제정·개정문

법제처 국가법령정보센터

화면내검색
저장 인쇄

개인정보 보호법

[시행 2026. 9. 11.] [법률 제21445호, 2026. 3. 10., 일부개정]

【제정·개정문】

  • 국회에서 의결된 개인정보 보호법 일부개정법률을 이에 공포한다.
              대통령        이재명 (인)
        2026년 3월 10일  
              국무총리        김민석
              국무위원 행정안전부 장관(개인정보 보호위원회 소관)         윤호중

    ⊙법률 제21445호
    개인정보 보호법 일부개정법률

    개인정보 보호법 일부를 다음과 같이 개정한다.

    제23조제2항 중 "훼손되지"를 "훼손(이하 "유출등"이라 한다)이 되지"로 한다.

    제24조제3항 중 "분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지"를 "유출등이 되지"로 한다.

    제24조의2제2항 전단 중 "분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지"를 "유출등이 되지"로 한다.

    제25조제6항 중 "분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지"를 "유출등이 되지"로 한다.

    제26조제4항 중 "분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지"를 "유출등이 되지"로 하고, 같은 조 제8항 전단 중 "제30조의2"를 "제30조의2, 제30조의3"으로 한다.

    제28조의4제1항 중 "분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 않도록"을 "유출등이 되지 아니하도록"으로 한다.

    제28조의7 중 "제34조제1항"을 "제34조제1항ㆍ제2항"으로 한다.

    제29조 중 "분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지"를 "유출등이 되지"로 한다.

    제30조의3을 다음과 같이 신설한다.
    제30조의3(사업주 또는 대표자의 책임) 개인정보처리자의 사업주 또는 대표자는 개인정보의 안전한 처리 및 정보주체의 권리 보호에 대한 최종적인 책임자로서 개인정보 보호에 필요한 전문 인력과 충분한 예산의 지원 등 총괄적인 관리 조치를 실효성 있게 하여야 한다.

    제31조제1항 본문 중 "처리에"를 "처리 및 보호에"로, "책임질"을 "담당할"로 하고, 같은 조 제3항부터 제9항까지를 각각 제4항부터 제10항까지로 하며, 같은 조에 제3항을 다음과 같이 신설한다.
      ③ 매출액, 개인정보의 보유 규모 등을 고려하여 대통령령으로 정하는 기준에 해당하는 개인정보처리자는 다음 각 호의 사항을 준수하여야 한다.
      1. 개인정보 보호책임자를 지정하거나 그 지정을 변경 또는 해제할 때에는 이사회(법인인 경우로 한정한다. 이하 같다)의 의결을 거칠 것
      2. 보호위원회에 대통령령으로 정하는 바에 따라 개인정보 보호책임자 지정ㆍ변경 또는 해제에 관한 사항을 신고할 것

    제31조제4항(종전의 제3항)제2호부터 제7호까지를 각각 제4호부터 제9호까지로 하고, 같은 항에 제2호 및 제3호를 각각 다음과 같이 신설하며, 같은 항 제4호(종전의 제2호) 중 "처리 실태 및 관행의"를 "처리 및 보호의 실태와 관행에 대한"으로 하고, 같은 항 제9호(종전의 제7호) 중 "처리"를 "처리 및 보호"로 하며, 같은 조 제5항(종전의 제4항) 및 제7항(종전의 제6항) 중 "제3항"을 각각 "제4항"으로 하고, 같은 조 제9항(종전의 제8항) 중 "제7항"을 "제8항"으로 하며, 같은 조 제10항(종전의 제9항) 중 "제3항에 따른 업무 및 제6항"을 "제3항제2호에 따른 신고의 방법 및 절차, 제4항에 따른 업무 및 제7항"으로 한다.
      2. 개인정보 보호에 필요한 전문 인력의 관리 및 예산의 확보
      3. 사업주 또는 대표자 및 이사회에 대한 개인정보 보호 현황 및 주요 사항의 보고

    제31조의2제1항제1호 중 "제31조제3항제3호"를 "제31조제4항제5호"로 하고, 같은 항 제2호를 다음과 같이 한다.
      2. 제34조제1항ㆍ제2항에 따른 통지 및 같은 조 제4항에 따른 유출등의 신고

    제32조의2제1항에 단서를 다음과 같이 신설한다.
      다만, 매출액, 개인정보의 처리 규모 등을 고려하여 대통령령으로 정하는 기준에 해당하는 개인정보처리자는 인증을 받아야 한다.

    제34조의 제목 중 "유출 등"을 "유출등"으로 하고, 같은 조 제1항 각 호 외의 부분 본문 중 "분실ㆍ도난ㆍ유출(이하 이 조에서 "유출등"이라 한다)되었음"을 "유출등이 되었음"으로 하며, 같은 항 제3호 중 "관한 정보"를 "관한 구체적인 정보"로 하고, 같은 항에 제6호 및 제7호를 각각 다음과 같이 신설하며, 같은 조 제2항부터 제4항까지를 각각 제3항부터 제5항까지로 하고, 같은 조에 제2항을 다음과 같이 신설하며, 같은 조 제3항(종전의 제2항) 중 "경우 그"를 "경우에는 해당 개인정보의 회수ㆍ삭제 등 피해 확산을 방지하기 위한 조치를 포함하여"로 하고, 같은 조 제5항(종전의 제4항) 중 "제1항에 따른 유출등의"를 "제1항ㆍ제2항에 따른"으로, "제3항"을 "제4항"으로 한다.
      6. 개인정보 유출등으로 인한 제39조에 따른 손해배상과 제39조의2에 따른 법정손해배상의 청구 및 제43조에 따른 분쟁조정 등 피해를 입은 정보주체의 법적 권리와 그 행사 방법 등에 관한 정보
      7. 그 밖에 개인정보가 유출등이 된 정보주체의 보호를 위하여 대통령령으로 정하는 사항
      ② 제1항에도 불구하고 개인정보의 유형, 정보주체에게 미치는 영향 및 유출등의 위험 정도를 고려하여 대통령령으로 정하는 유출등의 가능성이 있음을 알게 되었을 때에는 지체 없이 유출등의 가능성이 있는 모든 정보주체에게 피해를 최소화하기 위한 정보 등 대통령령으로 정하는 사항을 알려야 한다.

    제39조제3항 본문 중 "분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손된"을 "유출등이 된"으로 한다.

    제39조의2제1항 전단 중 "분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손된"을 "유출등이 된"으로 한다.

    제58조제3항 중 "제30조"를 "제30조, 제30조의3"으로 한다.

    제64조의2제1항제9호 본문 중 "분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조ㆍ훼손된"을 "유출등이 된"으로 하고, 같은 호 단서 중 "분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조ㆍ훼손되지"를 "유출등이 되지"로 하며, 같은 조 제5항부터 제10항까지를 각각 제7항부터 제12항까지로 하고, 같은 조 제2항부터 제4항까지를 각각 제3항부터 제5항까지로 하며, 같은 조에 제2항을 다음과 같이 신설하고, 같은 조 제3항(종전의 제2항) 및 같은 조 제4항(종전의 제3항) 중 "제1항"을 각각 "제1항 및 제2항"으로 하며, 같은 조 제5항(종전의 제4항) 각 호 외의 부분 중 "제1항"을 "제1항 및 제2항"으로 하고, 같은 항 제5호 중 "분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조ㆍ훼손된"을 "유출등이 된"으로, "분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조ㆍ훼손의"를 "유출등의"로 하며, 같은 조에 제6항을 다음과 같이 신설하고, 같은 조 제8항(종전의 제6항) 중 "제1항"을 "제1항 및 제2항"으로, "제2항부터 제5항까지"를 "제3항부터 제7항까지"로 하며, 같은 조 제9항(종전의 제7항) 전단 중 "제1항"을 "제1항 및 제2항"으로 하고, 같은 조 제10항(종전의 제8항) 중 "제1항"을 "제1항 및 제2항"으로, "제7항"을 "제9항"으로 하며, 같은 조 제11항(종전의 제9항) 중 "제1항"을 "제1항 및 제2항"으로 하고, 같은 조 제12항(종전의 제10항) 중 "제9항"을 "제11항"으로 한다.
      ② 제1항에도 불구하고 보호위원회는 다음 각 호의 어느 하나에 해당하는 경우에는 해당 개인정보처리자에게 전체 매출액의 100분의 10을 초과하지 아니하는 범위에서 과징금을 부과할 수 있다. 다만, 매출액이 없거나 매출액의 산정이 곤란한 경우로서 대통령령으로 정하는 경우에는 50억원을 초과하지 아니하는 범위에서 과징금을 부과할 수 있다.
      1. 이 조에 따른 과징금 부과처분을 받은 날부터 3년이 경과하기 전에 제1항 같은 호에 해당하는 위반행위를 한 경우(각각 고의 또는 중대한 과실이 있는 경우로 한정한다)
      2. 고의 또는 중대한 과실로 제1항 각 호의 어느 하나에 해당하는 위반행위를 하고 정보주체의 피해 규모가 1천만명 이상인 경우
      3. 제64조제1항에 따른 시정조치 명령에 따르지 아니하여 개인정보처리자가 제1항제9호의 위반행위를 한 경우
      ⑥ 보호위원회는 개인정보 보호를 위하여 예산ㆍ인력ㆍ설비ㆍ장치 등을 투자하고 운영하는 등 대통령령으로 정하는 사유가 있는 경우에는 제1항 및 제2항에 따른 과징금을 감경한다. 다만, 개인정보처리자의 고의 또는 중대한 과실로 위반행위를 한 경우는 제외한다.

    제75조제2항에 제14호의2부터 제14호의4까지를 각각 다음과 같이 신설하고, 같은 항 제15호를 제15호의2로 하며, 같은 항에 제15호를 다음과 같이 신설하고, 같은 항 제17호 중 "제34조제1항"을 "제34조제1항 또는 같은 조 제2항"으로, "같은 항 각 호의 사실"을 "제34조제1항 각 호의 사항 또는 같은 조 제2항의 피해를 최소화하기 위한 정보 등의 사항"으로 하며, 같은 항 제18호 중 "제34조제3항"을 "제34조제4항"으로 하고, 같은 조 제4항제9호를 삭제한다.
      14의2. 제31조제1항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 개인정보 보호책임자를 지정하지 아니하거나 제31조제10항(제26조제8항에 따라 준용되는 경우를 포함한다)에 따른 개인정보 보호책임자의 자격요건을 갖추지 아니한 자를 개인정보 보호책임자로 지정한 자
      14의3. 제31조제3항제1호(제26조제8항에 따라 준용되는 경우를 포함한다)를 위반하여 개인정보 보호책임자를 지정하거나 그 지정을 변경 또는 해제할 때에 이사회의 의결을 거치지 아니한 자
      14의4. 제31조제3항제2호(제26조제8항에 따라 준용되는 경우를 포함한다)를 위반하여 개인정보 보호책임자의 지정ㆍ변경 또는 해제에 관한 사항을 신고하지 아니한 자
      15. 제32조의2제1항 단서를 위반하여 인증을 받지 아니한 자

              부칙
    제1조(시행일) 이 법은 공포 후 6개월이 경과한 날부터 시행한다. 다만, 제32조의2제1항 단서 및 제75조제2항제15호의 개정규정은 2027년 7월 1일부터 시행한다.
    제2조(개인정보 유출등의 통지 등에 관한 적용례) ① 제34조제1항 및 제4항의 개정규정은 이 법 시행 이후 개인정보가 유출등이 되었음을 알게 된 경우부터 적용한다.
      ② 제34조제2항의 개정규정은 이 법 시행 이후 대통령령으로 정하는 유출등의 가능성이 있음을 알게 된 경우부터 적용한다.
      ③ 제34조제3항의 개정규정은 이 법 시행 이후 유출등이 된 경우부터 적용한다.
    제3조(과징금 부과에 관한 적용례) ① 제64조의2제2항제1호의 개정규정은 이 법 시행 이후 발생한 같은 조 제1항 각 호의 위반행위로 같은 조에 따른 과징금 부과처분을 받은 후 다시 같은 조 제1항 같은 호에 해당하는 위반행위를 한 경우부터 적용한다.
      ② 제64조의2제2항제2호의 개정규정은 이 법 시행 당시 종료되지 아니한 위반행위에 대해서도 적용한다.
      ③ 제64조의2제2항제3호의 개정규정은 이 법 시행 이후 제64조제1항에 따른 시정조치 명령을 받은 경우부터 적용한다.
    제4조(다른 법률의 개정) ① 신용정보의 이용 및 보호에 관한 법률 일부를 다음과 같이 개정한다.
      제20조제4항제1호가목 중 "「개인정보 보호법」 제31조제3항제1호부터 제5호까지"를 "「개인정보 보호법」 제31조제4항제1호 및 같은 항 제4호부터 제7호까지"로 하고, 같은 조 제5항 중 "「개인정보 보호법」 제31조제4항 및 제6항"을 "「개인정보 보호법」 제31조제5항 및 제7항"으로 한다.
      ② 정보통신망 이용촉진 및 정보보호 등에 관한 법률 일부를 다음과 같이 개정한다.
      제45조의3제4항제2호라목 중 "「개인정보 보호법」 제31조제2항"을 "「개인정보 보호법」 제31조제4항"으로 한다.

개인정보 보호법

[시행 2025. 10. 2.] [법률 제20897호, 2025. 4. 1., 일부개정]

【제정·개정문】

  • 국회에서 의결된 개인정보 보호법 일부개정법률을 이에 공포한다.
              대통령 권한대행 국무총리        한덕수 (인)
        2025년 4월 1일
              국무총리        한덕수
              국무위원 행정안전부 장관(개인정보보호위원회 소관)

    ⊙법률 제20897호
    개인정보 보호법 일부개정법률

    개인정보 보호법 일부를 다음과 같이 개정한다.

    제31조의2제1항제1호 중 "제31조제3항"을 "제31조제3항제3호"로, "보호책임자의"를 "처리와 관련한 불만의 처리 및 피해 구제"로 한다.

    제31조의2제2항에 후단을 다음과 같이 신설하고, 같은 항에 각 호를 다음과 같이 신설한다.
      이 경우 다음 각 호의 어느 하나에 해당하는 법인이 있는 개인정보처리자는 그 법인 중에서 국내대리인을 지정하여야 한다.
      1. 해당 개인정보처리자가 설립한 국내 법인
      2. 해당 개인정보처리자가 임원 구성, 사업 운영 등에 지배적인 영향력을 행사하는 국내 법인으로서 대통령령으로 정하는 법인

    제31조의2제3항 및 제4항을 각각 제4항 및 제5항으로 하고, 같은 조에 제3항을 다음과 같이 신설한다.
      ③ 제1항에 따라 국내대리인을 지정한 개인정보처리자는 국내대리인이 업무를 충실히 수행하도록 대통령령으로 정하는 바에 따라 교육하고 업무현황을 점검하는 등의 관리ㆍ감독을 하여야 한다.

    제75조제3항에 제3호 및 제4호를 각각 다음과 같이 신설하고, 같은 조 제4항에 제9호의2를 다음과 같이 신설한다.
      3. 제31조의2제2항을 위반하여 국내대리인을 지정한 자
      4. 제31조의2제3항을 위반하여 국내대리인을 관리ㆍ감독하지 아니한 자
      9의2. 제31조의2제4항을 위반하여 국내대리인의 성명ㆍ주소ㆍ전화번호 및 전자우편 주소를 개인정보 처리방침에 포함하지 아니한 자

              부칙
    제1조(시행일) 이 법은 공포 후 6개월이 경과한 날부터 시행한다.
    제2조(국내대리인 지정에 관한 경과조치) 이 법 시행 당시 종전의 규정에 따라 국내대리인을 지정한 개인정보처리자 중 제31조의2제2항 각 호의 개정규정의 어느 하나에 해당하는 법인이 있는 자는 이 법 시행 이후 6개월 이내에 그 법인 중에서 국내대리인을 지정하여야 한다.

개인정보 보호법

[시행 2023. 9. 15.] [법률 제19234호, 2023. 3. 14., 일부개정]

【제정·개정문】

  • 국회에서 의결된 개인정보 보호법 일부개정법률을 이에 공포한다.
              대통령        윤석열 (인)
        2023년 3월 14일
              국무총리        한덕수
              국무위원 행정안전부 장관(개인정보 보호위원회 소관)

    ⊙법률 제19234호
    개인정보 보호법 일부개정법률

    개인정보 보호법 일부를 다음과 같이 개정한다.

    제2조제7호 중 "영상정보처리기기"를 "고정형 영상정보처리기기"로, "지속적으로 설치되어"를 "설치되어 지속적 또는 주기적으로"로 하고, 같은 조에 제7호의2를 다음과 같이 신설한다.
      7의2. "이동형 영상정보처리기기"란 사람이 신체에 착용 또는 휴대하거나 이동 가능한 물체에 부착 또는 거치(据置)하여 사람 또는 사물의 영상 등을 촬영하거나 이를 유ㆍ무선망을 통하여 전송하는 장치로서 대통령령으로 정하는 장치를 말한다.

    제3조제5항 중 "개인정보 처리방침"을 "제30조에 따른 개인정보 처리방침"으로 한다.

    제4조제3호 중 "대하여"를 "대한"으로, "같다)"를 "같다) 및 전송"으로 하고, 같은 조에 제6호를 다음과 같이 신설한다.
      6. 완전히 자동화된 개인정보 처리에 따른 결정을 거부하거나 그에 대한 설명 등을 요구할 권리

    제5조제3항 및 제4항을 각각 제4항 및 제5항으로 하고, 같은 조에 제3항을 다음과 같이 신설하며, 같은 조 제5항(종전의 제4항) 중 "제정하거나 개정하는 경우에는 이 법의 목적에 부합되도록 하여야 한다"를 "적용할 때에는 정보주체의 권리가 보장될 수 있도록 개인정보 보호 원칙에 맞게 적용하여야 한다"로 한다.
      ③ 국가와 지방자치단체는 만 14세 미만 아동이 개인정보 처리가 미치는 영향과 정보주체의 권리 등을 명확하게 알 수 있도록 만 14세 미만 아동의 개인정보 보호에 필요한 시책을 마련하여야 한다.

    제6조 제목 외의 부분을 제1항으로 하고, 같은 조 제1항(종전의 제목 외의 부분) 중 "개인정보 보호에 관하여는"을 "개인정보의 처리 및 보호에 관하여"로 하며, 같은 조에 제2항을 다음과 같이 신설한다.
      ② 개인정보의 처리 및 보호에 관한 다른 법률을 제정하거나 개정하는 경우에는 이 법의 목적과 원칙에 맞도록 하여야 한다.

    제7조의8제7호 중 "지원ㆍ보급"을 "지원ㆍ보급, 기술의 표준화"로 한다.

    제7조의9제1항에 제6호의2를 다음과 같이 신설하고, 같은 항 제7호 중 "제33조제3항"을 "제33조제4항"으로 하며, 같은 항 제8호 중 "제28조의6, 제34조의2, 제39조의15"를 "제64조의2"로 하고, 같은 항에 제9호의2를 다음과 같이 신설하며, 같은 항 제12호 중 "공표"를 "공표 및 공표명령"으로 한다.
      6의2. 제28조의9에 따른 개인정보의 국외 이전 중지 명령에 관한 사항
      9의2. 제63조의2제2항에 따른 시정권고에 관한 사항

    제11조의2를 다음과 같이 신설한다.
    제11조의2(개인정보 보호수준 평가) ① 보호위원회는 공공기관 중 중앙행정기관 및 그 소속기관, 지방자치단체, 그 밖에 대통령령으로 정하는 기관을 대상으로 매년 개인정보 보호 정책ㆍ업무의 수행 및 이 법에 따른 의무의 준수 여부 등을 평가(이하 "개인정보 보호수준 평가"라 한다)하여야 한다.
      ② 보호위원회는 개인정보 보호수준 평가에 필요한 경우 해당 공공기관의 장에게 관련 자료를 제출하게 할 수 있다.
      ③ 보호위원회는 개인정보 보호수준 평가의 결과를 인터넷 홈페이지 등을 통하여 공개할 수 있다.
      ④ 보호위원회는 개인정보 보호수준 평가의 결과에 따라 우수기관 및 그 소속 직원에 대하여 포상할 수 있고, 개인정보 보호를 위하여 필요하다고 인정하면 해당 공공기관의 장에게 개선을 권고할 수 있다. 이 경우 권고를 받은 공공기관의 장은 이를 이행하기 위하여 성실하게 노력하여야 하며, 그 조치 결과를 보호위원회에 알려야 한다.
      ⑤ 그 밖에 개인정보 보호수준 평가의 기준ㆍ방법ㆍ절차 및 제2항에 따른 자료 제출의 범위 등에 필요한 사항은 대통령령으로 정한다.

    제13조의2를 다음과 같이 신설한다.
    제13조의2(개인정보 보호의 날) ① 개인정보의 보호 및 처리의 중요성을 국민에게 알리기 위하여 매년 9월 30일을 개인정보 보호의 날로 지정한다.
      ② 국가와 지방자치단체는 개인정보 보호의 날이 포함된 주간에 개인정보 보호 문화 확산을 위한 각종 행사를 실시할 수 있다.

    제15조제1항제4호 중 "정보주체와의 계약의 체결 및 이행을 위하여 불가피하게"를 "정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여"로 하고, 같은 항 제5호 중 "정보주체 또는 그 법정대리인이 의사표시를 할 수 없는 상태에 있거나 주소불명 등으로 사전 동의를 받을 수 없는 경우로서 명백히"를 "명백히"로 하며, 같은 항에 제7호를 다음과 같이 신설한다.
      7. 공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우

    제17조제1항제2호 중 "제15조제1항제2호ㆍ제3호ㆍ제5호 및 제39조의3제2항제2호ㆍ제3호에"를 "제15조제1항제2호, 제3호 및 제5호부터 제7호까지에"로 하고, 같은 조 제3항을 삭제한다.

    제18조제1항 중 "제15조제1항 및 제39조의3제1항 및 제2항"을 "제15조제1항"으로, "제3항"을 "제28조의8제1항"으로 하고, 같은 조 제2항 각 호 외의 부분 단서를 다음과 같이 한다.
      다만, 제5호부터 제9호까지에 따른 경우는 공공기관의 경우로 한정한다.

    제18조제2항제3호 중 "정보주체 또는 그 법정대리인이 의사표시를 할 수 없는 상태에 있거나 주소불명 등으로 사전 동의를 받을 수 없는 경우로서 명백히"를 "명백히"로 하고, 같은 항에 제10호를 다음과 같이 신설하며, 같은 조 제4항 중 "제8호 및 제9호"를 "제8호부터 제10호까지"로 한다.
      10. 공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우

    제20조의 제목 중 "고지"를 "통지"로 하고, 같은 조 제1항제3호 중 "요구할"을 "요구하거나 동의를 철회할"로 하며, 같은 조 제4항제1호 및 제2호 중 "고지"를 각각 "통지"로 한다.

    제20조의2를 다음과 같이 신설한다.
    제20조의2(개인정보 이용ㆍ제공 내역의 통지) ① 대통령령으로 정하는 기준에 해당하는 개인정보처리자는 이 법에 따라 수집한 개인정보의 이용ㆍ제공 내역이나 이용ㆍ제공 내역을 확인할 수 있는 정보시스템에 접속하는 방법을 주기적으로 정보주체에게 통지하여야 한다. 다만, 연락처 등 정보주체에게 통지할 수 있는 개인정보를 수집ㆍ보유하지 아니한 경우에는 통지하지 아니할 수 있다.
      ② 제1항에 따른 통지의 대상이 되는 정보주체의 범위, 통지 대상 정보, 통지 주기 및 방법 등에 필요한 사항은 대통령령으로 정한다.

    제21조제1항 본문 중 "달성 등"을 "달성, 가명정보의 처리 기간 경과 등"으로 한다.

    제22조제1항 중 "제6항"을 "제22조의2제1항"으로, "각각 동의를"을 "동의를"로 하고, 같은 항에 후단 및 각 호를 각각 다음과 같이 신설한다.
      이 경우 다음 각 호의 경우에는 동의 사항을 구분하여 각각 동의를 받아야 한다.
      1. 제15조제1항제1호에 따라 동의를 받는 경우
      2. 제17조제1항제1호에 따라 동의를 받는 경우
      3. 제18조제2항제1호에 따라 동의를 받는 경우
      4. 제19조제1호에 따라 동의를 받는 경우
      5. 제23조제1항제1호에 따라 동의를 받는 경우
      6. 제24조제1항제1호에 따라 동의를 받는 경우
      7. 재화나 서비스를 홍보하거나 판매를 권유하기 위하여 개인정보의 처리에 대한 동의를 받으려는 경우
      8. 그 밖에 정보주체를 보호하기 위하여 동의 사항을 구분하여 동의를 받아야 할 필요가 있는 경우로서 대통령령으로 정하는 경우

    제22조제3항 전단을 다음과 같이 한다.
      개인정보처리자는 정보주체의 동의 없이 처리할 수 있는 개인정보에 대해서는 그 항목과 처리의 법적 근거를 정보주체의 동의를 받아 처리하는 개인정보와 구분하여 제30조제2항에 따라 공개하거나 전자우편 등 대통령령으로 정하는 방법에 따라 정보주체에게 알려야 한다.

