개인정보 보호법

• ▸시행 2026-09-11법률 제21445호 (공포 2026-03-10)일부개정시행예정개정 의안: 개인정보 보호법 일부개정법률안(대안) (의안번호 2216765)

  이번 공포로 바뀐 조문 16개 · 직전 시행본과 비교

  • 제23조 (민감정보의 처리 제한)

    제23조(민감정보의 처리 제한) ①개인정보처리자는 사상ㆍ신념, 노동조합ㆍ정당의 가입ㆍ탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보로서 대통령령으로 정하는 정보(이하 "민감정보"라 한다)를 처리하여서는 아니 된다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 그러하지 아니하다. <개정 2016.3.29> 1. 정보주체에게 제15조제2항 각 호 또는 제17조제2항 각 호의 사항을 알리고 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우 2. 법령에서 민감정보의 처리를 요구하거나 허용하는 경우 ② 개인정보처리자가 제1항 각 호에 따라 민감정보를 처리하는 경우에는 그 민감정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지훼손(이하 "유출등"이라 한다)이 되지 아니하도록 제29조에 따른 안전성 확보에 필요한 조치를 하여야 한다. <신설 2016.3.29>2016.3.29, 2026.3.10> ③ 개인정보처리자는 재화 또는 서비스를 제공하는 과정에서 공개되는 정보에 정보주체의 민감정보가 포함됨으로써 사생활 침해의 위험성이 있다고 판단하는 때에는 재화 또는 서비스의 제공 전에 민감정보의 공개 가능성 및 비공개를 선택하는 방법을 정보주체가 알아보기 쉽게 알려야 한다. <신설 2023.3.14>

  • 제24조 (고유식별정보의 처리 제한)

    제24조(고유식별정보의 처리 제한) ① 개인정보처리자는 다음 각 호의 경우를 제외하고는 법령에 따라 개인을 고유하게 구별하기 위하여 부여된 식별정보로서 대통령령으로 정하는 정보(이하 "고유식별정보"라 한다)를 처리할 수 없다. 1. 정보주체에게 제15조제2항 각 호 또는 제17조제2항 각 호의 사항을 알리고 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우 2. 법령에서 구체적으로 고유식별정보의 처리를 요구하거나 허용하는 경우 ② 삭제 <2013.8.6> ③ 개인정보처리자가 제1항 각 호에 따라 고유식별정보를 처리하는 경우에는 그 고유식별정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는유출등이 훼손되지되지 아니하도록 대통령령으로 정하는 바에 따라 암호화 등 안전성 확보에 필요한 조치를 하여야 한다. <개정 2015.7.24>2015.7.24, 2026.3.10> ④ 보호위원회는 처리하는 개인정보의 종류ㆍ규모, 종업원 수 및 매출액 규모 등을 고려하여 대통령령으로 정하는 기준에 해당하는 개인정보처리자가 제3항에 따라 안전성 확보에 필요한 조치를 하였는지에 관하여 대통령령으로 정하는 바에 따라 정기적으로 조사하여야 한다. <신설 2016.3.29, 2017.7.26, 2020.2.4> ⑤ 보호위원회는 대통령령으로 정하는 전문기관으로 하여금 제4항에 따른 조사를 수행하게 할 수 있다. <신설 2016.3.29, 2017.7.26, 2020.2.4>

  • 제24조의2 (주민등록번호 처리의 제한)

    제24조의2(주민등록번호 처리의 제한) ① 제24조제1항에도 불구하고 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우를 제외하고는 주민등록번호를 처리할 수 없다. <개정 2014.11.19, 2016.3.29, 2017.7.26, 2020.2.4> 1. 법률ㆍ대통령령ㆍ국회규칙ㆍ대법원규칙ㆍ헌법재판소규칙ㆍ중앙선거관리위원회규칙 및 감사원규칙에서 구체적으로 주민등록번호의 처리를 요구하거나 허용한 경우 2. 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 명백히 필요하다고 인정되는 경우 3. 제1호 및 제2호에 준하여 주민등록번호 처리가 불가피한 경우로서 보호위원회가 고시로 정하는 경우 ② 개인정보처리자는 제24조제3항에도 불구하고 주민등록번호가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는유출등이 훼손되지되지 아니하도록 암호화 조치를 통하여 안전하게 보관하여야 한다. 이 경우 암호화 적용 대상 및 대상별 적용 시기 등에 관하여 필요한 사항은 개인정보의 처리 규모와 유출 시 영향 등을 고려하여 대통령령으로 정한다. <신설 2014.3.24, 2015.7.24>2015.7.24, 2026.3.10> ③ 개인정보처리자는 제1항 각 호에 따라 주민등록번호를 처리하는 경우에도 정보주체가 인터넷 홈페이지를 통하여 회원으로 가입하는 단계에서는 주민등록번호를 사용하지 아니하고도 회원으로 가입할 수 있는 방법을 제공하여야 한다. <개정 2014.3.24> ④ 보호위원회는 개인정보처리자가 제3항에 따른 방법을 제공할 수 있도록 관계 법령의 정비, 계획의 수립, 필요한 시설 및 시스템의 구축 등 제반 조치를 마련ㆍ지원할 수 있다. <개정 2014.3.24, 2017.7.26, 2020.2.4>

