입법예고 [시행 2020. 8. 5.] [법률 제16930호, 2020. 2. 4., 일부개정]

[시행 2023. 9. 15.] [법률 제19234호, 2023. 3. 14., 일부개정]

◇ 개정이유

  정보주체의 개인정보에 대한 통제권을 강화하기 위하여 정보주체가 개인정보처리자에게 자신의 개인정보를 정보주체 본인, 개인정보관리 전문기관 또는 안전조치의무를 이행하고 대통령령으로 정하는 시설 및 기술 기준을 충족하는 자에게 전송할 것을 요구할 수 있도록 하고, 인공지능 등을 이용한 자동화된 결정이 정보주체의 권리 또는 의무에 중대한 영향을 미치는 경우 정보주체가 이를 거부하거나 해당 결정에 대한 설명 등을 요구할 수 있도록 하며, 종전에 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」에서 이관된 개인정보 보호 관련 규정이 온라인 사업자인 정보통신서비스 제공자에 대한 특례로 규정되어 동일한 행위에 대하여 온라인 사업자와 오프라인 사업자 간 적용되는 규정이 달라 불필요한 혼란이 발생한 점을 고려하여 관련 규정을 정비하는 한편,
  개인정보의 국외 이전이 증가함에 따라 개인정보를 국외로 이전할 수 있는 경우를 확대하여 국제기준에 부합하도록 하는 등 현행 제도의 운영상 나타난 일부 미비점을 개선ㆍ보완함.

◇ 주요내용
  가. 이동형 영상정보처리기기 운영 기준 마련(제2조제7호의2 및 제25조의2 신설)
    1) CCTV와 같은 고정형 영상정보처리기기 외에 드론, 자율주행 자동차 등을 이용한 이동형 영상정보처리기기의 사용이 증가함에 따라, 이동형 영상정보처리기기의 정의를 마련함.
    2) 이동형 영상정보처리기기로 공개된 장소에서 업무를 목적으로 사람 또는 그 사람과 관련된 사물의 영상을 촬영할 수 없도록 원칙적으로 금지하고, 예외적으로 촬영할 수 있는 경우를 정보주체의 동의를 받은 경우, 정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우 등으로 정하며, 촬영을 하는 경우에는 불빛, 소리, 안내판 등으로 촬영 사실을 표시하도록 하는 등 이동형 영상정보처리기기의 운영 기준 등을 정함.

  나. 정보주체는 인공지능 기술을 적용한 시스템을 포함하는 자동화된 시스템으로 개인정보를 처리하여 이루어지는 결정이 자신의 권리 또는 의무에 중대한 영향을 미치는 경우에는 해당 결정을 거부하거나 해당 결정에 대한 설명 등을 요구할 수 있도록 함(제4조제6호 및 제37조의2 신설).

  다. 개인정보 보호위원회로 하여금 매년 공공기관 등의 개인정보 보호 수준을 평가하고 그 결과를 바탕으로 개선을 권고할 수 있도록 함(제11조의2 신설).

  라. 종전에는 개인정보처리자가 정보주체와 계약 체결 및 이행을 위하여 불가피하게 필요한 경우에만 개인정보를 수집할 수 있도록 하던 것을 정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우, 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요한 경우에는 개인정보를 수집할 수 있도록 그 요건을 합리적으로 개선함(제15조제1항제4호ㆍ제5호, 같은 항 제7호 신설).

  마. 개인정보의 국외 이전 및 국외 이전 중지 명령(제28조의8 및 제28조의9 신설)
    1) 종전에는 정보주체의 별도 동의가 있는 경우에만 개인정보를 국외로 이전할 수 있도록 하던 것을 앞으로는 개인정보가 이전되는 국가 또는 국제기구가 이 법에 따른 개인정보 보호 수준과 실질적으로 동등한 수준의 보호 수준을 갖추었다고 개인정보 보호위원회가 인정하는 경우 등에도 개인정보를 국외로 이전할 수 있도록 하여 국외 이전의 요건을 국제기준에 부합하도록 다양화 함.
    2) 개인정보 보호위원회는 개인정보처리자가 이 법을 위반하여 개인정보를 국외로 이전하는 경우 등에는 해당 개인정보처리자에게 국외 이전을 중지할 것을 명할 수 있도록 함.

