제32조의2(개인정보 보호책임자 협의회의 사업 범위 등)

① 개인정보처리자는 법 제15조제3항 또는 제17조제4항에 따라 정보주체의 동의 없이 개인정보를 이용 또는 제공(이하 "개인정보의 추가적인 이용 또는 제공"이라 한다)하려는 경우에는 다음 각 호의 사항을 고려해야 한다.

1. 당초 수집 목적과 관련성이 있는지 여부

2. 개인정보를 수집한 정황 또는 처리 관행에 비추어 볼 때 개인정보의 추가적인 이용 또는 제공에 대한 예측 가능성이 있는지 여부

3. 정보주체의 이익을 부당하게 침해하는지 여부

4. 가명처리 또는 암호화 등 안전성 확보에 필요한 조치를 하였는지 여부

② 개인정보처리자는 개인정보의 추가적인 이용 또는 제공이 지속적으로 발생하는 경우에는 제1항 각 호의 고려사항에 대한 판단 기준을 법 제30조제1항에 따른 개인정보 처리방침에 공개하고, 법 제31조제1항에 따른 개인정보 보호책임자가 해당 기준에 따라 개인정보의 추가적인 이용 또는 제공을 하고 있는지 여부를 점검해야 한다. <개정 2023.9.12>

① 법 제31조제1항 단서에서 "종업원 수, 매출액 등이 대통령령으로 정하는 기준에 해당하는 개인정보처리자"란 「소상공인기본법」 제2조제1항에 따른 소상공인에 해당하는 개인정보처리자를 말한다. <신설 2024.3.12>

② 개인정보처리자는 법 제31조제1항에 따라 개인정보 보호책임자를 지정하려는 경우에는 다음 각 호의 구분에 따라 지정해야 한다. 이 경우 제3항에 따른 개인정보처리자는 다음 각 호의 구분에 따른 사람 중 별표 1에 따른 개인정보 보호책임자의 자격을 갖춘 사람을 개인정보 보호책임자로 지정해야 한다. <개정 2016.7.22, 2024.3.12, 2026.9.10>

1. 공공기관: 다음 각 목의 구분에 따른 기준에 해당하는 공무원 등

가. 국회, 법원, 헌법재판소, 중앙선거관리위원회의 행정사무를 처리하는 기관 및 중앙행정기관: 고위공무원단에 속하는 공무원(이하 "고위공무원"이라 한다) 또는 그에 상당하는 공무원

나. 가목 외에 정무직공무원을 장(長)으로 하는 국가기관: 3급 이상 공무원(고위공무원을 포함한다) 또는 그에 상당하는 공무원

다. 가목 및 나목 외에 고위공무원, 3급 공무원 또는 그에 상당하는 공무원 이상의 공무원을 장으로 하는 국가기관: 4급 이상 공무원 또는 그에 상당하는 공무원

라. 가목부터 다목까지의 규정에 따른 국가기관 외의 국가기관(소속 기관을 포함한다): 해당 기관의 개인정보 처리 관련 업무를 담당하는 부서의 장

마. 시ㆍ도 및 시ㆍ도 교육청: 3급 이상 공무원 또는 그에 상당하는 공무원

바. 시ㆍ군 및 자치구: 4급 이상 공무원 또는 그에 상당하는 공무원

사. 제2조제5호에 따른 각급 학교: 해당 학교의 행정사무를 총괄하는 사람. 다만, 제3항제2호에 해당하는 경우에는 교직원을 말한다.

아. 가목부터 사목까지의 규정에 따른 기관 외의 공공기관: 개인정보 처리 관련 업무를 담당하는 부서의 장. 다만, 개인정보 처리 관련 업무를 담당하는 부서의 장이 2명 이상인 경우에는 해당 공공기관의 장이 지명하는 부서의 장이 된다.