  • 제25조 (고정형 영상정보처리기기의 설치ㆍ운영 제한)

    제25조(고정형 영상정보처리기기의 설치ㆍ운영 제한) ① 누구든지 다음 각 호의 경우를 제외하고는 공개된 장소에 고정형 영상정보처리기기를 설치ㆍ운영하여서는 아니 된다. <개정 2023.3.14> 1. 법령에서 구체적으로 허용하고 있는 경우 2. 범죄의 예방 및 수사를 위하여 필요한 경우 3. 시설의 안전 및 관리, 화재 예방을 위하여 정당한 권한을 가진 자가 설치ㆍ운영하는 경우 4. 교통단속을 위하여 정당한 권한을 가진 자가 설치ㆍ운영하는 경우 5. 교통정보의 수집ㆍ분석 및 제공을 위하여 정당한 권한을 가진 자가 설치ㆍ운영하는 경우 6. 촬영된 영상정보를 저장하지 아니하는 경우로서 대통령령으로 정하는 경우 ② 누구든지 불특정 다수가 이용하는 목욕실, 화장실, 발한실(發汗室), 탈의실 등 개인의 사생활을 현저히 침해할 우려가 있는 장소의 내부를 볼 수 있도록 고정형 영상정보처리기기를 설치ㆍ운영하여서는 아니 된다. 다만, 교도소, 정신보건 시설 등 법령에 근거하여 사람을 구금하거나 보호하는 시설로서 대통령령으로 정하는 시설에 대하여는 그러하지 아니하다. <개정 2023.3.14> ③ 제1항 각 호에 따라 고정형 영상정보처리기기를 설치ㆍ운영하려는 공공기관의 장과 제2항 단서에 따라 고정형 영상정보처리기기를 설치ㆍ운영하려는 자는 공청회ㆍ설명회의 개최 등 대통령령으로 정하는 절차를 거쳐 관계 전문가 및 이해관계인의 의견을 수렴하여야 한다. <개정 2023.3.14> ④ 제1항 각 호에 따라 고정형 영상정보처리기기를 설치ㆍ운영하는 자(이하 "고정형영상정보처리기기운영자"라 한다)는 정보주체가 쉽게 인식할 수 있도록 다음 각 호의 사항이 포함된 안내판을 설치하는 등 필요한 조치를 하여야 한다. 다만, 「군사기지 및 군사시설 보호법」 제2조제2호에 따른 군사시설, 「통합방위법」 제2조제13호에 따른 국가중요시설, 그 밖에 대통령령으로 정하는 시설의 경우에는 그러하지 아니하다. <개정 2016.3.29, 2023.3.14> 1. 설치 목적 및 장소 2. 촬영 범위 및 시간 3. 관리책임자의 연락처 4. 그 밖에 대통령령으로 정하는 사항 ⑤ 고정형영상정보처리기기운영자는 고정형 영상정보처리기기의 설치 목적과 다른 목적으로 고정형 영상정보처리기기를 임의로 조작하거나 다른 곳을 비춰서는 아니 되며, 녹음기능은 사용할 수 없다. <개정 2023.3.14> ⑥ 고정형영상정보처리기기운영자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는유출등이 훼손되지되지 아니하도록 제29조에 따라 안전성 확보에 필요한 조치를 하여야 한다. <개정 2015.7.24, 2023.3.14>2023.3.14, 2026.3.10> ⑦ 고정형영상정보처리기기운영자는 대통령령으로 정하는 바에 따라 고정형 영상정보처리기기 운영ㆍ관리 방침을 마련하여야 한다. 다만, 제30조에 따른 개인정보 처리방침을 정할 때 고정형 영상정보처리기기 운영ㆍ관리에 관한 사항을 포함시킨 경우에는 고정형 영상정보처리기기 운영ㆍ관리 방침을 마련하지 아니할 수 있다. <개정 2023.3.14> ⑧ 고정형영상정보처리기기운영자는 고정형 영상정보처리기기의 설치ㆍ운영에 관한 사무를 위탁할 수 있다. 다만, 공공기관이 고정형 영상정보처리기기 설치ㆍ운영에 관한 사무를 위탁하는 경우에는 대통령령으로 정하는 절차 및 요건에 따라야 한다. <개정 2023.3.14>

  • 제26조 (업무위탁에 따른 개인정보의 처리 제한)