    제22조제4항을 삭제하고, 같은 조 제5항 중 "제3항에 따라 선택적으로"를 "선택적으로"로, "제4항 및 제18조제2항제1호"를 "제1항제3호 및 제7호"로 하며, 같은 조 제6항을 삭제하고, 같은 조 제7항 중 "제1항부터 제6항"을 "제1항부터 제5항"으로, "방법 및 제6항에 따른 최소한의 정보의 내용"을 "방법"으로 한다.

    제3장제1절에 제22조의2를 다음과 같이 신설한다.
    제22조의2(아동의 개인정보 보호) ① 개인정보처리자는 만 14세 미만 아동의 개인정보를 처리하기 위하여 이 법에 따른 동의를 받아야 할 때에는 그 법정대리인의 동의를 받아야 하며, 법정대리인이 동의하였는지를 확인하여야 한다.
      ② 제1항에도 불구하고 법정대리인의 동의를 받기 위하여 필요한 최소한의 정보로서 대통령령으로 정하는 정보는 법정대리인의 동의 없이 해당 아동으로부터 직접 수집할 수 있다.
      ③ 개인정보처리자는 만 14세 미만의 아동에게 개인정보 처리와 관련한 사항의 고지 등을 할 때에는 이해하기 쉬운 양식과 명확하고 알기 쉬운 언어를 사용하여야 한다.
      ④ 제1항부터 제3항까지에서 규정한 사항 외에 동의 및 동의 확인 방법 등에 필요한 사항은 대통령령으로 정한다.

    제23조에 제3항을 다음과 같이 신설한다.
      ③ 개인정보처리자는 재화 또는 서비스를 제공하는 과정에서 공개되는 정보에 정보주체의 민감정보가 포함됨으로써 사생활 침해의 위험성이 있다고 판단하는 때에는 재화 또는 서비스의 제공 전에 민감정보의 공개 가능성 및 비공개를 선택하는 방법을 정보주체가 알아보기 쉽게 알려야 한다.

    제25조의 제목 중 "영상정보처리기기"를 "고정형 영상정보처리기기"로 하고, 같은 조 제1항 각 호 외의 부분 중 "영상정보처리기기"를 "고정형 영상정보처리기기"로 하며, 같은 항 제3호 중 "시설안전 및"을 "시설의 안전 및 관리,"로, "필요한"을 "정당한 권한을 가진 자가 설치ㆍ운영하는"으로 하고, 같은 항 제4호 및 제5호 중 "필요한"을 각각 "정당한 권한을 가진 자가 설치ㆍ운영하는"으로 하며, 같은 항에 제6호를 다음과 같이 신설한다.
      6. 촬영된 영상정보를 저장하지 아니하는 경우로서 대통령령으로 정하는 경우

    제25조제2항 본문 및 같은 조 제3항 중 "영상정보처리기기"를 각각 "고정형 영상정보처리기기"로 하고, 같은 조 제4항 각 호 외의 부분 본문 중 "영상정보처리기기를"을 "고정형 영상정보처리기기를"로, "영상정보처리기기운영자"를 "고정형영상정보처리기기운영자"로 하며, 같은 항 각 호 외의 부분 단서 중 "시설에 대하여는"을 "시설의 경우에는"으로 하고, 같은 항 제3호 중 "관리책임자 성명 및"을 "관리책임자의"로 한다.

    제25조제5항 중 "영상정보처리기기운영자는 영상정보처리기기의"를 "고정형영상정보처리기기운영자는 고정형 영상정보처리기기의"로, "영상정보처리기기를"을 "고정형 영상정보처리기기를"로 하고, 같은 조 제6항 중 "영상정보처리기기운영자"를 "고정형영상정보처리기기운영자"로 하며, 같은 조 제7항 전단 중 "영상정보처리기기운영자"를 "고정형영상정보처리기기운영자"로, "영상정보처리기기 운영ㆍ관리 방침"을 "고정형 영상정보처리기기 운영ㆍ관리 방침"으로 하고, 같은 항 후단을 삭제하며, 같은 항에 단서를 다음과 같이 신설한다.
      다만, 제30조에 따른 개인정보 처리방침을 정할 때 고정형 영상정보처리기기 운영ㆍ관리에 관한 사항을 포함시킨 경우에는 고정형 영상정보처리기기 운영ㆍ관리 방침을 마련하지 아니할 수 있다.

    제25조제8항 본문 중 "영상정보처리기기운영자는 영상정보처리기기"를 "고정형영상정보처리기기운영자는 고정형 영상정보처리기기"로 하고, 같은 항 단서 중 "영상정보처리기기"를 "고정형 영상정보처리기기"로 한다.

    제25조의2를 다음과 같이 신설한다.
    제25조의2(이동형 영상정보처리기기의 운영 제한) ① 업무를 목적으로 이동형 영상정보처리기기를 운영하려는 자는 다음 각 호의 경우를 제외하고는 공개된 장소에서 이동형 영상정보처리기기로 사람 또는 그 사람과 관련된 사물의 영상(개인정보에 해당하는 경우로 한정한다. 이하 같다)을 촬영하여서는 아니 된다.
      1. 제15조제1항 각 호의 어느 하나에 해당하는 경우
      2. 촬영 사실을 명확히 표시하여 정보주체가 촬영 사실을 알 수 있도록 하였음에도 불구하고 촬영 거부 의사를 밝히지 아니한 경우. 이 경우 정보주체의 권리를 부당하게 침해할 우려가 없고 합리적인 범위를 초과하지 아니하는 경우로 한정한다.
      3. 그 밖에 제1호 및 제2호에 준하는 경우로서 대통령령으로 정하는 경우
      ② 누구든지 불특정 다수가 이용하는 목욕실, 화장실, 발한실, 탈의실 등 개인의 사생활을 현저히 침해할 우려가 있는 장소의 내부를 볼 수 있는 곳에서 이동형 영상정보처리기기로 사람 또는 그 사람과 관련된 사물의 영상을 촬영하여서는 아니 된다. 다만, 인명의 구조ㆍ구급 등을 위하여 필요한 경우로서 대통령령으로 정하는 경우에는 그러하지 아니하다.
      ③ 제1항 각 호에 해당하여 이동형 영상정보처리기기로 사람 또는 그 사람과 관련된 사물의 영상을 촬영하는 경우에는 불빛, 소리, 안내판 등 대통령령으로 정하는 바에 따라 촬영 사실을 표시하고 알려야 한다.
      ④ 제1항부터 제3항까지에서 규정한 사항 외에 이동형 영상정보처리기기의 운영에 관하여는 제25조제6항부터 제8항까지의 규정을 준용한다.

    제26조제1항 각 호 외의 부분 중 "문서에 의하여야"를 "문서로 하여야"로 하고, 같은 조 제2항 중 "이하 "수탁자"라 한다"를 "개인정보 처리 업무를 위탁받아 처리하는 자로부터 위탁받은 업무를 다시 위탁받은 제3자를 포함하며, 이하 "수탁자"라 한다"로 하며, 같은 조 제6항 및 제7항을 각각 제7항 및 제8항으로 하고, 같은 조에 제6항을 다음과 같이 신설하며, 같은 조 제8항(종전의 제7항) 중 "제15조부터 제25조까지, 제27조부터 제31조까지, 제33조부터 제38조까지 및 제59조를 준용한다"를 "제15조부터 제18조까지, 제21조, 제22조, 제22조의2, 제23조, 제24조, 제24조의2, 제25조, 제25조의2, 제27조, 제28조, 제28조의2부터 제28조의5까지, 제28조의7부터 제28조의11까지, 제29조, 제30조, 제30조의2, 제31조, 제33조, 제34조, 제34조의2, 제35조, 제35조의2, 제36조, 제37조, 제37조의2, 제38조, 제59조, 제63조, 제63조의2 및 제64조의2를 준용한다."로 하고, 같은 항에 후단을 다음과 같이 신설한다.
      ⑥ 수탁자는 위탁받은 개인정보의 처리 업무를 제3자에게 다시 위탁하려는 경우에는 위탁자의 동의를 받아야 한다.
      이 경우 "개인정보처리자"는 "수탁자"로 본다.

    제28조제1항 중 "한다)"를 "한다)의 범위를 최소한으로 제한하고, 개인정보취급자"로, "행하여야"를 "하여야"로 한다.

    제28조의4제1항 중 "개인정보처리자는"을 "개인정보처리자는 제28조의2 또는 제28조의3에 따라"로 하고, 같은 조 제2항을 제3항으로 하며, 같은 조에 제2항을 다음과 같이 신설하고, 같은 조 제3항(종전의 제2항) 중 "개인정보처리자는"을 "개인정보처리자는 제28조의2 또는 제28조의3에 따라"로, "자 등"을 "자, 가명정보의 처리 기간(제2항에 따라 처리 기간을 별도로 정한 경우에 한한다) 등"으로, "작성하여"를 "작성하여 보관하여야 하며, 가명정보를 파기한 경우에는 파기한 날부터 3년 이상"으로 한다.
      ② 개인정보처리자는 제28조의2 또는 제28조의3에 따라 가명정보를 처리하는 경우 처리목적 등을 고려하여 가명정보의 처리 기간을 별도로 정할 수 있다.

    제28조의5제1항 중 "누구든지"를 "제28조의2 또는 제28조의3에 따라 가명정보를 처리하는 자는"으로 하고, 같은 조 제2항 중 "개인정보처리자는"을 "개인정보처리자는 제28조의2 또는 제28조의3에 따라"로 한다.  

    제28조의6을 삭제한다.

    제28조의7 제목 외의 부분을 다음과 같이 한다.
      제28조의2 또는 제28조의3에 따라 처리된 가명정보는 제20조, 제20조의2, 제27조, 제34조제1항, 제35조, 제35조의2, 제36조 및 제37조를 적용하지 아니한다.

    제3장에 제4절(제28조의8부터 제28조의11까지)을 다음과 같이 신설한다.
                  제4절 개인정보의 국외 이전
    제28조의8(개인정보의 국외 이전) ① 개인정보처리자는 개인정보를 국외로 제공(조회되는 경우를 포함한다)ㆍ처리위탁ㆍ보관(이하 이 절에서 "이전"이라 한다)하여서는 아니 된다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보를 국외로 이전할 수 있다.
      1. 정보주체로부터 국외 이전에 관한 별도의 동의를 받은 경우
      2. 법률, 대한민국을 당사자로 하는 조약 또는 그 밖의 국제협정에 개인정보의 국외 이전에 관한 특별한 규정이 있는 경우
      3. 정보주체와의 계약의 체결 및 이행을 위하여 개인정보의 처리위탁ㆍ보관이 필요한 경우로서 다음 각 목의 어느 하나에 해당하는 경우
        가. 제2항 각 호의 사항을 제30조에 따른 개인정보 처리방침에 공개한 경우
        나. 전자우편 등 대통령령으로 정하는 방법에 따라 제2항 각 호의 사항을 정보주체에게 알린 경우
      4. 개인정보를 이전받는 자가 제32조의2에 따른 개인정보 보호 인증 등 보호위원회가 정하여 고시하는 인증을 받은 경우로서 다음 각 목의 조치를 모두 한 경우
        가. 개인정보 보호에 필요한 안전조치 및 정보주체 권리보장에 필요한 조치
        나. 인증받은 사항을 개인정보가 이전되는 국가에서 이행하기 위하여 필요한 조치
      5. 개인정보가 이전되는 국가 또는 국제기구의 개인정보 보호체계, 정보주체 권리보장 범위, 피해구제 절차 등이 이 법에 따른 개인정보 보호 수준과 실질적으로 동등한 수준을 갖추었다고 보호위원회가 인정하는 경우
      ② 개인정보처리자는 제1항제1호에 따른 동의를 받을 때에는 미리 다음 각 호의 사항을 정보주체에게 알려야 한다.
      1. 이전되는 개인정보 항목
      2. 개인정보가 이전되는 국가, 시기 및 방법
      3. 개인정보를 이전받는 자의 성명(법인인 경우에는 그 명칭과 연락처를 말한다)
      4. 개인정보를 이전받는 자의 개인정보 이용목적 및 보유ㆍ이용 기간
      5. 개인정보의 이전을 거부하는 방법, 절차 및 거부의 효과
      ③ 개인정보처리자는 제2항 각 호의 어느 하나에 해당하는 사항을 변경하는 경우에는 정보주체에게 알리고 동의를 받아야 한다.
      ④ 개인정보처리자는 제1항 각 호 외의 부분 단서에 따라 개인정보를 국외로 이전하는 경우 국외 이전과 관련한 이 법의 다른 규정, 제17조부터 제19조까지의 규정 및 제5장의 규정을 준수하여야 하고, 대통령령으로 정하는 보호조치를 하여야 한다.
      ⑤ 개인정보처리자는 이 법을 위반하는 사항을 내용으로 하는 개인정보의 국외 이전에 관한 계약을 체결하여서는 아니 된다.
      ⑥ 제1항부터 제5항까지에서 규정한 사항 외에 개인정보 국외 이전의 기준 및 절차 등에 필요한 사항은 대통령령으로 정한다.
    제28조의9(개인정보의 국외 이전 중지 명령) ① 보호위원회는 개인정보의 국외 이전이 계속되고 있거나 추가적인 국외 이전이 예상되는 경우로서 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보처리자에게 개인정보의 국외 이전을 중지할 것을 명할 수 있다.
      1. 제28조의8제1항, 제4항 또는 제5항을 위반한 경우
      2. 개인정보를 이전받는 자나 개인정보가 이전되는 국가 또는 국제기구가 이 법에 따른 개인정보 보호 수준에 비하여 개인정보를 적정하게 보호하지 아니하여 정보주체에게 피해가 발생하거나 발생할 우려가 현저한 경우
      ② 개인정보처리자는 제1항에 따른 국외 이전 중지 명령을 받은 경우에는 명령을 받은 날부터 7일 이내에 보호위원회에 이의를 제기할 수 있다.
      ③ 제1항에 따른 개인정보 국외 이전 중지 명령의 기준, 제2항에 따른 불복 절차 등에 필요한 사항은 대통령령으로 정한다.
    제28조의10(상호주의) 제28조의8에도 불구하고 개인정보의 국외 이전을 제한하는 국가의 개인정보처리자에 대해서는 해당 국가의 수준에 상응하는 제한을 할 수 있다. 다만, 조약 또는 그 밖의 국제협정의 이행에 필요한 경우에는 그러하지 아니하다.
    제28조의11(준용규정) 제28조의8제1항 각 호 외의 부분 단서에 따라 개인정보를 이전받은 자가 해당 개인정보를 제3국으로 이전하는 경우에 관하여는 제28조의8 및 제28조의9를 준용한다. 이 경우 "개인정보처리자"는 "개인정보를 이전받은 자"로, "개인정보를 이전받는 자"는 "제3국에서 개인정보를 이전받는 자"로 본다.

    제30조제1항에 제3호의3 및 제4호의2를 각각 다음과 같이 신설한다.
      3의3. 제23조제3항에 따른 민감정보의 공개 가능성 및 비공개를 선택하는 방법(해당되는 경우에만 정한다)
      4의2. 제28조의2 및 제28조의3에 따른 가명정보의 처리 등에 관한 사항(해당되는 경우에만 정한다)

    제30조의2를 다음과 같이 신설한다.
    제30조의2(개인정보 처리방침의 평가 및 개선권고) ① 보호위원회는 개인정보 처리방침에 관하여 다음 각 호의 사항을 평가하고, 평가 결과 개선이 필요하다고 인정하는 경우에는 개인정보처리자에게 제61조제2항에 따라 개선을 권고할 수 있다.
      1. 이 법에 따라 개인정보 처리방침에 포함하여야 할 사항을 적정하게 정하고 있는지 여부
      2. 개인정보 처리방침을 알기 쉽게 작성하였는지 여부
      3. 개인정보 처리방침을 정보주체가 쉽게 확인할 수 있는 방법으로 공개하고 있는지 여부
      ② 개인정보 처리방침의 평가 대상, 기준 및 절차 등에 필요한 사항은 대통령령으로 정한다.

    제31조의 제목 중 "지정"을 "지정 등"으로 하고, 같은 조 제1항에 단서를 다음과 같이 신설하며, 같은 조 제6항을 제9항으로 하고, 같은 조 제2항부터 제5항까지를 각각 제3항부터 제6항까지로 하며, 같은 조에 제2항을 다음과 같이 신설하고, 같은 조 제4항(종전의 제3항) 중 "제2항"을 "제3항"으로 하며, 같은 조 제6항(종전의 제5항) 중 "제2항"을 "제3항"으로, "된다"를 "되며, 개인정보 보호책임자가 업무를 독립적으로 수행할 수 있도록 보장하여야 한다"로 하고, 같은 조에 제7항 및 제8항을 각각 다음과 같이 신설하며, 같은 조 제9항(종전의 제6항)을 다음과 같이 한다.
      다만, 종업원 수, 매출액 등이 대통령령으로 정하는 기준에 해당하는 개인정보처리자의 경우에는 지정하지 아니할 수 있다.
      ② 제1항 단서에 따라 개인정보 보호책임자를 지정하지 아니하는 경우에는 개인정보처리자의 사업주 또는 대표자가 개인정보 보호책임자가 된다.
      ⑦ 개인정보처리자는 개인정보의 안전한 처리 및 보호, 정보의 교류, 그 밖에 대통령령으로 정하는 공동의 사업을 수행하기 위하여 제1항에 따른 개인정보 보호책임자를 구성원으로 하는 개인정보 보호책임자 협의회를 구성ㆍ운영할 수 있다.
      ⑧ 보호위원회는 제7항에 따른 개인정보 보호책임자 협의회의 활동에 필요한 지원을 할 수 있다.
      ⑨ 제1항에 따른 개인정보 보호책임자의 자격요건, 제3항에 따른 업무 및 제6항에 따른 독립성 보장 등에 필요한 사항은 매출액, 개인정보의 보유 규모 등을 고려하여 대통령령으로 정한다.

    제39조의11을 제31조의2로 한다.

    제31조의2(종전의 제39조의11)제1항 각 호 외의 부분 중 "정보통신서비스 제공자등으로서 이용자 수, 매출액"을 "개인정보처리자로서 매출액, 개인정보의 보유 규모"로, "기준에 해당하는 자는"을 "자는"으로, "서면으로 지정하여야"를 "지정하여야"로 하고, 같은 항 각 호 외의 부분에 후단을 다음과 같이 신설한다.
      이 경우 국내대리인의 지정은 문서로 하여야 한다.

    제31조의2(종전의 제39조의11)제1항제1호 중 "제31조에"를 "제31조제3항에"로 하고, 같은 항 제2호를 다음과 같이 하며, 같은 항 제3호 중 "관계 물품ㆍ서류 등"을 "물품ㆍ서류 등 자료"로 하고, 같은 조 제2항 중 "있는 자로"를 "있어야"로 하며, 같은 조 제3항 각 호 외의 부분 중 "제1항"을 "개인정보처리자는 제1항"으로, "지정한 때"를 "지정하는 경우"로, "사항 모두를 제30조에 따른"을 "사항을"로 하고, 같은 항 제2호 중 "영업소"를 "영업소의"로 하며, 같은 조 제4항 중 "정보통신서비스 제공자등이"를 "개인정보처리자가"로 한다.
      2. 제34조제1항 및 제3항에 따른 개인정보 유출 등의 통지 및 신고

    제32조제2항제4호를 다음과 같이 하고, 같은 조 제3항 중 "등록사항과"를 "등록여부와"로 하며, 같은 조 제4항 중 "제1항"을 "정보주체의 권리 보장 등을 위하여 필요한 경우 제1항"으로, "공개하여야 한다"를 "공개할 수 있다"로 한다.
      4. 일회적으로 운영되는 파일 등 지속적으로 관리할 필요성이 낮다고 인정되어 대통령령으로 정하는 개인정보파일

    제33조제1항 후단을 삭제하고, 같은 조 제6항부터 제8항까지를 각각 제9항부터 제11항까지로 하며, 같은 조 제2항부터 제5항까지를 각각 제3항부터 제6항까지로 하고, 같은 조에 제2항, 제7항 및 제8항을 각각 다음과 같이 신설하며, 같은 조 제9항(종전의 제6항) 중 "평가기관의 지정기준 및 지정취소, 평가기준, 영향평가의 방법ㆍ절차"를 "영향평가의 기준ㆍ방법ㆍ절차"로 한다.
      ② 보호위원회는 대통령령으로 정하는 인력ㆍ설비 및 그 밖에 필요한 요건을 갖춘 자를 영향평가를 수행하는 기관(이하 "평가기관"이라 한다)으로 지정할 수 있으며, 공공기관의 장은 영향평가를 평가기관에 의뢰하여야 한다.
      ⑦ 보호위원회는 제2항에 따라 지정된 평가기관이 다음 각 호의 어느 하나에 해당하는 경우에는 평가기관의 지정을 취소할 수 있다. 다만, 제1호 또는 제2호에 해당하는 경우에는 평가기관의 지정을 취소하여야 한다.
      1. 거짓이나 그 밖의 부정한 방법으로 지정을 받은 경우
      2. 지정된 평가기관 스스로 지정취소를 원하거나 폐업한 경우
      3. 제2항에 따른 지정요건을 충족하지 못하게 된 경우
      4. 고의 또는 중대한 과실로 영향평가업무를 부실하게 수행하여 그 업무를 적정하게 수행할 수 없다고 인정되는 경우
      5. 그 밖에 대통령령으로 정하는 사유에 해당하는 경우
      ⑧ 보호위원회는 제7항에 따라 지정을 취소하는 경우에는 「행정절차법」에 따른 청문을 실시하여야 한다.

    제34조의 제목 "(개인정보 유출 통지 등)"을 "(개인정보 유출 등의 통지ㆍ신고)"로 하고, 같은 조 제1항 각 호 외의 부분 중 "유출되었음"을 "분실ㆍ도난ㆍ유출(이하 이 조에서 "유출등"이라 한다)되었음"으로, "사실"을 "사항"으로 하며, 같은 항 각 호 외의 부분에 단서를 다음과 같이 신설한다.
      다만, 정보주체의 연락처를 알 수 없는 경우 등 정당한 사유가 있는 경우에는 대통령령으로 정하는 바에 따라 통지를 갈음하는 조치를 취할 수 있다.

    제34조제1항제1호 및 제2호 중 "유출된"을 각각 "유출등이 된"으로 하고, 같은 항 제3호 중 "유출로"를 "유출등으로"로 하며, 같은 조 제2항 중 "유출된"을 "유출등이 된"으로 하고, 같은 조 제3항 전단을 다음과 같이 한다.
      개인정보처리자는 개인정보의 유출등이 있음을 알게 되었을 때에는 개인정보의 유형, 유출등의 경로 및 규모 등을 고려하여 대통령령으로 정하는 바에 따라 제1항 각 호의 사항을 지체 없이 보호위원회 또는 대통령령으로 정하는 전문기관에 신고하여야 한다.

    제34조제4항 중 "통지의 시기, 방법 및"을 "유출등의 통지 및 제3항에 따른 유출등의 신고의 시기, 방법,"으로, "관하여 필요한"을 "필요한"으로 한다.

    제34조의2를 삭제하고, 제39조의10을 제34조의2로 한다.
    제34조의2(종전의 제39조의10)제1항 중 "정보통신서비스 제공자등은 주민등록번호"를 "개인정보처리자는 고유식별정보"로, "등 이용자의"를 "등"으로, "공중"을 "공중(公衆)"으로 하고, 같은 조 제2항 중 "제1항에도 불구하고"를 "개인정보처리자는"으로, "경우 정보통신서비스 제공자등은 삭제ㆍ차단"을 "경우에는 해당 정보를 삭제하거나 차단하는"으로, "취하여야"를 "하여야"로 한다.

