개인정보 보호법 일부개정법률안

국회에서 의결된 개인정보 보호법 일부개정법률을 이에 공포한다. 대통령 이재명 (인) 2026년 3월 10일 국무총리 김민석 국무위원 행정안전부 장관(개인정보 보호위원회 소관) 윤호중 ⊙법률 제21445호 개인정보 보호법 일부개정법률 개인정보 보호법 일부를 다음과 같이 개정한다. 제23조제2항 중 "훼손되지"를 "훼손(이하 "유출등"이라 한다)이 되지"로 한다. 제24조제3항 중 "분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지"를 "유출등이 되지"로 한다. 제24조의2제2항 전단 중 "분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지"를 "유출등이 되지"로 한다. 제25조제6항 중 "분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지"를 "유출등이 되지"로 한다. 제26조제4항 중 "분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지"를 "유출등이 되지"로 하고, 같은 조 제8항 전단 중 "제30조의2"를 "제30조의2, 제30조의3"으로 한다. 제28조의4제1항 중 "분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 않도록"을 "유출등이 되지 아니하도록"으로 한다. 제28조의7 중 "제34조제1항"을 "제34조제1항ㆍ제2항"으로 한다. 제29조 중 "분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지"를 "유출등이 되지"로 한다. 제30조의3을 다음과 같이 신설한다. 제30조의3(사업주 또는 대표자의 책임) 개인정보처리자의 사업주 또는 대표자는 개인정보의 안전한 처리 및 정보주체의 권리 보호에 대한 최종적인 책임자로서 개인정보 보호에 필요한 전문 인력과 충분한 예산의 지원 등 총괄적인 관리 조치를 실효성 있게 하여야 한다. 제31조제1항 본문 중 "처리에"를 "처리 및 보호에"로, "책임질"을 "담당할"로 하고, 같은 조 제3항부터 제9항까지를 각각 제4항부터 제10항까지로 하며, 같은 조에 제3항을 다음과 같이 신설한다. ③ 매출액, 개인정보의 보유 규모 등을 고려하여 대통령령으로 정하는 기준에 해당하는 개인정보처리자는 다음 각 호의 사항을 준수하여야 한다. 1. 개인정보 보호책임자를 지정하거나 그 지정을 변경 또는 해제할 때에는 이사회(법인인 경우로 한정한다. 이하 같다)의 의결을 거칠 것 2. 보호위원회에 대통령령으로 정하는 바에 따라 개인정보 보호책임자 지정ㆍ변경 또는 해제에 관한 사항을 신고할 것 제31조제4항(종전의 제3항)제2호부터 제7호까지를 각각 제4호부터 제9호까지로 하고, 같은 항에 제2호 및 제3호를 각각 다음과 같이 신설하며, 같은 항 제4호(종전의 제2호) 중 "처리 실태 및 관행의"를 "처리 및 보호의 실태와 관행에 대한"으로 하고, 같은 항 제9호(종전의 제7호) 중 "처리"를 "처리 및 보호"로 하며, 같은 조 제5항(종전의 제4항) 및 제7항(종전의 제6항) 중 "제3항"을 각각 "제4항"으로 하고, 같은 조 제9항(종전의 제8항) 중 "제7항"을 "제8항"으로 하며, 같은 조 제10항(종전의 제9항) 중 "제3항에 따른 업무 및 제6항"을 "제3항제2호에 따른 신고의 방법 및 절차, 제4항에 따른 업무 및 제7항"으로 한다. 2. 개인정보 보호에 필요한 전문 인력의 관리 및 예산의 확보 3. 사업주 또는 대표자 및 이사회에 대한 개인정보 보호 현황 및 주요 사항의 보고 제31조의2제1항제1호 중 "제31조제3항제3호"를 "제31조제4항제5호"로 하고, 같은 항 제2호를 다음과 같이 한다. 2. 제34조제1항ㆍ제2항에 따른 통지 및 같은 조 제4항에 따른 유출등의 신고 제32조의2제1항에 단서를 다음과 같이 신설한다. 다만, 매출액, 개인정보의 처리 규모 등을 고려하여 대통령령으로 정하는 기준에 해당하는 개인정보처리자는 인증을 받아야 한다. 