    제26조(업무위탁에 따른 개인정보의 처리 제한) ① 개인정보처리자가 제3자에게 개인정보의 처리 업무를 위탁하는 경우에는 다음 각 호의 내용이 포함된 문서로 하여야 한다. <개정 2023.3.14> 1. 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항 2. 개인정보의 기술적ㆍ관리적 보호조치에 관한 사항 3. 그 밖에 개인정보의 안전한 관리를 위하여 대통령령으로 정한 사항 ② 제1항에 따라 개인정보의 처리 업무를 위탁하는 개인정보처리자(이하 "위탁자"라 한다)는 위탁하는 업무의 내용과 개인정보 처리 업무를 위탁받아 처리하는 자(개인정보 처리 업무를 위탁받아 처리하는 자로부터 위탁받은 업무를 다시 위탁받은 제3자를 포함하며, 이하 "수탁자"라 한다)를 정보주체가 언제든지 쉽게 확인할 수 있도록 대통령령으로 정하는 방법에 따라 공개하여야 한다. <개정 2023.3.14> ③ 위탁자가 재화 또는 서비스를 홍보하거나 판매를 권유하는 업무를 위탁하는 경우에는 대통령령으로 정하는 방법에 따라 위탁하는 업무의 내용과 수탁자를 정보주체에게 알려야 한다. 위탁하는 업무의 내용이나 수탁자가 변경된 경우에도 또한 같다. ④ 위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는유출등이 훼손되지되지 아니하도록 수탁자를 교육하고, 처리 현황 점검 등 대통령령으로 정하는 바에 따라 수탁자가 개인정보를 안전하게 처리하는지를 감독하여야 한다. <개정 2015.7.24>2015.7.24, 2026.3.10> ⑤ 수탁자는 개인정보처리자로부터 위탁받은 해당 업무 범위를 초과하여 개인정보를 이용하거나 제3자에게 제공하여서는 아니 된다. ⑥ 수탁자는 위탁받은 개인정보의 처리 업무를 제3자에게 다시 위탁하려는 경우에는 위탁자의 동의를 받아야 한다. <신설 2023.3.14> ⑦ 수탁자가 위탁받은 업무와 관련하여 개인정보를 처리하는 과정에서 이 법을 위반하여 발생한 손해배상책임에 대하여는 수탁자를 개인정보처리자의 소속 직원으로 본다. <개정 2023.3.14> ⑧ 수탁자에 관하여는 제15조부터 제18조까지, 제21조, 제22조, 제22조의2, 제23조, 제24조, 제24조의2, 제25조, 제25조의2, 제27조, 제28조, 제28조의2부터 제28조의5까지, 제28조의7부터 제28조의11까지, 제29조, 제30조, 제30조의2, 제30조의3, 제31조, 제33조, 제34조, 제34조의2, 제35조, 제35조의2, 제36조, 제37조, 제37조의2, 제38조, 제59조, 제63조, 제63조의2 및 제64조의2를 준용한다. 이 경우 "개인정보처리자"는 "수탁자"로 본다. <개정 2023.3.14>2023.3.14, 2026.3.10>

  • 제28조의4 (가명정보에 대한 안전조치의무 등)

    제28조의4(가명정보에 대한 안전조치의무 등) ① 개인정보처리자는 제28조의2 또는 제28조의3에 따라 가명정보를 처리하는 경우에는 원래의 상태로 복원하기 위한 추가 정보를 별도로 분리하여 보관ㆍ관리하는 등 해당 정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는유출등이 훼손되지되지 않도록아니하도록 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다. <개정 2023.3.14>2023.3.14, 2026.3.10> ② 개인정보처리자는 제28조의2 또는 제28조의3에 따라 가명정보를 처리하는 경우 처리목적 등을 고려하여 가명정보의 처리 기간을 별도로 정할 수 있다. <신설 2023.3.14> ③ 개인정보처리자는 제28조의2 또는 제28조의3에 따라 가명정보를 처리하고자 하는 경우에는 가명정보의 처리 목적, 제3자 제공 시 제공받는 자, 가명정보의 처리 기간(제2항에 따라 처리 기간을 별도로 정한 경우에 한한다) 등 가명정보의 처리 내용을 관리하기 위하여 대통령령으로 정하는 사항에 대한 관련 기록을 작성하여 보관하여야 하며, 가명정보를 파기한 경우에는 파기한 날부터 3년 이상 보관하여야 한다. <개정 2023.3.14>

  • 제28조의7 (적용범위)

    제28조의7(적용범위) 제28조의2 또는 제28조의3에 따라 처리된 가명정보는 제20조, 제20조의2, 제27조, 제34조제1항,제34조제1항ㆍ제2항, 제35조, 제35조의2, 제36조 및 제37조를 적용하지 아니한다. <개정 2023.3.14>2023.3.14, 2026.3.10>

  • 제29조 (안전조치의무)

    제29조(안전조치의무) 개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는유출등이 훼손되지되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다. <개정 2015.7.24>2015.7.24, 2026.3.10>

  • 제31조 (개인정보 보호책임자의 지정 등)

    이 조문은 표·서식 등으로 변경 범위가 커서 인라인 비교가 어렵습니다 — 아래 개정문 원문에서 확인하세요.

  • 제31조의2 (국내대리인의 지정)

    이 조문은 표·서식 등으로 변경 범위가 커서 인라인 비교가 어렵습니다 — 아래 개정문 원문에서 확인하세요.