    제35조의2부터 제35조의4까지를 각각 다음과 같이 신설한다.
    제35조의2(개인정보의 전송 요구) ① 정보주체는 개인정보 처리 능력 등을 고려하여 대통령령으로 정하는 기준에 해당하는 개인정보처리자에 대하여 다음 각 호의 요건을 모두 충족하는 개인정보를 자신에게로 전송할 것을 요구할 수 있다.
      1. 정보주체가 전송을 요구하는 개인정보가 정보주체 본인에 관한 개인정보로서 다음 각 목의 어느 하나에 해당하는 정보일 것
        가. 제15조제1항제1호, 제23조제1항제1호 또는 제24조제1항제1호에 따른 동의를 받아 처리되는 개인정보
        나. 제15조제1항제4호에 따라 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 처리되는 개인정보
        다. 제15조제1항제2호ㆍ제3호, 제23조제1항제2호 또는 제24조제1항제2호에 따라 처리되는 개인정보 중 정보주체의 이익이나 공익적 목적을 위하여 관계 중앙행정기관의 장의 요청에 따라 보호위원회가 심의ㆍ의결하여 전송 요구의 대상으로 지정한 개인정보
      2. 전송을 요구하는 개인정보가 개인정보처리자가 수집한 개인정보를 기초로 분석ㆍ가공하여 별도로 생성한 정보가 아닐 것
      3. 전송을 요구하는 개인정보가 컴퓨터 등 정보처리장치로 처리되는 개인정보일 것
      ② 정보주체는 매출액, 개인정보의 보유 규모, 개인정보 처리 능력, 산업별 특성 등을 고려하여 대통령령으로 정하는 기준에 해당하는 개인정보처리자에 대하여 제1항에 따른 전송 요구 대상인 개인정보를 기술적으로 허용되는 합리적인 범위에서 다음 각 호의 자에게 전송할 것을 요구할 수 있다.
      1. 제35조의3제1항에 따른 개인정보관리 전문기관
      2. 제29조에 따른 안전조치의무를 이행하고 대통령령으로 정하는 시설 및 기술 기준을 충족하는 자
      ③ 개인정보처리자는 제1항 및 제2항에 따른 전송 요구를 받은 경우에는 시간, 비용, 기술적으로 허용되는 합리적인 범위에서 해당 정보를 컴퓨터 등 정보처리장치로 처리 가능한 형태로 전송하여야 한다.
      ④ 제1항 및 제2항에 따른 전송 요구를 받은 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 법률의 관련 규정에도 불구하고 정보주체에 관한 개인정보를 전송하여야 한다.
      1. 「국세기본법」 제81조의13
      2. 「지방세기본법」 제86조
      3. 그 밖에 제1호 및 제2호와 유사한 규정으로서 대통령령으로 정하는 법률의 규정
      ⑤ 정보주체는 제1항 및 제2항에 따른 전송 요구를 철회할 수 있다.
      ⑥ 개인정보처리자는 정보주체의 본인 여부가 확인되지 아니하는 경우 등 대통령령으로 정하는 경우에는 제1항 및 제2항에 따른 전송 요구를 거절하거나 전송을 중단할 수 있다.
      ⑦ 정보주체는 제1항 및 제2항에 따른 전송 요구로 인하여 타인의 권리나 정당한 이익을 침해하여서는 아니 된다.
      ⑧ 제1항부터 제7항까지에서 규정한 사항 외에 전송 요구의 대상이 되는 정보의 범위, 전송 요구의 방법, 전송의 기한 및 방법, 전송 요구 철회의 방법, 전송 요구의 거절 및 전송 중단의 방법 등 필요한 사항은 대통령령으로 정한다.
    제35조의3(개인정보관리 전문기관) ① 다음 각 호의 업무를 수행하려는 자는 보호위원회 또는 관계 중앙행정기관의 장으로부터 개인정보관리 전문기관의 지정을 받아야 한다.
      1. 제35조의2에 따른 개인정보의 전송 요구권 행사 지원
      2. 정보주체의 권리행사를 지원하기 위한 개인정보 전송시스템의 구축 및 표준화
      3. 정보주체의 권리행사를 지원하기 위한 개인정보의 관리ㆍ분석
      4. 그 밖에 정보주체의 권리행사를 효과적으로 지원하기 위하여 대통령령으로 정하는 업무
      ② 제1항에 따른 개인정보관리 전문기관의 지정요건은 다음 각 호와 같다.
      1. 개인정보를 전송ㆍ관리ㆍ분석할 수 있는 기술수준 및 전문성을 갖추었을 것
      2. 개인정보를 안전하게 관리할 수 있는 안전성 확보조치 수준을 갖추었을 것
      3. 개인정보관리 전문기관의 안정적인 운영에 필요한 재정능력을 갖추었을 것
      ③ 개인정보관리 전문기관은 다음 각 호의 어느 하나에 해당하는 행위를 하여서는 아니 된다.
      1. 정보주체에게 개인정보의 전송 요구를 강요하거나 부당하게 유도하는 행위
      2. 그 밖에 개인정보를 침해하거나 정보주체의 권리를 제한할 우려가 있는 행위로서 대통령령으로 정하는 행위
      ④ 보호위원회 및 관계 중앙행정기관의 장은 개인정보관리 전문기관이 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보관리 전문기관의 지정을 취소할 수 있다. 다만, 제1호에 해당하는 경우에는 지정을 취소하여야 한다.
      1. 거짓이나 부정한 방법으로 지정을 받은 경우
      2. 제2항에 따른 지정요건을 갖추지 못하게 된 경우
      ⑤ 보호위원회 및 관계 중앙행정기관의 장은 제4항에 따라 지정을 취소하는 경우에는 「행정절차법」에 따른 청문을 실시하여야 한다.
      ⑥ 보호위원회 및 관계 중앙행정기관의 장은 개인정보관리 전문기관에 대하여 업무 수행에 필요한 지원을 할 수 있다.
      ⑦ 개인정보관리 전문기관은 정보주체의 요구에 따라 제1항 각 호의 업무를 수행하는 경우 정보주체로부터 그 업무 수행에 필요한 비용을 받을 수 있다.
      ⑧ 제1항에 따른 개인정보관리 전문기관의 지정 절차, 제2항에 따른 지정요건의 세부기준, 제4항에 따른 지정취소의 절차 등에 필요한 사항은 대통령령으로 정한다.
    제35조의4(개인정보 전송 관리 및 지원) ① 보호위원회는 제35조의2제1항 및 제2항에 따른 개인정보처리자 및 제35조의3제1항에 따른 개인정보관리 전문기관 현황, 활용내역 및 관리실태 등을 체계적으로 관리ㆍ감독하여야 한다.
      ② 보호위원회는 개인정보가 안전하고 효율적으로 전송될 수 있도록 다음 각 호의 사항을 포함한 개인정보 전송 지원 플랫폼을 구축ㆍ운영할 수 있다.
      1. 개인정보관리 전문기관 현황 및 전송 가능한 개인정보 항목 목록
      2. 정보주체의 개인정보 전송 요구ㆍ철회 내역
      3. 개인정보의 전송 이력 관리 등 지원 기능
      4. 그 밖에 개인정보 전송을 위하여 필요한 사항
      ③ 보호위원회는 제2항에 따른 개인정보 전송지원 플랫폼의 효율적 운영을 위하여 개인정보관리 전문기관에서 구축ㆍ운영하고 있는 전송 시스템을 상호 연계하거나 통합할 수 있다. 이 경우 관계 중앙행정기관의 장 및 해당 개인정보관리 전문기관과 사전에 협의하여야 한다.
      ④ 제1항부터 제3항까지의 규정에 따른 관리ㆍ감독과 개인정보 전송지원 플랫폼의 구축 및 운영에 필요한 사항은 대통령령으로 정한다.

    제37조제1항 전단 중 "요구할"을 "요구하거나 개인정보 처리에 대한 동의를 철회할"로 하고, 같은 항 후단 중 "대하여는"을 "대해서는"으로, "요구할"을 "요구하거나 개인정보 처리에 대한 동의를 철회할"로 하며, 같은 조 제2항 각 호 외의 부분 본문 중 "따른"을 "따른 처리정지"로 하고, 같은 조 제3항부터 제5항까지를 각각 제4항부터 제6항까지로 하며, 같은 조에 제3항을 다음과 같이 신설하고, 같은 조 제4항(종전의 제3항) 중 "거절하였을"을 "거절하거나 제3항 단서에 따라 동의 철회에 따른 조치를 하지 아니하였을"로 하며, 같은 조 제6항(종전의 제5항) 중 "제3항"을 "제5항"으로, "요구"를 "요구, 동의 철회"로 한다.
      ③ 개인정보처리자는 정보주체가 제1항에 따라 동의를 철회한 때에는 지체 없이 수집된 개인정보를 복구ㆍ재생할 수 없도록 파기하는 등 필요한 조치를 하여야 한다. 다만, 제2항 각 호의 어느 하나에 해당하는 경우에는 동의 철회에 따른 조치를 하지 아니할 수 있다.

    제37조의2를 다음과 같이 신설한다.
    제37조의2(자동화된 결정에 대한 정보주체의 권리 등) ① 정보주체는 완전히 자동화된 시스템(인공지능 기술을 적용한 시스템을 포함한다)으로 개인정보를 처리하여 이루어지는 결정(「행정기본법」 제20조에 따른 행정청의 자동적 처분은 제외하며, 이하 이 조에서 "자동화된 결정"이라 한다)이 자신의 권리 또는 의무에 중대한 영향을 미치는 경우에는 해당 개인정보처리자에 대하여 해당 결정을 거부할 수 있는 권리를 가진다. 다만, 자동화된 결정이 제15조제1항제1호ㆍ제2호 및 제4호에 따라 이루어지는 경우에는 그러하지 아니하다.
      ② 정보주체는 개인정보처리자가 자동화된 결정을 한 경우에는 그 결정에 대하여 설명 등을 요구할 수 있다.
      ③ 개인정보처리자는 제1항 또는 제2항에 따라 정보주체가 자동화된 결정을 거부하거나 이에 대한 설명 등을 요구한 경우에는 정당한 사유가 없는 한 자동화된 결정을 적용하지 아니하거나 인적 개입에 의한 재처리ㆍ설명 등 필요한 조치를 하여야 한다.
      ④ 개인정보처리자는 자동화된 결정의 기준과 절차, 개인정보가 처리되는 방식 등을 정보주체가 쉽게 확인할 수 있도록 공개하여야 한다.
      ⑤ 제1항부터 제4항까지에서 규정한 사항 외에 자동화된 결정의 거부ㆍ설명 등을 요구하는 절차 및 방법, 거부ㆍ설명 등의 요구에 따른 필요한 조치, 자동화된 결정의 기준ㆍ절차 및 개인정보가 처리되는 방식의 공개 등에 필요한 사항은 대통령령으로 정한다.

    제38조제1항 중 "따른 열람"을 "따른 열람, 제35조의2에 따른 전송"으로, "처리정지, 제39조의7에 따른 동의 철회"를 "처리정지 및 동의 철회, 제37조의2에 따른 거부ㆍ설명"으로 하고, 같은 조 제3항에 단서를 다음과 같이 신설한다.
      다만, 제35조의2제2항에 따른 전송 요구의 경우에는 전송을 위해 추가로 필요한 설비 등을 함께 고려하여 수수료를 산정할 수 있다.

    제38조제4항에 후단을 다음과 같이 신설한다.
      이 경우 열람등요구의 방법과 절차는 해당 개인정보의 수집 방법과 절차보다 어렵지 아니하도록 하여야 한다.

    제39조제3항 본문 중 "3배"를 "5배"로 한다.

    제39조의3 앞의 "제6장 정보통신서비스 제공자 등의 개인정보 처리 등 특례"를 삭제한다.

    제39조의3부터 제39조의6까지를 각각 다음과 같이 하고, 제39조의7 및 제39조의8을 각각 삭제한다.
    제39조의3(자료의 제출) ① 법원은 이 법을 위반한 행위로 인한 손해배상청구소송에서 당사자의 신청에 따라 상대방 당사자에게 해당 손해의 증명 또는 손해액의 산정에 필요한 자료의 제출을 명할 수 있다. 다만, 제출명령을 받은 자가 그 자료의 제출을 거부할 정당한 이유가 있으면 그러하지 아니하다.
      ② 법원은 제1항에 따른 제출명령을 받은 자가 그 자료의 제출을 거부할 정당한 이유가 있다고 주장하는 경우에는 그 주장의 당부(當否)를 판단하기 위하여 자료의 제시를 명할 수 있다. 이 경우 법원은 그 자료를 다른 사람이 보게 하여서는 아니 된다.
      ③ 제1항에 따라 제출되어야 할 자료가 「부정경쟁방지 및 영업비밀보호에 관한 법률」 제2조제2호에 따른 영업비밀(이하 "영업비밀"이라 한다)에 해당하나 손해의 증명 또는 손해액의 산정에 반드시 필요한 경우에는 제1항 단서에 따른 정당한 이유로 보지 아니한다. 이 경우 법원은 제출명령의 목적 내에서 열람할 수 있는 범위 또는 열람할 수 있는 사람을 지정하여야 한다.
      ④ 법원은 제1항에 따른 제출명령을 받은 자가 정당한 이유 없이 그 명령에 따르지 아니한 경우에는 자료의 기재에 대한 신청인의 주장을 진실한 것으로 인정할 수 있다.
      ⑤ 법원은 제4항에 해당하는 경우 신청인이 자료의 기재에 관하여 구체적으로 주장하기에 현저히 곤란한 사정이 있고 자료로 증명할 사실을 다른 증거로 증명하는 것을 기대하기도 어려운 경우에는 신청인이 자료의 기재로 증명하려는 사실에 관한 주장을 진실한 것으로 인정할 수 있다.
    제39조의4(비밀유지명령) ① 법원은 이 법을 위반한 행위로 인한 손해배상청구소송에서 당사자의 신청에 따른 결정으로 다음 각 호의 자에게 그 당사자가 보유한 영업비밀을 해당 소송의 계속적인 수행 외의 목적으로 사용하거나 그 영업비밀에 관계된 이 항에 따른 명령을 받은 자 외의 자에게 공개하지 아니할 것을 명할 수 있다. 다만, 그 신청 시점까지 다음 각 호의 자가 준비서면의 열람이나 증거조사 외의 방법으로 그 영업비밀을 이미 취득하고 있는 경우에는 그러하지 아니하다.
      1. 다른 당사자(법인인 경우에는 그 대표자를 말한다)
      2. 당사자를 위하여 해당 소송을 대리하는 자
      3. 그 밖에 해당 소송으로 영업비밀을 알게 된 자
      ② 제1항에 따른 명령(이하 "비밀유지명령"이라 한다)을 신청하는 자는 다음 각 호의 사유를 모두 소명하여야 한다.
      1. 이미 제출하였거나 제출하여야 할 준비서면, 이미 조사하였거나 조사하여야 할 증거 또는 제39조의3제1항에 따라 제출하였거나 제출하여야 할 자료에 영업비밀이 포함되어 있다는 것
      2. 제1호의 영업비밀이 해당 소송 수행 외의 목적으로 사용되거나 공개되면 당사자의 영업에 지장을 줄 우려가 있어 이를 방지하기 위하여 영업비밀의 사용 또는 공개를 제한할 필요가 있다는 것
      ③ 비밀유지명령의 신청은 다음 각 호의 사항을 적은 서면으로 하여야 한다.
      1. 비밀유지명령을 받을 자
      2. 비밀유지명령의 대상이 될 영업비밀을 특정하기에 충분한 사실
      3. 제2항 각 호의 사유에 해당하는 사실
      ④ 법원은 비밀유지명령이 결정된 경우에는 그 결정서를 비밀유지명령을 받을 자에게 송달하여야 한다.
      ⑤ 비밀유지명령은 제4항의 결정서가 비밀유지명령을 받을 자에게 송달된 때부터 효력이 발생한다.
      ⑥ 비밀유지명령의 신청을 기각하거나 각하한 재판에 대해서는 즉시항고를 할 수 있다.
    제39조의5(비밀유지명령의 취소) ① 비밀유지명령을 신청한 자 또는 비밀유지명령을 받은 자는 제39조의4제2항 각 호의 사유에 부합하지 아니하는 사실이나 사정이 있는 경우 소송기록을 보관하고 있는 법원(소송기록을 보관하고 있는 법원이 없는 경우에는 비밀유지명령을 내린 법원을 말한다)에 비밀유지명령의 취소를 신청할 수 있다.
      ② 법원은 비밀유지명령의 취소신청에 대한 재판이 있는 경우에는 그 결정서를 그 신청을 한 자 및 상대방에게 송달하여야 한다.
      ③ 비밀유지명령의 취소신청에 대한 재판에 대해서는 즉시항고를 할 수 있다.
      ④ 비밀유지명령을 취소하는 재판은 확정되어야 효력이 발생한다.
      ⑤ 비밀유지명령을 취소하는 재판을 한 법원은 비밀유지명령의 취소신청을 한 자 또는 상대방 외에 해당 영업비밀에 관한 비밀유지명령을 받은 자가 있는 경우에는 그 자에게 즉시 비밀유지명령의 취소 재판을 한 사실을 알려야 한다.
    제39조의6(소송기록 열람 등의 청구 통지 등) ① 비밀유지명령이 내려진 소송(모든 비밀유지명령이 취소된 소송은 제외한다)에 관한 소송기록에 대하여 「민사소송법」 제163조제1항에 따라 열람 등의 신청인을 당사자로 제한하는 결정이 있었던 경우로서 당사자가 같은 항에서 규정하는 비밀 기재부분의 열람 등의 청구를 하였으나 그 청구 절차를 해당 소송에서 비밀유지명령을 받지 아니한 자가 밟은 경우에는 법원서기관, 법원사무관, 법원주사 또는 법원주사보(이하 이 조에서 "법원사무관등"이라 한다)는 같은 항의 신청을 한 당사자(그 열람 등의 청구를 한 자는 제외한다. 이하 제3항에서 같다)에게 그 청구 직후에 그 열람 등의 청구가 있었다는 사실을 알려야 한다.
      ② 법원사무관등은 제1항의 청구가 있었던 날부터 2주일이 지날 때까지(그 청구 절차를 밟은 자에 대한 비밀유지명령 신청이 그 기간 내에 이루어진 경우에는 그 신청에 대한 재판이 확정되는 시점까지를 말한다) 그 청구 절차를 밟은 자에게 제1항의 비밀 기재부분의 열람 등을 하게 하여서는 아니 된다.
      ③ 제2항은 제1항의 열람 등의 청구를 한 자에게 제1항의 비밀 기재부분의 열람 등을 하게 하는 것에 대하여 「민사소송법」 제163조제1항의 신청을 한 당사자 모두가 동의하는 경우에는 적용되지 아니한다.

    제39조의9를 제39조의7로 한다.

    제39조의7(종전의 제39조의9)제1항 중 "정보통신서비스 제공자등은"을 "개인정보처리자로서 매출액, 개인정보의 보유 규모 등을 고려하여 대통령령으로 정하는 기준에 해당하는 자는"으로 하고, 같은 조 제2항을 다음과 같이 하며, 같은 조에 제3항을 다음과 같이 신설한다.
      ② 제1항에도 불구하고 다음 각 호의 어느 하나에 해당하는 자는 제1항에 따른 조치를 하지 아니할 수 있다.
      1. 대통령령으로 정하는 공공기관, 비영리법인 및 단체
      2. 「소상공인기본법」 제2조제1항에 따른 소상공인으로서 대통령령으로 정하는 자에게 개인정보 처리를 위탁한 자
      3. 다른 법률에 따라 제39조 및 제39조의2에 따른 손해배상책임의 이행을 보장하는 보험 또는 공제에 가입하거나 준비금을 적립한 개인정보처리자
      ③ 제1항 및 제2항에 따른 개인정보처리자의 손해배상책임 이행 기준 등에 필요한 사항은 대통령령으로 정한다.

    제39조의12부터 제39조의15까지를 각각 삭제한다.

    제40조제2항 중 "20명"을 "30명"으로 한다.

    제43조제3항 중 "공공기관이"를 "개인정보처리자가"로 한다.

    제45조의 제목 "(자료의 요청 등)"을 "(자료의 요청 및 사실조사 등)"으로 하고, 같은 조 제2항을 제5항으로 하며, 같은 조에 제2항부터 제4항까지를 각각 다음과 같이 신설한다.
      ② 분쟁조정위원회는 분쟁의 조정을 위하여 사실 확인이 필요한 경우에는 분쟁조정위원회의 위원 또는 대통령령으로 정하는 사무기구의 소속 공무원으로 하여금 사건과 관련된 장소에 출입하여 관련 자료를 조사하거나 열람하게 할 수 있다. 이 경우 분쟁당사자는 해당 조사ㆍ열람을 거부할 정당한 사유가 있을 때에는 그 사유를 소명하고 조사ㆍ열람에 따르지 아니할 수 있다.
      ③ 제2항에 따른 조사ㆍ열람을 하는 위원 또는 공무원은 그 권한을 표시하는 증표를 지니고 이를 관계인에게 내보여야 한다.
      ④ 분쟁조정위원회는 분쟁의 조정을 위하여 필요하다고 인정하면 관계 기관 등에 자료 또는 의견의 제출 등 필요한 협조를 요청할 수 있다.

    제45조의2를 다음과 같이 신설한다.
    제45조의2(진술의 원용 제한) 조정절차에서의 의견과 진술은 소송(해당 조정에 대한 준재심은 제외한다)에서 원용(援用)하지 못한다.

    제47조제3항 중 "제1항"을 "제2항"으로, "거부한"을 "수락한"으로 하고, 같은 조 제4항 중 "경우"를 "경우(제3항에 따라 수락한 것으로 보는 경우를 포함한다)"로, "기명날인"을 "기명날인 또는 서명을 한 후 조정서 정본을 지체 없이 각 당사자 또는 그 대리인에게 송달"로 하며, 같은 항에 단서를 다음과 같이 신설한다.
      다만, 제3항에 따라 수락한 것으로 보는 경우에는 각 당사자의 기명날인 및 서명을 생략할 수 있다.

    제7장에 제50조의2를 다음과 같이 신설한다.
    제50조의2(개선의견의 통보) 분쟁조정위원회는 소관 업무 수행과 관련하여 개인정보 보호 및 정보주체의 권리 보호를 위한 개선의견을 보호위원회 및 관계 중앙행정기관의 장에게 통보할 수 있다.

    제58조제1항 각 호 외의 부분 중 "제7장"을 "제8장"으로 하고, 같은 항 제1호 및 제3호를 각각 삭제하며, 같은 조 제2항 중 "영상정보처리기기"를 "고정형 영상정보처리기기"로, "대하여는 제15조, 제22조"를 "대해서는 제15조, 제22조, 제22조의2"로 한다.

    제59조제3호 중 "훼손"을 "이용, 훼손"으로 한다.

    제60조제1호의2, 제2호 및 제3호를 각각 제3호, 제4호 및 제6호로 하고, 같은 조에 제2호 및 제5호를 각각 다음과 같이 신설한다.
      2. 제28조의3에 따른 전문기관의 지정 업무 및 전문기관의 업무
      5. 제35조의3에 따른 개인정보관리 전문기관의 지정 업무 및 개인정보관리 전문기관의 업무

    제63조제3항부터 제5항까지를 각각 다음과 같이 하고, 같은 조 제6항 및 제7항을 각각 삭제하며, 같은 조 제8항 및 제9항을 각각 제6항 및 제7항으로 하고, 같은 조 제6항 및 제7항(종전의 제8항 및 제9항) 중 "보호위원회와 관계 중앙행정기관의 장은"을 각각 "보호위원회는"으로 한다.
      ③ 보호위원회는 이 법 등 개인정보 보호와 관련된 법규의 위반행위로 인하여 중대한 개인정보 침해사고가 발생한 경우 신속하고 효과적인 대응을 위하여 다음 각 호의 어느 하나에 해당하는 관계 기관의 장에게 협조를 요청할 수 있다.
      1. 중앙행정기관
      2. 지방자치단체
      3. 그 밖에 법령 또는 자치법규에 따라 행정권한을 가지고 있거나 위임 또는 위탁받은 공공기관
      ④ 제3항에 따라 협조를 요청받은 관계 기관의 장은 특별한 사정이 없으면 이에 따라야 한다.
      ⑤ 제1항 및 제2항에 따른 자료제출 요구, 검사 절차 및 방법 등에 관하여 필요한 사항은 보호위원회가 정하여 고시할 수 있다.

