개인정보 보호법 시행령 신구조문대비표

제5조의3(시ㆍ도 개인정보 보호 관계 기관 협의회) ① 개인정보 보호 정책의 효율적인 추진과 자율적인 개인정보 보호 강화를 위하여 특별시, 통합특별시, 광역시, 특별자치시, 도 및 특별자치도(이하 “시ㆍ도”라 한다)에 시ㆍ도 개인정보 보호 관계 기관 협의회(이하 “시ㆍ도협의회”라 한다)를 둘 수 있다.

② 공공시스템운영기관 및 공공시스템이용기관은 정당한 권한 없이 또는 허용된 권한을 초과하여 개인정보에 접근한 사실이 확인되는 경우에는 지체 없이 정보주체에게 해당 사실과 피해 예방 등을 위해 필요한 사항을 통지해야 한다. 이 경우 다음 각 호의 어느 하나에 해당하는 경우에는 통지를 한 것으로 본다. 1. 법 제34조제1항에 따라 정보주체에게 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손(이하 “유출등”이라 한다)에 대하여 통지한 경우

② 개인정보처리자는 법 제31조제1항에 따라 개인정보 보호책임자를 지정하려는 경우에는 다음 각 호의 구분에 따라 지정해야 한다. 이 경우 제3항에 따른 개인정보처리자는 다음 각 호의 구분에 따른 사람 중 별표 1에 따른 개인정보 보호책임자의 자격을 갖춘 사람을 개인정보 보호책임자로 지정해야 한다. 1. 공공기관: 다음 각 목의 구분에 따른 기준에 해당하는 공무원 등가. 국회, 법원, 헌법재판소, 중앙선거관리위원회의 행정사무를 처리하는 기관 및 중앙행정기관: 고위공무원단에 속하는 공무원(이하 “고위공무원”이라 한다) 또는 그에 상당하는 공무원나. 가목 외에 정무직공무원을 장(長)으로 하는 국가기관: 3급 이상 공무원(고위공무원을 포함한다) 또는 그에 상당하는 공무원다. 가목 및 나목 외에 고위공무원, 3급 공무원 또는 그에 상당하는 공무원 이상의 공무원을 장으로 하는 국가기관: 4급 이상 공무원 또는 그에 상당하는 공무원라. 가목부터 다목까지의 규정에 따른 국가기관 외의 국가기관(소속 기관을 포함한다): 해당 기관의 개인정보 처리 관련 업무를 담당하는 부서의 장마. 시ㆍ도 및 시ㆍ도 교육청: 3급 이상 공무원 또는 그에 상당하는 공무원바. 시ㆍ군 및 자치구: 4급 이상 공무원 또는 그에 상당하는 공무원사. 제2조제5호에 따른 각급 학교: 해당 학교의 행정사무를 총괄하는 사람. 다만, 제3항제2호에 해당하는 경우에는 교직원을 말한다.아. 가목부터 사목까지의 규정에 따른 기관 외의 공공기관: 개인정보 처리 관련 업무를 담당하는 부서의 장. 다만, 개인정보 처리 관련 업무를 담당하는 부서의 장이 2명 이상인 경우에는 해당 공공기관의 장이 지명하는 부서의 장이 된다. 2. 공공기관 외의 개인정보처리자: 다음 각 목의 어느 하나에 해당하는 사람가. 사업주 또는 대표자나. 임원(「상법」 제401조의2제1항제3호에 따라 회사의 업무를 집행한 자와 같은 법 제408조의2제1항에 따른 집행임원을 포함하며, 임원이 없는 경우에는 개인정보 처리 관련 업무를 담당하는 부서의 장을 말한다) ③ 법 제31조제3항 각 호 외의 부분에서 “대통령령으로 정하는 기준에 해당하는 개인정보처리자”란 다음 각 호의 어느 하나에 해당하는 개인정보처리자(공공기관의 경우에는 제2조제2호, 제3호, 제3호의2, 제4호 및 제5호에 해당하는 경우로 한정한다)를 말한다. 1. 연간 매출액등이 1,800억원을 초과하는 자(제2조제5호에 따른 각급 학교 및 「의료법」 제3조에 따른 의료기관은 제외한다)로서 다음 각 목의 어느 하나에 해당하는 자 가. 5만명 이상의 정보주체에 관하여 민감정보 또는 고유식별정보를 처리하는 자 나. 100만명 이상의 정보주체에 관하여 개인정보를 처리하는 자 2. 전년도 말 기준 재학생 수(대학원 재학생 수를 포함한다)가 2만명 이상인 「고등교육법」 제2조에 따른 학교 3. 「의료법」 제3조의4에 따른 상급종합병원 4. 공공시스템운영기관 ④ 제3항에 따른 개인정보처리자는 법 제31조제3항제2호에 따라 개인정보 보호책임자를 지정ㆍ변경 또는 해제하는 경우 그 사유가 발생한 날부터 6개월 이내에 보호위원회 고시로 정하는 개인정보 보호책임자 지정ㆍ변경ㆍ해제 신고서를 보호위원회에 제출해야 한다. 다만, 보호위원회는 경영상의 이유로 이사회가 소집되기 어려운 경우 등 부득이한 사유로 기간 내에 신고서를 제출할 수 없다고 인정하는 경우 개인정보처리자의 요청에 따라 1년의 범위에서 기간을 연장할 수 있다. ⑤ 법 제31조제4항제9호에서 “대통령령으로 정한 업무”란 다음 각 호와 같다.1. 법 제30조에 따른 개인정보 처리방침의 수립ㆍ변경 및 시행2. 개인정보 처리와 관련된 인적ㆍ물적 자원 및 정보의 관리3. 처리 목적이 달성되거나 보유기간이 지난 개인정보의 파기 ⑥ 보호위원회는 개인정보 보호책임자가 법 제31조제4항의 업무를 원활히 수행할 수 있도록 개인정보 보호책임자에 대한 교육과정을 개설ㆍ운영하는 등 지원을 할 수 있다. ⑦ 개인정보처리자(법 제31조제2항에 따라 사업주 또는 대표자가 개인정보 보호책임자가 되는 경우는 제외한다)는 법 제31조제7항에 따른 개인정보 보호책임자의 독립성 보장을 위해 다음 각 호의 사항을 준수해야 한다.1. 개인정보 처리와 관련된 정보에 대한 개인정보 보호책임자의 접근 보장2. 개인정보 보호책임자가 개인정보 보호 계획의 수립ㆍ시행 및 그 결과에 관하여 정기적으로 대표자 또는 이사회에 직접 보고할 수 있는 체계의 구축3. 개인정보 보호책임자의 업무 수행에 적합한 조직체계의 마련 및 인적ㆍ물적 자원의 제공