  이 외 6개 조문 변경 — 아래 개정문 원문 참조

  제개정이유

  ◇ 개정이유 최근 주요 통신사, 금융사, 플랫폼 사업자 등의 대규모 개인정보 유출사고가 연이어 발생하면서 국민 피해가 지속적으로 확대되고 있는바, 반복적이거나 중대한 개인정보 침해행위에 대해서는 보다 강력한 과징금 제도를 마련하여 현행 제재수단의 한계를 보완하고, 사업주 또는 대표자의 책임을 명확히 하며, 개인정보 보호책임자의 권한과 독립성을 강화하고, 일정 규모 이상의 개인정보처리자에 대한 개인정보 보호 인증을 의무화하는 한편, 정보주체인 국민들이 권리 보호 및 피해 구제를 보다 쉽게 받을 수 있도록 유출 가능성 통지제도를 도입하는 등 개인정보 보호 체계를 정비하려는 것임. ◇ 주요내용 가. 사업주 또는 대표자의 책임 명확화 및 개인정보 보호책임자의 역할 강화(제30조의3 신설 및 제31조) 사업주 또는 대표자를 개인정보 처리 및 보호에 관한 최종 책임자로 명확히 규정하고, 대통령령으로 정하는 기준에 해당하는 개인정보처리자는 개인정보 보호책임자 지정에 관한 사항을 신고하도록 의무화하며, 개인정보 보호책임자의 개인정보 보호에 필요한 인력관리 및 예산확보 등 그 역할을 강화함. 나. 개인정보 보호 인증 의무화(제32조의2제1항 단서 신설) 매출액, 개인정보 처리 규모 등을 고려하여 대통령령으로 정하는 기준에 해당하는 개인정보처리자는 개인정보 보호 인증을 의무적으로 받도록 함으로써 개인정보 관리 체계의 신뢰성과 안전성을 제고함. 다. 유출 가능성 통지제 도입 및 통지 범위 확대 등(제34조제1항, 같은 조 제2항 신설) 종전에는 개인정보가 분실ㆍ도난ㆍ유출된 경우 정보주체에게 통지하도록 하였으나, 앞으로는 개인정보가 위조ㆍ변조ㆍ훼손된 경우에도 통지하도록 그 범위를 확대하고, 대통령령으로 정하는 유출 가능성이 있는 경우에도 통지의무를 부여함. 라. 반복적이거나 중대한 개인정보 침해에 대한 과징금 강화(제64조의2제2항 및 제6항 신설) 고의 또는 중대한 과실로 3년 이내 반복적인 위반행위를 한 경우와 고의 또는 중대한 과실로 1천만명 이상 대규모 피해가 발생한 경우 등에 대해서는 전체 매출액의 10퍼센트를 초과하지 아니하는 범위에서 과징금을 부과할 수 있도록 하되, 예산ㆍ인력ㆍ설비ㆍ장치 등의 투자 및 운영 등 대통령령으로 정하는 사유가 있는 경우에는 과징금을 감경하도록 하여 기업의 사전적 예방투자를 유도함. <법제처 제공>