    제63조의2를 다음과 같이 신설한다.
    제63조의2(사전 실태점검) ① 보호위원회는 제63조제1항 각 호에 해당하지 아니하는 경우로서 개인정보 침해사고 발생의 위험성이 높고 개인정보 보호의 취약점을 사전에 점검할 필요성이 인정되는 개인정보처리자에 대하여 개인정보 보호실태를 점검할 수 있다.
      ② 보호위원회는 제1항에 따른 실태점검을 실시하여 이 법을 위반하는 사항을 발견한 경우 해당 개인정보처리자에 대하여 시정방안을 정하여 이에 따를 것을 권고할 수 있다.
      ③ 제2항에 따른 시정권고를 받은 개인정보처리자는 이를 통보받은 날부터 10일 이내에 해당 권고를 수락하는지 여부에 관하여 보호위원회에 통지하여야 하며, 그 이행 결과를 보호위원회가 고시로 정하는 바에 따라 보호위원회에 알려야 한다.
      ④ 제2항에 따른 시정권고를 받은 자가 해당 권고를 수락한 때에는 제64조제1항에 따른 시정조치 명령(중앙행정기관, 지방자치단체, 국회, 법원, 헌법재판소, 중앙선거관리위원회의 경우에는 제64조제3항에 따른 권고를 말한다)을 받은 것으로 본다.
      ⑤ 보호위원회는 제2항에 따른 시정권고를 받은 자가 해당 권고를 수락하지 아니하거나 이행하지 아니한 경우 제63조제2항에 따른 검사를 할 수 있다.
      ⑥ 보호위원회는 관계 중앙행정기관의 장과 합동으로 제1항에 따른 개인정보 보호실태를 점검할 수 있다.

    제64조제1항 각 호 외의 부분 중 "보호위원회는 개인정보가 침해되었다고 판단할 상당한 근거가 있고 이를 방치할 경우 회복하기 어려운 피해가 발생할 우려가 있다고 인정되면"을 "보호위원회는"으로 하고, 같은 조 제2항을 삭제하며, 같은 조 제3항 및 제4항을 각각 제2항 및 제3항으로 한다.

    제64조의2를 다음과 같이 신설한다.
    제64조의2(과징금의 부과) ① 보호위원회는 다음 각 호의 어느 하나에 해당하는 경우에는 해당 개인정보처리자에게 전체 매출액의 100분의 3을 초과하지 아니하는 범위에서 과징금을 부과할 수 있다. 다만, 매출액이 없거나 매출액의 산정이 곤란한 경우로서 대통령령으로 정하는 경우에는 20억원을 초과하지 아니하는 범위에서 과징금을 부과할 수 있다.
      1. 제15조제1항, 제17조제1항, 제18조제1항ㆍ제2항(제26조제8항에 따라 준용되는 경우를 포함한다) 또는 제19조를 위반하여 개인정보를 처리한 경우
      2. 제22조의2제1항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 법정대리인의 동의를 받지 아니하고 만 14세 미만인 아동의 개인정보를 처리한 경우
      3. 제23조제1항제1호(제26조제8항에 따라 준용되는 경우를 포함한다)를 위반하여 정보주체의 동의를 받지 아니하고 민감정보를 처리한 경우
      4. 제24조제1항ㆍ제24조의2제1항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 고유식별정보 또는 주민등록번호를 처리한 경우
      5. 제26조제4항에 따른 관리ㆍ감독 또는 교육을 소홀히 하여 수탁자가 이 법의 규정을 위반한 경우
      6. 제28조의5제1항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 특정 개인을 알아보기 위한 목적으로 정보를 처리한 경우
      7. 제28조의8제1항(제26조제8항 및 제28조의11에 따라 준용되는 경우를 포함한다)을 위반하여 개인정보를 국외로 이전한 경우
      8. 제28조의9제1항(제26조제8항 및 제28조의11에 따라 준용되는 경우를 포함한다)을 위반하여 국외 이전 중지 명령을 따르지 아니한 경우
      9. 개인정보처리자가 처리하는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조ㆍ훼손된 경우. 다만, 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조ㆍ훼손되지 아니하도록 개인정보처리자가 제29조(제26조제8항에 따라 준용되는 경우를 포함한다)에 따른 안전성 확보에 필요한 조치를 다한 경우에는 그러하지 아니하다.
      ② 보호위원회는 제1항에 따른 과징금을 부과하려는 경우 전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 매출액을 기준으로 과징금을 산정한다.
      ③ 보호위원회는 제1항에 따른 과징금을 부과하려는 경우 개인정보처리자가 정당한 사유 없이 매출액 산정자료의 제출을 거부하거나 거짓의 자료를 제출한 경우에는 해당 개인정보처리자의 전체 매출액을 기준으로 산정하되 해당 개인정보처리자 및 비슷한 규모의 개인정보처리자의 개인정보 보유 규모, 재무제표 등 회계자료, 상품ㆍ용역의 가격 등 영업현황 자료에 근거하여 매출액을 추정할 수 있다.
      ④ 보호위원회는 제1항에 따른 과징금을 부과하는 경우에는 위반행위에 상응하는 비례성과 침해 예방에 대한 효과성이 확보될 수 있도록 다음 각 호의 사항을 고려하여야 한다.
      1. 위반행위의 내용 및 정도
      2. 위반행위의 기간 및 횟수
      3. 위반행위로 인하여 취득한 이익의 규모
      4. 암호화 등 안전성 확보 조치 이행 노력
      5. 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조ㆍ훼손된 경우 위반행위와의 관련성 및 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조ㆍ훼손의 규모
      6. 위반행위로 인한 피해의 회복 및 피해 확산 방지 조치의 이행 여부
      7. 개인정보처리자의 업무 형태 및 규모
      8. 개인정보처리자가 처리하는 개인정보의 유형과 정보주체에게 미치는 영향
      9. 위반행위로 인한 정보주체의 피해 규모
      10. 개인정보 보호 인증, 자율적인 보호 활동 등 개인정보 보호를 위한 노력
      11. 보호위원회와의 협조 등 위반행위를 시정하기 위한 조치 여부
      ⑤ 보호위원회는 다음 각 호의 어느 하나에 해당하는 사유가 있는 경우에는 과징금을 부과하지 아니할 수 있다.
      1. 지급불능ㆍ지급정지 또는 자본잠식 등의 사유로 객관적으로 과징금을 낼 능력이 없다고 인정되는 경우
      2. 본인의 행위가 위법하지 아니한 것으로 잘못 인식할 만한 정당한 사유가 있는 경우
      3. 위반행위의 내용ㆍ정도가 경미하거나 산정된 과징금이 소액인 경우
      4. 그 밖에 정보주체에게 피해가 발생하지 아니하였거나 경미한 경우로서 대통령령으로 정하는 사유가 있는 경우
      ⑥ 제1항에 따른 과징금은 제2항부터 제5항까지를 고려하여 산정하되, 구체적인 산정기준과 산정절차는 대통령령으로 정한다.
      ⑦ 보호위원회는 제1항에 따른 과징금을 내야 할 자가 납부기한까지 이를 내지 아니하면 납부기한의 다음 날부터 내지 아니한 과징금의 연 100분의 6에 해당하는 가산금을 징수한다. 이 경우 가산금을 징수하는 기간은 60개월을 초과하지 못한다.
      ⑧ 보호위원회는 제1항에 따른 과징금을 내야 할 자가 납부기한까지 내지 아니한 경우에는 기간을 정하여 독촉하고, 독촉으로 지정한 기간 내에 과징금과 제7항에 따른 가산금을 내지 아니하면 국세강제징수의 예에 따라 징수한다.
      ⑨ 보호위원회는 법원의 판결 등의 사유로 제1항에 따라 부과된 과징금을 환급하는 경우에는 과징금을 낸 날부터 환급하는 날까지의 기간에 대하여 금융회사 등의 예금이자율 등을 고려하여 대통령령으로 정하는 이자율을 적용하여 계산한 환급가산금을 지급하여야 한다.
      ⑩ 보호위원회는 제9항에도 불구하고 법원의 판결에 따라 과징금 부과처분이 취소되어 그 판결이유에 따라 새로운 과징금을 부과하는 경우에는 당초 납부한 과징금에서 새로 부과하기로 결정한 과징금을 공제한 나머지 금액에 대해서만 환급가산금을 계산하여 지급한다.

    제66조제1항 중 "명령"을 "명령, 제64조의2에 따른 과징금의 부과"로 하고, 같은 조 제2항을 다음과 같이 하며, 같은 조 제3항 중 "공표"를 "개선권고 사실 등의 공표 및 공표명령"으로 한다.
      ② 보호위원회는 제61조에 따른 개선권고, 제64조에 따른 시정조치 명령, 제64조의2에 따른 과징금의 부과, 제65조에 따른 고발 또는 징계권고 및 제75조에 따른 과태료 부과처분 등을 한 경우에는 처분 등을 받은 자에게 해당 처분 등을 받았다는 사실을 공표할 것을 명할 수 있다.

    제67조제2항제2호 중 "실태조사"를 "실태조사 및 개인정보 보호수준 평가"로 한다.

    제71조제1호 중 "제1호"를 "제1호(제26조제8항에 따라 준용되는 경우를 포함한다)"로, "알고"를 "알면서도"로 하고, 같은 조 제2호 중 "제18조제1항ㆍ제2항(제39조의14에 따라 준용되는 경우를 포함한다), 제19조, 제26조제5항, 제27조제3항 또는 제28조의2를"을 "제18조제1항ㆍ제2항, 제27조제3항 또는 제28조의2(제26조제8항에 따라 준용되는 경우를 포함한다), 제19조 또는 제26조제5항을"로 하며, 같은 조 제5호 및 제6호를 각각 제9호 및 제10호로 하고, 같은 조 제3호 및 제4호를 각각 제4호 및 제5호로 하며, 같은 조에 제3호를 다음과 같이 신설하고, 같은 조 제4호(종전의 제3호) 중 "제23조제1항"을 "제23조제1항(제26조제8항에 따라 준용되는 경우를 포함한다)"으로 하며, 같은 조 제5호(종전의 제4호) 중 "제24조제1항"을 "제24조제1항(제26조제8항에 따라 준용되는 경우를 포함한다)"으로 하고, 같은 조 제4호의2를 삭제하며, 같은 조에 제6호 및 제7호를 각각 다음과 같이 신설하고, 같은 조 제4호의3을 제8호로 하며, 같은 조 제8호(종전의 제4호의3) 중 "제28조의5제1항"을 "제28조의5제1항(제26조제8항에 따라 준용되는 경우를 포함한다)"으로 하고, 같은 조 제4호의4부터 제4호의6까지를 각각 삭제하며, 같은 조 제10호(종전의 제6호) 중 "훼손"을 "이용, 훼손"으로 한다.
      3. 제22조의2제1항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 법정대리인의 동의를 받지 아니하고 만 14세 미만인 아동의 개인정보를 처리한 자
      6. 제28조의3제1항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 보호위원회 또는 관계 중앙행정기관의 장으로부터 전문기관으로 지정받지 아니하고 가명정보를 결합한 자
      7. 제28조의3제2항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 전문기관의 장의 승인을 받지 아니하고 결합을 수행한 기관 외부로 결합된 정보를 반출하거나 이를 제3자에게 제공한 자 및 그 사정을 알면서도 영리 또는 부정한 목적으로 결합된 정보를 제공받은 자

    제72조제1호 중 "제25조제5항을 위반하여 영상정보처리기기"를 "제25조제5항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 고정형 영상정보처리기기"로, "영상정보처리기기를"을 "고정형 영상정보처리기기를"로 한다.

    제73조를 다음과 같이 한다.
    제73조(벌칙) ① 다음 각 호의 어느 하나에 해당하는 자는 2년 이하의 징역 또는 2천만원 이하의 벌금에 처한다.
      1. 제36조제2항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 정정ㆍ삭제 등 필요한 조치를 하지 아니하고 개인정보를 계속 이용하거나 이를 제3자에게 제공한 자
      2. 제37조제2항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 개인정보의 처리를 정지하지 아니하고 개인정보를 계속 이용하거나 제3자에게 제공한 자
      3. 국내외에서 정당한 이유 없이 제39조의4에 따른 비밀유지명령을 위반한 자  
      4. 제63조제1항(제26조제8항에 따라 준용되는 경우를 포함한다)에 따른 자료제출 요구에 대하여 법 위반사항을 은폐 또는 축소할 목적으로 자료제출을 거부하거나 거짓의 자료를 제출한 자
      5. 제63조제2항(제26조제8항에 따라 준용되는 경우를 포함한다)에 따른 출입ㆍ검사 시 자료의 은닉ㆍ폐기, 접근 거부 또는 위조ㆍ변조 등을 통하여 조사를 거부ㆍ방해 또는 기피한 자  
      ② 제1항제3호의 죄는 비밀유지명령을 신청한 자의 고소가 없으면 공소를 제기할 수 없다.

    제75조를 다음과 같이 한다.
    제75조(과태료) ① 다음 각 호의 어느 하나에 해당하는 자에게는 5천만원 이하의 과태료를 부과한다.
      1. 제25조제2항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 고정형 영상정보처리기기를 설치ㆍ운영한 자
      2. 제25조의2제2항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 이동형 영상정보처리기기로 사람 또는 그 사람과 관련된 사물의 영상을 촬영한 자
      ② 다음 각 호의 어느 하나에 해당하는 자에게는 3천만원 이하의 과태료를 부과한다.
      1. 제16조제3항ㆍ제22조제5항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 재화 또는 서비스의 제공을 거부한 자
      2. 제20조제1항ㆍ제2항을 위반하여 정보주체에게 같은 조 제1항 각 호의 사실을 알리지 아니한 자
      3. 제20조의2제1항을 위반하여 개인정보의 이용ㆍ제공 내역이나 이용ㆍ제공 내역을 확인할 수 있는 정보시스템에 접속하는 방법을 통지하지 아니한 자
      4. 제21조제1항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 개인정보의 파기 등 필요한 조치를 하지 아니한 자
      5. 제23조제2항ㆍ제24조제3항ㆍ제25조제6항(제25조의2제4항에 따라 준용되는 경우를 포함한다)ㆍ제28조의4제1항ㆍ제29조(제26조제8항에 따라 준용되는 경우를 포함한다)를 위반하여 안전성 확보에 필요한 조치를 하지 아니한 자
      6. 제23조제3항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 민감정보의 공개 가능성 및 비공개를 선택하는 방법을 알리지 아니한 자
      7. 제24조의2제1항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 주민등록번호를 처리한 자
      8. 제24조의2제2항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 암호화 조치를 하지 아니한 자
      9. 제24조의2제3항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 정보주체가 주민등록번호를 사용하지 아니할 수 있는 방법을 제공하지 아니한 자
      10. 제25조제1항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 고정형 영상정보처리기기를 설치ㆍ운영한 자
      11. 제25조의2제1항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 사람 또는 그 사람과 관련된 사물의 영상을 촬영한 자
      12. 제26조제3항을 위반하여 정보주체에게 알려야 할 사항을 알리지 아니한 자
      13. 제28조의5제2항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 개인을 알아볼 수 있는 정보가 생성되었음에도 이용을 중지하지 아니하거나 이를 회수ㆍ파기하지 아니한 자
      14. 제28조의8제4항(제26조제8항 및 제28조의11에 따라 준용되는 경우를 포함한다)을 위반하여 보호조치를 하지 아니한 자
      15. 제32조의2제6항을 위반하여 인증을 받지 아니하였음에도 거짓으로 인증의 내용을 표시하거나 홍보한 자
      16. 제33조제1항을 위반하여 영향평가를 하지 아니하거나 그 결과를 보호위원회에 제출하지 아니한 자
      17. 제34조제1항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 정보주체에게 같은 항 각 호의 사실을 알리지 아니한 자
      18. 제34조제3항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 보호위원회 또는 대통령령으로 정하는 전문기관에 신고하지 아니한 자
      19. 제35조제3항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 열람을 제한하거나 거절한 자
      20. 제35조의3제1항에 따른 지정을 받지 아니하고 같은 항 제2호의 업무를 수행한 자
      21. 제35조의3제3항을 위반한 자
      22. 제36조제2항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 정정ㆍ삭제 등 필요한 조치를 하지 아니한 자
      23. 제37조제3항 또는 제5항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 파기 등 필요한 조치를 하지 아니한 자
      24. 제37조의2제3항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 정당한 사유 없이 정보주체의 요구에 따르지 아니한 자
      25. 제63조제1항(제26조제8항에 따라 준용되는 경우를 포함한다)에 따른 관계 물품ㆍ서류 등 자료를 제출하지 아니하거나 거짓으로 제출한 자
      26. 제63조제2항(제26조제8항에 따라 준용되는 경우를 포함한다)에 따른 출입ㆍ검사를 거부ㆍ방해 또는 기피한 자
      27. 제64조제1항에 따른 시정조치 명령에 따르지 아니한 자
      ③ 다음 각 호의 어느 하나에 해당하는 자에게는 2천만원 이하의 과태료를 부과한다.
      1. 제26조제6항을 위반하여 위탁자의 동의를 받지 아니하고 제3자에게 다시 위탁한 자
      2. 제31조의2제1항을 위반하여 국내대리인을 지정하지 아니한 자
      ④ 다음 각 호의 어느 하나에 해당하는 자에게는 1천만원 이하의 과태료를 부과한다.
      1. 제11조의2제2항을 위반하여 정당한 사유 없이 자료를 제출하지 아니하거나 거짓으로 제출한 자
      2. 제21조제3항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 개인정보를 분리하여 저장ㆍ관리하지 아니한 자
      3. 제22조제1항부터 제3항까지(제26조제8항에 따라 준용되는 경우를 포함한다)를 위반하여 동의를 받은 자
      4. 제26조제1항을 위반하여 업무 위탁 시 같은 항 각 호의 내용이 포함된 문서로 하지 아니한 자
      5. 제26조제2항을 위반하여 위탁하는 업무의 내용과 수탁자를 공개하지 아니한 자
      6. 제27조제1항ㆍ제2항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 정보주체에게 개인정보의 이전 사실을 알리지 아니한 자
      7. 제28조의4제2항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 관련 기록을 작성하여 보관하지 아니한 자
      8. 제30조제1항 또는 제2항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 개인정보 처리방침을 정하지 아니하거나 이를 공개하지 아니한 자
      9. 제31조제1항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 개인정보 보호책임자를 지정하지 아니한 자
      10. 제35조제3항ㆍ제4항, 제36조제2항ㆍ제4항 또는 제37조제4항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 정보주체에게 알려야 할 사항을 알리지 아니한 자
      11. 제45조제1항에 따른 자료를 정당한 사유 없이 제출하지 아니하거나 거짓으로 제출한 자
      12. 제45조제2항에 따른 출입ㆍ조사ㆍ열람을 정당한 사유 없이 거부ㆍ방해 또는 기피한 자
      ⑤ 제1항부터 제4항까지에 따른 과태료는 대통령령으로 정하는 바에 따라 보호위원회가 부과ㆍ징수한다. 이 경우 보호위원회는 위반행위의 정도ㆍ동기ㆍ결과, 개인정보처리자의 규모 등을 고려하여 과태료를 감경하거나 면제할 수 있다.

    제76조 중 "제34조의2"를 "제64조의2"로 한다.

              부칙
    제1조(시행일) 이 법은 공포 후 6개월이 경과한 날부터 시행한다. 다만, 다음 각 호의 개정규정은 각 호의 구분에 따른 날부터 시행한다.
      1. 제11조의2, 제31조, 제35조의3, 제37조의2, 제39조의7, 제60조제5호, 제75조제2항제16호ㆍ제20호ㆍ제21호ㆍ제24호 및 같은 조 제4항제1호ㆍ제9호의 개정규정: 공포 후 1년이 경과한 날
      2. 제35조의2의 개정규정: 공포 후 1년이 경과한 날부터 공포 후 2년이 넘지 아니하는 범위에서 대통령령으로 정하는 날
    제2조(개인정보 유출 등의 통지ㆍ신고에 관한 적용례) 제34조의 개정규정은 이 법 시행 이후 개인정보가 분실ㆍ도난ㆍ유출되었음을 알게 된 경우부터 적용한다.
    제3조(손해배상청구소송에서 자료의 제출 및 비밀유지 명령 등에 관한 적용례) 제39조의3부터 제39조의6까지의 개정규정은 이 법 시행 이후 손해배상청구의 소를 제기하는 경우부터 적용한다.
    제4조(분쟁조정에 관한 적용례) 제43조제3항, 제45조제2항부터 제4항까지, 제45조의2 및 제47조제3항ㆍ제4항의 개정규정은 이 법 시행 이후 분쟁조정 또는 집단분쟁조정이 신청되거나 의뢰되는 경우부터 적용한다.
    제5조(적용의 일부 제외에 관한 적용례) 제58조의 개정규정은 이 법 시행 이후 개인정보를 처리하는 경우부터 적용한다.
    제6조(결과의 공표에 관한 적용례) 제66조제2항의 개정규정은 이 법 시행 이후 제61조에 따른 개선권고, 제64조에 따른 시정조치 명령, 제64조의2에 따른 과징금의 부과, 제65조에 따른 고발 또는 징계권고 및 제75조에 따른 과태료 부과 처분의 대상이 되는 행위를 한 경우부터 적용한다.
    제7조(연차보고에 관한 적용례) 제67조의 개정규정은 이 법 시행 이후 그 다음 연도에 작성하는 보고서부터 적용한다.
    제8조(과징금 부과에 관한 경과조치 등) ① 이 법 시행 전에 종료된 위반행위에 대한 과징금의 부과는 제64조의2의 개정규정에도 불구하고 종전의 제28조의6, 제34조의2 및 제39조의15에 따른다.
      ② 이 법 시행 당시 종료되지 아니한 위반행위에 대한 과징금의 부과는 제64조의2의 개정규정에 따른다.
    제9조(개인정보파일의 등록에 관한 경과조치) 이 법 시행 당시 종전의 제58조제1항제1호에 따른 개인정보가 포함된 개인정보파일을 운용하고 있는 공공기관의 장은 이 법 시행일부터 60일 이내에 해당 개인정보파일을 제32조의 개정규정에 따라 보호위원회에 등록을 하여야 한다.
    제10조(개인정보 영향평가에 관한 경과조치) 이 법 시행 당시 종전의 제58조제1항제1호에 따른 개인정보가 포함된 개인정보파일(제33조제1항에 따른 영향평가의 대상이 되는 개인정보파일에 한정한다)을 운용하고 있는 공공기관의 장은 이 법 시행일부터 2년 이내에 영향평가를 실시하고 그 결과를 보호위원회에 제출하여야 한다.
    제11조(다른 법률의 개정) ① 공직선거법 일부를 다음과 같이 개정한다.
      제176조제3항 중 "「개인정보 보호법」 제2조제7호에 따른 영상정보처리기기"를 "「개인정보 보호법」 제2조제7호에 따른 고정형 영상정보처리기기"로 한다.
      ② 국민체육진흥법 일부를 다음과 같이 개정한다.
      제18조의15의 제목 중 "영상정보처리기기"를 "고정형 영상정보처리기기"로 하고, 같은 조 제1항부터 제3항까지 중 "영상정보처리기기"를 각각 "고정형 영상정보처리기기"로 한다.
      ③ 법률 제18853호 동물보호법 전부개정법률 일부를 다음과 같이 개정한다.
      제87조의 제목 중 "영상정보처리기기"를 "고정형 영상정보처리기기"로 하고, 같은 조 제1항ㆍ제2항, 같은 조 제3항 각 호 외의 부분, 같은 항 제1호, 같은 조 제4항 각 호 외의 부분 및 같은 조 제5항 중 "영상정보처리기기"를 각각 "고정형 영상정보처리기기"로 한다.
      제97조제3항제9호 중 "영상정보처리기기"를 "고정형 영상정보처리기기"로 한다.
      ④ 보행안전 및 편의증진에 관한 법률 일부를 다음과 같이 개정한다.
      제6조제1항제3호 중 "「개인정보 보호법」 제2조제7호에 따른 영상정보처리기기(이하 "영상정보처리기기"라 한다)"를 "「개인정보 보호법」 제2조제7호에 따른 고정형 영상정보처리기기(이하 "고정형 영상정보처리기기"라 한다)"로 한다.
      제10조제2항제3호 중 "영상정보처리기기"를 "고정형 영상정보처리기기"로 한다.
      제24조의 제목 중 "영상정보처리기기"를 "고정형 영상정보처리기기"로 하고, 같은 조 제1항 본문ㆍ단서, 같은 조 제2항부터 제4항까지 중 "영상정보처리기기"를 각각 "고정형 영상정보처리기기"로 한다.
      제29조제1항 중 "영상정보처리기기"를 "고정형 영상정보처리기기"로 한다.
      ⑤ 신용정보의 이용 및 보호에 관한 법률 일부를 다음과 같이 개정한다.
      제15조제2항제1호 중 "「개인정보 보호법」 제15조제1항제2호부터 제6호까지"를 "「개인정보 보호법」 제15조제1항제2호부터 제7호까지"로 한다.
      제20조제4항제1호가목 중 "「개인정보 보호법」 제31조제2항제1호부터 제5호까지의 업무"를 "「개인정보 보호법」 제31조제3항제1호부터 제5호까지에 따른 업무"로 하고, 같은 조 제5항 중 "「개인정보 보호법」 제31조제3항 및 제5항의 규정"을 "「개인정보 보호법」 제31조제4항 및 제6항"으로 한다.
      ⑥ 아동복지법 일부를 다음과 같이 개정한다.
      제32조의 제목 중 "영상정보처리기기"를 "고정형 영상정보처리기기"로 하고, 같은 조 제3항 및 제4항 중 "영상정보처리기기"를 각각 "고정형 영상정보처리기기"로 한다.
      ⑦ 응급의료에 관한 법률 일부를 다음과 같이 개정한다.
      제47조제2항제3호 중  "「개인정보 보호법」 제2조제7호에 따른 영상정보처리기기"를 "「개인정보 보호법」 제2조제7호에 따른 고정형 영상정보처리기기"로 하고, 같은 조 제4항 중 "영상정보처리기기"를 "고정형 영상정보처리기기"로 한다.
      ⑧ 재난 및 안전관리 기본법 일부를 다음과 같이 개정한다.
      제74조의3제1항제2호가목 중 "영상정보처리기기"를 "고정형 영상정보처리기기"로 한다.
      ⑨ 전자장치 부착 등에 관한 법률 일부를 다음과 같이 개정한다.
      제16조의3제2항 중 "영상정보처리기기"를 "고정형 영상정보처리기기"로 한다.
      ⑩ 학교체육 진흥법 일부를 다음과 같이 개정한다.
      제7조제3항 및 제4항 중 "영상정보처리기기"를 각각 "고정형 영상정보처리기기"로 한다.
      ⑪ 학교폭력예방 및 대책에 관한 법률 일부를 다음과 같이 개정한다.
      제20조의7제1항 중 "「개인정보 보호법」 제2조제7호에 따른 영상정보처리기기"를 "「개인정보 보호법」 제2조제7호에 따른 고정형 영상정보처리기기"로 한다.

