.<개정 2024. 3. 12., 2026. 9. 10.>
1. 인증 대상 개인정보 처리시스템의 목록
2. 개인정보 관리체계를 수립ㆍ운영하는 방법과 절차
3. 개인정보 관리체계 및 보호대책 구현과 관련되는 문서 목록
③ 인증기관은 제2항에 따른 인증신청서를 받은 경우에는 신청인과 인증의 범위 및 일정 등에 관하여 협의하여야
한다.
④ 법 제32조의2제1항에 따른 개인정보 보호 인증심사는 제34조의8에 따른 개인정보 보호 인증심사원이 서면심사
또는 현장심사의 방법으로 실시한다.
본문 23쪽
법제처 23 국가법령정보센터
개인정보 보호법 시행령
⑤ 인증기관은 제4항에 따른 인증심사의 결과를 심의하기 위하여 정보보호에 관한 학식과 경험이 풍부한 사람을 위
원으로 하는 인증위원회를 설치ㆍ운영하여야 한다.
⑥ 제1항부터 제5항까지에서 규정한 사항 외에 인증신청, 인증심사, 인증위원회의 설치ㆍ운영 및 인증서의 발급 등
개인정보 보호 인증에 필요한 세부사항은 보호위원회가 정하여 고시한다.<개정 2017. 7. 26., 2020. 8. 4.>
[본조신설 2016. 7. 22.]
제34조의3(개인정보 보호 인증의 수수료) ① 신청인은 인증기관에 개인정보 보호 인증 심사에 소요되는 수수료를 납부
하여야 한다.
② 보호위원회는 개인정보 보호 인증 심사에 투입되는 인증 심사원의 수 및 인증심사에 필요한 일수 등을 고려하여
제1항에 따른 수수료 산정을 위한 구체적인 기준을 정하여 고시한다.<개정 2017. 7. 26., 2020. 8. 4.>
[본조신설 2016. 7. 22.]
제34조의4(인증취소) ① 인증기관은 법 제32조의2제3항에 따라 개인정보 보호 인증을 취소하려는 경우에는 제34조의
2제5항에 따른 인증위원회의 심의ㆍ의결을 거쳐야 한다.
② 보호위원회 또는 인증기관은 법 제32조의2제3항에 따라 인증을 취소한 경우에는 그 사실을 당사자에게 통보하
고, 관보 또는 인증기관의 홈페이지에 공고하거나 게시해야 한다.<개정 2017. 7. 26., 2020. 8. 4.>
[본조신설 2016. 7. 22.]
제34조의5(인증의 사후관리) ① 법 제32조의2제4항에 따른 사후관리 심사는 서면심사 또는 현장심사의 방법으로 실시
한다.
② 인증기관은 제1항에 따른 사후관리를 실시한 결과 법 제32조의2제3항 각 호의 사유를 발견한 경우에는 제34조
의2제5항에 따른 인증위원회의 심의를 거쳐 그 결과를 보호위원회에 제출해야 한다.<개정 2017. 7. 26., 2020. 8.
4.>
[본조신설 2016. 7. 22.]
제34조의6(개인정보 보호 인증 전문기관) ① 법 제32조의2제5항에서 “대통령령으로 정하는 전문기관”이란 다음 각 호
의 기관을 말한다. <개정 2016. 9. 29., 2017. 7. 26., 2020. 8. 4.>
1. 한국인터넷진흥원
2. 다음 각 목의 요건을 모두 충족하는 법인, 단체 또는 기관 중에서 보호위원회가 지정ㆍ고시하는 법인, 단체 또는
기관
가. 제34조의8에 따른 개인정보 보호 인증심사원 5명 이상을 보유할 것
나. 보호위원회가 실시하는 업무수행 요건ㆍ능력 심사에서 적합하다고 인정받을 것
② 제1항제2호에 해당하는 법인, 단체 또는 기관의 지정과 그 지정의 취소에 필요한 세부기준 등은 보호위원회가
정하여 고시한다.<개정 2017. 7. 26., 2020. 8. 4.>
[본조신설 2016. 7. 22.]
제34조의7(인증의 표시 및 홍보) 법 제32조의2제6항에 따라 인증을 받은 자가 인증 받은 내용을 표시하거나 홍보하려
는 경우에는 보호위원회가 정하여 고시하는 개인정보 보호 인증표시를 사용할 수 있다. 이 경우 인증의 범위와 유효
기간을 함께 표시해야 한다. <개정 2017. 7. 26., 2020. 8. 4.>
[본조신설 2016. 7. 22.]
제34조의8(개인정보 보호 인증심사원의 자격 및 자격 취소 요건) ① 인증기관은 법 제32조의2제7항에 따라 개인정보
보호에 관한 전문지식을 갖춘 사람으로서 인증심사에 필요한 전문 교육과정을 이수하고 시험에 합격한 사람에게 개
인정보 보호 인증심사원(이하 “인증심사원”이라 한다)의 자격을 부여한다.
② 인증기관은 법 제32조의2제7항에 따라 인증심사원이 다음 각 호의 어느 하나에 해당하는 경우 그 자격을 취소할
수 있다. 다만, 제1호에 해당하는 경우에는 자격을 취소하여야 한다.
개인정보 보호법 시행령
⑤ 인증기관은 제4항에 따른 인증심사의 결과를 심의하기 위하여 정보보호에 관한 학식과 경험이 풍부한 사람을 위
원으로 하는 인증위원회를 설치ㆍ운영하여야 한다.
⑥ 제1항부터 제5항까지에서 규정한 사항 외에 인증신청, 인증심사, 인증위원회의 설치ㆍ운영 및 인증서의 발급 등
개인정보 보호 인증에 필요한 세부사항은 보호위원회가 정하여 고시한다.<개정 2017. 7. 26., 2020. 8. 4.>
[본조신설 2016. 7. 22.]
제34조의3(개인정보 보호 인증의 수수료) ① 신청인은 인증기관에 개인정보 보호 인증 심사에 소요되는 수수료를 납부
하여야 한다.
② 보호위원회는 개인정보 보호 인증 심사에 투입되는 인증 심사원의 수 및 인증심사에 필요한 일수 등을 고려하여
제1항에 따른 수수료 산정을 위한 구체적인 기준을 정하여 고시한다.<개정 2017. 7. 26., 2020. 8. 4.>
[본조신설 2016. 7. 22.]
제34조의4(인증취소) ① 인증기관은 법 제32조의2제3항에 따라 개인정보 보호 인증을 취소하려는 경우에는 제34조의
2제5항에 따른 인증위원회의 심의ㆍ의결을 거쳐야 한다.
② 보호위원회 또는 인증기관은 법 제32조의2제3항에 따라 인증을 취소한 경우에는 그 사실을 당사자에게 통보하
고, 관보 또는 인증기관의 홈페이지에 공고하거나 게시해야 한다.<개정 2017. 7. 26., 2020. 8. 4.>
[본조신설 2016. 7. 22.]
제34조의5(인증의 사후관리) ① 법 제32조의2제4항에 따른 사후관리 심사는 서면심사 또는 현장심사의 방법으로 실시
한다.
② 인증기관은 제1항에 따른 사후관리를 실시한 결과 법 제32조의2제3항 각 호의 사유를 발견한 경우에는 제34조
의2제5항에 따른 인증위원회의 심의를 거쳐 그 결과를 보호위원회에 제출해야 한다.<개정 2017. 7. 26., 2020. 8.
4.>
[본조신설 2016. 7. 22.]
제34조의6(개인정보 보호 인증 전문기관) ① 법 제32조의2제5항에서 “대통령령으로 정하는 전문기관”이란 다음 각 호
의 기관을 말한다. <개정 2016. 9. 29., 2017. 7. 26., 2020. 8. 4.>
1. 한국인터넷진흥원
2. 다음 각 목의 요건을 모두 충족하는 법인, 단체 또는 기관 중에서 보호위원회가 지정ㆍ고시하는 법인, 단체 또는
기관
가. 제34조의8에 따른 개인정보 보호 인증심사원 5명 이상을 보유할 것
나. 보호위원회가 실시하는 업무수행 요건ㆍ능력 심사에서 적합하다고 인정받을 것
② 제1항제2호에 해당하는 법인, 단체 또는 기관의 지정과 그 지정의 취소에 필요한 세부기준 등은 보호위원회가
정하여 고시한다.<개정 2017. 7. 26., 2020. 8. 4.>
[본조신설 2016. 7. 22.]
제34조의7(인증의 표시 및 홍보) 법 제32조의2제6항에 따라 인증을 받은 자가 인증 받은 내용을 표시하거나 홍보하려
는 경우에는 보호위원회가 정하여 고시하는 개인정보 보호 인증표시를 사용할 수 있다. 이 경우 인증의 범위와 유효
기간을 함께 표시해야 한다. <개정 2017. 7. 26., 2020. 8. 4.>
[본조신설 2016. 7. 22.]
제34조의8(개인정보 보호 인증심사원의 자격 및 자격 취소 요건) ① 인증기관은 법 제32조의2제7항에 따라 개인정보
보호에 관한 전문지식을 갖춘 사람으로서 인증심사에 필요한 전문 교육과정을 이수하고 시험에 합격한 사람에게 개
인정보 보호 인증심사원(이하 “인증심사원”이라 한다)의 자격을 부여한다.
② 인증기관은 법 제32조의2제7항에 따라 인증심사원이 다음 각 호의 어느 하나에 해당하는 경우 그 자격을 취소할
수 있다. 다만, 제1호에 해당하는 경우에는 자격을 취소하여야 한다.
본문 24쪽
법제처 24 국가법령정보센터
개인정보 보호법 시행령
1. 거짓이나 부정한 방법으로 인증심사원 자격을 취득한 경우
2. 개인정보 보호 인증 심사와 관련하여 금전, 금품, 이익 등을 부당하게 수수한 경우
3. 개인정보 보호 인증 심사 과정에서 취득한 정보를 누설하거나 정당한 사유 없이 업무상 목적 외의 용도로 사용한
경우
③ 제1항 및 제2항에 따른 전문 교육과정의 이수, 인증심사원 자격의 부여 및 취소 등에 관한 세부 사항은 보호위원
회가 정하여 고시한다.<개정 2017. 7. 26., 2020. 8. 4.>
[본조신설 2016. 7. 22.]
제35조(개인정보 영향평가의 대상) 법 제33조제1항에서 “대통령령으로 정하는 기준에 해당하는 개인정보파일”이란 개
인정보를 전자적으로 처리할 수 있는 개인정보파일로서 다음 각 호의 어느 하나에 해당하는 개인정보파일을 말한다.
<개정 2016. 9. 29.>
1. 구축ㆍ운용 또는 변경하려는 개인정보파일로서 5만명 이상의 정보주체에 관한 민감정보 또는 고유식별정보의
처리가 수반되는 개인정보파일
2. 구축ㆍ운용하고 있는 개인정보파일을 해당 공공기관 내부 또는 외부에서 구축ㆍ운용하고 있는 다른 개인정보파
일과 연계하려는 경우로서 연계 결과 50만명 이상의 정보주체에 관한 개인정보가 포함되는 개인정보파일
3. 구축ㆍ운용 또는 변경하려는 개인정보파일로서 100만명 이상의 정보주체에 관한 개인정보파일
4. 법 제33조제1항에 따른 개인정보 영향평가(이하 “영향평가”라 한다)를 받은 후에 개인정보 검색체계 등 개인정보
파일의 운용체계를 변경하려는 경우 그 개인정보파일. 이 경우 영향평가 대상은 변경된 부분으로 한정한다.
제36조(평가기관의 지정 및 지정취소) ① 보호위원회는 법 제33조제2항에 따라 다음 각 호의 요건을 모두 갖춘 법인을
개인정보 영향평가기관(이하 “평가기관”이라 한다)으로 지정할 수 있다. <개정 2013. 3. 23., 2014. 11. 19., 2015. 12.
22., 2017. 7. 26., 2020. 8. 4., 2023. 9. 12.>
1. 최근 5년간 다음 각 목의 어느 하나에 해당하는 업무 수행의 대가로 받은 금액의 합계액이 2억원 이상인 법인
가. 영향평가 업무 또는 이와 유사한 업무
나. 「전자정부법」 제2조제13호에 따른 정보시스템(정보보호시스템을 포함한다)의 구축 업무 중 정보보호컨설팅
업무(전자적 침해행위에 대비하기 위한 정보시스템의 분석ㆍ평가와 이에 기초한 정보 보호 대책의 제시 업무
를 말한다. 이하 같다)
다. 「전자정부법」 제2조제14호에 따른 정보시스템 감리 업무 중 정보보호컨설팅 업무
라. 「정보보호산업의 진흥에 관한 법률」 제2조제1항제2호에 따른 정보보호산업에 해당하는 업무 중 정보보호컨
설팅 업무
마. 「정보보호산업의 진흥에 관한 법률」 제23조제1항제1호 및 제2호에 따른 업무
2. 개인정보 영향평가와 관련된 분야에서의 업무 경력 등 보호위원회가 정하여 고시하는 자격을 갖춘 전문인력을
10명 이상 상시 고용하고 있는 법인
3. 다음 각 목의 사무실 및 설비를 갖춘 법인
가. 신원 확인 및 출입 통제를 위한 설비를 갖춘 사무실
나. 기록 및 자료의 안전한 관리를 위한 설비
② 평가기관으로 지정받으려는 자는 보호위원회가 정하여 고시하는 평가기관 지정신청서에 다음 각 호의 서류를
첨부하여 보호위원회에 제출해야 한다.<개정 2013. 3. 23., 2014. 11. 19., 2017. 7. 26., 2017. 10. 17., 2020. 8. 4.>
1. 정관
2. 대표자의 성명
3. 제1항제2호에 따른 전문인력의 자격을 증명할 수 있는 서류
4. 그 밖에 보호위원회가 정하여 고시하는 서류
③ 제2항에 따라 평가기관 지정신청서를 제출받은 보호위원회는 「전자정부법」 제36조제1항에 따른 행정정보의 공
동이용을 통하여 다음 각 호의 서류를 확인해야 한다. 다만, 신청인이 제2호의 확인에 동의하지 않는 경우에는 신청
인에게 그 서류를 첨부하게 해야 한다.<개정 2013. 3. 23., 2014. 11. 19., 2017. 7. 26., 2020. 8. 4.>
개인정보 보호법 시행령
1. 거짓이나 부정한 방법으로 인증심사원 자격을 취득한 경우
2. 개인정보 보호 인증 심사와 관련하여 금전, 금품, 이익 등을 부당하게 수수한 경우
3. 개인정보 보호 인증 심사 과정에서 취득한 정보를 누설하거나 정당한 사유 없이 업무상 목적 외의 용도로 사용한
경우
③ 제1항 및 제2항에 따른 전문 교육과정의 이수, 인증심사원 자격의 부여 및 취소 등에 관한 세부 사항은 보호위원
회가 정하여 고시한다.<개정 2017. 7. 26., 2020. 8. 4.>
[본조신설 2016. 7. 22.]
제35조(개인정보 영향평가의 대상) 법 제33조제1항에서 “대통령령으로 정하는 기준에 해당하는 개인정보파일”이란 개
인정보를 전자적으로 처리할 수 있는 개인정보파일로서 다음 각 호의 어느 하나에 해당하는 개인정보파일을 말한다.
<개정 2016. 9. 29.>
1. 구축ㆍ운용 또는 변경하려는 개인정보파일로서 5만명 이상의 정보주체에 관한 민감정보 또는 고유식별정보의
처리가 수반되는 개인정보파일
2. 구축ㆍ운용하고 있는 개인정보파일을 해당 공공기관 내부 또는 외부에서 구축ㆍ운용하고 있는 다른 개인정보파
일과 연계하려는 경우로서 연계 결과 50만명 이상의 정보주체에 관한 개인정보가 포함되는 개인정보파일
3. 구축ㆍ운용 또는 변경하려는 개인정보파일로서 100만명 이상의 정보주체에 관한 개인정보파일
4. 법 제33조제1항에 따른 개인정보 영향평가(이하 “영향평가”라 한다)를 받은 후에 개인정보 검색체계 등 개인정보
파일의 운용체계를 변경하려는 경우 그 개인정보파일. 이 경우 영향평가 대상은 변경된 부분으로 한정한다.
제36조(평가기관의 지정 및 지정취소) ① 보호위원회는 법 제33조제2항에 따라 다음 각 호의 요건을 모두 갖춘 법인을
개인정보 영향평가기관(이하 “평가기관”이라 한다)으로 지정할 수 있다. <개정 2013. 3. 23., 2014. 11. 19., 2015. 12.
22., 2017. 7. 26., 2020. 8. 4., 2023. 9. 12.>
1. 최근 5년간 다음 각 목의 어느 하나에 해당하는 업무 수행의 대가로 받은 금액의 합계액이 2억원 이상인 법인
가. 영향평가 업무 또는 이와 유사한 업무
나. 「전자정부법」 제2조제13호에 따른 정보시스템(정보보호시스템을 포함한다)의 구축 업무 중 정보보호컨설팅
업무(전자적 침해행위에 대비하기 위한 정보시스템의 분석ㆍ평가와 이에 기초한 정보 보호 대책의 제시 업무
를 말한다. 이하 같다)
다. 「전자정부법」 제2조제14호에 따른 정보시스템 감리 업무 중 정보보호컨설팅 업무
라. 「정보보호산업의 진흥에 관한 법률」 제2조제1항제2호에 따른 정보보호산업에 해당하는 업무 중 정보보호컨
설팅 업무
마. 「정보보호산업의 진흥에 관한 법률」 제23조제1항제1호 및 제2호에 따른 업무
2. 개인정보 영향평가와 관련된 분야에서의 업무 경력 등 보호위원회가 정하여 고시하는 자격을 갖춘 전문인력을
10명 이상 상시 고용하고 있는 법인
3. 다음 각 목의 사무실 및 설비를 갖춘 법인
가. 신원 확인 및 출입 통제를 위한 설비를 갖춘 사무실
나. 기록 및 자료의 안전한 관리를 위한 설비
② 평가기관으로 지정받으려는 자는 보호위원회가 정하여 고시하는 평가기관 지정신청서에 다음 각 호의 서류를
첨부하여 보호위원회에 제출해야 한다.<개정 2013. 3. 23., 2014. 11. 19., 2017. 7. 26., 2017. 10. 17., 2020. 8. 4.>
1. 정관
2. 대표자의 성명
3. 제1항제2호에 따른 전문인력의 자격을 증명할 수 있는 서류
4. 그 밖에 보호위원회가 정하여 고시하는 서류
③ 제2항에 따라 평가기관 지정신청서를 제출받은 보호위원회는 「전자정부법」 제36조제1항에 따른 행정정보의 공
동이용을 통하여 다음 각 호의 서류를 확인해야 한다. 다만, 신청인이 제2호의 확인에 동의하지 않는 경우에는 신청
인에게 그 서류를 첨부하게 해야 한다.<개정 2013. 3. 23., 2014. 11. 19., 2017. 7. 26., 2020. 8. 4.>
본문 25쪽
법제처 25 국가법령정보센터
개인정보 보호법 시행령
1. 법인 등기사항증명서
2. 「출입국관리법」 제88조제2항에 따른 외국인등록 사실증명(외국인인 경우만 해당한다)
④ 보호위원회는 제1항에 따라 평가기관을 지정한 경우에는 지체 없이 평가기관 지정서를 발급하고, 다음 각 호의
사항을 관보에 고시해야 한다. 고시된 사항이 변경된 경우에도 또한 같다.<개정 2013. 3. 23., 2014. 11. 19., 2017. 7.
26., 2020. 8. 4.>
1. 평가기관의 명칭ㆍ주소 및 전화번호와 대표자의 성명
2. 지정 시 조건을 붙이는 경우 그 조건의 내용
⑤ 법 제33조제7항제5호에서 “대통령령으로 정하는 사유에 해당하는 경우”란 다음 각 호의 어느 하나에 해당하는
경우를 말한다.<개정 2023. 9. 12.>
1. 제6항에 따른 신고의무를 이행하지 않은 경우
2. 평가기관으로 지정된 날부터 2년 이상 계속하여 정당한 사유 없이 영향평가 실적이 없는 경우
3. 제38조제2항 각 호 외의 부분에 따른 영향평가서 등 영향평가 업무 수행 과정에서 알게 된 정보를 누설한 경우
4. 그 밖에 법 또는 이 영에 따른 의무를 위반한 경우
⑥ 제1항에 따라 지정된 평가기관은 지정된 후 다음 각 호의 어느 하나에 해당하는 사유가 발생한 경우에는 보호위
원회가 정하여 고시하는 바에 따라 그 사유가 발생한 날부터 14일 이내에 보호위원회에 신고해야 한다. 다만, 제3호
에 해당하는 경우에는 그 사유가 발생한 날부터 60일 이내에 신고해야 한다.<개정 2013. 3. 23., 2014. 11. 19., 2017.
7. 26., 2017. 10. 17., 2020. 8. 4.>
1. 제1항 각 호의 어느 하나에 해당하는 사항이 변경된 경우
2. 제4항제1호에 해당하는 사항이 변경된 경우
3. 평가기관을 양도ㆍ양수하거나 합병하는 등의 사유가 발생한 경우
⑦ 삭제<2023. 9. 12.>
[제37조에서 이동, 종전 제36조는 제37조로 이동 <2023. 9. 12.>]
제37조(영향평가 시 고려사항) 법 제33조제3항제4호에서 “대통령령으로 정한 사항”이란 다음 각 호의 사항을 말한다.
<개정 2023. 9. 12.>
1. 민감정보 또는 고유식별정보의 처리 여부
2. 개인정보 보유기간
[제36조에서 이동, 종전 제37조는 제36조로 이동 <2023. 9. 12.>]
제38조(영향평가의 평가기준 등) ① 법 제33조제9항에 따른 영향평가의 기준(이하 “평가기준”이라 한다)은 다음 각 호
와 같다. <개정 2016. 7. 22., 2023. 9. 12.>
1. 해당 개인정보파일에 포함되는 개인정보의 종류ㆍ성질, 정보주체의 수 및 그에 따른 개인정보 침해의 가능성
2. 법 제23조제2항, 제24조제3항, 제24조의2제2항, 제25조제6항(제25조의2제4항에 따라 준용되는 경우를 포함한다
) 및 제29조에 따른 안전성 확보 조치의 수준 및 이에 따른 개인정보 침해의 가능성
3. 개인정보 침해의 위험요인별 조치 여부
4. 그 밖에 법 및 이 영에 따라 필요한 조치 또는 의무 위반 요소에 관한 사항
② 법 제33조제2항에 따라 영향평가를 의뢰받은 평가기관은 평가기준에 따라 개인정보파일의 운용으로 인한 개인
정보 침해의 위험요인을 분석ㆍ평가한 후 다음 각 호의 사항이 포함된 평가 결과를 영향평가서로 작성하여 해당 공
공기관의 장에게 보내야 하며, 공공기관의 장은 제35조 각 호에 해당하는 개인정보파일을 운용 또는 변경하기 전에
그 영향평가서를 보호위원회에 제출해야 한다.<개정 2023. 9. 12.>
1. 영향평가의 대상 및 범위
2. 평가 분야 및 항목
3. 평가기준에 따른 개인정보 침해의 위험요인에 대한 분석ㆍ평가
4. 제3호의 분석ㆍ평가 결과에 따라 조치한 내용 및 개선계획
개인정보 보호법 시행령
1. 법인 등기사항증명서
2. 「출입국관리법」 제88조제2항에 따른 외국인등록 사실증명(외국인인 경우만 해당한다)
④ 보호위원회는 제1항에 따라 평가기관을 지정한 경우에는 지체 없이 평가기관 지정서를 발급하고, 다음 각 호의
사항을 관보에 고시해야 한다. 고시된 사항이 변경된 경우에도 또한 같다.<개정 2013. 3. 23., 2014. 11. 19., 2017. 7.
26., 2020. 8. 4.>
1. 평가기관의 명칭ㆍ주소 및 전화번호와 대표자의 성명
2. 지정 시 조건을 붙이는 경우 그 조건의 내용
⑤ 법 제33조제7항제5호에서 “대통령령으로 정하는 사유에 해당하는 경우”란 다음 각 호의 어느 하나에 해당하는
경우를 말한다.<개정 2023. 9. 12.>
1. 제6항에 따른 신고의무를 이행하지 않은 경우
2. 평가기관으로 지정된 날부터 2년 이상 계속하여 정당한 사유 없이 영향평가 실적이 없는 경우
3. 제38조제2항 각 호 외의 부분에 따른 영향평가서 등 영향평가 업무 수행 과정에서 알게 된 정보를 누설한 경우
4. 그 밖에 법 또는 이 영에 따른 의무를 위반한 경우
⑥ 제1항에 따라 지정된 평가기관은 지정된 후 다음 각 호의 어느 하나에 해당하는 사유가 발생한 경우에는 보호위
원회가 정하여 고시하는 바에 따라 그 사유가 발생한 날부터 14일 이내에 보호위원회에 신고해야 한다. 다만, 제3호
에 해당하는 경우에는 그 사유가 발생한 날부터 60일 이내에 신고해야 한다.<개정 2013. 3. 23., 2014. 11. 19., 2017.
7. 26., 2017. 10. 17., 2020. 8. 4.>
1. 제1항 각 호의 어느 하나에 해당하는 사항이 변경된 경우
2. 제4항제1호에 해당하는 사항이 변경된 경우
3. 평가기관을 양도ㆍ양수하거나 합병하는 등의 사유가 발생한 경우
⑦ 삭제<2023. 9. 12.>
[제37조에서 이동, 종전 제36조는 제37조로 이동 <2023. 9. 12.>]
제37조(영향평가 시 고려사항) 법 제33조제3항제4호에서 “대통령령으로 정한 사항”이란 다음 각 호의 사항을 말한다.
<개정 2023. 9. 12.>
1. 민감정보 또는 고유식별정보의 처리 여부
2. 개인정보 보유기간
[제36조에서 이동, 종전 제37조는 제36조로 이동 <2023. 9. 12.>]
제38조(영향평가의 평가기준 등) ① 법 제33조제9항에 따른 영향평가의 기준(이하 “평가기준”이라 한다)은 다음 각 호
와 같다. <개정 2016. 7. 22., 2023. 9. 12.>
1. 해당 개인정보파일에 포함되는 개인정보의 종류ㆍ성질, 정보주체의 수 및 그에 따른 개인정보 침해의 가능성
2. 법 제23조제2항, 제24조제3항, 제24조의2제2항, 제25조제6항(제25조의2제4항에 따라 준용되는 경우를 포함한다
) 및 제29조에 따른 안전성 확보 조치의 수준 및 이에 따른 개인정보 침해의 가능성
3. 개인정보 침해의 위험요인별 조치 여부
4. 그 밖에 법 및 이 영에 따라 필요한 조치 또는 의무 위반 요소에 관한 사항
② 법 제33조제2항에 따라 영향평가를 의뢰받은 평가기관은 평가기준에 따라 개인정보파일의 운용으로 인한 개인
정보 침해의 위험요인을 분석ㆍ평가한 후 다음 각 호의 사항이 포함된 평가 결과를 영향평가서로 작성하여 해당 공
공기관의 장에게 보내야 하며, 공공기관의 장은 제35조 각 호에 해당하는 개인정보파일을 운용 또는 변경하기 전에
그 영향평가서를 보호위원회에 제출해야 한다.<개정 2023. 9. 12.>
1. 영향평가의 대상 및 범위
2. 평가 분야 및 항목
3. 평가기준에 따른 개인정보 침해의 위험요인에 대한 분석ㆍ평가
4. 제3호의 분석ㆍ평가 결과에 따라 조치한 내용 및 개선계획
본문 26쪽
법제처 26 국가법령정보센터
개인정보 보호법 시행령
5. 영향평가의 결과
6. 제1호부터 제5호까지의 사항에 대하여 요약한 내용
③ 보호위원회 또는 공공기관의 장은 제2항제6호에 따른 영향평가서 요약 내용을 공개할 수 있다.<신설 2023. 9.
12.>
④ 보호위원회는 법 및 이 영에서 정한 사항 외에 평가기관의 지정 및 영향평가의 절차 등에 관한 세부 기준을 정하
여 고시할 수 있다.<개정 2013. 3. 23., 2014. 11. 19., 2017. 7. 26., 2020. 8. 4., 2023. 9. 12.>
제39조(개인정보 유출 등의 통지) ① 개인정보처리자는 개인정보가 유출등이 되었음을 알게 되었을 때에는 서면등의
방법으로 72시간 이내에 법 제34조제1항 각 호의 사항을 정보주체에게 알려야 한다. 다만, 다음 각 호의 어느 하나에
해당하는 경우에는 해당 사유가 해소된 후 즉시 정보주체에게 알릴 수 있다. <개정 2026. 9. 10.>
1. 유출등이 된 개인정보의 확산 및 추가 유출등을 방지하기 위하여 접속경로의 차단, 취약점 점검ㆍ보완, 유출등이
된 개인정보의 회수ㆍ삭제 등 긴급한 조치가 필요한 경우
2. 천재지변이나 그 밖에 부득이한 사유로 인하여 72시간 이내에 통지하기 곤란한 경우
② 제1항에도 불구하고 개인정보처리자는 같은 항에 따른 통지를 하려는 경우로서 법 제34조제1항제1호 또는 제
2호의 사항에 관한 구체적인 내용을 확인하지 못한 경우에는 개인정보가 유출등이 된 사실, 그 때까지 확인된 내용
및 같은 항 제3호부터 제6호까지의 사항을 서면등의 방법으로 우선 통지해야 하며, 추가로 확인되는 내용에 대해서
는 확인되는 즉시 통지해야 한다.<개정 2024. 3. 12., 2026. 9. 10.>
③ 제1항 및 제2항에도 불구하고 개인정보처리자는 정보주체의 연락처를 알 수 없는 경우 등 정당한 사유가 있는
경우에는 법 제34조제1항 각 호 외의 부분 단서에 따라 같은 항 각 호의 사항을 정보주체가 쉽게 알 수 있도록 자신
의 인터넷 홈페이지에 30일 이상 게시하는 것으로 제1항 및 제2항의 통지를 갈음할 수 있다. 다만, 인터넷 홈페이지
를 운영하지 아니하는 개인정보처리자의 경우에는 사업장등의 보기 쉬운 장소에 법 제34조제1항 각 호의 사항을
30일 이상 게시하는 것으로 제1항 및 제2항의 통지를 갈음할 수 있다.
[전문개정 2023. 9. 12.]
[제40조에서 이동, 종전 제39조는 제40조로 이동 <2023. 9. 12.>]
제39조의2(개인정보 유출등의 가능성 통지 대상) ① 법 제34조제2항에서 “대통령령으로 정하는 유출등의 가능성이 있
음을 알게 되었을 때”란 다음 각 호의 구분에 따른 때를 말한다.
1. 개인정보처리시스템 또는 개인정보취급자가 개인정보 처리에 이용하는 정보기기에 대한 불법적인 접근이 발생
하여 개인정보 유출등이 의심되는 정황이 있으나 그 개인정보의 정보주체를 특정하기 곤란한 경우: 해당 불법적
인 접근을 알게 된 때
2. 개인정보처리자가 처리하는 개인정보가 법, 이 영 또는 개인정보 보호에 관한 다른 법령을 위반하여 제3자에 의
해 거래되는 등 일부 개인정보가 유출등이 된 사실이 확인된 경우로서 다른 정보주체에 관한 개인정보도 유출등
이 되었을 수 있다고 인정되는 경우: 해당 사실을 알게 된 때
② 법 제34조제2항에서 “피해를 최소화하기 위한 정보 등 대통령령으로 정하는 사항”이란 다음 각 호의 사항을 말
한다.
1. 유출등의 가능성이 있는 개인정보의 항목
2. 유출등이 있었을 것으로 의심 또는 인정되는 시점과 그 경위
3. 법 제34조제1항제3호부터 제5호까지의 사항
4. 유출등의 여부가 확정될 경우 추가 통지를 하겠다는 사실
[본조신설 2026. 9. 10.]
제39조의3(개인정보 유출등의 가능성 통지 시기ㆍ방법 등) ① 개인정보처리자는 법 제34조제2항에 따라 제39조의2제
2항 각 호의 사항을 통지하려는 경우 같은 조 제1항 각 호의 구분에 따른 때부터 72시간 이내에 서면등의 방법으로
통지해야 한다. 다만, 천재지변이나 그 밖에 부득이한 사유로 기한 내에 통지하기 곤란한 경우에는 해당 사유가 해소
된 후 즉시 통지해야 한다.
개인정보 보호법 시행령
5. 영향평가의 결과
6. 제1호부터 제5호까지의 사항에 대하여 요약한 내용
③ 보호위원회 또는 공공기관의 장은 제2항제6호에 따른 영향평가서 요약 내용을 공개할 수 있다.<신설 2023. 9.
12.>
④ 보호위원회는 법 및 이 영에서 정한 사항 외에 평가기관의 지정 및 영향평가의 절차 등에 관한 세부 기준을 정하
여 고시할 수 있다.<개정 2013. 3. 23., 2014. 11. 19., 2017. 7. 26., 2020. 8. 4., 2023. 9. 12.>
제39조(개인정보 유출 등의 통지) ① 개인정보처리자는 개인정보가 유출등이 되었음을 알게 되었을 때에는 서면등의
방법으로 72시간 이내에 법 제34조제1항 각 호의 사항을 정보주체에게 알려야 한다. 다만, 다음 각 호의 어느 하나에
해당하는 경우에는 해당 사유가 해소된 후 즉시 정보주체에게 알릴 수 있다. <개정 2026. 9. 10.>
1. 유출등이 된 개인정보의 확산 및 추가 유출등을 방지하기 위하여 접속경로의 차단, 취약점 점검ㆍ보완, 유출등이
된 개인정보의 회수ㆍ삭제 등 긴급한 조치가 필요한 경우
2. 천재지변이나 그 밖에 부득이한 사유로 인하여 72시간 이내에 통지하기 곤란한 경우
② 제1항에도 불구하고 개인정보처리자는 같은 항에 따른 통지를 하려는 경우로서 법 제34조제1항제1호 또는 제
2호의 사항에 관한 구체적인 내용을 확인하지 못한 경우에는 개인정보가 유출등이 된 사실, 그 때까지 확인된 내용
및 같은 항 제3호부터 제6호까지의 사항을 서면등의 방법으로 우선 통지해야 하며, 추가로 확인되는 내용에 대해서
는 확인되는 즉시 통지해야 한다.<개정 2024. 3. 12., 2026. 9. 10.>
③ 제1항 및 제2항에도 불구하고 개인정보처리자는 정보주체의 연락처를 알 수 없는 경우 등 정당한 사유가 있는
경우에는 법 제34조제1항 각 호 외의 부분 단서에 따라 같은 항 각 호의 사항을 정보주체가 쉽게 알 수 있도록 자신
의 인터넷 홈페이지에 30일 이상 게시하는 것으로 제1항 및 제2항의 통지를 갈음할 수 있다. 다만, 인터넷 홈페이지
를 운영하지 아니하는 개인정보처리자의 경우에는 사업장등의 보기 쉬운 장소에 법 제34조제1항 각 호의 사항을
30일 이상 게시하는 것으로 제1항 및 제2항의 통지를 갈음할 수 있다.
[전문개정 2023. 9. 12.]
[제40조에서 이동, 종전 제39조는 제40조로 이동 <2023. 9. 12.>]
제39조의2(개인정보 유출등의 가능성 통지 대상) ① 법 제34조제2항에서 “대통령령으로 정하는 유출등의 가능성이 있
음을 알게 되었을 때”란 다음 각 호의 구분에 따른 때를 말한다.
1. 개인정보처리시스템 또는 개인정보취급자가 개인정보 처리에 이용하는 정보기기에 대한 불법적인 접근이 발생
하여 개인정보 유출등이 의심되는 정황이 있으나 그 개인정보의 정보주체를 특정하기 곤란한 경우: 해당 불법적
인 접근을 알게 된 때
2. 개인정보처리자가 처리하는 개인정보가 법, 이 영 또는 개인정보 보호에 관한 다른 법령을 위반하여 제3자에 의
해 거래되는 등 일부 개인정보가 유출등이 된 사실이 확인된 경우로서 다른 정보주체에 관한 개인정보도 유출등
이 되었을 수 있다고 인정되는 경우: 해당 사실을 알게 된 때
② 법 제34조제2항에서 “피해를 최소화하기 위한 정보 등 대통령령으로 정하는 사항”이란 다음 각 호의 사항을 말
한다.
1. 유출등의 가능성이 있는 개인정보의 항목
2. 유출등이 있었을 것으로 의심 또는 인정되는 시점과 그 경위
3. 법 제34조제1항제3호부터 제5호까지의 사항
4. 유출등의 여부가 확정될 경우 추가 통지를 하겠다는 사실
[본조신설 2026. 9. 10.]
제39조의3(개인정보 유출등의 가능성 통지 시기ㆍ방법 등) ① 개인정보처리자는 법 제34조제2항에 따라 제39조의2제
2항 각 호의 사항을 통지하려는 경우 같은 조 제1항 각 호의 구분에 따른 때부터 72시간 이내에 서면등의 방법으로
통지해야 한다. 다만, 천재지변이나 그 밖에 부득이한 사유로 기한 내에 통지하기 곤란한 경우에는 해당 사유가 해소
된 후 즉시 통지해야 한다.
본문 27쪽
법제처 27 국가법령정보센터
개인정보 보호법 시행령
② 개인정보처리자는 제1항에 따른 기한 내에 개인정보가 실제로 유출등이 된 사실을 확인한 경우에는 법 제34조
제2항에 따른 통지에 갈음하여 같은 조 제1항에 따른 통지를 해야 한다.
③ 법 제34조제2항에 따른 통지를 한 개인정보처리자는 개인정보가 실제로 유출등이 되지 않은 사실을 확인한 경
우 즉시 정보주체에게 그 사실을 통지해야 한다.
④ 개인정보처리자는 법 제34조제2항 또는 이 조 제3항에 따른 통지의 대상인 정보주체의 연락처를 알 수 없는 경
우 등 정당한 사유가 있는 경우에는 개인정보 유출등의 가능성(제39조의2제2항 각 호의 사항을 포함한다) 또는 개
인정보가 실제로 유출등이 되지 않은 사실을 정보주체가 쉽게 알 수 있도록 자신의 인터넷 홈페이지에 30일 이상
게시하는 것으로 법 제34조제2항 및 이 조 제3항의 통지를 갈음할 수 있다. 다만, 인터넷 홈페이지를 운영하지 않는
개인정보처리자의 경우에는 사업장등의 보기 쉬운 장소에 30일 이상 게시하는 것으로 법 제34조제2항 및 이 조 제
3항의 통지를 갈음할 수 있다.
[본조신설 2026. 9. 10.]
제40조(개인정보 유출 등의 신고) ① 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우로서 개인정보가 유출
등이 되었음을 알게 되었을 때에는 72시간 이내에 법 제34조제1항 각 호의 사항을 서면등의 방법으로 보호위원회
또는 같은 조 제4항 전단에 따른 전문기관에 신고해야 한다. 다만, 천재지변이나 그 밖에 부득이한 사유로 인하여
72시간 이내에 신고하기 곤란한 경우에는 해당 사유가 해소된 후 즉시 신고할 수 있으며, 개인정보 유출등의 경로가
확인되어 해당 개인정보를 회수ㆍ삭제하는 등의 조치를 통해 정보주체의 권익 침해 가능성이 현저히 낮아진 경우에
는 신고하지 않을 수 있다. <개정 2026. 9. 10.>
1. 1천명 이상의 정보주체에 관한 개인정보가 유출등이 된 경우
2. 민감정보 또는 고유식별정보가 유출등이 된 경우
3. 개인정보처리시스템 또는 개인정보취급자가 개인정보 처리에 이용하는 정보기기에 대한 외부로부터의 불법적인
접근에 의해 개인정보가 유출등이 된 경우
② 제1항에도 불구하고 개인정보처리자는 제1항에 따른 신고를 하려는 경우로서 법 제34조제1항제1호 또는 제2호
의 사항에 관한 구체적인 내용을 확인하지 못한 경우에는 개인정보가 유출등이 된 사실, 그때까지 확인된 내용 및
같은 항 제3호부터 제5호까지의 사항을 서면등의 방법으로 우선 신고해야 하며, 추가로 확인되는 내용에 대해서는
확인되는 즉시 신고해야 한다.
③ 법 제34조제3항 전단 및 후단에서 “대통령령으로 정하는 전문기관”이란 각각 한국인터넷진흥원을 말한다.
[전문개정 2023. 9. 12.]
