개인정보 보호법 시행령
[시행 2021. 2. 5.][대통령령 제30892호, 2020. 8. 4. 일부개정]
본문
제정・개정 이유
개인정보 보호법 시행령
제1장 총칙
제1조(목적)
조문 연혁보기
이 영은 「개인정보 보호법」에서 위임된 사항과 그 시행에 필요한 사항을 규정함을 목적으로 한다.
제2조(공공기관의 범위)
조문 연혁보기
「개인정보 보호법」(이하 "법"이라 한다) 제2조제6호나목에서 "대통령령으로 정하는 기관"이란 다음 각 호의 기관을 말한다. <개정 2020.7.14> 1. 「국가인권위원회법」 제3조에 따른 국가인권위원회 1의2. 「고위공직자범죄수사처 설치 및 운영에 관한 법률」 제3조제1항에 따른 고위공직자범죄수사처 2. 「공공기관의 운영에 관한 법률」 제4조에 따른 공공기관 3. 「지방공기업법」에 따른 지방공사와 지방공단 4. 특별법에 따라 설립된 특수법인 5. 「초ㆍ중등교육법」, 「고등교육법」, 그 밖의 다른 법률에 따라 설치된 각급 학교
제3조(영상정보처리기기의 범위)
조문 연혁보기
법 제2조제7호에서 "대통령령으로 정하는 장치"란 다음 각 호의 장치를 말한다. 1. 폐쇄회로 텔레비전: 다음 각 목의 어느 하나에 해당하는 장치 가. 일정한 공간에 지속적으로 설치된 카메라를 통하여 영상 등을 촬영하거나 촬영한 영상정보를 유무선 폐쇄회로 등의 전송로를 통하여 특정 장소에 전송하는 장치 나. 가목에 따라 촬영되거나 전송된 영상정보를 녹화ㆍ기록할 수 있도록 하는 장치 2. 네트워크 카메라: 일정한 공간에 지속적으로 설치된 기기로 촬영한 영상정보를 그 기기를 설치ㆍ관리하는 자가 유무선 인터넷을 통하여 어느 곳에서나 수집ㆍ저장 등의 처리를 할 수 있도록 하는 장치
제2장 개인정보 보호위원회
제4조
조문 연혁보기
삭제 <2020.8.4>
제4조의2(영리업무의 금지)
조문 연혁보기
법 제7조제1항에 따른 개인정보 보호위원회(이하 "보호위원회"라 한다)의 위원은 법 제7조의6제1항에 따라 영리를 목적으로 다음 각 호의 어느 하나에 해당하는 업무에 종사해서는 안 된다. 1. 법 제7조의9제1항에 따라 보호위원회가 심의ㆍ의결하는 사항과 관련된 업무 2. 법 제40조제1항에 따른 개인정보 분쟁조정위원회(이하 "분쟁조정위원회"라 한다)가 조정하는 사항과 관련된 업무 [본조신설 2020.8.4]
제5조(전문위원회)
조문 연혁보기
① 보호위원회는 법 제7조의9제1항에 따른 심의ㆍ의결 사항에 대하여 사전에 전문적으로 검토하기 위하여 보호위원회에 분야별 전문위원회(이하 "전문위원회"라 한다)를 둘 수 있다. <개정 2020.8.4> ② 제1항에 따라 전문위원회를 두는 경우 각 전문위원회는 위원장 1명을 포함한 20명 이내의 위원으로 성별을 고려하려 구성하되, 전문위원회 위원은 다음 각 호의 사람 중에서 보호위원회 위원장이 임명하거나 위촉하고, 전문위원회 위원장은 보호위원회 위원장이 전문위원회 위원 중에서 지명한다. <개정 2016.7.22, 2020.8.4> 1. 보호위원회 위원 2. 개인정보 보호 관련 업무를 담당하는 중앙행정기관의 관계 공무원 3. 개인정보 보호에 관한 전문지식과 경험이 풍부한 사람 4. 개인정보 보호와 관련된 단체 또는 사업자단체에 속하거나 그 단체의 추천을 받은 사람 ③ 삭제 <2020.8.4>
제5조의2(개인정보 보호 정책협의회)
조문 연혁보기
① 개인정보 보호 정책의 일관성 있는 추진과 개인정보 보호 관련 사안에 대한 관계 중앙행정기관 간 협의를 위하여 보호위원회에 개인정보 보호 정책협의회(이하 "정책협의회"라 한다)를 둘 수 있다. ② 정책협의회는 다음 각 호의 사항을 협의한다. 1. 법 제9조에 따른 개인정보 보호 기본계획 및 법 제10조에 따른 시행계획 등 개인정보 보호와 관련된 주요 정책 2. 개인정보 보호와 관련된 주요 법령의 제ㆍ개정 3. 개인정보 보호와 관련된 주요 정책의 협력 및 의견조정 4. 개인정보 침해사고 예방 및 대응 5. 개인정보 보호 기술개발 및 전문인력의 양성 6. 그 밖에 개인정보 보호와 관련하여 관계 중앙행정기관 간 협의가 필요한 사항 ③ 정책협의회는 관계 중앙행정기관의 고위공무원단에 속하는 공무원 또는 그에 상당하는 공무원으로서 개인정보 보호와 관련된 업무를 담당하는 사람 중 소속 기관의 장이 지명하는 사람으로 구성하되, 정책협의회의 의장(이하 이 조에서 "의장"이라 한다)은 보호위원회의 부위원장으로 한다. ④ 정책협의회는 업무를 수행하기 위하여 필요한 경우에는 실무협의회 또는 분야별 협의회를 둘 수 있다. ⑤ 실무협의회 및 분야별 협의회의 의장은 보호위원회 소속 공무원 중에서 의장이 임명한다. ⑥ 정책협의회, 실무협의회 및 분야별 협의회는 업무를 수행하기 위하여 필요한 경우에는 관계 기관ㆍ단체 및 전문가 등에게 출석, 자료 또는 의견의 제출 등 필요한 협조를 요청할 수 있다. ⑦ 제1항부터 제6항까지에서 규정한 사항 외에 정책협의회의 운영 등에 필요한 사항은 정책협의회의 의결을 거쳐 의장이 정한다. [본조신설 2020.8.4]
제5조의3(시ㆍ도 개인정보 보호 관계 기관 협의회)
조문 연혁보기
① 개인정보 보호 정책의 효율적인 추진과 자율적인 개인정보 보호 강화를 위하여 특별시, 광역시, 특별자치시, 도, 특별자치도(이하 "시ㆍ도"라 한다)에 시ㆍ도 개인정보 보호 관계 기관 협의회(이하 "시ㆍ도협의회"라 한다)를 둘 수 있다. ② 시ㆍ도협의회는 다음 각 호의 사항을 협의한다. 1. 시ㆍ도 개인정보 보호 정책 2. 관계 기관ㆍ단체 등의 의견 수렴 및 전달 3. 개인정보 보호 우수사례 공유 4. 그 밖에 개인정보 보호와 관련하여 시ㆍ도협의회의 협의가 필요한 사항 ③ 제1항 및 제2항에서 규정한 사항 외에 시ㆍ도협의회의 구성 및 운영 등에 필요한 사항은 시ㆍ도의 조례로 정한다. [본조신설 2020.8.4]
제6조(의사의 공개)
조문 연혁보기
보호위원회의 의사(議事)는 공개한다. 다만, 보호위원회 위원장이 필요하다고 인정하는 경우에는 공개하지 아니할 수 있다.
제7조(공무원 등의 파견)
조문 연혁보기
보호위원회는 그 업무 수행을 위하여 필요하다고 인정하는 경우에는 공공기관에 그 소속 공무원 또는 임직원의 파견을 요청할 수 있다.
제8조
조문 연혁보기
삭제 <2020.8.4>
제9조(출석수당 등)
조문 연혁보기
보호위원회, 전문위원회 또는 정책협의회에 출석한 위원, 법 제7조의9제2항에 따라 보호위원회에 출석한 사람, 전문위원회에 출석한 사람 또는 정책협의회에 출석한 사람에게는 예산의 범위에서 수당ㆍ여비, 그 밖에 필요한 경비를 지급할 수 있다. 다만, 공무원이 그 소관 업무와 직접 관련되어 출석하는 경우에는 그렇지 않다. <개정 2020.8.4>
제9조의2(정책ㆍ제도ㆍ법령 개선 권고의 절차 등)
조문 연혁보기
① 보호위원회는 법 제7조의9제4항에 따라 관계 기관에 정책ㆍ제도 및 법령의 개선을 권고하는 경우에는 그 내용과 사유 등을 함께 통보해야 한다. <개정 2020.8.4> ② 보호위원회는 법 제7조의9제5항에 따른 권고내용의 이행여부를 점검하기 위하여 관계 기관에 권고사항의 이행결과에 대한 자료 제출을 요청할 수 있다. <개정 2020.8.4> [본조신설 2016.7.22]
제9조의3(개인정보 침해요인 평가 절차 등)
조문 연혁보기
① 중앙행정기관의 장은 법 제8조의2제1항에 따라 개인정보 침해요인 평가(이하 "침해요인 평가"라 한다)를 요청하는 경우 다음 각 호의 사항을 포함하는 개인정보 침해요인 평가 요청서(전자문서를 포함한다)를 보호위원회에 제출하여야 한다. 1. 법령(법령안을 포함한다)을 통하여 도입되거나 변경되는 개인정보 처리를 수반하는 정책ㆍ제도의 목적과 주요 내용 2. 개인정보 처리를 수반하는 정책ㆍ제도의 도입ㆍ변경에 따른 제2항 각 호의 사항에 대한 개인정보 침해요인 자체 분석 3. 개인정보 처리를 수반하는 정책ㆍ제도의 도입ㆍ변경에 따른 개인정보 보호 대책 ② 보호위원회는 제1항에 따른 요청서를 받은 경우에는 다음 각 호의 사항을 고려하여 침해요인 평가를 하고, 그 결과를 해당 중앙행정기관의 장에게 통보하여야 한다. 1. 개인정보 처리의 필요성 2. 개인정보 주체의 권리보장의 적정성 3. 개인정보 관리의 안전성 4. 그 밖에 침해요인 평가에 필요한 사항 ③ 중앙행정기관의 장은 법 제8조의2제2항에 따른 권고를 받은 경우에는 그 내용을 해당 법령안에 반영하는 등 권고내용을 이행하도록 노력하여야 한다. 다만, 보호위원회의 권고대로 이행하기 곤란한 경우에는 그 사유를 보호위원회에 통보하여야 한다. ④ 보호위원회는 침해요인 평가를 하는 경우에는 침해요인 평가에 필요한 자료 등을 해당 중앙행정기관의 장에게 요청할 수 있다. ⑤ 보호위원회는 침해요인 평가의 세부기준 및 방법 등 침해요인 평가에 필요한 지침을 수립하여 중앙행정기관의 장에게 통보할 수 있다. ⑥ 보호위원회는 침해요인 평가를 실시하기 위하여 필요하면 관계 전문가에게 자문 등을 할 수 있다. [본조신설 2016.7.22]
제10조
조문 연혁보기
삭제 <2020.8.4>
제3장 기본계획 및 시행계획의 수립절차
제11조(기본계획의 수립절차 등)
조문 연혁보기
① 보호위원회는 3년마다 법 제9조에 따른 개인정보 보호 기본계획(이하 "기본계획"이라 한다)을 그 3년이 시작되는 해의 전년도 6월 30일까지 수립해야 한다. <개정 2013.3.23, 2014.11.19, 2016.7.22, 2020.8.4> ② 보호위원회는 제1항에 따라 기본계획을 작성하는 경우에는 관계 중앙행정기관의 장으로부터 개인정보 보호 관련 중장기 계획과 시책 등을 반영한 부문별 계획을 제출받아 기본계획에 반영할 수 있다. 이 경우 보호위원회는 기본계획의 목표, 추진방향 및 부문별 계획의 작성 지침 등에 관하여 관계 중앙행정기관의 장과 협의하여야 한다. <개정 2013.3.23, 2014.11.19, 2016.7.22> ③ 보호위원회는 기본계획이 확정되면 지체 없이 관계 중앙행정기관의 장에게 통보하여야 한다. <개정 2013.3.23, 2014.11.19, 2016.7.22>
제12조(시행계획의 수립절차 등)
조문 연혁보기
① 보호위원회는 매년 6월 30일까지 다음 해 시행계획의 작성방법 등에 관한 지침을 마련하여 관계 중앙행정기관의 장에게 통보해야 한다. <개정 2013.3.23, 2014.11.19, 2016.7.22, 2020.8.4> ② 관계 중앙행정기관의 장은 제1항의 지침에 따라 기본계획 중 다음 해에 시행할 소관 분야의 시행계획을 작성하여 매년 9월 30일까지 보호위원회에 제출해야 한다. <개정 2020.8.4> ③ 보호위원회는 제2항에 따라 제출된 시행계획을 그 해 12월 31일까지 심의ㆍ의결해야 한다. <개정 2020.8.4>
제13조(자료제출 요구 등의 범위와 방법)
조문 연혁보기
① 보호위원회는 법 제11조제1항에 따라 개인정보처리자에게 다음 각 호의 사항에 관한 자료의 제출이나 의견의 진술 등을 요구할 수 있다. <개정 2013.3.23, 2014.11.19, 2016.7.22> 1. 해당 개인정보처리자가 처리하는 개인정보 및 개인정보파일의 관리와 영상정보처리기기의 설치ㆍ운영에 관한 사항 2. 법 제31조에 따른 개인정보 보호책임자의 지정 여부에 관한 사항 3. 개인정보의 안전성 확보를 위한 기술적ㆍ관리적ㆍ물리적 조치에 관한 사항 4. 정보주체의 열람, 개인정보의 정정ㆍ삭제ㆍ처리정지의 요구 및 조치 현황에 관한 사항 5. 그 밖에 법 및 이 영의 준수에 관한 사항 등 기본계획의 수립ㆍ추진을 위하여 필요한 사항 ② 보호위원회는 제1항에 따라 자료의 제출이나 의견의 진술 등을 요구할 때에는 기본계획을 효율적으로 수립ㆍ추진하기 위하여 필요한 최소한의 범위로 한정하여 요구하여야 한다. <개정 2013.3.23, 2014.11.19, 2016.7.22> ③ 법 제11조제3항에 따라 중앙행정기관의 장이 소관 분야의 개인정보처리자에게 자료의 제출 등을 요구하는 경우에는 제1항과 제2항을 준용한다. 이 경우 "보호위원회"는 "중앙행정기관의 장"으로, "법 제11조제1항"은 "법 제11조제3항"으로 본다. <개정 2013.3.23, 2014.11.19, 2016.7.22>