개인정보 보호법

[시행 2020. 8. 5.] [법률 제16930호, 2020. 2. 4., 일부개정]

【제정·개정문】

  • 국회에서 의결된 개인정보 보호법 일부개정법률을 이에 공포한다.
              대통령        문재인 (인)
        2020년 2월 4일
              국무총리        정세균
              국무위원 행정안전부 장관        진영

    ⊙법률 제16930호
    개인정보 보호법 일부개정법률

    개인정보 보호법 일부를 다음과 같이 개정한다.

    제2조제1호를 다음과 같이 하고, 같은 조에 제1호의2 및 제8호를 각각 다음과 같이 신설한다.
      1. "개인정보"란 살아 있는 개인에 관한 정보로서 다음 각 목의 어느 하나에 해당하는 정보를 말한다.
        가. 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보
        나. 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보. 이 경우 쉽게 결합할 수 있는지 여부는 다른 정보의 입수 가능성 등 개인을 알아보는 데 소요되는 시간, 비용, 기술 등을 합리적으로 고려하여야 한다.
        다. 가목 또는 나목을 제1호의2에 따라 가명처리함으로써 원래의 상태로 복원하기 위한 추가 정보의 사용ㆍ결합 없이는 특정 개인을 알아볼 수 없는 정보(이하 "가명정보"라 한다)
      1의2. "가명처리"란 개인정보의 일부를 삭제하거나 일부 또는 전부를 대체하는 등의 방법으로 추가 정보가 없이는 특정 개인을 알아볼 수 없도록 처리하는 것을 말한다.
      8. "과학적 연구"란 기술의 개발과 실증, 기초연구, 응용연구 및 민간 투자 연구 등 과학적 방법을 적용하는 연구를 말한다.

    제3조제7항 중 "개인정보의 익명처리가 가능한 경우에는 익명에 의하여 처리될 수 있도록 하여야 한다"를 "개인정보를 익명 또는 가명으로 처리하여도 개인정보 수집목적을 달성할 수 있는 경우 익명처리가 가능한 경우에는 익명에 의하여, 익명처리로 목적을 달성할 수 없는 경우에는 가명에 의하여 처리될 수 있도록 하여야 한다"로 한다.

    제7조제1항 전단 중 "사항을 심의ㆍ의결하기"를 "사무를 독립적으로 수행하기"로, "대통령 소속으로"를 "국무총리 소속으로"로 하고, 같은 항 후단을 삭제하며, 같은 조 제2항을 다음과 같이 하고, 같은 조 제3항부터 제9항까지를 각각 삭제한다.
      ② 보호위원회는 「정부조직법」 제2조에 따른 중앙행정기관으로 본다. 다만, 다음 각 호의 사항에 대하여는 「정부조직법」 제18조를 적용하지 아니한다.
      1. 제7조의8제3호 및 제4호의 사무
      2. 제7조의9제1항의 심의ㆍ의결 사항 중 제1호에 해당하는 사항

    제7조의2부터 제7조의14까지를 각각 다음과 같이 신설한다.
    제7조의2(보호위원회의 구성 등) ① 보호위원회는 상임위원 2명(위원장 1명, 부위원장 1명)을 포함한 9명의 위원으로 구성한다.
      ② 보호위원회의 위원은 개인정보 보호에 관한 경력과 전문지식이 풍부한 다음 각 호의 사람 중에서 위원장과 부위원장은 국무총리의 제청으로, 그 외 위원 중 2명은 위원장의 제청으로, 2명은 대통령이 소속되거나 소속되었던 정당의 교섭단체 추천으로, 3명은 그 외의 교섭단체 추천으로 대통령이 임명 또는 위촉한다.
      1. 개인정보 보호 업무를 담당하는 3급 이상 공무원(고위공무원단에 속하는 공무원을 포함한다)의 직에 있거나 있었던 사람
      2. 판사ㆍ검사ㆍ변호사의 직에 10년 이상 있거나 있었던 사람
      3. 공공기관 또는 단체(개인정보처리자로 구성된 단체를 포함한다)에 3년 이상 임원으로 재직하였거나 이들 기관 또는 단체로부터 추천받은 사람으로서 개인정보 보호 업무를 3년 이상 담당하였던 사람
      4. 개인정보 관련 분야에 전문지식이 있고 「고등교육법」 제2조제1호에 따른 학교에서 부교수 이상으로 5년 이상 재직하고 있거나 재직하였던 사람
      ③ 위원장과 부위원장은 정무직 공무원으로 임명한다.
      ④ 위원장, 부위원장, 제7조의13에 따른 사무처의 장은 「정부조직법」 제10조에도 불구하고 정부위원이 된다.
    제7조의3(위원장) ① 위원장은 보호위원회를 대표하고, 보호위원회의 회의를 주재하며, 소관 사무를 총괄한다.
      ② 위원장이 부득이한 사유로 직무를 수행할 수 없을 때에는 부위원장이 그 직무를 대행하고, 위원장ㆍ부위원장이 모두 부득이한 사유로 직무를 수행할 수 없을 때에는 위원회가 미리 정하는 위원이 위원장의 직무를 대행한다.
      ③ 위원장은 국회에 출석하여 보호위원회의 소관 사무에 관하여 의견을 진술할 수 있으며, 국회에서 요구하면 출석하여 보고하거나 답변하여야 한다.
      ④ 위원장은 국무회의에 출석하여 발언할 수 있으며, 그 소관 사무에 관하여 국무총리에게 의안 제출을 건의할 수 있다.
    제7조의4(위원의 임기) ① 위원의 임기는 3년으로 하되, 한 차례만 연임할 수 있다.
      ② 위원이 궐위된 때에는 지체 없이 새로운 위원을 임명 또는 위촉하여야 한다. 이 경우 후임으로 임명 또는 위촉된 위원의 임기는 새로이 개시된다.
    제7조의5(위원의 신분보장) ① 위원은 다음 각 호의 어느 하나에 해당하는 경우를 제외하고는 그 의사에 반하여 면직 또는 해촉되지 아니한다.
      1. 장기간 심신장애로 인하여 직무를 수행할 수 없게 된 경우
      2. 제7조의7의 결격사유에 해당하는 경우
      3. 이 법 또는 그 밖의 다른 법률에 따른 직무상의 의무를 위반한 경우
      ② 위원은 법률과 양심에 따라 독립적으로 직무를 수행한다.
    제7조의6(겸직금지 등) ① 위원은 재직 중 다음 각 호의 직(職)을 겸하거나 직무와 관련된 영리업무에 종사하여서는 아니 된다.
      1. 국회의원 또는 지방의회의원
      2. 국가공무원 또는 지방공무원
      3. 그 밖에 대통령령으로 정하는 직
      ② 제1항에 따른 영리업무에 관한 사항은 대통령령으로 정한다.
      ③ 위원은 정치활동에 관여할 수 없다.
    제7조의7(결격사유) ① 다음 각 호의 어느 하나에 해당하는 사람은 위원이 될 수 없다.
      1. 대한민국 국민이 아닌 사람
      2. 「국가공무원법」 제33조 각 호의 어느 하나에 해당하는 사람
      3. 「정당법」 제22조에 따른 당원
      ② 위원이 제1항 각 호의 어느 하나에 해당하게 된 때에는 그 직에서 당연 퇴직한다. 다만, 「국가공무원법」 제33조제2호는 파산선고를 받은 사람으로서 「채무자 회생 및 파산에 관한 법률」에 따라 신청기한 내에 면책신청을 하지 아니하였거나 면책불허가 결정 또는 면책 취소가 확정된 경우만 해당하고, 같은 법 제33조제5호는 「형법」 제129조부터 제132조까지, 「성폭력범죄의 처벌 등에 관한 특례법」 제2조, 「아동ㆍ청소년의 성보호에 관한 법률」 제2조제2호 및 직무와 관련하여 「형법」 제355조 또는 제356조에 규정된 죄를 범한 사람으로서 금고 이상의 형의 선고유예를 받은 경우만 해당한다.
    제7조의8(보호위원회의 소관 사무) 보호위원회는 다음 각 호의 소관 사무를 수행한다.
      1. 개인정보의 보호와 관련된 법령의 개선에 관한 사항
      2. 개인정보 보호와 관련된 정책ㆍ제도ㆍ계획 수립ㆍ집행에 관한 사항
      3. 정보주체의 권리침해에 대한 조사 및 이에 따른 처분에 관한 사항
      4. 개인정보의 처리와 관련한 고충처리ㆍ권리구제 및 개인정보에 관한 분쟁의 조정
      5. 개인정보 보호를 위한 국제기구 및 외국의 개인정보 보호기구와의 교류ㆍ협력
      6. 개인정보 보호에 관한 법령ㆍ정책ㆍ제도ㆍ실태 등의 조사ㆍ연구, 교육 및 홍보에 관한 사항
      7. 개인정보 보호에 관한 기술개발의 지원ㆍ보급 및 전문인력의 양성에 관한 사항
      8. 이 법 및 다른 법령에 따라 보호위원회의 사무로 규정된 사항
    제7조의9(보호위원회의 심의ㆍ의결 사항 등) ① 보호위원회는 다음 각 호의 사항을 심의ㆍ의결한다.
      1. 제8조의2에 따른 개인정보 침해요인 평가에 관한 사항
      2. 제9조에 따른 기본계획 및 제10조에 따른 시행계획에 관한 사항
      3. 개인정보 보호와 관련된 정책, 제도 및 법령의 개선에 관한 사항
      4. 개인정보의 처리에 관한 공공기관 간의 의견조정에 관한 사항
      5. 개인정보 보호에 관한 법령의 해석ㆍ운용에 관한 사항
      6. 제18조제2항제5호에 따른 개인정보의 이용ㆍ제공에 관한 사항
      7. 제33조제3항에 따른 영향평가 결과에 관한 사항
      8. 제28조의6, 제34조의2, 제39조의15에 따른 과징금 부과에 관한 사항
      9. 제61조에 따른 의견제시 및 개선권고에 관한 사항
      10. 제64조에 따른 시정조치 등에 관한 사항
      11. 제65조에 따른 고발 및 징계권고에 관한 사항
      12. 제66조에 따른 처리 결과의 공표에 관한 사항
      13. 제75조에 따른 과태료 부과에 관한 사항
      14. 소관 법령 및 보호위원회 규칙의 제정ㆍ개정 및 폐지에 관한 사항
      15. 개인정보 보호와 관련하여 보호위원회의 위원장 또는 위원 2명 이상이 회의에 부치는 사항
      16. 그 밖에 이 법 또는 다른 법령에 따라 보호위원회가 심의ㆍ의결하는 사항
      ② 보호위원회는 제1항 각 호의 사항을 심의ㆍ의결하기 위하여 필요한 경우 다음 각 호의 조치를 할 수 있다.
      1. 관계 공무원, 개인정보 보호에 관한 전문 지식이 있는 사람이나 시민사회단체 및 관련 사업자로부터의 의견 청취
      2. 관계 기관 등에 대한 자료제출이나 사실조회 요구
      ③ 제2항제2호에 따른 요구를 받은 관계 기관 등은 특별한 사정이 없으면 이에 따라야 한다.
      ④ 보호위원회는 제1항제3호의 사항을 심의ㆍ의결한 경우에는 관계 기관에 그 개선을 권고할 수 있다.
      ⑤ 보호위원회는 제4항에 따른 권고 내용의 이행 여부를 점검할 수 있다.
    제7조의10(회의) ① 보호위원회의 회의는 위원장이 필요하다고 인정하거나 재적위원 4분의 1 이상의 요구가 있는 경우에 위원장이 소집한다.
      ② 위원장 또는 2명 이상의 위원은 보호위원회에 의안을 제의할 수 있다.
      ③ 보호위원회의 회의는 재적위원 과반수의 출석으로 개의하고, 출석위원 과반수의 찬성으로 의결한다.
    제7조의11(위원의 제척ㆍ기피ㆍ회피) ① 위원은 다음 각 호의 어느 하나에 해당하는 경우에는 심의ㆍ의결에서 제척된다.
      1. 위원 또는 그 배우자나 배우자였던 자가 해당 사안의 당사자가 되거나 그 사건에 관하여 공동의 권리자 또는 의무자의 관계에 있는 경우
      2. 위원이 해당 사안의 당사자와 친족이거나 친족이었던 경우
      3. 위원이 해당 사안에 관하여 증언, 감정, 법률자문을 한 경우
      4. 위원이 해당 사안에 관하여 당사자의 대리인으로서 관여하거나 관여하였던 경우
      5. 위원이나 위원이 속한 공공기관ㆍ법인 또는 단체 등이 조언 등 지원을 하고 있는 자와 이해관계가 있는 경우
      ② 위원에게 심의ㆍ의결의 공정을 기대하기 어려운 사정이 있는 경우 당사자는 기피 신청을 할 수 있고, 보호위원회는 의결로 이를 결정한다.
      ③ 위원이 제1항 또는 제2항의 사유가 있는 경우에는 해당 사안에 대하여 회피할 수 있다.
    제7조의12(소위원회) ① 보호위원회는 효율적인 업무 수행을 위하여 개인정보 침해 정도가 경미하거나 유사ㆍ반복되는 사항 등을 심의ㆍ의결할 소위원회를 둘 수 있다.
      ② 소위원회는 3명의 위원으로 구성한다.
      ③ 소위원회가 제1항에 따라 심의ㆍ의결한 것은 보호위원회가 심의ㆍ의결한 것으로 본다.
      ④ 소위원회의 회의는 구성위원 전원의 출석과 출석위원 전원의 찬성으로 의결한다.
    제7조의13(사무처) 보호위원회의 사무를 처리하기 위하여 보호위원회에 사무처를 두며, 이 법에 규정된 것 외에 보호위원회의 조직에 관한 사항은 대통령령으로 정한다.
    제7조의14(운영 등) 이 법과 다른 법령에 규정된 것 외에 보호위원회의 운영 등에 필요한 사항은 보호위원회의 규칙으로 정한다.

    제8조를 삭제한다.

    제11조제2항 중 "행정안전부장관은"을 "보호위원회는"으로 한다.

    제12조제1항 중 "행정안전부장관은"을 "보호위원회는"으로 한다.

    제13조 각 호 외의 부분 중 "행정안전부장관은"을 "보호위원회는"으로 한다.

    제15조에 제3항을 다음과 같이 신설한다.
      ③ 개인정보처리자는 당초 수집 목적과 합리적으로 관련된 범위에서 정보주체에게 불이익이 발생하는지 여부, 암호화 등 안전성 확보에 필요한 조치를 하였는지 여부 등을 고려하여 대통령령으로 정하는 바에 따라 정보주체의 동의 없이 개인정보를 이용할 수 있다.

    제17조제1항제2호 중 "제3호 및 제5호에 따라"를 "제3호ㆍ제5호 및 제39조의3제2항제2호ㆍ제3호에 따라"로 하고, 같은 조에 제4항을 다음과 같이 신설한다.
      ④ 개인정보처리자는 당초 수집 목적과 합리적으로 관련된 범위에서 정보주체에게 불이익이 발생하는지 여부, 암호화 등 안전성 확보에 필요한 조치를 하였는지 여부 등을 고려하여 대통령령으로 정하는 바에 따라 정보주체의 동의 없이 개인정보를 제공할 수 있다.

    제18조제1항 중 "제15조제1항에"를 "제15조제1항 및 제39조의3제1항 및 제2항에"로 하고, 같은 조 제2항 각 호 외의 부분 단서 중 "제5호부터"를 "이용자(「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조제1항제4호에 해당하는 자를 말한다. 이하 같다)의 개인정보를 처리하는 정보통신서비스 제공자(「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조제1항제3호에 해당하는 자를 말한다. 이하 같다)의 경우 제1호ㆍ제2호의 경우로 한정하고, 제5호부터"로 하며, 같은 항 제4호를 삭제하고, 같은 조 제4항 중 "행정안전부령으로"를 "보호위원회가 고시로"로 한다.

    제22조제2항 중 "행정안전부령으로"를 "보호위원회가 고시로"로 한다.

    제24조제4항 및 제5항 중 "행정안전부장관은"을 각각 "보호위원회는"으로 한다.

    제24조의2제1항제3호 중 "행정안전부령으로"를 "보호위원회가 고시로"로 하고, 같은 조 제4항 중 "행정안전부장관은"을 "보호위원회는"으로 한다.

    제3장에 제3절(제28조의2부터 제28조의7까지)을 다음과 같이 신설한다.
                  제3절 가명정보의 처리에 관한 특례
    제28조의2(가명정보의 처리 등) ① 개인정보처리자는 통계작성, 과학적 연구, 공익적 기록보존 등을 위하여 정보주체의 동의 없이 가명정보를 처리할 수 있다.
      ② 개인정보처리자는 제1항에 따라 가명정보를 제3자에게 제공하는 경우에는 특정 개인을 알아보기 위하여 사용될 수 있는 정보를 포함해서는 아니 된다.
    제28조의3(가명정보의 결합 제한) ① 제28조의2에도 불구하고 통계작성, 과학적 연구, 공익적 기록보존 등을 위한 서로 다른 개인정보처리자 간의 가명정보의 결합은 보호위원회 또는 관계 중앙행정기관의 장이 지정하는 전문기관이 수행한다.
      ② 결합을 수행한 기관 외부로 결합된 정보를 반출하려는 개인정보처리자는 가명정보 또는 제58조의2에 해당하는 정보로 처리한 뒤 전문기관의 장의 승인을 받아야 한다.
      ③ 제1항에 따른 결합 절차와 방법, 전문기관의 지정과 지정 취소 기준ㆍ절차, 관리ㆍ감독, 제2항에 따른 반출 및 승인 기준ㆍ절차 등 필요한 사항은 대통령령으로 정한다.
    제28조의4(가명정보에 대한 안전조치의무 등) ① 개인정보처리자는 가명정보를 처리하는 경우에는 원래의 상태로 복원하기 위한 추가 정보를 별도로 분리하여 보관ㆍ관리하는 등 해당 정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 않도록 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.
      ② 개인정보처리자는 가명정보를 처리하고자 하는 경우에는 가명정보의 처리 목적, 제3자 제공 시 제공받는 자 등 가명정보의 처리 내용을 관리하기 위하여 대통령령으로 정하는 사항에 대한 관련 기록을 작성하여 보관하여야 한다.
    제28조의5(가명정보 처리 시 금지의무 등) ① 누구든지 특정 개인을 알아보기 위한 목적으로 가명정보를 처리해서는 아니 된다.
      ② 개인정보처리자는 가명정보를 처리하는 과정에서 특정 개인을 알아볼 수 있는 정보가 생성된 경우에는 즉시 해당 정보의 처리를 중지하고, 지체 없이 회수ㆍ파기하여야 한다.
    제28조의6(가명정보 처리에 대한 과징금 부과 등) ① 보호위원회는 개인정보처리자가 제28조의5제1항을 위반하여 특정 개인을 알아보기 위한 목적으로 정보를 처리한 경우 전체 매출액의 100분의 3 이하에 해당하는 금액을 과징금으로 부과할 수 있다. 다만, 매출액이 없거나 매출액의 산정이 곤란한 경우로서 대통령령으로 정하는 경우에는 4억원 또는 자본금의 100분의 3 중 큰 금액 이하로 과징금을 부과할 수 있다.
      ② 과징금의 부과ㆍ징수 등에 필요한 사항은 제34조의2제3항부터 제5항까지의 규정을 준용한다.
    제28조의7(적용범위) 가명정보는 제20조, 제21조, 제27조, 제34조제1항, 제35조부터 제37조까지, 제39조의3, 제39조의4, 제39조의6부터 제39조의8까지의 규정을 적용하지 아니한다.

    제30조제1항에 제3호의2를 다음과 같이 신설하고, 같은 조 제4항 중 "행정안전부장관은"을 "보호위원회는"으로 한다.
      3의2. 개인정보의 파기절차 및 파기방법(제21조제1항 단서에 따라 개인정보를 보존하여야 하는 경우에는 그 보존근거와 보존하는 개인정보 항목을 포함한다)

    제32조제1항 전단 중 "행정안전부장관에게"를 "보호위원회에"로 하고, 같은 조 제3항 및 제4항 중 "행정안전부장관은"을 각각 "보호위원회는"으로 한다.

    제32조의2제1항ㆍ같은 조 제3항 각 호 외의 부분 본문ㆍ같은 조 제4항 및 제5항 중 "행정안전부장관은"을 각각 "보호위원회는"으로 한다.

    제33조제1항 전단 중 "행정안전부장관에게"를 "보호위원회에"로 하고, 같은 항 후단 중 "행정안전부장관이"를 "보호위원회가"로 하며, 같은 조 제3항 중 "행정안전부장관은"을 "보호위원회는"으로, "보호위원회의 심의ㆍ의결을 거쳐 의견을 제시할 수 있다"를 "의견을 제시할 수 있다"로 하고, 같은 조 제5항 중 "행정안전부장관은"을 "보호위원회는"으로 한다.

    제34조제3항 전단 및 후단 중 "행정안전부장관"을 각각 "보호위원회"로 한다.

    제34조의2제1항 본문ㆍ같은 조 제2항 각 호 외의 부분ㆍ같은 조 제3항 전단 및 같은 조 제4항 중 "행정안전부장관은"을 각각 "보호위원회는"으로 한다.

    제35조제2항 중 "행정안전부장관을"을 "보호위원회를"로 한다.

    제38조제1항 중 "처리정지 등의"를 "처리정지, 제39조의7에 따른 동의 철회 등의"로 한다.