  바. 개인정보 영향평가를 실시하는 평가기관의 지정취소 근거 및 사유를 규정하고, 지정취소를 하려는 경우 「행정절차법」상 청문 절차를 거치도록 함(제33조제7항ㆍ제8항 신설).

  사. 정보주체가 개인정보처리자에게 그가 처리하는 자신의 개인정보를 정보주체 본인, 개인정보관리 전문기관 또는 안전조치의무를 이행하고 대통령령으로 정하는 시설 및 기술 기준을 충족하는 자에게 전송할 것을 요구할 수 있도록 하고, 개인정보 전송 요구의 요건 등을 정함(제35조의2 신설).

  아. 개인정보처리자의 고의 또는 중대한 과실로 인하여 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손된 경우 손해배상책임의 한도액을 종전 손해액의 3배에서 5배로 상향함(제39조제3항).

  자. 이 법 위반에 따른 손해배상청구소송에 관하여 법원이 당사자의 신청에 따라 자료제출명령을 할 수 있도록 하고, 일정한 요건이 갖추어진 경우 법원이 당사자의 신청에 따라 비밀유지명령을 하거나 또는 그 명령을 취소할 수 있도록 함(제39조의3부터 제39조의5까지).

  차. 정보통신서비스 제공자 등의 개인정보 처리에 관하여는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」에서 이관된 특례 규정을 적용하도록 하던 것을 모든 개인정보처리자에 대하여 동일 행위에 동일 규제를 적용할 수 있도록 종전의 특례 규정을 삭제하고 이를 모든 개인정보처리자에 대한 일반 규정으로 정비함(현행 제39조의3부터 제39조의8까지 등 삭제).

  카. 개인정보에 관한 분쟁조정제도 개선(제43조제3항, 제45조제2항부터 제4항까지 신설, 제47조제3항ㆍ제4항)
    1) 분쟁조정의 통지를 받은 경우 특별한 사유가 없는 한 분쟁조정에 참여하여야 하는 대상을 공공기관에서 모든 개인정보처리자로 확대하고, 분쟁조정의 당사자가 개인정보 분쟁조정위원회로부터 조정안을 제시받은 날부터 15일 이내에 수락 여부를 알리지 아니할 경우 종전에는 조정을 거부한 것으로 간주하던 것을, 앞으로는 조정안을 수락한 것으로 간주하도록 분쟁조정제도를 개선함.
    2) 개인정보 분쟁조정위원회는 사실 확인이 필요한 경우에는 사무기구의 소속 공무원 등으로 하여금 사건과 관련된 장소에 출입하여 자료를 조사하거나 열람하게 할 수 있고, 관계 기관 등에 자료 또는 의견의 제출 등 필요한 협조를 요청할 수 있도록 함.

  타. 위반행위에 대한 과징금의 상한액을 전체 매출액의 100분의 3 이하에 해당하는 금액으로 하되, 전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 금액을 기준으로 과징금을 산정하도록 함(제64조의2 신설).

  파. 개인정보 영향평가를 실시하지 않거나 그 결과를 보호위원회에 제출하지 아니한 자에게 3천만원 이하의 과태료를 부과함(제75조제2항제16호 신설).

  하. 손해배상책임 이행을 위해 보험 또는 공제에 가입하거나 준비금을 적립하도록 하는 규정을 위반한 개인정보처리자에 대해 과태료를 부과하는 규정을 삭제함(현행 제75조제3항제1호 삭제).

입법 예고 [시행 2024. 3. 15.] [법률 제19234호, 2023. 3. 14., 일부개정]

[시행 2024. 3. 15.] [법률 제19234호, 2023. 3. 14., 일부개정]