제32조의2(개인정보 보호책임자 협의회의 사업 범위 등) ① 법 제31조제8항에서 “대통령령으로 정하는 공동의 사업”이란 다음 각 호의 사업을 말한다. ② 보호위원회는 법 제31조제9항에 따라 예산의 범위에서 개인정보 보호책임자 협의회의 운영과 사업에 필요한 행정적ㆍ기술적 지원을 할 수 있다.

② 법 제32조의2제1항에 따라 개인정보 보호 인증을 받으려는 자(이하 이 조 및 제34조의3에서 “신청인”이라 한다)는 다음 각 호의 사항이 포함된 개인정보 보호 인증신청서(전자문서로 된 신청서를 포함한다)를 제34조의6에 따른 개인정보 보호 인증 전문기관(이하 “인증기관”이라 한다)에 제출하여야 한다.

제39조(개인정보 유출 등의 통지) ① 개인정보처리자는 개인정보가 유출등이 되었음을 알게 되었을 때에는 서면등의 방법으로 72시간 이내에 법 제34조제1항 각 호의 사항을 정보주체에게 알려야 한다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 해당 사유가 해소된 후 즉시 정보주체에게 알릴 수 있다. ② 제1항에도 불구하고 개인정보처리자는 같은 항에 따른 통지를 하려는 경우로서 법 제34조제1항제1호 또는 제2호의 사항에 관한 구체적인 내용을 확인하지 못한 경우에는 개인정보가 유출등이 된 사실, 그 때까지 확인된 내용 및 같은 항 제3호부터 제6호까지의 사항을 서면등의 방법으로 우선 통지해야 하며, 추가로 확인되는 내용에 대해서는 확인되는 즉시 통지해야 한다.

제39조의2(개인정보 유출등의 가능성 통지 대상) ① 법 제34조제2항에서 “대통령령으로 정하는 유출등의 가능성이 있음을 알게 되었을 때”란 다음 각 호의 구분에 따른 때를 말한다.1. 개인정보처리시스템 또는 개인정보취급자가 개인정보 처리에 이용하는 정보기기에 대한 불법적인 접근이 발생하여 개인정보 유출등이 의심되는 정황이 있으나 그 개인정보의 정보주체를 특정하기 곤란한 경우: 해당 불법적인 접근을 알게 된 때2. 개인정보처리자가 처리하는 개인정보가 법, 이 영 또는 개인정보 보호에 관한 다른 법령을 위반하여 제3자에 의해 거래되는 등 일부 개인정보가 유출등이 된 사실이 확인된 경우로서 다른 정보주체에 관한 개인정보도 유출등이 되었을 수 있다고 인정되는 경우: 해당 사실을 알게 된 때② 법 제34조제2항에서 “피해를 최소화하기 위한 정보 등 대통령령으로 정하는 사항”이란 다음 각 호의 사항을 말한다.1. 유출등의 가능성이 있는 개인정보의 항목2. 유출등이 있었을 것으로 의심 또는 인정되는 시점과 그 경위3. 법 제34조제1항제3호부터 제5호까지의 사항4. 유출등의 여부가 확정될 경우 추가 통지를 하겠다는 사실