    제39조의2 다음의 "제6장 개인정보 분쟁조정위원회"를 "제7장 개인정보 분쟁조정위원회"로 하고, 제6장(제39조의3부터 제39조의15까지)을 다음과 같이 신설한다.
                제6장 정보통신서비스 제공자 등의 개인정보 처리 등 특례
    제39조의3(개인정보의 수집ㆍ이용 동의 등에 대한 특례) ① 정보통신서비스 제공자는 제15조제1항에도 불구하고 이용자의 개인정보를 이용하려고 수집하는 경우에는 다음 각 호의 모든 사항을 이용자에게 알리고 동의를 받아야 한다. 다음 각 호의 어느 하나의 사항을 변경하려는 경우에도 또한 같다.
      1. 개인정보의 수집ㆍ이용 목적
      2. 수집하는 개인정보의 항목
      3. 개인정보의 보유ㆍ이용 기간
      ② 정보통신서비스 제공자는 다음 각 호의 어느 하나에 해당하는 경우에는 제1항에 따른 동의 없이 이용자의 개인정보를 수집ㆍ이용할 수 있다.
      1. 정보통신서비스(「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조제1항제2호에 따른 정보통신서비스를 말한다. 이하 같다)의 제공에 관한 계약을 이행하기 위하여 필요한 개인정보로서 경제적ㆍ기술적인 사유로 통상적인 동의를 받는 것이 뚜렷하게 곤란한 경우
      2. 정보통신서비스의 제공에 따른 요금정산을 위하여 필요한 경우
      3. 다른 법률에 특별한 규정이 있는 경우
      ③ 정보통신서비스 제공자는 이용자가 필요한 최소한의 개인정보 이외의 개인정보를 제공하지 아니한다는 이유로 그 서비스의 제공을 거부해서는 아니 된다. 이 경우 필요한 최소한의 개인정보는 해당 서비스의 본질적 기능을 수행하기 위하여 반드시 필요한 정보를 말한다.
      ④ 정보통신서비스 제공자는 만 14세 미만의 아동으로부터 개인정보 수집ㆍ이용ㆍ제공 등의 동의를 받으려면 그 법정대리인의 동의를 받아야 하고, 대통령령으로 정하는 바에 따라 법정대리인이 동의하였는지를 확인하여야 한다.
      ⑤ 정보통신서비스 제공자는 만 14세 미만의 아동에게 개인정보 처리와 관련한 사항의 고지 등을 하는 때에는 이해하기 쉬운 양식과 명확하고 알기 쉬운 언어를 사용하여야 한다.
      ⑥ 보호위원회는 개인정보 처리에 따른 위험성 및 결과, 이용자의 권리 등을 명확하게 인지하지 못할 수 있는 만 14세 미만의 아동의 개인정보 보호 시책을 마련하여야 한다.
    제39조의4(개인정보 유출등의 통지ㆍ신고에 대한 특례) ① 제34조제1항 및 제3항에도 불구하고 정보통신서비스 제공자와 그로부터 제17조제1항에 따라 이용자의 개인정보를 제공받은 자(이하 "정보통신서비스 제공자등"이라 한다)는 개인정보의 분실ㆍ도난ㆍ유출(이하 "유출등"이라 한다) 사실을 안 때에는 지체 없이 다음 각 호의 사항을 해당 이용자에게 알리고 보호위원회 또는 대통령령으로 정하는 전문기관에 신고하여야 하며, 정당한 사유 없이 그 사실을 안 때부터 24시간을 경과하여 통지ㆍ신고해서는 아니 된다. 다만, 이용자의 연락처를 알 수 없는 등 정당한 사유가 있는 경우에는 대통령령으로 정하는 바에 따라 통지를 갈음하는 조치를 취할 수 있다.
      1. 유출등이 된 개인정보 항목
      2. 유출등이 발생한 시점
      3. 이용자가 취할 수 있는 조치
      4. 정보통신서비스 제공자등의 대응 조치
      5. 이용자가 상담 등을 접수할 수 있는 부서 및 연락처
      ② 제1항의 신고를 받은 대통령령으로 정하는 전문기관은 지체 없이 그 사실을 보호위원회에 알려야 한다.
      ③ 정보통신서비스 제공자등은 제1항에 따른 정당한 사유를 보호위원회에 소명하여야 한다.
      ④ 제1항에 따른 통지 및 신고의 방법ㆍ절차 등에 필요한 사항은 대통령령으로 정한다.
    제39조의5(개인정보의 보호조치에 대한 특례) 정보통신서비스 제공자등은 이용자의 개인정보를 처리하는 자를 최소한으로 제한하여야 한다.
    제39조의6(개인정보의 파기에 대한 특례) ① 정보통신서비스 제공자등은 정보통신서비스를 1년의 기간 동안 이용하지 아니하는 이용자의 개인정보를 보호하기 위하여 대통령령으로 정하는 바에 따라 개인정보의 파기 등 필요한 조치를 취하여야 한다. 다만, 그 기간에 대하여 다른 법령 또는 이용자의 요청에 따라 달리 정한 경우에는 그에 따른다.
      ② 정보통신서비스 제공자등은 제1항의 기간 만료 30일 전까지 개인정보가 파기되는 사실, 기간 만료일 및 파기되는 개인정보의 항목 등 대통령령으로 정하는 사항을 전자우편 등 대통령령으로 정하는 방법으로 이용자에게 알려야 한다.
    제39조의7(이용자의 권리 등에 대한 특례) ① 이용자는 정보통신서비스 제공자등에 대하여 언제든지 개인정보 수집ㆍ이용ㆍ제공 등의 동의를 철회할 수 있다.
      ② 정보통신서비스 제공자등은 제1항에 따른 동의의 철회, 제35조에 따른 개인정보의 열람, 제36조에 따른 정정을 요구하는 방법을 개인정보의 수집방법보다 쉽게 하여야 한다.
      ③ 정보통신서비스 제공자등은 제1항에 따라 동의를 철회하면 지체 없이 수집된 개인정보를 복구ㆍ재생할 수 없도록 파기하는 등 필요한 조치를 하여야 한다.
    제39조의8(개인정보 이용내역의 통지) ① 정보통신서비스 제공자 등으로서 대통령령으로 정하는 기준에 해당하는 자는 제23조, 제39조의3에 따라 수집한 이용자의 개인정보의 이용내역(제17조에 따른 제공을 포함한다)을 주기적으로 이용자에게 통지하여야 한다. 다만, 연락처 등 이용자에게 통지할 수 있는 개인정보를 수집하지 아니한 경우에는 그러하지 아니한다.
      ② 제1항에 따라 이용자에게 통지하여야 하는 정보의 종류, 통지주기 및 방법, 그 밖에 이용내역 통지에 필요한 사항은 대통령령으로 정한다.
    제39조의9(손해배상의 보장) ① 정보통신서비스 제공자등은 제39조 및 제39조의2에 따른 손해배상책임의 이행을 위하여 보험 또는 공제에 가입하거나 준비금을 적립하는 등 필요한 조치를 하여야 한다.
      ② 제1항에 따른 가입 대상 개인정보처리자의 범위, 기준 등에 필요한 사항은 대통령령으로 정한다.
    제39조의10(노출된 개인정보의 삭제ㆍ차단) ① 정보통신서비스 제공자등은 주민등록번호, 계좌정보, 신용카드정보 등 이용자의 개인정보가 정보통신망을 통하여 공중에 노출되지 아니하도록 하여야 한다.
      ② 제1항에도 불구하고 공중에 노출된 개인정보에 대하여 보호위원회 또는 대통령령으로 지정한 전문기관의 요청이 있는 경우 정보통신서비스 제공자등은 삭제ㆍ차단 등 필요한 조치를 취하여야 한다.
    제39조의11(국내대리인의 지정) ① 국내에 주소 또는 영업소가 없는 정보통신서비스 제공자등으로서 이용자 수, 매출액 등을 고려하여 대통령령으로 정하는 기준에 해당하는 자는 다음 각 호의 사항을 대리하는 자(이하 "국내대리인"이라 한다)를 서면으로 지정하여야 한다.
      1. 제31조에 따른 개인정보 보호책임자의 업무
      2. 제39조의4에 따른 통지ㆍ신고
      3. 제63조제1항에 따른 관계 물품ㆍ서류 등의 제출
      ② 국내대리인은 국내에 주소 또는 영업소가 있는 자로 한다.
      ③ 제1항에 따라 국내대리인을 지정한 때에는 다음 각 호의 사항 모두를 제30조에 따른 개인정보 처리방침에 포함하여야 한다.
      1. 국내대리인의 성명(법인의 경우에는 그 명칭 및 대표자의 성명을 말한다)
      2. 국내대리인의 주소(법인의 경우에는 영업소 소재지를 말한다), 전화번호 및 전자우편 주소
      ④ 국내대리인이 제1항 각 호와 관련하여 이 법을 위반한 경우에는 정보통신서비스 제공자등이 그 행위를 한 것으로 본다.
    제39조의12(국외 이전 개인정보의 보호) ① 정보통신서비스 제공자등은 이용자의 개인정보에 관하여 이 법을 위반하는 사항을 내용으로 하는 국제계약을 체결해서는 아니 된다.
      ② 제17조제3항에도 불구하고 정보통신서비스 제공자등은 이용자의 개인정보를 국외에 제공(조회되는 경우를 포함한다)ㆍ처리위탁ㆍ보관(이하 이 조에서 "이전"이라 한다)하려면 이용자의 동의를 받아야 한다. 다만, 제3항 각 호의 사항 모두를 제30조제2항에 따라 공개하거나 전자우편 등 대통령령으로 정하는 방법에 따라 이용자에게 알린 경우에는 개인정보 처리위탁ㆍ보관에 따른 동의절차를 거치지 아니할 수 있다.
      ③ 정보통신서비스 제공자등은 제2항 본문에 따른 동의를 받으려면 미리 다음 각 호의 사항 모두를 이용자에게 고지하여야 한다.
      1. 이전되는 개인정보 항목
      2. 개인정보가 이전되는 국가, 이전일시 및 이전방법
      3. 개인정보를 이전받는 자의 성명(법인인 경우에는 그 명칭 및 정보관리책임자의 연락처를 말한다)
      4. 개인정보를 이전받는 자의 개인정보 이용목적 및 보유ㆍ이용 기간
      ④ 정보통신서비스 제공자등은 제2항 본문에 따른 동의를 받아 개인정보를 국외로 이전하는 경우 대통령령으로 정하는 바에 따라 보호조치를 하여야 한다.
      ⑤ 이용자의 개인정보를 이전받는 자가 해당 개인정보를 제3국으로 이전하는 경우에 관하여는 제1항부터 제4항까지의 규정을 준용한다. 이 경우 "정보통신서비스 제공자등"은 "개인정보를 이전받는 자"로, "개인정보를 이전받는 자"는 "제3국에서 개인정보를 이전받는 자"로 본다.
    제39조의13(상호주의) 제39조의12에도 불구하고 개인정보의 국외 이전을 제한하는 국가의 정보통신서비스 제공자등에 대하여는 해당 국가의 수준에 상응하는 제한을 할 수 있다. 다만, 조약 또는 그 밖의 국제협정의 이행에 필요한 경우에는 그러하지 아니하다.
    제39조의14(방송사업자등에 대한 특례) 「방송법」 제2조제3호가목부터 마목까지와 같은 조 제6호ㆍ제9호ㆍ제12호 및 제14호에 해당하는 자(이하 이 조에서 "방송사업자등"이라 한다)가 시청자의 개인정보를 처리하는 경우에는 정보통신서비스 제공자에게 적용되는 규정을 준용한다. 이 경우 "방송사업자등"은 "정보통신서비스 제공자" 또는 "정보통신서비스 제공자등"으로, "시청자"는 "이용자"로 본다.
    제39조의15(과징금의 부과 등에 대한 특례) ① 보호위원회는 정보통신서비스 제공자등에게 다음 각 호의 어느 하나에 해당하는 행위가 있는 경우에는 해당 정보통신서비스 제공자등에게 위반행위와 관련한 매출액의 100분의 3 이하에 해당하는 금액을 과징금으로 부과할 수 있다.
      1. 제17조제1항ㆍ제2항, 제18조제1항ㆍ제2항 및 제19조(제39조의14에 따라 준용되는 경우를 포함한다)를 위반하여 개인정보를 이용ㆍ제공한 경우
      2. 제22조제6항(제39조의14에 따라 준용되는 경우를 포함한다)을 위반하여 법정대리인의 동의를 받지 아니하고 만 14세 미만인 아동의 개인정보를 수집한 경우
      3. 제23조제1항제1호(제39조의14에 따라 준용되는 경우를 포함한다)를 위반하여 이용자의 동의를 받지 아니하고 민감정보를 수집한 경우
      4. 제26조제4항(제39조의14에 따라 준용되는 경우를 포함한다)에 따른 관리ㆍ감독 또는 교육을 소홀히 하여 특례 수탁자가 이 법의 규정을 위반한 경우
      5. 이용자의 개인정보를 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손한 경우로서 제29조의 조치(내부 관리계획 수립에 관한 사항은 제외한다)를 하지 아니한 경우(제39조의14에 따라 준용되는 경우를 포함한다)
      6. 제39조의3제1항(제39조의14에 따라 준용되는 경우를 포함한다)을 위반하여 이용자의 동의를 받지 아니하고 개인정보를 수집한 경우
      7. 제39조의12제2항 본문(같은 조 제5항에 따라 준용되는 경우를 포함한다)을 위반하여 이용자의 동의를 받지 아니하고 이용자의 개인정보를 국외에 제공한 경우
      ② 제1항에 따른 과징금을 부과하는 경우 정보통신서비스 제공자등이 매출액 산정자료의 제출을 거부하거나 거짓의 자료를 제출한 경우에는 해당 정보통신서비스 제공자등과 비슷한 규모의 정보통신서비스 제공자등의 재무제표 등 회계자료와 가입자 수 및 이용요금 등 영업현황 자료에 근거하여 매출액을 추정할 수 있다. 다만, 매출액이 없거나 매출액의 산정이 곤란한 경우로서 대통령령으로 정하는 경우에는 4억원 이하의 과징금을 부과할 수 있다.
      ③ 보호위원회는 제1항에 따른 과징금을 부과하려면 다음 각 호의 사항을 고려하여야 한다.
      1. 위반행위의 내용 및 정도
      2. 위반행위의 기간 및 횟수
      3. 위반행위로 인하여 취득한 이익의 규모
      ④ 제1항에 따른 과징금은 제3항을 고려하여 산정하되, 구체적인 산정기준과 산정절차는 대통령령으로 정한다.
      ⑤ 보호위원회는 제1항에 따른 과징금을 내야 할 자가 납부기한까지 이를 내지 아니하면 납부기한의 다음 날부터 내지 아니한 과징금의 연 100분의 6에 해당하는 가산금을 징수한다.
      ⑥ 보호위원회는 제1항에 따른 과징금을 내야 할 자가 납부기한까지 이를 내지 아니한 경우에는 기간을 정하여 독촉을 하고, 그 지정된 기간에 과징금과 제5항에 따른 가산금을 내지 아니하면 국세 체납처분의 예에 따라 징수한다.
      ⑦ 법원의 판결 등의 사유로 제1항에 따라 부과된 과징금을 환급하는 경우에는 과징금을 낸 날부터 환급하는 날까지의 기간에 대하여 금융회사 등의 예금이자율 등을 고려하여 대통령령으로 정하는 이자율에 따라 계산한 환급가산금을 지급하여야 한다.
      ⑧ 제7항에도 불구하고 법원의 판결에 의하여 과징금 부과처분이 취소되어 그 판결이유에 따라 새로운 과징금을 부과하는 경우에는 당초 납부한 과징금에서 새로 부과하기로 결정한 과징금을 공제한 나머지 금액에 대해서만 환급가산금을 계산하여 지급한다.

    제50조 다음의 "제7장 개인정보 단체소송"을 "제8장 개인정보 단체소송"으로 하고, 제57조 다음의 "제8장 보칙"을 "제9장 보칙"으로 한다.

    제58조의2를 다음과 같이 신설한다.
    제58조의2(적용제외) 이 법은 시간ㆍ비용ㆍ기술 등을 합리적으로 고려할 때 다른 정보를 사용하여도 더 이상 개인을 알아볼 수 없는 정보에는 적용하지 아니한다.

    제60조제1호 중 "제8조"를 "제7조의8 및 제7조의9"로 하고, 같은 조에 제1호의2를 다음과 같이 신설한다.
      1의2. 제32조의2에 따른 개인정보 보호 인증 업무

    제61조제1항 중 "행정안전부장관은"을 "보호위원회는"으로, "보호위원회의 심의ㆍ의결을"을 "심의ㆍ의결을"로 하고, 같은 조 제2항 전단 중 "행정안전부장관은"을 "보호위원회는"으로 하며, 같은 항 후단 중 "행정안전부장관에게"를 "보호위원회에"로 한다.

    제62조제1항 중 "행정안전부장관에게"를 "보호위원회에"로 하고, 같은 조 제2항 전단 및 같은 조 제4항 중 "행정안전부장관은"을 각각 "보호위원회는"으로 한다.

    제63조제1항 각 호 외의 부분 및 같은 조 제2항 전단 중 "행정안전부장관은"을 각각 "보호위원회는"으로 하고, 같은 조 제4항부터 제6항까지를 각각 다음과 같이 하며, 같은 조 제7항 중 "행정안전부장관은"을 "보호위원회는"으로 하고, 같은 조에 제8항 및 제9항을 각각 다음과 같이 신설한다.
      ④ 보호위원회는 이 법을 위반하는 사항을 발견하거나 혐의가 있음을 알게 된 경우에는 관계 중앙행정기관의 장(해당 중앙행정기관의 장의 지휘ㆍ감독을 받아 검사권한을 수행하는 법인이 있는 경우 그 법인을 말한다)에게 구체적인 범위를 정하여 개인정보처리자에 대한 검사를 요구할 수 있으며, 필요 시 보호위원회의 소속 공무원이 해당 검사에 공동으로 참여하도록 요청할 수 있다. 이 경우 그 요구를 받은 관계 중앙행정기관의 장은 특별한 사정이 없으면 이에 따라야 한다.
      ⑤ 보호위원회는 관계 중앙행정기관의 장(해당 중앙행정기관의 장의 지휘ㆍ감독을 받아 검사권한을 수행하는 법인이 있는 경우 그 법인을 말한다)에게 제4항에 따른 검사 결과와 관련하여 개인정보처리자에 대한 시정조치를 요청하거나, 처분 등에 대한 의견을 제시할 수 있다.
      ⑥ 제4항 및 제5항에 대한 방법과 절차 등에 관한 사항은 대통령령으로 정한다.
      ⑧ 보호위원회와 관계 중앙행정기관의 장은 제1항 및 제2항에 따라 제출받거나 수집한 서류ㆍ자료 등을 이 법에 따른 경우를 제외하고는 제3자에게 제공하거나 일반에 공개해서는 아니 된다.  
      ⑨ 보호위원회와 관계 중앙행정기관의 장은 정보통신망을 통하여 자료의 제출 등을 받은 경우나 수집한 자료 등을 전자화한 경우에는 개인정보ㆍ영업비밀 등이 유출되지 아니하도록 제도적ㆍ기술적 보완조치를 하여야 한다.

    제64조제1항 중 "행정안전부장관은"을 "보호위원회는"으로 한다.

    제65조제1항 및 같은 조 제2항 전단 중 "행정안전부장관은"을 각각 "보호위원회는"으로 하고, 같은 조 제2항 후단 중 "행정안전부장관에게"를 "보호위원회에"로 한다.

    제66조제1항 중 "행정안전부장관은"을 "보호위원회는"으로, "보호위원회의 심의ㆍ의결을 거쳐 공표할 수 있다"를 "공표할 수 있다"로 한다.

    제68조제1항 중 "행정안전부장관"을 "보호위원회"로 하고, 같은 조 제2항 중 "행정안전부장관"을 각각 "보호위원회"로 하며, 같은 조 제3항 중 "행정안전부장관은"을 "보호위원회는"으로 한다.

    제69조 제목 외의 부분을 삭제하고, 같은 조에 제1항과 제2항을 각각 다음과 같이 신설한다.
      ① 보호위원회의 위원 중 공무원이 아닌 위원 및 공무원이 아닌 직원은 「형법」이나 그 밖의 법률에 따른 벌칙을 적용할 때에는 공무원으로 본다.
      ② 보호위원회 또는 관계 중앙행정기관의 장의 권한을 위탁한 업무에 종사하는 관계 기관의 임직원은 「형법」 제129조부터 제132조까지의 규정을 적용할 때에는 공무원으로 본다.

    제69조 다음의 "제9장 벌칙"을 "제10장 벌칙"으로 한다.

    제71조제2호 중 "제18조제1항ㆍ제2항"을 "제18조제1항ㆍ제2항(제39조의14에 따라 준용되는 경우를 포함한다)"으로, "제26조제5항 또는 제27조제3항을"을 "제26조제5항, 제27조제3항 또는 제28조의2를"로 하고, 같은 조에 제4호의2부터 제4호의6까지를 각각 다음과 같이 신설한다.
      4의2. 제28조의3을 위반하여 가명정보를 처리하거나 제3자에게 제공한 자 및 그 사정을 알면서도 영리 또는 부정한 목적으로 가명정보를 제공받은 자
      4의3. 제28조의5제1항을 위반하여 특정 개인을 알아보기 위한 목적으로 가명정보를 처리한 자
      4의4. 제36조제2항(제27조에 따라 정보통신서비스 제공자등으로부터 개인정보를 이전받은 자와 제39조의14에 따라 준용되는 경우를 포함한다)을 위반하여 정정ㆍ삭제 등 필요한 조치(제38조제2항에 따른 열람등요구에 따른 필요한 조치를 포함한다)를 하지 아니하고 개인정보를 이용하거나 이를 제3자에게 제공한 정보통신서비스 제공자등
      4의5. 제39조의3제1항(제39조의14에 따라 준용되는 경우를 포함한다)을 위반하여 이용자의 동의를 받지 아니하고 개인정보를 수집한 자
      4의6. 제39조의3제4항(제39조의14에 따라 준용되는 경우를 포함한다)을 위반하여 법정대리인의 동의를 받지 아니하거나 법정대리인이 동의하였는지를 확인하지 아니하고 만 14세 미만인 아동의 개인정보를 수집한 자

    제73조제1호 중 "제25조제6항"을 "제25조제6항, 제28조의4제1항"으로 하고, 같은 조에 제1호의2를 다음과 같이 신설한다.
      1의2. 제21조제1항(제39조의14에 따라 준용되는 경우를 포함한다)을 위반하여 개인정보를 파기하지 아니한 정보통신서비스 제공자등

    제75조제2항제4호 중 "제21조제1항"을 "제21조제1항ㆍ제39조의6(제39조의14에 따라 준용되는 경우를 포함한다)"으로, "개인정보를 파기하지 아니한"을 "개인정보의 파기 등 필요한 조치를 하지 아니한"으로 하고, 같은 항 제6호 중 "제25조제6항"을 "제25조제6항, 제28조의4제1항"으로 하며, 같은 항 제7호의2를 제7호의3으로 하고, 같은 항에 제7호의2 및 제12호의2부터 제12호의8까지를 각각 다음과 같이 신설한다.
      7의2. 제28조의5제2항을 위반하여 개인을 알아볼 수 있는 정보가 생성되었음에도 이용을 중지하지 아니하거나 이를 회수ㆍ파기하지 아니한 자
      12의2. 제39조의3제3항(제39조의14에 따라 준용되는 경우를 포함한다)을 위반하여 서비스의 제공을 거부한 자
      12의3. 제39조의4제1항(제39조의14에 따라 준용되는 경우를 포함한다)을 위반하여 이용자ㆍ보호위원회 및 전문기관에 통지 또는 신고하지 아니하거나 정당한 사유 없이 24시간을 경과하여 통지 또는 신고한 자
      12의4. 제39조의4제3항을 위반하여 소명을 하지 아니하거나 거짓으로 한 자
      12의5. 제39조의7제2항(제39조의14에 따라 준용되는 경우를 포함한다)을 위반하여 개인정보의 동의 철회ㆍ열람ㆍ정정 방법을 제공하지 아니한 자
      12의6. 제39조의7제3항(제39조의14에 따라 준용되는 경우와 제27조에 따라 정보통신서비스 제공자등으로부터 개인정보를 이전받은 자를 포함한다)을 위반하여 필요한 조치를 하지 아니한 정보통신서비스 제공자등
      12의7. 제39조의8제1항 본문(제39조의14에 따라 준용되는 경우를 포함한다)을 위반하여 개인정보의 이용내역을 통지하지 아니한 자
      12의8. 제39조의12제4항(같은 조 제5항에 따라 준용되는 경우를 포함한다)을 위반하여 보호조치를 하지 아니한 자

    제75조제3항 및 제4항을 각각 제4항 및 제5항으로 하고, 같은 조에 제3항을 다음과 같이 신설한다.
      ③ 다음 각 호의 어느 하나에 해당하는 자에게는 2천만원 이하의 과태료를 부과한다.
      1. 제39조의9제1항을 위반하여 보험 또는 공제 가입, 준비금 적립 등 필요한 조치를 하지 아니한 자
      2. 제39조의11제1항을 위반하여 국내대리인을 지정하지 아니한 자
      3. 제39조의12제2항 단서를 위반하여 제39조의12제3항 각 호의 사항 모두를 공개하거나 이용자에게 알리지 아니하고 이용자의 개인정보를 국외에 처리위탁ㆍ보관한 자