제34조의 제목 중 "유출 등"을 "유출등"으로 하고, 같은 조 제1항 각 호 외의 부분 본문 중 "분실ㆍ도난ㆍ유출(이하 이 조에서 "유출등"이라 한다)되었음"을 "유출등이 되었음"으로 하며, 같은 항 제3호 중 "관한 정보"를 "관한 구체적인 정보"로 하고, 같은 항에 제6호 및 제7호를 각각 다음과 같이 신설하며, 같은 조 제2항부터 제4항까지를 각각 제3항부터 제5항까지로 하고, 같은 조에 제2항을 다음과 같이 신설하며, 같은 조 제3항(종전의 제2항) 중 "경우 그"를 "경우에는 해당 개인정보의 회수ㆍ삭제 등 피해 확산을 방지하기 위한 조치를 포함하여"로 하고, 같은 조 제5항(종전의 제4항) 중 "제1항에 따른 유출등의"를 "제1항ㆍ제2항에 따른"으로, "제3항"을 "제4항"으로 한다. 6. 개인정보 유출등으로 인한 제39조에 따른 손해배상과 제39조의2에 따른 법정손해배상의 청구 및 제43조에 따른 분쟁조정 등 피해를 입은 정보주체의 법적 권리와 그 행사 방법 등에 관한 정보 7. 그 밖에 개인정보가 유출등이 된 정보주체의 보호를 위하여 대통령령으로 정하는 사항 ② 제1항에도 불구하고 개인정보의 유형, 정보주체에게 미치는 영향 및 유출등의 위험 정도를 고려하여 대통령령으로 정하는 유출등의 가능성이 있음을 알게 되었을 때에는 지체 없이 유출등의 가능성이 있는 모든 정보주체에게 피해를 최소화하기 위한 정보 등 대통령령으로 정하는 사항을 알려야 한다. 제39조제3항 본문 중 "분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손된"을 "유출등이 된"으로 한다. 제39조의2제1항 전단 중 "분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손된"을 "유출등이 된"으로 한다. 제58조제3항 중 "제30조"를 "제30조, 제30조의3"으로 한다. 제64조의2제1항제9호 본문 중 "분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조ㆍ훼손된"을 "유출등이 된"으로 하고, 같은 호 단서 중 "분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조ㆍ훼손되지"를 "유출등이 되지"로 하며, 같은 조 제5항부터 제10항까지를 각각 제7항부터 제12항까지로 하고, 같은 조 제2항부터 제4항까지를 각각 제3항부터 제5항까지로 하며, 같은 조에 제2항을 다음과 같이 신설하고, 같은 조 제3항(종전의 제2항) 및 같은 조 제4항(종전의 제3항) 중 "제1항"을 각각 "제1항 및 제2항"으로 하며, 같은 조 제5항(종전의 제4항) 각 호 외의 부분 중 "제1항"을 "제1항 및 제2항"으로 하고, 같은 항 제5호 중 "분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조ㆍ훼손된"을 "유출등이 된"으로, "분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조ㆍ훼손의"를 "유출등의"로 하며, 같은 조에 제6항을 다음과 같이 신설하고, 같은 조 제8항(종전의 제6항) 중 "제1항"을 "제1항 및 제2항"으로, "제2항부터 제5항까지"를 "제3항부터 제7항까지"로 하며, 같은 조 제9항(종전의 제7항) 전단 중 "제1항"을 "제1항 및 제2항"으로 하고, 같은 조 제10항(종전의 제8항) 중 "제1항"을 "제1항 및 제2항"으로, "제7항"을 "제9항"으로 하며, 같은 조 제11항(종전의 제9항) 중 "제1항"을 "제1항 및 제2항"으로 하고, 같은 조 제12항(종전의 제10항) 중 "제9항"을 "제11항"으로 한다. ② 제1항에도 불구하고 보호위원회는 다음 각 호의 어느 하나에 해당하는 경우에는 해당 개인정보처리자에게 전체 매출액의 100분의 10을 초과하지 아니하는 범위에서 과징금을 부과할 수 있다. 다만, 매출액이 없거나 매출액의 산정이 곤란한 경우로서 대통령령으로 정하는 경우에는 50억원을 초과하지 아니하는 범위에서 과징금을 부과할 수 있다. 1. 