제39조의3(개인정보 유출등의 가능성 통지 시기ㆍ방법 등) ① 개인정보처리자는 법 제34조제2항에 따라 제39조의2제2항 각 호의 사항을 통지하려는 경우 같은 조 제1항 각 호의 구분에 따른 때부터 72시간 이내에 서면등의 방법으로 통지해야 한다. 다만, 천재지변이나 그 밖에 부득이한 사유로 기한 내에 통지하기 곤란한 경우에는 해당 사유가 해소된 후 즉시 통지해야 한다.② 개인정보처리자는 제1항에 따른 기한 내에 개인정보가 실제로 유출등이 된 사실을 확인한 경우에는 법 제34조제2항에 따른 통지에 갈음하여 같은 조 제1항에 따른 통지를 해야 한다.③ 법 제34조제2항에 따른 통지를 한 개인정보처리자는 개인정보가 실제로 유출등이 되지 않은 사실을 확인한 경우 즉시 정보주체에게 그 사실을 통지해야 한다.④ 개인정보처리자는 법 제34조제2항 또는 이 조 제3항에 따른 통지의 대상인 정보주체의 연락처를 알 수 없는 경우 등 정당한 사유가 있는 경우에는 개인정보 유출등의 가능성(제39조의2제2항 각 호의 사항을 포함한다) 또는 개인정보가 실제로 유출등이 되지 않은 사실을 정보주체가 쉽게 알 수 있도록 자신의 인터넷 홈페이지에 30일 이상 게시하는 것으로 법 제34조제2항 및 이 조 제3항의 통지를 갈음할 수 있다. 다만, 인터넷 홈페이지를 운영하지 않는 개인정보처리자의 경우에는 사업장등의 보기 쉬운 장소에 30일 이상 게시하는 것으로 법 제34조제2항 및 이 조 제3항의 통지를 갈음할 수 있다.

제40조(개인정보 유출 등의 신고) ① 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우로서 개인정보가 유출등이 되었음을 알게 되었을 때에는 72시간 이내에 법 제34조제1항 각 호의 사항을 서면등의 방법으로 보호위원회 또는 같은 조 제4항 전단에 따른 전문기관에 신고해야 한다. 다만, 천재지변이나 그 밖에 부득이한 사유로 인하여 72시간 이내에 신고하기 곤란한 경우에는 해당 사유가 해소된 후 즉시 신고할 수 있으며, 개인정보 유출등의 경로가 확인되어 해당 개인정보를 회수ㆍ삭제하는 등의 조치를 통해 정보주체의 권익 침해 가능성이 현저히 낮아진 경우에는 신고하지 않을 수 있다.

② 법 제39조의7제2항제1호에서 “대통령령으로 정하는 공공기관, 비영리법인 및 단체”란 다음 각 호의 기관을 말한다. 1. 공공기관. 다만, 제2조제2호부터 제5호까지에 해당하는 공공기관으로서 제32조제3항 각 호에 해당하는 공공기관은 제외한다. ③ 법 제39조의7제2항제2호에서 “대통령령으로 정하는 자”란 다음 각 호의 요건을 모두 갖춘 자를 말한다. 1. 「소상공인기본법」 제2조제1항에 따른 소상공인으로부터 개인정보가 유출등이 되지 않도록 개인정보의 저장ㆍ관리 업무를 위탁받은 자