    제75조제4항(종전의 제3항)에 제6호의2를 다음과 같이 신설하고, 같은 조 제5항(종전의 제4항) 전단 중 "제3항"을 "제4항"으로, "행정안전부장관과"를 "보호위원회와"로 한다.
      6의2. 제28조의4제2항을 위반하여 관련 기록을 작성하여 보관하지 아니한 자

              부칙
    제1조(시행일) 이 법은 공포 후 6개월이 경과한 날부터 시행한다.
    제2조(위원 임기에 관한 경과조치) 이 법 시행 당시 종전의 규정에 따라 임명된 보호위원회의 위원의 임기는 이 법 시행 전날 만료된 것으로 본다.
    제3조(기능조정에 따른 소관 사무 등에 관한 경과조치) ① 이 법 시행 당시 「방송통신위원회의 설치 및 운영에 관한 법률」 제11조제1항의 방송통신위원회의 소관사무 중 개인정보 보호에 해당하는 사무는 보호위원회가 승계한다.
      ② 이 법 시행 당시 행정안전부장관의 소관 사무 중 제7조의8의 개정규정에 따른 사무는 보호위원회가 승계한다.
      ③ 이 법 시행 전에 행정안전부장관이 행한 고시ㆍ행정처분, 그 밖에 행정안전부장관의 행위와 행정안전부장관에 대한 신청ㆍ신고, 그 밖의 행위 중 그 소관이 행정안전부장관으로부터 보호위원회로 이관되는 사항에 관한 행위는 보호위원회의 행위 또는 보호위원회에 대한 행위로 본다.
      ④ 이 법 시행 전에 방송통신위원회가 행한 고시ㆍ행정처분, 그 밖의 행위와 신고 등 방송통신위원회에 대한 행위 중 그 소관이 방송통신위원회에서 보호위원회로 이관되는 사항에 관한 행위는 이 법에 따른 보호위원회의 행위 또는 보호위원회에 대한 행위로 본다.
      ⑤ 이 법 시행 당시 행정안전부ㆍ방송통신위원회 소속 공무원 중 대통령령으로 정하는 공무원은 이 법에 따른 보호위원회 소속 공무원으로 본다.
    제4조(보호위원회에 관한 경과조치) ① 이 법 시행 당시 종전의 규정에 따른 보호위원회의 행위나 보호위원회에 대한 행위는 이 법에 따른 보호위원회의 행위나 보호위원회에 대한 행위로 본다.
    제5조(개인정보보호 관리체계 인증기관 등에 관한 경과조치) ① 이 법 시행 당시 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(이하 "「정보통신망법」"이라 한다) 제47조의3에 따라 인증기관 또는 심사기관으로 지정받은 자는 이 법 제32조의2에 따라 전문기관으로 지정받은 것으로 본다.
      ② 이 법 시행 당시 「정보통신망법」 제47조의3에 따라 개인정보보호 관리체계 인증을 받거나 인증심사원 자격을 부여받은 자는 이 법 제32조의2에 따라 개인정보보호 관리체계 인증을 받거나 인증심사원 자격을 부여받은 것으로 본다.  
    제6조(권한의 위임ㆍ위탁에 관한 경과조치) 이 법 시행 당시 종전의 규정에 따라 행정안전부장관의 권한 일부를 위임 또는 위탁받은 특별시장, 광역시장, 도지사, 특별자치도지사, 특별자치시장 또는 전문기관은 이 법에 따라 보호위원회의 권한 일부를 위임 또는 위탁받은 것으로 본다.
    제7조(벌칙 및 과태료에 관한 경과조치) 이 법 시행 전의 행위에 대한 벌칙 및 과태료의 적용은 종전의 규정에 따른다.
    제8조(과징금 부과에 관한 경과조치) 이 법 시행 전에 종료된 행위에 대한 과징금의 부과는 종전의 규정에 따른다.
    제9조(다른 법률의 개정) ① 방송통신위원회의 설치 및 운영에 관한 법률 일부를 다음과 같이 개정한다.
      제11조제1항제2호 중 "개인정보보호윤리"를 "인터넷 윤리, 건전한 인터넷 이용환경 조성"으로 한다.
      ② 신용정보의 이용 및 보호에 관한 법률 일부를 다음과 같이 개정한다.
      제39조의2제4항 중 "행정안전부장관에게"를 "개인정보 보호위원회에"로 한다.
      ③ 정부조직법 일부를 다음과 같이 개정한다.
      제34조제1항 중 "전자정부, 개인정보보호"를 "전자정부"로 한다.
      ④ 주민등록법 일부를 다음과 같이 개정한다.
      제7조의5제6항제1호 중 "관계 행정기관(「개인정보 보호법」 제7조에 따른 개인정보 보호위원회를 포함한다)"을 "관계 행정기관"으로 한다.
    제10조(다른 법령과의 관계) ① 이 법 시행 당시 다른 법령(이 법 시행 전에 공포되었으나 시행일이 도래하지 아니한 법령을 포함한다)에서 이 법에 따라 보호위원회가 승계하는 방송통신위원회 및 행정안전부의 사무와 관련하여 "방송통신위원회" 또는 "방송통신위원회 위원장"을 인용한 경우에는 그 법령에서 규정한 내용에 따라 "보호위원회" 또는 "보호위원회 위원장"을 인용한 것으로, "방송통신위원회 소속 공무원"을 인용한 경우에는 "보호위원회 소속 공무원"을 인용한 것으로 보며, "행정안전부" 또는 "행정안전부장관"을 인용한 경우에는 그 법령에서 규정한 내용에 따라 "보호위원회" 또는 "보호위원회 위원장"을 인용한 것으로, "행정안전부 소속 공무원"을 인용한 경우에는 "보호위원회 소속 공무원"을 인용한 것으로 본다.
      ② 이 법 시행 당시 다른 법령에서 종전의 「정보통신망법」 또는 그 규정을 인용하고 있는 경우 이 법에 그에 해당하는 규정이 있는 때에는 이 법 또는 이 법의 해당 규정을 인용한 것으로 본다.

개인정보 보호법

[시행 2017. 7. 26.] [법률 제14839호, 2017. 7. 26., 타법개정]

【제정·개정문】

  • ⊙법률 제14839호(2017.7.26)
    정부조직법 일부개정법률

    [본문 생략]

            부칙
    제1조(시행일) ① 이 법은 공포한 날부터 시행한다. 다만, 부칙 제5조에 따라 개정되는 법률 중 이 법 시행 전에 공포되었으나 시행일이 도래하지 아니한 법률을 개정한 부분은 각각 해당 법률의 시행일부터 시행한다.
    제2조부터 제4조까지 생략
    제5조(다른 법률의 개정) ①부터 ㊽까지 생략
      ㊾ 개인정보 보호법 일부를 다음과 같이 개정한다.
      제11조제2항, 제12조제1항, 제13조 각 호 외의 부분, 제24조제4항ㆍ제5항, 제30조제4항, 제32조제1항 각 호 외의 부분 전단, 같은 조 제3항ㆍ제4항, 제32조의2제1항, 같은 조 제3항 각 호 외의 부분 본문, 같은 조 제4항ㆍ제5항, 제33조제1항 전단 및 후단, 같은 조 제3항ㆍ제5항, 제34조제3항 전단 및 후단, 제34조의2제1항 본문, 같은 조 제2항 각 호 외의 부분, 같은 조 제3항 전단, 같은 조 제4항, 제35조제2항, 제61조제1항, 같은 조 제2항 전단 및 후단, 제62조제1항, 같은 조 제2항 전단, 같은 조 제4항, 제63조제1항 각 호 외의 부분, 같은 조 제2항 전단, 같은 조 제4항 전단 및 후단, 같은 조 제5항부터 제7항까지, 제64조제1항 각 호 외의 부분, 제65조제1항, 같은 조 제2항 전단 및 후단, 제66조제1항, 제68조제1항부터 제3항까지, 제69조 및 제75조제4항 전단 중 "행정자치부장관"을 각각 "행정안전부장관"으로 한다.
      제18조제4항 중 "행정자치부령"을 "행정안전부령"으로 한다.
      법률 제14765호 개인정보 보호법 일부개정법률 제22조제2항 중 "행정자치부령"을 "행정안전부령"으로 한다.
      제24조의2제1항제3호 중 "안전행정부령"을 "행정안전부령"으로 하고, 같은 조 제4항 중 "안전행정부장관"을 "행정안전부장관"으로 한다.
      ㊿부터 <382>까지 생략
    제6조 생략

개인정보 보호법

[시행 2017. 10. 19.] [법률 제14765호, 2017. 4. 18., 일부개정]

【제정·개정문】

  • 국회에서 의결된 개인정보 보호법 일부개정법률을 이에 공포한다.
              대통령권한대행 국무총리        황교안 (인)
        2017년 4월 18일
              국무총리        황교안
              국무위원 행정자치부 장관        홍윤식

    ⊙법률 제14765호
    개인정보 보호법 일부개정법률

    개인정보 보호법 일부를 다음과 같이 개정한다.

    제22조제1항 중 "제5항"을 "제6항"으로 하고, 같은 조 제2항부터 제6항까지를 각각 제3항부터 제7항까지로 하며, 같은 조에 제2항을 다음과 같이 신설하고, 같은 조 제5항(종전의 제4항) 중 "제2항"을 "제3항"으로, "제3항"을 "제4항"으로 하며, 같은 조 제7항(종전의 제6항) 중 "제5항"을 각각 "제6항"으로 한다.
      ② 개인정보처리자는 제1항의 동의를 서면(「전자문서 및 전자거래 기본법」 제2조제1호에 따른 전자문서를 포함한다)으로 받을 때에는 개인정보의 수집ㆍ이용 목적, 수집ㆍ이용하려는 개인정보의 항목 등 대통령령으로 정하는 중요한 내용을 행정자치부령으로 정하는 방법에 따라 명확히 표시하여 알아보기 쉽게 하여야 한다.

    제75조제1항제2호 중 "제22조제5항"을 "제22조제6항"으로 하고, 같은 조 제2항제2호 중 "제22조제4항"을 "제22조제5항"으로 하며, 같은 조 제3항제2호 중 "제3항"을 "제4항"으로 한다.

              부칙
    이 법은 공포 후 6개월이 경과한 날부터 시행한다.

개인정보 보호법

[시행 2016. 9. 30.] [법률 제14107호, 2016. 3. 29., 일부개정]

【제정·개정문】

  • 국회에서 의결된 개인정보 보호법 일부개정법률을 이에 공포한다.
              대통령        박근혜 (인)
        2016년 3월 29일
              국무총리        황교안
              국무위원 행정자치부 장관        홍윤식

    ⊙법률 제14107호
    개인정보 보호법 일부개정법률

    개인정보 보호법 일부를 다음과 같이 개정한다.

    제20조제2항을 제4항으로 하고, 같은 조에 제2항 및 제3항을 각각 다음과 같이 신설하며, 같은 조 제4항(종전의 제2항) 각 호 외의 부분 본문 중 "제1항은"을 "제1항과 제2항 본문은"으로 한다.
      ② 제1항에도 불구하고 처리하는 개인정보의 종류ㆍ규모, 종업원 수 및 매출액 규모 등을 고려하여 대통령령으로 정하는 기준에 해당하는 개인정보처리자가 제17조제1항제1호에 따라 정보주체 이외로부터 개인정보를 수집하여 처리하는 때에는 제1항 각 호의 모든 사항을 정보주체에게 알려야 한다. 다만, 개인정보처리자가 수집한 정보에 연락처 등 정보주체에게 알릴 수 있는 개인정보가 포함되지 아니한 경우에는 그러하지 아니하다.
      ③ 제2항 본문에 따라 알리는 경우 정보주체에게 알리는 시기ㆍ방법 및 절차 등 필요한 사항은 대통령령으로 정한다.

    제22조제2항 전단 중 "제23조제1호"를 "제23조제1항제1호"로 한다.

    제23조 제목 외의 부분을 제1항으로 하고, 같은 조에 제2항을 다음과 같이 신설한다.
      ② 개인정보처리자가 제1항 각 호에 따라 민감정보를 처리하는 경우에는 그 민감정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 제29조에 따른 안전성 확보에 필요한 조치를 하여야 한다.

    제24조에 제4항 및 제5항을 각각 다음과 같이 신설한다.
      ④ 행정자치부장관은 처리하는 개인정보의 종류ㆍ규모, 종업원 수 및 매출액 규모 등을 고려하여 대통령령으로 정하는 기준에 해당하는 개인정보처리자가 제3항에 따라 안전성 확보에 필요한 조치를 하였는지에 관하여 대통령령으로 정하는 바에 따라 정기적으로 조사하여야 한다.
      ⑤ 행정자치부장관은 대통령령으로 정하는 전문기관으로 하여금 제4항에 따른 조사를 수행하게 할 수 있다.

    제24조의2제1항제1호 중 "법령에서"를 "법률ㆍ대통령령ㆍ국회규칙ㆍ대법원규칙ㆍ헌법재판소규칙ㆍ중앙선거관리위원회규칙 및 감사원규칙에서"로 한다.

    제25조제4항 본문 중 "대통령령으로 정하는 바에 따라 안내판 설치"를 "다음 각 호의 사항이 포함된 안내판을 설치하는"으로 하고, 같은 항 단서 중 "대통령령으로"를 "「군사기지 및 군사시설 보호법」 제2조제2호에 따른 군사시설, 「통합방위법」 제2조제13호에 따른 국가중요시설, 그 밖에 대통령령으로"로 하며, 같은 항에 각 호를 다음과 같이 신설한다.
      1. 설치 목적 및 장소
      2. 촬영 범위 및 시간
      3. 관리책임자 성명 및 연락처
      4. 그 밖에 대통령령으로 정하는 사항

    제30조제1항제5호 중 "정보주체"를 "정보주체와 법정대리인"으로 하고, 같은 항 제6호를 제8호로 하며, 같은 항에 제6호 및 제7호를 각각 다음과 같이 신설한다.
      6. 제31조에 따른 개인정보 보호책임자의 성명 또는 개인정보 보호업무 및 관련 고충사항을 처리하는 부서의 명칭과 전화번호 등 연락처
      7. 인터넷 접속정보파일 등 개인정보를 자동으로 수집하는 장치의 설치ㆍ운영 및 그 거부에 관한 사항(해당하는 경우에만 정한다)

    제67조제2항제5호를 제6호로 하고, 같은 항에 제5호를 다음과 같이 신설한다.
      5. 주민등록번호 처리와 관련된 법률ㆍ대통령령ㆍ국회규칙ㆍ대법원규칙ㆍ헌법재판소규칙ㆍ중앙선거관리위원회규칙 및 감사원규칙의 제정ㆍ개정 현황

    제71조제3호 중 "제23조"를 "제23조제1항"으로 한다.

    제73조제1호 중 "제24조제3항"을 "제23조제2항, 제24조제3항"으로 한다.

    제75조제2항제3호 중 "제20조제1항"을 "제20조제1항 또는 제2항"으로 하고, 같은 항 제6호 중 "제24조제3항"을 "제23조제2항, 제24조제3항"으로 한다.

              부칙
    제1조(시행일) 이 법은 공포 후 6개월이 경과한 날부터 시행한다. 다만, 제24조의2제1항제1호 및 제67조제2항제5호의 개정규정은 공포 후 1년이 경과한 날부터 시행한다.
    제2조(정보주체 이외로부터 수집한 개인정보의 수집 출처 등 고지에 관한 적용례) 제20조제2항 및 제3항의 개정규정은 이 법 시행 후 최초로 정보주체 이외로부터 개인정보를 수집하는 경우부터 적용한다.
    제3조(개인정보 처리방침에 관한 경과조치) ① 이 법 시행 당시 종전의 규정에 따른 개인정보 처리방침은 제30조제1항의 개정규정에 따른 개인정보 처리방침으로 본다.
      ② 개인정보처리자는 이 법 시행 후 6개월 이내에 제1항에 따른 개인정보 처리방침을 제30조제1항의 개정취지에 맞도록 개정하여야 한다.

개인정보 보호법

[시행 2015. 7. 24.] [법률 제13423호, 2015. 7. 24., 일부개정]

【제정·개정문】

  • 국회에서 의결된 개인정보 보호법 일부개정법률을 이에 공포한다.
              대통령        박근혜 (인)
        2015년 7월 24일
              국무총리        황교안
              국무위원 행정자치부 장관        정종섭

    ⊙법률 제13423호
    개인정보 보호법 일부개정법률

    개인정보 보호법 일부를 다음과 같이 개정한다.

    제8조제1항제1호를 제1호의2로 하고, 같은 항에 제1호를 다음과 같이 신설하며, 같은 조 제2항 중 "필요하면 관계 공무원, 개인정보 보호에 관한 전문 지식이 있는 사람이나 시민사회단체 및 관련 사업자로부터 의견을 들을 수 있고, 관계 기관 등에 대하여 자료 등의 제출을 요구할 수 있다"를 "필요한 경우 다음 각 호의 조치를 할 수 있다"로 하고, 같은 항에 각 호를 다음과 같이 신설하며, 같은 조에 제3항부터 제5항까지를 각각 다음과 같이 신설한다.
      1. 제8조의2에 따른 개인정보 침해요인 평가에 관한 사항
      1. 관계 공무원, 개인정보 보호에 관한 전문 지식이 있는 사람이나 시민사회단체 및 관련 사업자로부터의 의견 청취
      2. 관계 기관 등에 대한 자료제출이나 사실조회 요구
      ③ 제2항제2호에 따른 요구를 받은 관계 기관 등은 특별한 사정이 없으면 이에 응하여야 한다.
      ④ 보호위원회는 제1항제2호의 사항을 심의·의결한 경우에는 관계 기관에 그 개선을 권고할 수 있다.
      ⑤ 보호위원회는 제4항에 따른 권고 내용의 이행 여부를 점검할 수 있다.

    제8조의2를 다음과 같이 신설한다.
    제8조의2(개인정보 침해요인 평가) ① 중앙행정기관의 장은 소관 법령의 제정 또는 개정을 통하여 개인정보 처리를 수반하는 정책이나 제도를 도입·변경하는 경우에는 보호위원회에 개인정보 침해요인 평가를 요청하여야 한다.
      ② 보호위원회가 제1항에 따른 요청을 받은 때에는 해당 법령의 개인정보 침해요인을 분석·검토하여 그 법령의 소관기관의 장에게 그 개선을 위하여 필요한 사항을 권고할 수 있다.
      ③ 제1항에 따른 개인정보 침해요인 평가의 절차와 방법에 관하여 필요한 사항은 대통령령으로 정한다.

    제9조제1항 중 "개인정보의"를 "보호위원회는 개인정보의"로, "행정자치부장관은 3년마다"를 "3년마다"로, "협의 하에 작성하여 보호위원회에 제출하고, 보호위원회의 심의·의결을 거쳐 시행하여야 한다"를 "협의하여 수립한다"로 한다.

    제11조제1항 중 "행정자치부장관은"을 "보호위원회는"으로, "수립·추진하기"를 "수립하기"로, "관계 단체"를 "관계 기관·단체"로 하고, 같은 조 제2항부터 제4항까지를 각각 제3항부터 제5항까지로 하며, 같은 조에 제2항을 다음과 같이 신설하고, 같은 조 제4항(종전의 제3항) 및 제5항(종전의 제4항) 중 "제1항 및 제2항에"를 각각 "제1항부터 제3항까지에"로 한다.
      ② 행정자치부장관은 개인정보 보호 정책 추진, 성과평가 등을 위하여 필요한 경우 개인정보처리자, 관계 중앙행정기관의 장, 지방자치단체의 장 및 관계 기관·단체 등을 대상으로 개인정보관리 수준 및 실태파악 등을 위한 조사를 실시할 수 있다.

    제24조제3항 중 "변조"를 "위조·변조"로 한다.

    법률 제12504호 개인정보 보호법 일부개정법률 제24조의2제2항 전단 중 "변조"를 "위조·변조"로 한다.

    제25조제6항, 제26조제4항, 제29조 중 "변조"를 각각 "위조·변조"로 한다.

    제32조의2를 다음과 같이 신설한다.
    제32조의2(개인정보 보호 인증) ① 행정자치부장관은 개인정보처리자의 개인정보 처리 및 보호와 관련한 일련의 조치가 이 법에 부합하는지 등에 관하여 인증할 수 있다.
      ② 제1항에 따른 인증의 유효기간은 3년으로 한다.
      ③ 행정자치부장관은 다음 각 호의 어느 하나에 해당하는 경우에는 대통령령으로 정하는 바에 따라 제1항에 따른 인증을 취소할 수 있다. 다만, 제1호에 해당하는 경우에는 취소하여야 한다.
      1. 거짓이나 그 밖의 부정한 방법으로 개인정보 보호 인증을 받은 경우
      2. 제4항에 따른 사후관리를 거부 또는 방해한 경우
      3. 제8항에 따른 인증기준에 미달하게 된 경우
      4. 개인정보 보호 관련 법령을 위반하고 그 위반사유가 중대한 경우
      ④ 행정자치부장관은 개인정보 보호 인증의 실효성 유지를 위하여 연 1회 이상 사후관리를 실시하여야 한다.
      ⑤ 행정자치부장관은 대통령령으로 정하는 전문기관으로 하여금 제1항에 따른 인증, 제3항에 따른 인증 취소, 제4항에 따른 사후관리 및 제7항에 따른 인증 심사원 관리 업무를 수행하게 할 수 있다.
      ⑥ 제1항에 따른 인증을 받은 자는 대통령령으로 정하는 바에 따라 인증의 내용을 표시하거나 홍보할 수 있다.
      ⑦ 제1항에 따른 인증을 위하여 필요한 심사를 수행할 심사원의 자격 및 자격 취소 요건 등에 관하여는 전문성과 경력 및 그 밖에 필요한 사항을 고려하여 대통령령으로 정한다.
      ⑧ 그 밖에 개인정보 관리체계, 정보주체 권리보장, 안전성 확보조치가 이 법에 부합하는지 여부 등 제1항에 따른 인증의 기준·방법·절차 등 필요한 사항은 대통령령으로 정한다.

    제34조의2제1항 본문·단서 및 같은 조 제2항제2호 중 "변조"를 각각 "위조·변조"로 한다.

    제39조제2항을 삭제하고, 같은 조에 제3항 및 제4항을 각각 다음과 같이 신설한다.
      ③ 개인정보처리자의 고의 또는 중대한 과실로 인하여 개인정보가 분실·도난·유출·위조·변조 또는 훼손된 경우로서 정보주체에게 손해가 발생한 때에는 법원은 그 손해액의 3배를 넘지 아니하는 범위에서 손해배상액을 정할 수 있다. 다만, 개인정보처리자가 고의 또는 중대한 과실이 없음을 증명한 경우에는 그러하지 아니하다.
      ④ 법원은 제3항의 배상액을 정할 때에는 다음 각 호의 사항을 고려하여야 한다.
      1. 고의 또는 손해 발생의 우려를 인식한 정도
      2. 위반행위로 인하여 입은 피해 규모
      3. 위법행위로 인하여 개인정보처리자가 취득한 경제적 이익
      4. 위반행위에 따른 벌금 및 과징금
      5. 위반행위의 기간·횟수 등
      6. 개인정보처리자의 재산상태
      7. 개인정보처리자가 정보주체의 개인정보 분실·도난·유출 후 해당 개인정보를 회수하기 위하여 노력한 정도
      8. 개인정보처리자가 정보주체의 피해구제를 위하여 노력한 정도

    제5장에 제39조의2를 다음과 같이 신설한다.
    제39조의2(법정손해배상의 청구) ① 제39조제1항에도 불구하고 정보주체는 개인정보처리자의 고의 또는 과실로 인하여 개인정보가 분실·도난·유출·위조·변조 또는 훼손된 경우에는 300만원 이하의 범위에서 상당한 금액을 손해액으로 하여 배상을 청구할 수 있다. 이 경우 해당 개인정보처리자는 고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다.
      ② 법원은 제1항에 따른 청구가 있는 경우에 변론 전체의 취지와 증거조사의 결과를 고려하여 제1항의 범위에서 상당한 손해액을 인정할 수 있다.
      ③ 제39조에 따라 손해배상을 청구한 정보주체는 사실심(事實審)의 변론이 종결되기 전까지 그 청구를 제1항에 따른 청구로 변경할 수 있다.