제14조(자율규제의 촉진 및 지원)
조문 연혁보기
보호위원회는 법 제13조제2호에 따라 개인정보처리자의 자율적인 개인정보 보호활동을 촉진하기 위하여 예산의 범위에서 개인정보 보호와 관련된 기관 또는 단체에 필요한 지원을 할 수 있다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2020.8.4>
제4장 개인정보의 처리
제14조의2(개인정보의 추가적인 이용ㆍ제공의 기준 등)
조문 연혁보기
① 개인정보처리자는 법 제15조제3항 또는 제17조제4항에 따라 정보주체의 동의 없이 개인정보를 이용 또는 제공(이하 "개인정보의 추가적인 이용 또는 제공"이라 한다)하려는 경우에는 다음 각 호의 사항을 고려해야 한다. 1. 당초 수집 목적과 관련성이 있는지 여부 2. 개인정보를 수집한 정황 또는 처리 관행에 비추어 볼 때 개인정보의 추가적인 이용 또는 제공에 대한 예측 가능성이 있는지 여부 3. 정보주체의 이익을 부당하게 침해하는지 여부 4. 가명처리 또는 암호화 등 안전성 확보에 필요한 조치를 하였는지 여부 ② 개인정보처리자는 제1항 각 호의 고려사항에 대한 판단 기준을 법 제30조제1항에 따른 개인정보 처리방침에 미리 공개하고, 법 제31조제1항에 따른 개인정보 보호책임자가 해당 기준에 따라 개인정보의 추가적인 이용 또는 제공을 하고 있는지 여부를 점검해야 한다. [본조신설 2020.8.4]
제15조(개인정보의 목적 외 이용 또는 제3자 제공의 관리)
조문 연혁보기
공공기관은 법 제18조제2항에 따라 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하는 경우에는 다음 각 호의 사항을 보호위원회가 정하여 고시하는 개인정보의 목적 외 이용 및 제3자 제공 대장에 기록하고 관리해야 한다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2020.8.4> 1. 이용하거나 제공하는 개인정보 또는 개인정보파일의 명칭 2. 이용기관 또는 제공받는 기관의 명칭 3. 이용 목적 또는 제공받는 목적 4. 이용 또는 제공의 법적 근거 5. 이용하거나 제공하는 개인정보의 항목 6. 이용 또는 제공의 날짜, 주기 또는 기간 7. 이용하거나 제공하는 형태 8. 법 제18조제5항에 따라 제한을 하거나 필요한 조치를 마련할 것을 요청한 경우에는 그 내용
제15조의2(개인정보 수집 출처 등 고지 대상ㆍ방법ㆍ절차)
조문 연혁보기
① 법 제20조제2항 본문에서 "대통령령으로 정하는 기준에 해당하는 개인정보처리자"란 다음 각 호의 어느 하나에 해당하는 개인정보처리자를 말한다. 1. 5만명 이상의 정보주체에 관하여 법 제23조에 따른 민감정보(이하 "민감정보"라 한다) 또는 법 제24조제1항에 따른 고유식별정보(이하 "고유식별정보"라 한다)를 처리하는 자 2. 100만명 이상의 정보주체에 관하여 개인정보를 처리하는 자 ② 제1항 각 호의 어느 하나에 해당하는 개인정보처리자는 법 제20조제1항 각 호의 사항을 서면ㆍ전화ㆍ문자전송ㆍ전자우편 등 정보주체가 쉽게 알 수 있는 방법으로 개인정보를 제공받은 날부터 3개월 이내에 정보주체에게 알려야 한다. 다만, 법 제17조제2항제1호부터 제4호까지의 사항에 대하여 같은 조 제1항제1호에 따라 정보주체의 동의를 받은 범위에서 연 2회 이상 주기적으로 개인정보를 제공받아 처리하는 경우에는 개인정보를 제공받은 날부터 3개월 이내에 정보주체에게 알리거나 그 동의를 받은 날부터 기산하여 연 1회 이상 정보주체에게 알려야 한다. ③ 제1항 각 호의 어느 하나에 해당하는 개인정보처리자는 제2항에 따라 알린 경우 다음 각 호의 사항을 법 제21조 또는 제37조제4항에 따라 해당 개인정보를 파기할 때까지 보관ㆍ관리하여야 한다. 1. 정보주체에게 알린 사실 2. 알린 시기 3. 알린 방법 [본조신설 2016.9.29]
제16조(개인정보의 파기방법)
조문 연혁보기
①개인정보처리자는 법 제21조에 따라 개인정보를 파기할 때에는 다음 각 호의 구분에 따른 방법으로 하여야 한다. <개정 2014.8.6> 1. 전자적 파일 형태인 경우: 복원이 불가능한 방법으로 영구 삭제 2. 제1호 외의 기록물, 인쇄물, 서면, 그 밖의 기록매체인 경우: 파쇄 또는 소각 ② 제1항에 따른 개인정보의 안전한 파기에 관한 세부 사항은 보호위원회가 정하여 고시한다. <신설 2014.8.6, 2014.11.19, 2017.7.26, 2020.8.4>
제17조(동의를 받는 방법)
조문 연혁보기
① 개인정보처리자는 법 제22조에 따라 개인정보의 처리에 대하여 다음 각 호의 어느 하나에 해당하는 방법으로 정보주체의 동의를 받아야 한다. 1. 동의 내용이 적힌 서면을 정보주체에게 직접 발급하거나 우편 또는 팩스 등의 방법으로 전달하고, 정보주체가 서명하거나 날인한 동의서를 받는 방법 2. 전화를 통하여 동의 내용을 정보주체에게 알리고 동의의 의사표시를 확인하는 방법 3. 전화를 통하여 동의 내용을 정보주체에게 알리고 정보주체에게 인터넷주소 등을 통하여 동의 사항을 확인하도록 한 후 다시 전화를 통하여 그 동의 사항에 대한 동의의 의사표시를 확인하는 방법 4. 인터넷 홈페이지 등에 동의 내용을 게재하고 정보주체가 동의 여부를 표시하도록 하는 방법 5. 동의 내용이 적힌 전자우편을 발송하여 정보주체로부터 동의의 의사표시가 적힌 전자우편을 받는 방법 6. 그 밖에 제1호부터 제5호까지의 규정에 따른 방법에 준하는 방법으로 동의 내용을 알리고 동의의 의사표시를 확인하는 방법 ② 법 제22조제2항에서 "대통령령으로 정하는 중요한 내용"이란 다음 각 호의 사항을 말한다. <신설 2017.10.17> 1. 개인정보의 수집ㆍ이용 목적 중 재화나 서비스의 홍보 또는 판매 권유 등을 위하여 해당 개인정보를 이용하여 정보주체에게 연락할 수 있다는 사실 2. 처리하려는 개인정보의 항목 중 다음 각 목의 사항 가. 제18조에 따른 민감정보 나. 제19조제2호부터 제4호까지의 규정에 따른 여권번호, 운전면허의 면허번호 및 외국인등록번호 3. 개인정보의 보유 및 이용 기간(제공 시에는 제공받는 자의 보유 및 이용 기간을 말한다) 4. 개인정보를 제공받는 자 및 개인정보를 제공받는 자의 개인정보 이용 목적 ③ 개인정보처리자가 정보주체로부터 법 제18조제2항제1호 및 제22조제4항에 따른 동의를 받거나 법 제22조제3항에 따라 선택적으로 동의할 수 있는 사항에 대한 동의를 받으려는 때에는 정보주체가 동의 여부를 선택할 수 있다는 사실을 명확하게 확인할 수 있도록 선택적으로 동의할 수 있는 사항 외의 사항과 구분하여 표시하여야 한다. <신설 2015.12.30, 2017.10.17> ④ 개인정보처리자는 법 제22조제6항에 따라 만 14세 미만 아동의 법정대리인의 동의를 받기 위하여 해당 아동으로부터 직접 법정대리인의 성명ㆍ연락처에 관한 정보를 수집할 수 있다. <개정 2015.12.30, 2017.10.17> ⑤ 중앙행정기관의 장은 제1항에 따른 동의방법 중 소관 분야의 개인정보처리자별 업무, 업종의 특성 및 정보주체의 수 등을 고려하여 적절한 동의방법에 관한 기준을 법 제12조제2항에 따른 개인정보 보호지침(이하 "개인정보 보호지침"이라 한다)으로 정하여 그 기준에 따라 동의를 받도록 개인정보처리자에게 권장할 수 있다. <개정 2015.12.30, 2017.10.17>
제18조(민감정보의 범위)
조문 연혁보기
법 제23조제1항 각 호 외의 부분 본문에서 "대통령령으로 정하는 정보"란 다음 각 호의 어느 하나에 해당하는 정보를 말한다. 다만, 공공기관이 법 제18조제2항제5호부터 제9호까지의 규정에 따라 다음 각 호의 어느 하나에 해당하는 정보를 처리하는 경우의 해당 정보는 제외한다. <개정 2016.9.29, 2020.8.4> 1. 유전자검사 등의 결과로 얻어진 유전정보 2. 「형의 실효 등에 관한 법률」 제2조제5호에 따른 범죄경력자료에 해당하는 정보 3. 개인의 신체적, 생리적, 행동적 특징에 관한 정보로서 특정 개인을 알아볼 목적으로 일정한 기술적 수단을 통해 생성한 정보 4. 인종이나 민족에 관한 정보
제19조(고유식별정보의 범위)
조문 연혁보기
법 제24조제1항 각 호 외의 부분에서 "대통령령으로 정하는 정보"란 다음 각 호의 어느 하나에 해당하는 정보를 말한다. 다만, 공공기관이 법 제18조제2항제5호부터 제9호까지의 규정에 따라 다음 각 호의 어느 하나에 해당하는 정보를 처리하는 경우의 해당 정보는 제외한다. <개정 2016.9.29, 2017.6.27, 2020.8.4> 1. 「주민등록법」 제7조의2제1항에 따른 주민등록번호 2. 「여권법」 제7조제1항제1호에 따른 여권번호 3. 「도로교통법」 제80조에 따른 운전면허의 면허번호 4. 「출입국관리법」 제31조제5항에 따른 외국인등록번호
제20조
조문 연혁보기
삭제 <2014.8.6>
제21조(고유식별정보의 안전성 확보 조치)
조문 연혁보기
① 법 제24조제3항에 따른 고유식별정보의 안전성 확보 조치에 관하여는 제30조 또는 제48조의2를 준용한다. 이 경우 "법 제29조"는 "법 제24조제3항"으로, "개인정보"는 "고유식별정보"로 본다. <개정 2020.8.4> ② 법 제24조제4항에서 "대통령령으로 정하는 기준에 해당하는 개인정보처리자"란 다음 각 호의 어느 하나에 해당하는 개인정보처리자를 말한다. 1. 공공기관 2. 5만명 이상의 정보주체에 관하여 고유식별정보를 처리하는 자 ③ 보호위원회는 제2항 각 호의 어느 하나에 해당하는 개인정보처리자에 대하여 법 제24조제4항에 따라 안전성 확보에 필요한 조치를 하였는지를 2년마다 1회 이상 조사해야 한다. <개정 2017.7.26, 2020.8.4> ④ 제3항에 따른 조사는 제2항 각 호의 어느 하나에 해당하는 개인정보처리자에게 온라인 또는 서면을 통하여 필요한 자료를 제출하게 하는 방법으로 한다. ⑤ 법 제24조제5항에서 "대통령령으로 정하는 전문기관"이란 다음 각 호의 기관을 말한다. <개정 2017.7.26, 2020.8.4> 1. 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제52조에 따른 한국인터넷진흥원(이하 "한국인터넷진흥원"이라 한다) 2. 법 제24조제4항에 따른 조사를 수행할 수 있는 기술적ㆍ재정적 능력과 설비를 보유한 것으로 인정되어 보호위원회가 정하여 고시하는 법인, 단체 또는 기관 [전문개정 2016.9.29]
제21조의2(주민등록번호 암호화 적용 대상 등)
조문 연혁보기
① 법 제24조의2제2항에 따라 암호화 조치를 하여야 하는 암호화 적용 대상은 주민등록번호를 전자적인 방법으로 보관하는 개인정보처리자로 한다. ② 제1항의 개인정보처리자에 대한 암호화 적용 시기는 다음 각 호와 같다. 1. 100만명 미만의 정보주체에 관한 주민등록번호를 보관하는 개인정보처리자: 2017년 1월 1일 2. 100만명 이상의 정보주체에 관한 주민등록번호를 보관하는 개인정보처리자: 2018년 1월 1일 ③ 보호위원회는 기술적ㆍ 경제적 타당성 등을 고려하여 제1항에 따른 암호화 조치의 세부적인 사항을 정하여 고시할 수 있다. <개정 2017.7.26, 2020.8.4> [본조신설 2015.12.30]
제22조(영상정보처리기기 설치ㆍ운영 제한의 예외)
조문 연혁보기
① 법 제25조제2항 단서에서 "대통령령으로 정하는 시설"이란 다음 각 호의 시설을 말한다. <개정 2017.5.29, 2020.8.4> 1. 「형의 집행 및 수용자의 처우에 관한 법률」 제2조제1호에 따른 교정시설 2. 「정신건강증진 및 정신질환자 복지서비스 지원에 관한 법률」 제3조제5호부터 제7호까지의 규정에 따른 정신의료기관(수용시설을 갖추고 있는 것만 해당한다), 정신요양시설 및 정신재활시설 ② 중앙행정기관의 장은 소관 분야의 개인정보처리자가 법 제25조제2항 단서에 따라 제1항 각 호의 시설에 영상정보처리기기를 설치ㆍ운영하는 경우 정보주체의 사생활 침해를 최소화하기 위하여 필요한 세부 사항을 개인정보 보호지침으로 정하여 그 준수를 권장할 수 있다.