이 조에 따른 과징금 부과처분을 받은 날부터 3년이 경과하기 전에 제1항 같은 호에 해당하는 위반행위를 한 경우(각각 고의 또는 중대한 과실이 있는 경우로 한정한다) 2. 고의 또는 중대한 과실로 제1항 각 호의 어느 하나에 해당하는 위반행위를 하고 정보주체의 피해 규모가 1천만명 이상인 경우 3. 제64조제1항에 따른 시정조치 명령에 따르지 아니하여 개인정보처리자가 제1항제9호의 위반행위를 한 경우 ⑥ 보호위원회는 개인정보 보호를 위하여 예산ㆍ인력ㆍ설비ㆍ장치 등을 투자하고 운영하는 등 대통령령으로 정하는 사유가 있는 경우에는 제1항 및 제2항에 따른 과징금을 감경한다. 다만, 개인정보처리자의 고의 또는 중대한 과실로 위반행위를 한 경우는 제외한다. 제75조제2항에 제14호의2부터 제14호의4까지를 각각 다음과 같이 신설하고, 같은 항 제15호를 제15호의2로 하며, 같은 항에 제15호를 다음과 같이 신설하고, 같은 항 제17호 중 "제34조제1항"을 "제34조제1항 또는 같은 조 제2항"으로, "같은 항 각 호의 사실"을 "제34조제1항 각 호의 사항 또는 같은 조 제2항의 피해를 최소화하기 위한 정보 등의 사항"으로 하며, 같은 항 제18호 중 "제34조제3항"을 "제34조제4항"으로 하고, 같은 조 제4항제9호를 삭제한다. 14의2. 제31조제1항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 개인정보 보호책임자를 지정하지 아니하거나 제31조제10항(제26조제8항에 따라 준용되는 경우를 포함한다)에 따른 개인정보 보호책임자의 자격요건을 갖추지 아니한 자를 개인정보 보호책임자로 지정한 자 14의3. 제31조제3항제1호(제26조제8항에 따라 준용되는 경우를 포함한다)를 위반하여 개인정보 보호책임자를 지정하거나 그 지정을 변경 또는 해제할 때에 이사회의 의결을 거치지 아니한 자 14의4. 제31조제3항제2호(제26조제8항에 따라 준용되는 경우를 포함한다)를 위반하여 개인정보 보호책임자의 지정ㆍ변경 또는 해제에 관한 사항을 신고하지 아니한 자 15. 제32조의2제1항 단서를 위반하여 인증을 받지 아니한 자 부칙 제1조(시행일) 이 법은 공포 후 6개월이 경과한 날부터 시행한다. 다만, 제32조의2제1항 단서 및 제75조제2항제15호의 개정규정은 2027년 7월 1일부터 시행한다. 제2조(개인정보 유출등의 통지 등에 관한 적용례) ① 제34조제1항 및 제4항의 개정규정은 이 법 시행 이후 개인정보가 유출등이 되었음을 알게 된 경우부터 적용한다. ② 제34조제2항의 개정규정은 이 법 시행 이후 대통령령으로 정하는 유출등의 가능성이 있음을 알게 된 경우부터 적용한다. ③ 제34조제3항의 개정규정은 이 법 시행 이후 유출등이 된 경우부터 적용한다. 제3조(과징금 부과에 관한 적용례) ① 제64조의2제2항제1호의 개정규정은 이 법 시행 이후 발생한 같은 조 제1항 각 호의 위반행위로 같은 조에 따른 과징금 부과처분을 받은 후 다시 같은 조 제1항 같은 호에 해당하는 위반행위를 한 경우부터 적용한다. ② 제64조의2제2항제2호의 개정규정은 이 법 시행 당시 종료되지 아니한 위반행위에 대해서도 적용한다. ③ 제64조의2제2항제3호의 개정규정은 이 법 시행 이후 제64조제1항에 따른 시정조치 명령을 받은 경우부터 적용한다. 제4조(다른 법률의 개정) ① 신용정보의 이용 및 보호에 관한 법률 일부를 다음과 같이 개정한다. 제20조제4항제1호가목 중 "「개인정보 보호법」 제31조제3항제1호부터 제5호까지"를 "「개인정보 보호법」 제31조제4항제1호 및 같은 항 제4호부터 제7호까지"로 하고, 같은 조 제5항 중 "「개인정보 보호법」 제31조제4항 및 제6항"을 "「개인정보 보호법」 제31조제5항 및 제7항"으로 한다. ② 정보통신망 이용촉진 및 정보보호 등에 관한 법률 일부를 다음과 같이 개정한다. 제45조의3제4항제2호라목 중 "「개인정보 보호법」 제31조제2항"을 "「개인정보 보호법」 제31조제4항"으로 한다.