    제40조제2항 중 "그 중 1명은 상임위원으로 한다"를 "위원은 당연직위원과 위촉위원으로 구성한다"로 하고, 같은 조 제3항 각 호 외의 부분 중 "위원은"을 "위촉위원은"으로, "행정자치부장관이 임명하거나 위촉한다"를 "보호위원회 위원장이 위촉하고, 대통령령으로 정하는 국가기관 소속 공무원은 당연직위원이 된다"로 하며, 같은 항 제1호 중 "속하는 공무원"을 "속하는 공무원으로 재직하였던 사람"으로 하고, 같은 조 제4항 중 "행정자치부장관이 임명한다"를 "보호위원회 위원장이 위촉한다"로 하며, 같은 조 제5항 본문 중 "위원의"를 "위촉위원의"로 하고, 같은 항 단서를 삭제하며, 같은 조 제8항을 다음과 같이 한다.
      ⑧ 보호위원회는 분쟁조정 접수, 사실 확인 등 분쟁조정에 필요한 사무를 처리할 수 있다.

    제63조제2항 전단 중 "개인정보처리자의"를 "개인정보처리자 및 해당 법 위반사실과 관련한 관계인의"로 하고, 같은 조 제3항 중 "제2항에"를 "개인정보처리자 및 해당 법 위반사실과 관련한 관계인에 대하여 제2항에"로 하며, 같은 조 제4항 및 제5항을 각각 제5항 및 제6항으로 하고, 같은 조에 제4항 및 제7항을 각각 다음과 같이 신설하며, 같은 조 제5항(종전의 제4항) 중 "개인정보처리자로부터"를 "제1항 및 제2항에 따라"로 한다.
      ④ 보호위원회는 이 법을 위반하는 사항을 발견하거나 혐의가 있음을 알게 된 경우에는 행정자치부장관 또는 관계 중앙행정기관의 장에게 제1항 각 호 외의 부분 또는 제3항에 따른 조치를 하도록 요구할 수 있다. 이 경우 그 요구를 받은 행정자치부장관 또는 관계 중앙행정기관의 장은 특별한 사정이 없으면 이에 응하여야 한다.
      ⑦ 행정자치부장관은 개인정보 침해사고의 예방과 효과적인 대응을 위하여 관계 중앙행정기관의 장과 합동으로 개인정보 보호실태를 점검할 수 있다.

    제70조 중 "공공기관의 개인정보 처리업무를 방해할 목적으로 공공기관에서 처리하고 있는 개인정보를 변경하거나 말소하여 공공기관의 업무 수행의 중단·마비 등 심각한 지장을 초래한"을 "다음 각 호의 어느 하나에 해당하는"으로 하고, 같은 조에 각 호를 다음과 같이 신설한다.
      1. 공공기관의 개인정보 처리업무를 방해할 목적으로 공공기관에서 처리하고 있는 개인정보를 변경하거나 말소하여 공공기관의 업무 수행의 중단·마비 등 심각한 지장을 초래한 자
      2. 거짓이나 그 밖의 부정한 수단이나 방법으로 다른 사람이 처리하고 있는 개인정보를 취득한 후 이를 영리 또는 부정한 목적으로 제3자에게 제공한 자와 이를 교사·알선한 자

    제73조 각 호 외의 부분 중 "1천만원"을 "2천만원"으로 하고, 같은 조 제1호 중 "변조"를 "위조·변조"로 한다.

    제74조의2를 다음과 같이 신설한다.
    제74조의2(몰수·추징 등) 제70조부터 제73조까지의 어느 하나에 해당하는 죄를 지은 자가 해당 위반행위와 관련하여 취득한 금품이나 그 밖의 이익은 몰수할 수 있으며, 이를 몰수할 수 없을 때에는 그 가액을 추징할 수 있다. 이 경우 몰수 또는 추징은 다른 벌칙에 부가하여 과할 수 있다.

    법률 제12504호 개인정보 보호법 일부개정법률 제75조제2항에 제4호의3을 다음과 같이 신설한다.
      4의3. 제24조의2제2항을 위반하여 암호화 조치를 하지 아니한 자

    제75조제2항에 제7호의2를 다음과 같이 신설한다.
      7의2. 제32조의2제6항을 위반하여 인증을 받지 아니하였음에도 거짓으로 인증의 내용을 표시하거나 홍보한 자

              부칙
    제1조(시행일) 이 법은 공포한 날부터 시행한다. 다만, 제8조제1항, 제8조의2, 제9조, 제11조제1항, 제32조의2, 제39조제3항·제4항, 제39조의2, 제40조, 제75조제2항제7호의2의 개정규정은 공포 후 1년이 경과한 날부터, 법률 제12504호 개인정보 보호법 일부개정법률 제24조의2제2항 전단 및 제75조제2항제4호의3의 개정규정은 2016년 1월 1일부터 각각 시행한다.
    제2조(손해배상에 관한 적용례) 제39조제3항·제4항 및 제39조의2의 개정규정은 이 법 시행 후에 분실·도난·유출·위조·변조 또는 훼손된 개인정보에 관한 손해배상 청구분부터 적용한다.
    제3조(개인정보 보호 인증에 관한 경과조치) 이 법 시행 전에 행정자치부장관으로부터 개인정보 보호 인증을 받은 자는 제32조의2의 개정규정에 따른 개인정보 보호 인증을 받은 것으로 본다.
    제4조(개인정보 인증 심사원 자격에 관한 경과조치) 이 법 시행 전에 개인정보 보호 인증 심사원의 자격을 취득한 자는 이 법에 따른 개인정보 보호 인증 심사원의 자격을 취득한 것으로 본다.
    제5조(개인정보 분쟁조정위원회 위원의 임기에 관한 경과조치) 이 법 시행 전에 행정자치부장관이 임명하거나 위촉한 분쟁조정위원회 위원은 제40조의 개정규정에 따른 보호위원회가 위촉한 분쟁조정위원회 위원으로 본다.
    제6조(벌칙 등에 관한 경과조치) 이 법 시행 전의 위반행위에 대하여 벌칙 또는 과태료를 적용할 때에는 종전의 규정에 따른다.

개인정보 보호법

[시행 2014. 11. 19.] [법률 제12844호, 2014. 11. 19., 타법개정]

【제정·개정문】

  • ⊙법률 제12844호(2014.11.19)
    정부조직법 일부개정법률

    [본문 생략]

            부칙
    제1조(시행일) 이 법은 공포한 날부터 시행한다. 다만, 부칙 제6조에 따라 개정되는 법률 중 이 법 시행 전에 공포되었으나 시행일이 도래하지 아니한 법률을 개정한 부분은 각각 해당 법률의 시행일부터 시행한다.
    제2조부터 제5조까지 생략
    제6조(다른 법률의 개정) ①부터 <55>까지 생략
      <56> 개인정보 보호법 일부를 다음과 같이 개정한다.
      제9조제1항, 제11조제1항, 제12조제1항, 제13조 각 호 외의 부분, 제24조의2제1항제3호, 제30조제4항, 제32조제1항 각 호 외의 부분 전단, 같은 조 제3항ㆍ제4항, 제33조제1항 전단ㆍ후단, 같은 조 제3항ㆍ제5항, 제34조제3항 전단ㆍ후단, 제34조의2제1항 본문, 같은 조 제2항 각 호 외의 부분, 같은 조 제3항 전단, 같은 조 제4항, 제35조제2항, 제40조제3항 각 호 외의 부분, 같은 조 제4항ㆍ제8항, 제61조제1항, 같은 조 제2항 전단ㆍ후단, 제62조제1항, 같은 조 제2항 전단, 같은 조 제4항, 제63조제1항 각 호 외의 부분, 같은 조 제2항 전단, 같은 조 제4항ㆍ제5항, 제64조제1항 각 호 외의 부분, 제65조제1항, 같은 조 제2항 전단ㆍ후단, 제66조제1항, 제68조제1항부터 제3항까지, 제69조 및 제75조제4항 전단 중 "안전행정부장관"을 각각 "행정자치부장관"으로 한다.
      제18조제4항 중 "안전행정부령"을 "행정자치부령"으로 한다.
      <57>부터 <258>까지 생략
    제7조 생략

개인정보 보호법

[시행 2014. 3. 24.] [법률 제12504호, 2014. 3. 24., 일부개정]

【제정·개정문】

  • 국회에서 의결된 개인정보 보호법 일부개정법률을 이에 공포한다.
              대통령        박근혜 (인)
        2014년 3월 24일
              국무총리        정홍원
              국무위원 안전행정부 장관

    ⊙법률 제12504호
    개인정보 보호법 일부개정법률

    개인정보 보호법 일부를 다음과 같이 개정한다.

    제1조 중 "수집ㆍ유출ㆍ오용ㆍ남용으로부터 사생활의 비밀 등을 보호함으로써 국민의 권리와 이익을 증진하고"를 "처리 및 보호에 관한 사항을 정함으로써 개인의 자유와 권리를 보호하고"로, "구현하기 위하여 개인정보 처리에 관한 사항을 규정함을"을 "구현함을"로 한다.

    제2조제2호 중 "생성,"을 "생성, 연계, 연동,"으로 한다.

    제6조 중 "「정보통신망 이용촉진 및 정보보호 등에 관한 법률」, 「신용정보의 이용 및 보호에 관한 법률」 등 다른"을 "다른"으로 한다.

    법률 제11990호 개인정보 보호법 일부개정법률 일부를 다음과 같이 개정한다.
    제24조의2제2항 및 제3항을 각각 제3항 및 제4항으로 하고, 같은 조에 제2항을 다음과 같이 신설하며, 같은 조 제4항(종전의 제3항) 중 "제2항"을 "제3항"으로 한다.
      ② 개인정보처리자는 제24조제3항에도 불구하고 주민등록번호가 분실ㆍ도난ㆍ유출ㆍ변조 또는 훼손되지 아니하도록 암호화 조치를 통하여 안전하게 보관하여야 한다. 이 경우 암호화 적용 대상 및 대상별 적용 시기 등에 관하여 필요한 사항은 개인정보의 처리 규모와 유출 시 영향 등을 고려하여 대통령령으로 정한다.

    제75조제2항제5호 중 "제24조의2제2항"을 "제24조의2제3항"으로 한다.

              부칙
    이 법은 공포한 날부터 시행한다. 다만, 법률 제11990호 개인정보 보호법 일부개정법률 제24조의2 및 제75조제2항제5호의 개정규정은 2016년 1월 1일부터 시행한다.

개인정보 보호법

[시행 2014. 8. 7.] [법률 제11990호, 2013. 8. 6., 일부개정]

【제정·개정문】

  • 국회에서 의결된 개인정보 보호법 일부개정법률을 이에 공포한다.
              대통령        박근혜 (인)
        2013년 8월 6일
              국무총리        정홍원
              국무위원 안전행정부 장관        유정복

    ⊙법률 제11990호
    개인정보 보호법 일부개정법률

    개인정보 보호법 일부를 다음과 같이 개정한다.

    제16조제2항을 제3항으로 하고, 같은 조에 제2항을 다음과 같이 신설한다.
      ② 개인정보처리자는 정보주체의 동의를 받아 개인정보를 수집하는 경우 필요한 최소한의 정보 외의 개인정보 수집에는 동의하지 아니할 수 있다는 사실을 구체적으로 알리고 개인정보를 수집하여야 한다.

    제18조의 제목 "(개인정보의 이용ㆍ제공 제한)"을 "(개인정보의 목적 외 이용ㆍ제공 제한)"으로 한다.

    제24조제2항 및 제4항을 각각 삭제한다.

    제24조의2를 다음과 같이 신설한다.
    제24조의2(주민등록번호 처리의 제한) ① 제24조제1항에도 불구하고 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우를 제외하고는 주민등록번호를 처리할 수 없다.
      1. 법령에서 구체적으로 주민등록번호의 처리를 요구하거나 허용한 경우
      2. 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 명백히 필요하다고 인정되는 경우
      3. 제1호 및 제2호에 준하여 주민등록번호 처리가 불가피한 경우로서 안전행정부령으로 정하는 경우
      ② 개인정보처리자는 제1항 각 호에 따라 주민등록번호를 처리하는 경우에도 정보주체가 인터넷 홈페이지를 통하여 회원으로 가입하는 단계에서는 주민등록번호를 사용하지 아니하고도 회원으로 가입할 수 있는 방법을 제공하여야 한다.
      ③ 안전행정부장관은 개인정보처리자가 제2항에 따른 방법을 제공할 수 있도록 관계 법령의 정비, 계획의 수립, 필요한 시설 및 시스템의 구축 등 제반 조치를 마련ㆍ지원할 수 있다.

    제4장에 제34조의2를 다음과 같이 신설한다.
    제34조의2(과징금의 부과 등) ① 안전행정부장관은 개인정보처리자가 처리하는 주민등록번호가 분실ㆍ도난ㆍ유출ㆍ변조 또는 훼손된 경우에는 5억원 이하의 과징금을 부과ㆍ징수할 수 있다. 다만, 주민등록번호가 분실ㆍ도난ㆍ유출ㆍ변조 또는 훼손되지 아니하도록 개인정보처리자가 제24조제3항에 따른 안전성 확보에 필요한 조치를 다한 경우에는 그러하지 아니하다.
      ② 안전행정부장관은 제1항에 따른 과징금을 부과하는 경우에는 다음 각 호의 사항을 고려하여야 한다.
      1. 제24조제3항에 따른 안전성 확보에 필요한 조치 이행 노력 정도
      2. 분실ㆍ도난ㆍ유출ㆍ변조 또는 훼손된 주민등록번호의 정도
      3. 피해확산 방지를 위한 후속조치 이행 여부
      ③ 안전행정부장관은 제1항에 따른 과징금을 내야 할 자가 납부기한까지 내지 아니하면 납부기한의 다음 날부터 과징금을 낸 날의 전날까지의 기간에 대하여 내지 아니한 과징금의 연 100분의 6의 범위에서 대통령령으로 정하는 가산금을 징수한다. 이 경우 가산금을 징수하는 기간은 60개월을 초과하지 못한다.
      ④ 안전행정부장관은 제1항에 따른 과징금을 내야 할 자가 납부기한까지 내지 아니하면 기간을 정하여 독촉을 하고, 그 지정한 기간 내에 과징금 및 제2항에 따른 가산금을 내지 아니하면 국세 체납처분의 예에 따라 징수한다.
      ⑤ 과징금의 부과ㆍ징수에 관하여 그 밖에 필요한 사항은 대통령령으로 정한다.

    제65조제2항 전단 중 "책임이 있는 자"를 "책임이 있는 자(대표자 및 책임있는 임원을 포함한다)"로, "그 소속 기관ㆍ단체 등의 장"을 "해당 개인정보처리자"로 한다.

    제75조제2항제2호 중 "제16조제2항"을 "제16조제3항"으로 하고, 같은항에 제4호의2를 다음과 같이 신설하며, 같은 항 제5호 중 "제24조제2항"을 "제24조의2제2항"으로 한다.
      4의2. 제24조의2제1항을 위반하여 주민등록번호를 처리한 자

    제76조를 다음과 같이 신설한다.
    제76조(과태료에 관한 규정 적용의 특례) 제75조의 과태료에 관한 규정을 적용할 때 제34조의2에 따라 과징금을 부과한 행위에 대하여는 과태료를 부과할 수 없다.

              부칙
    제1조(시행일) 이 법은 공포 후 1년이 경과한 날부터 시행한다.
    제2조(주민등록번호 처리 제한에 관한 경과조치) ① 이 법 시행 당시 주민등록번호를 처리하고 있는 개인정보처리자는 이 법 시행일부터 2년 이내에 보유하고 있는 주민등록번호를 파기하여야 한다. 다만, 제24조의2제1항 각 호의 개정규정의 어느 하나에 해당하는 경우는 제외한다.
      ② 제1항에 따른 기간 이내에 보유하고 있는 주민등록번호를 파기하지 아니한 경우에는 제24조의2제1항의 개정규정을 위반한 것으로 본다.

개인정보 보호법

[시행 2013. 3. 23.] [법률 제11690호, 2013. 3. 23., 타법개정]

【제정·개정문】

  • ⊙법률 제11690호(2013.3.23)
    정부조직법 전부개정법률

    [본문 생략]

            부칙
    제1조(시행일) ① 이 법은 공포한 날부터 시행한다.
      ②생략
    제2조부터 제5조까지 생략
    제6조(다른 법률의 개정) ①부터 <149>까지 생략
      <150> 개인정보 보호법 일부를 다음과 같이 개정한다.
      제9조제1항, 제11조제1항, 제12조제1항, 제13조 각 호 외의 부분, 제24조제4항, 제30조제4항, 제32조제1항 각 호 외의 부분 전단, 같은 조 제3항ㆍ제4항, 제33조제1항 전단ㆍ후단, 같은 조 제3항ㆍ제5항, 제34조제3항 전단ㆍ후단, 제35조제2항, 제40조제3항 각 호 외의 부분, 같은 조 제4항ㆍ제8항, 제61조제1항, 같은 조 제2항 전단ㆍ후단, 제62조제1항, 같은 조 제2항 전단, 같은 조 제4항, 제63조제1항 각 호 외의 부분, 같은 조 제2항 전단, 같은 조 제4항ㆍ제5항, 제64조제1항 각 호 외의 부분, 제65조제1항, 같은 조 제2항 전단ㆍ후단, 제66조제1항, 제68조제1항부터 제3항까지, 제69조 및 제75조제4항 전단 중 "행정안전부장관"을 각각 "안전행정부장관"으로 한다.
      제18조제4항 중 "행정안전부령"을 "안전행정부령"으로 한다.
      <151>부터 <710>까지 생략
    제7조 생략

개인정보 보호법

[시행 2011. 9. 30.] [법률 제10465호, 2011. 3. 29., 제정]

【제정·개정문】

  • 국회에서 의결된 개인정보 보호법을 이에 공포한다.
              대통령        이명박 (인)
        2011년 3월 29일
              국무총리        김황식
              국무위원 행정안전부 장관        맹형규
    ⊙법률 제10465호
    개인정보 보호법
    [본문과 동일하여 생략]
             부칙
    제1조(시행일) 이 법은 공포 후 6개월이 경과한 날부터 시행한다. 다만, 제24조제2항 및 제75조제2항제5호는 공포 후 1년이 경과한 날부터 시행한다.
    제2조(다른 법률의 폐지) 공공기관의 개인정보보호에 관한 법률은 폐지한다.
    제3조(개인정보분쟁조정위원회에 관한 경과조치) 이 법 시행 당시 종전의 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」에 따른 개인정보분쟁조정위원회의 행위나 개인정보분쟁조정위원회에 대한 행위는 그에 해당하는 이 법에 따른 개인정보 분쟁조정위원회의 행위나 개인정보 분쟁조정위원회에 대한 행위로 본다.
    제4조(처리 중인 개인정보에 관한 경과조치) 이 법 시행 전에 다른 법령에 따라 적법하게 처리된 개인정보는 이 법에 따라 처리된 것으로 본다.
    제5조(벌칙의 적용에 관한 경과조치) ① 이 법 시행 전에 종전의 「공공기관의 개인정보보호에 관한 법률」을 위반한 행위에 대하여 벌칙을 적용할 때에는 종전의 「공공기관의 개인정보보호에 관한 법률」에 따른다.
      ② 이 법 시행 전에 종전의 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」을 위반한 행위에 대하여 벌칙을 적용할 때에는 종전의 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」에 따른다.
    제6조(다른 법률의 개정) ① 6·25 전사자유해의 발굴 등에 관한 법률 일부를 다음과 같이 개정한다.
      제14조제1항제2호 중 “「공공기관의 개인정보보호에 관한 법률」 제2조제2호”를 “「개인정보 보호법」 제2조제1호”로 한다.
      ② 공직자윤리법 일부를 다음과 같이 개정한다.
      제6조제6항 및 제9항 중 “「공공기관의 개인정보보호에 관한 법률」 제10조”를 각각 “「개인정보 보호법」 제18조”로 한다.
      ③ 국가공무원법 일부를 다음과 같이 개정한다.
      제19조의3제3항 중 “「공공기관의 개인정보보호에 관한 법률」 제2조제1호”를 “「개인정보 보호법」 제2조제6호”로 하고, 같은 조 제4항 중 “「공공기관의 개인정보보호에 관한 법률」”을 “「개인정보 보호법」”으로 한다.
      ④ 발명진흥법 일부를 다음과 같이 개정한다.
      제20조의2제1항 중 “「공공기관의 개인정보보호에 관한 법률」”을 “「개인정보 보호법」”으로 한다.
      ⑤ 신용정보의 이용 및 보호에 관한 법률 일부를 다음과 같이 개정한다.
      제23조제2항제2호를 다음과 같이 한다.
        2. 「개인정보 보호법」
      ⑥ 아동복지법 일부를 다음과 같이 개정한다.
      제9조의2제3항 중 “「공공기관의 개인정보보호에 관한 법률」”을 “「개인정보 보호법」”으로 한다.
      ⑦ 법률 제10333호 암관리법 전부개정법률 일부를 다음과 같이 개정한다.
      제14조제1항 후단 중 “「공공기관의 개인정보보호에 관한 법률」 제3조제2항”을 “「개인정보 보호법」 제58조제1항”으로 한다.
      제49조 중 “「공공기관의 개인정보보호에 관한 법률」 제10조제3항”을 “「개인정보 보호법」 제18조제2항”으로 한다.
      ⑧ 장애인차별금지 및 권리구제 등에 관한 법률 일부를 다음과 같이 개정한다.
      제3조제8호다목 중 “「공공기관의 개인정보보호에 관한 법률」 제2조제2호”를 “「개인정보 보호법」 제2조제1호”로 한다.
      제22조제2항 중 “「공공기관의 개인정보보호에 관한 법률」”을 “「개인정보 보호법」”으로 한다.
      ⑨ 전자서명법 일부를 다음과 같이 개정한다.
      제24조제2항을 삭제한다.
      ⑩ 전자정부법 일부를 다음과 같이 개정한다.
      제21조제2항 중 “「공공기관의 개인정보보호에 관한 법률」 제2조제2호”를 “「개인정보 보호법」 제2조제1호”로 한다.
      제39조제4항 중 “「공공기관의 개인정보보호에 관한 법률」 제5조”를 “「개인정보 보호법」 제32조”로, “같은 법 제20조제1항에 따른 공공기관개인정보보호심의위원회의 심의를 거쳐”를 “「개인정보 보호법」 제7조에 따른 개인정보 보호위원회의 심의·의결을 거쳐”로 한다.
      제42조제1항 중 “「공공기관의 개인정보보호에 관한 법률」 제2조제8호”를 “「개인정보 보호법」 제2조제3호”로, “「공공기관의 개인정보보호에 관한 법률」 제10조제3항제1호 및 같은 조 제5항은”을 “「개인정보 보호법」 제18조제2항제1호 및 제19조제1호는”으로 한다.
      ⑪ 정보통신망 이용촉진 및 정보보호 등에 관한 법률 일부를 다음과 같이 개정한다.
      제4장제4절(제33조, 제33조의2, 제34조부터 제40조까지), 제66조제1호 및 제67조를 각각 삭제한다.
      제4조제1항·제3항, 제64조의2제3항 후단, 제65조제1항 및 제69조 중 “행정안전부장관, 지식경제부장관 또는 방송통신위원회”를 각각 “지식경제부장관 또는 방송통신위원회”로 한다.
      제64조제1항 각 호 외의 부분·제3항·제4항 전단·제5항 전단·제6항·제9항·제10항, 제64조의2제1항·제2항·제3항 각 호 외의 부분 전단, 제65조제3항, 제76조제1항제12호 및 제4항부터 제6항까지 중 “행정안전부장관 또는 방송통신위원회”를 각각 “방송통신위원회”로 한다.
      ⑫ 채권의 공정한 추심에 관한 법률 일부를 다음과 같이 개정한다.
      제2조제5호 중 “「공공기관의 개인정보보호에 관한 법률」 제2조제2호”를 “「개인정보 보호법」 제2조제1호”로 한다.
      ⑬ 출입국관리법 일부를 다음과 같이 개정한다.
      제12조의2제6항 및 제38조제3항 중 “「공공기관의 개인정보보호에 관한 법률」”을 각각 “「개인정보 보호법」”으로 한다.
      ⑭ 한국장학재단 설립 등에 관한 법률 일부를 다음과 같이 개정한다.
      제50조제3항 중 “「공공기관의 개인정보보호에 관한 법률」”을 “「개인정보 보호법」”으로 한다.
    제7조(다른 법령과의 관계) 이 법 시행 당시 다른 법령에서 종전의 「공공기관의 개인정보보호에 관한 법률」 또는 그 규정을 인용하고 있는 경우 이 법 중 그에 해당하는 규정이 있을 때에는 종전의 규정을 갈음하여 이 법 또는 이 법의 해당 규정을 인용한 것으로 본다.