제23조(영상정보처리기기 설치 시 의견 수렴)
조문 연혁보기
① 법 제25조제1항 각 호에 따라 영상정보처리기기를 설치ㆍ운영하려는 공공기관의 장은 다음 각 호의 어느 하나에 해당하는 절차를 거쳐 관계 전문가 및 이해관계인의 의견을 수렴하여야 한다. 1. 「행정절차법」에 따른 행정예고의 실시 또는 의견청취 2. 해당 영상정보처리기기의 설치로 직접 영향을 받는 지역 주민 등을 대상으로 하는 설명회ㆍ설문조사 또는 여론조사 ② 법 제25조제2항 단서에 따른 시설에 영상정보처리기기를 설치ㆍ운영하려는 자는 다음 각 호의 사람으로부터 의견을 수렴하여야 한다. 1. 관계 전문가 2. 해당 시설에 종사하는 사람, 해당 시설에 구금되어 있거나 보호받고 있는 사람 또는 그 사람의 보호자 등 이해관계인
제24조(안내판의 설치 등)
조문 연혁보기
① 법 제25조제1항 각 호에 따라 영상정보처리기기를 설치ㆍ운영하는 자(이하 "영상정보처리기기운영자"라 한다)는 영상정보처리기기가 설치ㆍ운영되고 있음을 정보주체가 쉽게 알아볼 수 있도록 같은 조 제4항 각 호의 사항이 포함된 안내판을 설치하여야 한다. 다만, 건물 안에 여러 개의 영상정보처리기기를 설치하는 경우에는 출입구 등 잘 보이는 곳에 해당 시설 또는 장소 전체가 영상정보처리기기 설치지역임을 표시하는 안내판을 설치할 수 있다. <개정 2016.9.29> 1. 삭제 <2016.9.29> 2. 삭제 <2016.9.29> 3. 삭제 <2016.9.29> ② 제1항에도 불구하고 영상정보처리기기운영자가 설치ㆍ운영하는 영상정보처리기기가 다음 각 호의 어느 하나에 해당하는 경우에는 안내판 설치를 갈음하여 영상정보처리기기운영자의 인터넷 홈페이지에 법 제25조제4항 각 호의 사항을 게재할 수 있다. <개정 2016.9.29> 1. 공공기관이 원거리 촬영, 과속ㆍ신호위반 단속 또는 교통흐름조사 등의 목적으로 영상정보처리기기를 설치하는 경우로서 개인정보 침해의 우려가 적은 경우 2. 산불감시용 영상정보처리기기를 설치하는 경우 등 장소적 특성으로 인하여 안내판을 설치하는 것이 불가능하거나 안내판을 설치하더라도 정보주체가 쉽게 알아볼 수 없는 경우 ③ 제2항에 따라 인터넷 홈페이지에 법 제25조제4항 각 호의 사항을 게재할 수 없으면 영상정보처리기기운영자는 다음 각 호의 어느 하나 이상의 방법으로 법 제25조제4항 각 호의 사항을 공개하여야 한다. <개정 2016.9.29, 2020.8.4> 1. 영상정보처리기기운영자의 사업장ㆍ영업소ㆍ사무소ㆍ점포 등(이하 "사업장등"이라 한다)의 보기 쉬운 장소에 게시하는 방법 2. 관보(영상정보처리기기운영자가 공공기관인 경우만 해당한다)나 영상정보처리기기운영자의 사업장등이 있는 시ㆍ도 이상의 지역을 주된 보급지역으로 하는 「신문 등의 진흥에 관한 법률」 제2조제1호가목ㆍ다목 또는 같은 조 제2호에 따른 일반일간신문ㆍ일반주간신문 또는 인터넷신문에 싣는 방법 ④ 법 제25조제4항 각 호 외의 부분 단서에서 "대통령령으로 정하는 시설"이란 「보안업무규정」 제32조에 따른 국가보안시설을 말한다. <개정 2016.9.29>
제25조(영상정보처리기기 운영ㆍ관리 방침)
조문 연혁보기
① 영상정보처리기기운영자는 법 제25조제7항에 따라 다음 각 호의 사항이 포함된 영상정보처리기기 운영ㆍ관리 방침을 마련하여야 한다. 1. 영상정보처리기기의 설치 근거 및 설치 목적 2. 영상정보처리기기의 설치 대수, 설치 위치 및 촬영 범위 3. 관리책임자, 담당 부서 및 영상정보에 대한 접근 권한이 있는 사람 4. 영상정보의 촬영시간, 보관기간, 보관장소 및 처리방법 5. 영상정보처리기기운영자의 영상정보 확인 방법 및 장소 6. 정보주체의 영상정보 열람 등 요구에 대한 조치 7. 영상정보 보호를 위한 기술적ㆍ관리적 및 물리적 조치 8. 그 밖에 영상정보처리기기의 설치ㆍ운영 및 관리에 필요한 사항 ② 제1항에 따라 마련한 영상정보처리기기 운영ㆍ관리 방침의 공개에 관하여는 제31조제2항 및 제3항을 준용한다. 이 경우 "개인정보처리자"는 "영상정보처리기기운영자"로, "법 제30조제2항"은 "법 제25조제7항"으로, "개인정보 처리방침"은 "영상정보처리기기 운영ㆍ관리 방침"으로 본다. <개정 2016.9.29>
제26조(공공기관의 영상정보처리기기 설치ㆍ운영 사무의 위탁)
조문 연혁보기
① 법 제25조제8항 단서에 따라 공공기관이 영상정보처리기기의 설치ㆍ운영에 관한 사무를 위탁하는 경우에는 다음 각 호의 내용이 포함된 문서로 하여야 한다. 1. 위탁하는 사무의 목적 및 범위 2. 재위탁 제한에 관한 사항 3. 영상정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항 4. 영상정보의 관리 현황 점검에 관한 사항 5. 위탁받는 자가 준수하여야 할 의무를 위반한 경우의 손해배상 등 책임에 관한 사항 ② 제1항에 따라 사무를 위탁한 경우에는 제24조제1항부터 제3항까지의 규정에 따른 안내판 등에 위탁받는 자의 명칭 및 연락처를 포함시켜야 한다.
제27조(영상정보처리기기 설치ㆍ운영 지침)
조문 연혁보기
보호위원회는 법 및 이 영에서 규정한 사항 외에 영상정보처리기기의 설치ㆍ운영에 관한 기준, 설치ㆍ운영 사무의 위탁 등에 관하여 법 제12조제1항에 따른 표준 개인정보 보호지침을 정하여 영상정보처리기기운영자에게 그 준수를 권장할 수 있다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2020.8.4>
제28조(개인정보의 처리 업무 위탁 시 조치)
조문 연혁보기
① 법 제26조제1항제3호에서 "대통령령으로 정한 사항"이란 다음 각 호의 사항을 말한다. 1. 위탁업무의 목적 및 범위 2. 재위탁 제한에 관한 사항 3. 개인정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항 4. 위탁업무와 관련하여 보유하고 있는 개인정보의 관리 현황 점검 등 감독에 관한 사항 5. 법 제26조제2항에 따른 수탁자(이하 "수탁자"라 한다)가 준수하여야 할 의무를 위반한 경우의 손해배상 등 책임에 관한 사항 ② 법 제26조제2항에서 "대통령령으로 정하는 방법"이란 개인정보 처리 업무를 위탁하는 개인정보처리자(이하 "위탁자"라 한다)가 위탁자의 인터넷 홈페이지에 위탁하는 업무의 내용과 수탁자를 지속적으로 게재하는 방법을 말한다. ③ 제2항에 따라 인터넷 홈페이지에 게재할 수 없는 경우에는 다음 각 호의 어느 하나 이상의 방법으로 위탁하는 업무의 내용과 수탁자를 공개하여야 한다. 1. 위탁자의 사업장등의 보기 쉬운 장소에 게시하는 방법 2. 관보(위탁자가 공공기관인 경우만 해당한다)나 위탁자의 사업장등이 있는 시ㆍ도 이상의 지역을 주된 보급지역으로 하는 「신문 등의 진흥에 관한 법률」 제2조제1호가목ㆍ다목 및 같은 조 제2호에 따른 일반일간신문, 일반주간신문 또는 인터넷신문에 싣는 방법 3. 같은 제목으로 연 2회 이상 발행하여 정보주체에게 배포하는 간행물ㆍ소식지ㆍ홍보지 또는 청구서 등에 지속적으로 싣는 방법 4. 재화나 용역을 제공하기 위하여 위탁자와 정보주체가 작성한 계약서 등에 실어 정보주체에게 발급하는 방법 ④ 법 제26조제3항 전단에서 "대통령령으로 정하는 방법"이란 서면, 전자우편, 팩스, 전화, 문자전송 또는 이에 상당하는 방법(이하 "서면등의 방법"이라 한다)을 말한다. ⑤ 위탁자가 과실 없이 제4항에 따른 방법으로 위탁하는 업무의 내용과 수탁자를 정보주체에게 알릴 수 없는 경우에는 해당 사항을 인터넷 홈페이지에 30일 이상 게재하여야 한다. 다만, 인터넷 홈페이지를 운영하지 아니하는 위탁자의 경우에는 사업장등의 보기 쉬운 장소에 30일 이상 게시하여야 한다. ⑥ 위탁자는 수탁자가 개인정보 처리 업무를 수행하는 경우에 법 또는 이 영에 따라 개인정보처리자가 준수하여야 할 사항과 법 제26조제1항 각 호의 사항을 준수하는지를 같은 조 제4항에 따라 감독하여야 한다.
제29조(영업양도 등에 따른 개인정보 이전의 통지)
조문 연혁보기
① 법 제27조제1항 각 호 외의 부분과 같은 조 제2항 본문에서 "대통령령으로 정하는 방법"이란 서면등의 방법을 말한다. ② 법 제27조제1항에 따라 개인정보를 이전하려는 자(이하 이 항에서 "영업양도자등"이라 한다)가 과실 없이 제1항에 따른 방법으로 법 제27조제1항 각 호의 사항을 정보주체에게 알릴 수 없는 경우에는 해당 사항을 인터넷 홈페이지에 30일 이상 게재하여야 한다. 다만, 인터넷 홈페이지에 게재할 수 없는 정당한 사유가 있는 경우에는 다음 각 호의 어느 하나의 방법으로 법 제27조제1항 각 호의 사항을 정보주체에게 알릴 수 있다. <개정 2020.8.4> 1. 영업양도자등의 사업장등의 보기 쉬운 장소에 30일 이상 게시하는 방법 2. 영업양도자등의 사업장등이 있는 시ㆍ도 이상의 지역을 주된 보급지역으로 하는 「신문 등의 진흥에 관한 법률」 제2조제1호가목ㆍ다목 또는 같은 조 제2호에 따른 일반일간신문ㆍ일반주간신문 또는 인터넷신문에 싣는 방법
제4장의2 가명정보의 처리에 관한 특례 <신설 2020.8.4>
제29조의2(결합전문기관의 지정 및 지정 취소)
조문 연혁보기
① 법 제28조의3제1항에 따른 전문기관(이하 "결합전문기관"이라 한다)의 지정 기준은 다음 각 호와 같다. 1. 보호위원회가 정하여 고시하는 바에 따라 가명정보의 결합ㆍ반출 업무를 담당하는 조직을 구성하고, 개인정보 보호와 관련된 자격이나 경력을 갖춘 사람을 3명 이상 상시 고용할 것 2. 보호위원회가 정하여 고시하는 바에 따라 가명정보를 안전하게 결합하기 위하여 필요한 공간, 시설 및 장비를 구축하고 가명정보의 결합ㆍ반출 관련 정책 및 절차 등을 마련할 것 3. 보호위원회가 정하여 고시하는 기준에 따른 재정 능력을 갖출 것 4. 최근 3년 이내에 법 제66조에 따른 공표 내용에 포함된 적이 없을 것 ② 법인, 단체 또는 기관이 법 제28조의3제1항에 따라 결합전문기관으로 지정을 받으려는 경우에는 보호위원회가 정하여 고시하는 결합전문기관 지정신청서에 다음 각 호의 서류(전자문서를 포함한다. 이하 같다)를 첨부하여 보호위원회 또는 관계 중앙행정기관의 장에게 제출해야 한다. 1. 정관 또는 규약 2. 제1항에 따른 지정 기준을 갖추었음을 증명할 수 있는 서류로서 보호위원회가 정하여 고시하는 서류 ③ 보호위원회 또는 관계 중앙행정기관의 장은 제2항에 따라 지정신청서를 제출한 법인, 단체 또는 기관이 제1항에 따른 지정 기준에 적합한 경우에는 결합전문기관으로 지정할 수 있다. ④ 결합전문기관 지정의 유효기간은 지정을 받은 날부터 3년으로 하며, 보호위원회 또는 관계 중앙행정기관의 장은 결합전문기관이 유효기간의 연장을 신청하면 제1항에 따른 지정 기준에 적합한 경우에는 결합전문기관으로 재지정할 수 있다. ⑤ 보호위원회 또는 관계 중앙행정기관의 장은 결합전문기관이 다음 각 호의 어느 하나에 해당하는 경우에는 결합전문기관의 지정을 취소할 수 있다. 다만, 제1호 또는 제2호에 해당하는 경우에는 지정을 취소해야 한다. 1. 거짓이나 부정한 방법으로 결합전문기관으로 지정을 받은 경우 2. 결합전문기관 스스로 지정 취소를 요청하거나 폐업한 경우 3. 제1항에 따른 결합전문기관의 지정 기준을 충족하지 못하게 된 경우 4. 결합 및 반출 등과 관련된 정보의 유출 등 개인정보 침해사고가 발생한 경우 5. 그 밖에 법 또는 이 영에 따른 의무를 위반한 경우 ⑥ 보호위원회 또는 관계 중앙행정기관의 장은 제5항에 따라 결합전문기관의 지정을 취소하려는 경우에는 청문을 해야 한다. ⑦ 보호위원회 또는 관계 중앙행정기관의 장은 결합전문기관을 지정, 재지정 또는 지정 취소한 경우에는 이를 관보에 공고하거나 보호위원회 또는 해당 관계 중앙행정기관의 홈페이지에 게시해야 한다. 이 경우 관계 중앙행정기관의 장이 결합전문기관을 지정, 재지정, 또는 지정 취소한 경우에는 보호위원회에 통보해야 한다. ⑧ 제1항부터 제7항까지에서 규정한 사항 외에 결합전문기관의 지정, 재지정 및 지정 취소 등에 필요한 사항은 보호위원회가 정하여 고시한다. [본조신설 2020.8.4]
제29조의3(개인정보처리자 간 가명정보의 결합 및 반출 등)
조문 연혁보기
① 결합전문기관에 가명정보의 결합을 신청하려는 개인정보처리자(이하 "결합신청자"라 한다)는 보호위원회가 정하여 고시하는 결합신청서에 다음 각 호의 서류를 첨부하여 결합전문기관에 제출해야 한다. 1. 사업자등록증, 법인등기부등본 등 결합신청자 관련 서류 2. 결합 대상 가명정보에 관한 서류 3. 결합 목적을 증명할 수 있는 서류 4. 그 밖에 가명정보의 결합 및 반출에 필요하다고 보호위원회가 정하여 고시하는 서류 ② 결합전문기관은 법 제28조의3제1항에 따라 가명정보를 결합하는 경우에는 특정 개인을 알아볼 수 없도록 해야 한다. 이 경우 보호위원회는 필요하면 한국인터넷진흥원 또는 보호위원회가 지정하여 고시하는 기관으로 하여금 특정 개인을 알아볼 수 없도록 하는 데에 필요한 업무를 지원하도록 할 수 있다. ③ 결합신청자는 법 제28조의3제2항에 따라 결합전문기관이 결합한 정보를 결합전문기관 외부로 반출하려는 경우에는 결합전문기관에 설치된 안전성 확보에 필요한 기술적ㆍ관리적ㆍ물리적 조치가 된 공간에서 제2항에 따라 결합된 정보를 가명정보 또는 법 제58조의2에 해당하는 정보로 처리한 뒤 결합전문기관의 승인을 받아야 한다. ④ 결합전문기관은 다음 각 호의 기준을 충족하는 경우에는 법 제28조의3제2항에 따른 반출을 승인해야 한다. 이 경우 결합전문기관은 결합된 정보의 반출을 승인하기 위하여 반출심사위원회를 구성해야 한다. 1. 결합 목적과 반출 정보가 관련성이 있을 것 2. 특정 개인을 알아볼 가능성이 없을 것 3. 반출 정보에 대한 안전조치 계획이 있을 것 ⑤ 결합전문기관은 결합 및 반출 등에 필요한 비용을 결합신청자에게 청구할 수 있다. ⑥ 제1항부터 제5항까지에서 규정한 사항 외에 가명정보의 결합 절차와 방법, 반출 및 승인 등에 필요한 사항은 보호위원회가 정하여 고시한다. [본조신설 2020.8.4]
제29조의4(결합전문기관의 관리ㆍ감독 등)
조문 연혁보기
① 보호위원회 또는 관계 중앙행정기관의 장은 결합전문기관을 지정한 경우에는 해당 결합전문기관의 업무 수행능력 및 기술ㆍ시설 유지 여부 등을 관리ㆍ감독해야 한다. ② 결합전문기관은 제1항에 따른 관리ㆍ감독을 위하여 다음 각 호의 서류를 매년 보호위원회 또는 관계 중앙행정기관의 장에게 제출해야 한다. 1. 가명정보의 결합ㆍ반출 실적보고서 2. 결합전문기관의 지정 기준을 유지하고 있음을 증명할 수 있는 서류 3. 가명정보의 안전성 확보에 필요한 조치를 하고 있음을 증명할 수 있는 서류로서 보호위원회가 정하여 고시하는 서류 ③ 보호위원회는 다음 각 호의 사항을 관리ㆍ감독해야 한다. 1. 결합전문기관의 가명정보의 결합 및 반출 승인 과정에서의 법 위반 여부 2. 결합신청자의 가명정보 처리 실태 3. 그 밖에 가명정보의 안전한 처리를 위하여 필요한 사항으로서 보호위원회가 정하여 고시하는 사항 [본조신설 2020.8.4]
제29조의5(가명정보에 대한 안전성 확보 조치)
조문 연혁보기