2. 공공기관 외의 개인정보처리자: 다음 각 목의 어느 하나에 해당하는 사람

가. 사업주 또는 대표자

나. 임원(「상법」 제401조의2제1항제3호에 따라 회사의 업무를 집행한 자와 같은 법 제408조의2제1항에 따른 집행임원을 포함하며, 임원이 없는 경우에는 개인정보 처리 관련 업무를 담당하는 부서의 장을 말한다)

③ 법 제31조제3항 각 호 외의 부분에서 "대통령령으로 정하는 기준에 해당하는 개인정보처리자"란 다음 각 호의 어느 하나에 해당하는 개인정보처리자(공공기관의 경우에는 제2조제2호, 제3호, 제3호의2, 제4호 및 제5호에 해당하는 경우로 한정한다)를 말한다. <신설 2026.9.10>

1. 연간 매출액등이 1,800억원을 초과하는 자(제2조제5호에 따른 각급 학교 및 「의료법」 제3조에 따른 의료기관은 제외한다)로서 다음 각 목의 어느 하나에 해당하는 자

가. 5만명 이상의 정보주체에 관하여 민감정보 또는 고유식별정보를 처리하는 자

나. 100만명 이상의 정보주체에 관하여 개인정보를 처리하는 자

2. 전년도 말 기준 재학생 수(대학원 재학생 수를 포함한다)가 2만명 이상인 「고등교육법」 제2조에 따른 학교

3. 「의료법」 제3조의4에 따른 상급종합병원

4. 공공시스템운영기관

④ 제3항에 따른 개인정보처리자는 법 제31조제3항제2호에 따라 개인정보 보호책임자를 지정ㆍ변경 또는 해제하는 경우 그 사유가 발생한 날부터 6개월 이내에 보호위원회 고시로 정하는 개인정보 보호책임자 지정ㆍ변경ㆍ해제 신고서를 보호위원회에 제출해야 한다. 다만, 보호위원회는 경영상의 이유로 이사회가 소집되기 어려운 경우 등 부득이한 사유로 기간 내에 신고서를 제출할 수 없다고 인정하는 경우 개인정보처리자의 요청에 따라 1년의 범위에서 기간을 연장할 수 있다. <개정 2026.9.10>

⑤ 법 제31조제4항제9호에서 "대통령령으로 정한 업무"란 다음 각 호와 같다. <개정 2024.3.12, 2026.9.10>

1. 법 제30조에 따른 개인정보 처리방침의 수립ㆍ변경 및 시행

2. 개인정보 처리와 관련된 인적ㆍ물적 자원 및 정보의 관리

3. 처리 목적이 달성되거나 보유기간이 지난 개인정보의 파기

⑥ 보호위원회는 개인정보 보호책임자가 법 제31조제4항의 업무를 원활히 수행할 수 있도록 개인정보 보호책임자에 대한 교육과정을 개설ㆍ운영하는 등 지원을 할 수 있다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2020.8.4, 2024.3.12, 2026.9.10>

⑦ 개인정보처리자(법 제31조제2항에 따라 사업주 또는 대표자가 개인정보 보호책임자가 되는 경우는 제외한다)는 법 제31조제7항에 따른 개인정보 보호책임자의 독립성 보장을 위해 다음 각 호의 사항을 준수해야 한다. <신설 2024.3.12, 2026.9.10>

1. 개인정보 처리와 관련된 정보에 대한 개인정보 보호책임자의 접근 보장

2. 개인정보 보호책임자가 개인정보 보호 계획의 수립ㆍ시행 및 그 결과에 관하여 정기적으로 대표자 또는 이사회에 직접 보고할 수 있는 체계의 구축

3. 개인정보 보호책임자의 업무 수행에 적합한 조직체계의 마련 및 인적ㆍ물적 자원의 제공

① 삭제 <2015.12.30>

② 보호위원회는 법 제68조제1항에 따라 법 제24조의2제4항에 따른 대체가입수단 제공의 지원에 관한 업무를 다음 각 호의 기관에 위탁할 수 있다. <개정 2013.3.23, 2014.11.19, 2015.12.30, 2017.7.26, 2020.8.4, 2022.7.19>

