개인정보 보호법 일부개정법률안(대안)(정무위원장)

국회에서 의결된 개인정보 보호법 일부개정법률을 이에 공포한다. 대통령 이재명 (인) 2026년 9월 8일 국무총리 한성숙 국무위원 행정안전부 장관(개인정보보호위원회 소관) 윤호중 ⊙법률 제21910호 개인정보 보호법 일부개정법률 개인정보 보호법 일부를 다음과 같이 개정한다. 제2조에 제9호를 다음과 같이 신설한다. 9. "인공지능기술"이란 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」 제2조제3호에 따른 인공지능기술을 말한다. 제7조의9제1항에 제6호의3 및 제6호의4를 각각 다음과 같이 신설한다. 6의3. 제28조의12제1항 및 제2항에 따른 인공지능기술 개발을 위한 개인정보의 이용에 관한 사항 6의4. 제28조의14제1항에 따른 인공지능기술 개발을 위한 개인정보 처리 제한에 관한 사항 제3장에 제5절(제28조의12부터 제28조의15까지)을 다음과 같이 신설한다. 제5절 인공지능기술 개발을 위한 개인정보 처리의 특례 제28조의12(인공지능기술 개발을 위한 개인정보의 이용) ① 개인정보처리자는 인공지능기술 개발(성능 개선을 포함한다. 이하 이 절에서 같다)을 위하여 다음 각 호의 요건을 모두 갖추고 제2항에 따른 보호위원회의 심의ㆍ의결을 거친 경우에는 이 법 또는 다른 법령에 따라 적법하게 수집한 개인정보를 당초 수집한 목적 외로 이용할 수 있다. 1. 영상, 음성, 이미지, 부호 및 문자 등 처리되는 정보의 특성, 인공지능기술 개발과의 관련성 등을 고려하였을 때 익명 또는 가명으로 처리하여서는 인공지능기술 개발이 어려울 것 2. 개인정보의 안전한 처리를 위한 기술적ㆍ관리적ㆍ물리적 조치가 된 환경에서 처리하거나 클라우드 환경 등 개별 상황에 따른 추가적 안전조치를 이행하는 등 대통령령으로 정하는 기준에 따른 안전장치를 마련하였을 것 3. 인공지능기술 개발의 목적이 다음 각 목의 어느 하나를 포함하고 있는 경우로서 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 현저히 낮을 것 가. 공공의 이익 증진을 위한 경우 나. 정보주체 또는 제3자의 이익을 보호하거나 사회적 이익 증진을 위한 경우 ② 개인정보처리자는 제1항에 따라 개인정보를 이용하려는 경우에는 같은 항 각 호의 요건을 갖추었는지 여부에 대하여 보호위원회의 심의ㆍ의결을 받아야 한다. 이 경우 보호위원회는 정보주체의 권리 보장 및 개인정보의 안전한 처리를 위하여 필요한 범위에서 조건을 붙일 수 있다. ③ 보호위원회는 민감정보ㆍ고유식별정보 등의 처리 여부, 정보주체의 권리 또는 이익에 미치는 영향 및 위험의 정도 등을 고려하여 대통령령으로 정하는 기준에 해당하는 경우에는 제2항에 따른 심의ㆍ의결 전에 해당 개인정보처리자에게 기간을 정하여 개인정보 처리로 인한 위험요인 분석과 개선 사항 도출을 위한 평가(이하 "위험요인평가"라 한다)를 하고 그 결과를 제출하도록 하여야 한다. ④ 보호위원회는 제2항에 따른 심의ㆍ의결을 요청한 내용이 종전에 보호위원회의 심의ㆍ의결을 거친 인공지능 기술ㆍ서비스의 내용ㆍ방식ㆍ형태 등과 실질적으로 동일하거나 유사한 경우로서 대통령령으로 정하는 경우에는 보호위원회가 정하여 고시하는 방법에 따라 심의ㆍ의결 절차를 간소화할 수 있다. ⑤ 개인정보처리자는 제1항 및 제2항에 따라 보호위원회의 심의ㆍ의결을 받아 개인정보를 이용하려는 경우에는 개인정보를 이용하는 목적과 유형을 제30조에 따른 개인정보 처리방침에 포함하여야 한다. ⑥ 보호위원회는 제2항에 따라 심의ㆍ의결한 때에는 다음 각 호의 사항을 인터넷 홈페이지 등에 공개하여야 한다. 1. 