① 개인정보처리자는 법 제28조의4제1항에 따라 가명정보 및 가명정보를 원래의 상태로 복원하기 위한 추가 정보(이하 이 조에서 "추가정보"라 한다)에 대하여 다음 각 호의 안전성 확보 조치를 해야 한다. <개정 2021.2.2> 1. 제30조 또는 제48조의2에 따른 안전성 확보 조치 2. 가명정보와 추가정보의 분리 보관. 다만, 추가정보가 불필요한 경우에는 추가정보를 파기해야 한다. 3. 가명정보와 추가정보에 대한 접근 권한의 분리. 다만, 「소상공인기본법」 제2조에 따른 소상공인으로서 가명정보를 취급할 자를 추가로 둘 여력이 없는 경우 등 접근 권한의 분리가 어려운 정당한 사유가 있는 경우에는 업무 수행에 필요한 최소한의 접근 권한만 부여하고 접근 권한의 보유 현황을 기록으로 보관하는 등 접근 권한을 관리ㆍ통제해야 한다. ② 법 제28조의4제2항에서 "대통령령으로 정하는 사항"이란 다음 각 호의 사항을 말한다. 1. 가명정보 처리의 목적 2. 가명처리한 개인정보의 항목 3. 가명정보의 이용내역 4. 제3자 제공 시 제공받는 자 5. 그 밖에 가명정보의 처리 내용을 관리하기 위하여 보호위원회가 필요하다고 인정하여 고시하는 사항 [본조신설 2020.8.4]
제29조의6(가명정보 처리에 대한 과징금의 부과기준 등)
조문 연혁보기
① 법 제28조의6제1항에 따른 매출액은 해당 개인정보처리자의 직전 3개 사업연도의 연평균 매출액으로 한다. 다만, 해당 사업연도 첫날 현재 사업을 개시한지 3년이 되지 않은 경우에는 그 사업개시일부터 직전 사업연도 말일까지의 매출액을 연평균 매출액으로 환산한 금액으로 하며, 해당 사업연도에 사업을 개시한 경우에는 사업개시일부터 위반행위일까지의 매출액을 연매출액으로 환산한 금액으로 한다. ② 법 제28조의6제1항 단서에서 "대통령령으로 정하는 경우"란 다음 각 호의 어느 하나에 해당하는 경우를 말한다. 1. 영업을 개시하지 않았거나 영업을 중단하는 등의 사유로 영업실적이 없는 경우 2. 재해 등으로 인하여 매출액 산정자료가 소멸되거나 훼손되는 등 객관적인 매출액의 산정이 곤란한 경우 ③ 보호위원회는 제1항에 따른 매출액 산정을 위하여 재무제표 등의 자료가 필요한 경우에는 20일 이내의 기간을 정하여 해당 개인정보처리자에게 관련 자료의 제출을 요청할 수 있다. ④ 법 제28조의6제1항에 따른 과징금의 산정기준 및 산정절차는 별표 1과 같다. [본조신설 2020.8.4]
제5장 개인정보의 안전한 관리
제30조(개인정보의 안전성 확보 조치)
조문 연혁보기
① 개인정보처리자는 법 제29조에 따라 다음 각 호의 안전성 확보 조치를 하여야 한다. 1. 개인정보의 안전한 처리를 위한 내부 관리계획의 수립ㆍ시행 2. 개인정보에 대한 접근 통제 및 접근 권한의 제한 조치 3. 개인정보를 안전하게 저장ㆍ전송할 수 있는 암호화 기술의 적용 또는 이에 상응하는 조치 4. 개인정보 침해사고 발생에 대응하기 위한 접속기록의 보관 및 위조ㆍ변조 방지를 위한 조치 5. 개인정보에 대한 보안프로그램의 설치 및 갱신 6. 개인정보의 안전한 보관을 위한 보관시설의 마련 또는 잠금장치의 설치 등 물리적 조치 ② 보호위원회는 개인정보처리자가 제1항에 따른 안전성 확보 조치를 하도록 시스템을 구축하는 등 필요한 지원을 할 수 있다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2020.8.4> ③ 제1항에 따른 안전성 확보 조치에 관한 세부 기준은 보호위원회가 정하여 고시한다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2020.8.4>
제31조(개인정보 처리방침의 내용 및 공개방법 등)
조문 연혁보기
① 법 제30조제1항제8호에서 "대통령령으로 정한 사항"이란 다음 각 호의 사항을 말한다. <개정 2016.9.29, 2020.8.4> 1. 처리하는 개인정보의 항목 2. 삭제 <2020.8.4> 3. 제30조 또는 제48조의2에 따른 개인정보의 안전성 확보 조치에 관한 사항 ② 개인정보처리자는 법 제30조제2항에 따라 수립하거나 변경한 개인정보 처리방침을 개인정보처리자의 인터넷 홈페이지에 지속적으로 게재하여야 한다. ③ 제2항에 따라 인터넷 홈페이지에 게재할 수 없는 경우에는 다음 각 호의 어느 하나 이상의 방법으로 수립하거나 변경한 개인정보 처리방침을 공개하여야 한다. 1. 개인정보처리자의 사업장등의 보기 쉬운 장소에 게시하는 방법 2. 관보(개인정보처리자가 공공기관인 경우만 해당한다)나 개인정보처리자의 사업장등이 있는 시ㆍ도 이상의 지역을 주된 보급지역으로 하는 「신문 등의 진흥에 관한 법률」 제2조제1호가목ㆍ다목 및 같은 조 제2호에 따른 일반일간신문, 일반주간신문 또는 인터넷신문에 싣는 방법 3. 같은 제목으로 연 2회 이상 발행하여 정보주체에게 배포하는 간행물ㆍ소식지ㆍ홍보지 또는 청구서 등에 지속적으로 싣는 방법 4. 재화나 용역을 제공하기 위하여 개인정보처리자와 정보주체가 작성한 계약서 등에 실어 정보주체에게 발급하는 방법
제32조(개인정보 보호책임자의 업무 및 지정요건 등)
조문 연혁보기
① 법 제31조제2항제7호에서 "대통령령으로 정한 업무"란 다음 각 호와 같다. 1. 법 제30조에 따른 개인정보 처리방침의 수립ㆍ변경 및 시행 2. 개인정보 보호 관련 자료의 관리 3. 처리 목적이 달성되거나 보유기간이 지난 개인정보의 파기 ② 개인정보처리자는 법 제31조제1항에 따라 개인정보 보호책임자를 지정하려는 경우에는 다음 각 호의 구분에 따라 지정한다. <개정 2016.7.22> 1. 공공기관: 다음 각 목의 구분에 따른 기준에 해당하는 공무원 등 가. 국회, 법원, 헌법재판소, 중앙선거관리위원회의 행정사무를 처리하는 기관 및 중앙행정기관: 고위공무원단에 속하는 공무원(이하 "고위공무원"이라 한다) 또는 그에 상당하는 공무원 나. 가목 외에 정무직공무원을 장(長)으로 하는 국가기관: 3급 이상 공무원(고위공무원을 포함한다) 또는 그에 상당하는 공무원 다. 가목 및 나목 외에 고위공무원, 3급 공무원 또는 그에 상당하는 공무원 이상의 공무원을 장으로 하는 국가기관: 4급 이상 공무원 또는 그에 상당하는 공무원 라. 가목부터 다목까지의 규정에 따른 국가기관 외의 국가기관(소속 기관을 포함한다): 해당 기관의 개인정보 처리 관련 업무를 담당하는 부서의 장 마. 시ㆍ도 및 시ㆍ도 교육청: 3급 이상 공무원 또는 그에 상당하는 공무원 바. 시ㆍ군 및 자치구: 4급 공무원 또는 그에 상당하는 공무원 사. 제2조제5호에 따른 각급 학교: 해당 학교의 행정사무를 총괄하는 사람 아. 가목부터 사목까지의 규정에 따른 기관 외의 공공기관: 개인정보 처리 관련 업무를 담당하는 부서의 장. 다만, 개인정보 처리 관련 업무를 담당하는 부서의 장이 2명 이상인 경우에는 해당 공공기관의 장이 지명하는 부서의 장이 된다. 2. 공공기관 외의 개인정보처리자: 다음 각 목의 어느 하나에 해당하는 사람 가. 사업주 또는 대표자 나. 임원(임원이 없는 경우에는 개인정보 처리 관련 업무를 담당하는 부서의 장) ③ 제2항에도 불구하고 개인정보처리자가 「소상공인기본법」 제2조에 따른 소상공인에 해당하는 경우에는 별도의 지정 없이 그 사업주 또는 대표자를 개인정보 보호책임자로 지정한 것으로 본다. 다만, 개인정보처리자가 별도로 개인정보 보호책임자를 지정한 경우에는 그렇지 않다. <신설 2020.8.4, 2021.2.2> ④ 보호위원회는 개인정보 보호책임자가 법 제31조제2항의 업무를 원활히 수행할 수 있도록 개인정보 보호책임자에 대한 교육과정을 개설ㆍ운영하는 등 지원을 할 수 있다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2020.8.4>
제33조(개인정보파일의 등록사항)
조문 연혁보기
법 제32조제1항제7호에서 "대통령령으로 정하는 사항"이란 다음 각 호의 사항을 말한다. 1. 개인정보파일을 운용하는 공공기관의 명칭 2. 개인정보파일로 보유하고 있는 개인정보의 정보주체 수 3. 해당 공공기관에서 개인정보 처리 관련 업무를 담당하는 부서 4. 제41조에 따른 개인정보의 열람 요구를 접수ㆍ처리하는 부서 5. 개인정보파일의 개인정보 중 법 제35조제4항에 따라 열람을 제한하거나 거절할 수 있는 개인정보의 범위 및 제한 또는 거절 사유
제34조(개인정보파일의 등록 및 공개 등)
조문 연혁보기
① 개인정보파일을 운용하는 공공기관의 장은 그 운용을 시작한 날부터 60일 이내에 보호위원회가 정하여 고시하는 바에 따라 보호위원회에 법 제32조제1항 및 이 영 제33조에 따른 등록사항(이하 "등록사항"이라 한다)의 등록을 신청하여야 한다. 등록 후 등록한 사항이 변경된 경우에도 또한 같다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2020.8.4> ② 보호위원회는 법 제32조제4항에 따라 개인정보파일의 등록 현황을 인터넷 홈페이지에 게재해야 한다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2020.8.4> ③ 보호위원회는 제1항에 따른 개인정보파일의 등록사항을 등록하거나 변경하는 업무를 전자적으로 처리할 수 있도록 시스템을 구축ㆍ운영할 수 있다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2020.8.4>
제34조의2(개인정보 보호 인증의 기준ㆍ방법ㆍ절차 등)
조문 연혁보기
① 보호위원회는 제30조제1항 각 호의 사항 및 제48조의2제1항 각 호의 사항을 고려하여 개인정보 보호의 관리적ㆍ기술적ㆍ물리적 보호대책의 수립 등을 포함한 법 제32조의2제1항에 따른 인증의 기준을 정하여 고시한다. <개정 2017.7.26, 2020.8.4> ② 법 제32조의2제1항 따라 개인정보 보호의 인증을 받으려는 자(이하 이 조 및 제34조의3에서 "신청인"이라 한다)는 다음 각 호의 사항이 포함된 개인정보 보호 인증신청서(전자문서로 된 신청서를 포함한다)를 제34조의6에 따른 개인정보 보호 인증 전문기관(이하 "인증기관"이라 한다)에 제출하여야 한다. 1. 인증 대상 개인정보 처리시스템의 목록 2. 개인정보 보호 관리체계를 수립ㆍ운영하는 방법과 절차 3. 개인정보 보호 관리체계 및 보호대책 구현과 관련되는 문서 목록 ③ 인증기관은 제2항에 따른 인증신청서를 받은 경우에는 신청인과 인증의 범위 및 일정 등에 관하여 협의하여야 한다. ④ 법 제32조의2제1항에 따른 개인정보 보호 인증심사는 제34조의8에 따른 개인정보 보호 인증심사원이 서면심사 또는 현장심사의 방법으로 실시한다. ⑤ 인증기관은 제4항에 따른 인증심사의 결과를 심의하기 위하여 정보보호에 관한 학식과 경험이 풍부한 사람을 위원으로 하는 인증위원회를 설치ㆍ운영하여야 한다. ⑥ 제1항부터 제5항까지에서 규정한 사항 외에 인증신청, 인증심사, 인증위원회의 설치ㆍ운영 및 인증서의 발급 등 개인정보 보호 인증에 필요한 세부사항은 보호위원회가 정하여 고시한다. <개정 2017.7.26, 2020.8.4> [본조신설 2016.7.22]
제34조의3(개인정보 보호 인증의 수수료)
조문 연혁보기
① 신청인은 인증기관에 개인정보 보호 인증 심사에 소요되는 수수료를 납부하여야 한다. ② 보호위원회는 개인정보 보호 인증 심사에 투입되는 인증 심사원의 수 및 인증심사에 필요한 일수 등을 고려하여 제1항에 따른 수수료 산정을 위한 구체적인 기준을 정하여 고시한다. <개정 2017.7.26, 2020.8.4> [본조신설 2016.7.22]
제34조의4(인증취소)
조문 연혁보기
① 인증기관은 법 제32조의2제3항에 따라 개인정보 보호 인증을 취소하려는 경우에는 제34조의2제5항에 따른 인증위원회의 심의ㆍ의결을 거쳐야 한다. ② 보호위원회 또는 인증기관은 법 제32조의2제3항에 따라 인증을 취소한 경우에는 그 사실을 당사자에게 통보하고, 관보 또는 인증기관의 홈페이지에 공고하거나 게시해야 한다. <개정 2017.7.26, 2020.8.4> [본조신설 2016.7.22]
제34조의5(인증의 사후관리)
조문 연혁보기
① 법 제32조의2제4항에 따른 사후관리 심사는 서면심사 또는 현장심사의 방법으로 실시한다. ② 인증기관은 제1항에 따른 사후관리를 실시한 결과 법 제32조의2제3항 각 호의 사유를 발견한 경우에는 제34조의2제5항에 따른 인증위원회의 심의를 거쳐 그 결과를 보호위원회에 제출해야 한다. <개정 2017.7.26, 2020.8.4> [본조신설 2016.7.22]
제34조의6(개인정보 보호 인증 전문기관)
조문 연혁보기
① 법 제32조의2제5항에서 "대통령령으로 정하는 전문기관"이란 다음 각 호의 기관을 말한다. <개정 2016.9.29, 2017.7.26, 2020.8.4> 1. 한국인터넷진흥원 2. 다음 각 목의 요건을 모두 충족하는 법인, 단체 또는 기관 중에서 보호위원회가 지정ㆍ고시하는 법인, 단체 또는 기관 가. 제34조의8에 따른 개인정보 보호 인증심사원 5명 이상을 보유할 것 나. 보호위원회가 실시하는 업무수행 요건ㆍ능력 심사에서 적합하다고 인정받을 것 ② 제1항제2호에 해당하는 법인, 단체 또는 기관의 지정과 그 지정의 취소에 필요한 세부기준 등은 보호위원회가 정하여 고시한다. <개정 2017.7.26, 2020.8.4> [본조신설 2016.7.22]
제34조의7(인증의 표시 및 홍보)
조문 연혁보기
법 제32조의2제6항에 따라 인증을 받은 자가 인증 받은 내용을 표시하거나 홍보하려는 경우에는 보호위원회가 정하여 고시하는 개인정보 보호 인증표시를 사용할 수 있다. 이 경우 인증의 범위와 유효기간을 함께 표시해야 한다. <개정 2017.7.26, 2020.8.4> [본조신설 2016.7.22]
제34조의8(개인정보 보호 인증심사원의 자격 및 자격 취소 요건)
조문 연혁보기
① 인증기관은 법 제32조의2제7항에 따라 개인정보 보호에 관한 전문지식을 갖춘 사람으로서 인증심사에 필요한 전문 교육과정을 이수하고 시험에 합격한 사람에게 개인정보 보호 인증심사원(이하 "인증심사원"이라 한다)의 자격을 부여한다. ② 인증기관은 법 제32조의2제7항에 따라 인증심사원이 다음 각 호의 어느 하나에 해당하는 경우 그 자격을 취소할 수 있다. 다만, 제1호에 해당하는 경우에는 자격을 취소하여야 한다. 1. 거짓이나 부정한 방법으로 인증심사원 자격을 취득한 경우 2. 개인정보 보호 인증 심사와 관련하여 금전, 금품, 이익 등을 부당하게 수수한 경우 3. 개인정보 보호 인증 심사 과정에서 취득한 정보를 누설하거나 정당한 사유 없이 업무상 목적 외의 용도로 사용한 경우 ③ 제1항 및 제2항에 따른 전문 교육과정의 이수, 인증심사원 자격의 부여 및 취소 등에 관한 세부 사항은 보호위원회가 정하여 고시한다. <개정 2017.7.26, 2020.8.4> [본조신설 2016.7.22]
제35조(개인정보 영향평가의 대상)
조문 연혁보기
법 제33조제1항에서 "대통령령으로 정하는 기준에 해당하는 개인정보파일"이란 개인정보를 전자적으로 처리할 수 있는 개인정보파일로서 다음 각 호의 어느 하나에 해당하는 개인정보파일을 말한다. <개정 2016.9.29> 1. 구축ㆍ운용 또는 변경하려는 개인정보파일로서 5만명 이상의 정보주체에 관한 민감정보 또는 고유식별정보의 처리가 수반되는 개인정보파일 2. 구축ㆍ운용하고 있는 개인정보파일을 해당 공공기관 내부 또는 외부에서 구축ㆍ운용하고 있는 다른 개인정보파일과 연계하려는 경우로서 연계 결과 50만명 이상의 정보주체에 관한 개인정보가 포함되는 개인정보파일 3. 구축ㆍ운용 또는 변경하려는 개인정보파일로서 100만명 이상의 정보주체에 관한 개인정보파일 4. 법 제33조제1항에 따른 개인정보 영향평가(이하 "영향평가"라 한다)를 받은 후에 개인정보 검색체계 등 개인정보파일의 운용체계를 변경하려는 경우 그 개인정보파일. 이 경우 영향평가 대상은 변경된 부분으로 한정한다.