1. 「전자정부법」 제72조제1항에 따른 한국지역정보개발원

2. 한국인터넷진흥원

3. 대체가입수단의 개발ㆍ제공ㆍ관리 업무를 안전하게 수행할 수 있는 기술적ㆍ재정적 능력과 설비를 보유한 것으로 인정되어 보호위원회가 정하여 고시하는 법인ㆍ기관ㆍ단체

③ 보호위원회(제10호의 경우 보호위원회 외의 지정권자를 포함한다. 이하 제4항 각 호 외의 부분 및 제5항에서 같다)는 법 제68조제1항에 따라 다음 각 호의 사항에 관한 업무를 제4항에 따른 기관에 위탁할 수 있다. <개정 2013.3.23, 2014.11.19, 2015.12.30, 2017.7.26, 2020.8.4, 2022.7.19, 2023.9.12, 2025.2.25, 2025.9.23, 2026.9.10>

1. 법 제7조의8제5호에 따른 개인정보 보호를 위한 국제기구와 외국의 개인정보 보호기구와의 교류ㆍ협력

2. 법 제7조의8제6호에 따른 개인정보 보호에 관한 법령ㆍ정책ㆍ제도ㆍ실태 등의 조사ㆍ연구

3. 법 제7조의8제7호에 따른 개인정보 보호에 관한 기술개발의 지원ㆍ보급

4. 법 제11조의2제1항에 따른 개인정보 보호수준 평가 및 같은 조 제2항에 따른 평가 자료의 제출 요청

5. 법 제13조제1호에 따른 개인정보 보호에 관한 교육ㆍ홍보

6. 법 제13조제2호에 따른 개인정보 보호와 관련된 기관ㆍ단체의 육성 및 지원

7. 법 제13조제3호에 따른 개인정보 보호 인증마크의 시행 지원

8. 법 제13조제4호에 따른 개인정보처리자의 자율적인 규약의 시행 지원

8의2. 법 제31조제3항제2호에 따른 개인정보 보호책임자 지정ㆍ변경 또는 해제에 관한 신고의 접수 및 처리

9. 법 제33조제6항에 따른 관계 전문가의 육성 및 영향평가 기준의 개발

10. 법 제35조제2항에 따른 열람 요구의 접수 및 처리

10의2. 법 제35조의3에 따른 개인정보관리 전문기관의 지정에 관한 다음 각 목의 사항

가. 제42조의10제1항에 따른 개인정보관리 전문기관 지정 신청의 접수 및 신청 내용의 확인

나. 제42조의10제4항에 따른 개인정보관리 전문기관 지정에 관한 예비심사

다. 제42조의12제1항 후단에 따른 지정 조건의 이행 여부 확인

10의3. 법 제35조의4제2항에 따른 개인정보전송지원플랫폼의 운영

11. 법 제63조에 따른 자료제출 요구 및 검사 중 다음 각 목의 사항과 관련된 자료제출 요구 및 검사

가. 법 제34조제3항 전단에 따른 신고에 대한 기술지원

나. 법 제62조에 따라 개인정보침해 신고센터에 접수된 신고의 접수ㆍ처리 및 상담

12. 제36조제2항에 따른 평가기관 지정신청서의 접수 및 같은 조 제6항에 따른 신고 사항의 접수

④ 보호위원회가 제3항 각 호의 사항에 관한 업무를 위탁할 수 있는 기관은 다음 각 호와 같다. <신설 2022.7.19>

1. 한국인터넷진흥원

2. 개인정보 보호 분야에 전문성을 갖춘 것으로 인정되어 보호위원회가 정하여 고시하는 법인ㆍ기관 또는 단체

⑤ 보호위원회가 제2항부터 제4항까지의 규정에 따라 업무를 위탁하는 경우에는 위탁받는 기관과 위탁업무의 내용을 관보나 보호위원회의 인터넷 홈페이지에 공고해야 한다. <개정 2022.7.19>