  개정문 원문

  국회에서 의결된 개인정보 보호법 일부개정법률을 이에 공포한다. 대통령 이재명 (인) 2026년 3월 10일 국무총리 김민석 국무위원 행정안전부 장관(개인정보 보호위원회 소관) 윤호중 ⊙법률 제21445호 개인정보 보호법 일부개정법률 개인정보 보호법 일부를 다음과 같이 개정한다. 제23조제2항 중 "훼손되지"를 "훼손(이하 "유출등"이라 한다)이 되지"로 한다. 제24조제3항 중 "분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지"를 "유출등이 되지"로 한다. 제24조의2제2항 전단 중 "분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지"를 "유출등이 되지"로 한다. 제25조제6항 중 "분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지"를 "유출등이 되지"로 한다. 제26조제4항 중 "분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지"를 "유출등이 되지"로 하고, 같은 조 제8항 전단 중 "제30조의2"를 "제30조의2, 제30조의3"으로 한다. 제28조의4제1항 중 "분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 않도록"을 "유출등이 되지 아니하도록"으로 한다. 제28조의7 중 "제34조제1항"을 "제34조제1항ㆍ제2항"으로 한다. 제29조 중 "분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지"를 "유출등이 되지"로 한다. 제30조의3을 다음과 같이 신설한다. 제30조의3(사업주 또는 대표자의 책임) 개인정보처리자의 사업주 또는 대표자는 개인정보의 안전한 처리 및 정보주체의 권리 보호에 대한 최종적인 책임자로서 개인정보 보호에 필요한 전문 인력과 충분한 예산의 지원 등 총괄적인 관리 조치를 실효성 있게 하여야 한다. 제31조제1항 본문 중 "처리에"를 "처리 및 보호에"로, "책임질"을 "담당할"로 하고, 같은 조 제3항부터 제9항까지를 각각 제4항부터 제10항까지로 하며, 같은 조에 제3항을 다음과 같이 신설한다. ③ 매출액, 개인정보의 보유 규모 등을 고려하여 대통령령으로 정하는 기준에 해당하는 개인정보처리자는 다음 각 호의 사항을 준수하여야 한다. 1. 개인정보 보호책임자를 지정하거나 그 지정을 변경 또는 해제할 때에는 이사회(법인인 경우로 한정한다. 이하 같다)의 의결을 거칠 것 2. 보호위원회에 대통령령으로 정하는 바에 따라 개인정보 보호책임자 지정ㆍ변경 또는 해제에 관한 사항을 신고할 것 제31조제4항(종전의 제3항)제2호부터 제7호까지를 각각 제4호부터 제9호까지로 하고, 같은 항에 제2호 및 제3호를 각각 다음과 같이 신설하며, 같은 항 제4호(종전의 제2호) 중 "처리 실태 및 관행의"를 "처리 및 보호의 실태와 관행에 대한"으로 하고, 같은 항 제9호(종전의 제7호) 중 "처리"를 "처리 및 보호"로 하며, 같은 조 제5항(종전의 제4항) 및 제7항(종전의 제6항) 중 "제3항"을 각각 "제4항"으로 하고, 같은 조 제9항(종전의 제8항) 중 "제7항"을 "제8항"으로 하며, 같은 조 제10항(종전의 제9항) 중 "제3항에 따른 업무 및 제6항"을 "제3항제2호에 따른 신고의 방법 및 절차, 제4항에 따른 업무 및 제7항"으로 한다. 2. 개인정보 보호에 필요한 전문 인력의 관리 및 예산의 확보 3. 사업주 또는 대표자 및 이사회에 대한 개인정보 보호 현황 및 주요 사항의 보고 제31조의2제1항제1호 중 "제31조제3항제3호"를 "제31조제4항제5호"로 하고, 같은 항 제2호를 다음과 같이 한다. 2. 제34조제1항ㆍ제2항에 따른 통지 및 같은 조 제4항에 따른 유출등의 신고 제32조의2제1항에 단서를 다음과 같이 신설한다. 다만, 매출액, 개인정보의 처리 규모 등을 고려하여 대통령령으로 정하는 기준에 해당하는 개인정보처리자는 인증을 받아야 한다. 제34조의 제목 중 "유출 등"을 "유출등"으로 하고, 같은 조 제1항 각 호 외의 부분 본문 중 "분실ㆍ도난ㆍ유출(이하 이 조에서 "유출등"이라 한다)되었음"을 "유출등이 되었음"으로 하며, 같은 항 제3호 중 "관한 정보"를 "관한 구체적인 정보"로 하고, 같은 항에 제6호 및 제7호를 각각 다음과 같이 신설하며, 같은 조 제2항부터 제4항까지를 각각 제3항부터 제5항까지로 하고, 같은 조에 제2항을 다음과 같이 신설하며, 같은 조 제3항(종전의 제2항) 중 "경우 그"를 "경우에는 해당 개인정보의 회수ㆍ삭제 등 피해 확산을 방지하기 위한 조치를 포함하여"로 하고, 같은 조 제5항(종전의 제4항) 중 "제1항에 따른 유출등의"를 "제1항ㆍ제2항에 따른"으로, "제3항"을 "제4항"으로 한다. 6. 개인정보 유출등으로 인한 제39조에 따른 손해배상과 제39조의2에 따른 법정손해배상의 청구 및 제43조에 따른 분쟁조정 등 피해를 입은 정보주체의 법적 권리와 그 행사 방법 등에 관한 정보 7. 그 밖에 개인정보가 유출등이 된 정보주체의 보호를 위하여 대통령령으로 정하는 사항 ② 제1항에도 불구하고 개인정보의 유형, 정보주체에게 미치는 영향 및 유출등의 위험 정도를 고려하여 대통령령으로 정하는 유출등의 가능성이 있음을 알게 되었을 때에는 지체 없이 유출등의 가능성이 있는 모든 정보주체에게 피해를 최소화하기 위한 정보 등 대통령령으로 정하는 사항을 알려야 한다. 제39조제3항 본문 중 "분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손된"을 "유출등이 된"으로 한다. 제39조의2제1항 전단 중 "분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손된"을 "유출등이 된"으로 한다. 제58조제3항 중 "제30조"를 "제30조, 제30조의3"으로 한다. 