제36조(영향평가 시 고려사항)
조문 연혁보기
법 제33조제2항제4호에서 "대통령령으로 정한 사항"이란 다음 각 호의 사항을 말한다. 1. 민감정보 또는 고유식별정보의 처리 여부 2. 개인정보 보유기간
제37조(평가기관의 지정 및 지정취소)
조문 연혁보기
① 보호위원회는 법 제33조제1항 후단에 따라 다음 각 호의 요건을 모두 갖춘 법인을 개인정보 영향평가기관(이하 "평가기관"이라 한다)으로 지정할 수 있다. <개정 2013.3.23, 2014.11.19, 2015.12.22, 2017.7.26, 2020.8.4> 1. 최근 5년간 다음 각 목의 어느 하나에 해당하는 업무 수행의 대가로 받은 금액의 합계액이 2억원 이상인 법인 가. 영향평가 업무 또는 이와 유사한 업무 나. 「전자정부법」 제2조제13호에 따른 정보시스템(정보보호시스템을 포함한다)의 구축 업무 중 정보보호컨설팅 업무(전자적 침해행위에 대비하기 위한 정보시스템의 분석ㆍ평가와 이에 기초한 정보 보호 대책의 제시 업무를 말한다. 이하 같다) 다. 「전자정부법」 제2조제14호에 따른 정보시스템 감리 업무 중 정보보호컨설팅 업무 라. 「정보보호산업의 진흥에 관한 법률」 제2조제2호에 따른 정보보호산업에 해당하는 업무 중 정보보호컨설팅 업무 마. 「정보보호산업의 진흥에 관한 법률」 제23조제1항제1호 및 제2호에 따른 업무 2. 별표 1의2에 따른 전문인력을 10명 이상 상시 고용하고 있는 법인 3. 다음 각 목의 사무실 및 설비를 갖춘 법인 가. 신원 확인 및 출입 통제를 위한 설비를 갖춘 사무실 나. 기록 및 자료의 안전한 관리를 위한 설비 ② 평가기관으로 지정받으려는 자는 보호위원회가 정하여 고시하는 평가기관 지정신청서에 다음 각 호의 서류를 첨부하여 보호위원회에 제출해야 한다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2017.10.17, 2020.8.4> 1. 정관 2. 대표자의 성명 3. 제1항제2호에 따른 전문인력의 자격을 증명할 수 있는 서류 4. 그 밖에 보호위원회가 정하여 고시하는 서류 ③ 제2항에 따라 평가기관 지정신청서를 제출받은 보호위원회는 「전자정부법」 제36조제1항에 따른 행정정보의 공동이용을 통하여 다음 각 호의 서류를 확인해야 한다. 다만, 신청인이 제2호의 확인에 동의하지 않는 경우에는 신청인에게 그 서류를 첨부하게 해야 한다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2020.8.4> 1. 법인 등기사항증명서 2. 「출입국관리법」 제88조제2항에 따른 외국인등록 사실증명(외국인인 경우만 해당한다) ④ 보호위원회는 제1항에 따라 평가기관을 지정한 경우에는 지체 없이 평가기관 지정서를 발급하고, 다음 각 호의 사항을 관보에 고시해야 한다. 고시된 사항이 변경된 경우에도 또한 같다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2020.8.4> 1. 평가기관의 명칭ㆍ주소 및 전화번호와 대표자의 성명 2. 지정 시 조건을 붙이는 경우 그 조건의 내용 ⑤ 보호위원회는 제1항에 따라 지정된 평가기관이 다음 각 호의 어느 하나에 해당하는 경우에는 평가기관의 지정을 취소할 수 있다. 다만, 제1호 또는 제2호에 해당하는 경우에는 평가기관의 지정을 취소해야 한다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2020.8.4> 1. 거짓이나 그 밖의 부정한 방법으로 평가기관의 지정을 받은 경우 2. 지정된 평가기관 스스로 지정취소를 원하는 경우나 폐업한 경우 3. 제1항에 따른 지정요건을 충족하지 못하게 된 경우 4. 제6항에 따른 신고의무를 이행하지 아니한 경우 5. 고의 또는 중대한 과실로 영향평가 업무를 부실하게 수행하여 그 업무를 적정하게 수행할 수 없다고 인정되는 경우 6. 그 밖에 법 또는 이 영에 따른 의무를 위반한 경우 ⑥ 제1항에 따라 지정된 평가기관은 지정된 후 다음 각 호의 어느 하나에 해당하는 사유가 발생한 경우에는 보호위원회가 정하여 고시하는 바에 따라 그 사유가 발생한 날부터 14일 이내에 보호위원회에 신고해야 한다. 다만, 제3호에 해당하는 경우에는 그 사유가 발생한 날부터 60일 이내에 신고해야 한다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2017.10.17, 2020.8.4> 1. 제1항 각 호의 어느 하나에 해당하는 사항이 변경된 경우 2. 제4항제1호에 해당하는 사항이 변경된 경우 3. 평가기관을 양도ㆍ양수하거나 합병하는 등의 사유가 발생한 경우 ⑦ 보호위원회는 제5항에 따라 평가기관의 지정을 취소하려는 경우에는 청문을 해야 한다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2020.8.4>
제38조(영향평가의 평가기준 등)
조문 연혁보기
① 법 제33조제6항에 따른 영향평가의 평가기준은 다음 각 호와 같다. <개정 2016.7.22> 1. 해당 개인정보파일에 포함되는 개인정보의 종류ㆍ성질, 정보주체의 수 및 그에 따른 개인정보 침해의 가능성 2. 법 제24조제3항, 제25조제6항 및 제29조에 따른 안전성 확보 조치의 수준 및 이에 따른 개인정보 침해의 가능성 3. 개인정보 침해의 위험요인별 조치 여부 4. 그 밖에 법 및 이 영에 따라 필요한 조치 또는 의무 위반 요소에 관한 사항 ② 법 제33조제1항에 따라 영향평가를 의뢰받은 평가기관은 제1항의 평가기준에 따라 개인정보파일의 운용으로 인한 개인정보 침해의 위험요인을 분석ㆍ평가한 후 다음 각 호의 사항이 포함된 평가 결과를 영향평가서로 작성하여 해당 공공기관의 장에게 보내야 하며, 공공기관의 장은 제35조 각 호에 해당하는 개인정보파일을 구축ㆍ운용 또는 변경하기 전에 그 영향평가서를 보호위원회에 제출(영향평가서에 제3호에 따른 개선 필요 사항이 포함된 경우에는 그에 대한 조치 내용을 포함한다)해야 한다. <개정 2013.3.23, 2014.11.19, 2016.7.22, 2017.7.26, 2020.8.4> 1. 개인정보파일 운용과 관련된 사업의 개요 및 개인정보파일 운용의 목적 2. 영향평가 대상 개인정보파일의 개요 3. 평가기준에 따른 개인정보 침해의 위험요인에 대한 분석ㆍ평가 및 개선이 필요한 사항 4. 영향평가 수행 인력 및 비용 ③ 보호위원회는 법 및 이 영에서 정한 사항 외에 평가기관의 지정 및 영향평가의 절차 등에 관한 세부 기준을 정하여 고시할 수 있다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2020.8.4>
제39조(개인정보 유출 신고의 범위 및 기관)
조문 연혁보기
① 법 제34조제3항 전단에서 "대통령령으로 정한 규모 이상의 개인정보"란 1천명 이상의 정보주체에 관한 개인정보를 말한다. <개정 2017.10.17> ② 법 제34조제3항 전단 및 후단에서 "대통령령으로 정하는 전문기관"이란 각각 한국인터넷진흥원을 말한다. <개정 2015.12.30, 2016.7.22>
제40조(개인정보 유출 통지의 방법 및 절차)
조문 연혁보기
① 개인정보처리자는 개인정보가 유출되었음을 알게 되었을 때에는 서면등의 방법으로 지체 없이 법 제34조제1항 각 호의 사항을 정보주체에게 알려야 한다. 다만, 유출된 개인정보의 확산 및 추가 유출을 방지하기 위하여 접속경로의 차단, 취약점 점검ㆍ보완, 유출된 개인정보의 삭제 등 긴급한 조치가 필요한 경우에는 그 조치를 한 후 지체 없이 정보주체에게 알릴 수 있다. ② 제1항에도 불구하고 개인정보처리자는 같은 항 본문에 따라 개인정보가 유출되었음을 알게 되었을 때나 같은 항 단서에 따라 유출 사실을 알고 긴급한 조치를 한 후에도 법 제34조제1항제1호 및 제2호의 구체적인 유출 내용을 확인하지 못한 경우에는 먼저 개인정보가 유출된 사실과 유출이 확인된 사항만을 서면등의 방법으로 먼저 알리고 나중에 확인되는 사항을 추가로 알릴 수 있다. ③ 제1항과 제2항에도 불구하고 법 제34조제3항 및 이 영 제39조제1항에 따라 1천명 이상의 정보주체에 관한 개인정보가 유출된 경우에는 서면등의 방법과 함께 인터넷 홈페이지에 정보주체가 알아보기 쉽도록 법 제34조제1항 각 호의 사항을 7일 이상 게재하여야 한다. 다만, 인터넷 홈페이지를 운영하지 아니하는 개인정보처리자의 경우에는 서면등의 방법과 함께 사업장등의 보기 쉬운 장소에 법 제34조제1항 각 호의 사항을 7일 이상 게시하여야 한다. <개정 2017.10.17>
제40조의2(과징금의 부과기준 등)
조문 연혁보기
① 법 제34조의2제1항에 따른 과징금의 부과기준은 별표 1의3과 같다. <개정 2020.8.4> ② 보호위원회는 법 제34조의2제1항에 따라 과징금을 부과하려는 경우에는 위반사실, 부과금액, 이의제기 방법 및 이의제기 기간 등을 명시하여 이를 납부할 것을 과징금 부과대상자에게 서면으로 통지해야 한다. <개정 2014.11.19, 2017.7.26, 2020.8.4> ③ 제2항에 따라 통지를 받은 자는 통지를 받은 날부터 30일 이내에 보호위원회가 정하는 수납기관에 과징금을 납부해야 한다. 다만, 천재지변이나 그 밖에 부득이한 사유로 인하여 그 기간 내에 과징금을 납부할 수 없는 경우에는 그 사유가 없어진 날부터 7일 이내에 납부해야 한다. <개정 2014.11.19, 2017.7.26, 2020.8.4> ④ 법 제34조의2제3항 전단에서 "대통령령으로 정하는 가산금"이란 납부기한의 다음 날부터 과징금을 낸 날의 전날까지의 기간에 대하여 매 1개월이 지날 때마다 내지 아니한 과징금의 1천분의 5에 상당하는 금액을 가산한 금액을 말한다. [본조신설 2014.8.6]
제6장 정보주체의 권리 보장
제41조(개인정보의 열람절차 등)
조문 연혁보기
① 정보주체는 법 제35조제1항에 따라 자신의 개인정보에 대한 열람을 요구하려면 다음 각 호의 사항 중 열람하려는 사항을 개인정보처리자가 마련한 방법과 절차에 따라 요구하여야 한다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2017.10.17> 1. 개인정보의 항목 및 내용 2. 개인정보의 수집ㆍ이용의 목적 3. 개인정보 보유 및 이용 기간 4. 개인정보의 제3자 제공 현황 5. 개인정보 처리에 동의한 사실 및 내용 ② 개인정보처리자는 제1항에 따른 열람 요구 방법과 절차를 마련하는 경우 해당 개인정보의 수집 방법과 절차에 비하여 어렵지 아니하도록 다음 각 호의 사항을 준수하여야 한다. <신설 2017.10.17> 1. 서면, 전화, 전자우편, 인터넷 등 정보주체가 쉽게 활용할 수 있는 방법으로 제공할 것 2. 개인정보를 수집한 창구의 지속적 운영이 곤란한 경우 등 정당한 사유가 있는 경우를 제외하고는 최소한 개인정보를 수집한 창구 또는 방법과 동일하게 개인정보의 열람을 요구할 수 있도록 할 것 3. 인터넷 홈페이지를 운영하는 개인정보처리자는 홈페이지에 열람 요구 방법과 절차를 공개할 것 ③ 정보주체가 법 제35조제2항에 따라 보호위원회를 통하여 자신의 개인정보에 대한 열람을 요구하려는 경우에는 보호위원회가 정하여 고시하는 바에 따라 제1항 각 호의 사항 중 열람하려는 사항을 표시한 개인정보 열람요구서를 보호위원회에 제출해야 한다. 이 경우 보호위원회는 지체 없이 그 개인정보 열람요구서를 해당 공공기관에 이송해야 한다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2017.10.17, 2020.8.4> ④ 법 제35조제3항 전단에서 "대통령령으로 정하는 기간"이란 10일을 말한다. <개정 2017.10.17> ⑤ 개인정보처리자는 제1항 및 제3항에 따른 개인정보 열람 요구를 받은 날부터 10일 이내에 정보주체에게 해당 개인정보를 열람할 수 있도록 하는 경우와 제42조제1항에 따라 열람 요구 사항 중 일부를 열람하게 하는 경우에는 열람할 개인정보와 열람이 가능한 날짜ㆍ시간 및 장소 등(제42조제1항에 따라 열람 요구 사항 중 일부만을 열람하게 하는 경우에는 그 사유와 이의제기방법을 포함한다)을 보호위원회가 정하여 고시하는 열람통지서로 해당 정보주체에게 알려야 한다. 다만, 즉시 열람하게 하는 경우에는 열람통지서 발급을 생략할 수 있다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2017.10.17, 2020.8.4>