[제39조에서 이동, 종전 제40조는 제39조로 이동 <2023. 9. 12.>]
제40조의2(노출된 개인정보의 삭제ㆍ차단 요청 기관) 법 제34조의2제2항에서 “대통령령으로 지정한 전문기관”이란 한
국인터넷진흥원을 말한다.
[전문개정 2023. 9. 12.]
제6장 정보주체의 권리 보장
제41조(개인정보의 열람절차 등) ① 정보주체는 법 제35조제1항에 따라 자신의 개인정보에 대한 열람을 요구하려면 다
음 각 호의 사항 중 열람하려는 사항을 개인정보처리자가 마련한 방법과 절차에 따라 요구하여야 한다. <개정 2013.
3. 23., 2014. 11. 19., 2017. 7. 26., 2017. 10. 17.>
1. 개인정보의 항목 및 내용
2. 개인정보의 수집ㆍ이용의 목적
3. 개인정보 보유 및 이용 기간
4. 개인정보의 제3자 제공 현황
5. 개인정보 처리에 동의한 사실 및 내용
개인정보 보호법 시행령
② 개인정보처리자는 제1항에 따른 기한 내에 개인정보가 실제로 유출등이 된 사실을 확인한 경우에는 법 제34조
제2항에 따른 통지에 갈음하여 같은 조 제1항에 따른 통지를 해야 한다.
③ 법 제34조제2항에 따른 통지를 한 개인정보처리자는 개인정보가 실제로 유출등이 되지 않은 사실을 확인한 경
우 즉시 정보주체에게 그 사실을 통지해야 한다.
④ 개인정보처리자는 법 제34조제2항 또는 이 조 제3항에 따른 통지의 대상인 정보주체의 연락처를 알 수 없는 경
우 등 정당한 사유가 있는 경우에는 개인정보 유출등의 가능성(제39조의2제2항 각 호의 사항을 포함한다) 또는 개
인정보가 실제로 유출등이 되지 않은 사실을 정보주체가 쉽게 알 수 있도록 자신의 인터넷 홈페이지에 30일 이상
게시하는 것으로 법 제34조제2항 및 이 조 제3항의 통지를 갈음할 수 있다. 다만, 인터넷 홈페이지를 운영하지 않는
개인정보처리자의 경우에는 사업장등의 보기 쉬운 장소에 30일 이상 게시하는 것으로 법 제34조제2항 및 이 조 제
3항의 통지를 갈음할 수 있다.
[본조신설 2026. 9. 10.]
제40조(개인정보 유출 등의 신고) ① 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우로서 개인정보가 유출
등이 되었음을 알게 되었을 때에는 72시간 이내에 법 제34조제1항 각 호의 사항을 서면등의 방법으로 보호위원회
또는 같은 조 제4항 전단에 따른 전문기관에 신고해야 한다. 다만, 천재지변이나 그 밖에 부득이한 사유로 인하여
72시간 이내에 신고하기 곤란한 경우에는 해당 사유가 해소된 후 즉시 신고할 수 있으며, 개인정보 유출등의 경로가
확인되어 해당 개인정보를 회수ㆍ삭제하는 등의 조치를 통해 정보주체의 권익 침해 가능성이 현저히 낮아진 경우에
는 신고하지 않을 수 있다. <개정 2026. 9. 10.>
1. 1천명 이상의 정보주체에 관한 개인정보가 유출등이 된 경우
2. 민감정보 또는 고유식별정보가 유출등이 된 경우
3. 개인정보처리시스템 또는 개인정보취급자가 개인정보 처리에 이용하는 정보기기에 대한 외부로부터의 불법적인
접근에 의해 개인정보가 유출등이 된 경우
② 제1항에도 불구하고 개인정보처리자는 제1항에 따른 신고를 하려는 경우로서 법 제34조제1항제1호 또는 제2호
의 사항에 관한 구체적인 내용을 확인하지 못한 경우에는 개인정보가 유출등이 된 사실, 그때까지 확인된 내용 및
같은 항 제3호부터 제5호까지의 사항을 서면등의 방법으로 우선 신고해야 하며, 추가로 확인되는 내용에 대해서는
확인되는 즉시 신고해야 한다.
③ 법 제34조제3항 전단 및 후단에서 “대통령령으로 정하는 전문기관”이란 각각 한국인터넷진흥원을 말한다.
[전문개정 2023. 9. 12.]
[제39조에서 이동, 종전 제40조는 제39조로 이동 <2023. 9. 12.>]
제40조의2(노출된 개인정보의 삭제ㆍ차단 요청 기관) 법 제34조의2제2항에서 “대통령령으로 지정한 전문기관”이란 한
국인터넷진흥원을 말한다.
[전문개정 2023. 9. 12.]
제6장 정보주체의 권리 보장
제41조(개인정보의 열람절차 등) ① 정보주체는 법 제35조제1항에 따라 자신의 개인정보에 대한 열람을 요구하려면 다
음 각 호의 사항 중 열람하려는 사항을 개인정보처리자가 마련한 방법과 절차에 따라 요구하여야 한다. <개정 2013.
3. 23., 2014. 11. 19., 2017. 7. 26., 2017. 10. 17.>
1. 개인정보의 항목 및 내용
2. 개인정보의 수집ㆍ이용의 목적
3. 개인정보 보유 및 이용 기간
4. 개인정보의 제3자 제공 현황
5. 개인정보 처리에 동의한 사실 및 내용
본문 28쪽
법제처 28 국가법령정보센터
개인정보 보호법 시행령
② 개인정보처리자는 제1항에 따른 열람 요구 방법과 절차를 마련하는 경우 해당 개인정보의 수집 방법과 절차에
비하여 어렵지 아니하도록 다음 각 호의 사항을 준수하여야 한다.<신설 2017. 10. 17.>
1. 서면, 전화, 전자우편, 인터넷 등 정보주체가 쉽게 활용할 수 있는 방법으로 제공할 것
2. 개인정보를 수집한 창구의 지속적 운영이 곤란한 경우 등 정당한 사유가 있는 경우를 제외하고는 최소한 개인정
보를 수집한 창구 또는 방법과 동일하게 개인정보의 열람을 요구할 수 있도록 할 것
3. 인터넷 홈페이지를 운영하는 개인정보처리자는 홈페이지에 열람 요구 방법과 절차를 공개할 것
③ 정보주체가 법 제35조제2항에 따라 보호위원회를 통하여 자신의 개인정보에 대한 열람을 요구하려는 경우에는
보호위원회가 정하여 고시하는 바에 따라 제1항 각 호의 사항 중 열람하려는 사항을 표시한 개인정보 열람요구서를
보호위원회에 제출해야 한다. 이 경우 보호위원회는 지체 없이 그 개인정보 열람요구서를 해당 공공기관에 이송해
야 한다.<개정 2013. 3. 23., 2014. 11. 19., 2017. 7. 26., 2017. 10. 17., 2020. 8. 4.>
④ 법 제35조제3항 전단에서 “대통령령으로 정하는 기간”이란 10일을 말한다.<개정 2017. 10. 17.>
⑤ 개인정보처리자는 제1항 및 제3항에 따른 개인정보 열람 요구를 받은 날부터 10일 이내에 정보주체에게 해당 개
인정보를 열람할 수 있도록 하는 경우와 제42조제1항에 따라 열람 요구 사항 중 일부를 열람하게 하는 경우에는 열
람할 개인정보와 열람이 가능한 날짜ㆍ시간 및 장소 등(제42조제1항에 따라 열람 요구 사항 중 일부만을 열람하게
하는 경우에는 그 사유와 이의제기방법을 포함한다)을 보호위원회가 정하여 고시하는 열람통지서로 해당 정보주체
에게 알려야 한다. 다만, 즉시 열람하게 하는 경우에는 열람통지서 발급을 생략할 수 있다.<개정 2013. 3. 23., 2014.
11. 19., 2017. 7. 26., 2017. 10. 17., 2020. 8. 4.>
제42조(개인정보 열람의 제한ㆍ연기 및 거절) ① 개인정보처리자는 제41조제1항에 따른 열람 요구 사항 중 일부가 법
제35조제4항 각 호의 어느 하나에 해당하는 경우에는 그 일부에 대하여 열람을 제한할 수 있으며, 열람이 제한되는
사항을 제외한 부분은 열람할 수 있도록 하여야 한다.
② 개인정보처리자가 법 제35조제3항 후단에 따라 정보주체의 열람을 연기하거나 같은 조 제4항에 따라 열람을 거
절하려는 경우에는 열람 요구를 받은 날부터 10일 이내에 연기 또는 거절의 사유 및 이의제기방법을 보호위원회가
정하여 고시하는 열람의 연기ㆍ거절 통지서로 해당 정보주체에게 알려야 한다.<개정 2013. 3. 23., 2014. 11. 19.,
2017. 7. 26., 2020. 8. 4.>
제42조의2(정보전송자 기준) ① 법 제35조의2제1항 각 호 외의 부분에서 “대통령령으로 정하는 기준에 해당하는 개인
정보처리자”란 다음 각 호의 어느 하나에 해당하는 개인정보처리자(이하 “본인대상정보전송자”라 한다)를 말한다.
<신설 2026. 2. 19.>
1. 「중소기업기본법 시행령」 제7조에 따라 산정한 같은 영 제3조제1항제1호가목에 따른 평균매출액등이 1,800억원
을 초과하는 자로서 다음 각 목의 어느 하나에 해당하는 자(제2조제5호에 따른 각급 학교 및 「의료법」 제3조에
따른 의료기관은 제외한다). 이 경우 다음 각 목에 규정된 정보주체의 수는 전년도 말 기준 직전 3개월 간 일일평
균을 기준으로 산정한다.
가. 5만명 이상의 정보주체의 민감정보 또는 고유식별정보를 처리하는 자
나. 100만명 이상의 정보주체의 개인정보를 처리하는 자
2. 공공시스템운영기관
3. 법 제35조의2제2항에 따른 개인정보처리자
② 법 제35조의2제2항 각 호 외의 부분에서 “대통령령으로 정하는 기준에 해당하는 개인정보처리자”란 다음 각 호
의 어느 하나에 해당하는 개인정보처리자(이하 “제3자대상정보전송자”라 한다)를 말한다.<개정 2025. 10. 1., 2026.
2. 19.>
1. 보건의료 관련 기관, 법인 및 단체 중 다음 각 목의 어느 하나에 해당하는 자(이하 “보건의료정보전송자”라 한다)
가. 질병관리청
나. 「국민건강보험법」 제13조에 따른 국민건강보험공단 및 같은 법 제62조에 따른 건강보험심사평가원
다. 「의료법」 제3조의4에 따른 상급종합병원
개인정보 보호법 시행령
② 개인정보처리자는 제1항에 따른 열람 요구 방법과 절차를 마련하는 경우 해당 개인정보의 수집 방법과 절차에
비하여 어렵지 아니하도록 다음 각 호의 사항을 준수하여야 한다.<신설 2017. 10. 17.>
1. 서면, 전화, 전자우편, 인터넷 등 정보주체가 쉽게 활용할 수 있는 방법으로 제공할 것
2. 개인정보를 수집한 창구의 지속적 운영이 곤란한 경우 등 정당한 사유가 있는 경우를 제외하고는 최소한 개인정
보를 수집한 창구 또는 방법과 동일하게 개인정보의 열람을 요구할 수 있도록 할 것
3. 인터넷 홈페이지를 운영하는 개인정보처리자는 홈페이지에 열람 요구 방법과 절차를 공개할 것
③ 정보주체가 법 제35조제2항에 따라 보호위원회를 통하여 자신의 개인정보에 대한 열람을 요구하려는 경우에는
보호위원회가 정하여 고시하는 바에 따라 제1항 각 호의 사항 중 열람하려는 사항을 표시한 개인정보 열람요구서를
보호위원회에 제출해야 한다. 이 경우 보호위원회는 지체 없이 그 개인정보 열람요구서를 해당 공공기관에 이송해
야 한다.<개정 2013. 3. 23., 2014. 11. 19., 2017. 7. 26., 2017. 10. 17., 2020. 8. 4.>
④ 법 제35조제3항 전단에서 “대통령령으로 정하는 기간”이란 10일을 말한다.<개정 2017. 10. 17.>
⑤ 개인정보처리자는 제1항 및 제3항에 따른 개인정보 열람 요구를 받은 날부터 10일 이내에 정보주체에게 해당 개
인정보를 열람할 수 있도록 하는 경우와 제42조제1항에 따라 열람 요구 사항 중 일부를 열람하게 하는 경우에는 열
람할 개인정보와 열람이 가능한 날짜ㆍ시간 및 장소 등(제42조제1항에 따라 열람 요구 사항 중 일부만을 열람하게
하는 경우에는 그 사유와 이의제기방법을 포함한다)을 보호위원회가 정하여 고시하는 열람통지서로 해당 정보주체
에게 알려야 한다. 다만, 즉시 열람하게 하는 경우에는 열람통지서 발급을 생략할 수 있다.<개정 2013. 3. 23., 2014.
11. 19., 2017. 7. 26., 2017. 10. 17., 2020. 8. 4.>
제42조(개인정보 열람의 제한ㆍ연기 및 거절) ① 개인정보처리자는 제41조제1항에 따른 열람 요구 사항 중 일부가 법
제35조제4항 각 호의 어느 하나에 해당하는 경우에는 그 일부에 대하여 열람을 제한할 수 있으며, 열람이 제한되는
사항을 제외한 부분은 열람할 수 있도록 하여야 한다.
② 개인정보처리자가 법 제35조제3항 후단에 따라 정보주체의 열람을 연기하거나 같은 조 제4항에 따라 열람을 거
절하려는 경우에는 열람 요구를 받은 날부터 10일 이내에 연기 또는 거절의 사유 및 이의제기방법을 보호위원회가
정하여 고시하는 열람의 연기ㆍ거절 통지서로 해당 정보주체에게 알려야 한다.<개정 2013. 3. 23., 2014. 11. 19.,
2017. 7. 26., 2020. 8. 4.>
제42조의2(정보전송자 기준) ① 법 제35조의2제1항 각 호 외의 부분에서 “대통령령으로 정하는 기준에 해당하는 개인
정보처리자”란 다음 각 호의 어느 하나에 해당하는 개인정보처리자(이하 “본인대상정보전송자”라 한다)를 말한다.
<신설 2026. 2. 19.>
1. 「중소기업기본법 시행령」 제7조에 따라 산정한 같은 영 제3조제1항제1호가목에 따른 평균매출액등이 1,800억원
을 초과하는 자로서 다음 각 목의 어느 하나에 해당하는 자(제2조제5호에 따른 각급 학교 및 「의료법」 제3조에
따른 의료기관은 제외한다). 이 경우 다음 각 목에 규정된 정보주체의 수는 전년도 말 기준 직전 3개월 간 일일평
균을 기준으로 산정한다.
가. 5만명 이상의 정보주체의 민감정보 또는 고유식별정보를 처리하는 자
나. 100만명 이상의 정보주체의 개인정보를 처리하는 자
2. 공공시스템운영기관
3. 법 제35조의2제2항에 따른 개인정보처리자
② 법 제35조의2제2항 각 호 외의 부분에서 “대통령령으로 정하는 기준에 해당하는 개인정보처리자”란 다음 각 호
의 어느 하나에 해당하는 개인정보처리자(이하 “제3자대상정보전송자”라 한다)를 말한다.<개정 2025. 10. 1., 2026.
2. 19.>
1. 보건의료 관련 기관, 법인 및 단체 중 다음 각 목의 어느 하나에 해당하는 자(이하 “보건의료정보전송자”라 한다)
가. 질병관리청
나. 「국민건강보험법」 제13조에 따른 국민건강보험공단 및 같은 법 제62조에 따른 건강보험심사평가원
다. 「의료법」 제3조의4에 따른 상급종합병원
본문 29쪽
법제처 29 국가법령정보센터
개인정보 보호법 시행령
라. 그 밖에 「보건의료기본법」 제3조제4호에 따른 보건의료기관 중 개인정보를 전송할 수 있는 기술적ㆍ재정적
능력과 그 개인정보가 저장ㆍ관리되고 있는 정보주체의 수 등을 고려하여 보호위원회가 보건복지부장관과 협
의하여 고시하는 자
2. 통신 관련 기관, 법인 및 단체 중 다음 각 목의 어느 하나에 해당하는 자(이하 “통신정보전송자”라 한다)
가. 「전파법」 제10조에 따라 주파수를 할당받아 이동통신서비스를 제공하는 자로서 정보주체와 이동통신서비스
의 이용에 관한 계약을 체결한 자
나. 그 밖에 「전기통신사업법」 제5조제2항에 따른 기간통신사업을 경영하는 자 중 개인정보를 전송할 수 있는 기
술적ㆍ재정적 능력과 그 개인정보가 저장ㆍ관리되고 있는 정보주체의 수 등을 고려하여 보호위원회와 과학기
술정보통신부장관이 공동으로 정하여 고시하는 자
3. 에너지 관련 기관, 법인 및 단체 중 다음 각 목의 어느 하나에 해당하는 자(이하 “에너지정보전송자”라 한다)
가. 「전기사업법」 제2조제10호에 따른 전기판매사업자
나. 다음의 어느 하나에 해당하는 자 중 개인정보를 전송할 수 있는 기술적ㆍ재정적 능력과 그 개인정보가 저장ㆍ
관리되고 있는 정보주체의 수 등을 고려하여 보호위원회와 산업통상부장관이 공동으로 정하여 고시하는 자
1) 「도시가스사업법」 제2조제2호에 따른 도시가스사업자
2) 그 밖의 「도시가스사업법」 제2조제1호의2에 따른 도시가스사업 관련 기관, 법인 및 단체
[본조신설 2025. 2. 25.]
[시행일: 2027. 2. 20.] 제42조의2제1항제1호
제42조의3(일반수신자 기준) ① 법 제35조의2제2항제2호에서 “대통령령으로 정하는 시설 및 기술 기준을 충족하는 자
”란 고유의 업무를 수행하는 과정에서 수집한 정보의 진위 여부 등을 확인하기 위하여 개인정보를 전송받는 자로서
다음 각 호의 사항에 관하여 보호위원회가 정하여 고시하는 시설 및 기술을 갖춘 자를 말한다.
1. 표준 전송 절차, 전송시스템 연계 및 전송 보안 기준 등을 충족하는 전송 요구 관련 시스템
2. 전송 이력의 기록ㆍ보관 및 전송받은 개인정보의 분리 보관을 위한 시스템
3. 개인정보에 대한 불법적인 접근 및 침해사고 방지를 위한 탐지 및 차단 시스템
4. 개인정보에 대한 접근권한 관리 및 접근 통제 시스템
② 법 제29조에 따른 안전조치의무를 이행하고 제1항에 따른 시설 및 기술을 갖춘 자(이하 “일반수신자”라 한다)는
법 제35조의2제2항에 따른 전송 요구(이하 “제3자전송요구”라 한다)에 따라 개인정보를 전송받는 업무의 일부 또는
전부를 중지 또는 폐지하려는 경우에는 그 사실을 미리 제42조의9제1항제1호에 따른 중계전문기관(이하 “중계전문
기관”이라 한다)에 통지하고 법 제35조의4제2항에 따른 개인정보 전송 지원 플랫폼(이하 “개인정보전송지원플랫폼
”이라 한다)에 등재해야 한다.
[본조신설 2025. 2. 25.]
제42조의4(전송 요구 대상 정보의 범위) ① 정보주체는 법 제35조의2제1항에 따라 본인대상정보전송자에 대하여 같은
항 각 호의 요건을 모두 충족하는 개인정보 중 다음 각 호의 어느 하나에 해당하지 않는 개인정보(이하 “본인전송정
보”라 한다)를 자신에게 전송할 것을 요구할 수 있다. <신설 2026. 2. 19.>
1. 전송 요구로 인하여 타인의 권리나 정당한 이익을 침해하거나 침해할 우려가 있는 정보
2. 「부정경쟁방지 및 영업비밀보호에 관한 법률」에 따른 영업비밀 또는 「산업기술의 유출방지 및 보호에 관한 법률
」에 따른 산업기술 등 다른 법령에 따라 보호가 필요한 정보
3. 복호화(複號化)되지 않도록 일방향 암호화하여 저장된 정보
② 정보주체는 법 제35조의2제2항에 따라 제3자대상정보전송자에 대하여 다음 각 호의 구분에 따른 개인정보(이하
“제3자전송정보”라 한다)를 법 제35조의3제1항에 따라 지정을 받은 개인정보관리 전문기관(이하 “개인정보관리 전
문기관”이라 한다) 또는 일반수신자에게 전송할 것을 요구할 수 있다.<개정 2025. 10. 1., 2026. 2. 19.>
1. 보건의료정보전송자: 다음 각 목의 보건의료 관련 정보 중 정보주체의 이익, 전송에 필요한 시간ㆍ비용 및 기술적
으로 전송 가능한 합리적인 범위 등을 고려하여 보호위원회가 보건복지부장관과 협의하여 고시하는 정보(이하
“보건의료전송정보”라 한다)로서 해당 보건의료정보전송자가 보유하는 정보
개인정보 보호법 시행령
라. 그 밖에 「보건의료기본법」 제3조제4호에 따른 보건의료기관 중 개인정보를 전송할 수 있는 기술적ㆍ재정적
능력과 그 개인정보가 저장ㆍ관리되고 있는 정보주체의 수 등을 고려하여 보호위원회가 보건복지부장관과 협
의하여 고시하는 자
2. 통신 관련 기관, 법인 및 단체 중 다음 각 목의 어느 하나에 해당하는 자(이하 “통신정보전송자”라 한다)
가. 「전파법」 제10조에 따라 주파수를 할당받아 이동통신서비스를 제공하는 자로서 정보주체와 이동통신서비스
의 이용에 관한 계약을 체결한 자
나. 그 밖에 「전기통신사업법」 제5조제2항에 따른 기간통신사업을 경영하는 자 중 개인정보를 전송할 수 있는 기
술적ㆍ재정적 능력과 그 개인정보가 저장ㆍ관리되고 있는 정보주체의 수 등을 고려하여 보호위원회와 과학기
술정보통신부장관이 공동으로 정하여 고시하는 자
3. 에너지 관련 기관, 법인 및 단체 중 다음 각 목의 어느 하나에 해당하는 자(이하 “에너지정보전송자”라 한다)
가. 「전기사업법」 제2조제10호에 따른 전기판매사업자
나. 다음의 어느 하나에 해당하는 자 중 개인정보를 전송할 수 있는 기술적ㆍ재정적 능력과 그 개인정보가 저장ㆍ
관리되고 있는 정보주체의 수 등을 고려하여 보호위원회와 산업통상부장관이 공동으로 정하여 고시하는 자
1) 「도시가스사업법」 제2조제2호에 따른 도시가스사업자
2) 그 밖의 「도시가스사업법」 제2조제1호의2에 따른 도시가스사업 관련 기관, 법인 및 단체
[본조신설 2025. 2. 25.]
[시행일: 2027. 2. 20.] 제42조의2제1항제1호
제42조의3(일반수신자 기준) ① 법 제35조의2제2항제2호에서 “대통령령으로 정하는 시설 및 기술 기준을 충족하는 자
”란 고유의 업무를 수행하는 과정에서 수집한 정보의 진위 여부 등을 확인하기 위하여 개인정보를 전송받는 자로서
다음 각 호의 사항에 관하여 보호위원회가 정하여 고시하는 시설 및 기술을 갖춘 자를 말한다.
1. 표준 전송 절차, 전송시스템 연계 및 전송 보안 기준 등을 충족하는 전송 요구 관련 시스템
2. 전송 이력의 기록ㆍ보관 및 전송받은 개인정보의 분리 보관을 위한 시스템
3. 개인정보에 대한 불법적인 접근 및 침해사고 방지를 위한 탐지 및 차단 시스템
4. 개인정보에 대한 접근권한 관리 및 접근 통제 시스템
② 법 제29조에 따른 안전조치의무를 이행하고 제1항에 따른 시설 및 기술을 갖춘 자(이하 “일반수신자”라 한다)는
법 제35조의2제2항에 따른 전송 요구(이하 “제3자전송요구”라 한다)에 따라 개인정보를 전송받는 업무의 일부 또는
전부를 중지 또는 폐지하려는 경우에는 그 사실을 미리 제42조의9제1항제1호에 따른 중계전문기관(이하 “중계전문
기관”이라 한다)에 통지하고 법 제35조의4제2항에 따른 개인정보 전송 지원 플랫폼(이하 “개인정보전송지원플랫폼
”이라 한다)에 등재해야 한다.
[본조신설 2025. 2. 25.]
제42조의4(전송 요구 대상 정보의 범위) ① 정보주체는 법 제35조의2제1항에 따라 본인대상정보전송자에 대하여 같은
항 각 호의 요건을 모두 충족하는 개인정보 중 다음 각 호의 어느 하나에 해당하지 않는 개인정보(이하 “본인전송정
보”라 한다)를 자신에게 전송할 것을 요구할 수 있다. <신설 2026. 2. 19.>
1. 전송 요구로 인하여 타인의 권리나 정당한 이익을 침해하거나 침해할 우려가 있는 정보
2. 「부정경쟁방지 및 영업비밀보호에 관한 법률」에 따른 영업비밀 또는 「산업기술의 유출방지 및 보호에 관한 법률
」에 따른 산업기술 등 다른 법령에 따라 보호가 필요한 정보
3. 복호화(複號化)되지 않도록 일방향 암호화하여 저장된 정보
② 정보주체는 법 제35조의2제2항에 따라 제3자대상정보전송자에 대하여 다음 각 호의 구분에 따른 개인정보(이하
“제3자전송정보”라 한다)를 법 제35조의3제1항에 따라 지정을 받은 개인정보관리 전문기관(이하 “개인정보관리 전
문기관”이라 한다) 또는 일반수신자에게 전송할 것을 요구할 수 있다.<개정 2025. 10. 1., 2026. 2. 19.>
1. 보건의료정보전송자: 다음 각 목의 보건의료 관련 정보 중 정보주체의 이익, 전송에 필요한 시간ㆍ비용 및 기술적
으로 전송 가능한 합리적인 범위 등을 고려하여 보호위원회가 보건복지부장관과 협의하여 고시하는 정보(이하
“보건의료전송정보”라 한다)로서 해당 보건의료정보전송자가 보유하는 정보
본문 30쪽
법제처 30 국가법령정보센터
개인정보 보호법 시행령
가. 「의료법」 제22조 및 제23조에 따른 진료기록 등 진료와 관련하여 생성된 정보
나. 「약사법」 제30조에 따른 조제기록 등 조제와 관련하여 생성된 정보
다. 「의료기기법」 제2조제1항에 따른 의료기기를 통하여 생성ㆍ수집된 정보
라. 그 밖에 가목부터 다목까지와 유사한 보건의료 관련 정보
2. 통신정보전송자: 「전기통신사업법」 제2조제11호에 따른 기간통신역무를 제공함에 따라 생성된 이용자의 가입정
보, 이용정보, 이용요금의 청구정보 및 납부정보 등의 정보 중 정보주체의 이익, 전송에 필요한 시간ㆍ비용 및 기
술적으로 전송 가능한 합리적인 범위 등을 고려하여 보호위원회와 과학기술정보통신부장관이 공동으로 정하여
고시하는 정보(이하 “통신전송정보”라 한다)로서 해당 통신정보전송자가 보유하는 정보
3. 에너지정보전송자: 다음 각 목의 에너지 관련 정보 중 정보주체의 이익, 전송에 필요한 시간ㆍ비용 및 기술적으로
전송 가능한 합리적인 범위 등을 고려하여 보호위원회, 산업통상부장관 및 기후에너지환경부장관이 공동으로 정
하여 고시하는 정보(이하 “에너지전송정보”라 한다)로서 해당 에너지정보전송자가 보유하는 정보
가. 「전기사업법」 제14조에 따른 전기 공급에 따라 생성된 에너지 사용량 정보, 전기요금의 청구정보 및 납부정
보 등의 정보
나. 「도시가스사업법」 제19조에 따른 도시가스 공급에 따라 생성된 에너지 사용량 정보, 도시가스 요금의 청구정
보 및 납부정보 등의 정보
다. 그 밖에 가목 및 나목과 유사한 에너지 관련 정보
③ 정보주체는 본인전송정보 외에 본인대상정보전송자가 보유하는 정보로서 시간, 비용, 기술 등을 고려하여 정보
주체에게 전송할 수 있다고 본인대상정보전송자가 자율적으로 정한 정보(이하 “자율전송정보”라 한다)를 자신에게
전송할 것을 요구할 수 있다.<개정 2026. 2. 19.>
④ 정보주체는 법 제35조의2제2항에 따라 제3자대상정보전송자에 대하여 보건의료전송정보, 통신전송정보 및 에너
지전송정보를 개인정보관리 전문기관 또는 일반수신자에게 전송할 것을 요구하는 경우 제2항에도 불구하고 전송받
는 자에 따라 보호위원회가 정하여 고시하는 정보는 전송을 요구할 수 없다.<개정 2026. 2. 19.>
⑤ 보호위원회(제2항제2호 및 제3호에 따라 보호위원회와 공동으로 정하여 고시하는 관계 중앙행정기관의 장을 포
함한다)는 제2항 각 호의 정보가 「전자정부법」 제43조의2제1항에 따른 행정기관등이 보유하는 본인정보에 해당하
는 경우에는 제2항 각 호에 따라 고시하기 전에 전송 요구의 대상이 되는 정보 및 전송방법에 대하여 행정안전부장
관과 미리 협의해야 한다.<개정 2026. 2. 19.>
[본조신설 2025. 2. 25.]
제42조의5(전송 요구의 방법 등) ① 정보주체는 법 제35조의2제1항에 따른 전송 요구(이하 “본인전송요구”라 한다)를
하는 경우에는 전송 요구 목적 및 전송을 요구하는 개인정보를 특정해야 한다.
② 본인대상정보전송자는 정보주체가 법 제38조제1항에 따른 대리인을 통해 본인대상정보전송자에게 본인전송요
구를 하는 경우로서 대리인이 제42조의6제3항제1호나목에 따라 사전에 협의한 방식으로 개인정보를 전송하도록
본인전송요구를 하는 경우 정당한 사유 없이 거절해서는 안 된다.<신설 2026. 2. 19.>
③ 정보주체는 제3자전송요구를 하는 경우에는 다음 각 호의 사항을 특정해야 한다.<개정 2026. 2. 19.>
1. 전송 요구 목적
2. 전송 요구를 받는 자
3. 개인정보를 전송받는 자
4. 전송을 요구하는 개인정보
5. 정기적 전송을 요구하는지 여부 및 요구하는 경우 그 주기[제5항에 따라 제3자대상정보전송자에게 제42조의9제
1항제2호에 따른 일반전문기관(이하 “일반전문기관”이라 한다) 및 같은 항 제3호에 따른 특수전문기관(이하 “특
수전문기관”이라 한다)에 대한 제3자전송요구를 하는 경우에 한정한다]
6. 전송 요구의 종료시점
7. 전송을 요구하는 개인정보의 보유 및 이용기간
개인정보 보호법 시행령
가. 「의료법」 제22조 및 제23조에 따른 진료기록 등 진료와 관련하여 생성된 정보
나. 「약사법」 제30조에 따른 조제기록 등 조제와 관련하여 생성된 정보
다. 「의료기기법」 제2조제1항에 따른 의료기기를 통하여 생성ㆍ수집된 정보
라. 그 밖에 가목부터 다목까지와 유사한 보건의료 관련 정보
2. 통신정보전송자: 「전기통신사업법」 제2조제11호에 따른 기간통신역무를 제공함에 따라 생성된 이용자의 가입정
보, 이용정보, 이용요금의 청구정보 및 납부정보 등의 정보 중 정보주체의 이익, 전송에 필요한 시간ㆍ비용 및 기
술적으로 전송 가능한 합리적인 범위 등을 고려하여 보호위원회와 과학기술정보통신부장관이 공동으로 정하여
고시하는 정보(이하 “통신전송정보”라 한다)로서 해당 통신정보전송자가 보유하는 정보
3. 에너지정보전송자: 다음 각 목의 에너지 관련 정보 중 정보주체의 이익, 전송에 필요한 시간ㆍ비용 및 기술적으로
전송 가능한 합리적인 범위 등을 고려하여 보호위원회, 산업통상부장관 및 기후에너지환경부장관이 공동으로 정
하여 고시하는 정보(이하 “에너지전송정보”라 한다)로서 해당 에너지정보전송자가 보유하는 정보
가. 「전기사업법」 제14조에 따른 전기 공급에 따라 생성된 에너지 사용량 정보, 전기요금의 청구정보 및 납부정
보 등의 정보
나. 「도시가스사업법」 제19조에 따른 도시가스 공급에 따라 생성된 에너지 사용량 정보, 도시가스 요금의 청구정
보 및 납부정보 등의 정보
다. 그 밖에 가목 및 나목과 유사한 에너지 관련 정보
③ 정보주체는 본인전송정보 외에 본인대상정보전송자가 보유하는 정보로서 시간, 비용, 기술 등을 고려하여 정보
주체에게 전송할 수 있다고 본인대상정보전송자가 자율적으로 정한 정보(이하 “자율전송정보”라 한다)를 자신에게
전송할 것을 요구할 수 있다.<개정 2026. 2. 19.>
④ 정보주체는 법 제35조의2제2항에 따라 제3자대상정보전송자에 대하여 보건의료전송정보, 통신전송정보 및 에너
지전송정보를 개인정보관리 전문기관 또는 일반수신자에게 전송할 것을 요구하는 경우 제2항에도 불구하고 전송받
는 자에 따라 보호위원회가 정하여 고시하는 정보는 전송을 요구할 수 없다.<개정 2026. 2. 19.>
⑤ 보호위원회(제2항제2호 및 제3호에 따라 보호위원회와 공동으로 정하여 고시하는 관계 중앙행정기관의 장을 포
함한다)는 제2항 각 호의 정보가 「전자정부법」 제43조의2제1항에 따른 행정기관등이 보유하는 본인정보에 해당하
는 경우에는 제2항 각 호에 따라 고시하기 전에 전송 요구의 대상이 되는 정보 및 전송방법에 대하여 행정안전부장
관과 미리 협의해야 한다.<개정 2026. 2. 19.>
[본조신설 2025. 2. 25.]
제42조의5(전송 요구의 방법 등) ① 정보주체는 법 제35조의2제1항에 따른 전송 요구(이하 “본인전송요구”라 한다)를
하는 경우에는 전송 요구 목적 및 전송을 요구하는 개인정보를 특정해야 한다.
② 본인대상정보전송자는 정보주체가 법 제38조제1항에 따른 대리인을 통해 본인대상정보전송자에게 본인전송요
구를 하는 경우로서 대리인이 제42조의6제3항제1호나목에 따라 사전에 협의한 방식으로 개인정보를 전송하도록
본인전송요구를 하는 경우 정당한 사유 없이 거절해서는 안 된다.<신설 2026. 2. 19.>
③ 정보주체는 제3자전송요구를 하는 경우에는 다음 각 호의 사항을 특정해야 한다.<개정 2026. 2. 19.>
1. 전송 요구 목적
2. 전송 요구를 받는 자
3. 개인정보를 전송받는 자
4. 전송을 요구하는 개인정보
5. 정기적 전송을 요구하는지 여부 및 요구하는 경우 그 주기[제5항에 따라 제3자대상정보전송자에게 제42조의9제
1항제2호에 따른 일반전문기관(이하 “일반전문기관”이라 한다) 및 같은 항 제3호에 따른 특수전문기관(이하 “특
수전문기관”이라 한다)에 대한 제3자전송요구를 하는 경우에 한정한다]
6. 전송 요구의 종료시점
7. 전송을 요구하는 개인정보의 보유 및 이용기간
본문 31쪽
법제처 31 국가법령정보센터
개인정보 보호법 시행령
④ 정보주체는 개인정보관리 전문기관 또는 일반수신자를 통하여 제3자대상정보전송자에게 제3자전송요구를 할
수 있다. 이 경우 개인정보관리 전문기관 또는 일반수신자는 제3항 각 호의 사항에 대하여 정보주체가 그 내용을 명
확하게 인지하고 제3자전송요구를 할 수 있도록 미리 알려야 한다.<개정 2026. 2. 19.>
⑤ 정보주체는 제3자대상정보전송자에게 일반전문기관 및 특수전문기관에 대한 제3자전송요구를 하는 경우 같은
내역의 개인정보를 정기적으로 전송할 것을 요구할 수 있다.<개정 2026. 2. 19.>
⑥ 정보주체는 제1항부터 제5항까지의 규정에 따른 전송 요구를 변경하거나 철회할 수 있다. 이 경우 본인대상정보
전송자, 제3자대상정보전송자, 개인정보관리 전문기관 및 일반수신자는 전송 요구 변경 및 철회의 방법ㆍ절차가 전
송 요구 당시의 방법ㆍ절차보다 어렵지 않도록 해야 한다.<개정 2026. 2. 19.>
[본조신설 2025. 2. 25.]
제42조의6(개인정보 전송의 기한 및 방법 등) ① 법 제35조의2제1항 및 제2항에 따라 전송 요구를 받은 본인대상정보
전송자 및 제3자대상정보전송자(이하 “정보전송자”라 한다)는 정보시스템 장애 등으로 전송이 지연되거나 불가능한
사유가 없으면 지체 없이 개인정보를 전송해야 한다. 이 경우 정보전송자는 지체 없이 전송할 수 없는 정당한 사유가
있는 경우에는 정보주체에게 그 사유를 알리고 전송을 연기할 수 있으며, 그 사유가 소멸하면 지체 없이 개인정보를
전송해야 한다. <개정 2026. 2. 19.>
② 정보전송자는 개인정보를 전송하는 경우 개인정보의 정확성, 완전성 및 최신성을 유지해야 한다.
③ 정보전송자는 전송의 안전성 및 신뢰성이 보장될 수 있도록 다음 각 호의 구분에 따른 방식으로 개인정보를 전
송해야 한다.<개정 2026. 2. 19.>
1. 본인대상정보전송자: 다음 각 목의 요건을 모두 충족하는 방식
가. 정보 전송 시 안전한 암호 알고리즘으로 암호화하여 전송하는 방식일 것
나. 정보주체가 법 제38조제1항에 따라 본인전송요구를 하게 한 대리인이 자동화된 도구를 이용하는 경우에는 개
인정보의 안전성 확보를 위하여 본인대상정보전송자와 해당 대리인이 사전에 협의한 방식일 것
2. 제3자대상정보전송자: 다음 각 목의 요건을 모두 충족하는 방식
가. 제3자대상정보전송자와 개인정보관리 전문기관 및 일반수신자 간에 미리 협의하여 정하는 방식일 것
나. 제3자대상정보전송자와 개인정보관리 전문기관 및 일반수신자 간 상호 식별ㆍ인증할 수 있는 방식일 것
다. 제3자대상정보전송자와 개인정보관리 전문기관 및 일반수신자 간 상호 확인할 수 있는 방식일 것
라. 정보 전송 시 안전한 암호 알고리즘으로 암호화하여 전송하는 방식일 것
④ 본인대상정보전송자는 자신이 관리하는 인터넷 홈페이지를 통해 정보주체가 즉시 열람ㆍ조회할 수 있는 정보를
안전한 암호 알고리즘으로 암호화하여 정보주체가 직접 내려받게 할 수 있다.<신설 2026. 2. 19.>
⑤ 법 제38조제1항에 따라 정보주체의 본인전송요구를 대리한 대리인은 개인정보를 저장하지 않고 본인에게 전달
해야 한다.<신설 2026. 2. 19.>
⑥ 본인대상정보전송자는 정보주체가 법 제35조의2제1항에 따라 개인정보 전송을 요구하고 전송 내역 등을 확인할
수 있도록 본인전송요구 방법, 전송 현황 및 내역을 확인할 수 있는 방법을 인터넷 홈페이지 등에 게재해야 한다. 다
만, 본인대상정보전송자가 보건의료정보전송자 또는 에너지정보전송자에 해당하는 경우에는 중계전문기관이 대신
하여 게재할 수 있다.<개정 2026. 2. 19.>
⑦ 제3자대상정보전송자는 제3자전송요구에 따라 개인정보를 전송하는 경우에는 중계전문기관을 통하여 전송해야
한다. 이 경우 제3자대상정보전송자는 보건의료전송정보에 대해서는 중계전문기관을 통하여 특수전문기관에만 전
송해야 한다.<개정 2026. 2. 19.>
⑧ 일반수신자는 제3자전송요구에 따라 개인정보를 전송받는 경우 다음 각 호의 어느 하나에 해당하는 행위로 인하
여 정보주체의 이익을 침해하거나 전송 처리 체계를 저해하지 않도록 노력해야 한다.<개정 2026. 2. 19.>
1. 법 제16조제1항을 위반하여 전송 요구 목적과 관련 없는 개인정보를 전송하도록 요구하는 행위
2. 법 제16조제3항에 따른 서비스 운영을 위하여 필수적인 경우가 아닌데도 전송받은 정보에 대한 제3자 제공 동의
를 전송 요구와 동시에 받는 행위
개인정보 보호법 시행령
④ 정보주체는 개인정보관리 전문기관 또는 일반수신자를 통하여 제3자대상정보전송자에게 제3자전송요구를 할
수 있다. 이 경우 개인정보관리 전문기관 또는 일반수신자는 제3항 각 호의 사항에 대하여 정보주체가 그 내용을 명
확하게 인지하고 제3자전송요구를 할 수 있도록 미리 알려야 한다.<개정 2026. 2. 19.>
⑤ 정보주체는 제3자대상정보전송자에게 일반전문기관 및 특수전문기관에 대한 제3자전송요구를 하는 경우 같은
내역의 개인정보를 정기적으로 전송할 것을 요구할 수 있다.<개정 2026. 2. 19.>
⑥ 정보주체는 제1항부터 제5항까지의 규정에 따른 전송 요구를 변경하거나 철회할 수 있다. 이 경우 본인대상정보
전송자, 제3자대상정보전송자, 개인정보관리 전문기관 및 일반수신자는 전송 요구 변경 및 철회의 방법ㆍ절차가 전
송 요구 당시의 방법ㆍ절차보다 어렵지 않도록 해야 한다.<개정 2026. 2. 19.>
[본조신설 2025. 2. 25.]