제60조의2(과징금의 산정기준 등) ① 법 제64조의2제1항 각 호 외의 부분 본문 및 같은 조 제2항 각 호 외의 부분 본문에 따른 전체 매출액은 다음 각 호의 구분에 따른 금액으로 한다. ② 법 제64조의2제1항 각 호 외의 부분 단서 및 같은 조 제2항 각 호 외의 부분 단서에서 “대통령령으로 정하는 경우”란 다음 각 호의 어느 하나에 해당하는 경우를 말한다. ③ 법 제64조의2제3항에 따른 위반행위와 관련이 없는 매출액은 제1항에 따른 전체 매출액 중 다음 각 호의 어느 하나에 해당하는 금액으로 한다. ⑤ 법 제64조의2제6항 본문에서 “개인정보 보호를 위하여 예산ㆍ인력ㆍ설비ㆍ장치 등을 투자하고 운영하는 등 대통령령으로 정하는 사유가 있는 경우”란 개인정보 보호를 위하여 예산ㆍ인력ㆍ설비ㆍ장치 등을 투자하고 운영하는 경우로서 다음 각 호의 사항을 고려하여 보호위원회가 정하여 고시하는 기준을 충족하는 경우를 말한다.1. 개인정보 보호를 위하여 예산ㆍ인력ㆍ설비ㆍ장치 등에 투자한 규모ㆍ비율 및 그 투자의 지속성2. 법 제30조의3에 따른 사업주 또는 대표자의 책임 이행 정도3. 개인정보 보호책임자의 역할, 조직 및 인력 구성 등 개인정보 보호 체계 운영 내용 및 수준4. 그 밖에 개인정보 안전성 확보 조치에 관한 추가적인 노력 ⑥ 법 제64조의2제7항제4호에서 “대통령령으로 정하는 사유가 있는 경우”란 해당 개인정보처리자가 위반행위를 시정하고 보호위원회가 정하여 고시하는 기준에 해당되는 경우를 말한다. ⑦ 법 제64조의2제8항에 따른 과징금의 산정기준과 산정절차는 별표 1의5와 같다.

제60조의3(과징금의 부과 및 납부) ① 보호위원회는 법 제64조의2제1항 또는 제2항에 따라 과징금을 부과하려는 경우에는 해당 위반행위를 조사ㆍ확인한 후 위반사실ㆍ부과금액ㆍ이의 제기 방법 및 이의 제기 기간 등을 서면으로 명시하여 과징금 부과대상자에게 통지해야 한다.

제60조의4(과징금의 납부기한 연기 및 분할 납부) ① 보호위원회는 법 제64조의2제1항 또는 제2항에 따른 과징금의 납부기한을 「행정기본법」 제29조 및 같은 법 시행령 제7조에 따라 연기하는 경우에는 원래 납부기한의 다음 날부터 2년을 초과할 수 없다. ② 보호위원회는 법 제64조의2제1항 또는 제2항에 따른 과징금을 「행정기본법」 제29조 및 같은 법 시행령 제7조에 따라 분할 납부하게 하는 경우에는 각 분할된 납부기한 간의 간격은 6개월을 초과할 수 없으며, 분할 횟수는 6회를 초과할 수 없다.

제60조의5(환급가산금의 이자율) 법 제64조의2제11항에서 “대통령령으로 정하는 이자율”이란 「국세기본법 시행령」 제43조의3제2항 본문에 따른 이자율을 말한다.

③ 보호위원회(제10호의 경우 보호위원회 외의 지정권자를 포함한다. 이하 제4항 각 호 외의 부분 및 제5항에서 같다)는 법 제68조제1항에 따라 다음 각 호의 사항에 관한 업무를 제4항에 따른 기관에 위탁할 수 있다. 8의2. 법 제31조제3항제2호에 따른 개인정보 보호책임자 지정ㆍ변경 또는 해제에 관한 신고의 접수 및 처리 10의2. 법 제35조의3에 따른 개인정보관리 전문기관의 지정에 관한 다음 각 목의 사항가. 제42조의10제1항에 따른 개인정보관리 전문기관 지정 신청의 접수 및 신청 내용의 확인나. 제42조의10제4항에 따른 개인정보관리 전문기관 지정에 관한 예비심사다. 제42조의12제1항 후단에 따른 지정 조건의 이행 여부 확인 10의3. 법 제35조의4제2항에 따른 개인정보전송지원플랫폼의 운영

제62조의3(규제의 재검토) ① 보호위원회는 다음 각 호의 사항에 대하여 다음 각 호의 기준일을 기준으로 3년마다(매 3년이 되는 해의 기준일과 같은 날 전까지를 말한다) 그 타당성을 검토하여 개선 등의 조치를 해야 한다. 10. 제32조제2항부터 제4항까지 및 별표 1에 따른 개인정보 보호책임자 지정 대상자의 범위, 개인정보 보호책임자의 지정 구분과 자격 및 개인정보 보호책임자 지정ㆍ변경 또는 해제 신고 절차에 관한 사항: 2027년 1월 1일 ② 보호위원회는 다음 각 호의 사항에 대하여 다음 각 호의 기준일을 기준으로 2년마다(매 2년이 되는 해의 1월 1일 전까지를 말한다) 그 타당성을 검토하여 개선 등의 조치를 해야 한다. 2. 제32조제7항에 따른 개인정보 보호책임자의 독립성 보장을 위한 개인정보처리자의 준수 사항: 2025년 1월 1일