제42조(개인정보 열람의 제한ㆍ연기 및 거절)
조문 연혁보기
① 개인정보처리자는 제41조제1항에 따른 열람 요구 사항 중 일부가 법 제35조제4항 각 호의 어느 하나에 해당하는 경우에는 그 일부에 대하여 열람을 제한할 수 있으며, 열람이 제한되는 사항을 제외한 부분은 열람할 수 있도록 하여야 한다. ② 개인정보처리자가 법 제35조제3항 후단에 따라 정보주체의 열람을 연기하거나 같은 조 제4항에 따라 열람을 거절하려는 경우에는 열람 요구를 받은 날부터 10일 이내에 연기 또는 거절의 사유 및 이의제기방법을 보호위원회가 정하여 고시하는 열람의 연기ㆍ거절 통지서로 해당 정보주체에게 알려야 한다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2020.8.4>
제43조(개인정보의 정정ㆍ삭제 등)
조문 연혁보기
① 정보주체는 법 제36조제1항에 따라 개인정보처리자에게 그 개인정보의 정정 또는 삭제를 요구하려면 개인정보처리자가 마련한 방법과 절차에 따라 요구하여야 한다. 이 경우 개인정보처리자가 개인정보의 정정 또는 삭제 요구 방법과 절차를 마련할 때에는 제41조제2항을 준용하되, "열람"은 "정정 또는 삭제"로 본다. <개정 2017.10.17> ② 다른 개인정보처리자로부터 개인정보를 제공받아 개인정보파일을 처리하는 개인정보처리자는 법 제36조제1항에 따른 개인정보의 정정 또는 삭제 요구를 받으면 그 요구에 따라 해당 개인정보를 정정ㆍ삭제하거나 그 개인정보 정정ㆍ삭제에 관한 요구 사항을 해당 개인정보를 제공한 기관의 장에게 지체 없이 알리고 그 처리 결과에 따라 필요한 조치를 하여야 한다. <개정 2017.10.17> ③ 개인정보처리자는 제1항과 제2항에 따른 개인정보 정정ㆍ삭제 요구를 받은 날부터 10일 이내에 법 제36조제2항에 따라 해당 개인정보의 정정ㆍ삭제 등의 조치를 한 경우에는 그 조치를 한 사실을, 법 제36조제1항 단서에 해당하여 삭제 요구에 따르지 아니한 경우에는 그 사실 및 이유와 이의제기방법을 보호위원회가 정하여 고시하는 개인정보 정정ㆍ삭제 결과 통지서로 해당 정보주체에게 알려야 한다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2017.10.17, 2020.8.4>
제44조(개인정보의 처리정지 등)
조문 연혁보기
① 정보주체는 법 제37조제1항에 따라 개인정보처리자에게 자신의 개인정보 처리의 정지를 요구하려면 개인정보처리자가 마련한 방법과 절차에 따라 요구하여야 한다. 이 경우 개인정보처리자가 개인정보의 처리 정지 요구 방법과 절차를 마련할 때에는 제41조제2항을 준용하되, "열람"은 "처리 정지"로 본다. <개정 2017.10.17> ② 개인정보처리자는 제1항에 따른 개인정보 처리정지 요구를 받은 날부터 10일 이내에 법 제37조제2항 본문에 따라 해당 개인정보의 처리정지 조치를 한 경우에는 그 조치를 한 사실을, 같은 항 단서에 해당하여 처리정지 요구에 따르지 않은 경우에는 그 사실 및 이유와 이의제기방법을 보호위원회가 정하여 고시하는 개인정보 처리정지 요구에 대한 결과 통지서로 해당 정보주체에게 알려야 한다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2017.10.17, 2020.8.4>
제45조(대리인의 범위 등)
조문 연혁보기
① 법 제38조에 따라 정보주체를 대리할 수 있는 자는 다음 각 호와 같다. 1. 정보주체의 법정대리인 2. 정보주체로부터 위임을 받은 자 ② 제1항에 따른 대리인이 법 제38조에 따라 정보주체를 대리할 때에는 개인정보처리자에게 보호위원회가 정하여 고시하는 정보주체의 위임장을 제출하여야 한다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2020.8.4>
제46조(정보주체 또는 대리인의 확인)
조문 연혁보기
① 개인정보처리자는 제41조제1항에 따른 열람, 제43조제1항에 따른 정정ㆍ삭제, 제44조제1항에 따른 처리정지 또는 법 제39조의7제1항에 따른 동의 철회 등의 요구(이하 이 조, 제47조 및 제48조에서 "열람등요구"라 한다)를 받았을 때에는 열람등요구를 한 사람이 본인이거나 정당한 대리인인지를 확인하여야 한다. <개정 2020.8.4> ② 공공기관인 개인정보처리자가 「전자정부법」 제36조제1항에 따른 행정정보의 공동이용을 통하여 제1항에 따른 확인을 할 수 있는 경우에는 행정정보의 공동이용을 통하여 확인하여야 한다. 다만, 해당 공공기관이 행정정보의 공동이용을 할 수 없거나 정보주체가 확인에 동의하지 아니하는 경우에는 그러하지 아니하다.
제47조(수수료 등의 금액 등)
조문 연혁보기
① 법 제38조제3항에 따른 수수료와 우송료의 금액은 열람등요구에 필요한 실비의 범위에서 해당 개인정보처리자가 정하는 바에 따른다. 다만, 개인정보처리자가 지방자치단체인 경우에는 그 지방자치단체의 조례로 정하는 바에 따른다. ② 개인정보처리자는 열람등요구를 하게 된 사유가 그 개인정보처리자에게 있는 경우에는 수수료와 우송료를 청구해서는 아니 된다. ③ 법 제38조제3항에 따른 수수료 또는 우송료는 다음 각 호의 구분에 따른 방법으로 낸다. 다만, 국회, 법원, 헌법재판소, 중앙선거관리위원회, 중앙행정기관 및 그 소속 기관(이하 이 조에서 "국가기관"이라 한다) 또는 지방자치단체인 개인정보처리자는 「전자금융거래법」 제2조제11호에 따른 전자지급수단 또는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조제10호에 따른 통신과금서비스를 이용하여 수수료 또는 우송료를 내게 할 수 있다. 1. 국가기관인 개인정보처리자에게 내는 경우: 수입인지 2. 지방자치단체인 개인정보처리자에게 내는 경우: 수입증지 3. 국가기관 및 지방자치단체 외의 개인정보처리자에게 내는 경우: 해당 개인정보처리자가 정하는 방법
제48조(열람 요구 지원시스템의 구축 등)
조문 연혁보기
① 개인정보처리자는 열람등요구 및 그에 대한 통지를 갈음하여 해당 업무를 전자적으로 처리할 수 있도록 시스템을 구축ㆍ운영하거나 그 밖의 절차를 정하여 해당 업무를 처리할 수 있다. ② 보호위원회는 개인정보처리자 중 공공기관이 보유하고 있는 개인정보에 관한 열람등요구 및 그에 대한 통지에 관한 공공기관의 업무 수행을 효율적으로 지원하기 위하여 시스템을 구축ㆍ운영할 수 있다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2020.8.4>
제6장의2 정보통신서비스 제공자 등의 개인정보 처리 등 특례 <신설 2020.8.4>
제48조의2(개인정보의 안전성 확보 조치에 관한 특례)
조문 연혁보기
① 정보통신서비스 제공자(「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조제1항제3호에 해당하는 자를 말한다. 이하 같다)와 그로부터 이용자(같은 법 제2조제1항제4호에 해당하는 자를 말한다. 이하 같다)의 개인정보를 법 제17조제1항제1호에 따라 제공받은 자(이하 "정보통신서비스 제공자등"이라 한다)는 이용자의 개인정보를 처리하는 경우에는 제30조에도 불구하고 법 제29조에 따라 다음 각 호의 안전성 확보 조치를 해야 한다. 1. 개인정보의 안전한 처리를 위한 다음 각 목의 내용을 포함하는 내부관리계획의 수립ㆍ시행 가. 개인정보 보호책임자의 지정 등 개인정보 보호 조직의 구성ㆍ운영에 관한 사항 나. 정보통신서비스 제공자등의 지휘ㆍ감독을 받아 이용자의 개인정보를 처리하는 자(이하 이 조에서 "개인정보취급자"라 한다)의 교육에 관한 사항 다. 제2호부터 제6호까지의 규정에 따른 조치를 이행하기 위하여 필요한 세부 사항 2. 개인정보에 대한 불법적인 접근을 차단하기 위한 다음 각 목의 조치 가. 개인정보를 처리할 수 있도록 체계적으로 구성한 데이터베이스시스템(이하 이 조에서 "개인정보처리시스템"이라 한다)에 대한 접근 권한의 부여ㆍ변경ㆍ말소 등에 관한 기준의 수립ㆍ시행 나. 개인정보처리시스템에 대한 침입차단시스템 및 침입탐지시스템의 설치ㆍ운영 다. 개인정보처리시스템에 접속하는 개인정보취급자의 컴퓨터 등에 대한 외부 인터넷망 차단[전년도 말 기준 직전 3개월간 그 개인정보가 저장ㆍ관리되고 있는 이용자 수가 일일평균 100만명 이상이거나 정보통신서비스(「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조제1항제2호에 따른 정보통신서비스를 말한다. 이하 같다) 부문 전년도(법인인 경우에는 전 사업연도를 말한다) 매출액이 100억원 이상인 정보통신서비스 제공자등만 해당한다] 라. 비밀번호의 생성 방법 및 변경 주기 등의 기준 설정 및 운영 마. 그 밖에 개인정보에 대한 접근 통제를 위하여 필요한 조치 3. 접속기록의 위조ㆍ변조 방지를 위한 다음 각 목의 조치 가. 개인정보취급자가 개인정보처리시스템에 접속하여 개인정보를 처리한 경우 접속일시, 처리내역 등의 저장 및 이의 확인ㆍ감독 나. 개인정보처리시스템에 대한 접속기록을 별도의 저장장치에 백업 보관 4. 개인정보가 안전하게 저장ㆍ전송될 수 있도록 하기 위한 다음 각 목의 조치 가. 비밀번호의 일방향 암호화 저장 나. 주민등록번호, 계좌정보 및 제18조제3호에 따른 정보 등 보호위원회가 정하여 고시하는 정보의 암호화 저장 다. 정보통신망을 통하여 이용자의 개인정보 및 인증정보를 송신ㆍ수신하는 경우 보안서버 구축 등의 조치 라. 그 밖에 암호화 기술을 이용한 보안조치 5. 개인정보처리시스템 및 개인정보취급자가 개인정보 처리에 이용하는 정보기기에 컴퓨터바이러스, 스파이웨어 등 악성프로그램의 침투 여부를 항시 점검ㆍ치료할 수 있도록 하기 위한 백신소프트웨어 설치 및 주기적 갱신ㆍ점검 조치 6. 그 밖에 개인정보의 안전성 확보를 위하여 필요한 조치 ② 보호위원회는 정보통신서비스 제공자등이 제1항에 따른 안전성 확보 조치를 하도록 시스템을 구축하는 등 필요한 지원을 할 수 있다. ③ 제1항에 따른 안전성 확보 조치에 관한 세부 기준은 보호위원회가 정하여 고시한다. [본조신설 2020.8.4] [종전 제48조의2는 제48조의14로 이동 <2020.8.4>]
제48조의3(법정대리인 동의의 확인방법)
조문 연혁보기
① 정보통신서비스 제공자는 법 제39조의3제4항에 따라 다음 각 호의 어느 하나에 해당하는 방법으로 법정대리인이 동의했는지를 확인해야 한다. 1. 동의 내용을 게재한 인터넷 사이트에 법정대리인이 동의 여부를 표시하도록 하고 정보통신서비스 제공자가 그 동의 표시를 확인했음을 법정대리인의 휴대전화 문자메시지로 알리는 방법 2. 동의 내용을 게재한 인터넷 사이트에 법정대리인이 동의 여부를 표시하도록 하고 법정대리인의 신용카드ㆍ직불카드 등의 카드정보를 제공받는 방법 3. 동의 내용을 게재한 인터넷사이트에 법정대리인이 동의 여부를 표시하도록 하고 법정대리인의 휴대전화 본인인증 등을 통하여 본인 여부를 확인하는 방법 4. 동의 내용이 적힌 서면을 법정대리인에게 직접 발급하거나, 우편 또는 팩스를 통하여 전달하고 법정대리인이 동의 내용에 대하여 서명날인 후 제출하도록 하는 방법 5. 동의 내용이 적힌 전자우편을 발송하고 법정대리인으로부터 동의의 의사표시가 적힌 전자우편을 전송받는 방법 6. 전화를 통하여 동의 내용을 법정대리인에게 알리고 동의를 받거나 인터넷주소 등 동의 내용을 확인할 수 있는 방법을 안내하고 재차 전화 통화를 통하여 동의를 받는 방법 7. 그 밖에 제1호부터 제6호까지의 규정에 따른 방법에 준하는 방법으로 법정대리인에게 동의 내용을 알리고 동의의 의사표시를 확인하는 방법 ② 정보통신서비스 제공자는 개인정보 수집 매체의 특성상 동의 내용을 전부 표시하기 어려운 경우 법정대리인에게 동의 내용을 확인할 수 있는 방법(인터넷주소ㆍ사업장 전화번호 등)을 안내할 수 있다. [본조신설 2020.8.4]