제42조의6(개인정보 전송의 기한 및 방법 등) ① 법 제35조의2제1항 및 제2항에 따라 전송 요구를 받은 본인대상정보
전송자 및 제3자대상정보전송자(이하 “정보전송자”라 한다)는 정보시스템 장애 등으로 전송이 지연되거나 불가능한
사유가 없으면 지체 없이 개인정보를 전송해야 한다. 이 경우 정보전송자는 지체 없이 전송할 수 없는 정당한 사유가
있는 경우에는 정보주체에게 그 사유를 알리고 전송을 연기할 수 있으며, 그 사유가 소멸하면 지체 없이 개인정보를
전송해야 한다. <개정 2026. 2. 19.>
② 정보전송자는 개인정보를 전송하는 경우 개인정보의 정확성, 완전성 및 최신성을 유지해야 한다.
③ 정보전송자는 전송의 안전성 및 신뢰성이 보장될 수 있도록 다음 각 호의 구분에 따른 방식으로 개인정보를 전
송해야 한다.<개정 2026. 2. 19.>
1. 본인대상정보전송자: 다음 각 목의 요건을 모두 충족하는 방식
가. 정보 전송 시 안전한 암호 알고리즘으로 암호화하여 전송하는 방식일 것
나. 정보주체가 법 제38조제1항에 따라 본인전송요구를 하게 한 대리인이 자동화된 도구를 이용하는 경우에는 개
인정보의 안전성 확보를 위하여 본인대상정보전송자와 해당 대리인이 사전에 협의한 방식일 것
2. 제3자대상정보전송자: 다음 각 목의 요건을 모두 충족하는 방식
가. 제3자대상정보전송자와 개인정보관리 전문기관 및 일반수신자 간에 미리 협의하여 정하는 방식일 것
나. 제3자대상정보전송자와 개인정보관리 전문기관 및 일반수신자 간 상호 식별ㆍ인증할 수 있는 방식일 것
다. 제3자대상정보전송자와 개인정보관리 전문기관 및 일반수신자 간 상호 확인할 수 있는 방식일 것
라. 정보 전송 시 안전한 암호 알고리즘으로 암호화하여 전송하는 방식일 것
④ 본인대상정보전송자는 자신이 관리하는 인터넷 홈페이지를 통해 정보주체가 즉시 열람ㆍ조회할 수 있는 정보를
안전한 암호 알고리즘으로 암호화하여 정보주체가 직접 내려받게 할 수 있다.<신설 2026. 2. 19.>
⑤ 법 제38조제1항에 따라 정보주체의 본인전송요구를 대리한 대리인은 개인정보를 저장하지 않고 본인에게 전달
해야 한다.<신설 2026. 2. 19.>
⑥ 본인대상정보전송자는 정보주체가 법 제35조의2제1항에 따라 개인정보 전송을 요구하고 전송 내역 등을 확인할
수 있도록 본인전송요구 방법, 전송 현황 및 내역을 확인할 수 있는 방법을 인터넷 홈페이지 등에 게재해야 한다. 다
만, 본인대상정보전송자가 보건의료정보전송자 또는 에너지정보전송자에 해당하는 경우에는 중계전문기관이 대신
하여 게재할 수 있다.<개정 2026. 2. 19.>
⑦ 제3자대상정보전송자는 제3자전송요구에 따라 개인정보를 전송하는 경우에는 중계전문기관을 통하여 전송해야
한다. 이 경우 제3자대상정보전송자는 보건의료전송정보에 대해서는 중계전문기관을 통하여 특수전문기관에만 전
송해야 한다.<개정 2026. 2. 19.>
⑧ 일반수신자는 제3자전송요구에 따라 개인정보를 전송받는 경우 다음 각 호의 어느 하나에 해당하는 행위로 인하
여 정보주체의 이익을 침해하거나 전송 처리 체계를 저해하지 않도록 노력해야 한다.<개정 2026. 2. 19.>
1. 법 제16조제1항을 위반하여 전송 요구 목적과 관련 없는 개인정보를 전송하도록 요구하는 행위
2. 법 제16조제3항에 따른 서비스 운영을 위하여 필수적인 경우가 아닌데도 전송받은 정보에 대한 제3자 제공 동의
를 전송 요구와 동시에 받는 행위
본문 32쪽
법제처 32 국가법령정보센터
개인정보 보호법 시행령
3. 법 제35조의2제1항ㆍ제2항에 따른 전송 요구 또는 법 제38조제1항에 따른 권리에 대한 대리 행사를 강요하거나
부당하게 유도하는 행위
4. 법 제35조의3제1항에 따른 개인정보관리 전문기관의 지정을 받지 않고 같은 항 각 호의 업무를 수행하는 행위
5. 정보주체의 동의 없이 제42조의5제3항에 따른 전송 요구 내용을 변경하여 개인정보를 요구하는 행위
6. 자기 또는 제3자의 이익을 위하여 특정 정보주체의 이익을 침해하는 행위
7. 정보주체의 전송 요구를 이유로 개인정보처리자의 전산설비에 지속적ㆍ반복적으로 접근하여 장애를 일으키는
행위
8. 그 밖에 제1호부터 제7호까지와 유사한 행위로서 정보주체의 이익을 침해하거나 전송 처리 체계를 저해하는 행
위
⑨ 일반전문기관, 특수전문기관 및 일반수신자는 제3자전송요구에 따라 제3자대상정보전송자로부터 개인정보를 전
송받는 경우에는 제1호에 따른 정보주체의 접근수단을 제2호의 방식으로 사용ㆍ보관함으로써 보건의료전송정보,
통신전송정보 및 에너지전송정보를 수집해서는 안 된다.<개정 2026. 2. 19.>
1. 다음 각 목에 따른 정보주체의 접근수단
가. 「전자서명법」 제2조제3호에 따른 전자서명생성정보 및 같은 조 제6호에 따른 인증서
나. 제3자대상정보전송자에 등록된 정보주체의 식별자 또는 인증정보
다. 정보주체의 생체정보
2. 다음 각 목의 방법을 통하여 정보주체의 이름으로 열람하는 방식
가. 제1호의 접근수단을 직접 보관하는 방법
나. 제1호의 접근수단에 접근할 수 있는 권한을 확보하는 방법
다. 제1호의 접근수단에 대한 지배권, 이용권 또는 접근권 등을 사실상 확보하는 방법
⑩ 개인정보관리 전문기관 및 일반수신자는 개인정보관리 전문기관 및 일반수신자로서 처리하는 정보와 다른 개인
정보처리자로서 처리하는 정보를 분리하여 보관해야 한다. 다만, 특수전문기관(「의료법」 제3조에 따른 의료기관에
한정한다)이 같은 법 제23조의2제1항에 따른 전자의무기록시스템으로 보건의료전송정보를 진료 목적으로 전송받
는 경우로서 같은 법 제23조제2항에 따라 전자의무기록을 안전하게 관리ㆍ보존하는 경우에는 분리 보관을 하지 않
을 수 있다.<개정 2026. 2. 19.>
⑪ 정보전송자, 개인정보관리 전문기관 및 일반수신자는 다음 각 호의 본인전송정보, 보건의료전송정보, 통신전송
정보, 에너지전송정보 및 자율전송정보(이하 “전송요구대상정보”라 한다) 전송 내역을 3년간 보관해야 한다. 다만,
제3자대상정보전송자의 경우 중계전문기관이 대신 보관할 수 있다.<개정 2026. 2. 19.>
1. 제42조의5제3항 각 호의 사항
2. 정보주체의 전송 요구에 따른 정보 송수신 기록
3. 전송 요구의 철회, 거절 및 전송 중단 내역 및 사유
⑫ 일반전문기관 및 특수전문기관은 제11항에 따른 전송요구대상정보 전송 내역을 제15조의3제4항 각 호의 어느
하나에 해당하는 방법으로 연 1회 이상 정보주체에게 알려야 한다. 다만, 정보주체가 통지에 대한 거부의사를 표시
한 경우에는 통지를 생략할 수 있다.<개정 2026. 2. 19.>
⑬ 보호위원회 및 관계 중앙행정기관의 장은 예산의 범위에서 정보전송자에 대하여 개인정보의 전송에 필요한 시
설 및 기술의 구축ㆍ운영 비용 등 전송 요구의 이행에 필요한 비용을 지원할 수 있다.<개정 2026. 2. 19.>
[본조신설 2025. 2. 25.]
제42조의7(전송 요구 시 적용이 배제되는 법률의 규정) 법 제35조의2제4항제3호에서 “대통령령으로 정하는 법률의 규
정”이란 다음 각 호의 규정을 말한다.
1. 「신용정보의 이용 및 보호에 관한 법률」 제32조
2. 「금융실명거래 및 비밀보장에 관한 법률」 제4조
3. 법 제17조 및 제18조
개인정보 보호법 시행령
3. 법 제35조의2제1항ㆍ제2항에 따른 전송 요구 또는 법 제38조제1항에 따른 권리에 대한 대리 행사를 강요하거나
부당하게 유도하는 행위
4. 법 제35조의3제1항에 따른 개인정보관리 전문기관의 지정을 받지 않고 같은 항 각 호의 업무를 수행하는 행위
5. 정보주체의 동의 없이 제42조의5제3항에 따른 전송 요구 내용을 변경하여 개인정보를 요구하는 행위
6. 자기 또는 제3자의 이익을 위하여 특정 정보주체의 이익을 침해하는 행위
7. 정보주체의 전송 요구를 이유로 개인정보처리자의 전산설비에 지속적ㆍ반복적으로 접근하여 장애를 일으키는
행위
8. 그 밖에 제1호부터 제7호까지와 유사한 행위로서 정보주체의 이익을 침해하거나 전송 처리 체계를 저해하는 행
위
⑨ 일반전문기관, 특수전문기관 및 일반수신자는 제3자전송요구에 따라 제3자대상정보전송자로부터 개인정보를 전
송받는 경우에는 제1호에 따른 정보주체의 접근수단을 제2호의 방식으로 사용ㆍ보관함으로써 보건의료전송정보,
통신전송정보 및 에너지전송정보를 수집해서는 안 된다.<개정 2026. 2. 19.>
1. 다음 각 목에 따른 정보주체의 접근수단
가. 「전자서명법」 제2조제3호에 따른 전자서명생성정보 및 같은 조 제6호에 따른 인증서
나. 제3자대상정보전송자에 등록된 정보주체의 식별자 또는 인증정보
다. 정보주체의 생체정보
2. 다음 각 목의 방법을 통하여 정보주체의 이름으로 열람하는 방식
가. 제1호의 접근수단을 직접 보관하는 방법
나. 제1호의 접근수단에 접근할 수 있는 권한을 확보하는 방법
다. 제1호의 접근수단에 대한 지배권, 이용권 또는 접근권 등을 사실상 확보하는 방법
⑩ 개인정보관리 전문기관 및 일반수신자는 개인정보관리 전문기관 및 일반수신자로서 처리하는 정보와 다른 개인
정보처리자로서 처리하는 정보를 분리하여 보관해야 한다. 다만, 특수전문기관(「의료법」 제3조에 따른 의료기관에
한정한다)이 같은 법 제23조의2제1항에 따른 전자의무기록시스템으로 보건의료전송정보를 진료 목적으로 전송받
는 경우로서 같은 법 제23조제2항에 따라 전자의무기록을 안전하게 관리ㆍ보존하는 경우에는 분리 보관을 하지 않
을 수 있다.<개정 2026. 2. 19.>
⑪ 정보전송자, 개인정보관리 전문기관 및 일반수신자는 다음 각 호의 본인전송정보, 보건의료전송정보, 통신전송
정보, 에너지전송정보 및 자율전송정보(이하 “전송요구대상정보”라 한다) 전송 내역을 3년간 보관해야 한다. 다만,
제3자대상정보전송자의 경우 중계전문기관이 대신 보관할 수 있다.<개정 2026. 2. 19.>
1. 제42조의5제3항 각 호의 사항
2. 정보주체의 전송 요구에 따른 정보 송수신 기록
3. 전송 요구의 철회, 거절 및 전송 중단 내역 및 사유
⑫ 일반전문기관 및 특수전문기관은 제11항에 따른 전송요구대상정보 전송 내역을 제15조의3제4항 각 호의 어느
하나에 해당하는 방법으로 연 1회 이상 정보주체에게 알려야 한다. 다만, 정보주체가 통지에 대한 거부의사를 표시
한 경우에는 통지를 생략할 수 있다.<개정 2026. 2. 19.>
⑬ 보호위원회 및 관계 중앙행정기관의 장은 예산의 범위에서 정보전송자에 대하여 개인정보의 전송에 필요한 시
설 및 기술의 구축ㆍ운영 비용 등 전송 요구의 이행에 필요한 비용을 지원할 수 있다.<개정 2026. 2. 19.>
[본조신설 2025. 2. 25.]
제42조의7(전송 요구 시 적용이 배제되는 법률의 규정) 법 제35조의2제4항제3호에서 “대통령령으로 정하는 법률의 규
정”이란 다음 각 호의 규정을 말한다.
1. 「신용정보의 이용 및 보호에 관한 법률」 제32조
2. 「금융실명거래 및 비밀보장에 관한 법률」 제4조
3. 법 제17조 및 제18조
본문 33쪽
법제처 33 국가법령정보센터
개인정보 보호법 시행령
4. 「여신전문금융업법」 제54조의5
5. 「온라인투자연계금융업 및 이용자 보호에 관한 법률」 제33조제4항
6. 「외국환거래법」 제21조
7. 「의료법」 제21조제2항
8. 「약사법」 제30조제3항
9. 「생명윤리 및 안전에 관한 법률」 제52조제2항
10. 「상속세 및 증여세법」 제85조제2항
11. 「국제조세조정에 관한 법률」 제57조
12. 「지능형전력망의 구축 및 이용촉진에 관한 법률」 제23조제3항
[본조신설 2025. 2. 25.]
제42조의8(전송 요구의 거절 및 전송 중단 등) ① 법 제35조의2제6항에서 “정보주체의 본인 여부가 확인되지 아니하는
경우 등 대통령령으로 정하는 경우”란 다음 각 호의 어느 하나에 해당하는 경우를 말한다. <개정 2026. 2. 19.>
1. 법 제22조의2제1항에 따른 법정대리인 동의 여부가 확인되지 않는 경우
2. 법 제35조제4항에 따른 열람의 제한 또는 거절 사유에 해당하는 경우
3. 법 제35조의2제1항 및 제2항에 따른 전송요구대상정보의 전송이 제3자의 권리나 정당한 이익을 침해하는 경우
4. 법 제38조제1항에 따른 대리인 여부가 확인되지 않는 경우
5. 제42조의5제1항 및 제3항에 따른 전송 요구 사항이 특정되지 않는 경우
6. 정보주체의 본인 여부가 확인되지 않는 경우
7. 정보주체의 인증정보를 탈취하는 등 부당한 방법에 의한 전송 요구임을 알게 된 경우
8. 정보주체 본인, 일반전문기관, 특수전문기관 또는 일반수신자가 아닌 자에게 전송해 줄 것을 요구하는 경우
9. 개인정보가 범죄에 악용되는 등 부정한 방법으로 사용되어 정보주체의 이익을 명백히 침해하는 경우
10. 정보주체가 동일한 개인정보에 대하여 정당한 사유 없이 과도하게 반복적으로 전송을 요구하여 업무에 지장을
초래하는 경우
11. 정보주체가 제3자의 기망이나 협박 때문에 전송 요구를 한 것으로 의심될 만한 정황이 확인되는 등 전송 요구를
거절하거나 전송을 중단할 합리적 사유가 있는 경우
② 정보전송자는 제1항 각 호의 어느 하나에 해당하는 사유로 정보주체의 전송 요구를 거절하거나 전송을 중단한
경우에는 지체 없이 해당 사실 및 그 사유를 정보주체에게 통지해야 한다. 다만, 정보주체가 개인정보관리 전문기관
또는 일반수신자를 통하여 전송 요구를 하는 경우에는 해당 개인정보관리 전문기관 또는 일반수신자를 통하여 통
지할 수 있다.
[본조신설 2025. 2. 25.]
제42조의9(개인정보관리 전문기관의 업무 등) ① 개인정보관리 전문기관은 다음 각 호와 같이 구분한다.
1. 중계전문기관: 법 제35조의3제1항제1호 및 제2호에 따른 업무로서 개인정보 전송 중계에 필요한 기능을 제공하
고 관련 시스템을 운영하는 업무 및 정보전송자의 전송을 지원하는 업무(이하 “중계업무”라 한다)를 수행하는 자
2. 일반전문기관: 법 제35조의3제1항제3호에 따른 업무로서 통합조회, 맞춤형 서비스, 연구, 교육 등을 위하여 정보
전송자로부터 전송받은 개인정보(보건의료전송정보는 제외한다)를 관리ㆍ분석하는 업무를 수행하는 자
3. 특수전문기관: 법 제35조의3제1항제3호에 따른 업무로서 통합조회, 맞춤형 서비스, 연구, 교육 등을 위하여 정보
전송자로부터 전송받은 보건의료전송정보를 관리ㆍ분석하는 업무를 수행하는 자
② 중계전문기관은 일반전문기관, 특수전문기관 및 일반수신자 업무를 함께 수행해서는 안 된다.
③ 중계전문기관은 중계업무를 수행하기 위하여 필요한 경우에는 「정보통신망 이용촉진 및 정보보호 등에 관한 법
률」 제23조의5제1항에 따른 연계정보를 처리할 수 있다.
④ 보호위원회 또는 관계 중앙행정기관의 장은 예산의 범위에서 중계전문기관의 운영에 필요한 비용을 지원할 수
있다.
개인정보 보호법 시행령
4. 「여신전문금융업법」 제54조의5
5. 「온라인투자연계금융업 및 이용자 보호에 관한 법률」 제33조제4항
6. 「외국환거래법」 제21조
7. 「의료법」 제21조제2항
8. 「약사법」 제30조제3항
9. 「생명윤리 및 안전에 관한 법률」 제52조제2항
10. 「상속세 및 증여세법」 제85조제2항
11. 「국제조세조정에 관한 법률」 제57조
12. 「지능형전력망의 구축 및 이용촉진에 관한 법률」 제23조제3항
[본조신설 2025. 2. 25.]
제42조의8(전송 요구의 거절 및 전송 중단 등) ① 법 제35조의2제6항에서 “정보주체의 본인 여부가 확인되지 아니하는
경우 등 대통령령으로 정하는 경우”란 다음 각 호의 어느 하나에 해당하는 경우를 말한다. <개정 2026. 2. 19.>
1. 법 제22조의2제1항에 따른 법정대리인 동의 여부가 확인되지 않는 경우
2. 법 제35조제4항에 따른 열람의 제한 또는 거절 사유에 해당하는 경우
3. 법 제35조의2제1항 및 제2항에 따른 전송요구대상정보의 전송이 제3자의 권리나 정당한 이익을 침해하는 경우
4. 법 제38조제1항에 따른 대리인 여부가 확인되지 않는 경우
5. 제42조의5제1항 및 제3항에 따른 전송 요구 사항이 특정되지 않는 경우
6. 정보주체의 본인 여부가 확인되지 않는 경우
7. 정보주체의 인증정보를 탈취하는 등 부당한 방법에 의한 전송 요구임을 알게 된 경우
8. 정보주체 본인, 일반전문기관, 특수전문기관 또는 일반수신자가 아닌 자에게 전송해 줄 것을 요구하는 경우
9. 개인정보가 범죄에 악용되는 등 부정한 방법으로 사용되어 정보주체의 이익을 명백히 침해하는 경우
10. 정보주체가 동일한 개인정보에 대하여 정당한 사유 없이 과도하게 반복적으로 전송을 요구하여 업무에 지장을
초래하는 경우
11. 정보주체가 제3자의 기망이나 협박 때문에 전송 요구를 한 것으로 의심될 만한 정황이 확인되는 등 전송 요구를
거절하거나 전송을 중단할 합리적 사유가 있는 경우
② 정보전송자는 제1항 각 호의 어느 하나에 해당하는 사유로 정보주체의 전송 요구를 거절하거나 전송을 중단한
경우에는 지체 없이 해당 사실 및 그 사유를 정보주체에게 통지해야 한다. 다만, 정보주체가 개인정보관리 전문기관
또는 일반수신자를 통하여 전송 요구를 하는 경우에는 해당 개인정보관리 전문기관 또는 일반수신자를 통하여 통
지할 수 있다.
[본조신설 2025. 2. 25.]
제42조의9(개인정보관리 전문기관의 업무 등) ① 개인정보관리 전문기관은 다음 각 호와 같이 구분한다.
1. 중계전문기관: 법 제35조의3제1항제1호 및 제2호에 따른 업무로서 개인정보 전송 중계에 필요한 기능을 제공하
고 관련 시스템을 운영하는 업무 및 정보전송자의 전송을 지원하는 업무(이하 “중계업무”라 한다)를 수행하는 자
2. 일반전문기관: 법 제35조의3제1항제3호에 따른 업무로서 통합조회, 맞춤형 서비스, 연구, 교육 등을 위하여 정보
전송자로부터 전송받은 개인정보(보건의료전송정보는 제외한다)를 관리ㆍ분석하는 업무를 수행하는 자
3. 특수전문기관: 법 제35조의3제1항제3호에 따른 업무로서 통합조회, 맞춤형 서비스, 연구, 교육 등을 위하여 정보
전송자로부터 전송받은 보건의료전송정보를 관리ㆍ분석하는 업무를 수행하는 자
② 중계전문기관은 일반전문기관, 특수전문기관 및 일반수신자 업무를 함께 수행해서는 안 된다.
③ 중계전문기관은 중계업무를 수행하기 위하여 필요한 경우에는 「정보통신망 이용촉진 및 정보보호 등에 관한 법
률」 제23조의5제1항에 따른 연계정보를 처리할 수 있다.
④ 보호위원회 또는 관계 중앙행정기관의 장은 예산의 범위에서 중계전문기관의 운영에 필요한 비용을 지원할 수
있다.
본문 34쪽
법제처 34 국가법령정보센터
개인정보 보호법 시행령
[본조신설 2025. 2. 25.]
제42조의10(개인정보관리 전문기관의 지정 신청 등) ① 법 제35조의3제1항에 따라 개인정보관리 전문기관으로 지정받
으려는 자는 제2항에 따른 지정권자에게 다음 각 호의 서류를 제출하여 지정을 신청해야 한다. 이 경우 개인정보관
리 전문기관으로 지정받으려는 자는 개인정보전송지원플랫폼을 통하여 제출할 수 있다.
1. 지정신청서
2. 정관 또는 규약(법 제2조제6호가목에 해당하는 공공기관에 대해서는 적용하지 않는다)
3. 사업계획서
4. 개인정보 관리 계획서
5. 최근 3년간의 재무제표(법 제2조제6호가목에 해당하는 공공기관에 대해서는 적용하지 않는다)
6. 법 제35조의3제2항에 따른 지정요건을 갖추었음을 증명할 수 있는 서류
② 법 제35조의3제1항에 따라 개인정보관리 전문기관을 지정할 수 있는 자(이하 “지정권자”라 한다)는 다음 각 호와
같다.
1. 중계전문기관: 보호위원회 또는 중계전문기관이 전송받으려는 정보와 관련된 관계 중앙행정기관의 장. 다만, 보
건의료전송정보에 관한 중계전문기관의 경우에는 보건복지부장관으로 한다.
2. 일반전문기관: 보호위원회 또는 일반전문기관이 전송받으려는 정보와 관련된 관계 중앙행정기관의 장
3. 특수전문기관: 보건복지부장관
③ 제1항에 따른 지정 신청을 받은 지정권자는 「전자정부법」 제36조제1항에 따른 행정정보의 공동이용을 통하여
법인 등기사항증명서(개인정보관리 전문기관으로 지정받으려는 자가 법인인 경우에 한정한다)를 확인해야 한다.
④ 개인정보관리 전문기관으로 지정받으려는 자는 제1항에 따른 지정 신청을 하기 전에 지정권자에게 제42조의
11에 따른 지정요건 세부기준을 갖추었는지에 대한 예비심사를 신청할 수 있다.
[본조신설 2025. 2. 25.]
제42조의11(개인정보관리 전문기관의 지정요건 세부기준) ① 법 제35조의3제2항에 따른 개인정보관리 전문기관의 지
정요건별 세부기준은 다음 각 호와 같다.
1. 다음 각 목의 기술수준 및 전문성을 모두 갖출 것
가. 정보주체의 권리와 이익 등을 증대하고 정보주체와의 이해상충을 방지하기 위한 사업계획이 타당하고 건전할
것
나. 개인정보관리 전문기관 업무를 위한 개인정보 관리 계획이 적정할 것
다. 개인정보관리 전문기관 업무를 효과적으로 수행하기 위하여 보호위원회가 정하여 고시하는 설비 및 기술을
갖추고 있을 것
2. 다음 각 목의 안전성 확보조치 수준을 모두 갖출 것
가. 법 제29조에 따른 안전조치의무를 이행하기 위한 요건을 갖출 것
나. 개인정보관리 전문기관을 안전하게 운영하기 위하여 보호위원회가 정하여 고시하는 보호체계를 적정하게 갖
출 것
3. 다음 각 목의 재정능력을 모두 갖출 것(법 제2조제6호가목에 해당하는 공공기관에 대해서는 적용하지 않는다)
가. 재무구조가 건전하고 안전성이 있을 것
나. 다음의 구분에 따른 자본금[법인의 경우에는 납입자본금(비영리법인의 경우에는 기본재산)을 말하고, 법인이
아닌 단체의 경우에는 해당 단체가 보유하는 자산의 가액을 말한다. 이하 이 목에서 같다]을 갖출 것
1) 중계전문기관: 자본금 10억원 이상
2) 일반전문기관 및 특수전문기관: 자본금 1억원 이상
다. 손해배상책임의 이행을 위한 보험 또는 공제에 가입하거나 준비금을 적립할 것(법 제39조의7제2항 각 호의
어느 하나에 해당하는 자에 대해서는 적용하지 않는다). 이 경우 보험ㆍ공제의 최저가입금액 또는 준비금의 최
소적립금액의 기준은 별표 1의2와 같다.
개인정보 보호법 시행령
[본조신설 2025. 2. 25.]
제42조의10(개인정보관리 전문기관의 지정 신청 등) ① 법 제35조의3제1항에 따라 개인정보관리 전문기관으로 지정받
으려는 자는 제2항에 따른 지정권자에게 다음 각 호의 서류를 제출하여 지정을 신청해야 한다. 이 경우 개인정보관
리 전문기관으로 지정받으려는 자는 개인정보전송지원플랫폼을 통하여 제출할 수 있다.
1. 지정신청서
2. 정관 또는 규약(법 제2조제6호가목에 해당하는 공공기관에 대해서는 적용하지 않는다)
3. 사업계획서
4. 개인정보 관리 계획서
5. 최근 3년간의 재무제표(법 제2조제6호가목에 해당하는 공공기관에 대해서는 적용하지 않는다)
6. 법 제35조의3제2항에 따른 지정요건을 갖추었음을 증명할 수 있는 서류
② 법 제35조의3제1항에 따라 개인정보관리 전문기관을 지정할 수 있는 자(이하 “지정권자”라 한다)는 다음 각 호와
같다.
1. 중계전문기관: 보호위원회 또는 중계전문기관이 전송받으려는 정보와 관련된 관계 중앙행정기관의 장. 다만, 보
건의료전송정보에 관한 중계전문기관의 경우에는 보건복지부장관으로 한다.
2. 일반전문기관: 보호위원회 또는 일반전문기관이 전송받으려는 정보와 관련된 관계 중앙행정기관의 장
3. 특수전문기관: 보건복지부장관
③ 제1항에 따른 지정 신청을 받은 지정권자는 「전자정부법」 제36조제1항에 따른 행정정보의 공동이용을 통하여
법인 등기사항증명서(개인정보관리 전문기관으로 지정받으려는 자가 법인인 경우에 한정한다)를 확인해야 한다.
④ 개인정보관리 전문기관으로 지정받으려는 자는 제1항에 따른 지정 신청을 하기 전에 지정권자에게 제42조의
11에 따른 지정요건 세부기준을 갖추었는지에 대한 예비심사를 신청할 수 있다.
[본조신설 2025. 2. 25.]
제42조의11(개인정보관리 전문기관의 지정요건 세부기준) ① 법 제35조의3제2항에 따른 개인정보관리 전문기관의 지
정요건별 세부기준은 다음 각 호와 같다.
1. 다음 각 목의 기술수준 및 전문성을 모두 갖출 것
가. 정보주체의 권리와 이익 등을 증대하고 정보주체와의 이해상충을 방지하기 위한 사업계획이 타당하고 건전할
것
나. 개인정보관리 전문기관 업무를 위한 개인정보 관리 계획이 적정할 것
다. 개인정보관리 전문기관 업무를 효과적으로 수행하기 위하여 보호위원회가 정하여 고시하는 설비 및 기술을
갖추고 있을 것
2. 다음 각 목의 안전성 확보조치 수준을 모두 갖출 것
가. 법 제29조에 따른 안전조치의무를 이행하기 위한 요건을 갖출 것
나. 개인정보관리 전문기관을 안전하게 운영하기 위하여 보호위원회가 정하여 고시하는 보호체계를 적정하게 갖
출 것
3. 다음 각 목의 재정능력을 모두 갖출 것(법 제2조제6호가목에 해당하는 공공기관에 대해서는 적용하지 않는다)
가. 재무구조가 건전하고 안전성이 있을 것
나. 다음의 구분에 따른 자본금[법인의 경우에는 납입자본금(비영리법인의 경우에는 기본재산)을 말하고, 법인이
아닌 단체의 경우에는 해당 단체가 보유하는 자산의 가액을 말한다. 이하 이 목에서 같다]을 갖출 것
1) 중계전문기관: 자본금 10억원 이상
2) 일반전문기관 및 특수전문기관: 자본금 1억원 이상
다. 손해배상책임의 이행을 위한 보험 또는 공제에 가입하거나 준비금을 적립할 것(법 제39조의7제2항 각 호의
어느 하나에 해당하는 자에 대해서는 적용하지 않는다). 이 경우 보험ㆍ공제의 최저가입금액 또는 준비금의 최
소적립금액의 기준은 별표 1의2와 같다.
본문 35쪽
법제처 35 국가법령정보센터
개인정보 보호법 시행령
② 제1항에도 불구하고 다음 각 호의 어느 하나에 해당하는 기관ㆍ법인 또는 단체가 개인정보관리 전문기관으로 지
정받으려는 경우 지정권자는 보호위원회에 요청(보호위원회가 지정권자인 경우는 제외한다)하여 보호위원회의 심
의ㆍ의결을 거친 후 제1항 각 호에 따른 지정요건 세부기준 중 일부 또는 전부에 대한 심사 없이 해당 지정요건 세
부기준을 갖춘 것으로 처리할 수 있다. 다만, 제1항 각 호에 따른 지정요건 세부기준 전부에 대한 심사를 생략할 수
있는 경우는 제1호 및 제2호의 기관ㆍ법인 또는 단체가 개인정보관리 전문기관으로 지정받으려는 경우에 한정한다
.
1. 「의료법」 제3조에 따른 의료기관(보건의료전송정보를 전송받는 경우에 한정한다)
2. 중앙행정기관 또는 지방자치단체
3. 제2호 외의 공공기관
[본조신설 2025. 2. 25.]
제42조의12(개인정보관리 전문기관의 지정 등) ① 지정권자는 제42조의10제1항에 따라 지정을 신청한 자가 제42조의
11에 따른 지정요건 세부기준을 갖추었다고 인정하는 경우에는 그 자를 개인정보관리 전문기관으로 지정할 수 있다.
이 경우 지정권자는 제42조의10제1항에 따라 지정을 신청한 자가 지정요건 세부기준의 일부를 충족하지 못한 경우
에는 일정 기간 내에 그 기준을 충족할 것을 조건으로 지정할 수 있고, 지정 후 그 조건의 이행 여부를 확인해야 한다
.
② 개인정보관리 전문기관은 다음 각 호의 사항(보호위원회가 정하여 고시하는 경미한 내용은 제외한다)을 변경하
려는 경우 미리 지정권자의 승인을 받아야 한다.
1. 사업계획서(전송받으려는 정보의 추가 또는 변경을 포함한다)
2. 개인정보 관리 계획서
③ 개인정보관리 전문기관 지정의 유효기간은 3년으로 한다.
④ 지정권자는 개인정보관리 전문기관이 제3항에 따른 지정 유효기간의 연장을 신청하면 제42조의11에 따른 지정
요건 세부기준에 적합하다고 인정하는 경우에는 개인정보관리 전문기관으로 재지정할 수 있다.
⑤ 지정권자(보호위원회는 제외한다)는 다음 각 호의 결정을 하려면 보호위원회와 미리 협의해야 한다.
1. 제1항에 따른 지정 및 제4항에 따른 재지정(중계전문기관에 한정한다)
2. 제2항에 따른 변경 승인(일반전문기관 및 특수전문기관의 경우에는 전송요구대상정보와 관련되는 경우에 한정한
다)
⑥ 지정권자(제1호의 경우에는 보호위원회를 제외한다)는 제1항에 따른 지정, 제2항에 따른 변경 승인 및 제4항에
따른 재지정을 한 경우에는 그에 관한 다음 각 호의 조치를 해야 한다.
1. 보호위원회에 통지
2. 관보에 공고하거나 지정권자의 홈페이지에 게시(변경 승인의 경우는 제외한다)
⑦ 중계전문기관은 중계업무의 일부 또는 전부를 중지 또는 폐지하려는 경우에는 중지 또는 폐지 예정일의 6개월
전까지 지정권자에게 통보해야 한다. 이 경우 지정권자는 해당 중계전문기관에게 다음 각 호의 어느 하나에 해당하
는 조치를 하도록 명할 수 있다.
1. 해당 중계전문기관이 보유하고 있는 개인정보의 파기(다른 법령에 따라 보존해야 하는 경우는 제외한다)
2. 수행 중인 업무의 다른 중계전문기관으로의 이전
3. 업무 중지ㆍ폐지 예정 사실의 다음 각 목의 자에 대한 통지
가. 해당 중계전문기관이 보유하고 있는 개인정보의 정보주체
나. 해당 중계전문기관에 정보를 전송하는 정보전송자
다. 해당 중계전문기관으로부터 정보를 전송받는 일반전문기관, 특수전문기관 및 일반수신자
⑧ 일반전문기관 및 특수전문기관은 개인정보 전송 관련 업무의 일부 또는 전부를 중지 또는 폐지하려는 경우에는
그 사실을 미리 중계전문기관에 통지하고 개인정보전송지원플랫폼에 등재해야 한다.
[본조신설 2025. 2. 25.]
개인정보 보호법 시행령
② 제1항에도 불구하고 다음 각 호의 어느 하나에 해당하는 기관ㆍ법인 또는 단체가 개인정보관리 전문기관으로 지
정받으려는 경우 지정권자는 보호위원회에 요청(보호위원회가 지정권자인 경우는 제외한다)하여 보호위원회의 심
의ㆍ의결을 거친 후 제1항 각 호에 따른 지정요건 세부기준 중 일부 또는 전부에 대한 심사 없이 해당 지정요건 세
부기준을 갖춘 것으로 처리할 수 있다. 다만, 제1항 각 호에 따른 지정요건 세부기준 전부에 대한 심사를 생략할 수
있는 경우는 제1호 및 제2호의 기관ㆍ법인 또는 단체가 개인정보관리 전문기관으로 지정받으려는 경우에 한정한다
.
1. 「의료법」 제3조에 따른 의료기관(보건의료전송정보를 전송받는 경우에 한정한다)
2. 중앙행정기관 또는 지방자치단체
3. 제2호 외의 공공기관
[본조신설 2025. 2. 25.]
제42조의12(개인정보관리 전문기관의 지정 등) ① 지정권자는 제42조의10제1항에 따라 지정을 신청한 자가 제42조의
11에 따른 지정요건 세부기준을 갖추었다고 인정하는 경우에는 그 자를 개인정보관리 전문기관으로 지정할 수 있다.
이 경우 지정권자는 제42조의10제1항에 따라 지정을 신청한 자가 지정요건 세부기준의 일부를 충족하지 못한 경우
에는 일정 기간 내에 그 기준을 충족할 것을 조건으로 지정할 수 있고, 지정 후 그 조건의 이행 여부를 확인해야 한다
.
② 개인정보관리 전문기관은 다음 각 호의 사항(보호위원회가 정하여 고시하는 경미한 내용은 제외한다)을 변경하
려는 경우 미리 지정권자의 승인을 받아야 한다.
1. 사업계획서(전송받으려는 정보의 추가 또는 변경을 포함한다)
2. 개인정보 관리 계획서
③ 개인정보관리 전문기관 지정의 유효기간은 3년으로 한다.
④ 지정권자는 개인정보관리 전문기관이 제3항에 따른 지정 유효기간의 연장을 신청하면 제42조의11에 따른 지정
요건 세부기준에 적합하다고 인정하는 경우에는 개인정보관리 전문기관으로 재지정할 수 있다.
⑤ 지정권자(보호위원회는 제외한다)는 다음 각 호의 결정을 하려면 보호위원회와 미리 협의해야 한다.
1. 제1항에 따른 지정 및 제4항에 따른 재지정(중계전문기관에 한정한다)
2. 제2항에 따른 변경 승인(일반전문기관 및 특수전문기관의 경우에는 전송요구대상정보와 관련되는 경우에 한정한
다)
⑥ 지정권자(제1호의 경우에는 보호위원회를 제외한다)는 제1항에 따른 지정, 제2항에 따른 변경 승인 및 제4항에
따른 재지정을 한 경우에는 그에 관한 다음 각 호의 조치를 해야 한다.
1. 보호위원회에 통지
2. 관보에 공고하거나 지정권자의 홈페이지에 게시(변경 승인의 경우는 제외한다)
⑦ 중계전문기관은 중계업무의 일부 또는 전부를 중지 또는 폐지하려는 경우에는 중지 또는 폐지 예정일의 6개월
전까지 지정권자에게 통보해야 한다. 이 경우 지정권자는 해당 중계전문기관에게 다음 각 호의 어느 하나에 해당하
는 조치를 하도록 명할 수 있다.
1. 해당 중계전문기관이 보유하고 있는 개인정보의 파기(다른 법령에 따라 보존해야 하는 경우는 제외한다)
2. 수행 중인 업무의 다른 중계전문기관으로의 이전
3. 업무 중지ㆍ폐지 예정 사실의 다음 각 목의 자에 대한 통지
가. 해당 중계전문기관이 보유하고 있는 개인정보의 정보주체
나. 해당 중계전문기관에 정보를 전송하는 정보전송자
다. 해당 중계전문기관으로부터 정보를 전송받는 일반전문기관, 특수전문기관 및 일반수신자
⑧ 일반전문기관 및 특수전문기관은 개인정보 전송 관련 업무의 일부 또는 전부를 중지 또는 폐지하려는 경우에는
그 사실을 미리 중계전문기관에 통지하고 개인정보전송지원플랫폼에 등재해야 한다.