제64조의2제1항제9호 본문 중 "분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조ㆍ훼손된"을 "유출등이 된"으로 하고, 같은 호 단서 중 "분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조ㆍ훼손되지"를 "유출등이 되지"로 하며, 같은 조 제5항부터 제10항까지를 각각 제7항부터 제12항까지로 하고, 같은 조 제2항부터 제4항까지를 각각 제3항부터 제5항까지로 하며, 같은 조에 제2항을 다음과 같이 신설하고, 같은 조 제3항(종전의 제2항) 및 같은 조 제4항(종전의 제3항) 중 "제1항"을 각각 "제1항 및 제2항"으로 하며, 같은 조 제5항(종전의 제4항) 각 호 외의 부분 중 "제1항"을 "제1항 및 제2항"으로 하고, 같은 항 제5호 중 "분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조ㆍ훼손된"을 "유출등이 된"으로, "분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조ㆍ훼손의"를 "유출등의"로 하며, 같은 조에 제6항을 다음과 같이 신설하고, 같은 조 제8항(종전의 제6항) 중 "제1항"을 "제1항 및 제2항"으로, "제2항부터 제5항까지"를 "제3항부터 제7항까지"로 하며, 같은 조 제9항(종전의 제7항) 전단 중 "제1항"을 "제1항 및 제2항"으로 하고, 같은 조 제10항(종전의 제8항) 중 "제1항"을 "제1항 및 제2항"으로, "제7항"을 "제9항"으로 하며, 같은 조 제11항(종전의 제9항) 중 "제1항"을 "제1항 및 제2항"으로 하고, 같은 조 제12항(종전의 제10항) 중 "제9항"을 "제11항"으로 한다. ② 제1항에도 불구하고 보호위원회는 다음 각 호의 어느 하나에 해당하는 경우에는 해당 개인정보처리자에게 전체 매출액의 100분의 10을 초과하지 아니하는 범위에서 과징금을 부과할 수 있다. 다만, 매출액이 없거나 매출액의 산정이 곤란한 경우로서 대통령령으로 정하는 경우에는 50억원을 초과하지 아니하는 범위에서 과징금을 부과할 수 있다. 1. 이 조에 따른 과징금 부과처분을 받은 날부터 3년이 경과하기 전에 제1항 같은 호에 해당하는 위반행위를 한 경우(각각 고의 또는 중대한 과실이 있는 경우로 한정한다) 2. 고의 또는 중대한 과실로 제1항 각 호의 어느 하나에 해당하는 위반행위를 하고 정보주체의 피해 규모가 1천만명 이상인 경우 3. 제64조제1항에 따른 시정조치 명령에 따르지 아니하여 개인정보처리자가 제1항제9호의 위반행위를 한 경우 ⑥ 보호위원회는 개인정보 보호를 위하여 예산ㆍ인력ㆍ설비ㆍ장치 등을 투자하고 운영하는 등 대통령령으로 정하는 사유가 있는 경우에는 제1항 및 제2항에 따른 과징금을 감경한다. 다만, 개인정보처리자의 고의 또는 중대한 과실로 위반행위를 한 경우는 제외한다. 제75조제2항에 제14호의2부터 제14호의4까지를 각각 다음과 같이 신설하고, 같은 항 제15호를 제15호의2로 하며, 같은 항에 제15호를 다음과 같이 신설하고, 같은 항 제17호 중 "제34조제1항"을 "제34조제1항 또는 같은 조 제2항"으로, "같은 항 각 호의 사실"을 "제34조제1항 각 호의 사항 또는 같은 조 제2항의 피해를 최소화하기 위한 정보 등의 사항"으로 하며, 같은 항 제18호 중 "제34조제3항"을 "제34조제4항"으로 하고, 같은 조 제4항제9호를 삭제한다. 14의2. 제31조제1항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 개인정보 보호책임자를 지정하지 아니하거나 제31조제10항(제26조제8항에 따라 준용되는 경우를 포함한다)에 따른 개인정보 보호책임자의 자격요건을 갖추지 아니한 자를 개인정보 보호책임자로 지정한 자 14의3. 제31조제3항제1호(제26조제8항에 따라 준용되는 경우를 포함한다)를 위반하여 개인정보 보호책임자를 지정하거나 그 지정을 변경 또는 해제할 때에 이사회의 의결을 거치지 아니한 자 14의4. 제31조제3항제2호(제26조제8항에 따라 준용되는 경우를 포함한다)를 위반하여 개인정보 보호책임자의 지정ㆍ변경 또는 해제에 관한 사항을 신고하지 아니한 자 15. 제32조의2제1항 단서를 위반하여 인증을 받지 아니한 자 부칙 제1조(시행일) 이 법은 공포 후 6개월이 경과한 날부터 시행한다. 다만, 제32조의2제1항 단서 및 제75조제2항제15호의 개정규정은 2027년 7월 1일부터 시행한다. 제2조(개인정보 유출등의 통지 등에 관한 적용례) ① 제34조제1항 및 제4항의 개정규정은 이 법 시행 이후 개인정보가 유출등이 되었음을 알게 된 경우부터 적용한다. ② 제34조제2항의 개정규정은 이 법 시행 이후 대통령령으로 정하는 유출등의 가능성이 있음을 알게 된 경우부터 적용한다. ③ 제34조제3항의 개정규정은 이 법 시행 이후 유출등이 된 경우부터 적용한다. 제3조(과징금 부과에 관한 적용례) ① 제64조의2제2항제1호의 개정규정은 이 법 시행 이후 발생한 같은 조 제1항 각 호의 위반행위로 같은 조에 따른 과징금 부과처분을 받은 후 다시 같은 조 제1항 같은 호에 해당하는 위반행위를 한 경우부터 적용한다. ② 제64조의2제2항제2호의 개정규정은 이 법 시행 당시 종료되지 아니한 위반행위에 대해서도 적용한다. ③ 제64조의2제2항제3호의 개정규정은 이 법 시행 이후 제64조제1항에 따른 시정조치 명령을 받은 경우부터 적용한다. 제4조(다른 법률의 개정) ① 신용정보의 이용 및 보호에 관한 법률 일부를 다음과 같이 개정한다. 제20조제4항제1호가목 중 "「개인정보 보호법」 제31조제3항제1호부터 제5호까지"를 "「개인정보 보호법」 제31조제4항제1호 및 같은 항 제4호부터 제7호까지"로 하고, 같은 조 제5항 중 "「개인정보 보호법」 제31조제4항 및 제6항"을 "「개인정보 보호법」 제31조제5항 및 제7항"으로 한다. ② 정보통신망 이용촉진 및 정보보호 등에 관한 법률 일부를 다음과 같이 개정한다. 제45조의3제4항제2호라목 중 "「개인정보 보호법」 제31조제2항"을 "「개인정보 보호법」 제31조제4항"으로 한다.