◇ 개정이유

  정보주체의 개인정보에 대한 통제권을 강화하기 위하여 정보주체가 개인정보처리자에게 자신의 개인정보를 정보주체 본인, 개인정보관리 전문기관 또는 안전조치의무를 이행하고 대통령령으로 정하는 시설 및 기술 기준을 충족하는 자에게 전송할 것을 요구할 수 있도록 하고, 인공지능 등을 이용한 자동화된 결정이 정보주체의 권리 또는 의무에 중대한 영향을 미치는 경우 정보주체가 이를 거부하거나 해당 결정에 대한 설명 등을 요구할 수 있도록 하며, 종전에 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」에서 이관된 개인정보 보호 관련 규정이 온라인 사업자인 정보통신서비스 제공자에 대한 특례로 규정되어 동일한 행위에 대하여 온라인 사업자와 오프라인 사업자 간 적용되는 규정이 달라 불필요한 혼란이 발생한 점을 고려하여 관련 규정을 정비하는 한편,
  개인정보의 국외 이전이 증가함에 따라 개인정보를 국외로 이전할 수 있는 경우를 확대하여 국제기준에 부합하도록 하는 등 현행 제도의 운영상 나타난 일부 미비점을 개선ㆍ보완함.

◇ 주요내용
  가. 이동형 영상정보처리기기 운영 기준 마련(제2조제7호의2 및 제25조의2 신설)
    1) CCTV와 같은 고정형 영상정보처리기기 외에 드론, 자율주행 자동차 등을 이용한 이동형 영상정보처리기기의 사용이 증가함에 따라, 이동형 영상정보처리기기의 정의를 마련함.
    2) 이동형 영상정보처리기기로 공개된 장소에서 업무를 목적으로 사람 또는 그 사람과 관련된 사물의 영상을 촬영할 수 없도록 원칙적으로 금지하고, 예외적으로 촬영할 수 있는 경우를 정보주체의 동의를 받은 경우, 정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우 등으로 정하며, 촬영을 하는 경우에는 불빛, 소리, 안내판 등으로 촬영 사실을 표시하도록 하는 등 이동형 영상정보처리기기의 운영 기준 등을 정함.
  나. 정보주체는 인공지능 기술을 적용한 시스템을 포함하는 자동화된 시스템으로 개인정보를 처리하여 이루어지는 결정이 자신의 권리 또는 의무에 중대한 영향을 미치는 경우에는 해당 결정을 거부하거나 해당 결정에 대한 설명 등을 요구할 수 있도록 함(제4조제6호 및 제37조의2 신설).
  다. 개인정보 보호위원회로 하여금 매년 공공기관 등의 개인정보 보호 수준을 평가하고 그 결과를 바탕으로 개선을 권고할 수 있도록 함(제11조의2 신설).
  라. 종전에는 개인정보처리자가 정보주체와 계약 체결 및 이행을 위하여 불가피하게 필요한 경우에만 개인정보를 수집할 수 있도록 하던 것을 정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우, 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요한 경우에는 개인정보를 수집할 수 있도록 그 요건을 합리적으로 개선함(제15조제1항제4호ㆍ제5호, 같은 항 제7호 신설).
  마. 개인정보의 국외 이전 및 국외 이전 중지 명령(제28조의8 및 제28조의9 신설)
    1) 종전에는 정보주체의 별도 동의가 있는 경우에만 개인정보를 국외로 이전할 수 있도록 하던 것을 앞으로는 개인정보가 이전되는 국가 또는 국제기구가 이 법에 따른 개인정보 보호 수준과 실질적으로 동등한 수준의 보호 수준을 갖추었다고 개인정보 보호위원회가 인정하는 경우 등에도 개인정보를 국외로 이전할 수 있도록 하여 국외 이전의 요건을 국제기준에 부합하도록 다양화 함.
    2) 개인정보 보호위원회는 개인정보처리자가 이 법을 위반하여 개인정보를 국외로 이전하는 경우 등에는 해당 개인정보처리자에게 국외 이전을 중지할 것을 명할 수 있도록 함.
  바. 개인정보 영향평가를 실시하는 평가기관의 지정취소 근거 및 사유를 규정하고, 지정취소를 하려는 경우 「행정절차법」상 청문 절차를 거치도록 함(제33조제7항ㆍ제8항 신설).
  사. 정보주체가 개인정보처리자에게 그가 처리하는 자신의 개인정보를 정보주체 본인, 개인정보관리 전문기관 또는 안전조치의무를 이행하고 대통령령으로 정하는 시설 및 기술 기준을 충족하는 자에게 전송할 것을 요구할 수 있도록 하고, 개인정보 전송 요구의 요건 등을 정함(제35조의2 신설).
  아. 개인정보처리자의 고의 또는 중대한 과실로 인하여 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손된 경우 손해배상책임의 한도액을 종전 손해액의 3배에서 5배로 상향함(제39조제3항).
  자. 이 법 위반에 따른 손해배상청구소송에 관하여 법원이 당사자의 신청에 따라 자료제출명령을 할 수 있도록 하고, 일정한 요건이 갖추어진 경우 법원이 당사자의 신청에 따라 비밀유지명령을 하거나 또는 그 명령을 취소할 수 있도록 함(제39조의3부터 제39조의5까지).