[본조신설 2025. 2. 25.]
본문 36쪽
법제처 36 국가법령정보센터
개인정보 보호법 시행령
제42조의13(개인정보관리 전문기관의 금지행위) 법 제35조의3제3항제2호에서 “대통령령으로 정하는 행위”란 별표 1의
3에 따른 행위를 말한다.
[본조신설 2025. 2. 25.]
제42조의14(개인정보관리 전문기관의 지정취소 등) ① 지정권자는 법 제35조의3제4항에 따라 개인정보관리 전문기관
이 제42조의12제1항 후단에 따른 조건을 이행하지 않은 경우에는 개인정보관리 전문기관의 지정을 취소할 수 있다.
② 지정권자(보호위원회는 제외한다)는 개인정보관리 전문기관의 지정을 취소하려면 보호위원회와 미리 협의해야
한다.
③ 지정권자(제1호의 경우에는 보호위원회를 제외한다)는 개인정보관리 전문기관의 지정을 취소한 경우에는 그에
관한 다음 각 호의 조치를 해야 한다.
1. 보호위원회에 통지
2. 관보에 공고하거나 지정권자의 홈페이지에 게시
[본조신설 2025. 2. 25.]
제42조의15(개인정보 전송 요구에 대한 보호위원회의 관리ㆍ감독) ① 보호위원회는 법 제35조의4제1항에 따라 정보전
송자 현황을 관리ㆍ감독하기 위하여 개인정보처리자에게 정보전송자 여부 확인에 필요한 자료의 제출을 요구할 수
있다.
② 보호위원회는 본인전송요구 및 제3자전송요구에 대한 정보전송자의 이행 여부, 개인정보관리 전문기관의 지정
요건 충족 여부 및 일반수신자의 시설ㆍ기술 기준 충족 여부 등에 관한 사항을 관리ㆍ감독하기 위하여 정보전송자,
개인정보관리 전문기관 및 일반수신자에게 다음 각 호의 구분에 따른 자료의 제출을 요구할 수 있으며, 자료 제출을
요구받은 자는 특별한 사정이 없으면 그 요구에 따라야 한다.<개정 2026. 2. 19.>
1. 정보전송자: 제42조의6제11항에 따른 개인정보 전송 내역에 관한 자료
2. 개인정보관리 전문기관: 다음 각 목의 자료
가. 제1호의 자료
나. 개인정보의 처리 및 관리에 관한 자료
다. 전송 요구 방법에 관한 자료(일반전문기관 및 특수전문기관에 한정한다)
라. 개인정보관리 전문기관의 지정요건을 충족하고 있음을 증명할 수 있는 자료
3. 일반수신자: 다음 각 목의 자료
가. 제1호 및 제2호나목의 자료
나. 전송 요구 방법에 관한 자료
다. 제42조의3제1항에 따른 시설 및 기술을 갖추었음을 증명할 수 있는 자료
[본조신설 2025. 2. 25.]
제42조의16(개인정보전송지원플랫폼의 구축 및 운영 등) ① 보호위원회는 제3자전송요구와 관련하여 개인정보의 안전
하고 효율적인 전송을 위하여 필요한 경우에는 제3자대상정보전송자, 개인정보관리 전문기관 및 일반수신자가 개인
정보전송지원플랫폼에 등재하게 해야 한다. <개정 2026. 2. 19.>
② 제1항에 따라 개인정보전송지원플랫폼에 등재된 제3자대상정보전송자, 일반전문기관, 특수전문기관 및 일반수
신자는 제3자전송요구에 따라 개인정보를 전송하거나 전송받는 경우 중계전문기관을 통하여 개인정보전송플랫폼
에 다음 각 호의 자료를 제출해야 한다.<개정 2026. 2. 19.>
1. 제42조의6제11항에 따른 개인정보 전송 내역
2. 전송받은 정보의 제3자 제공 동의 내역(제3자대상정보전송자는 제외한다)
③ 보호위원회는 개인정보 전송 이력의 효율적 관리를 위하여 필요한 경우에는 다른 법령에 따라 개인정보 전송을
지원하는 정보시스템을 운영하는 자에게 개인정보전송지원플랫폼과 연계하여 정보주체의 전송 요구 내역 등을 제
공할 것을 요청할 수 있다.
개인정보 보호법 시행령
제42조의13(개인정보관리 전문기관의 금지행위) 법 제35조의3제3항제2호에서 “대통령령으로 정하는 행위”란 별표 1의
3에 따른 행위를 말한다.
[본조신설 2025. 2. 25.]
제42조의14(개인정보관리 전문기관의 지정취소 등) ① 지정권자는 법 제35조의3제4항에 따라 개인정보관리 전문기관
이 제42조의12제1항 후단에 따른 조건을 이행하지 않은 경우에는 개인정보관리 전문기관의 지정을 취소할 수 있다.
② 지정권자(보호위원회는 제외한다)는 개인정보관리 전문기관의 지정을 취소하려면 보호위원회와 미리 협의해야
한다.
③ 지정권자(제1호의 경우에는 보호위원회를 제외한다)는 개인정보관리 전문기관의 지정을 취소한 경우에는 그에
관한 다음 각 호의 조치를 해야 한다.
1. 보호위원회에 통지
2. 관보에 공고하거나 지정권자의 홈페이지에 게시
[본조신설 2025. 2. 25.]
제42조의15(개인정보 전송 요구에 대한 보호위원회의 관리ㆍ감독) ① 보호위원회는 법 제35조의4제1항에 따라 정보전
송자 현황을 관리ㆍ감독하기 위하여 개인정보처리자에게 정보전송자 여부 확인에 필요한 자료의 제출을 요구할 수
있다.
② 보호위원회는 본인전송요구 및 제3자전송요구에 대한 정보전송자의 이행 여부, 개인정보관리 전문기관의 지정
요건 충족 여부 및 일반수신자의 시설ㆍ기술 기준 충족 여부 등에 관한 사항을 관리ㆍ감독하기 위하여 정보전송자,
개인정보관리 전문기관 및 일반수신자에게 다음 각 호의 구분에 따른 자료의 제출을 요구할 수 있으며, 자료 제출을
요구받은 자는 특별한 사정이 없으면 그 요구에 따라야 한다.<개정 2026. 2. 19.>
1. 정보전송자: 제42조의6제11항에 따른 개인정보 전송 내역에 관한 자료
2. 개인정보관리 전문기관: 다음 각 목의 자료
가. 제1호의 자료
나. 개인정보의 처리 및 관리에 관한 자료
다. 전송 요구 방법에 관한 자료(일반전문기관 및 특수전문기관에 한정한다)
라. 개인정보관리 전문기관의 지정요건을 충족하고 있음을 증명할 수 있는 자료
3. 일반수신자: 다음 각 목의 자료
가. 제1호 및 제2호나목의 자료
나. 전송 요구 방법에 관한 자료
다. 제42조의3제1항에 따른 시설 및 기술을 갖추었음을 증명할 수 있는 자료
[본조신설 2025. 2. 25.]
제42조의16(개인정보전송지원플랫폼의 구축 및 운영 등) ① 보호위원회는 제3자전송요구와 관련하여 개인정보의 안전
하고 효율적인 전송을 위하여 필요한 경우에는 제3자대상정보전송자, 개인정보관리 전문기관 및 일반수신자가 개인
정보전송지원플랫폼에 등재하게 해야 한다. <개정 2026. 2. 19.>
② 제1항에 따라 개인정보전송지원플랫폼에 등재된 제3자대상정보전송자, 일반전문기관, 특수전문기관 및 일반수
신자는 제3자전송요구에 따라 개인정보를 전송하거나 전송받는 경우 중계전문기관을 통하여 개인정보전송플랫폼
에 다음 각 호의 자료를 제출해야 한다.<개정 2026. 2. 19.>
1. 제42조의6제11항에 따른 개인정보 전송 내역
2. 전송받은 정보의 제3자 제공 동의 내역(제3자대상정보전송자는 제외한다)
③ 보호위원회는 개인정보 전송 이력의 효율적 관리를 위하여 필요한 경우에는 다른 법령에 따라 개인정보 전송을
지원하는 정보시스템을 운영하는 자에게 개인정보전송지원플랫폼과 연계하여 정보주체의 전송 요구 내역 등을 제
공할 것을 요청할 수 있다.
본문 37쪽
법제처 37 국가법령정보센터
개인정보 보호법 시행령
[본조신설 2025. 2. 25.]
제43조(개인정보의 정정ㆍ삭제 등) ① 정보주체는 법 제36조제1항에 따라 개인정보처리자에게 그 개인정보의 정정 또
는 삭제를 요구하려면 개인정보처리자가 마련한 방법과 절차에 따라 요구하여야 한다. 이 경우 개인정보처리자가 개
인정보의 정정 또는 삭제 요구 방법과 절차를 마련할 때에는 제41조제2항을 준용하되, “열람”은 “정정 또는 삭제”로
본다. <개정 2017. 10. 17.>
② 다른 개인정보처리자로부터 개인정보를 제공받아 개인정보파일을 처리하는 개인정보처리자는 법 제36조제1항
에 따른 개인정보의 정정 또는 삭제 요구를 받으면 그 요구에 따라 해당 개인정보를 정정ㆍ삭제하거나 그 개인정보
정정ㆍ삭제에 관한 요구 사항을 해당 개인정보를 제공한 기관의 장에게 지체 없이 알리고 그 처리 결과에 따라 필
요한 조치를 하여야 한다.<개정 2017. 10. 17.>
③ 개인정보처리자는 제1항과 제2항에 따른 개인정보 정정ㆍ삭제 요구를 받은 날부터 10일 이내에 법 제36조제2항
에 따라 해당 개인정보의 정정ㆍ삭제 등의 조치를 한 경우에는 그 조치를 한 사실을, 법 제36조제1항 단서에 해당하
여 삭제 요구에 따르지 아니한 경우에는 그 사실 및 이유와 이의제기방법을 보호위원회가 정하여 고시하는 개인정
보 정정ㆍ삭제 결과 통지서로 해당 정보주체에게 알려야 한다.<개정 2013. 3. 23., 2014. 11. 19., 2017. 7. 26., 2017.
10. 17., 2020. 8. 4.>
제44조(개인정보의 처리정지 등) ① 정보주체는 법 제37조제1항에 따라 개인정보처리자에게 자신의 개인정보 처리의
정지를 요구하려면 개인정보처리자가 마련한 방법과 절차에 따라 요구하여야 한다. 이 경우 개인정보처리자가 개인
정보의 처리 정지 요구 방법과 절차를 마련할 때에는 제41조제2항을 준용하되, “열람”은 “처리 정지”로 본다. <개정
2017. 10. 17.>
② 개인정보처리자는 제1항에 따른 개인정보 처리정지 요구를 받은 날부터 10일 이내에 법 제37조제2항 본문에 따
라 해당 개인정보의 처리정지 조치를 한 경우에는 그 조치를 한 사실을, 같은 항 단서에 해당하여 처리정지 요구에
따르지 않은 경우에는 그 사실 및 이유와 이의제기방법을 보호위원회가 정하여 고시하는 개인정보 처리정지 요구
에 대한 결과 통지서로 해당 정보주체에게 알려야 한다.<개정 2013. 3. 23., 2014. 11. 19., 2017. 7. 26., 2017. 10.
17., 2020. 8. 4.>
제44조의2(자동화된 결정에 대한 거부 및 설명 등 요구의 방법 및 절차) ① 정보주체는 법 제37조의2제1항에 따른 자동
화된 결정(이하 “자동화된 결정”이라 한다)에 대해 같은 항 본문에 따라 거부하는 경우에는 개인정보처리자가 마련
하여 제44조의4제1항제5호에 따라 공개하는 방법과 절차에 따라야 한다.
② 정보주체는 법 제37조의2제2항에 따라 자동화된 결정에 대해 개인정보처리자에게 다음 각 호의 설명 또는 검토
를 요구할 수 있다. 이 경우 정보주체의 설명 또는 검토 요구는 개인정보처리자가 마련하여 제44조의4제1항제5호
에 따라 공개하는 방법과 절차에 따라야 한다.
1. 해당 자동화된 결정의 기준 및 처리 과정 등에 대한 설명
2. 정보주체가 개인정보 추가 등의 의견을 제출하여 개인정보처리자가 해당 의견을 자동화된 결정에 반영할 수 있
는지에 대한 검토
③ 제1항 및 제2항에 따른 정보주체의 자동화된 결정에 대한 거부, 설명 및 검토 요구(이하 “거부ㆍ설명등요구”라
한다)의 방법과 절차를 개인정보처리자가 마련하는 경우 준수해야 할 사항에 관하여는 제41조제2항을 준용한다. 이
경우 “열람 요구”는 “거부ㆍ설명등요구”로 본다.
[본조신설 2024. 3. 12.]
제44조의3(거부ㆍ설명등요구에 따른 조치) ① 개인정보처리자는 정보주체가 제44조의2제1항에 따라 자동화된 결정에
대해 거부하는 경우에는 정당한 사유가 없으면 다음 각 호의 어느 하나에 해당하는 조치를 하고 그 결과를 정보주체
에게 알려야 한다.
1. 해당 자동화된 결정을 적용하지 않는 조치
개인정보 보호법 시행령
[본조신설 2025. 2. 25.]
제43조(개인정보의 정정ㆍ삭제 등) ① 정보주체는 법 제36조제1항에 따라 개인정보처리자에게 그 개인정보의 정정 또
는 삭제를 요구하려면 개인정보처리자가 마련한 방법과 절차에 따라 요구하여야 한다. 이 경우 개인정보처리자가 개
인정보의 정정 또는 삭제 요구 방법과 절차를 마련할 때에는 제41조제2항을 준용하되, “열람”은 “정정 또는 삭제”로
본다. <개정 2017. 10. 17.>
② 다른 개인정보처리자로부터 개인정보를 제공받아 개인정보파일을 처리하는 개인정보처리자는 법 제36조제1항
에 따른 개인정보의 정정 또는 삭제 요구를 받으면 그 요구에 따라 해당 개인정보를 정정ㆍ삭제하거나 그 개인정보
정정ㆍ삭제에 관한 요구 사항을 해당 개인정보를 제공한 기관의 장에게 지체 없이 알리고 그 처리 결과에 따라 필
요한 조치를 하여야 한다.<개정 2017. 10. 17.>
③ 개인정보처리자는 제1항과 제2항에 따른 개인정보 정정ㆍ삭제 요구를 받은 날부터 10일 이내에 법 제36조제2항
에 따라 해당 개인정보의 정정ㆍ삭제 등의 조치를 한 경우에는 그 조치를 한 사실을, 법 제36조제1항 단서에 해당하
여 삭제 요구에 따르지 아니한 경우에는 그 사실 및 이유와 이의제기방법을 보호위원회가 정하여 고시하는 개인정
보 정정ㆍ삭제 결과 통지서로 해당 정보주체에게 알려야 한다.<개정 2013. 3. 23., 2014. 11. 19., 2017. 7. 26., 2017.
10. 17., 2020. 8. 4.>
제44조(개인정보의 처리정지 등) ① 정보주체는 법 제37조제1항에 따라 개인정보처리자에게 자신의 개인정보 처리의
정지를 요구하려면 개인정보처리자가 마련한 방법과 절차에 따라 요구하여야 한다. 이 경우 개인정보처리자가 개인
정보의 처리 정지 요구 방법과 절차를 마련할 때에는 제41조제2항을 준용하되, “열람”은 “처리 정지”로 본다. <개정
2017. 10. 17.>
② 개인정보처리자는 제1항에 따른 개인정보 처리정지 요구를 받은 날부터 10일 이내에 법 제37조제2항 본문에 따
라 해당 개인정보의 처리정지 조치를 한 경우에는 그 조치를 한 사실을, 같은 항 단서에 해당하여 처리정지 요구에
따르지 않은 경우에는 그 사실 및 이유와 이의제기방법을 보호위원회가 정하여 고시하는 개인정보 처리정지 요구
에 대한 결과 통지서로 해당 정보주체에게 알려야 한다.<개정 2013. 3. 23., 2014. 11. 19., 2017. 7. 26., 2017. 10.
17., 2020. 8. 4.>
제44조의2(자동화된 결정에 대한 거부 및 설명 등 요구의 방법 및 절차) ① 정보주체는 법 제37조의2제1항에 따른 자동
화된 결정(이하 “자동화된 결정”이라 한다)에 대해 같은 항 본문에 따라 거부하는 경우에는 개인정보처리자가 마련
하여 제44조의4제1항제5호에 따라 공개하는 방법과 절차에 따라야 한다.
② 정보주체는 법 제37조의2제2항에 따라 자동화된 결정에 대해 개인정보처리자에게 다음 각 호의 설명 또는 검토
를 요구할 수 있다. 이 경우 정보주체의 설명 또는 검토 요구는 개인정보처리자가 마련하여 제44조의4제1항제5호
에 따라 공개하는 방법과 절차에 따라야 한다.
1. 해당 자동화된 결정의 기준 및 처리 과정 등에 대한 설명
2. 정보주체가 개인정보 추가 등의 의견을 제출하여 개인정보처리자가 해당 의견을 자동화된 결정에 반영할 수 있
는지에 대한 검토
③ 제1항 및 제2항에 따른 정보주체의 자동화된 결정에 대한 거부, 설명 및 검토 요구(이하 “거부ㆍ설명등요구”라
한다)의 방법과 절차를 개인정보처리자가 마련하는 경우 준수해야 할 사항에 관하여는 제41조제2항을 준용한다. 이
경우 “열람 요구”는 “거부ㆍ설명등요구”로 본다.
[본조신설 2024. 3. 12.]
제44조의3(거부ㆍ설명등요구에 따른 조치) ① 개인정보처리자는 정보주체가 제44조의2제1항에 따라 자동화된 결정에
대해 거부하는 경우에는 정당한 사유가 없으면 다음 각 호의 어느 하나에 해당하는 조치를 하고 그 결과를 정보주체
에게 알려야 한다.
1. 해당 자동화된 결정을 적용하지 않는 조치
본문 38쪽
법제처 38 국가법령정보센터
개인정보 보호법 시행령
2. 인적 개입에 의한 재처리
② 개인정보처리자는 정보주체가 제44조의2제2항에 따라 자동화된 결정에 대해 같은 항 제1호에 따른 설명을 요구
하는 경우 정당한 사유가 없으면 다음 각 호의 사항을 포함한 간결하고 의미있는 설명을 정보주체에게 제공해야 한
다. 다만, 개인정보처리자는 해당 자동화된 결정이 정보주체의 권리 또는 의무에 중대한 영향을 미치지 않는 경우에
는 정보주체에게 제44조의4제1항제2호 및 제3호의 사항을 알릴 수 있다.
1. 해당 자동화된 결정의 결과
2. 해당 자동화된 결정에 사용된 주요 개인정보의 유형
3. 제2호에 따른 개인정보의 유형이 자동화된 결정에 미친 영향 등 자동화된 결정의 주요 기준
4. 해당 자동화된 결정에 사용된 주요 개인정보의 처리 과정 등 자동화된 결정이 이루어지는 절차
③ 개인정보처리자는 정보주체가 제44조의2제2항에 따라 같은 항 제2호에 따른 검토를 요구하는 경우에는 정당한
사유가 없으면 정보주체가 제출한 의견의 반영 여부를 검토하고 정보주체에게 반영 여부 및 반영 결과를 알려야 한
다.
④ 개인정보처리자는 다른 사람의 생명ㆍ신체ㆍ재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 등 정당한 사
유가 있어 법 제38조제5항에 따라 거부ㆍ설명등요구를 거절하는 경우에는 그 사유를 정보주체에게 지체 없이 서면
등의 방법으로 알려야 한다.
⑤ 개인정보처리자는 제1항부터 제3항까지의 규정에 따라 정보주체의 거부ㆍ설명등요구에 따른 조치를 하는 경우
에는 정보주체의 거부ㆍ설명등요구를 받은 날부터 30일 이내에 서면등의 방법으로 해야 한다. 다만, 30일 이내에
처리하기 어려운 정당한 사유가 있는 경우에는 정보주체에게 그 사유를 알리고 2회에 한정하여 각각 30일의 범위
에서 그 기간을 연장할 수 있다.
⑥ 제1항부터 제5항까지의 규정에 따른 정보주체의 거부ㆍ설명등요구에 따른 조치에 관한 세부 사항은 보호위원회
가 정하여 고시한다.
[본조신설 2024. 3. 12.]
제44조의4(자동화된 결정의 기준과 절차 등의 공개) ① 개인정보처리자는 법 제37조의2제4항에 따라 다음 각 호의 사
항을 정보주체가 쉽게 확인할 수 있도록 인터넷 홈페이지 등을 통해 공개해야 한다. 다만, 인터넷 홈페이지 등을 운
영하지 않거나 지속적으로 알려야 할 필요가 없는 경우에는 미리 서면등의 방법으로 정보주체에게 알릴 수 있다.
1. 자동화된 결정이 이루어진다는 사실과 그 목적 및 대상이 되는 정보주체의 범위
2. 자동화된 결정에 사용되는 주요 개인정보의 유형과 자동화된 결정의 관계
3. 자동화된 결정 과정에서의 고려사항 및 주요 개인정보가 처리되는 절차
4. 자동화된 결정 과정에서 민감정보 또는 14세 미만 아동의 개인정보를 처리하는 경우 그 목적 및 처리하는 개인정
보의 구체적인 항목
5. 자동화된 결정에 대하여 정보주체가 거부ㆍ설명등요구를 할 수 있다는 사실과 그 방법 및 절차
② 개인정보처리자는 제1항 각 호의 사항을 공개할 때에는 정보주체가 해당 내용을 쉽게 알 수 있도록 표준화ㆍ체
계화된 용어를 사용해야 하며, 정보주체가 쉽게 이해할 수 있도록 동영상ㆍ그림ㆍ도표 등 시각적인 방법 등을 활용
할 수 있다.
[본조신설 2024. 3. 12.]
제45조(대리인의 범위 등) ① 법 제38조에 따라 정보주체를 대리할 수 있는 자는 다음 각 호와 같다.
1. 정보주체의 법정대리인
2. 정보주체로부터 위임을 받은 자
② 제1항에 따른 대리인이 법 제38조에 따라 정보주체를 대리할 때에는 개인정보처리자에게 보호위원회가 정하여
고시하는 정보주체의 위임장을 제출하여야 한다.<개정 2013. 3. 23., 2014. 11. 19., 2017. 7. 26., 2020. 8. 4.>
제46조(정보주체 또는 대리인의 확인) ① 개인정보처리자는 제41조제1항에 따른 열람, 제43조제1항에 따른 정정ㆍ삭제
, 법 제35조의2에 따른 전송, 법 제37조제1항에 따른 처리정지 또는 동의 철회 등의 요구(이하 이 조, 제47조 및 제
개인정보 보호법 시행령
2. 인적 개입에 의한 재처리
② 개인정보처리자는 정보주체가 제44조의2제2항에 따라 자동화된 결정에 대해 같은 항 제1호에 따른 설명을 요구
하는 경우 정당한 사유가 없으면 다음 각 호의 사항을 포함한 간결하고 의미있는 설명을 정보주체에게 제공해야 한
다. 다만, 개인정보처리자는 해당 자동화된 결정이 정보주체의 권리 또는 의무에 중대한 영향을 미치지 않는 경우에
는 정보주체에게 제44조의4제1항제2호 및 제3호의 사항을 알릴 수 있다.
1. 해당 자동화된 결정의 결과
2. 해당 자동화된 결정에 사용된 주요 개인정보의 유형
3. 제2호에 따른 개인정보의 유형이 자동화된 결정에 미친 영향 등 자동화된 결정의 주요 기준
4. 해당 자동화된 결정에 사용된 주요 개인정보의 처리 과정 등 자동화된 결정이 이루어지는 절차
③ 개인정보처리자는 정보주체가 제44조의2제2항에 따라 같은 항 제2호에 따른 검토를 요구하는 경우에는 정당한
사유가 없으면 정보주체가 제출한 의견의 반영 여부를 검토하고 정보주체에게 반영 여부 및 반영 결과를 알려야 한
다.
④ 개인정보처리자는 다른 사람의 생명ㆍ신체ㆍ재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 등 정당한 사
유가 있어 법 제38조제5항에 따라 거부ㆍ설명등요구를 거절하는 경우에는 그 사유를 정보주체에게 지체 없이 서면
등의 방법으로 알려야 한다.
⑤ 개인정보처리자는 제1항부터 제3항까지의 규정에 따라 정보주체의 거부ㆍ설명등요구에 따른 조치를 하는 경우
에는 정보주체의 거부ㆍ설명등요구를 받은 날부터 30일 이내에 서면등의 방법으로 해야 한다. 다만, 30일 이내에
처리하기 어려운 정당한 사유가 있는 경우에는 정보주체에게 그 사유를 알리고 2회에 한정하여 각각 30일의 범위
에서 그 기간을 연장할 수 있다.
⑥ 제1항부터 제5항까지의 규정에 따른 정보주체의 거부ㆍ설명등요구에 따른 조치에 관한 세부 사항은 보호위원회
가 정하여 고시한다.
[본조신설 2024. 3. 12.]
제44조의4(자동화된 결정의 기준과 절차 등의 공개) ① 개인정보처리자는 법 제37조의2제4항에 따라 다음 각 호의 사
항을 정보주체가 쉽게 확인할 수 있도록 인터넷 홈페이지 등을 통해 공개해야 한다. 다만, 인터넷 홈페이지 등을 운
영하지 않거나 지속적으로 알려야 할 필요가 없는 경우에는 미리 서면등의 방법으로 정보주체에게 알릴 수 있다.
1. 자동화된 결정이 이루어진다는 사실과 그 목적 및 대상이 되는 정보주체의 범위
2. 자동화된 결정에 사용되는 주요 개인정보의 유형과 자동화된 결정의 관계
3. 자동화된 결정 과정에서의 고려사항 및 주요 개인정보가 처리되는 절차
4. 자동화된 결정 과정에서 민감정보 또는 14세 미만 아동의 개인정보를 처리하는 경우 그 목적 및 처리하는 개인정
보의 구체적인 항목
5. 자동화된 결정에 대하여 정보주체가 거부ㆍ설명등요구를 할 수 있다는 사실과 그 방법 및 절차
② 개인정보처리자는 제1항 각 호의 사항을 공개할 때에는 정보주체가 해당 내용을 쉽게 알 수 있도록 표준화ㆍ체
계화된 용어를 사용해야 하며, 정보주체가 쉽게 이해할 수 있도록 동영상ㆍ그림ㆍ도표 등 시각적인 방법 등을 활용
할 수 있다.
[본조신설 2024. 3. 12.]
제45조(대리인의 범위 등) ① 법 제38조에 따라 정보주체를 대리할 수 있는 자는 다음 각 호와 같다.
1. 정보주체의 법정대리인
2. 정보주체로부터 위임을 받은 자
② 제1항에 따른 대리인이 법 제38조에 따라 정보주체를 대리할 때에는 개인정보처리자에게 보호위원회가 정하여
고시하는 정보주체의 위임장을 제출하여야 한다.<개정 2013. 3. 23., 2014. 11. 19., 2017. 7. 26., 2020. 8. 4.>
제46조(정보주체 또는 대리인의 확인) ① 개인정보처리자는 제41조제1항에 따른 열람, 제43조제1항에 따른 정정ㆍ삭제
, 법 제35조의2에 따른 전송, 법 제37조제1항에 따른 처리정지 또는 동의 철회 등의 요구(이하 이 조, 제47조 및 제
본문 39쪽
법제처 39 국가법령정보센터
개인정보 보호법 시행령
48조에서 “열람등요구”라 한다)를 받았을 때에는 열람등요구를 한 사람이 본인이거나 정당한 대리인인지를 확인하
여야 한다. <개정 2020. 8. 4., 2023. 9. 12., 2025. 2. 25.>
② 공공기관인 개인정보처리자가 「전자정부법」 제36조제1항에 따른 행정정보의 공동이용을 통하여 제1항에 따른
확인을 할 수 있는 경우에는 행정정보의 공동이용을 통하여 확인하여야 한다. 다만, 해당 공공기관이 행정정보의 공
동이용을 할 수 없거나 정보주체가 확인에 동의하지 아니하는 경우에는 그러하지 아니하다.
③ 보호위원회 및 관계 중앙행정기관의 장은 법 제35조의2에 따른 개인정보의 전송 요구와 관련하여 제1항에 따른
개인정보처리자의 본인 또는 대리인 여부 확인을 지원하기 위하여 필요한 경우에는 「주민등록법」 제30조제1항에
따른 주민등록전산정보자료 및 「가족관계의 등록 등에 관한 법률」 제11조제6항에 따른 등록전산정보자료를 관계
기관에 요청할 수 있다.<신설 2025. 2. 25.>
제47조(수수료 등의 금액 등) ① 법 제38조제3항에 따른 수수료와 우송료의 금액은 열람등요구에 필요한 실비의 범위
에서 해당 개인정보처리자가 정하는 바에 따른다. 다만, 개인정보처리자가 지방자치단체인 경우에는 그 지방자치단
체의 조례로 정하는 바에 따르고, 법 제38조제3항 단서에 따른 수수료는 전송요구대상정보의 특성 및 필요 설비의
구축ㆍ운영 비용 등을 고려하여 보호위원회가 정하여 고시하는 기준에 따라 산정해야 한다. <개정 2025. 2. 25.>
② 개인정보처리자는 열람등요구를 하게 된 사유가 그 개인정보처리자에게 있는 경우에는 수수료와 우송료를 청구
해서는 아니 된다.
③ 법 제38조제3항에 따른 수수료 또는 우송료는 다음 각 호의 구분에 따른 방법으로 낸다. 다만, 국회, 법원, 헌법재
판소, 중앙선거관리위원회, 중앙행정기관 및 그 소속 기관(이하 이 조에서 “국가기관”이라 한다) 또는 지방자치단체
인 개인정보처리자는 「전자금융거래법」 제2조제11호에 따른 전자지급수단 또는 「정보통신망 이용촉진 및 정보보
호 등에 관한 법률」 제2조제1항제10호에 따른 통신과금서비스를 이용하여 수수료 또는 우송료를 내게 할 수 있다.
<개정 2023. 9. 12.>
1. 국가기관인 개인정보처리자에게 내는 경우: 수입인지
2. 지방자치단체인 개인정보처리자에게 내는 경우: 수입증지
3. 국가기관 및 지방자치단체 외의 개인정보처리자에게 내는 경우: 해당 개인정보처리자가 정하는 방법
④ 제3자대상정보전송자는 일반전문기관, 특수전문기관 및 일반수신자가 제42조의5제4항 전단에 따라 정보주체를
대신하여 제3자전송요구를 하는 경우에는 일반전문기관, 특수전문기관 및 일반수신자에게 법 제38조제3항 단서에
따른 수수료를 청구할 수 있다.<신설 2025. 2. 25., 2026. 2. 19.>
제48조(열람 요구 지원시스템의 구축 등) ① 개인정보처리자는 열람등요구 및 그에 대한 통지를 갈음하여 해당 업무를
전자적으로 처리할 수 있도록 시스템을 구축ㆍ운영하거나 그 밖의 절차를 정하여 해당 업무를 처리할 수 있다.
② 보호위원회는 개인정보처리자 중 공공기관이 보유하고 있는 개인정보에 관한 열람등요구 및 그에 대한 통지에
관한 공공기관의 업무 수행을 효율적으로 지원하기 위하여 시스템을 구축ㆍ운영할 수 있다.<개정 2013. 3. 23.,
2014. 11. 19., 2017. 7. 26., 2020. 8. 4.>
제6장의2 삭제 <2023. 9. 12.>
제48조의2 삭제 <2023. 9. 12.>
제48조의3 삭제 <2023. 9. 12.>
제48조의4 삭제 <2023. 9. 12.>
제48조의5 삭제 <2023. 9. 12.>
제48조의6 삭제 <2023. 9. 12.>
개인정보 보호법 시행령
48조에서 “열람등요구”라 한다)를 받았을 때에는 열람등요구를 한 사람이 본인이거나 정당한 대리인인지를 확인하
여야 한다. <개정 2020. 8. 4., 2023. 9. 12., 2025. 2. 25.>
② 공공기관인 개인정보처리자가 「전자정부법」 제36조제1항에 따른 행정정보의 공동이용을 통하여 제1항에 따른
확인을 할 수 있는 경우에는 행정정보의 공동이용을 통하여 확인하여야 한다. 다만, 해당 공공기관이 행정정보의 공
동이용을 할 수 없거나 정보주체가 확인에 동의하지 아니하는 경우에는 그러하지 아니하다.
③ 보호위원회 및 관계 중앙행정기관의 장은 법 제35조의2에 따른 개인정보의 전송 요구와 관련하여 제1항에 따른
개인정보처리자의 본인 또는 대리인 여부 확인을 지원하기 위하여 필요한 경우에는 「주민등록법」 제30조제1항에
따른 주민등록전산정보자료 및 「가족관계의 등록 등에 관한 법률」 제11조제6항에 따른 등록전산정보자료를 관계
기관에 요청할 수 있다.<신설 2025. 2. 25.>
제47조(수수료 등의 금액 등) ① 법 제38조제3항에 따른 수수료와 우송료의 금액은 열람등요구에 필요한 실비의 범위
에서 해당 개인정보처리자가 정하는 바에 따른다. 다만, 개인정보처리자가 지방자치단체인 경우에는 그 지방자치단
체의 조례로 정하는 바에 따르고, 법 제38조제3항 단서에 따른 수수료는 전송요구대상정보의 특성 및 필요 설비의
구축ㆍ운영 비용 등을 고려하여 보호위원회가 정하여 고시하는 기준에 따라 산정해야 한다. <개정 2025. 2. 25.>
② 개인정보처리자는 열람등요구를 하게 된 사유가 그 개인정보처리자에게 있는 경우에는 수수료와 우송료를 청구
해서는 아니 된다.
③ 법 제38조제3항에 따른 수수료 또는 우송료는 다음 각 호의 구분에 따른 방법으로 낸다. 다만, 국회, 법원, 헌법재
판소, 중앙선거관리위원회, 중앙행정기관 및 그 소속 기관(이하 이 조에서 “국가기관”이라 한다) 또는 지방자치단체
인 개인정보처리자는 「전자금융거래법」 제2조제11호에 따른 전자지급수단 또는 「정보통신망 이용촉진 및 정보보
호 등에 관한 법률」 제2조제1항제10호에 따른 통신과금서비스를 이용하여 수수료 또는 우송료를 내게 할 수 있다.
<개정 2023. 9. 12.>
1. 국가기관인 개인정보처리자에게 내는 경우: 수입인지
2. 지방자치단체인 개인정보처리자에게 내는 경우: 수입증지
3. 국가기관 및 지방자치단체 외의 개인정보처리자에게 내는 경우: 해당 개인정보처리자가 정하는 방법
④ 제3자대상정보전송자는 일반전문기관, 특수전문기관 및 일반수신자가 제42조의5제4항 전단에 따라 정보주체를
대신하여 제3자전송요구를 하는 경우에는 일반전문기관, 특수전문기관 및 일반수신자에게 법 제38조제3항 단서에
따른 수수료를 청구할 수 있다.<신설 2025. 2. 25., 2026. 2. 19.>
제48조(열람 요구 지원시스템의 구축 등) ① 개인정보처리자는 열람등요구 및 그에 대한 통지를 갈음하여 해당 업무를
전자적으로 처리할 수 있도록 시스템을 구축ㆍ운영하거나 그 밖의 절차를 정하여 해당 업무를 처리할 수 있다.
② 보호위원회는 개인정보처리자 중 공공기관이 보유하고 있는 개인정보에 관한 열람등요구 및 그에 대한 통지에
관한 공공기관의 업무 수행을 효율적으로 지원하기 위하여 시스템을 구축ㆍ운영할 수 있다.<개정 2013. 3. 23.,
2014. 11. 19., 2017. 7. 26., 2020. 8. 4.>
제6장의2 삭제 <2023. 9. 12.>
제48조의2 삭제 <2023. 9. 12.>
제48조의3 삭제 <2023. 9. 12.>
제48조의4 삭제 <2023. 9. 12.>
제48조의5 삭제 <2023. 9. 12.>
제48조의6 삭제 <2023. 9. 12.>
본문 40쪽
법제처 40 국가법령정보센터
개인정보 보호법 시행령
제48조의7(손해배상책임의 이행을 위한 보험 등 가입 대상자의 범위 및 기준 등) ① 법 제39조의7제1항에서 “대통령령
으로 정하는 기준에 해당하는 자”란 다음 각 호의 요건을 모두 갖춘 자(이하 “가입대상개인정보처리자”라 한다)를 말
한다. <개정 2024. 3. 12.>
1. 전년도(법인의 경우에는 직전 사업연도를 말한다)의 매출액등이 10억원 이상일 것
2. 전년도 말 기준 직전 3개월간 그 개인정보가 저장ㆍ관리되고 있는 정보주체(제15조의3제2항제2호에 해당하는
정보주체는 제외한다. 이하 이 조에서 같다)의 수가 일일평균 1만명 이상일 것. 다만, 해당 연도에 영업의 전부 또
는 일부의 양수, 분할ㆍ합병 등으로 개인정보를 이전받은 경우에는 이전받은 시점을 기준으로 정보주체의 수가
1만명 이상일 것
② 법 제39조의7제2항제1호에서 “대통령령으로 정하는 공공기관, 비영리법인 및 단체”란 다음 각 호의 기관을 말한
다.<신설 2024. 3. 12., 2026. 9. 10.>
1. 공공기관. 다만, 제2조제2호부터 제5호까지에 해당하는 공공기관으로서 제32조제3항 각 호에 해당하는 공공기관
은 제외한다.
2. 「공익법인의 설립ㆍ운영에 관한 법률」 제2조에 따른 공익법인
3. 「비영리민간단체 지원법」 제4조에 따라 등록한 단체
③ 법 제39조의7제2항제2호에서 “대통령령으로 정하는 자”란 다음 각 호의 요건을 모두 갖춘 자를 말한다.<개정
2024. 3. 12., 2026. 9. 10.>
1. 「소상공인기본법」 제2조제1항에 따른 소상공인으로부터 개인정보가 유출등이 되지 않도록 개인정보의 저장ㆍ
관리 업무를 위탁받은 자
2. 제1호에 따라 위탁받은 업무에 대하여 법 제39조 및 제39조의2에 따른 손해배상책임의 이행을 보장하는 보험 또
는 공제에 가입하거나 준비금을 적립하는 등 필요한 조치를 한 자
④ 가입대상개인정보처리자가 보험 또는 공제에 가입하거나 준비금을 적립할 경우 최저가입금액(준비금을 적립하
는 경우 최소적립금액을 말한다. 이하 이 조에서 같다)의 기준은 별표 1의4와 같다. 다만, 가입대상개인정보처리자
가 보험 또는 공제 가입과 준비금 적립을 병행하는 경우에는 보험 또는 공제 가입금액과 준비금 적립금액을 합산한
금액이 별표 1의4에서 정한 최저가입금액의 기준 이상이어야 한다.<개정 2023. 9. 12., 2024. 3. 12.>
[본조신설 2020. 8. 4.]
제48조의8 삭제 <2023. 9. 12.>
제48조의9 삭제 <2023. 9. 12.>
제48조의10 삭제 <2023. 9. 12.>
제48조의11 삭제 <2023. 9. 12.>
제48조의12 삭제 <2023. 9. 12.>
제48조의13 삭제 <2023. 9. 12.>
제7장 개인정보 분쟁조정
제48조의14(당연직위원) 분쟁조정위원회의 당연직위원은 보호위원회의 고위공무원단에 속하는 일반직공무원으로서
개인정보 보호에 관한 업무를 담당하는 사람 중 보호위원회 위원장이 지명하는 사람으로 한다. <개정 2017. 7. 26.,
2020. 8. 4.>
[본조신설 2016. 7. 22.]