  부칙

  부칙 <제21445호,2026.3.10> 제1조(시행일) 이 법은 공포 후 6개월이 경과한 날부터 시행한다. 다만, 제32조의2제1항 단서 및 제75조제2항제15호의 개정규정은 2027년 7월 1일부터 시행한다. 제2조(개인정보 유출등의 통지 등에 관한 적용례) ① 제34조제1항 및 제4항의 개정규정은 이 법 시행 이후 개인정보가 유출등이 되었음을 알게 된 경우부터 적용한다. ② 제34조제2항의 개정규정은 이 법 시행 이후 대통령령으로 정하는 유출등의 가능성이 있음을 알게 된 경우부터 적용한다. ③ 제34조제3항의 개정규정은 이 법 시행 이후 유출등이 된 경우부터 적용한다. 제3조(과징금 부과에 관한 적용례) ① 제64조의2제2항제1호의 개정규정은 이 법 시행 이후 발생한 같은 조 제1항 각 호의 위반행위로 같은 조에 따른 과징금 부과처분을 받은 후 다시 같은 조 제1항 같은 호에 해당하는 위반행위를 한 경우부터 적용한다. ② 제64조의2제2항제2호의 개정규정은 이 법 시행 당시 종료되지 아니한 위반행위에 대해서도 적용한다. ③ 제64조의2제2항제3호의 개정규정은 이 법 시행 이후 제64조제1항에 따른 시정조치 명령을 받은 경우부터 적용한다. 제4조(다른 법률의 개정) ① 신용정보의 이용 및 보호에 관한 법률 일부를 다음과 같이 개정한다. 제20조제4항제1호가목 중 "「개인정보 보호법」 제31조제3항제1호부터 제5호까지"를 "「개인정보 보호법」 제31조제4항제1호 및 같은 항 제4호부터 제7호까지"로 하고, 같은 조 제5항 중 "「개인정보 보호법」 제31조제4항 및 제6항"을 "「개인정보 보호법」 제31조제5항 및 제7항"으로 한다. ② 정보통신망 이용촉진 및 정보보호 등에 관한 법률 일부를 다음과 같이 개정한다. 제45조의3제4항제2호라목 중 "「개인정보 보호법」 제31조제2항"을 "「개인정보 보호법」 제31조제4항"으로 한다.

  개인정보 보호법 일부개정법률안(대안)

  의안번호 2216765 · 정무위원장 · 의안 상세 →

• ▸시행 2025-10-02법률 제20897호 (공포 2025-04-01)일부개정개정 의안: 개인정보 보호법 일부개정법률안(대안) (의안번호 2208859)

  이번 공포로 바뀐 조문 3개 · 직전 시행본과 비교

  • 제31조 (개인정보 보호책임자의 지정 등)

    이 조문은 표·서식 등으로 변경 범위가 커서 인라인 비교가 어렵습니다 — 아래 개정문 원문에서 확인하세요.

  • 제31조의2 (국내대리인의 지정)

    이 조문은 표·서식 등으로 변경 범위가 커서 인라인 비교가 어렵습니다 — 아래 개정문 원문에서 확인하세요.

  • 제75조 (과태료)

    이 조문은 표·서식 등으로 변경 범위가 커서 인라인 비교가 어렵습니다 — 아래 개정문 원문에서 확인하세요.

  제개정이유

  ◇ 개정이유 및 주요내용 국내에 주소 또는 영업소가 없는 개인정보처리자가 국내대리인을 지정하는 경우, 해당 개인정보처리자가 설립한 국내 법인이나 해당 개인정보처리자가 임원 구성, 사업 운영 등에 지배적인 영향력을 행사하는 국내 법인이 있는 경우에는 그 법인 중에서 국내대리인을 지정하도록 하고, 이를 위반하여 국내대리인을 지정하는 경우 2천만원 이하의 과태료를 부과하는 한편, 국내대리인을 지정한 개인정보처리자에게 국내대리인을 관리ㆍ감독할 의무를 부여하고, 이를 위반하는 경우 2천만원 이하의 과태료를 부과하며, 국내대리인의 성명ㆍ주소ㆍ전화번호 및 전자우편 주소를 개인정보처리방침에 포함하지 아니한 경우 1천만원 이하의 과태료를 부과하는 등 국내대리인 제도를 내실 있게 운영하기 위하여 현행 제도의 운영상 나타난 일부 미비점을 개선ㆍ보완함. <법제처 제공>