제48조의4(개인정보 유출 등의 통지ㆍ신고에 관한 특례)
조문 연혁보기
① 법 제39조의4제1항 각 호 외의 부분 본문 및 제2항에서 "대통령령으로 정하는 전문기관"이란 한국인터넷진흥원을 말한다. ② 정보통신서비스 제공자등은 개인정보의 분실ㆍ도난ㆍ유출의 사실을 안 때에는 지체 없이 법 제39조의4제1항 각 호의 모든 사항을 서면등의 방법으로 이용자에게 알리고 보호위원회 또는 한국인터넷진흥원에 신고해야 한다. ③ 정보통신서비스 제공자등은 제2항에 따른 통지ㆍ신고를 하려는 경우에는 법 제39조의4제1항제1호 또는 제2호의 사항에 관한 구체적인 내용이 확인되지 않았으면 그때까지 확인된 내용과 같은 항 제3호부터 제5호까지의 사항을 우선 통지ㆍ신고한 후 추가로 확인되는 내용에 대해서는 확인되는 즉시 통지ㆍ신고해야 한다. ④ 정보통신서비스 제공자등은 법 제39조의4제1항 각 호 외의 부분 단서에 따른 정당한 사유가 있는 경우에는 법 제39조의4제1항 각 호의 사항을 자신의 인터넷 홈페이지에 30일 이상 게시하는 것으로 제2항의 통지를 갈음할 수 있다. ⑤ 천재지변이나 그 밖의 부득이한 사유로 제4항에 따른 홈페이지 게시가 곤란한 경우에는 「신문 등의 진흥에 관한 법률」에 따른 전국을 보급지역으로 하는 둘 이상의 일반일간신문에 1회 이상 공고하는 것으로 제4항에 따른 홈페이지 게시를 갈음할 수 있다. ⑥ 정보통신서비스 제공자등은 법 제39조의4제1항 각 호 외의 부분 본문 및 단서에 따른 정당한 사유를 지체 없이 서면으로 보호위원회에 소명해야 한다. [본조신설 2020.8.4]
제48조의5(개인정보의 파기 등에 관한 특례)
조문 연혁보기
① 정보통신서비스 제공자등은 이용자가 정보통신서비스를 법 제39조의6제1항의 기간 동안 이용하지 않는 경우에는 이용자의 개인정보를 해당 기간 경과 후 즉시 파기하거나 다른 이용자의 개인정보와 분리하여 별도로 저장ㆍ관리해야 한다. 다만, 법 제39조의6제1항 본문에 따른 기간(법 제39조의6제1항 단서에 따라 이용자의 요청에 따라 달리 정한 경우에는 그 기간을 말한다)이 경과한 경우로서 다른 법령에 따라 이용자의 개인정보를 보존해야 하는 경우에는 다른 법령에서 정한 보존기간이 경과할 때까지 다른 이용자의 개인정보와 분리하여 별도로 저장ㆍ관리해야 한다. ② 정보통신서비스 제공자등은 제1항에 따라 개인정보를 별도로 저장ㆍ관리하는 경우에는 법 또는 다른 법률에 특별한 규정이 있는 경우를 제외하고는 해당 개인정보를 이용하거나 제공해서는 안 된다. ③ 법 제39조의6제2항에서 "개인정보가 파기되는 사실, 기간 만료일 및 파기되는 개인정보의 항목 등 대통령령으로 정하는 사항"이란 다음 각 호의 사항을 말한다. 1. 개인정보를 파기하는 경우: 개인정보가 파기되는 사실, 기간 만료일 및 파기되는 개인정보의 항목 2. 다른 이용자의 개인정보와 분리하여 개인정보를 저장ㆍ관리하는 경우: 개인정보가 분리되어 저장ㆍ관리되는 사실, 기간 만료일 및 분리ㆍ저장되어 관리되는 개인정보의 항목 ④ 법 제39조의6제2항에서 "전자우편 등 대통령령으로 정하는 방법"이란 서면등의 방법을 말한다. [본조신설 2020.8.4]
제48조의6(개인정보 이용내역의 통지)
조문 연혁보기
① 법 제39조의8제1항 본문에서 "대통령령으로 정하는 기준에 해당하는 자"란 다음 각 호의 어느 하나에 해당하는 자를 말한다. 1. 정보통신서비스 부문 전년도(법인인 경우에는 전 사업연도를 말한다) 매출액이 100억원 이상인 정보통신서비스 제공자등 2. 전년도 말 기준 직전 3개월간 그 개인정보가 저장ㆍ관리되고 있는 이용자 수가 일일평균 100만명 이상인 정보통신서비스 제공자등 ② 법 제39조의8제1항에 따라 이용자에게 통지해야 하는 정보의 종류는 다음 각 호와 같다. 1. 개인정보의 수집ㆍ이용 목적 및 수집한 개인정보의 항목 2. 개인정보를 제공받은 자와 그 제공 목적 및 제공한 개인정보의 항목. 다만, 「통신비밀보호법」 제13조, 제13조의2, 제13조의4 및 「전기통신사업법」 제83조제3항에 따라 제공한 정보는 제외한다. ③ 법 제39조의8제1항에 따른 통지는 서면등의 방법으로 연 1회 이상 해야 한다. [본조신설 2020.8.4]
제48조의7(손해배상책임의 이행을 위한 보험 등 가입 대상자의 범위 및 기준 등)
조문 연혁보기
① 다음 각 호의 요건을 모두 갖춘 정보통신서비스 제공자등(이하 이 조에서 "가입 대상 개인정보처리자"라 한다)은 법 제39조의9제1항에 따라 보험 또는 공제에 가입하거나 준비금을 적립해야 한다. 1. 전년도(법인의 경우에는 전 사업연도를 말한다)의 매출액이 5천만원 이상일 것 2. 전년도 말 기준 직전 3개월간 그 개인정보가 저장ㆍ관리되고 있는 이용자 수가 일일평균 1천명 이상일 것 ② 가입 대상 개인정보처리자가 보험 또는 공제에 가입하거나 준비금을 적립할 경우 최저가입금액(준비금을 적립하는 경우 최소적립금액을 말한다. 이하 이 조에서 같다)의 기준은 별표 1의4와 같다. 다만, 가입 대상 개인정보처리자가 보험 또는 공제 가입과 준비금 적립을 병행하는 경우에는 보험 또는 공제 가입금액과 준비금 적립금액을 합산한 금액이 별표 1의4에서 정한 최저가입금액의 기준 이상이어야 한다. ③ 가입 대상 개인정보처리자가 다른 법률에 따라 법 제39조 및 제39조의2에 따른 손해배상책임의 이행을 보장하는 보험 또는 공제에 가입하거나 준비금을 적립한 경우에는 법 제39조의9제1항에 따른 보험 또는 공제에 가입하거나 준비금을 적립한 것으로 본다. [본조신설 2020.8.4]
제48조의8(노출된 개인정보의 삭제ㆍ차단 요청 기관)
조문 연혁보기
법 제39조의10제2항에서 "대통령령으로 지정한 전문기관"이란 한국인터넷진흥원을 말한다. [본조신설 2020.8.4]
제48조의9(국내대리인 지정 대상자의 범위)
조문 연혁보기
① 법 제39조의11제1항 각 호 외의 부분에서 "대통령령으로 정하는 기준에 해당하는 자"란 다음 각 호의 어느 하나에 해당하는 자를 말한다. 1. 전년도(법인인 경우에는 전 사업연도를 말한다) 매출액이 1조원 이상인 자 2. 정보통신서비스 부문 전년도(법인인 경우에는 전 사업연도를 말한다) 매출액이 100억원 이상인 자 3. 전년도 말 기준 직전 3개월간 그 개인정보가 저장ㆍ관리되고 있는 이용자 수가 일일평균 100만명 이상인 자 4. 이 법을 위반하여 개인정보 침해 사건ㆍ사고가 발생하였거나 발생할 가능성이 있는 경우로서 법 제63조제1항에 따라 관계 물품ㆍ서류 등 자료의 제출을 요구받은 자 ② 제1항제1호 및 제2호에 따른 매출액은 전년도(법인인 경우에는 전 사업연도를 말한다) 평균환율을 적용하여 원화로 환산한 금액을 기준으로 한다. [본조신설 2020.8.4]
제48조의10(개인정보 국외 이전 시 보호조치)
조문 연혁보기
① 정보통신서비스 제공자 등이 법 제39조의12제2항 본문에 따라 개인정보를 국외로 이전하는 경우에 같은 조 제4항에 따라 해야 하는 보호조치는 다음 각 호와 같다. 1. 제48조의2제1항에 따른 개인정보 보호를 위한 안전성 확보 조치 2. 개인정보 침해에 대한 고충처리 및 분쟁해결에 관한 조치 3. 그 밖에 이용자의 개인정보 보호를 위하여 필요한 조치 ② 정보통신서비스 제공자등이 법 제39조의12제2항 본문에 따라 개인정보를 국외에 이전하려는 경우에는 제1항 각 호의 사항에 관하여 이전받는 자와 미리 협의하고 이를 계약내용 등에 반영해야 한다. ③ 법 제39조의12제2항 단서에서 "전자우편 등 대통령령으로 정하는 방법"이란 서면등의 방법을 말한다. [본조신설 2020.8.4]
제48조의11(과징금의 산정기준 등에 관한 특례)
조문 연혁보기
① 법 제39조의15제1항에 따른 매출액은 해당 정보통신서비스 제공자등의 위반행위와 관련된 정보통신서비스의 직전 3개 사업연도의 연평균 매출액으로 한다. 다만, 해당 사업연도 첫날 현재 사업을 개시한지 3년이 되지 않은 경우에는 그 사업개시일부터 직전 사업연도 말일까지의 매출액을 연평균 매출액으로 환산한 금액으로 하며, 해당 사업연도에 사업을 개시한 경우에는 사업개시일부터 위반행위일까지의 매출액을 연매출액으로 환산한 금액으로 한다. ② 법 제39조의15제2항 단서에서 "대통령령으로 정하는 경우"란 다음 각 호의 어느 하나에 해당하는 경우를 말한다. 1. 영업을 개시하지 않았거나 영업을 중단하는 등의 사유로 영업실적이 없는 경우 2. 재해 등으로 인하여 매출액 산정자료가 소멸되거나 훼손되는 등 객관적인 매출액의 산정이 곤란한 경우 ③ 보호위원회는 제1항에 따른 매출액 산정을 위하여 재무제표 등 자료가 필요한 경우 20일 이내의 기간을 정하여 해당 정보통신서비스 제공자등에게 관련 자료의 제출을 요청할 수 있다. ④ 법 제39조의15제4항에 따른 과징금의 산정기준과 산정절차는 별표 1의5와 같다. [본조신설 2020.8.4]
제48조의12(과징금의 부과 및 납부)
조문 연혁보기
① 보호위원회가 법 제39조의15에 따라 과징금을 부과하려는 경우에는 해당 위반행위를 조사ㆍ확인한 후 위반사실ㆍ부과금액ㆍ이의제기 방법 및 이의제기 기간 등을 서면으로 명시하여 과징금 부과대상자에게 통지해야 한다. ② 제1항에 따라 통지를 받은 자는 통지를 받은 날부터 30일 이내에 보호위원회가 지정하는 금융기관에 과징금을 납부해야 한다. 다만, 천재지변이나 그 밖의 부득이한 사유로 인하여 그 기간 내에 과징금을 납부할 수 없는 경우에는 그 사유가 없어진 날부터 7일 이내에 납부해야 한다. ③ 제2항에 따라 과징금의 납부를 받은 금융기관은 과징금을 납부한 자에게 영수증을 발급해야 한다. [본조신설 2020.8.4]
제48조의13(환급가산금의 이자율)
조문 연혁보기
법 제39조의15제7항에서 "대통령령으로 정하는 이자율"이란 「국세기본법 시행령」 제43조의3제2항 본문에 따른 이자율을 말한다. [본조신설 2020.8.4]
제7장 개인정보 분쟁조정
제48조의14(당연직위원)
조문 연혁보기
분쟁조정위원회의 당연직위원은 보호위원회의 고위공무원단에 속하는 일반직공무원으로서 개인정보 보호에 관한 업무를 담당하는 사람 중 보호위원회 위원장이 지명하는 사람으로 한다. <개정 2017.7.26, 2020.8.4> [본조신설 2016.7.22] [제48조의2에서 이동 <2020.8.4>]
제49조(조정부의 구성 및 운영)
조문 연혁보기
① 법 제40조제6항에 따른 조정부(이하 "조정부"라 한다)는 분쟁조정위원회 위원장이 지명하는 5명 이내의 위원으로 구성하되, 그 중 1명은 변호사 자격이 있는 위원으로 한다. <개정 2016.7.22> ② 분쟁조정위원회 위원장은 조정부의 회의를 소집한다. ③ 분쟁조정위원회의 위원장은 조정부의 회의를 소집하려면 회의 날짜ㆍ시간ㆍ장소 및 안건을 정하여 회의 개최 7일 전까지 조정부의 각 위원에게 알려야 한다. 다만, 긴급한 사정이 있는 경우에는 그러하지 아니하다. ④ 조정부의 장은 조정부 위원 중에서 호선(互選)한다. ⑤ 제1항부터 제4항까지의 규정에서 정한 사항 외에 조정부의 구성 및 운영 등에 필요한 사항은 분쟁조정위원회의 의결을 거쳐 분쟁조정위원회의 위원장이 정한다.
제50조(사무기구)
조문 연혁보기
① 법 제40조제8항에 따른 분쟁조정 접수 및 사실 확인 등 분쟁조정에 필요한 사무처리는 보호위원회의 사무기구가 수행한다. <개정 2020.8.4> ② 사무기구는 분쟁조정 접수ㆍ진행 및 당사자 통지 등 분쟁조정에 필요한 사무를 전자적으로 처리하기 위하여 분쟁조정업무시스템을 구축하여 운영할 수 있다. <신설 2020.8.4> [전문개정 2016.7.22]
제51조(분쟁조정위원회 등의 운영)
조문 연혁보기
① 분쟁조정위원회 위원장은 분쟁조정위원회의 회의를 소집하며, 그 의장이 된다. ② 분쟁조정위원회 위원장이 분쟁조정위원회의 회의를 소집하려면 회의 날짜ㆍ시간ㆍ장소 및 안건을 정하여 회의 개최 7일 전까지 각 위원에게 알려야 한다. 다만, 긴급한 사정이 있는 경우에는 그러하지 아니하다. ③ 분쟁조정위원회 및 조정부의 회의는 공개하지 아니한다. 다만, 필요하다고 인정되는 경우에는 분쟁조정위원회의 의결로 당사자 또는 이해관계인에게 방청을 하게 할 수 있다.