[제48조의2에서 이동 <2020. 8. 4.>]
개인정보 보호법 시행령
제48조의7(손해배상책임의 이행을 위한 보험 등 가입 대상자의 범위 및 기준 등) ① 법 제39조의7제1항에서 “대통령령
으로 정하는 기준에 해당하는 자”란 다음 각 호의 요건을 모두 갖춘 자(이하 “가입대상개인정보처리자”라 한다)를 말
한다. <개정 2024. 3. 12.>
1. 전년도(법인의 경우에는 직전 사업연도를 말한다)의 매출액등이 10억원 이상일 것
2. 전년도 말 기준 직전 3개월간 그 개인정보가 저장ㆍ관리되고 있는 정보주체(제15조의3제2항제2호에 해당하는
정보주체는 제외한다. 이하 이 조에서 같다)의 수가 일일평균 1만명 이상일 것. 다만, 해당 연도에 영업의 전부 또
는 일부의 양수, 분할ㆍ합병 등으로 개인정보를 이전받은 경우에는 이전받은 시점을 기준으로 정보주체의 수가
1만명 이상일 것
② 법 제39조의7제2항제1호에서 “대통령령으로 정하는 공공기관, 비영리법인 및 단체”란 다음 각 호의 기관을 말한
다.<신설 2024. 3. 12., 2026. 9. 10.>
1. 공공기관. 다만, 제2조제2호부터 제5호까지에 해당하는 공공기관으로서 제32조제3항 각 호에 해당하는 공공기관
은 제외한다.
2. 「공익법인의 설립ㆍ운영에 관한 법률」 제2조에 따른 공익법인
3. 「비영리민간단체 지원법」 제4조에 따라 등록한 단체
③ 법 제39조의7제2항제2호에서 “대통령령으로 정하는 자”란 다음 각 호의 요건을 모두 갖춘 자를 말한다.<개정
2024. 3. 12., 2026. 9. 10.>
1. 「소상공인기본법」 제2조제1항에 따른 소상공인으로부터 개인정보가 유출등이 되지 않도록 개인정보의 저장ㆍ
관리 업무를 위탁받은 자
2. 제1호에 따라 위탁받은 업무에 대하여 법 제39조 및 제39조의2에 따른 손해배상책임의 이행을 보장하는 보험 또
는 공제에 가입하거나 준비금을 적립하는 등 필요한 조치를 한 자
④ 가입대상개인정보처리자가 보험 또는 공제에 가입하거나 준비금을 적립할 경우 최저가입금액(준비금을 적립하
는 경우 최소적립금액을 말한다. 이하 이 조에서 같다)의 기준은 별표 1의4와 같다. 다만, 가입대상개인정보처리자
가 보험 또는 공제 가입과 준비금 적립을 병행하는 경우에는 보험 또는 공제 가입금액과 준비금 적립금액을 합산한
금액이 별표 1의4에서 정한 최저가입금액의 기준 이상이어야 한다.<개정 2023. 9. 12., 2024. 3. 12.>
[본조신설 2020. 8. 4.]
제48조의8 삭제 <2023. 9. 12.>
제48조의9 삭제 <2023. 9. 12.>
제48조의10 삭제 <2023. 9. 12.>
제48조의11 삭제 <2023. 9. 12.>
제48조의12 삭제 <2023. 9. 12.>
제48조의13 삭제 <2023. 9. 12.>
제7장 개인정보 분쟁조정
제48조의14(당연직위원) 분쟁조정위원회의 당연직위원은 보호위원회의 고위공무원단에 속하는 일반직공무원으로서
개인정보 보호에 관한 업무를 담당하는 사람 중 보호위원회 위원장이 지명하는 사람으로 한다. <개정 2017. 7. 26.,
2020. 8. 4.>
[본조신설 2016. 7. 22.]
[제48조의2에서 이동 <2020. 8. 4.>]
본문 41쪽
법제처 41 국가법령정보센터
개인정보 보호법 시행령
제49조(조정부의 구성 및 운영) ① 법 제40조제6항에 따른 조정부(이하 “조정부”라 한다)는 분쟁조정위원회 위원장이
지명하는 5명 이내의 위원으로 구성하되, 그 중 1명은 변호사 자격이 있는 위원으로 한다. <개정 2016. 7. 22.>
② 분쟁조정위원회 위원장은 조정부의 회의를 소집한다.
③ 분쟁조정위원회의 위원장은 조정부의 회의를 소집하려면 회의 날짜ㆍ시간ㆍ장소 및 안건을 정하여 회의 개최
7일 전까지 조정부의 각 위원에게 알려야 한다. 다만, 긴급한 사정이 있는 경우에는 그러하지 아니하다.
④ 조정부의 장은 조정부 위원 중에서 호선(互選)한다.
⑤ 제1항부터 제4항까지의 규정에서 정한 사항 외에 조정부의 구성 및 운영 등에 필요한 사항은 분쟁조정위원회의
의결을 거쳐 분쟁조정위원회의 위원장이 정한다.
제49조의2(분쟁조정 전문위원회) ① 분쟁조정위원회는 개인정보에 관한 분쟁의 조정과 관련된 사항의 전문적인 검토
를 위하여 분쟁조정위원회에 분야별 전문위원회(이하 “분쟁조정전문위원회”라 한다)를 둘 수 있다.
② 분쟁조정전문위원회는 위원장 1명을 포함한 10명 이내의 위원으로 구성한다.
③ 분쟁조정전문위원회 위원은 다음 각 호의 사람 중에서 분쟁조정위원회 위원장이 임명하거나 위촉하고, 분쟁조정
전문위원회 위원장은 분쟁조정전문위원회 위원 중에서 분쟁조정위원회 위원장이 지명한다.
1. 분쟁조정위원회 위원
2. 개인정보 보호 관련 업무를 담당하는 중앙행정기관의 관계 공무원
3. 대학에서 개인정보 보호 분야의 조교수 이상으로 재직하고 있거나 재직하였던 사람
4. 공인된 연구기관에서 개인정보 보호 관련 분야의 5년 이상 연구경력이 있는 사람
5. 변호사 자격을 취득한 후 개인정보 보호 관련 분야에 1년 이상 경력이 있는 사람
6. 그 밖에 개인정보 보호 및 분쟁의 조정과 관련하여 전문지식과 경험이 풍부한 사람
④ 제1항부터 제3항까지에서 규정한 사항 외에 분쟁조정전문위원회의 구성 및 운영 등에 필요한 사항은 분쟁조정
위원회의 의결을 거쳐 분쟁조정위원회 위원장이 정한다.
[본조신설 2023. 9. 12.]
제50조(사무기구) ① 법 제40조제8항에 따른 분쟁조정 접수 및 사실 확인 등 분쟁조정에 필요한 사무처리는 보호위원
회의 사무기구가 수행한다. <개정 2020. 8. 4.>
② 사무기구는 분쟁조정 접수ㆍ진행 및 당사자 통지 등 분쟁조정에 필요한 사무를 전자적으로 처리하기 위하여 분
쟁조정업무시스템을 구축하여 운영할 수 있다.<신설 2020. 8. 4.>
[전문개정 2016. 7. 22.]
제51조(분쟁조정위원회 등의 운영) ① 분쟁조정위원회 위원장은 분쟁조정위원회의 회의를 소집하며, 그 의장이 된다.
② 분쟁조정위원회 위원장이 분쟁조정위원회의 회의를 소집하려면 회의 날짜ㆍ시간ㆍ장소 및 안건을 정하여 회의
개최 7일 전까지 각 위원에게 알려야 한다. 다만, 긴급한 사정이 있는 경우에는 그러하지 아니하다.
③ 분쟁조정위원회 및 조정부의 회의는 공개하지 아니한다. 다만, 필요하다고 인정되는 경우에는 분쟁조정위원회의
의결로 당사자 또는 이해관계인에게 방청을 하게 할 수 있다.
제51조의2(조정 불응 의사의 통지) 개인정보처리자는 법 제43조제3항에 따른 특별한 사유가 있어 분쟁조정에 응하지
않으려는 경우에는 법 제43조제2항에 따른 분쟁조정의 통지를 받은 날부터 10일 이내에 그 사유를 명시하여 분쟁조
정 불응 의사를 분쟁조정위원회에 알려야 한다.
[본조신설 2023. 9. 12.]
제51조의3(분쟁조정위원회의 사무기구 및 조사ㆍ열람 등) ① 법 제45조제2항 전단에서 “대통령령으로 정하는 사무기
구”란 제50조제1항에 따라 분쟁조정에 필요한 사무처리를 담당하는 보호위원회의 사무기구를 말한다.
② 분쟁조정위원회는 법 제45조제2항에 따라 조사ㆍ열람을 하려는 경우에는 그 7일 전까지 조사ㆍ열람 대상자에게
다음 각 호의 사항을 문서로 알려야 한다. 다만, 조사ㆍ열람 목적을 침해할 우려가 있는 경우에는 미리 알리지 않을
수 있다.
개인정보 보호법 시행령
제49조(조정부의 구성 및 운영) ① 법 제40조제6항에 따른 조정부(이하 “조정부”라 한다)는 분쟁조정위원회 위원장이
지명하는 5명 이내의 위원으로 구성하되, 그 중 1명은 변호사 자격이 있는 위원으로 한다. <개정 2016. 7. 22.>
② 분쟁조정위원회 위원장은 조정부의 회의를 소집한다.
③ 분쟁조정위원회의 위원장은 조정부의 회의를 소집하려면 회의 날짜ㆍ시간ㆍ장소 및 안건을 정하여 회의 개최
7일 전까지 조정부의 각 위원에게 알려야 한다. 다만, 긴급한 사정이 있는 경우에는 그러하지 아니하다.
④ 조정부의 장은 조정부 위원 중에서 호선(互選)한다.
⑤ 제1항부터 제4항까지의 규정에서 정한 사항 외에 조정부의 구성 및 운영 등에 필요한 사항은 분쟁조정위원회의
의결을 거쳐 분쟁조정위원회의 위원장이 정한다.
제49조의2(분쟁조정 전문위원회) ① 분쟁조정위원회는 개인정보에 관한 분쟁의 조정과 관련된 사항의 전문적인 검토
를 위하여 분쟁조정위원회에 분야별 전문위원회(이하 “분쟁조정전문위원회”라 한다)를 둘 수 있다.
② 분쟁조정전문위원회는 위원장 1명을 포함한 10명 이내의 위원으로 구성한다.
③ 분쟁조정전문위원회 위원은 다음 각 호의 사람 중에서 분쟁조정위원회 위원장이 임명하거나 위촉하고, 분쟁조정
전문위원회 위원장은 분쟁조정전문위원회 위원 중에서 분쟁조정위원회 위원장이 지명한다.
1. 분쟁조정위원회 위원
2. 개인정보 보호 관련 업무를 담당하는 중앙행정기관의 관계 공무원
3. 대학에서 개인정보 보호 분야의 조교수 이상으로 재직하고 있거나 재직하였던 사람
4. 공인된 연구기관에서 개인정보 보호 관련 분야의 5년 이상 연구경력이 있는 사람
5. 변호사 자격을 취득한 후 개인정보 보호 관련 분야에 1년 이상 경력이 있는 사람
6. 그 밖에 개인정보 보호 및 분쟁의 조정과 관련하여 전문지식과 경험이 풍부한 사람
④ 제1항부터 제3항까지에서 규정한 사항 외에 분쟁조정전문위원회의 구성 및 운영 등에 필요한 사항은 분쟁조정
위원회의 의결을 거쳐 분쟁조정위원회 위원장이 정한다.
[본조신설 2023. 9. 12.]
제50조(사무기구) ① 법 제40조제8항에 따른 분쟁조정 접수 및 사실 확인 등 분쟁조정에 필요한 사무처리는 보호위원
회의 사무기구가 수행한다. <개정 2020. 8. 4.>
② 사무기구는 분쟁조정 접수ㆍ진행 및 당사자 통지 등 분쟁조정에 필요한 사무를 전자적으로 처리하기 위하여 분
쟁조정업무시스템을 구축하여 운영할 수 있다.<신설 2020. 8. 4.>
[전문개정 2016. 7. 22.]
제51조(분쟁조정위원회 등의 운영) ① 분쟁조정위원회 위원장은 분쟁조정위원회의 회의를 소집하며, 그 의장이 된다.
② 분쟁조정위원회 위원장이 분쟁조정위원회의 회의를 소집하려면 회의 날짜ㆍ시간ㆍ장소 및 안건을 정하여 회의
개최 7일 전까지 각 위원에게 알려야 한다. 다만, 긴급한 사정이 있는 경우에는 그러하지 아니하다.
③ 분쟁조정위원회 및 조정부의 회의는 공개하지 아니한다. 다만, 필요하다고 인정되는 경우에는 분쟁조정위원회의
의결로 당사자 또는 이해관계인에게 방청을 하게 할 수 있다.
제51조의2(조정 불응 의사의 통지) 개인정보처리자는 법 제43조제3항에 따른 특별한 사유가 있어 분쟁조정에 응하지
않으려는 경우에는 법 제43조제2항에 따른 분쟁조정의 통지를 받은 날부터 10일 이내에 그 사유를 명시하여 분쟁조
정 불응 의사를 분쟁조정위원회에 알려야 한다.
[본조신설 2023. 9. 12.]
제51조의3(분쟁조정위원회의 사무기구 및 조사ㆍ열람 등) ① 법 제45조제2항 전단에서 “대통령령으로 정하는 사무기
구”란 제50조제1항에 따라 분쟁조정에 필요한 사무처리를 담당하는 보호위원회의 사무기구를 말한다.
② 분쟁조정위원회는 법 제45조제2항에 따라 조사ㆍ열람을 하려는 경우에는 그 7일 전까지 조사ㆍ열람 대상자에게
다음 각 호의 사항을 문서로 알려야 한다. 다만, 조사ㆍ열람 목적을 침해할 우려가 있는 경우에는 미리 알리지 않을
수 있다.
본문 42쪽
법제처 42 국가법령정보센터
개인정보 보호법 시행령
1. 조사ㆍ열람의 목적
2. 조사ㆍ열람의 기간과 장소
3. 조사ㆍ열람을 하는 사람의 직위와 성명
4. 조사ㆍ열람의 범위와 내용
5. 정당한 사유가 있는 경우 조사ㆍ열람을 거부할 수 있다는 사실
6. 정당한 사유 없이 조사ㆍ열람을 거부ㆍ방해 또는 기피할 경우 불이익의 내용
7. 그 밖에 분쟁조정을 위한 조사ㆍ열람에 필요한 사항
③ 분쟁조정위원회는 법 제45조제2항에 따라 조사ㆍ열람을 할 때에는 분쟁당사자 또는 분쟁당사자가 지명하는 자
가 입회하거나 의견을 진술하도록 요청할 수 있다.
④ 분쟁조정위원회는 법 제45조제5항에 따라 의견을 들으려면 회의 일시 및 장소를 정하여 회의 개최 15일 전까지
분쟁당사자 또는 참고인에게 출석을 통지해야 한다.
[본조신설 2023. 9. 12.]
제51조의4(조정안에 대한 거부 의사 통지 등) ① 분쟁조정위원회는 법 제47조제2항에 따라 당사자에게 조정안을 제시
할 때에는 같은 조 제3항에 따라 조정안을 제시받은 날부터 15일 이내에 수락 여부를 알리지 않으면 조정을 수락한
것으로 본다는 사실을 알려야 한다.
② 법 제47조제2항에 따라 조정안을 제시받은 당사자는 조정안을 거부하려는 경우에는 조정안을 제시받은 날부터
15일 이내에 인편, 등기우편 또는 전자우편의 방법으로 그 의사를 분쟁조정위원회에 알려야 한다.
[본조신설 2023. 9. 12.]
제52조(집단분쟁조정의 신청 대상) 법 제49조제1항에서 “대통령령으로 정하는 사건”이란 다음 각 호의 요건을 모두 갖
춘 사건을 말한다.
1. 피해 또는 권리침해를 입은 정보주체의 수가 다음 각 목의 정보주체를 제외하고 50명 이상일 것
가. 개인정보처리자와 분쟁해결이나 피해보상에 관한 합의가 이루어진 정보주체
나. 같은 사안으로 다른 법령에 따라 설치된 분쟁조정기구에서 분쟁조정 절차가 진행 중인 정보주체
다. 해당 개인정보 침해로 인한 피해에 대하여 법원에 소(訴)를 제기한 정보주체
2. 사건의 중요한 쟁점이 사실상 또는 법률상 공통될 것
제53조(집단분쟁조정 절차의 개시) ① 법 제49조제2항 후단에서 “대통령령으로 정하는 기간”이란 14일 이상의 기간을
말한다.
② 법 제49조제2항 후단에 따른 집단분쟁조정 절차의 개시 공고는 분쟁조정위원회의 인터넷 홈페이지 또는 「신문
등의 진흥에 관한 법률」에 따라 전국을 보급지역으로 하는 일반일간신문에 게재하는 방법으로 한다.<개정 2015.
12. 30.>
제54조(집단분쟁조정 절차에 대한 참가 신청) ① 법 제49조에 따른 집단분쟁조정(이하 “집단분쟁조정”이라 한다)의 당
사자가 아닌 정보주체 또는 개인정보처리자가 법 제49조제3항에 따라 추가로 집단분쟁조정의 당사자로 참가하려면
법 제49조제2항 후단의 공고기간에 문서로 참가 신청을 하여야 한다.
② 분쟁조정위원회는 제1항에 따라 집단분쟁조정 당사자 참가 신청을 받으면 제1항의 신청기간이 끝난 후 10일 이
내에 참가 인정 여부를 문서로 알려야 한다.
제55조(집단분쟁조정 절차의 진행) ① 집단분쟁조정 절차가 개시된 후 제52조제1호가목부터 다목까지의 어느 하나에
해당하게 된 정보주체는 당사자에서 제외된다.
② 분쟁조정위원회는 제52조 각 호의 요건을 모두 갖춘 사건에 대하여 집단분쟁조정 절차가 개시되고 나면 그 후
집단분쟁조정 당사자 중 일부가 같은 조 제1호가목부터 다목까지의 어느 하나에 해당하게 되어 같은 조 제1호의 요
건을 갖추지 못하게 되더라도 집단분쟁조정 절차를 중지하지 아니한다.
개인정보 보호법 시행령
1. 조사ㆍ열람의 목적
2. 조사ㆍ열람의 기간과 장소
3. 조사ㆍ열람을 하는 사람의 직위와 성명
4. 조사ㆍ열람의 범위와 내용
5. 정당한 사유가 있는 경우 조사ㆍ열람을 거부할 수 있다는 사실
6. 정당한 사유 없이 조사ㆍ열람을 거부ㆍ방해 또는 기피할 경우 불이익의 내용
7. 그 밖에 분쟁조정을 위한 조사ㆍ열람에 필요한 사항
③ 분쟁조정위원회는 법 제45조제2항에 따라 조사ㆍ열람을 할 때에는 분쟁당사자 또는 분쟁당사자가 지명하는 자
가 입회하거나 의견을 진술하도록 요청할 수 있다.
④ 분쟁조정위원회는 법 제45조제5항에 따라 의견을 들으려면 회의 일시 및 장소를 정하여 회의 개최 15일 전까지
분쟁당사자 또는 참고인에게 출석을 통지해야 한다.
[본조신설 2023. 9. 12.]
제51조의4(조정안에 대한 거부 의사 통지 등) ① 분쟁조정위원회는 법 제47조제2항에 따라 당사자에게 조정안을 제시
할 때에는 같은 조 제3항에 따라 조정안을 제시받은 날부터 15일 이내에 수락 여부를 알리지 않으면 조정을 수락한
것으로 본다는 사실을 알려야 한다.
② 법 제47조제2항에 따라 조정안을 제시받은 당사자는 조정안을 거부하려는 경우에는 조정안을 제시받은 날부터
15일 이내에 인편, 등기우편 또는 전자우편의 방법으로 그 의사를 분쟁조정위원회에 알려야 한다.
[본조신설 2023. 9. 12.]
제52조(집단분쟁조정의 신청 대상) 법 제49조제1항에서 “대통령령으로 정하는 사건”이란 다음 각 호의 요건을 모두 갖
춘 사건을 말한다.
1. 피해 또는 권리침해를 입은 정보주체의 수가 다음 각 목의 정보주체를 제외하고 50명 이상일 것
가. 개인정보처리자와 분쟁해결이나 피해보상에 관한 합의가 이루어진 정보주체
나. 같은 사안으로 다른 법령에 따라 설치된 분쟁조정기구에서 분쟁조정 절차가 진행 중인 정보주체
다. 해당 개인정보 침해로 인한 피해에 대하여 법원에 소(訴)를 제기한 정보주체
2. 사건의 중요한 쟁점이 사실상 또는 법률상 공통될 것
제53조(집단분쟁조정 절차의 개시) ① 법 제49조제2항 후단에서 “대통령령으로 정하는 기간”이란 14일 이상의 기간을
말한다.
② 법 제49조제2항 후단에 따른 집단분쟁조정 절차의 개시 공고는 분쟁조정위원회의 인터넷 홈페이지 또는 「신문
등의 진흥에 관한 법률」에 따라 전국을 보급지역으로 하는 일반일간신문에 게재하는 방법으로 한다.<개정 2015.
12. 30.>
제54조(집단분쟁조정 절차에 대한 참가 신청) ① 법 제49조에 따른 집단분쟁조정(이하 “집단분쟁조정”이라 한다)의 당
사자가 아닌 정보주체 또는 개인정보처리자가 법 제49조제3항에 따라 추가로 집단분쟁조정의 당사자로 참가하려면
법 제49조제2항 후단의 공고기간에 문서로 참가 신청을 하여야 한다.
② 분쟁조정위원회는 제1항에 따라 집단분쟁조정 당사자 참가 신청을 받으면 제1항의 신청기간이 끝난 후 10일 이
내에 참가 인정 여부를 문서로 알려야 한다.
제55조(집단분쟁조정 절차의 진행) ① 집단분쟁조정 절차가 개시된 후 제52조제1호가목부터 다목까지의 어느 하나에
해당하게 된 정보주체는 당사자에서 제외된다.
② 분쟁조정위원회는 제52조 각 호의 요건을 모두 갖춘 사건에 대하여 집단분쟁조정 절차가 개시되고 나면 그 후
집단분쟁조정 당사자 중 일부가 같은 조 제1호가목부터 다목까지의 어느 하나에 해당하게 되어 같은 조 제1호의 요
건을 갖추지 못하게 되더라도 집단분쟁조정 절차를 중지하지 아니한다.
본문 43쪽
법제처 43 국가법령정보센터
개인정보 보호법 시행령
제56조(수당과 여비) 분쟁조정위원회, 조정부 및 분쟁조정전문위원회의 회의에 출석한 위원 등에게는 예산의 범위에서
수당과 여비를 지급할 수 있다. 다만, 공무원인 위원이 그 소관 업무와 직접적으로 관련되어 출석하는 경우에는 그러
하지 아니하다. <개정 2023. 9. 12.>
제57조(분쟁조정 세칙) 법 및 이 영에서 규정한 사항 외에 분쟁의 조정절차 및 조정업무의 처리 등 분쟁조정위원회의
운영 및 집단분쟁조정을 위하여 필요한 사항은 분쟁조정위원회의 의결을 거쳐 분쟁조정위원회의 위원장이 정한다.
<개정 2023. 9. 12.>
제8장 보칙 및 벌칙
제58조(개선권고 및 징계권고) ① 법 제61조제2항ㆍ제3항에 따른 개선권고 및 법 제65조제2항ㆍ제3항에 따른 징계권
고는 권고 사항, 권고 사유 및 조치 결과 회신기간 등을 분명하게 밝힌 문서로 하여야 한다.
② 제1항에 따른 권고를 받은 자는 권고 내용에 따라 필요한 조치를 하고, 그 결과를 보호위원회 또는 관계 중앙행
정기관의 장에게 문서로 통보해야 한다. 다만, 권고 내용대로 조치하기 곤란하다고 판단되는 특별한 사정이 있는 경
우에는 그 사유를 통보해야 한다.<개정 2013. 3. 23., 2014. 11. 19., 2017. 7. 26., 2020. 8. 4.>
제59조(침해 사실의 신고 등) 보호위원회는 법 제62조제2항에 따라 개인정보에 관한 권리 또는 이익 침해 사실 신고의
접수ㆍ처리 등에 관한 업무를 효율적으로 수행하기 위한 전문기관으로 한국인터넷진흥원을 지정한다. <개정 2013.
3. 23., 2014. 11. 19., 2017. 7. 26., 2020. 8. 4.>
제60조(자료제출 요구 및 검사) ① 법 제63조제1항제3호에서 “대통령령으로 정하는 경우”란 개인정보 유출 등 정보주
체의 개인정보에 관한 권리 또는 이익을 침해하는 사건ㆍ사고 등이 발생하였거나 발생할 가능성이 상당히 있는 경
우를 말한다.
② 보호위원회는 법 제63조제1항 및 제2항에 따른 자료의 제출 요구 및 검사 등을 위하여 한국인터넷진흥원의 장에
게 기술적인 사항을 자문하는 등 필요한 지원을 요청할 수 있다.<개정 2013. 3. 23., 2014. 11. 19., 2015. 12. 30.,
2017. 7. 26., 2020. 8. 4.>
③ 삭제<2023. 9. 12.>
④ 삭제<2023. 9. 12.>
⑤ 삭제<2023. 9. 12.>
⑥ 삭제<2023. 9. 12.>
⑦ 삭제<2023. 9. 12.>
제60조의2(과징금의 산정기준 등) ① 법 제64조의2제1항 각 호 외의 부분 본문 및 같은 조 제2항 각 호 외의 부분 본문
에 따른 전체 매출액은 다음 각 호의 구분에 따른 금액으로 한다. <개정 2026. 5. 19., 2026. 9. 10.>
1. 위반행위가 있었던 사업연도(이하 이 항에서 “해당사업연도”라 한다)의 첫날 현재 사업을 개시한 지 3년 이상인
경우: 다음 각 목의 금액 중 큰 금액
가. 해당사업연도의 직전 사업연도(이하 이 항에서 “직전사업연도”라 한다)의 매출액
나. 해당사업연도 직전 3개 사업연도의 연평균 매출액
2. 해당사업연도의 첫날 현재 사업을 개시한 지 1년 이상 3년 미만인 경우: 다음 각 목의 금액 중 큰 금액
가. 직전사업연도의 매출액
나. 사업개시일부터 직전사업연도 말일까지의 매출액을 연평균 매출액으로 환산한 금액
3. 직전사업연도에 사업을 개시한 경우로서 해당사업연도의 첫날 현재 사업을 개시한 지 1년 미만인 경우: 사업개시
일부터 직전사업연도 말일까지의 매출액을 연매출액으로 환산한 금액
4. 해당사업연도에 사업을 개시한 경우: 사업개시일부터 위반행위일까지의 매출액을 연매출액으로 환산한 금액
② 법 제64조의2제1항 각 호 외의 부분 단서 및 같은 조 제2항 각 호 외의 부분 단서에서 “대통령령으로 정하는 경
우”란 다음 각 호의 어느 하나에 해당하는 경우를 말한다.<개정 2026. 9. 10.>
개인정보 보호법 시행령
제56조(수당과 여비) 분쟁조정위원회, 조정부 및 분쟁조정전문위원회의 회의에 출석한 위원 등에게는 예산의 범위에서
수당과 여비를 지급할 수 있다. 다만, 공무원인 위원이 그 소관 업무와 직접적으로 관련되어 출석하는 경우에는 그러
하지 아니하다. <개정 2023. 9. 12.>
제57조(분쟁조정 세칙) 법 및 이 영에서 규정한 사항 외에 분쟁의 조정절차 및 조정업무의 처리 등 분쟁조정위원회의
운영 및 집단분쟁조정을 위하여 필요한 사항은 분쟁조정위원회의 의결을 거쳐 분쟁조정위원회의 위원장이 정한다.
<개정 2023. 9. 12.>
제8장 보칙 및 벌칙
제58조(개선권고 및 징계권고) ① 법 제61조제2항ㆍ제3항에 따른 개선권고 및 법 제65조제2항ㆍ제3항에 따른 징계권
고는 권고 사항, 권고 사유 및 조치 결과 회신기간 등을 분명하게 밝힌 문서로 하여야 한다.
② 제1항에 따른 권고를 받은 자는 권고 내용에 따라 필요한 조치를 하고, 그 결과를 보호위원회 또는 관계 중앙행
정기관의 장에게 문서로 통보해야 한다. 다만, 권고 내용대로 조치하기 곤란하다고 판단되는 특별한 사정이 있는 경
우에는 그 사유를 통보해야 한다.<개정 2013. 3. 23., 2014. 11. 19., 2017. 7. 26., 2020. 8. 4.>
제59조(침해 사실의 신고 등) 보호위원회는 법 제62조제2항에 따라 개인정보에 관한 권리 또는 이익 침해 사실 신고의
접수ㆍ처리 등에 관한 업무를 효율적으로 수행하기 위한 전문기관으로 한국인터넷진흥원을 지정한다. <개정 2013.
3. 23., 2014. 11. 19., 2017. 7. 26., 2020. 8. 4.>
제60조(자료제출 요구 및 검사) ① 법 제63조제1항제3호에서 “대통령령으로 정하는 경우”란 개인정보 유출 등 정보주
체의 개인정보에 관한 권리 또는 이익을 침해하는 사건ㆍ사고 등이 발생하였거나 발생할 가능성이 상당히 있는 경
우를 말한다.
② 보호위원회는 법 제63조제1항 및 제2항에 따른 자료의 제출 요구 및 검사 등을 위하여 한국인터넷진흥원의 장에
게 기술적인 사항을 자문하는 등 필요한 지원을 요청할 수 있다.<개정 2013. 3. 23., 2014. 11. 19., 2015. 12. 30.,
2017. 7. 26., 2020. 8. 4.>
③ 삭제<2023. 9. 12.>
④ 삭제<2023. 9. 12.>
⑤ 삭제<2023. 9. 12.>
⑥ 삭제<2023. 9. 12.>
⑦ 삭제<2023. 9. 12.>
제60조의2(과징금의 산정기준 등) ① 법 제64조의2제1항 각 호 외의 부분 본문 및 같은 조 제2항 각 호 외의 부분 본문
에 따른 전체 매출액은 다음 각 호의 구분에 따른 금액으로 한다. <개정 2026. 5. 19., 2026. 9. 10.>
1. 위반행위가 있었던 사업연도(이하 이 항에서 “해당사업연도”라 한다)의 첫날 현재 사업을 개시한 지 3년 이상인
경우: 다음 각 목의 금액 중 큰 금액
가. 해당사업연도의 직전 사업연도(이하 이 항에서 “직전사업연도”라 한다)의 매출액
나. 해당사업연도 직전 3개 사업연도의 연평균 매출액
2. 해당사업연도의 첫날 현재 사업을 개시한 지 1년 이상 3년 미만인 경우: 다음 각 목의 금액 중 큰 금액
가. 직전사업연도의 매출액
나. 사업개시일부터 직전사업연도 말일까지의 매출액을 연평균 매출액으로 환산한 금액
3. 직전사업연도에 사업을 개시한 경우로서 해당사업연도의 첫날 현재 사업을 개시한 지 1년 미만인 경우: 사업개시
일부터 직전사업연도 말일까지의 매출액을 연매출액으로 환산한 금액
4. 해당사업연도에 사업을 개시한 경우: 사업개시일부터 위반행위일까지의 매출액을 연매출액으로 환산한 금액
② 법 제64조의2제1항 각 호 외의 부분 단서 및 같은 조 제2항 각 호 외의 부분 단서에서 “대통령령으로 정하는 경
우”란 다음 각 호의 어느 하나에 해당하는 경우를 말한다.<개정 2026. 9. 10.>
본문 44쪽
법제처 44 국가법령정보센터
개인정보 보호법 시행령
1. 다음 각 목의 어느 하나에 해당하는 사유로 영업실적이 없는 경우
가. 영업을 개시하지 않은 경우
나. 영업을 중단한 경우
다. 수익사업을 영위하지 않는 등 가목 및 나목에 준하는 경우
2. 재해 등으로 인하여 매출액 산정자료가 소멸되거나 훼손되는 등 객관적인 매출액의 산정이 곤란한 경우
③ 법 제64조의2제3항에 따른 위반행위와 관련이 없는 매출액은 제1항에 따른 전체 매출액 중 다음 각 호의 어느
하나에 해당하는 금액으로 한다.<개정 2026. 9. 10.>
1. 개인정보의 처리와 관련이 없는 재화 또는 서비스의 매출액
2. 제4항에 따라 제출받은 자료 등에 근거하여 보호위원회가 위반행위로 인하여 직접 또는 간접적으로 영향을 받는
재화 또는 서비스의 매출액이 아닌 것으로 인정하는 매출액
④ 보호위원회는 제1항부터 제3항까지의 규정에 따른 매출액 산정 등을 위하여 재무제표 등의 자료가 필요한 경우
20일 이내의 기간을 정하여 해당 개인정보처리자에게 관련 자료의 제출을 요청할 수 있다.
⑤ 법 제64조의2제6항 본문에서 “개인정보 보호를 위하여 예산ㆍ인력ㆍ설비ㆍ장치 등을 투자하고 운영하는 등 대
통령령으로 정하는 사유가 있는 경우”란 개인정보 보호를 위하여 예산ㆍ인력ㆍ설비ㆍ장치 등을 투자하고 운영하는
경우로서 다음 각 호의 사항을 고려하여 보호위원회가 정하여 고시하는 기준을 충족하는 경우를 말한다.<신설
2026. 9. 10.>
1. 개인정보 보호를 위하여 예산ㆍ인력ㆍ설비ㆍ장치 등에 투자한 규모ㆍ비율 및 그 투자의 지속성
2. 법 제30조의3에 따른 사업주 또는 대표자의 책임 이행 정도
3. 개인정보 보호책임자의 역할, 조직 및 인력 구성 등 개인정보 보호 체계 운영 내용 및 수준
4. 그 밖에 개인정보 안전성 확보 조치에 관한 추가적인 노력
⑥ 법 제64조의2제7항제4호에서 “대통령령으로 정하는 사유가 있는 경우”란 해당 개인정보처리자가 위반행위를 시
정하고 보호위원회가 정하여 고시하는 기준에 해당되는 경우를 말한다.<개정 2026. 9. 10.>
⑦ 법 제64조의2제8항에 따른 과징금의 산정기준과 산정절차는 별표 1의5와 같다.<개정 2026. 9. 10.>
[본조신설 2023. 9. 12.]
제60조의3(과징금의 부과 및 납부) ① 보호위원회는 법 제64조의2제1항 또는 제2항에 따라 과징금을 부과하려는 경우
에는 해당 위반행위를 조사ㆍ확인한 후 위반사실ㆍ부과금액ㆍ이의 제기 방법 및 이의 제기 기간 등을 서면으로 명
시하여 과징금 부과대상자에게 통지해야 한다. <개정 2026. 9. 10.>
② 제1항에 따라 통지를 받은 자는 통지를 받은 날부터 30일 이내에 보호위원회가 지정하는 금융기관에 과징금을
납부해야 한다.
③ 제2항에 따라 과징금의 납부를 받은 금융기관은 과징금을 납부한 자에게 영수증을 발급해야 한다.
④ 금융기관이 제2항에 따라 과징금을 수납한 때에는 지체 없이 그 사실을 보호위원회에 통보해야 한다.
[본조신설 2023. 9. 12.]
제60조의4(과징금의 납부기한 연기 및 분할 납부) ① 보호위원회는 법 제64조의2제1항 또는 제2항에 따른 과징금의 납
부기한을 「행정기본법」 제29조 및 같은 법 시행령 제7조에 따라 연기하는 경우에는 원래 납부기한의 다음 날부터
2년을 초과할 수 없다. <개정 2026. 9. 10.>
② 보호위원회는 법 제64조의2제1항 또는 제2항에 따른 과징금을 「행정기본법」 제29조 및 같은 법 시행령 제7조에
따라 분할 납부하게 하는 경우에는 각 분할된 납부기한 간의 간격은 6개월을 초과할 수 없으며, 분할 횟수는 6회를
초과할 수 없다.<개정 2026. 9. 10.>
③ 제1항 및 제2항에서 규정한 사항 외에 과징금 납부기한 연기 및 분할 납부 신청 등에 필요한 사항은 보호위원회
가 정하여 고시한다.
[본조신설 2023. 9. 12.]
개인정보 보호법 시행령
1. 다음 각 목의 어느 하나에 해당하는 사유로 영업실적이 없는 경우
가. 영업을 개시하지 않은 경우
나. 영업을 중단한 경우
다. 수익사업을 영위하지 않는 등 가목 및 나목에 준하는 경우
2. 재해 등으로 인하여 매출액 산정자료가 소멸되거나 훼손되는 등 객관적인 매출액의 산정이 곤란한 경우
③ 법 제64조의2제3항에 따른 위반행위와 관련이 없는 매출액은 제1항에 따른 전체 매출액 중 다음 각 호의 어느
하나에 해당하는 금액으로 한다.<개정 2026. 9. 10.>
1. 개인정보의 처리와 관련이 없는 재화 또는 서비스의 매출액
2. 제4항에 따라 제출받은 자료 등에 근거하여 보호위원회가 위반행위로 인하여 직접 또는 간접적으로 영향을 받는
재화 또는 서비스의 매출액이 아닌 것으로 인정하는 매출액
④ 보호위원회는 제1항부터 제3항까지의 규정에 따른 매출액 산정 등을 위하여 재무제표 등의 자료가 필요한 경우
20일 이내의 기간을 정하여 해당 개인정보처리자에게 관련 자료의 제출을 요청할 수 있다.
⑤ 법 제64조의2제6항 본문에서 “개인정보 보호를 위하여 예산ㆍ인력ㆍ설비ㆍ장치 등을 투자하고 운영하는 등 대
통령령으로 정하는 사유가 있는 경우”란 개인정보 보호를 위하여 예산ㆍ인력ㆍ설비ㆍ장치 등을 투자하고 운영하는
경우로서 다음 각 호의 사항을 고려하여 보호위원회가 정하여 고시하는 기준을 충족하는 경우를 말한다.<신설
2026. 9. 10.>
1. 개인정보 보호를 위하여 예산ㆍ인력ㆍ설비ㆍ장치 등에 투자한 규모ㆍ비율 및 그 투자의 지속성
2. 법 제30조의3에 따른 사업주 또는 대표자의 책임 이행 정도
3. 개인정보 보호책임자의 역할, 조직 및 인력 구성 등 개인정보 보호 체계 운영 내용 및 수준
4. 그 밖에 개인정보 안전성 확보 조치에 관한 추가적인 노력
⑥ 법 제64조의2제7항제4호에서 “대통령령으로 정하는 사유가 있는 경우”란 해당 개인정보처리자가 위반행위를 시
정하고 보호위원회가 정하여 고시하는 기준에 해당되는 경우를 말한다.<개정 2026. 9. 10.>
⑦ 법 제64조의2제8항에 따른 과징금의 산정기준과 산정절차는 별표 1의5와 같다.<개정 2026. 9. 10.>
[본조신설 2023. 9. 12.]
제60조의3(과징금의 부과 및 납부) ① 보호위원회는 법 제64조의2제1항 또는 제2항에 따라 과징금을 부과하려는 경우
에는 해당 위반행위를 조사ㆍ확인한 후 위반사실ㆍ부과금액ㆍ이의 제기 방법 및 이의 제기 기간 등을 서면으로 명
시하여 과징금 부과대상자에게 통지해야 한다. <개정 2026. 9. 10.>
② 제1항에 따라 통지를 받은 자는 통지를 받은 날부터 30일 이내에 보호위원회가 지정하는 금융기관에 과징금을
납부해야 한다.
③ 제2항에 따라 과징금의 납부를 받은 금융기관은 과징금을 납부한 자에게 영수증을 발급해야 한다.
④ 금융기관이 제2항에 따라 과징금을 수납한 때에는 지체 없이 그 사실을 보호위원회에 통보해야 한다.
[본조신설 2023. 9. 12.]
제60조의4(과징금의 납부기한 연기 및 분할 납부) ① 보호위원회는 법 제64조의2제1항 또는 제2항에 따른 과징금의 납
부기한을 「행정기본법」 제29조 및 같은 법 시행령 제7조에 따라 연기하는 경우에는 원래 납부기한의 다음 날부터
2년을 초과할 수 없다. <개정 2026. 9. 10.>
② 보호위원회는 법 제64조의2제1항 또는 제2항에 따른 과징금을 「행정기본법」 제29조 및 같은 법 시행령 제7조에
따라 분할 납부하게 하는 경우에는 각 분할된 납부기한 간의 간격은 6개월을 초과할 수 없으며, 분할 횟수는 6회를
초과할 수 없다.<개정 2026. 9. 10.>
③ 제1항 및 제2항에서 규정한 사항 외에 과징금 납부기한 연기 및 분할 납부 신청 등에 필요한 사항은 보호위원회
가 정하여 고시한다.
[본조신설 2023. 9. 12.]