  차. 정보통신서비스 제공자 등의 개인정보 처리에 관하여는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」에서 이관된 특례 규정을 적용하도록 하던 것을 모든 개인정보처리자에 대하여 동일 행위에 동일 규제를 적용할 수 있도록 종전의 특례 규정을 삭제하고 이를 모든 개인정보처리자에 대한 일반 규정으로 정비함(현행 제39조의3부터 제39조의8까지 등 삭제).
  카. 개인정보에 관한 분쟁조정제도 개선(제43조제3항, 제45조제2항부터 제4항까지 신설, 제47조제3항ㆍ제4항)
    1) 분쟁조정의 통지를 받은 경우 특별한 사유가 없는 한 분쟁조정에 참여하여야 하는 대상을 공공기관에서 모든 개인정보처리자로 확대하고, 분쟁조정의 당사자가 개인정보 분쟁조정위원회로부터 조정안을 제시받은 날부터 15일 이내에 수락 여부를 알리지 아니할 경우 종전에는 조정을 거부한 것으로 간주하던 것을, 앞으로는 조정안을 수락한 것으로 간주하도록 분쟁조정제도를 개선함.
    2) 개인정보 분쟁조정위원회는 사실 확인이 필요한 경우에는 사무기구의 소속 공무원 등으로 하여금 사건과 관련된 장소에 출입하여 자료를 조사하거나 열람하게 할 수 있고, 관계 기관 등에 자료 또는 의견의 제출 등 필요한 협조를 요청할 수 있도록 함.

  타. 위반행위에 대한 과징금의 상한액을 전체 매출액의 100분의 3 이하에 해당하는 금액으로 하되, 전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 금액을 기준으로 과징금을 산정하도록 함(제64조의2 신설).
  파. 개인정보 영향평가를 실시하지 않거나 그 결과를 보호위원회에 제출하지 아니한 자에게 3천만원 이하의 과태료를 부과함(제75조제2항제16호 신설).
  하. 손해배상책임 이행을 위해 보험 또는 공제에 가입하거나 준비금을 적립하도록 하는 규정을 위반한 개인정보처리자에 대해 과태료를 부과하는 규정을 삭제함(현행 제75조제3항제1호 삭제).

[시행 2025. 3. 13.] [법률 제19234호, 2023. 3. 14., 일부개정]

【관보정정】

[시행 2025. 10. 2.] [법률 제20897호, 2025. 4. 1., 일부개정]

◇ 개정이유 및 주요내용
  국내에 주소 또는 영업소가 없는 개인정보처리자가 국내대리인을 지정하는 경우, 해당 개인정보처리자가 설립한 국내 법인이나 해당 개인정보처리자가 임원 구성, 사업 운영 등에 지배적인 영향력을 행사하는 국내 법인이 있는 경우에는 그 법인 중에서 국내대리인을 지정하도록 하고, 이를 위반하여 국내대리인을 지정하는 경우 2천만원 이하의 과태료를 부과하는 한편,
  국내대리인을 지정한 개인정보처리자에게 국내대리인을 관리ㆍ감독할 의무를 부여하고, 이를 위반하는 경우 2천만원 이하의 과태료를 부과하며, 국내대리인의 성명ㆍ주소ㆍ전화번호 및 전자우편 주소를 개인정보처리방침에 포함하지 아니한 경우 1천만원 이하의 과태료를 부과하는 등 국내대리인 제도를 내실 있게 운영하기 위하여 현행 제도의 운영상 나타난 일부 미비점을 개선ㆍ보완함.