  개정문 원문

  국회에서 의결된 개인정보 보호법 일부개정법률을 이에 공포한다. 대통령 권한대행 국무총리 한덕수 (인) 2025년 4월 1일 국무총리 한덕수 국무위원 행정안전부 장관(개인정보보호위원회 소관) ⊙법률 제20897호 개인정보 보호법 일부개정법률 개인정보 보호법 일부를 다음과 같이 개정한다. 제31조의2제1항제1호 중 "제31조제3항"을 "제31조제3항제3호"로, "보호책임자의"를 "처리와 관련한 불만의 처리 및 피해 구제"로 한다. 제31조의2제2항에 후단을 다음과 같이 신설하고, 같은 항에 각 호를 다음과 같이 신설한다. 이 경우 다음 각 호의 어느 하나에 해당하는 법인이 있는 개인정보처리자는 그 법인 중에서 국내대리인을 지정하여야 한다. 1. 해당 개인정보처리자가 설립한 국내 법인 2. 해당 개인정보처리자가 임원 구성, 사업 운영 등에 지배적인 영향력을 행사하는 국내 법인으로서 대통령령으로 정하는 법인 제31조의2제3항 및 제4항을 각각 제4항 및 제5항으로 하고, 같은 조에 제3항을 다음과 같이 신설한다. ③ 제1항에 따라 국내대리인을 지정한 개인정보처리자는 국내대리인이 업무를 충실히 수행하도록 대통령령으로 정하는 바에 따라 교육하고 업무현황을 점검하는 등의 관리ㆍ감독을 하여야 한다. 제75조제3항에 제3호 및 제4호를 각각 다음과 같이 신설하고, 같은 조 제4항에 제9호의2를 다음과 같이 신설한다. 3. 제31조의2제2항을 위반하여 국내대리인을 지정한 자 4. 제31조의2제3항을 위반하여 국내대리인을 관리ㆍ감독하지 아니한 자 9의2. 제31조의2제4항을 위반하여 국내대리인의 성명ㆍ주소ㆍ전화번호 및 전자우편 주소를 개인정보 처리방침에 포함하지 아니한 자 부칙 제1조(시행일) 이 법은 공포 후 6개월이 경과한 날부터 시행한다. 제2조(국내대리인 지정에 관한 경과조치) 이 법 시행 당시 종전의 규정에 따라 국내대리인을 지정한 개인정보처리자 중 제31조의2제2항 각 호의 개정규정의 어느 하나에 해당하는 법인이 있는 자는 이 법 시행 이후 6개월 이내에 그 법인 중에서 국내대리인을 지정하여야 한다.

  부칙

  부칙 <제20897호,2025.4.1> 제1조(시행일) 이 법은 공포 후 6개월이 경과한 날부터 시행한다. 제2조(국내대리인 지정에 관한 경과조치) 이 법 시행 당시 종전의 규정에 따라 국내대리인을 지정한 개인정보처리자 중 제31조의2제2항 각 호의 개정규정의 어느 하나에 해당하는 법인이 있는 자는 이 법 시행 이후 6개월 이내에 그 법인 중에서 국내대리인을 지정하여야 한다.

  개인정보 보호법 일부개정법률안(대안)

  의안번호 2208859 · 정무위원장 · 의안 상세 →

• ▸시행 2023-09-15법률 제19234호 (공포 2023-03-14)일부개정제개정이유(법제처)

  제개정이유 미수집 (수집 범위: 22대 국회 구간)

• ▸시행 2020-08-05법률 제16930호 (공포 2020-02-04)일부개정제개정이유(법제처)

  제개정이유 미수집 (수집 범위: 22대 국회 구간)

• ▸시행 2017-10-19법률 제14765호 (공포 2017-04-18)일부개정제개정이유(법제처)

  제개정이유 미수집 (수집 범위: 22대 국회 구간)

• ▸시행 2017-07-26법률 제14839호 (공포 2017-07-26)타법개정타법개정 · 제개정이유(법제처)

  제개정이유 미수집 (수집 범위: 22대 국회 구간)

• ▸시행 2016-09-30법률 제14107호 (공포 2016-03-29)일부개정제개정이유(법제처)

  제개정이유 미수집 (수집 범위: 22대 국회 구간)

• ▸시행 2015-07-24법률 제13423호 (공포 2015-07-24)일부개정제개정이유(법제처)

  제개정이유 미수집 (수집 범위: 22대 국회 구간)

• ▸시행 2014-11-19법률 제12844호 (공포 2014-11-19)타법개정타법개정 · 제개정이유(법제처)

  제개정이유 미수집 (수집 범위: 22대 국회 구간)

• ▸시행 2014-08-07법률 제11990호 (공포 2013-08-06)일부개정제개정이유(법제처)

  제개정이유 미수집 (수집 범위: 22대 국회 구간)

• ▸시행 2014-03-24법률 제12504호 (공포 2014-03-24)일부개정제개정이유(법제처)

  제개정이유 미수집 (수집 범위: 22대 국회 구간)

• ▸시행 2013-03-23법률 제11690호 (공포 2013-03-23)타법개정타법개정 · 제개정이유(법제처)

  제개정이유 미수집 (수집 범위: 22대 국회 구간)

• ▸시행 2011-09-30법률 제10465호 (공포 2011-03-29)제정제개정이유(법제처)

  제개정이유 미수집 (수집 범위: 22대 국회 구간)

의안 정보는 22대 국회(2024-05~) 발의분부터 제공됩니다