본문 45쪽
법제처 45 국가법령정보센터
개인정보 보호법 시행령
제60조의5(환급가산금의 이자율) 법 제64조의2제11항에서 “대통령령으로 정하는 이자율”이란 「국세기본법 시행령」 제
43조의3제2항 본문에 따른 이자율을 말한다. <개정 2026. 9. 10.>
[본조신설 2023. 9. 12.]
제61조(결과의 공표) ① 보호위원회는 법 제66조제1항에 따라 다음 각 호의 사항을 보호위원회 인터넷 홈페이지 등에
게재하여 공표할 수 있다.
1. 위반행위의 내용
2. 위반행위를 한 자
3. 개선권고, 시정조치 명령, 과징금의 부과, 고발, 징계권고, 과태료 부과의 내용 및 결과
② 보호위원회는 법 제66조제2항에 따라 개선권고, 시정조치 명령, 과징금의 부과, 고발, 징계권고 및 과태료 부과처
분 등(이하 이 조에서 “처분등”이라 한다)을 받은 자에게 다음 각 호의 사항을 공표할 것을 명할 수 있다. 이 경우 공
표의 내용ㆍ횟수, 매체와 지면의 크기 등을 정하여 명해야 하며, 처분등을 받은 자와 공표 문안 등에 관하여 협의할
수 있다.
1. 위반행위의 내용
2. 위반행위를 한 자
3. 처분등을 받았다는 사실
③ 보호위원회는 제1항에 따라 공표하려는 경우 또는 제2항에 따라 공표할 것을 명하려는 경우에는 위반행위의 내
용 및 정도, 위반 기간 및 횟수, 위반행위로 인하여 발생한 피해의 범위 및 결과 등을 고려해야 한다.
④ 보호위원회는 공표 또는 공표명령에 대한 심의ㆍ의결 전에 처분등을 받은 자에게 소명자료를 제출하거나 의견
을 진술할 수 있는 기회를 주어야 한다.
[전문개정 2023. 9. 12.]
제62조(업무의 위탁) ① 삭제 <2015. 12. 30.>
② 보호위원회는 법 제68조제1항에 따라 법 제24조의2제4항에 따른 대체가입수단 제공의 지원에 관한 업무를 다음
각 호의 기관에 위탁할 수 있다.<개정 2013. 3. 23., 2014. 11. 19., 2015. 12. 30., 2017. 7. 26., 2020. 8. 4., 2022. 7.
19.>
1. 「전자정부법」 제72조제1항에 따른 한국지역정보개발원
2. 한국인터넷진흥원
3. 대체가입수단의 개발ㆍ제공ㆍ관리 업무를 안전하게 수행할 수 있는 기술적ㆍ재정적 능력과 설비를 보유한 것으
로 인정되어 보호위원회가 정하여 고시하는 법인ㆍ기관ㆍ단체
③ 보호위원회(제10호의 경우 보호위원회 외의 지정권자를 포함한다. 이하 제4항 각 호 외의 부분 및 제5항에서 같
다)는 법 제68조제1항에 따라 다음 각 호의 사항에 관한 업무를 제4항에 따른 기관에 위탁할 수 있다.<개정 2013.
3. 23., 2014. 11. 19., 2015. 12. 30., 2017. 7. 26., 2020. 8. 4., 2022. 7. 19., 2023. 9. 12., 2025. 2. 25., 2025. 9. 23.,
2026. 9. 10.>
1. 법 제7조의8제5호에 따른 개인정보 보호를 위한 국제기구와 외국의 개인정보 보호기구와의 교류ㆍ협력
2. 법 제7조의8제6호에 따른 개인정보 보호에 관한 법령ㆍ정책ㆍ제도ㆍ실태 등의 조사ㆍ연구
3. 법 제7조의8제7호에 따른 개인정보 보호에 관한 기술개발의 지원ㆍ보급
4. 법 제11조의2제1항에 따른 개인정보 보호수준 평가 및 같은 조 제2항에 따른 평가 자료의 제출 요청
5. 법 제13조제1호에 따른 개인정보 보호에 관한 교육ㆍ홍보
6. 법 제13조제2호에 따른 개인정보 보호와 관련된 기관ㆍ단체의 육성 및 지원
7. 법 제13조제3호에 따른 개인정보 보호 인증마크의 시행 지원
8. 법 제13조제4호에 따른 개인정보처리자의 자율적인 규약의 시행 지원
8의2. 법 제31조제3항제2호에 따른 개인정보 보호책임자 지정ㆍ변경 또는 해제에 관한 신고의 접수 및 처리
9. 법 제33조제6항에 따른 관계 전문가의 육성 및 영향평가 기준의 개발
개인정보 보호법 시행령
제60조의5(환급가산금의 이자율) 법 제64조의2제11항에서 “대통령령으로 정하는 이자율”이란 「국세기본법 시행령」 제
43조의3제2항 본문에 따른 이자율을 말한다. <개정 2026. 9. 10.>
[본조신설 2023. 9. 12.]
제61조(결과의 공표) ① 보호위원회는 법 제66조제1항에 따라 다음 각 호의 사항을 보호위원회 인터넷 홈페이지 등에
게재하여 공표할 수 있다.
1. 위반행위의 내용
2. 위반행위를 한 자
3. 개선권고, 시정조치 명령, 과징금의 부과, 고발, 징계권고, 과태료 부과의 내용 및 결과
② 보호위원회는 법 제66조제2항에 따라 개선권고, 시정조치 명령, 과징금의 부과, 고발, 징계권고 및 과태료 부과처
분 등(이하 이 조에서 “처분등”이라 한다)을 받은 자에게 다음 각 호의 사항을 공표할 것을 명할 수 있다. 이 경우 공
표의 내용ㆍ횟수, 매체와 지면의 크기 등을 정하여 명해야 하며, 처분등을 받은 자와 공표 문안 등에 관하여 협의할
수 있다.
1. 위반행위의 내용
2. 위반행위를 한 자
3. 처분등을 받았다는 사실
③ 보호위원회는 제1항에 따라 공표하려는 경우 또는 제2항에 따라 공표할 것을 명하려는 경우에는 위반행위의 내
용 및 정도, 위반 기간 및 횟수, 위반행위로 인하여 발생한 피해의 범위 및 결과 등을 고려해야 한다.
④ 보호위원회는 공표 또는 공표명령에 대한 심의ㆍ의결 전에 처분등을 받은 자에게 소명자료를 제출하거나 의견
을 진술할 수 있는 기회를 주어야 한다.
[전문개정 2023. 9. 12.]
제62조(업무의 위탁) ① 삭제 <2015. 12. 30.>
② 보호위원회는 법 제68조제1항에 따라 법 제24조의2제4항에 따른 대체가입수단 제공의 지원에 관한 업무를 다음
각 호의 기관에 위탁할 수 있다.<개정 2013. 3. 23., 2014. 11. 19., 2015. 12. 30., 2017. 7. 26., 2020. 8. 4., 2022. 7.
19.>
1. 「전자정부법」 제72조제1항에 따른 한국지역정보개발원
2. 한국인터넷진흥원
3. 대체가입수단의 개발ㆍ제공ㆍ관리 업무를 안전하게 수행할 수 있는 기술적ㆍ재정적 능력과 설비를 보유한 것으
로 인정되어 보호위원회가 정하여 고시하는 법인ㆍ기관ㆍ단체
③ 보호위원회(제10호의 경우 보호위원회 외의 지정권자를 포함한다. 이하 제4항 각 호 외의 부분 및 제5항에서 같
다)는 법 제68조제1항에 따라 다음 각 호의 사항에 관한 업무를 제4항에 따른 기관에 위탁할 수 있다.<개정 2013.
3. 23., 2014. 11. 19., 2015. 12. 30., 2017. 7. 26., 2020. 8. 4., 2022. 7. 19., 2023. 9. 12., 2025. 2. 25., 2025. 9. 23.,
2026. 9. 10.>
1. 법 제7조의8제5호에 따른 개인정보 보호를 위한 국제기구와 외국의 개인정보 보호기구와의 교류ㆍ협력
2. 법 제7조의8제6호에 따른 개인정보 보호에 관한 법령ㆍ정책ㆍ제도ㆍ실태 등의 조사ㆍ연구
3. 법 제7조의8제7호에 따른 개인정보 보호에 관한 기술개발의 지원ㆍ보급
4. 법 제11조의2제1항에 따른 개인정보 보호수준 평가 및 같은 조 제2항에 따른 평가 자료의 제출 요청
5. 법 제13조제1호에 따른 개인정보 보호에 관한 교육ㆍ홍보
6. 법 제13조제2호에 따른 개인정보 보호와 관련된 기관ㆍ단체의 육성 및 지원
7. 법 제13조제3호에 따른 개인정보 보호 인증마크의 시행 지원
8. 법 제13조제4호에 따른 개인정보처리자의 자율적인 규약의 시행 지원
8의2. 법 제31조제3항제2호에 따른 개인정보 보호책임자 지정ㆍ변경 또는 해제에 관한 신고의 접수 및 처리
9. 법 제33조제6항에 따른 관계 전문가의 육성 및 영향평가 기준의 개발
본문 46쪽
법제처 46 국가법령정보센터
개인정보 보호법 시행령
10. 법 제35조제2항에 따른 열람 요구의 접수 및 처리
10의2. 법 제35조의3에 따른 개인정보관리 전문기관의 지정에 관한 다음 각 목의 사항
가. 제42조의10제1항에 따른 개인정보관리 전문기관 지정 신청의 접수 및 신청 내용의 확인
나. 제42조의10제4항에 따른 개인정보관리 전문기관 지정에 관한 예비심사
다. 제42조의12제1항 후단에 따른 지정 조건의 이행 여부 확인
10의3. 법 제35조의4제2항에 따른 개인정보전송지원플랫폼의 운영
11. 법 제63조에 따른 자료제출 요구 및 검사 중 다음 각 목의 사항과 관련된 자료제출 요구 및 검사
가. 법 제34조제3항 전단에 따른 신고에 대한 기술지원
나. 법 제62조에 따라 개인정보침해 신고센터에 접수된 신고의 접수ㆍ처리 및 상담
12. 제36조제2항에 따른 평가기관 지정신청서의 접수 및 같은 조 제6항에 따른 신고 사항의 접수
④ 보호위원회가 제3항 각 호의 사항에 관한 업무를 위탁할 수 있는 기관은 다음 각 호와 같다.<신설 2022. 7. 19.>
1. 한국인터넷진흥원
2. 개인정보 보호 분야에 전문성을 갖춘 것으로 인정되어 보호위원회가 정하여 고시하는 법인ㆍ기관 또는 단체
⑤ 보호위원회가 제2항부터 제4항까지의 규정에 따라 업무를 위탁하는 경우에는 위탁받는 기관과 위탁업무의 내용
을 관보나 보호위원회의 인터넷 홈페이지에 공고해야 한다.<개정 2022. 7. 19.>
[제목개정 2022. 7. 19.]
제62조의2(민감정보 및 고유식별정보의 처리) ① 보호위원회(제62조제3항에 따라 보호위원회의 권한을 위탁받은 자를
포함한다)는 다음 각 호의 사무를 수행하기 위하여 불가피한 경우 민감정보와 제19조에 따른 주민등록번호, 여권번
호, 운전면허의 면허번호 또는 외국인등록번호가 포함된 자료를 처리할 수 있다. <개정 2020. 8. 4., 2023. 9. 12.>
1. 법 제7조의9제1항제4호부터 제6호까지의 규정에 따른 사항의 심의ㆍ의결에 관한 사무
2. 법 제24조의2제4항에 따른 주민등록번호 대체 방법 제공을 위한 시스템 구축 등 제반조치 마련 및 지원에 관한
사무
3. 삭제<2023. 9. 12.>
4. 법 제62조제3항에 따른 개인정보침해 신고센터의 업무에 관한 사무
5. 법 제63조제1항 및 제2항에 따른 자료의 제출 및 검사에 관한 사무
6. 법 제63조의2에 따른 사전 실태점검에 관한 사무
7. 법 제64조의2에 따른 과징금의 부과 및 징수에 관한 사무
② 분쟁조정위원회는 법 제45조, 제47조 및 제49조에 따른 개인정보 분쟁 조정에 관한 사무를 수행하기 위하여 불
가피한 경우 민감정보와 제19조에 따른 주민등록번호, 여권번호, 운전면허의 면허번호 또는 외국인등록번호가 포함
된 자료를 처리할 수 있다.<개정 2020. 8. 4., 2023. 9. 12.>
③ 정보전송자 및 중계전문기관은 법 제35조의2에 따른 개인정보의 전송 요구에 관한 사무를 수행하기 위하여 불
가피한 경우 제19조에 따른 주민등록번호, 여권번호, 운전면허의 면허번호 또는 외국인등록번호(정보전송자의 경우
에는 보유하고 있는 주민등록번호 등으로 한정한다)가 포함된 자료를 처리(본인 여부 확인을 하는 경우로 한정한다
)할 수 있다.<신설 2025. 2. 25.>
[본조신설 2014. 8. 6.]
[제목개정 2020. 8. 4.]
제62조의3(규제의 재검토) ① 보호위원회는 다음 각 호의 사항에 대하여 다음 각 호의 기준일을 기준으로 3년마다(매
3년이 되는 해의 기준일과 같은 날 전까지를 말한다) 그 타당성을 검토하여 개선 등의 조치를 해야 한다. <신설
2020. 8. 4., 2022. 3. 8., 2023. 9. 12., 2024. 3. 12., 2025. 2. 25., 2026. 9. 10.>
1. 삭제<2025. 2. 25.>
2. 제15조의3에 따른 개인정보 이용ㆍ제공내역을 통지해야 하는 자의 범위, 통지해야 하는 정보의 종류 및 통지 주
기와 방법: 2023년 9월 15일
개인정보 보호법 시행령
10. 법 제35조제2항에 따른 열람 요구의 접수 및 처리
10의2. 법 제35조의3에 따른 개인정보관리 전문기관의 지정에 관한 다음 각 목의 사항
가. 제42조의10제1항에 따른 개인정보관리 전문기관 지정 신청의 접수 및 신청 내용의 확인
나. 제42조의10제4항에 따른 개인정보관리 전문기관 지정에 관한 예비심사
다. 제42조의12제1항 후단에 따른 지정 조건의 이행 여부 확인
10의3. 법 제35조의4제2항에 따른 개인정보전송지원플랫폼의 운영
11. 법 제63조에 따른 자료제출 요구 및 검사 중 다음 각 목의 사항과 관련된 자료제출 요구 및 검사
가. 법 제34조제3항 전단에 따른 신고에 대한 기술지원
나. 법 제62조에 따라 개인정보침해 신고센터에 접수된 신고의 접수ㆍ처리 및 상담
12. 제36조제2항에 따른 평가기관 지정신청서의 접수 및 같은 조 제6항에 따른 신고 사항의 접수
④ 보호위원회가 제3항 각 호의 사항에 관한 업무를 위탁할 수 있는 기관은 다음 각 호와 같다.<신설 2022. 7. 19.>
1. 한국인터넷진흥원
2. 개인정보 보호 분야에 전문성을 갖춘 것으로 인정되어 보호위원회가 정하여 고시하는 법인ㆍ기관 또는 단체
⑤ 보호위원회가 제2항부터 제4항까지의 규정에 따라 업무를 위탁하는 경우에는 위탁받는 기관과 위탁업무의 내용
을 관보나 보호위원회의 인터넷 홈페이지에 공고해야 한다.<개정 2022. 7. 19.>
[제목개정 2022. 7. 19.]
제62조의2(민감정보 및 고유식별정보의 처리) ① 보호위원회(제62조제3항에 따라 보호위원회의 권한을 위탁받은 자를
포함한다)는 다음 각 호의 사무를 수행하기 위하여 불가피한 경우 민감정보와 제19조에 따른 주민등록번호, 여권번
호, 운전면허의 면허번호 또는 외국인등록번호가 포함된 자료를 처리할 수 있다. <개정 2020. 8. 4., 2023. 9. 12.>
1. 법 제7조의9제1항제4호부터 제6호까지의 규정에 따른 사항의 심의ㆍ의결에 관한 사무
2. 법 제24조의2제4항에 따른 주민등록번호 대체 방법 제공을 위한 시스템 구축 등 제반조치 마련 및 지원에 관한
사무
3. 삭제<2023. 9. 12.>
4. 법 제62조제3항에 따른 개인정보침해 신고센터의 업무에 관한 사무
5. 법 제63조제1항 및 제2항에 따른 자료의 제출 및 검사에 관한 사무
6. 법 제63조의2에 따른 사전 실태점검에 관한 사무
7. 법 제64조의2에 따른 과징금의 부과 및 징수에 관한 사무
② 분쟁조정위원회는 법 제45조, 제47조 및 제49조에 따른 개인정보 분쟁 조정에 관한 사무를 수행하기 위하여 불
가피한 경우 민감정보와 제19조에 따른 주민등록번호, 여권번호, 운전면허의 면허번호 또는 외국인등록번호가 포함
된 자료를 처리할 수 있다.<개정 2020. 8. 4., 2023. 9. 12.>
③ 정보전송자 및 중계전문기관은 법 제35조의2에 따른 개인정보의 전송 요구에 관한 사무를 수행하기 위하여 불
가피한 경우 제19조에 따른 주민등록번호, 여권번호, 운전면허의 면허번호 또는 외국인등록번호(정보전송자의 경우
에는 보유하고 있는 주민등록번호 등으로 한정한다)가 포함된 자료를 처리(본인 여부 확인을 하는 경우로 한정한다
)할 수 있다.<신설 2025. 2. 25.>
[본조신설 2014. 8. 6.]
[제목개정 2020. 8. 4.]
제62조의3(규제의 재검토) ① 보호위원회는 다음 각 호의 사항에 대하여 다음 각 호의 기준일을 기준으로 3년마다(매
3년이 되는 해의 기준일과 같은 날 전까지를 말한다) 그 타당성을 검토하여 개선 등의 조치를 해야 한다. <신설
2020. 8. 4., 2022. 3. 8., 2023. 9. 12., 2024. 3. 12., 2025. 2. 25., 2026. 9. 10.>
1. 삭제<2025. 2. 25.>
2. 제15조의3에 따른 개인정보 이용ㆍ제공내역을 통지해야 하는 자의 범위, 통지해야 하는 정보의 종류 및 통지 주
기와 방법: 2023년 9월 15일
본문 47쪽
법제처 47 국가법령정보센터
개인정보 보호법 시행령
3. 제48조의7에 따른 손해배상책임의 이행을 위한 보험 등 가입 대상자의 범위 및 기준: 2020년 8월 5일
4. 제29조의3에 따른 개인정보처리자 간 가명정보의 결합: 2024년 1월 1일
5. 제42조의2부터 제42조의4까지의 규정에 따른 정보전송자 및 전송 정보 등에 관한 사항: 2025년 1월 1일
6. 제42조의5부터 제42조의8까지의 규정에 따른 개인정보 전송 요구 및 전송 방법에 관한 사항: 2025년 1월 1일
7. 제42조의9부터 제42조의16까지의 규정에 따른 개인정보관리 전문기관 등에 관한 사항 등: 2025년 1월 1일
8. 제29조의2에 따른 결합전문기관의 지정 등에 관한 사항: 2026년 1월 1일
9. 제29조의4에 따른 결합전문기관의 관리ㆍ감독 등에 관한 사항: 2025년 1월 1일
10. 제32조제2항부터 제4항까지 및 별표 1에 따른 개인정보 보호책임자 지정 대상자의 범위, 개인정보 보호책임자
의 지정 구분과 자격 및 개인정보 보호책임자 지정ㆍ변경 또는 해제 신고 절차에 관한 사항: 2027년 1월 1일
② 보호위원회는 다음 각 호의 사항에 대하여 다음 각 호의 기준일을 기준으로 2년마다(매 2년이 되는 해의 1월 1일
전까지를 말한다) 그 타당성을 검토하여 개선 등의 조치를 해야 한다.<개정 2024. 3. 12., 2025. 2. 25., 2026. 9. 10.>
1. 삭제<2025. 2. 25.>
2. 제32조제7항에 따른 개인정보 보호책임자의 독립성 보장을 위한 개인정보처리자의 준수 사항: 2025년 1월 1일
3. 제44조의2부터 제44조의4까지의 규정에 따른 자동화된 결정의 거부ㆍ설명등요구의 절차 및 방법, 자동화된 결정
의 거부ㆍ설명등요구에 따른 조치, 자동화된 결정의 기준과 절차 등의 공개: 2025년 1월 1일
③ 삭제<2022. 3. 8.>
[전문개정 2014. 12. 9.]
제63조(과태료의 부과기준) 법 제75조에 따른 과태료의 부과기준은 별표 2와 같다. <개정 2020. 8. 4., 2023. 9. 12.>
부칙 <제23169호,2011. 9. 29.>
제1조(시행일) 이 영은 2011년 9월 30일부터 시행한다. 다만, 제20조 및 별표 2 제2호자목은 2012년 3월 30일부터 시
행한다.
제2조(다른 법령의 폐지) 공공기관의 개인정보보호에 관한 법률 시행령을 폐지한다.
제3조(기본계획 및 시행계획의 수립에 관한 경과조치) ① 행정안전부장관은 제11조에도 불구하고 2012년부터 제
2014년까지의 기간에 대한 기본계획을 2011년 12월 31일까지 보호위원회의 심의ㆍ의결을 거쳐 수립하여야 한다.
② 중앙행정기관의 장은 제12조에도 불구하고 2012년 및 2013년에 시행할 시행계획을 제1항의 기본계획에 따라
2012년 2월 28일까지 보호위원회에 제출하여 2012년 4월 30일까지 보호위원회의 심의ㆍ의결을 거쳐 수립하여야
한다.
제4조(개인정보처리자가 수집ㆍ보유하고 있는 개인정보의 암호화에 관한 경과조치) 이 영 시행 당시 개인정보를 수집
ㆍ보유하고 있는 개인정보처리자는 전자매체에 저장하는 개인정보에 대하여 2012년 12월 31일까지 제30조제1항
제3호에 따른 암호화 조치(제21조에 따라 준용되는 고유식별정보에 관한 암호화 조치를 포함한다)를 마쳐야 한다.
제5조(개인정보파일의 등록에 관한 경과조치) 이 영 시행 당시 개인정보파일을 운용하고 있는 공공기관(이 영 시행 전
에 개인정보파일을 등록한 기관은 제외한다)의 장은 이 영 시행일부터 60일 이내에 제34조에 따라 행정안전부장관
에게 등록을 신청하여야 한다.
제6조(개인정보 영향평가에 관한 경과조치) 이 영 시행 당시 제35조 각 호에 따른 개인정보파일을 운용하고 있거나,
운용할 목적으로 제35조 각 호에 따른 개인정보파일을 구축하고 있는 공공기관의 장은 이 영 시행일부터 5년 이내
에 해당 개인정보파일에 대한 영향평가를 실시하고 그 결과를 행정안전부장관에게 제출하여야 한다.
개인정보 보호법 시행령
3. 제48조의7에 따른 손해배상책임의 이행을 위한 보험 등 가입 대상자의 범위 및 기준: 2020년 8월 5일
4. 제29조의3에 따른 개인정보처리자 간 가명정보의 결합: 2024년 1월 1일
5. 제42조의2부터 제42조의4까지의 규정에 따른 정보전송자 및 전송 정보 등에 관한 사항: 2025년 1월 1일
6. 제42조의5부터 제42조의8까지의 규정에 따른 개인정보 전송 요구 및 전송 방법에 관한 사항: 2025년 1월 1일
7. 제42조의9부터 제42조의16까지의 규정에 따른 개인정보관리 전문기관 등에 관한 사항 등: 2025년 1월 1일
8. 제29조의2에 따른 결합전문기관의 지정 등에 관한 사항: 2026년 1월 1일
9. 제29조의4에 따른 결합전문기관의 관리ㆍ감독 등에 관한 사항: 2025년 1월 1일
10. 제32조제2항부터 제4항까지 및 별표 1에 따른 개인정보 보호책임자 지정 대상자의 범위, 개인정보 보호책임자
의 지정 구분과 자격 및 개인정보 보호책임자 지정ㆍ변경 또는 해제 신고 절차에 관한 사항: 2027년 1월 1일
② 보호위원회는 다음 각 호의 사항에 대하여 다음 각 호의 기준일을 기준으로 2년마다(매 2년이 되는 해의 1월 1일
전까지를 말한다) 그 타당성을 검토하여 개선 등의 조치를 해야 한다.<개정 2024. 3. 12., 2025. 2. 25., 2026. 9. 10.>
1. 삭제<2025. 2. 25.>
2. 제32조제7항에 따른 개인정보 보호책임자의 독립성 보장을 위한 개인정보처리자의 준수 사항: 2025년 1월 1일
3. 제44조의2부터 제44조의4까지의 규정에 따른 자동화된 결정의 거부ㆍ설명등요구의 절차 및 방법, 자동화된 결정
의 거부ㆍ설명등요구에 따른 조치, 자동화된 결정의 기준과 절차 등의 공개: 2025년 1월 1일
③ 삭제<2022. 3. 8.>
[전문개정 2014. 12. 9.]
제63조(과태료의 부과기준) 법 제75조에 따른 과태료의 부과기준은 별표 2와 같다. <개정 2020. 8. 4., 2023. 9. 12.>
부칙 <제23169호,2011. 9. 29.>
제1조(시행일) 이 영은 2011년 9월 30일부터 시행한다. 다만, 제20조 및 별표 2 제2호자목은 2012년 3월 30일부터 시
행한다.
제2조(다른 법령의 폐지) 공공기관의 개인정보보호에 관한 법률 시행령을 폐지한다.
제3조(기본계획 및 시행계획의 수립에 관한 경과조치) ① 행정안전부장관은 제11조에도 불구하고 2012년부터 제
2014년까지의 기간에 대한 기본계획을 2011년 12월 31일까지 보호위원회의 심의ㆍ의결을 거쳐 수립하여야 한다.
② 중앙행정기관의 장은 제12조에도 불구하고 2012년 및 2013년에 시행할 시행계획을 제1항의 기본계획에 따라
2012년 2월 28일까지 보호위원회에 제출하여 2012년 4월 30일까지 보호위원회의 심의ㆍ의결을 거쳐 수립하여야
한다.
제4조(개인정보처리자가 수집ㆍ보유하고 있는 개인정보의 암호화에 관한 경과조치) 이 영 시행 당시 개인정보를 수집
ㆍ보유하고 있는 개인정보처리자는 전자매체에 저장하는 개인정보에 대하여 2012년 12월 31일까지 제30조제1항
제3호에 따른 암호화 조치(제21조에 따라 준용되는 고유식별정보에 관한 암호화 조치를 포함한다)를 마쳐야 한다.
제5조(개인정보파일의 등록에 관한 경과조치) 이 영 시행 당시 개인정보파일을 운용하고 있는 공공기관(이 영 시행 전
에 개인정보파일을 등록한 기관은 제외한다)의 장은 이 영 시행일부터 60일 이내에 제34조에 따라 행정안전부장관
에게 등록을 신청하여야 한다.
제6조(개인정보 영향평가에 관한 경과조치) 이 영 시행 당시 제35조 각 호에 따른 개인정보파일을 운용하고 있거나,
운용할 목적으로 제35조 각 호에 따른 개인정보파일을 구축하고 있는 공공기관의 장은 이 영 시행일부터 5년 이내
에 해당 개인정보파일에 대한 영향평가를 실시하고 그 결과를 행정안전부장관에게 제출하여야 한다.
본문 48쪽
법제처 48 국가법령정보센터
개인정보 보호법 시행령
제7조(다른 법령의 개정) ① 가맹사업거래의 공정화에 관한 법률 시행령 일부를 다음과 같이 개정한다.
제5조의4제1항 중 “「공공기관의 개인정보보호에 관한 법률」 제2조제2호”를 “「개인정보 보호법」 제2조제1호”로 한
다.
② 민주화운동관련자 명예회복 및 보상 등에 관한 법률 시행령 일부를 다음과 같이 개정한다.
제19조의2 중 “「공공기관의 개인정보보호에 관한 법률」”을 “「개인정보 보호법」”으로 한다.
③ 발명진흥법 시행령 일부를 다음과 같이 개정한다.
제8조의2제2항 중 “「공공기관의 개인정보보호에 관한 법률」”을 “「개인정보 보호법」”으로 한다.
④ 소비자기본법 시행령 일부를 다음과 같이 개정한다.
제25조제7호를 다음과 같이 한다.
7. 「개인정보 보호법」 제40조에 따라 설치된 개인정보 분쟁조정위원회
⑤ 전자정부법 시행령 일부를 다음과 같이 개정한다.
제49조제1항 중 “「공공기관의 개인정보보호에 관한 법률」 제2조제8호”를 “「개인정보 보호법」 제2조제3호”로 한다.
⑥ 정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령 일부를 다음과 같이 개정한다.
제3조제1항 중 “정보통신서비스 제공자 및 제71조에 따른 정보통신서비스 제공자 외의 자”를 “정보통신서비스 제
공자”로 한다.
제16조부터 제22조까지를 각각 삭제한다.
제36조제6항을 삭제한다.
제66조제2항 중 “정보통신서비스 제공자등(법 제67조에 따라 준용되는 경우에 해당되는 자를 포함한다)”을 “정보통
신서비스 제공자등”으로 한다.
제71조를 삭제한다.
제3조제1항ㆍ제2항, 제66조제2항, 제68조의2제1항 각 호 외의 부분, 같은 조 제2항, 제69조제1항 각 호 외의 부분
후단, 제70조제2항 각 호 외의 부분, 같은 조 제3항 각 호 외의 부분 및 별표 9 위반행위란의 제12호 각 목 외의 부
분 중 “행정안전부장관 또는 방송통신위원회”를 각각 “방송통신위원회”로 한다.
제8조(다른 법령과의 관계) 이 영 시행 당시 다른 법령에서 종전의 「공공기관의 개인정보보호에 관한 법률 시행령」 또
는 그 규정을 인용하고 있는 경우 이 영 가운데 그에 해당하는 규정이 있을 때에는 종전의 규정을 갈음하여 이 영
또는 이 영의 해당 규정을 인용한 것으로 본다.
부칙 <제24425호,2013. 3. 23.>(안전행정부와 그 소속기관 직제)
제1조(시행일) 이 영은 공포한 날부터 시행한다. 다만, 부칙 제6조에 따라 개정되는 대통령령 중 이 영 시행 전에 공포
되었으나 시행일이 도래하지 아니한 대통령령을 개정한 부분은 각각 해당 대통령령의 시행일부터 시행한다.
제2조부터 제5조까지 생략
제6조(다른 법령의 개정) ①부터 ④까지 생략
⑤ 개인정보 보호법 시행령 일부를 다음과 같이 개정한다.
제11조제1항, 같은 조 제2항 전단ㆍ후단, 같은 조 제3항, 제12조제1항, 제13조제1항 각 호 외의 부분, 같은 조 제2항
, 제14조, 제20조제2항 각 호 외의 부분, 제27조, 제30조제2항ㆍ제3항, 제32조제3항, 제34조제1항 전단, 같은 조 제
개인정보 보호법 시행령
제7조(다른 법령의 개정) ① 가맹사업거래의 공정화에 관한 법률 시행령 일부를 다음과 같이 개정한다.
제5조의4제1항 중 “「공공기관의 개인정보보호에 관한 법률」 제2조제2호”를 “「개인정보 보호법」 제2조제1호”로 한
다.
② 민주화운동관련자 명예회복 및 보상 등에 관한 법률 시행령 일부를 다음과 같이 개정한다.
제19조의2 중 “「공공기관의 개인정보보호에 관한 법률」”을 “「개인정보 보호법」”으로 한다.
③ 발명진흥법 시행령 일부를 다음과 같이 개정한다.
제8조의2제2항 중 “「공공기관의 개인정보보호에 관한 법률」”을 “「개인정보 보호법」”으로 한다.
④ 소비자기본법 시행령 일부를 다음과 같이 개정한다.
제25조제7호를 다음과 같이 한다.
7. 「개인정보 보호법」 제40조에 따라 설치된 개인정보 분쟁조정위원회
⑤ 전자정부법 시행령 일부를 다음과 같이 개정한다.
제49조제1항 중 “「공공기관의 개인정보보호에 관한 법률」 제2조제8호”를 “「개인정보 보호법」 제2조제3호”로 한다.
⑥ 정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령 일부를 다음과 같이 개정한다.
제3조제1항 중 “정보통신서비스 제공자 및 제71조에 따른 정보통신서비스 제공자 외의 자”를 “정보통신서비스 제
공자”로 한다.
제16조부터 제22조까지를 각각 삭제한다.
제36조제6항을 삭제한다.
제66조제2항 중 “정보통신서비스 제공자등(법 제67조에 따라 준용되는 경우에 해당되는 자를 포함한다)”을 “정보통
신서비스 제공자등”으로 한다.
제71조를 삭제한다.
제3조제1항ㆍ제2항, 제66조제2항, 제68조의2제1항 각 호 외의 부분, 같은 조 제2항, 제69조제1항 각 호 외의 부분
후단, 제70조제2항 각 호 외의 부분, 같은 조 제3항 각 호 외의 부분 및 별표 9 위반행위란의 제12호 각 목 외의 부
분 중 “행정안전부장관 또는 방송통신위원회”를 각각 “방송통신위원회”로 한다.
제8조(다른 법령과의 관계) 이 영 시행 당시 다른 법령에서 종전의 「공공기관의 개인정보보호에 관한 법률 시행령」 또
는 그 규정을 인용하고 있는 경우 이 영 가운데 그에 해당하는 규정이 있을 때에는 종전의 규정을 갈음하여 이 영
또는 이 영의 해당 규정을 인용한 것으로 본다.
부칙 <제24425호,2013. 3. 23.>(안전행정부와 그 소속기관 직제)
제1조(시행일) 이 영은 공포한 날부터 시행한다. 다만, 부칙 제6조에 따라 개정되는 대통령령 중 이 영 시행 전에 공포
되었으나 시행일이 도래하지 아니한 대통령령을 개정한 부분은 각각 해당 대통령령의 시행일부터 시행한다.
제2조부터 제5조까지 생략
제6조(다른 법령의 개정) ①부터 ④까지 생략
⑤ 개인정보 보호법 시행령 일부를 다음과 같이 개정한다.
제11조제1항, 같은 조 제2항 전단ㆍ후단, 같은 조 제3항, 제12조제1항, 제13조제1항 각 호 외의 부분, 같은 조 제2항
, 제14조, 제20조제2항 각 호 외의 부분, 제27조, 제30조제2항ㆍ제3항, 제32조제3항, 제34조제1항 전단, 같은 조 제
본문 49쪽
법제처 49 국가법령정보센터
개인정보 보호법 시행령
2항ㆍ제3항, 제37조제1항 각 호 외의 부분, 제2항 각 호 외의 부분, 같은 조 제3항 각 호 외의 부분 본문, 같은 조 제
4항 각 호 외의 부분 전단, 같은 조 제5항 각 호 외의 부분 본문, 같은 조 제6항 각 호 외의 부분 본문, 같은 조 제7항,
제38조제2항 각 호 외의 부분, 같은 조 제3항, 제41조제2항 전단ㆍ후단, 제48조제2항, 제50조제2항, 제58조제2항 본
문, 제59조, 제60조제2항, 제61조제1항 각 호 외의 부분, 같은 조 제2항ㆍ제3항, 제62조제1항 각 호 외의 부분, 같은
조 제2항 및 제3항 중 “행정안전부장관”을 각각 “안전행정부장관”으로 한다.
제13조제3항 후단 중 “”행정안전부장관“”을 “”안전행정부장관“”으로 한다.
제15조 각 호 외의 부분, 제34조제1항 전단, 제37조제2항 각 호 외의 부분, 같은 항 제4호, 같은 조 제6항 각 호 외의
부분 본문, 제41조제1항 각 호 외의 부분, 같은 조 제4항, 제42조제2항, 제43조제1항ㆍ제3항, 제44조제1항ㆍ제2항
및 제45조제2항 중 “행정안전부령”을 각각 “안전행정부령”으로 한다.
별표 1의 제6호 중 “행정안전부장관”을 “안전행정부장관”으로 한다.
별표 2의 제1호나목1)부터 4)까지 외의 부분 본문 및 같은 호 다목1)부터 3)까지 외의 부분 본문 중 “행정안전부장
관”을 각각 “안전행정부장관”으로 한다.
⑥부터 <129>까지 생략
부칙 <제25531호,2014. 8. 6.>
이 영은 2014년 8월 7일부터 시행한다.
부칙 <제25751호,2014. 11. 19.>(행정자치부와 그 소속기관 직제)
제1조(시행일) 이 영은 공포한 날부터 시행한다. 다만, 부칙 제5조에 따라 개정되는 대통령령 중 이 영 시행 전에 공포
되었으나 시행일이 도래하지 아니한 대통령령을 개정한 부분은 각각 해당 대통령령의 시행일부터 시행한다.
제2조부터 제4조까지 생략
제5조(다른 법령의 개정) ①부터 <104>까지 생략
<105> 개인정보 보호법 시행령 일부를 다음과 같이 개정한다.
제11조제1항, 같은 조 제2항 전단ㆍ후단, 같은 조 제3항, 제12조제1항, 제13조제1항 각 호 외의 부분, 같은 조 제2항
, 같은 조 제3항 후단, 제14조, 제16조제2항, 제27조, 제30조제2항ㆍ제3항, 제32조제3항, 제34조제1항 전단, 같은 조
제2항ㆍ제3항, 제37조제1항 각 호 외의 부분, 같은 조 제2항 각 호 외의 부분, 같은 조 제3항 각 호 외의 부분 본문,
같은 조 제4항 각 호 외의 부분 전단, 같은 조 제5항 각 호 외의 부분 본문, 같은 조 제6항 각 호 외의 부분 본문, 같
은 조 제7항, 제38조제2항 각 호 외의 부분, 같은 조 제3항, 제40조의2제2항, 같은 조 제3항 본문, 제41조제2항 전단
ㆍ후단, 제48조제2항, 제50조제2항, 제58조제2항 본문, 제59조, 제60조제2항, 제61조제1항 각 호 외의 부분, 같은 조
제2항ㆍ제3항, 제62조제1항 각 호 외의 부분, 같은 조 제2항ㆍ제3항, 제62조의2제1항 각 호 외의 부분 및 제62조의
3 중 “안전행정부장관”을 각각 “행정자치부장관”으로 한다.
제15조 각 호 외의 부분, 제34조제1항 전단, 제37조제2항 각 호 외의 부분, 같은 항 제4호, 같은 조 제6항 각 호 외의
부분 본문, 제41조제1항 각 호 외의 부분, 같은 조 제4항, 제42조제2항, 제43조제1항ㆍ제3항, 제44조제1항ㆍ제2항
및 제45조제2항 중 “안전행정부령”을 각각 “행정자치부령”으로 한다.
개인정보 보호법 시행령
2항ㆍ제3항, 제37조제1항 각 호 외의 부분, 제2항 각 호 외의 부분, 같은 조 제3항 각 호 외의 부분 본문, 같은 조 제
4항 각 호 외의 부분 전단, 같은 조 제5항 각 호 외의 부분 본문, 같은 조 제6항 각 호 외의 부분 본문, 같은 조 제7항,
제38조제2항 각 호 외의 부분, 같은 조 제3항, 제41조제2항 전단ㆍ후단, 제48조제2항, 제50조제2항, 제58조제2항 본
문, 제59조, 제60조제2항, 제61조제1항 각 호 외의 부분, 같은 조 제2항ㆍ제3항, 제62조제1항 각 호 외의 부분, 같은
조 제2항 및 제3항 중 “행정안전부장관”을 각각 “안전행정부장관”으로 한다.
제13조제3항 후단 중 “”행정안전부장관“”을 “”안전행정부장관“”으로 한다.
제15조 각 호 외의 부분, 제34조제1항 전단, 제37조제2항 각 호 외의 부분, 같은 항 제4호, 같은 조 제6항 각 호 외의
부분 본문, 제41조제1항 각 호 외의 부분, 같은 조 제4항, 제42조제2항, 제43조제1항ㆍ제3항, 제44조제1항ㆍ제2항
및 제45조제2항 중 “행정안전부령”을 각각 “안전행정부령”으로 한다.
별표 1의 제6호 중 “행정안전부장관”을 “안전행정부장관”으로 한다.
별표 2의 제1호나목1)부터 4)까지 외의 부분 본문 및 같은 호 다목1)부터 3)까지 외의 부분 본문 중 “행정안전부장
관”을 각각 “안전행정부장관”으로 한다.
⑥부터 <129>까지 생략
부칙 <제25531호,2014. 8. 6.>
이 영은 2014년 8월 7일부터 시행한다.