제52조(집단분쟁조정의 신청 대상)
조문 연혁보기
법 제49조제1항에서 "대통령령으로 정하는 사건"이란 다음 각 호의 요건을 모두 갖춘 사건을 말한다. 1. 피해 또는 권리침해를 입은 정보주체의 수가 다음 각 목의 정보주체를 제외하고 50명 이상일 것 가. 개인정보처리자와 분쟁해결이나 피해보상에 관한 합의가 이루어진 정보주체 나. 같은 사안으로 다른 법령에 따라 설치된 분쟁조정기구에서 분쟁조정 절차가 진행 중인 정보주체 다. 해당 개인정보 침해로 인한 피해에 대하여 법원에 소(訴)를 제기한 정보주체 2. 사건의 중요한 쟁점이 사실상 또는 법률상 공통될 것
제53조(집단분쟁조정 절차의 개시)
조문 연혁보기
① 법 제49조제2항 후단에서 "대통령령으로 정하는 기간"이란 14일 이상의 기간을 말한다. ② 법 제49조제2항 후단에 따른 집단분쟁조정 절차의 개시 공고는 분쟁조정위원회의 인터넷 홈페이지 또는 「신문 등의 진흥에 관한 법률」에 따라 전국을 보급지역으로 하는 일반일간신문에 게재하는 방법으로 한다. <개정 2015.12.30>
제54조(집단분쟁조정 절차에 대한 참가 신청)
조문 연혁보기
① 법 제49조에 따른 집단분쟁조정(이하 "집단분쟁조정"이라 한다)의 당사자가 아닌 정보주체 또는 개인정보처리자가 법 제49조제3항에 따라 추가로 집단분쟁조정의 당사자로 참가하려면 법 제49조제2항 후단의 공고기간에 문서로 참가 신청을 하여야 한다. ② 분쟁조정위원회는 제1항에 따라 집단분쟁조정 당사자 참가 신청을 받으면 제1항의 신청기간이 끝난 후 10일 이내에 참가 인정 여부를 문서로 알려야 한다.
제55조(집단분쟁조정 절차의 진행)
조문 연혁보기
① 집단분쟁조정 절차가 개시된 후 제52조제1호가목부터 다목까지의 어느 하나에 해당하게 된 정보주체는 당사자에서 제외된다. ② 분쟁조정위원회는 제52조 각 호의 요건을 모두 갖춘 사건에 대하여 집단분쟁조정 절차가 개시되고 나면 그 후 집단분쟁조정 당사자 중 일부가 같은 조 제1호가목부터 다목까지의 어느 하나에 해당하게 되어 같은 조 제1호의 요건을 갖추지 못하게 되더라도 집단분쟁조정 절차를 중지하지 아니한다.
제56조(수당과 여비)
조문 연혁보기
분쟁조정위원회 및 조정부의 회의에 출석한 위원 등에게는 예산의 범위에서 수당과 여비를 지급할 수 있다. 다만, 공무원인 위원이 그 소관 업무와 직접적으로 관련되어 출석하는 경우에는 그러하지 아니하다.
제57조(분쟁조정 세칙)
조문 연혁보기
법 및 이 영에서 규정한 사항 외에 분쟁조정위원회의 운영 및 집단분쟁조정을 위하여 필요한 사항은 분쟁조정위원회의 의결을 거쳐 분쟁조정위원회의 위원장이 정한다.
제8장 보칙 및 벌칙
제58조(개선권고 및 징계권고)
조문 연혁보기
① 법 제61조제2항ㆍ제3항에 따른 개선권고 및 법 제65조제2항ㆍ제3항에 따른 징계권고는 권고 사항, 권고 사유 및 조치 결과 회신기간 등을 분명하게 밝힌 문서로 하여야 한다. ② 제1항에 따른 권고를 받은 자는 권고 내용에 따라 필요한 조치를 하고, 그 결과를 보호위원회 또는 관계 중앙행정기관의 장에게 문서로 통보해야 한다. 다만, 권고 내용대로 조치하기 곤란하다고 판단되는 특별한 사정이 있는 경우에는 그 사유를 통보해야 한다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2020.8.4>
제59조(침해 사실의 신고 등)
조문 연혁보기
보호위원회는 법 제62조제2항에 따라 개인정보에 관한 권리 또는 이익 침해 사실 신고의 접수ㆍ처리 등에 관한 업무를 효율적으로 수행하기 위한 전문기관으로 한국인터넷진흥원을 지정한다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2020.8.4>
제60조(자료제출 요구 및 검사)
조문 연혁보기
① 법 제63조제1항제3호에서 "대통령령으로 정하는 경우"란 개인정보 유출 등 정보주체의 개인정보에 관한 권리 또는 이익을 침해하는 사건ㆍ사고 등이 발생하였거나 발생할 가능성이 상당히 있는 경우를 말한다. ② 보호위원회는 법 제63조제1항 및 제2항에 따른 자료의 제출 요구 및 검사 등을 위하여 한국인터넷진흥원의 장에게 기술적인 사항을 자문하는 등 필요한 지원을 요청할 수 있다. <개정 2013.3.23, 2014.11.19, 2015.12.30, 2017.7.26, 2020.8.4> ③ 보호위원회는 법 제63조제4항 전단에 따라 관계 중앙행정기관의 장(해당 중앙행정기관의 장의 지휘ㆍ감독을 받아 검사권한을 수행하는 법인이 있는 경우 그 법인을 말한다. 이하 이 조에서 같다)에게 검사 대상 및 사유를 정하여 개인정보처리자에 대한 검사를 요구할 수 있으며, 필요 시 보호위원회의 소속 공무원을 지정하여 해당 공무원이 검사에 공동으로 참여하도록 요청할 수 있다. <신설 2020.8.4> ④ 제3항에 따른 요구를 받은 관계 중앙행정기관의 장은 검사 일정, 검사 범위 및 방법 등을 포함한 검사 계획을 수립하여 요구를 받은 날부터 15일 이내에 보호위원회에 통보해야 한다. <신설 2020.8.4> ⑤ 관계 중앙행정기관의 장은 제4항에 따른 검사 계획을 통보한 날부터 60일 이내에 검사를 완료하고, 검사 결과를 보호위원회에 통보해야 한다. 다만, 검사 기간은 보호위원회와 협의하여 30일 이내의 범위에서 연장할 수 있다. <신설 2020.8.4> ⑥ 관계 중앙행정기관의 장은 법 제63조제5항에 따라 개인정보처리자에 대한 시정조치를 요청받거나 처분 등에 대한 의견을 제시받은 경우에는 그 내용을 이행하도록 노력해야 한다. <신설 2020.8.4> ⑦ 보호위원회는 법 제63조제7항에 따라 개인정보 침해사고의 예방과 효과적인 대응이 필요한 경우에는 보호위원회가 정하는 바에 따라 관계 중앙행정기관의 장에게 공동대응을 요청할 수 있다. <신설 2020.8.4>
제61조(결과의 공표)
조문 연혁보기
① 보호위원회 및 관계 중앙행정기관의 장은 법 제66조제1항 및 제2항에 따라 다음 각 호의 사항을 인터넷 홈페이지 또는 「신문 등의 진흥에 관한 법률」에 따라 전국을 보급지역으로 하는 일반일간신문 등에 게재하여 공표할 수 있다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2020.8.4> 1. 위반행위의 내용 2. 위반행위를 한 자 3. 개선권고, 시정조치 명령, 고발, 징계권고 및 과태료 부과의 내용 및 결과 ② 보호위원회 및 관계 중앙행정기관의 장은 법 제66조제1항 및 제2항에 따라 제1항 각 호의 사항을 공표하려는 경우에는 위반행위의 내용 및 정도, 위반 기간 및 횟수, 위반행위로 인하여 발생한 피해의 범위 및 결과 등을 고려하여야 한다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2020.8.4> ③ 보호위원회 및 관계 중앙행정기관의 장은 보호위원회의 심의ㆍ의결 전에 공표대상자에게 공표대상자라는 사실을 알려 소명자료를 제출하거나 의견을 진술할 수 있는 기회를 주어야 한다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2020.8.4>
제62조(권한의 위탁)
조문 연혁보기
① 삭제 <2015.12.30> ② 보호위원회는 법 제24조의2제4항에 따른 대체가입수단 제공의 지원에 관한 권한을 다음 각 호의 어느 하나의 기관에 위탁할 수 있다. <개정 2013.3.23, 2014.11.19, 2015.12.30, 2017.7.26, 2020.8.4> 1. 「전자정부법」 제72조제1항에 따른 한국지역정보개발원 2. 한국인터넷진흥원 3. 대체가입수단의 개발ㆍ제공ㆍ관리 업무를 안전하게 수행할 수 있는 기술적ㆍ재정적 능력과 설비를 보유한 것으로 인정되어 보호위원회가 정하여 고시하는 법인ㆍ기관ㆍ단체 ③ 보호위원회는 다음 각 호의 권한을 한국인터넷진흥원에 위탁한다. <개정 2013.3.23, 2014.11.19, 2015.12.30, 2017.7.26, 2020.8.4> 1. 법 제13조제1호에 따른 개인정보 보호에 관한 교육ㆍ홍보 2. 법 제33조제5항에 따른 관계 전문가의 육성 및 영향평가 기준의 개발 3. 법 제35조제2항에 따른 열람 요구의 접수 및 처리 4. 법 제63조에 따른 자료제출 요구 및 검사(법 제62조에 따라 개인정보침해 신고센터에 접수된 신고의 접수ㆍ처리 및 상담과 관련된 사항만 해당한다) 5. 제37조제2항에 따른 평가기관 지정신청서의 접수 및 같은 조 제6항에 따른 신고 사항의 접수 ④ 보호위원회는 제2항에 따라 권한을 위탁하는 경우에는 그 수탁자 및 위탁업무를 고시해야 한다. <신설 2015.12.30, 2017.7.26, 2020.8.4>
제62조의2(민감정보 및 고유식별정보의 처리)
조문 연혁보기
① 보호위원회(제62조제3항에 따라 보호위원회의 권한을 위탁받은 자를 포함한다)는 다음 각 호의 사무를 수행하기 위하여 불가피한 경우 법 제23조에 따른 민감정보와 제19조에 따른 주민등록번호, 여권번호, 운전면허의 면허번호 또는 외국인등록번호가 포함된 자료를 처리할 수 있다. <개정 2020.8.4> 1. 법 제7조의9제1항제4호부터 제6호까지의 규정에 따른 사항의 심의ㆍ의결에 관한 사무 2. 법 제24조의2제4항에 따른 주민등록번호 대체 방법 제공을 위한 시스템 구축 등 제반조치 마련 및 지원에 관한 사무 3. 법 제28조의6, 제34조의2 및 제39조의15에 따른 과징금의 부과 및 징수에 관한 사무 4. 법 제62조제3항에 따른 개인정보침해 신고센터의 업무에 관한 사무 5. 법 제63조제1항, 제2항 및 제7항에 따른 자료의 제출, 검사 및 점검에 관한 사무 ② 분쟁조정위원회는 법 제45조 및 제47조에 따른 개인정보 분쟁 조정에 관한 사무를 수행하기 위하여 불가피한 경우 법 제23조에 따른 민감정보와 제19조에 따른 주민등록번호, 여권번호, 운전면허의 면허번호 또는 외국인등록번호가 포함된 자료를 처리할 수 있다. <개정 2020.8.4> [본조신설 2014.8.6] [제목개정 2020.8.4]
제62조의3(규제의 재검토)
조문 연혁보기
① 보호위원회는 다음 각 호의 사항에 대하여 다음 각 호의 기준일을 기준으로 3년마다(매 3년이 되는 해의 기준일과 같은 날 전까지를 말한다) 그 타당성을 검토하여 개선 등의 조치를 해야 한다. <신설 2020.8.4> 1. 제48조의6에 따른 개인정보 이용내역을 통지해야 하는 자의 범위, 통지해야 하는 정보의 종류 및 통지 주기와 방법: 2020년 8월 5일 2. 제48조의7에 따른 손해배상책임의 이행을 위한 보험 등 가입 대상자의 범위 및 기준: 2020년 8월 5일 ② 보호위원회는 다음 각 호의 사항에 대하여 다음 각 호의 기준일을 기준으로 2년마다(매 2년이 되는 해의 기준일과 같은 날 전까지를 말한다) 그 타당성을 검토하여 개선 등의 조치를 하여야 한다. <개정 2015.12.30, 2017.7.26, 2020.8.4> 1. 삭제 <2018.12.24> 2. 제31조에 따른 개인정보 처리방침의 내용 및 공개방법 등: 2015년 1월 1일 2의2. 제37조에 따른 평가기관의 지정 및 지정 취소의 요건 등: 2016년 1월 1일 3. 삭제 <2018.12.24> 4. 삭제 <2018.12.24> 5. 삭제 <2018.12.24> ③ 보호위원회는 다음 각 호의 사항에 대하여 다음 각 호의 기준일을 기준으로 1년마다(매 1년이 되는 해의 기준일과 같은 날 전까지를 말한다) 그 타당성을 검토하여 개선 등의 조치를 해야 한다. <신설 2020.8.4> 1. 제29조의2에 따른 개인정보처리자 간 가명정보의 결합: 2020년 8월 5일 2. 제29조의5제1항제1호에 따른 가명정보의 안전성 확보 조치: 2020년 8월 5일 [전문개정 2014.12.9]
제63조(과태료의 부과기준)
조문 연혁보기
법 제75조제1항부터 제4항까지의 규정에 따른 과태료의 부과기준은 별표 2와 같다. <개정 2020.8.4>
부칙
부 칙<제23169호,2011.9.29>
부 칙<제24425호, 2013.3.23>
부 칙<제25531호,2014.8.6>
부 칙<제25751호, 2014.11.19>
부 칙<제25840호,2014.12.9>
부 칙<제26140호, 2015.3.11>
부 칙<제26728호, 2015.12.22>
부 칙<제26776호,2015.12.30>
부 칙<제27370호,2016.7.22>
부 칙<제27522호,2016.9.29>
부 칙<제28074호, 2017.5.29>
부 칙<제28150호, 2017.6.27>
부 칙<제28211호, 2017.7.26>
부 칙<제28355호,2017.10.17>
부 칙<제29421호,2018.12.24>
부 칙<제30509호,2020.3.3>
부 칙<제30833호, 2020.7.14>
부 칙<제30892호,2020.8.4>
별표/서식
[별표 1] 과징금의 산정기준과 산정절차(제29조의6제4항 관련)
[별표 1의2] 전문인력의 자격기준(제37조제1항제2호 관련)
[별표 1의3] 과징금의 부과기준(제40조의2제1항 관련)
[별표 1의4] 손해배상책임의 이행을 위한 최저가입금액(최소적립금액)의 기준(제48조의7제2항 관련)
[별표 1의5] 과징금의 산정기준과 산정절차(제48조의11제4항 관련)
[별표 2] 과태료의 부과기준(제63조 관련)
법령 연혁 목차
공포일 순