심의ㆍ의결을 요청한 자와 그 주요 내용 2. 위험요인평가 결과를 요약한 내용 ⑦ 제2항 및 제3항에서 규정한 사항 외에 보호위원회에 심의ㆍ의결을 요청하는 방법, 보호위원회가 부여하는 조건, 세부 심의 기준 및 절차, 위험요인평가 등에 필요한 사항은 대통령령으로 정한다. 제28조의13(인공지능기술 개발을 위한 개인정보 처리에 대한 관리ㆍ감독) ① 보호위원회는 제28조의12제1항 및 제2항에 따라 심의ㆍ의결한 사항에 대하여 주기적으로 이행 여부를 관리ㆍ감독하여야 한다. ② 보호위원회는 제1항에 따른 관리ㆍ감독에 필요한 범위에서 해당 개인정보처리자에게 자료제출을 요구할 수 있다. 이 경우 자료제출을 요구받은 자는 특별한 사정이 없으면 이에 따라야 한다. ③ 제2항에 따라 제출받은 자료의 보호에 관해서는 제63조제6항 및 제7항을 준용한다. ④ 제1항에 따른 관리ㆍ감독 및 제2항에 따른 자료제출 요구 등에 필요한 사항은 대통령령으로 정한다. 제28조의14(인공지능기술 개발을 위한 개인정보 처리 제한) ① 보호위원회는 제28조의12제1항 및 제2항에 따라 개인정보 이용에 대한 심의ㆍ의결을 받은 자가 다음 각 호의 어느 하나에 해당하는 경우에는 심의ㆍ의결을 거쳐 개인정보 처리의 전부를 제한하여야 한다. 1. 거짓이나 그 밖의 부정한 방법으로 개인정보 이용에 대한 보호위원회의 심의ㆍ의결을 받은 경우 2. 제28조의12제1항 각 호의 요건을 충족하지 못한 경우 3. 제28조의12제2항 후단에 따라 보호위원회가 부여한 조건을 충족하지 못한 경우 4. 제28조의12제1항 및 제2항에 따라 보호위원회의 심의ㆍ의결을 받은 날부터 6개월 이내에 특별한 사유 없이 인공지능기술 개발을 위한 개인정보 처리를 시작하지 아니한 경우 5. 중대한 사정 변경으로 인하여 인공지능기술 개발 등 개인정보 처리의 목적을 달성하는 것이 명백히 불가능하다고 판단되는 경우 ② 개인정보처리자는 보호위원회가 제1항에 따라 개인정보 처리를 제한한 경우에는 지체 없이 필요한 조치를 하고 보호위원회에 조치 결과를 알려야 한다. ③ 제1항 및 제2항에서 규정한 사항 외에 개인정보 처리 제한의 세부 기준 및 절차 등에 필요한 사항은 대통령령으로 정한다. 제28조의15(이용 특례에 따른 적용의 일부 제외) 제28조의12에 따라 개인정보를 이용하는 경우에는 그 범위에서 보호위원회의 심의ㆍ의결을 거쳐 제18조부터 제20조까지, 제20조의2, 제23조, 제24조, 제24조의2, 제25조, 제25조의2 및 제28조의8(개인정보를 국외로 처리위탁하는 경우에 한정한다)을 적용하지 아니할 수 있다. 제37조의2제1항 본문 중 "인공지능 기술"을 "인공지능기술"로 한다. 부칙 이 법은 공포 후 6개월이 경과한 날부터 시행한다.