부칙 <제25751호,2014. 11. 19.>(행정자치부와 그 소속기관 직제)
제1조(시행일) 이 영은 공포한 날부터 시행한다. 다만, 부칙 제5조에 따라 개정되는 대통령령 중 이 영 시행 전에 공포
되었으나 시행일이 도래하지 아니한 대통령령을 개정한 부분은 각각 해당 대통령령의 시행일부터 시행한다.
제2조부터 제4조까지 생략
제5조(다른 법령의 개정) ①부터 <104>까지 생략
<105> 개인정보 보호법 시행령 일부를 다음과 같이 개정한다.
제11조제1항, 같은 조 제2항 전단ㆍ후단, 같은 조 제3항, 제12조제1항, 제13조제1항 각 호 외의 부분, 같은 조 제2항
, 같은 조 제3항 후단, 제14조, 제16조제2항, 제27조, 제30조제2항ㆍ제3항, 제32조제3항, 제34조제1항 전단, 같은 조
제2항ㆍ제3항, 제37조제1항 각 호 외의 부분, 같은 조 제2항 각 호 외의 부분, 같은 조 제3항 각 호 외의 부분 본문,
같은 조 제4항 각 호 외의 부분 전단, 같은 조 제5항 각 호 외의 부분 본문, 같은 조 제6항 각 호 외의 부분 본문, 같
은 조 제7항, 제38조제2항 각 호 외의 부분, 같은 조 제3항, 제40조의2제2항, 같은 조 제3항 본문, 제41조제2항 전단
ㆍ후단, 제48조제2항, 제50조제2항, 제58조제2항 본문, 제59조, 제60조제2항, 제61조제1항 각 호 외의 부분, 같은 조
제2항ㆍ제3항, 제62조제1항 각 호 외의 부분, 같은 조 제2항ㆍ제3항, 제62조의2제1항 각 호 외의 부분 및 제62조의
3 중 “안전행정부장관”을 각각 “행정자치부장관”으로 한다.
제15조 각 호 외의 부분, 제34조제1항 전단, 제37조제2항 각 호 외의 부분, 같은 항 제4호, 같은 조 제6항 각 호 외의
부분 본문, 제41조제1항 각 호 외의 부분, 같은 조 제4항, 제42조제2항, 제43조제1항ㆍ제3항, 제44조제1항ㆍ제2항
및 제45조제2항 중 “안전행정부령”을 각각 “행정자치부령”으로 한다.
본문 50쪽
법제처 50 국가법령정보센터
개인정보 보호법 시행령
별표 1 제6호 중 “안전행정부장관”을 “행정자치부장관”으로 한다.
별표 2 제1호나목1)부터 4)까지 외의 부분 본문 및 같은 호 다목1)부터 3)까지 외의 부분 본문 중 “안전행정부장관
”을 각각 “행정자치부장관”으로 한다.
<106>부터 <418>까지 생략
부칙 <제25840호,2014. 12. 9.>(규제 재검토기한 설정 등 규제정비를 위한 건축법 시행령 등 일부개정령)
제1조(시행일) 이 영은 2015년 1월 1일부터 시행한다.
제2조부터 제16조까지 생략
부칙 <제26140호,2015. 3. 11.>(보안업무규정)
제1조(시행일) 이 영은 공포한 날부터 시행한다.
제2조 생략
제3조(다른 법령의 개정) ① 개인정보 보호법 시행령 일부를 다음과 같이 개정한다.
제24조제4항제3호 중 “보안목표시설”을 “국가보안시설”로 한다.
②부터 ⑤까지 생략
부칙 <제26728호,2015. 12. 22.>(정보보호산업의 진흥에 관한 법률 시행령)
제1조(시행일) 이 영은 2015년 12월 23일부터 시행한다.
제2조 생략
제3조(다른 법령의 개정) ① 개인정보 보호법 시행령 일부를 다음과 같이 개정한다.
제37조제1항제1호라목을 다음과 같이 한다.
라. 「정보보호산업의 진흥에 관한 법률」 제23조제1항제1호 및 제2호에 따른 업무
② 및 ③ 생략
부칙 <제26776호,2015. 12. 30.>
이 영은 공포한 날부터 시행한다. 다만, 제21조의2, 제62조제2항, 제62조의2제1항제1호 및 별표 2의 개정규정은 2016년
1월 1일부터 시행한다.
부칙 <제27370호,2016. 7. 22.>
제1조(시행일) 이 영은 2016년 7월 25일부터 시행한다.
제2조(기본계획 및 시행계획의 수립에 관한 경과조치) ① 종전의 제11조에 따라 수립된 2015년부터 2017년까지의 기
간에 대한 기본계획은 제11조의 개정규정에 따라 수립된 기본계획으로 본다.
② 종전의 제12조에 따라 수립된 2016년 및 2017년에 대한 시행계획은 각각 제12조의 개정규정에 따라 수립된 시
행계획으로 본다.
개인정보 보호법 시행령
별표 1 제6호 중 “안전행정부장관”을 “행정자치부장관”으로 한다.
별표 2 제1호나목1)부터 4)까지 외의 부분 본문 및 같은 호 다목1)부터 3)까지 외의 부분 본문 중 “안전행정부장관
”을 각각 “행정자치부장관”으로 한다.
<106>부터 <418>까지 생략
부칙 <제25840호,2014. 12. 9.>(규제 재검토기한 설정 등 규제정비를 위한 건축법 시행령 등 일부개정령)
제1조(시행일) 이 영은 2015년 1월 1일부터 시행한다.
제2조부터 제16조까지 생략
부칙 <제26140호,2015. 3. 11.>(보안업무규정)
제1조(시행일) 이 영은 공포한 날부터 시행한다.
제2조 생략
제3조(다른 법령의 개정) ① 개인정보 보호법 시행령 일부를 다음과 같이 개정한다.
제24조제4항제3호 중 “보안목표시설”을 “국가보안시설”로 한다.
②부터 ⑤까지 생략
부칙 <제26728호,2015. 12. 22.>(정보보호산업의 진흥에 관한 법률 시행령)
제1조(시행일) 이 영은 2015년 12월 23일부터 시행한다.
제2조 생략
제3조(다른 법령의 개정) ① 개인정보 보호법 시행령 일부를 다음과 같이 개정한다.
제37조제1항제1호라목을 다음과 같이 한다.
라. 「정보보호산업의 진흥에 관한 법률」 제23조제1항제1호 및 제2호에 따른 업무
② 및 ③ 생략
부칙 <제26776호,2015. 12. 30.>
이 영은 공포한 날부터 시행한다. 다만, 제21조의2, 제62조제2항, 제62조의2제1항제1호 및 별표 2의 개정규정은 2016년
1월 1일부터 시행한다.
부칙 <제27370호,2016. 7. 22.>
제1조(시행일) 이 영은 2016년 7월 25일부터 시행한다.
제2조(기본계획 및 시행계획의 수립에 관한 경과조치) ① 종전의 제11조에 따라 수립된 2015년부터 2017년까지의 기
간에 대한 기본계획은 제11조의 개정규정에 따라 수립된 기본계획으로 본다.
② 종전의 제12조에 따라 수립된 2016년 및 2017년에 대한 시행계획은 각각 제12조의 개정규정에 따라 수립된 시
행계획으로 본다.
본문 51쪽
법제처 51 국가법령정보센터
개인정보 보호법 시행령
부칙 <제27522호,2016. 9. 29.>
이 영은 2016년 9월 30일부터 시행한다.
부칙 <제28074호,2017. 5. 29.>(정신건강증진 및 정신질환자 복지서비스 지원에 관한 법률 시행령)
제1조(시행일) 이 영은 2017년 5월 30일부터 시행한다.
제2조 생략
제3조(다른 법령의 개정) ① 생략
② 개인정보 보호법 시행령 일부를 다음과 같이 개정한다.
제22조제1항제2호를 다음과 같이 한다.
2. 「정신건강증진 및 정신질환자 복지서비스 지원에 관한 법률」 제3조제5호부터 제7호까지의 규정에 따른 정신의
료기관(수용시설을 갖추고 있는 것만 해당한다), 정신요양시설 및 정신재활시설
③부터2$ 까지 생략
제4조 생략
부칙 <제28150호,2017. 6. 27.>(주민등록법 시행령)
제1조(시행일) 이 영은 2017년 7월 1일부터 시행한다. 다만, 부칙 제3조의 개정규정은 공포한 날부터 시행한다.
제2조 생략
제3조(다른 법령의 개정) ① 개인정보 보호법 시행령 일부를 다음과 같이 개정한다.
제19조제1호 중 “「주민등록법」 제7조제3항”을 “「주민등록법」 제7조의2제1항”으로 한다.
②부터 ⑤까지 생략
부칙 <제28211호,2017. 7. 26.>(행정안전부와 그 소속기관 직제)
제1조(시행일) 이 영은 공포한 날부터 시행한다. 다만, 부칙 제8조에 따라 개정되는 대통령령 중 이 영 시행 전에 공포
되었으나 시행일이 도래하지 아니한 대통령령을 개정한 부분은 각각 해당 대통령령의 시행일부터 시행한다.
제2조부터 제7조까지 생략
제8조제8조(다른 법령의 개정) ①부터 <94>까지 생략
<95> 개인정보 보호법 시행령 일부를 다음과 같이 개정한다.
제14조, 제16조제2항, 제21조제3항, 같은 조 제5항제2호, 제21조의2제3항, 제27조, 제30조제2항ㆍ제3항, 제32조제
3항, 제34조제1항 전단, 같은 조 제2항ㆍ제3항, 제34조의2제1항ㆍ제6항, 제34조의3제2항, 제34조의4제2항, 제34조
의5제2항, 제34조의6제1항제2호 각 목 외의 부분, 같은 호 나목, 같은 조 제2항, 제34조의7 전단, 제34조의8제3항,
제37조제1항 각 호 외의 부분, 같은 조 제2항 각 호 외의 부분, 같은 조 제3항 각 호 외의 부분 본문, 같은 조 제4항
각 호 외의 부분 전단, 같은 조 제5항 각 호 외의 부분 본문, 같은 조 제6항 각 호 외의 부분 본문, 같은 조 제7항, 제
38조제2항 각 호 외의 부분, 같은 조 제3항, 제40조의2제2항, 같은 조 제3항 본문, 제41조제2항 전단ㆍ후단, 제48조
제2항, 제58조제2항 본문, 제59조, 제60조제2항, 제61조제1항 각 호 외의 부분, 같은 조 제2항ㆍ제3항, 제62조제2항
개인정보 보호법 시행령
부칙 <제27522호,2016. 9. 29.>
이 영은 2016년 9월 30일부터 시행한다.
부칙 <제28074호,2017. 5. 29.>(정신건강증진 및 정신질환자 복지서비스 지원에 관한 법률 시행령)
제1조(시행일) 이 영은 2017년 5월 30일부터 시행한다.
제2조 생략
제3조(다른 법령의 개정) ① 생략
② 개인정보 보호법 시행령 일부를 다음과 같이 개정한다.
제22조제1항제2호를 다음과 같이 한다.
2. 「정신건강증진 및 정신질환자 복지서비스 지원에 관한 법률」 제3조제5호부터 제7호까지의 규정에 따른 정신의
료기관(수용시설을 갖추고 있는 것만 해당한다), 정신요양시설 및 정신재활시설
③부터2$ 까지 생략
제4조 생략
부칙 <제28150호,2017. 6. 27.>(주민등록법 시행령)
제1조(시행일) 이 영은 2017년 7월 1일부터 시행한다. 다만, 부칙 제3조의 개정규정은 공포한 날부터 시행한다.
제2조 생략
제3조(다른 법령의 개정) ① 개인정보 보호법 시행령 일부를 다음과 같이 개정한다.
제19조제1호 중 “「주민등록법」 제7조제3항”을 “「주민등록법」 제7조의2제1항”으로 한다.
②부터 ⑤까지 생략
부칙 <제28211호,2017. 7. 26.>(행정안전부와 그 소속기관 직제)
제1조(시행일) 이 영은 공포한 날부터 시행한다. 다만, 부칙 제8조에 따라 개정되는 대통령령 중 이 영 시행 전에 공포
되었으나 시행일이 도래하지 아니한 대통령령을 개정한 부분은 각각 해당 대통령령의 시행일부터 시행한다.
제2조부터 제7조까지 생략
제8조제8조(다른 법령의 개정) ①부터 <94>까지 생략
<95> 개인정보 보호법 시행령 일부를 다음과 같이 개정한다.
제14조, 제16조제2항, 제21조제3항, 같은 조 제5항제2호, 제21조의2제3항, 제27조, 제30조제2항ㆍ제3항, 제32조제
3항, 제34조제1항 전단, 같은 조 제2항ㆍ제3항, 제34조의2제1항ㆍ제6항, 제34조의3제2항, 제34조의4제2항, 제34조
의5제2항, 제34조의6제1항제2호 각 목 외의 부분, 같은 호 나목, 같은 조 제2항, 제34조의7 전단, 제34조의8제3항,
제37조제1항 각 호 외의 부분, 같은 조 제2항 각 호 외의 부분, 같은 조 제3항 각 호 외의 부분 본문, 같은 조 제4항
각 호 외의 부분 전단, 같은 조 제5항 각 호 외의 부분 본문, 같은 조 제6항 각 호 외의 부분 본문, 같은 조 제7항, 제
38조제2항 각 호 외의 부분, 같은 조 제3항, 제40조의2제2항, 같은 조 제3항 본문, 제41조제2항 전단ㆍ후단, 제48조
제2항, 제58조제2항 본문, 제59조, 제60조제2항, 제61조제1항 각 호 외의 부분, 같은 조 제2항ㆍ제3항, 제62조제2항
본문 52쪽
법제처 52 국가법령정보센터
개인정보 보호법 시행령
각 호 외의 부분, 같은 항 제3호, 같은 조 제3항 각 호 외의 부분, 같은 조 제4항, 제62조의2제1항 각 호 외의 부분,
제62조의3제1항 및 같은 조 제2항 각 호 외의 부분 중 “행정자치부장관”을 각각 “행정안전부장관”으로 한다.
제15조 각 호 외의 부분, 제34조제1항 전단, 제37조제2항 각 호 외의 부분, 같은 항 제4호, 같은 조 제6항 각 호 외의
부분 본문, 제41조제1항 각 호 외의 부분, 같은 조 제4항, 제42조제2항, 제43조제1항ㆍ제3항, 제44조제1항ㆍ제2항
및 제45조제2항 중 “행정자치부령”을 각각 “행정안전부령”으로 한다.
제48조의2 중 “행정자치부”를 “행정안전부”로 한다.
별표 1 제6호, 별표 2 제1호나목1)부터 4)까지 외의 부분 본문 및 같은 호 다목1)부터 3)까지 외의 부분 본문 중 “행
정자치부장관”을 각각 “행정안전부장관”으로 한다.
<96>부터 <388>까지 생략
부칙 <제28355호,2017. 10. 17.>
제1조(시행일) 이 영은 2017년 10월 19일부터 시행한다.
제2조(개인정보 유출 신고 등에 관한 적용례) 제39조제1항 및 제40조제3항의 개정규정은 이 영 시행 이후 개인정보가
유출된 경우부터 적용한다.
제3조(개인정보의 열람 등 요구에 관한 경과조치) 이 영 시행 전에 개인정보의 열람, 정정ㆍ삭제, 처리정지를 요구한
자의 경우에는 제41조제1항, 제43조제1항 및 제44조제1항의 개정규정에도 불구하고 종전의 규정에 따른다.
부칙 <제29421호,2018. 12. 24.>(규제 재검토기한 설정 등을 위한 57개 법령의 일부개정에 관한 대통령령)
이 영은 2019년 1월 1일부터 시행한다.
부칙 <제30509호,2020. 3. 3.>(규제 재검토기한 해제 등을 위한 144개 대통령령의 일부개정에 관한 대통령령)
이 영은 공포한 날부터 시행한다.
부칙 <제30833호,2020. 7. 14.>(고위공직자범죄수사처 설치에 따른 15개 대통령령의 일부개정에 관한 대통령령)
이 영은 2020년 7월 15일부터 시행한다.
부칙 <제30892호,2020. 8. 4.>
제1조(시행일) 이 영은 2020년 8월 5일부터 시행한다. 다만, 제5조의3의 개정규정은 공포 후 6개월이 경과한 날부터
시행한다.
제2조(일반적 경과조치) 이 영 시행 전에 「정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령」에 따라 정보통신
서비스 제공자등이 행한 지정, 조치, 통지, 신고, 그 밖의 행위는 그에 해당하는 이 영의 규정에 따라 행한 것으로 본
다.
제3조(민감정보 처리에 관한 경과조치) 이 영 시행 전에 이 영 또는 다른 법령에 따라 적법하게 처리된 개인정보로서
제18조제3호 및 제4호의 개정규정에 해당하는 정보는 이 영 또는 다른 법령에 따라 처리된 것으로 본다.
개인정보 보호법 시행령
각 호 외의 부분, 같은 항 제3호, 같은 조 제3항 각 호 외의 부분, 같은 조 제4항, 제62조의2제1항 각 호 외의 부분,
제62조의3제1항 및 같은 조 제2항 각 호 외의 부분 중 “행정자치부장관”을 각각 “행정안전부장관”으로 한다.
제15조 각 호 외의 부분, 제34조제1항 전단, 제37조제2항 각 호 외의 부분, 같은 항 제4호, 같은 조 제6항 각 호 외의
부분 본문, 제41조제1항 각 호 외의 부분, 같은 조 제4항, 제42조제2항, 제43조제1항ㆍ제3항, 제44조제1항ㆍ제2항
및 제45조제2항 중 “행정자치부령”을 각각 “행정안전부령”으로 한다.
제48조의2 중 “행정자치부”를 “행정안전부”로 한다.
별표 1 제6호, 별표 2 제1호나목1)부터 4)까지 외의 부분 본문 및 같은 호 다목1)부터 3)까지 외의 부분 본문 중 “행
정자치부장관”을 각각 “행정안전부장관”으로 한다.
<96>부터 <388>까지 생략
부칙 <제28355호,2017. 10. 17.>
제1조(시행일) 이 영은 2017년 10월 19일부터 시행한다.
제2조(개인정보 유출 신고 등에 관한 적용례) 제39조제1항 및 제40조제3항의 개정규정은 이 영 시행 이후 개인정보가
유출된 경우부터 적용한다.
제3조(개인정보의 열람 등 요구에 관한 경과조치) 이 영 시행 전에 개인정보의 열람, 정정ㆍ삭제, 처리정지를 요구한
자의 경우에는 제41조제1항, 제43조제1항 및 제44조제1항의 개정규정에도 불구하고 종전의 규정에 따른다.
부칙 <제29421호,2018. 12. 24.>(규제 재검토기한 설정 등을 위한 57개 법령의 일부개정에 관한 대통령령)
이 영은 2019년 1월 1일부터 시행한다.
부칙 <제30509호,2020. 3. 3.>(규제 재검토기한 해제 등을 위한 144개 대통령령의 일부개정에 관한 대통령령)
이 영은 공포한 날부터 시행한다.
부칙 <제30833호,2020. 7. 14.>(고위공직자범죄수사처 설치에 따른 15개 대통령령의 일부개정에 관한 대통령령)
이 영은 2020년 7월 15일부터 시행한다.
부칙 <제30892호,2020. 8. 4.>
제1조(시행일) 이 영은 2020년 8월 5일부터 시행한다. 다만, 제5조의3의 개정규정은 공포 후 6개월이 경과한 날부터
시행한다.
제2조(일반적 경과조치) 이 영 시행 전에 「정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령」에 따라 정보통신
서비스 제공자등이 행한 지정, 조치, 통지, 신고, 그 밖의 행위는 그에 해당하는 이 영의 규정에 따라 행한 것으로 본
다.
제3조(민감정보 처리에 관한 경과조치) 이 영 시행 전에 이 영 또는 다른 법령에 따라 적법하게 처리된 개인정보로서
제18조제3호 및 제4호의 개정규정에 해당하는 정보는 이 영 또는 다른 법령에 따라 처리된 것으로 본다.
본문 53쪽
법제처 53 국가법령정보센터
개인정보 보호법 시행령
제4조(과징금의 산정기준에 관한 경과조치) 이 영 시행 전의 위반행위로 「정보통신망 이용촉진 및 정보보호 등에 관한
법률」에 따라 받은 행정처분은 별표 1의5의 개정규정에 따른 위반행위의 횟수 산정에 포함한다.
제5조(과태료의 부과기준에 관한 경과조치) 이 영 시행 전의 위반행위로 「정보통신망 이용촉진 및 정보보호 등에 관한
법률」 또는 종전의 규정에 따라 받은 과태료 부과처분은 별표 2의 개정규정에 따른 위반행위의 횟수 산정에 포함한
다.
제6조(다른 법령의 개정) ① 법인세법 시행령 일부를 다음과 같이 개정한다.
제23조제1항제1호사목을 삭제한다.
② 자율주행자동차 상용화 촉진 및 지원에 관한 법률 시행령 일부를 다음과 같이 개정한다.
제16조 중 “「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조제1항제6호”를 “「개인정보 보호법」 제2조제
1호”로 한다.
③ 전자상거래 등에서의 소비자보호에 관한 법률 시행령 일부를 다음과 같이 개정한다.
제5조의2제1호를 삭제하고, 같은 조 제2호 중 “제36조제2항 및 제37조제4항”을 “제36조제2항, 제37조제4항 및 제
39조의7제3항”으로 한다.
④ 조세특례제한법 시행령 일부를 다음과 같이 개정한다.
제100조의14제2항제18호 중 “「정보통신망 이용촉진 및 정보보호 등에 관한 법률」”을 “「개인정보 보호법」”으로 한
다.
⑤ 주민등록법 시행령 일부를 다음과 같이 개정한다.
제12조의3제2항제1호 중 “「개인정보 보호법」 제34조제1항 및 같은 법 시행령 제40조”를 “「개인정보 보호법」 제
34조제1항, 제39조의4제1항 및 같은 법 시행령 제40조, 제48조의4”로 하고, 같은 항 제3호를 삭제한다.
제7조(다른 법령과의 관계) 이 영 시행 당시 다른 법령에서 개인정보 보호와 관련하여 「정보통신망 이용촉진 및 정보
보호 등에 관한 법률 시행령」 또는 그 규정을 인용하고 있는 경우 이 영 중 그에 해당하는 규정이 있는 경우에는 종
전의 규정에 갈음하여 이 영 또는 이 영의 해당 규정을 인용한 것으로 본다.
부칙 <제31429호,2021. 2. 2.>(소상공인기본법 시행령)
제1조(시행일) 이 영은 2021년 2월 5일부터 시행한다.
제2조(다른 법령의 개정) ① 개인정보 보호법 시행령 일부를 다음과 같이 개정한다.
제29조의5제1항제3호 단서 중 “「소상공인 보호 및 지원에 관한 법률」 제2조에 따른 소상공인”을 “「소상공인기본법
」 제2조에 따른 소상공인”으로 한다.
제32조제3항 본문 중 “「소상공인 보호 및 지원에 관한 법률」 제2조에 따른 소상공인”을 “「소상공인기본법」 제2조
에 따른 소상공인”으로 한다.
②부터 ⑭까지 생략
제3조 생략
부칙 <제32528호,2022. 3. 8.>(규제 재검토기한 설정 해제 등을 위한 91개 법령의 일부개정에 관한 대통령령)
개인정보 보호법 시행령
제4조(과징금의 산정기준에 관한 경과조치) 이 영 시행 전의 위반행위로 「정보통신망 이용촉진 및 정보보호 등에 관한
법률」에 따라 받은 행정처분은 별표 1의5의 개정규정에 따른 위반행위의 횟수 산정에 포함한다.
제5조(과태료의 부과기준에 관한 경과조치) 이 영 시행 전의 위반행위로 「정보통신망 이용촉진 및 정보보호 등에 관한
법률」 또는 종전의 규정에 따라 받은 과태료 부과처분은 별표 2의 개정규정에 따른 위반행위의 횟수 산정에 포함한
다.
제6조(다른 법령의 개정) ① 법인세법 시행령 일부를 다음과 같이 개정한다.
제23조제1항제1호사목을 삭제한다.
② 자율주행자동차 상용화 촉진 및 지원에 관한 법률 시행령 일부를 다음과 같이 개정한다.
제16조 중 “「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조제1항제6호”를 “「개인정보 보호법」 제2조제
1호”로 한다.
③ 전자상거래 등에서의 소비자보호에 관한 법률 시행령 일부를 다음과 같이 개정한다.
제5조의2제1호를 삭제하고, 같은 조 제2호 중 “제36조제2항 및 제37조제4항”을 “제36조제2항, 제37조제4항 및 제
39조의7제3항”으로 한다.
④ 조세특례제한법 시행령 일부를 다음과 같이 개정한다.
제100조의14제2항제18호 중 “「정보통신망 이용촉진 및 정보보호 등에 관한 법률」”을 “「개인정보 보호법」”으로 한
다.
⑤ 주민등록법 시행령 일부를 다음과 같이 개정한다.
제12조의3제2항제1호 중 “「개인정보 보호법」 제34조제1항 및 같은 법 시행령 제40조”를 “「개인정보 보호법」 제
34조제1항, 제39조의4제1항 및 같은 법 시행령 제40조, 제48조의4”로 하고, 같은 항 제3호를 삭제한다.
제7조(다른 법령과의 관계) 이 영 시행 당시 다른 법령에서 개인정보 보호와 관련하여 「정보통신망 이용촉진 및 정보
보호 등에 관한 법률 시행령」 또는 그 규정을 인용하고 있는 경우 이 영 중 그에 해당하는 규정이 있는 경우에는 종
전의 규정에 갈음하여 이 영 또는 이 영의 해당 규정을 인용한 것으로 본다.
부칙 <제31429호,2021. 2. 2.>(소상공인기본법 시행령)
제1조(시행일) 이 영은 2021년 2월 5일부터 시행한다.
제2조(다른 법령의 개정) ① 개인정보 보호법 시행령 일부를 다음과 같이 개정한다.
제29조의5제1항제3호 단서 중 “「소상공인 보호 및 지원에 관한 법률」 제2조에 따른 소상공인”을 “「소상공인기본법
」 제2조에 따른 소상공인”으로 한다.
제32조제3항 본문 중 “「소상공인 보호 및 지원에 관한 법률」 제2조에 따른 소상공인”을 “「소상공인기본법」 제2조
에 따른 소상공인”으로 한다.
②부터 ⑭까지 생략
제3조 생략
부칙 <제32528호,2022. 3. 8.>(규제 재검토기한 설정 해제 등을 위한 91개 법령의 일부개정에 관한 대통령령)
본문 54쪽
법제처 54 국가법령정보센터
개인정보 보호법 시행령
이 영은 공포한 날부터 시행한다.
부칙 <제32813호,2022. 7. 19.>
제1조(시행일) 이 영은 공포 후 3개월이 경과한 날부터 시행한다. 다만, 제16조제1항 및 제62조의 개정규정은 공포한
날부터 시행한다.
제2조(과징금의 산정기준에 관한 적용례) 별표 1, 별표 1의3 및 별표 1의5의 개정규정은 이 영 시행 전의 위반행위에
대해서도 적용한다.
부칙 <제33723호,2023. 9. 12.>
제1조(시행일) 이 영은 2023년 9월 15일부터 시행한다. 다만, 다음 각 호의 개정규정은 해당 호에서 정하는 날부터 시
행한다.
1. 제17조제1항 및 제30조의2의 개정규정: 2024년 9월 15일
2. 제15조의2제1항 후단의 개정규정: 2024년 1월 1일
3. 별표 2 제2호가목ㆍ고목ㆍ보목ㆍ소목 및 초목의 개정규정: 2024년 3월 15일
제2조(과태료 부과에 관한 경과조치) 이 영 시행 전에 종료된 종전의 별표 2 제2호가목, 나목, 아목 및 초목에 따른 위
반행위에 대한 과태료의 부과는 별표 2의 개정규정에도 불구하고 종전의 규정에 따른다.
제3조(다른 법령의 개정) ① 감염병의 예방 및 관리에 관한 법률 시행령 일부를 다음과 같이 개정한다.
제32조의2제3호 중 “영상정보처리기기”를 “고정형 영상정보처리기기”로 한다.
② 국민체육진흥법 시행령 일부를 다음과 같이 개정한다.
제18조의6의 제목 중 “영상정보처리기기”를 “고정형 영상정보처리기기”로 하고, 같은 조 각 호 외의 부분 중 “영상
정보처리기기”를 “고정형 영상정보처리기기”로 한다.
③ 농어업인 삶의 질 향상 및 농어촌지역 개발촉진에 관한 특별법 시행령 일부를 다음과 같이 개정한다.
별표 제3호사목의 목표치란 중 “제3조제1호”를 “제3조제1항제1호”로 한다.
④ 아동복지법 시행령 일부를 다음과 같이 개정한다.
제30조의 제목 중 “영상정보처리기기”를 “고정형 영상정보처리기기”로 하고, 같은 조 제1항부터 제3항까지 중 “영
상정보처리기기”를 각각 “고정형 영상정보처리기기”로 한다.
제31조의 제목 중 “영상정보처리기기”를 “고정형 영상정보처리기기”로 하고, 같은 조 제목 외의 부분 중 “영상정보
처리기기”를 “고정형 영상정보처리기기”로 한다.
⑤ 전자상거래 등에서의 소비자보호에 관한 법률 시행령 일부를 다음과 같이 개정한다.
제5조의2제2호 중 “제37조제4항”을 “제37조제5항”으로 한다.
⑥ 전자서명법 시행령 일부를 다음과 같이 개정한다.
별표 1 비고 제5호다목3) 중 “제33조제5항”을 “제33조제6항”으로 한다.
⑦ 주민등록법 시행령 일부를 다음과 같이 개정한다.
제12조의3제2항제1호 중 “제34조제1항, 제39조의4제1항 및 같은 법 시행령 제40조, 제48조의4”를 “제34조제1항 및
같은 법 시행령 제39조”로 한다.
개인정보 보호법 시행령
이 영은 공포한 날부터 시행한다.
부칙 <제32813호,2022. 7. 19.>
제1조(시행일) 이 영은 공포 후 3개월이 경과한 날부터 시행한다. 다만, 제16조제1항 및 제62조의 개정규정은 공포한
날부터 시행한다.
제2조(과징금의 산정기준에 관한 적용례) 별표 1, 별표 1의3 및 별표 1의5의 개정규정은 이 영 시행 전의 위반행위에
대해서도 적용한다.
부칙 <제33723호,2023. 9. 12.>
제1조(시행일) 이 영은 2023년 9월 15일부터 시행한다. 다만, 다음 각 호의 개정규정은 해당 호에서 정하는 날부터 시
행한다.
1. 제17조제1항 및 제30조의2의 개정규정: 2024년 9월 15일
2. 제15조의2제1항 후단의 개정규정: 2024년 1월 1일
3. 별표 2 제2호가목ㆍ고목ㆍ보목ㆍ소목 및 초목의 개정규정: 2024년 3월 15일
제2조(과태료 부과에 관한 경과조치) 이 영 시행 전에 종료된 종전의 별표 2 제2호가목, 나목, 아목 및 초목에 따른 위
반행위에 대한 과태료의 부과는 별표 2의 개정규정에도 불구하고 종전의 규정에 따른다.
제3조(다른 법령의 개정) ① 감염병의 예방 및 관리에 관한 법률 시행령 일부를 다음과 같이 개정한다.
제32조의2제3호 중 “영상정보처리기기”를 “고정형 영상정보처리기기”로 한다.
② 국민체육진흥법 시행령 일부를 다음과 같이 개정한다.
제18조의6의 제목 중 “영상정보처리기기”를 “고정형 영상정보처리기기”로 하고, 같은 조 각 호 외의 부분 중 “영상
정보처리기기”를 “고정형 영상정보처리기기”로 한다.
③ 농어업인 삶의 질 향상 및 농어촌지역 개발촉진에 관한 특별법 시행령 일부를 다음과 같이 개정한다.
별표 제3호사목의 목표치란 중 “제3조제1호”를 “제3조제1항제1호”로 한다.
④ 아동복지법 시행령 일부를 다음과 같이 개정한다.
제30조의 제목 중 “영상정보처리기기”를 “고정형 영상정보처리기기”로 하고, 같은 조 제1항부터 제3항까지 중 “영
상정보처리기기”를 각각 “고정형 영상정보처리기기”로 한다.
제31조의 제목 중 “영상정보처리기기”를 “고정형 영상정보처리기기”로 하고, 같은 조 제목 외의 부분 중 “영상정보
처리기기”를 “고정형 영상정보처리기기”로 한다.
⑤ 전자상거래 등에서의 소비자보호에 관한 법률 시행령 일부를 다음과 같이 개정한다.
제5조의2제2호 중 “제37조제4항”을 “제37조제5항”으로 한다.
⑥ 전자서명법 시행령 일부를 다음과 같이 개정한다.
별표 1 비고 제5호다목3) 중 “제33조제5항”을 “제33조제6항”으로 한다.
⑦ 주민등록법 시행령 일부를 다음과 같이 개정한다.
제12조의3제2항제1호 중 “제34조제1항, 제39조의4제1항 및 같은 법 시행령 제40조, 제48조의4”를 “제34조제1항 및
같은 법 시행령 제39조”로 한다.
본문 55쪽
법제처 55 국가법령정보센터
개인정보 보호법 시행령
⑧ 주택건설기준 등에 관한 규정 일부를 다음과 같이 개정한다.
제39조 중 “제3조제1호”를 “제3조제1항제1호”로 한다.
⑨ 학교체육 진흥법 시행령 일부를 다음과 같이 개정한다.
제2조의3의 제목 중 “영상정보처리기기”를 “고정형 영상정보처리기기”로 하고, 같은 조 각 호 외의 부분 중 “영상정
보처리기기”를 “고정형 영상정보처리기기”로 한다.
⑩ 학교폭력예방 및 대책에 관한 법률 시행령 일부를 다음과 같이 개정한다.
제32조의 제목 중 “영상정보처리기기”를 “고정형 영상정보처리기기”로 하고, 같은 조 각 호 외의 부분 중 “영상정보
처리기기”를 “고정형 영상정보처리기기”로 한다.
부칙 <제34309호,2024. 3. 12.>
제1조(시행일) 이 영은 2024년 3월 15일부터 시행한다. 다만, 대통령령 제33723호 개인정보 보호법 시행령 일부개정
령 제30조의2제1항의 개정규정 및 제32조제4항제4호의 개정규정은 2024년 9월 15일부터 시행한다.
제2조(개인정보 보호책임자에 관한 경과조치) ① 이 영 시행 당시 종전의 제32조제2항에 따라 개인정보 보호책임자를
지정한 개인정보처리자로서 제32조제4항의 개정규정에 따른 개인정보처리자(공공시스템운영기관은 제외한다)에
해당하는 경우에는 이 영 시행일부터 2년 동안 제32조제3항ㆍ제4항 및 별표 1에 따른 개인정보 보호책임자를 지정
한 것으로 본다.
② 부칙 제1조 단서에 따른 시행일 당시 종전의 제32조제2항에 따라 개인정보 보호책임자를 지정한 개인정보처리
자로서 제32조제4항제4호의 개정규정에 따른 공공시스템운영기관에 해당하는 경우(같은 항 제1호부터 제3호까지
의 개정규정에 따른 개인정보처리자에 해당하지 않는 경우로 한정한다)에는 부칙 제1조 단서에 따른 시행일부터
2년 동안 제32조제3항ㆍ제4항 및 별표 1에 따른 개인정보 보호책임자를 지정한 것으로 본다.
부칙 <제35343호,2025. 2. 25.>
제1조(시행일) ① 이 영은 2025년 3월 13일부터 시행한다. 다만, 다음 각 호의 개정규정은 해당 호에서 정하는 날부터
시행한다. <개정 2026. 2. 19.>
1. 제29조의4제2항, 제42조의9부터 제42조의16까지, 제62조제3항, 제62조의3제1항제1호ㆍ제7호ㆍ제9호, 같은 조
제2항 각 호 외의 부분, 같은 항 제1호 및 별표 1의3의 개정규정: 공포한 날
2. 제29조의2제1항ㆍ제4항 및 제62조의3제1항제8호의 개정규정: 2025년 7월 1일
3. 제42조의2제2항제3호 및 제42조의4제2항제3호의 개정규정: 2026년 6월 1일
② 법률 제19234호 개인정보 보호법 일부개정법률 부칙 제1조제2호에서 “대통령령으로 정하는 날”이란 2025년
3월 13일을 말한다.
제2조(결합전문기관 재지정에 관한 적용례) 제29조의2제4항의 개정규정은 부칙 제1조제1항제2호에 따른 시행일 이후
결합전문기관 지정의 유효기간 연장을 신청하는 경우부터 적용한다.
제3조(개인정보관리 전문기관 지정에 관한 특례) 부칙 제1조제1항제1호에 따른 시행일 당시 「정보통신 진흥 및 융합
활성화 등에 관한 특별법」 제37조 등 다른 법령에 따라 개인정보관리 전문기관 업무와 관련되는 임시허가 또는 그
와 유사한 특례 지정 등(이하 “임시허가등”이라 한다)을 받은 사업자는 지정권자로부터 제42조의12제1항 전단의 개
개인정보 보호법 시행령
⑧ 주택건설기준 등에 관한 규정 일부를 다음과 같이 개정한다.
제39조 중 “제3조제1호”를 “제3조제1항제1호”로 한다.
⑨ 학교체육 진흥법 시행령 일부를 다음과 같이 개정한다.
제2조의3의 제목 중 “영상정보처리기기”를 “고정형 영상정보처리기기”로 하고, 같은 조 각 호 외의 부분 중 “영상정
보처리기기”를 “고정형 영상정보처리기기”로 한다.
⑩ 학교폭력예방 및 대책에 관한 법률 시행령 일부를 다음과 같이 개정한다.
제32조의 제목 중 “영상정보처리기기”를 “고정형 영상정보처리기기”로 하고, 같은 조 각 호 외의 부분 중 “영상정보
처리기기”를 “고정형 영상정보처리기기”로 한다.
부칙 <제34309호,2024. 3. 12.>
제1조(시행일) 이 영은 2024년 3월 15일부터 시행한다. 다만, 대통령령 제33723호 개인정보 보호법 시행령 일부개정
령 제30조의2제1항의 개정규정 및 제32조제4항제4호의 개정규정은 2024년 9월 15일부터 시행한다.
제2조(개인정보 보호책임자에 관한 경과조치) ① 이 영 시행 당시 종전의 제32조제2항에 따라 개인정보 보호책임자를
지정한 개인정보처리자로서 제32조제4항의 개정규정에 따른 개인정보처리자(공공시스템운영기관은 제외한다)에
해당하는 경우에는 이 영 시행일부터 2년 동안 제32조제3항ㆍ제4항 및 별표 1에 따른 개인정보 보호책임자를 지정
한 것으로 본다.
② 부칙 제1조 단서에 따른 시행일 당시 종전의 제32조제2항에 따라 개인정보 보호책임자를 지정한 개인정보처리
자로서 제32조제4항제4호의 개정규정에 따른 공공시스템운영기관에 해당하는 경우(같은 항 제1호부터 제3호까지
의 개정규정에 따른 개인정보처리자에 해당하지 않는 경우로 한정한다)에는 부칙 제1조 단서에 따른 시행일부터
2년 동안 제32조제3항ㆍ제4항 및 별표 1에 따른 개인정보 보호책임자를 지정한 것으로 본다.
부칙 <제35343호,2025. 2. 25.>
제1조(시행일) ① 이 영은 2025년 3월 13일부터 시행한다. 다만, 다음 각 호의 개정규정은 해당 호에서 정하는 날부터
시행한다. <개정 2026. 2. 19.>
1. 제29조의4제2항, 제42조의9부터 제42조의16까지, 제62조제3항, 제62조의3제1항제1호ㆍ제7호ㆍ제9호, 같은 조
제2항 각 호 외의 부분, 같은 항 제1호 및 별표 1의3의 개정규정: 공포한 날
2. 제29조의2제1항ㆍ제4항 및 제62조의3제1항제8호의 개정규정: 2025년 7월 1일
3. 제42조의2제2항제3호 및 제42조의4제2항제3호의 개정규정: 2026년 6월 1일
② 법률 제19234호 개인정보 보호법 일부개정법률 부칙 제1조제2호에서 “대통령령으로 정하는 날”이란 2025년
3월 13일을 말한다.
제2조(결합전문기관 재지정에 관한 적용례) 제29조의2제4항의 개정규정은 부칙 제1조제1항제2호에 따른 시행일 이후
결합전문기관 지정의 유효기간 연장을 신청하는 경우부터 적용한다.
제3조(개인정보관리 전문기관 지정에 관한 특례) 부칙 제1조제1항제1호에 따른 시행일 당시 「정보통신 진흥 및 융합
활성화 등에 관한 특별법」 제37조 등 다른 법령에 따라 개인정보관리 전문기관 업무와 관련되는 임시허가 또는 그
와 유사한 특례 지정 등(이하 “임시허가등”이라 한다)을 받은 사업자는 지정권자로부터 제42조의12제1항 전단의 개
본문 56쪽
법제처 56 국가법령정보센터
개인정보 보호법 시행령
정규정에 따라 개인정보관리 전문기관으로 지정받은 것으로 본다. 다만, 부칙 제1조제1항제1호에 따른 시행일부터
1년 이내(부칙 제1조제1항제1호에 따른 시행일부터 1년이 경과하기 전에 임시허가등의 유효기간이 만료되는 경우
에는 유효기간 만료일까지로 하며, 이하 이 조에서 “지정유효기간”이라 한다)에 제42조의11의 개정규정에 따른 지
정요건을 갖추어 지정권자로부터 개인정보관리 전문기관으로 지정받아야 하며, 지정유효기간 내에 지정권자의 개
인정보관리 전문기관 지정을 받지 않은 자는 지정유효기간 만료일의 다음날에 개인정보관리 전문기관 지정이 취소
된 것으로 본다.
부칙 <제35780호,2025. 9. 23.>
제1조(시행일) 이 영은 2025년 10월 2일부터 시행한다.
제2조(개인정보파일의 등록에 관한 특례) 제2조제3호의2의 개정규정에 따라 새로 법의 적용대상이 되는 공공기관의
장은 이 영 시행 당시 개인정보파일을 운용하고 있는 경우 제34조제1항에도 불구하고 이 영 시행일부터 60일 이내
에 해당 개인정보파일을 법 제32조에 따라 보호위원회에 등록해야 한다.
제3조(개인정보 영향평가에 관한 특례) 제2조제3호의2의 개정규정에 따라 새로 법의 적용대상이 되는 공공기관의 장
은 이 영 시행 당시 개인정보를 전자적으로 처리할 수 있는 개인정보파일로서 제35조 각 호의 어느 하나에 해당하
는 개인정보파일을 운용하고 있는 경우 영향평가를 실시하고 그 결과를 이 영 시행일부터 2년 이내에 법 제33조에
따라 보호위원회에 제출해야 한다.
부칙 <제35811호,2025. 10. 1.>(정부조직 개편 반영을 위한 306개 법령의 일부개정에 관한 대통령령)
이 영은 공포한 날부터 시행한다. 다만, 이 영에 따라 개정되는 대통령령 중 이 영 시행 전에 공포되었으나 시행일이 도
래하지 아니한 대통령령을 개정한 부분은 각각 해당 대통령령의 시행일부터 시행한다.
부칙 <제36121호,2026. 2. 19.>
이 영은 공포 후 6개월이 경과한 날부터 시행한다. 다만, 제42조의2제1항제1호의 개정규정은 공포 후 1년이 경과한 날
부터 시행한다.
부칙 <제36340호,2026. 5. 19.>
이 영은 공포한 날부터 시행한다.
부칙 <제36671호,2026. 9. 10.>
제1조(시행일) 이 영은 2026년 9월 11일부터 시행한다.
제2조(개인정보 보호책임자의 지정 신고에 관한 특례) 제32조제4항의 개정규정에도 불구하고 같은 조 제3항의 개정규
정에 따른 기준에 해당하는 개인정보처리자로서 이 영 시행 전에 개인정보 보호책임자를 지정한 개인정보처리자는
이 영 시행일부터 6개월 이내에 같은 조 제4항의 개정규정에 따라 보호위원회에 신고해야 한다.
제3조(다른 법령의 개정) 「신용정보의 이용 및 보호에 관한 법률 시행령」 제34조의4제8항 중 “「개인정보 보호법」 제
34조제3항”을 “「개인정보 보호법」 제34조제4항”으로 한다.
개인정보 보호법 시행령
정규정에 따라 개인정보관리 전문기관으로 지정받은 것으로 본다. 다만, 부칙 제1조제1항제1호에 따른 시행일부터
1년 이내(부칙 제1조제1항제1호에 따른 시행일부터 1년이 경과하기 전에 임시허가등의 유효기간이 만료되는 경우
에는 유효기간 만료일까지로 하며, 이하 이 조에서 “지정유효기간”이라 한다)에 제42조의11의 개정규정에 따른 지
정요건을 갖추어 지정권자로부터 개인정보관리 전문기관으로 지정받아야 하며, 지정유효기간 내에 지정권자의 개
인정보관리 전문기관 지정을 받지 않은 자는 지정유효기간 만료일의 다음날에 개인정보관리 전문기관 지정이 취소
된 것으로 본다.
부칙 <제35780호,2025. 9. 23.>
제1조(시행일) 이 영은 2025년 10월 2일부터 시행한다.
제2조(개인정보파일의 등록에 관한 특례) 제2조제3호의2의 개정규정에 따라 새로 법의 적용대상이 되는 공공기관의
장은 이 영 시행 당시 개인정보파일을 운용하고 있는 경우 제34조제1항에도 불구하고 이 영 시행일부터 60일 이내
에 해당 개인정보파일을 법 제32조에 따라 보호위원회에 등록해야 한다.
제3조(개인정보 영향평가에 관한 특례) 제2조제3호의2의 개정규정에 따라 새로 법의 적용대상이 되는 공공기관의 장
은 이 영 시행 당시 개인정보를 전자적으로 처리할 수 있는 개인정보파일로서 제35조 각 호의 어느 하나에 해당하
는 개인정보파일을 운용하고 있는 경우 영향평가를 실시하고 그 결과를 이 영 시행일부터 2년 이내에 법 제33조에
따라 보호위원회에 제출해야 한다.
부칙 <제35811호,2025. 10. 1.>(정부조직 개편 반영을 위한 306개 법령의 일부개정에 관한 대통령령)
이 영은 공포한 날부터 시행한다. 다만, 이 영에 따라 개정되는 대통령령 중 이 영 시행 전에 공포되었으나 시행일이 도
래하지 아니한 대통령령을 개정한 부분은 각각 해당 대통령령의 시행일부터 시행한다.
부칙 <제36121호,2026. 2. 19.>
이 영은 공포 후 6개월이 경과한 날부터 시행한다. 다만, 제42조의2제1항제1호의 개정규정은 공포 후 1년이 경과한 날
부터 시행한다.
부칙 <제36340호,2026. 5. 19.>
이 영은 공포한 날부터 시행한다.
부칙 <제36671호,2026. 9. 10.>
제1조(시행일) 이 영은 2026년 9월 11일부터 시행한다.
제2조(개인정보 보호책임자의 지정 신고에 관한 특례) 제32조제4항의 개정규정에도 불구하고 같은 조 제3항의 개정규
정에 따른 기준에 해당하는 개인정보처리자로서 이 영 시행 전에 개인정보 보호책임자를 지정한 개인정보처리자는
이 영 시행일부터 6개월 이내에 같은 조 제4항의 개정규정에 따라 보호위원회에 신고해야 한다.
제3조(다른 법령의 개정) 「신용정보의 이용 및 보호에 관한 법률 시행령」 제34조의4제8항 중 “「개인정보 보호법」 제
34조제3항”을 “「개인정보 보호법」 제34조제4항”으로 한다.
본문 57쪽
법제처 57 국가법령정보센터
개인정보 보호법 시행령
■개인정보보호법시행령[별표1]<개정2026.9.10.>개인정보보호책임자의자격(제32조제2항각호외의부분후단관련)1.제32조제2항각호외의부분후단에따라개인정보보호책임자로지정되는사람은개인정보보호경력,정보보호경력,정보기술경력을합하여총4년이상보유하고,그중개인정보보호경력을최소2년이상보유해야한다.2.제1호에서“개인정보보호경력”이란공공기관,기업체,교육기관및연구기관등에서개인정보보호관련정책및제도ㆍ개인정보영향평가ㆍ개인정보보호인증심사등개인정보보호업무를수행한경력,개인정보보호관련컨설팅또는법률자문경력을말한다.3.제1호에서“정보보호경력”이란공공기관,기업체,교육기관및연구기관등에서정보보호를위한공통기반기술,시스템ㆍ네트워크보호,응용서비스보호,계획ㆍ분석ㆍ설계ㆍ개발ㆍ운영ㆍ유지보수ㆍ컨설팅ㆍ감리또는연구개발등정보보호업무를수행한경력,정보보호관련컨설팅또는법률자문경력을말한다.4.제1호에서“정보기술경력”이란공공기관,기업체,교육기관및연구기관등에서정보통신서비스,정보통신기기,소프트웨어및컴퓨터관련서비스분야의계획ㆍ분석ㆍ설계ㆍ개발ㆍ운영ㆍ유지보수ㆍ컨설팅ㆍ감리또는연구개발등정보기술업무를수행한경력,정보기술관련컨설팅또는법률자문경력을말한다.비고:가.동일기간에두가지이상업무가중복되는경우에는하나의경력만인정한다.나.개인정보보호,정보보호,정보기술관련학위를취득한경우에는아래의표에따라경력으로인정한다.다만,여러학위를취득한경우에는개인정보보호책임자를지정하려는개인정보처리자가정하는하나의학위만경력으로인정한다.학위경력인정기간개인정보보호관련박사개인정보보호경력2년개인정보보호관련석사개인정보보호경력1년개인정보보호관련학사개인정보보호경력6개월정보보호관련박사정보보호경력2년정보보호관련석사정보보호경력1년
개인정보 보호법 시행령
■개인정보보호법시행령[별표1]<개정2026.9.10.>개인정보보호책임자의자격(제32조제2항각호외의부분후단관련)1.제32조제2항각호외의부분후단에따라개인정보보호책임자로지정되는사람은개인정보보호경력,정보보호경력,정보기술경력을합하여총4년이상보유하고,그중개인정보보호경력을최소2년이상보유해야한다.2.제1호에서“개인정보보호경력”이란공공기관,기업체,교육기관및연구기관등에서개인정보보호관련정책및제도ㆍ개인정보영향평가ㆍ개인정보보호인증심사등개인정보보호업무를수행한경력,개인정보보호관련컨설팅또는법률자문경력을말한다.3.제1호에서“정보보호경력”이란공공기관,기업체,교육기관및연구기관등에서정보보호를위한공통기반기술,시스템ㆍ네트워크보호,응용서비스보호,계획ㆍ분석ㆍ설계ㆍ개발ㆍ운영ㆍ유지보수ㆍ컨설팅ㆍ감리또는연구개발등정보보호업무를수행한경력,정보보호관련컨설팅또는법률자문경력을말한다.4.제1호에서“정보기술경력”이란공공기관,기업체,교육기관및연구기관등에서정보통신서비스,정보통신기기,소프트웨어및컴퓨터관련서비스분야의계획ㆍ분석ㆍ설계ㆍ개발ㆍ운영ㆍ유지보수ㆍ컨설팅ㆍ감리또는연구개발등정보기술업무를수행한경력,정보기술관련컨설팅또는법률자문경력을말한다.비고:가.동일기간에두가지이상업무가중복되는경우에는하나의경력만인정한다.나.개인정보보호,정보보호,정보기술관련학위를취득한경우에는아래의표에따라경력으로인정한다.다만,여러학위를취득한경우에는개인정보보호책임자를지정하려는개인정보처리자가정하는하나의학위만경력으로인정한다.학위경력인정기간개인정보보호관련박사개인정보보호경력2년개인정보보호관련석사개인정보보호경력1년개인정보보호관련학사개인정보보호경력6개월정보보호관련박사정보보호경력2년정보보호관련석사정보보호경력1년
본문 58쪽
다.그밖에보호위원회가정하여고시하는자격을취득하거나교육을이수한경우등의해당취득자격이나이수교육등에대해서는보호위원회가정하여고시하는바에따라개인정보보호경력,정보보호경력또는정보기술경력으로인정한다.
정보보호관련학사정보보호경력6개월정보기술관련박사정보기술경력2년정보기술관련석사정보기술경력1년정보기술관련학사정보기술경력6개월
정보보호관련학사정보보호경력6개월정보기술관련박사정보기술경력2년정보기술관련석사정보기술경력1년정보기술관련학사정보기술경력6개월
본문 59쪽
■개인정보보호법시행령[별표1의2]<신설2025.2.25.>개인정보관리전문기관의손해배상책임이행을위한최저가입금액또는최소적립금액의기준(제42조의11제1항제3호다목관련)구분최저가입금액또는최소적립금액중계전문기관및일반전문기관10억원.다만,제42조의10제1항에따라지정을신청한자가제42조의11제2항제2호또는제3호에해당하는경우에는별표1의4에따른최저가입금액(최소적립금액)으로한다.특수전문기관10억원.다만,제42조의10제1항에따라지정을신청한자가제42조의11제2항각호(제1호의경우에는진료목적으로보건의료전송정보를전송받는경우에한정한다)에해당하는경우에는별표1의4에따른최저가입금액(최소적립금액)으로한다.비고개인정보관리전문기관이보험또는공제가입과준비금적립을병행하는경우에는보험또는공제가입금액과준비금적립금액을합산한금액이위표에서정한최저가입금액또는최소적립금액기준이상이어야한다.
본문 60쪽
■개인정보보호법시행령[별표1의3]<개정2026.2.19.>개인정보관리전문기관의금지행위(제42조의13관련)1.중계전문기관의금지행위가.중계전문기관업무종료후다른법령에따라보존해야하는경우등정당한사유없이법제21조에따라개인정보를파기하지않는행위나.제42조의5제6항에따른정보주체의전송요구철회에도불구하고즉시전송절차를중단하지않는행위다.제42조의6제11항에따라전송내역에대한기록을작성하지않거나보관하지않는행위라.제42조의12제7항에따라중계업무의일부또는전부를중지또는폐지하는경우중지또는폐지예정일의6개월전까지지정권자에게통지하지않는행위마.전송절차중단을이유로정당한이유없이위약금등경제적대가를요구하거나제47조제1항에따라정해진수수료의금액보다높은수수료를요구하는행위바.제47조제1항단서에따른수수료산정기준을위반하여중계수수료를산정하거나중계수수료산정에필요한기초자료를조작하는등의방법으로중계수수료를높이는등부당한이익을취득하는행위사.중계전문기관을이용하려는정보전송자,일반전문기관,특수전문기관및일반수신자에대하여정당한사유없이중계를거부하거나이용을차별하는행위아.그밖에가목부터사목까지와유사한행위로서정보주체의이익을침해하거나전송체계확립에지장을초래할우려가있다고보호위원회가정하여고시하는행위2.일반전문기관의금지행위가.법제16조제1항을위반하여전송요구목적과관련없는개인정보를수집하기위하여해당정보를전송하도록요구하는행위나.법제16조제3항에따른서비스운영을위하여필수적인경우가아닌데도전송받은정보에대한제3자제공동의를전송요구와동시에받는행위다.법제21조를위반하여전송요구목적달성이후에도전송받은개인정보를보관하는행위라.법제38조제1항에따른권리에대한대리행사를강요하거나부당하게유도
본문 61쪽
하는행위마.정보주체의동의없이제42조의5제3항에따른전송요구내용을변경하여개인정보를요구하는행위바.제42조의5제6항에따른정보주체의요구에도불구하고전송요구를즉시변경ㆍ철회하지않는행위사.제42조의5제6항에따른정보주체의전송요구변경및철회를이유로정당한이유없이위약금등경제적대가를요구하는행위아.제47조제4항에따른개인정보전송에따른수수료의지불을회피하는행위자.전송요구를하도록강요하거나부당하게유도하는행위차.자신이아닌제3자에게전송요구를하지않도록강요ㆍ유도하거나제3자에대한전송요구를철회하도록강요하는행위카.정보주체에게적합하지않다고인정되는계약체결을자신의이익을위하여추천또는권유하는행위타.자기또는제3자의이익을위하여특정정보주체의이익을침해하는행위파.정보주체의전송요구를이유로개인정보처리자의전산설비에지속적ㆍ반복적으로접근하여장애를일으키는행위하.그밖에가목부터파목까지와유사한행위로서정보주체의이익을침해하거나전송체계확립에지장을초래할우려가있다고보호위원회가정하여고시하는행위3.특수전문기관의금지행위가.제2호가목부터파목까지의행위나.금전적이익등을조건으로정보주체의전송동의를유도하는행위다.「정신건강증진및정신질환자복지서비스지원에관한법률」제3조제1호에따른정신질환자,「장애인차별금지및권리구제등에관한법률」제2조제2항에따른장애인,「장기등이식에관한법률」제4조제2호에따른장기등기증자및「후천성면역결핍증예방법」제2조제2호에따른후천성면역결핍증환자등을차별하는행위라.「생명윤리및안전에관한법률」제46조제1항ㆍ제2항및제50조에따라금지및제한된행위마.그밖에가목부터라목까지와유사한행위로서정보주체의이익을침해하거나전송체계확립에지장을초래할우려가있다고보호위원회가정하여고시하는행위
본문 62쪽
■개인정보보호법시행령[별표1의4]<개정2024.3.12.>손해배상책임의이행을위한최저가입금액(최소적립금액)의기준(제48조의7제4항관련)가입대상개인정보처리자의가입금액산정요소최저가입금액(최소적립금액)정보주체수매출액등100만명이상800억원초과10억원50억원초과800억원이하5억원10억원이상50억원이하2억원10만명이상100만명미만800억원초과5억원50억원초과800억원이하2억원10억원이상50억원이하1억원1만명이상10만명미만800억원초과2억원50억원초과800억원이하1억원10억원이상50억원이하5천만원비고:이표에서“매출액등”이란제31조의2제1항제1호에따른매출액등을말한다.
본문 63쪽
■개인정보보호법시행령[별표1의5]<개정2026.9.10.>과징금의산정기준과산정절차(제60조의2제7항관련)1.과징금의산정단계과징금은법제64조의2제5항각호에따른고려사항과이에영향을미치는행위를종합적으로고려하여제2호가목에따라산정된기준금액에같은호나목에따른감경(이하“투자감경”이라한다),같은호다목에따른1차조정,같은호라목에따른2차조정,같은호바목에따른부과과징금결정을순차적으로거쳐산정한다.다만,가중하는경우에도법제64조의2제1항각호외의부분및같은조제2항각호외의부분에따른과징금금액의상한을넘을수없다.2.과징금의산정단계에따른산정방식과고려사유가.기준금액의산정 1)법제64조의2제1항에따라부과하는경우 가)기준금액은제60조의2제1항에따른전체매출액에서같은조제3항에따른위반행위와관련이없는매출액을제외한매출액에위반행위의중대성에따라다음과같이구분된과징금의산정비율(이하“부과기준율”이라한다)을곱하여산출한금액으로한다.위반행위의중대성부과기준율매우중대한위반행위2.1%이상2.7%이하중대한위반행위1.5%이상2.1%미만보통위반행위0.9%이상1.5%미만약한위반행위0.03%이상0.9%미만 나)제60조의2제2항각호의어느하나에해당하는경우에는가)에도불구하고위반행위의중대성에따라기준금액을다음과같이한다.위반행위의중대성기준금액매우중대한위반행위7억원이상18억원이하중대한위반행위2억원이상7억원미만보통위반행위5천만원이상2억원미만약한위반행위5백만원이상5천만원미만 다)가)및나)에따른위반행위의중대성은다음의사항을종합적으로고려하여판단한다.
본문 64쪽
(1)위반행위의내용및정도 (2)암호화등안전성확보조치이행노력 (3)개인정보유출등이된경우위반행위와의관련성및유출등의규모 (4)개인정보처리자가처리하는개인정보의유형과정보주체에게미치는영향 (5)위반행위로인한정보주체의피해규모 2)법제64조의2제2항에따라부과하는경우 가)기준금액은제60조의2제1항에따른전체매출액에서같은조제3항에따른위반행위와관련이없는매출액을제외한매출액에부과기준율을곱한후가중비율을곱하여산출한금액으로한다.이경우부과기준율에가중비율을곱한비율은8.91%를넘을수없다. 나)제60조의2제2항각호의어느하나에해당하는경우에는가)에도불구하고1)나)의위반행위의중대성에따른기준금액에가중금액을더하여산출한금액을기준금액으로한다.이경우산출한기준금액은45억원을넘을수없다. 다)가)전단에따른가중비율및나)전단에따른가중금액은다음각호의사항을종합적으로고려하여보호위원회가정하여고시하는기준에따라산출한다. (1)고의또는중대한과실의내용,정도및그경위 (2)위반행위반복정도및그경위 (3)시정조치명령불이행등의내용,정도및그경위 (4)위반행위로인한정보주체의피해규모(정보주체의피해규모가1천만명이상인경우만해당한다)나.투자감경 법제64조의2제6항에따라가목에따른기준금액의100분의40의범위에서제60조의2제5항의사유를고려하여보호위원회가정하여고시하는기준에따라감경한다.다.1차조정 위반행위의기간및횟수,위반행위로인하여취득한이익의규모,개인정보처리자의업무형태및규모를고려하여투자감경을거친금액의100분의90의범위에서보호위원회가정하여고시하는기준에따라가중하거나감경할수있다.
본문 65쪽
라.2차조정 다음의사항(법제64조의2제5항각호의사항중가목에따른기준금액산정,투자감경및다목에따른1차조정단계에서고려된사항은제외한다)을종합적으로고려하여1차조정을거친금액의100분의50의범위에서보호위원회가정하여고시하는기준에따라가중하거나감경할수있다. 1)보호위원회와의협조등위반행위를시정하기위한조치여부 2)위반행위로인한피해의회복및피해확산방지조치의이행여부 3)개인정보보호인증,자율적인보호활동등개인정보보호를위한노력 4)위반행위의주도여부 5)위반행위사실의자진신고여부마.과징금감경의제한 다목및라목에도불구하고위반행위가가목에따른매우중대한위반행위에해당하는경우에는1차조정및2차조정에서산정되는감경의전부또는일부를적용하지않을수있다.바.부과과징금의결정 1)다음의사항을고려하여라목에따라산정된과징금이과중하다고인정되는경우에는해당금액의100분의90범위에서감경할수있다. 가)위반행위자의현실적인부담능력 나)경제위기등으로위반행위자가속한시장ㆍ산업여건이현저하게변동되거나지속적으로악화된상태인지여부 다)그밖에위반행위의구체적인내용,정도,피해규모및영향등보호위원회가정하여고시하는사항 2)법제64조의2제7항각호의어느하나에해당하는경우에는과징금을부과하지않을수있다.3.세부기준매출액의산정에관한세부기준,위반행위의중대성판단기준,투자감경에관한세부기준,1차조정및2차조정을위한세부기준,과징금감경의제한에관한세부기준,부과과징금의결정을위한세부기준과그밖에과징금의부과에필요한사항은보호위원회가정하여고시한다.
본문 66쪽
■개인정보보호법시행령[별표2]<개정2026.9.10.>과태료의부과기준(제63조관련)1.일반기준가.위반행위의횟수에따른과태료의가중된부과기준은최근3년간같은위반행위로과태료부과처분을받은경우에적용한다.이경우기간의계산은위반행위에대하여과태료부과처분을받은날과그처분후다시같은위반행위를하여적발된날을기준으로한다.나.가목에따라가중된부과처분을하는경우가중처분의적용차수는그위반행위전부과처분차수(가목에따른기간내에과태료부과처분이둘이상있었던경우에는높은차수를말한다)의다음차수로한다.다.부과권자는다음의어느하나에해당하는경우에는제2호의개별기준에따른과태료금액을줄이거나면제할수있다.다만,과태료를체납하고있는위반행위자에대해서는그렇지않다.1)위반행위가사소한부주의나오류로인한것으로인정되는경우2)위반의내용ㆍ정도가경미하다고인정되는경우3)위반행위자가「중소기업기본법」제2조에따른중소기업자인경우등위반행위자의업무형태및규모에비해과중하다고인정되는경우4)위반행위자가법위반상태를시정하거나해소하기위하여노력한것이인정되는경우5)위반행위자가위반행위로인한피해의회복및피해확산방지조치를이행한경우6)위반행위자가법제32조의2에따른개인정보보호인증을받거나자율적인보호활동을하는등개인정보보호를위하여노력한것이인정되는경우7)위반행위자가위반행위사실을자진신고한경우8)그밖에위반행위의정도,위반행위의동기와그결과등을고려하여과태료금액을줄이거나면제할필요가있다고인정되는경우라.부과권자는다음의어느하나에해당하는경우에는제2호의개별기준에따른과태료의2분의1범위에서그금액을늘려부과할수있다.다만,늘려부과하는경우에도법제75조제1항부터제4항까지의규정에따른과태료금액의상한을넘을수없다.1)위반의내용ㆍ정도가중대하여정보주체등에게미치는피해가크다고인정되는경우2)그밖에위반행위의정도ㆍ기간,위반행위의동기와그결과등을고려하
본문 67쪽
여과태료금액을늘릴필요가있다고인정되는경우2.개별기준(단위:만원)위반행위근거법조문과태료금액1회위반2회위반3회이상위반가.법제11조의2제2항을위반하여정당한사유없이자료를제출하지않거나거짓으로제출한경우법제75조제4항제1호3006001,000나.법제16조제3항ㆍ제22조제5항(법제26조제8항에따라준용되는경우를포함한다)을위반하여재화또는서비스의제공을거부한경우법제75조제2항제1호9001,8003,000
다.법제20조제1항ㆍ제2항을위반하여정보주체에게같은조제1항각호의사실을알리지않은경우법제75조제2항제2호9001,8003,000라.법제20조의2제1항을위반하여개인정보의이용ㆍ제공내역이나이용ㆍ제공내역을확인할수있는정보시스템에접속하는방법을통지하지않은경우법제75조제2항제3호9001,8003,000
마.법제21조제1항(법제26조제8항에따라준용되는경우를포함한다)을위반하여개인정보의파기등필요한조치를하지않은경우법제75조제2항제4호9001,8003,000
바.법제21조제3항(법제26조제8항에따라준용되는경우를포함한다)을위반하여개인정보를분리하여저장ㆍ관리하지않은경우법제75조제4항제2호3006001,000
사.법제22조제1항부터제3항까지(법제26조제8항에따라준용되는경우를포함한다)를위반하여동의를받은경우법제75조제4항제3호3006001,000아.법제23조제2항ㆍ제24조제3항ㆍ제25조제6항(법제25조의2제4항에따라준용되는경우를포함한다)ㆍ제28조의4제1항ㆍ제29법제75조제2항제5호9001,8003,000
다.법제20조제1항ㆍ제2항을위반하여정보주체에게같은조제1항각호의사실을알리지않은경우법제75조제2항제2호9001,8003,000라.법제20조의2제1항을위반하여개인정보의이용ㆍ제공내역이나이용ㆍ제공내역을확인할수있는정보시스템에접속하는방법을통지하지않은경우법제75조제2항제3호9001,8003,000
마.법제21조제1항(법제26조제8항에따라준용되는경우를포함한다)을위반하여개인정보의파기등필요한조치를하지않은경우법제75조제2항제4호9001,8003,000
바.법제21조제3항(법제26조제8항에따라준용되는경우를포함한다)을위반하여개인정보를분리하여저장ㆍ관리하지않은경우법제75조제4항제2호3006001,000
사.법제22조제1항부터제3항까지(법제26조제8항에따라준용되는경우를포함한다)를위반하여동의를받은경우법제75조제4항제3호3006001,000아.법제23조제2항ㆍ제24조제3항ㆍ제25조제6항(법제25조의2제4항에따라준용되는경우를포함한다)ㆍ제28조의4제1항ㆍ제29법제75조제2항제5호9001,8003,000
본문 68쪽
조(법제26조제8항에따라준용되는경우를포함한다)를위반하여안전성확보에필요한조치를하지않은경우자.법제23조제3항(법제26조제8항에따라준용되는경우를포함한다)을위반하여민감정보의공개가능성및비공개를선택하는방법을알리지않은경우법제75조제2항제6호9001,8003,000
차.법제24조의2제1항(법제26조제8항에따라준용되는경우를포함한다)을위반하여주민등록번호를처리한경우법제75조제2항제7호9001,8003,000카.법제24조의2제2항(법제26조제8항에따라준용되는경우를포함한다)을위반하여암호화조치를하지않은경우법제75조제2항제8호9001,8003,000타.법제24조의2제3항(법제26조제8항에따라준용되는경우를포함한다)을위반하여정보주체가주민등록번호를사용하지않을수있는방법을제공하지않은경우법제75조제2항제9호9001,8003,000
파.법제25조제1항(법제26조제8항에따라준용되는경우를포함한다)을위반하여고정형영상정보처리기기를설치ㆍ운영한경우법제75조제2항제10호9001,8003,000
하.법제25조제2항(법제26조제8항에따라준용되는경우를포함한다)을위반하여고정형영상정보처리기기를설치ㆍ운영한경우법제75조제1항제1호1,5003,0005,000
거.법제25조의2제1항(법제26조제8항에따라준용되는경우를포함한다)을위반하여사람또는그사람과관련된사물의영상을촬영한경우법제75조제2항제11호9001,8003,000
너.법제25조의2제2항(법제26조제8항에따라준용되는경우를포함한다)을위반하여이동형영상정보처리기기로사람또는그사람과관련된사물의영상을촬영한경우법제75조제1항제2호1,5003,0005,000
더.법제26조제1항을위반하여업무위탁시같은항각호의내용이포함된문서로하법제75조제4항제4호3006001,000
차.법제24조의2제1항(법제26조제8항에따라준용되는경우를포함한다)을위반하여주민등록번호를처리한경우법제75조제2항제7호9001,8003,000카.법제24조의2제2항(법제26조제8항에따라준용되는경우를포함한다)을위반하여암호화조치를하지않은경우법제75조제2항제8호9001,8003,000타.법제24조의2제3항(법제26조제8항에따라준용되는경우를포함한다)을위반하여정보주체가주민등록번호를사용하지않을수있는방법을제공하지않은경우법제75조제2항제9호9001,8003,000
파.법제25조제1항(법제26조제8항에따라준용되는경우를포함한다)을위반하여고정형영상정보처리기기를설치ㆍ운영한경우법제75조제2항제10호9001,8003,000
하.법제25조제2항(법제26조제8항에따라준용되는경우를포함한다)을위반하여고정형영상정보처리기기를설치ㆍ운영한경우법제75조제1항제1호1,5003,0005,000
거.법제25조의2제1항(법제26조제8항에따라준용되는경우를포함한다)을위반하여사람또는그사람과관련된사물의영상을촬영한경우법제75조제2항제11호9001,8003,000
너.법제25조의2제2항(법제26조제8항에따라준용되는경우를포함한다)을위반하여이동형영상정보처리기기로사람또는그사람과관련된사물의영상을촬영한경우법제75조제1항제2호1,5003,0005,000
더.법제26조제1항을위반하여업무위탁시같은항각호의내용이포함된문서로하법제75조제4항제4호3006001,000
본문 69쪽
지않은경우러.법제26조제2항을위반하여위탁하는업무의내용과수탁자를공개하지않은경우법제75조제4항제5호3006001,000머.법제26조제3항을위반하여정보주체에게알려야할사항을알리지않은경우법제75조제2항제12호9001,8003,000버.법제26조제6항을위반하여위탁자의동의를받지않고제3자에게다시위탁한경우법제75조제3항제1호6001,2002,000서.법제27조제1항ㆍ제2항(법제26조제8항에따라준용되는경우를포함한다)을위반하여정보주체에게개인정보의이전사실을알리지않은경우법제75조제4항제6호3006001,000
어.법제28조의4제3항(법제26조제8항에따라준용되는경우를포함한다)을위반하여관련기록을작성하여보관하지않은경우법제75조제4항제7호3006001,000저.법제28조의5제2항(법제26조제8항에따라준용되는경우를포함한다)을위반하여개인을알아볼수있는정보가생성되었음에도이용을중지하지않거나이를회수ㆍ파기하지않은경우법제75조제2항제13호9001,8003,000
처.법제28조의8제4항(법제26조제8항및제28조의11에따라준용되는경우를포함한다)을위반하여보호조치를하지않은경우법제75조제2항제14호9001,8003,000
커.법제30조제1항또는제2항(법제26조제8항에따라준용되는경우를포함한다)을위반하여개인정보처리방침을정하지않거나이를공개하지않은경우법제75조제4항제8호3006001,000
터.법제31조제1항(법제26조제8항에따라준용되는경우를포함한다)을위반하여개인정보보호책임자를지정하지않거나법제31조제10항(법제26조제8항에따라준용되는경우를포함한다)에따른개인정보보호책임자의자격요건을갖추지않은자를개인정보보호책임자로지정한경우
법제75조제2항제14호의29001,8003,000
어.법제28조의4제3항(법제26조제8항에따라준용되는경우를포함한다)을위반하여관련기록을작성하여보관하지않은경우법제75조제4항제7호3006001,000저.법제28조의5제2항(법제26조제8항에따라준용되는경우를포함한다)을위반하여개인을알아볼수있는정보가생성되었음에도이용을중지하지않거나이를회수ㆍ파기하지않은경우법제75조제2항제13호9001,8003,000
처.법제28조의8제4항(법제26조제8항및제28조의11에따라준용되는경우를포함한다)을위반하여보호조치를하지않은경우법제75조제2항제14호9001,8003,000
커.법제30조제1항또는제2항(법제26조제8항에따라준용되는경우를포함한다)을위반하여개인정보처리방침을정하지않거나이를공개하지않은경우법제75조제4항제8호3006001,000
터.법제31조제1항(법제26조제8항에따라준용되는경우를포함한다)을위반하여개인정보보호책임자를지정하지않거나법제31조제10항(법제26조제8항에따라준용되는경우를포함한다)에따른개인정보보호책임자의자격요건을갖추지않은자를개인정보보호책임자로지정한경우
법제75조제2항제14호의29001,8003,000
본문 70쪽
퍼.법제31조제3항제1호(법제26조제8항에따라준용되는경우를포함한다)를위반하여개인정보보호책임자를지정하거나그지정을변경또는해제할때에이사회의의결을거치지않은경우법제75조제2항제14호의39001,8003,000
허.법제31조제3항제2호(법제26조제8항에따라준용되는경우를포함한다)를위반하여개인정보보호책임자의지정ㆍ변경또는해제에관한사항을신고하지않은경우법제75조제2항제14호의49001,8003,000
고.법제31조의2제1항을위반하여국내대리인을지정하지않은경우법제75조제3항제2호2,000노.법제31조의2제2항을위반하여국내대리인을지정한경우법제75조제3항제3호2,000도.법제31조의2제3항을위반하여국내대리인을관리ㆍ감독하지않은경우법제75조제3항제4호2,000로.법제31조의2제4항을위반하여국내대리인의성명ㆍ주소ㆍ전화번호및전자우편주소를개인정보처리방침에포함하지않은경우법제75조제4항제9호의23006001,000
모.법제32조의2제6항을위반하여인증을받지않았음에도거짓으로인증의내용을표시하거나홍보한경우법제75조제2항제15호의29001,8003,000보.법제33조제1항을위반하여영향평가를하지않거나그결과를보호위원회에제출하지않은경우법제75조제2항제16호9001,8003,000소.법제34조제1항또는같은조제2항(법제26조제8항에따라준용되는경우를포함한다)을위반하여정보주체에게법제34조제1항각호의사항또는같은조제2항의피해를최소화하기위한정보등의사항을알리지않은경우
법제75조제2항제17호9001,8003,000
오.법제34조제4항(법제26조제8항에따라준용되는경우를포함한다)을위반하여보호위원회또는이영제40조제3항에따른법제75조제2항제18호9001,8003,000
허.법제31조제3항제2호(법제26조제8항에따라준용되는경우를포함한다)를위반하여개인정보보호책임자의지정ㆍ변경또는해제에관한사항을신고하지않은경우법제75조제2항제14호의49001,8003,000
고.법제31조의2제1항을위반하여국내대리인을지정하지않은경우법제75조제3항제2호2,000노.법제31조의2제2항을위반하여국내대리인을지정한경우법제75조제3항제3호2,000도.법제31조의2제3항을위반하여국내대리인을관리ㆍ감독하지않은경우법제75조제3항제4호2,000로.법제31조의2제4항을위반하여국내대리인의성명ㆍ주소ㆍ전화번호및전자우편주소를개인정보처리방침에포함하지않은경우법제75조제4항제9호의23006001,000
모.법제32조의2제6항을위반하여인증을받지않았음에도거짓으로인증의내용을표시하거나홍보한경우법제75조제2항제15호의29001,8003,000보.법제33조제1항을위반하여영향평가를하지않거나그결과를보호위원회에제출하지않은경우법제75조제2항제16호9001,8003,000소.법제34조제1항또는같은조제2항(법제26조제8항에따라준용되는경우를포함한다)을위반하여정보주체에게법제34조제1항각호의사항또는같은조제2항의피해를최소화하기위한정보등의사항을알리지않은경우
법제75조제2항제17호9001,8003,000
오.법제34조제4항(법제26조제8항에따라준용되는경우를포함한다)을위반하여보호위원회또는이영제40조제3항에따른법제75조제2항제18호9001,8003,000
본문 71쪽
전문기관에신고하지않은경우조.법제35조제3항(법제26조제8항에따라준용되는경우를포함한다)을위반하여열람을제한하거나거절한경우법제75조제2항제19호9001,8003,000초.법제35조제3항ㆍ제4항,제36조제2항ㆍ제4항또는제37조제4항(법제26조제8항에따라준용되는경우를포함한다)을위반하여정보주체에게알려야할사항을알리지않은경우법제75조제4항제10호3006001,000
코.법제35조의3제1항에따른지정을받지않고같은항제2호의업무를수행한경우법제75조제2항제20호9001,8003,000토.법제35조의3제3항을위반한경우법제75조제2항제21호9001,8003,000포.법제36조제2항(법제26조제8항에따라준용되는경우를포함한다)을위반하여정정ㆍ삭제등필요한조치를하지않은경우법제75조제2항제22호9001,8003,000
호.법제37조제3항또는제5항(법제26조제8항에따라준용되는경우를포함한다)을위반하여파기등필요한조치를하지않은경우법제75조제2항제23호9001,8003,000
구.법제37조의2제3항(법제26조제8항에따라준용되는경우를포함한다)을위반하여정당한사유없이정보주체의요구에따르지않은경우법제75조제2항제24호9001,8003,000
누.법제45조제1항에따른자료를정당한사유없이제출하지않거나거짓으로제출한경우법제75조제4항제11호3006001,000두.법제45조제2항에따른출입ㆍ조사ㆍ열람을정당한사유없이거부ㆍ방해또는기피한경우법제75조제4항제12호3006001,000루.법제63조제1항(법제26조제8항에따라준용되는경우를포함한다)에따른관계물품ㆍ서류등자료를제출하지않거나거짓으로제출한경우법제75조제2항제25호9001,8003,000
코.법제35조의3제1항에따른지정을받지않고같은항제2호의업무를수행한경우법제75조제2항제20호9001,8003,000토.법제35조의3제3항을위반한경우법제75조제2항제21호9001,8003,000포.법제36조제2항(법제26조제8항에따라준용되는경우를포함한다)을위반하여정정ㆍ삭제등필요한조치를하지않은경우법제75조제2항제22호9001,8003,000
호.법제37조제3항또는제5항(법제26조제8항에따라준용되는경우를포함한다)을위반하여파기등필요한조치를하지않은경우법제75조제2항제23호9001,8003,000
구.법제37조의2제3항(법제26조제8항에따라준용되는경우를포함한다)을위반하여정당한사유없이정보주체의요구에따르지않은경우법제75조제2항제24호9001,8003,000
누.법제45조제1항에따른자료를정당한사유없이제출하지않거나거짓으로제출한경우법제75조제4항제11호3006001,000두.법제45조제2항에따른출입ㆍ조사ㆍ열람을정당한사유없이거부ㆍ방해또는기피한경우법제75조제4항제12호3006001,000루.법제63조제1항(법제26조제8항에따라준용되는경우를포함한다)에따른관계물품ㆍ서류등자료를제출하지않거나거짓으로제출한경우법제75조제2항제25호9001,8003,000
본문 72쪽
무.법제63조제2항(법제26조제8항에따라준용되는경우를포함한다)에따른출입ㆍ검사를거부ㆍ방해또는기피한경우법제75조제2항제26호9001,8003,000부.법제64조제1항에따른시정조치명령에따르지않은경우법제75조제2항제27호9001,8003,000