개인정보 보호법 시행령

[일부개정]

◇ 개정이유

종전에 정보통신서비스 제공자에게만 적용되던 개인정보 이용ㆍ제공내역의 통지 의무 등을 모든 개인정보처리자에 대해 동일하게 적용되도록 하고, 개인정보를 국외로 이전할 수 있는 경우를 확대하여 규정하는 등의 내용으로 「개인정보 보호법」이 개정(법률 제19234호, 2023. 3. 14. 공포, 9. 15. 시행)됨에 따라, 개인정보의 이용ㆍ제공 내역을 통지하여야 하는 개인정보처리자의 기준을 정하고, 개인정보처리자가 아동의 법정대리인이 아동의 개인정보 처리에 동의하였는지를 확인할 수 있는 방법을 규정하며, 개인정보 보호위원회가 개인정보의 국외 이전을 위해 국가 또는 국제기구의 개인정보 보호체계 등이 이 법에 따른 개인정보 보호 수준과 실질적으로 동등한 수준을 갖추었다고 인정하려는 경우 고려해야 하는 사항 및 절차를 정하는 등 법률에서 위임된 사항과 그 시행에 필요한 사항을 정하는 한편,

공공부문에서 발생하는 개인정보 침해사고를 예방하기 위하여 일정 규모 이상의 개인정보처리시스템을 운영하는 공공기관은 일반적인 개인정보처리자가 하여야 하는 안전성 확보 조치 외에 추가적인 조치를 하도록 하는 등 현행 제도의 운영상 나타난 일부 미비점을 개선ㆍ보완하려는 것임.

◇ 주요내용

가. 개인정보의 국외 이전 분야 전문위원회의 설치(제5조)

개인정보의 국외 이전 분야에 관한 개인정보 보호위원회의 심의ㆍ의결 사항에 대해 전문적으로 검토하기 위하여 개인정보 보호위원회에 전문위원회를 두도록 함.

나. 개인정보의 이용ㆍ제공 내역 통지(제15조의3 신설)

개인정보처리자는 일일평균 5만명 이상의 정보주체에 관하여 민감정보 또는 고유식별정보를 처리하거나 100만명 이상의 정보주체에 관하여 개인정보를 처리하는 경우에는 개인정보의 수집ㆍ이용 목적, 수집한 개인정보의 항목 등을 정보주체에게 통지하도록 함.

다. 아동의 개인정보 보호에 관한 사항(제17조의2 신설)

개인정보처리자가 14세 미만 아동의 법정대리인이 해당 아동의 개인정보 처리에 동의하였는지를 확인하기 위한 방법을 구체적으로 정하고, 법정대리인의 동의를 받기 위하여 필요한 경우에는 법정대리인의 성명 및 연락처에 관한 정보는 법정대리인의 동의 없이 해당 아동으로부터 직접 수집할 수 있도록 함.

라. 이동형 영상정보처리기기의 운영에 관한 사항(제27조 및 제27조의2 신설)

1) 목욕실, 화장실 등 개인의 사생활을 현저히 침해할 우려가 있는 장소라 하더라도 범죄, 화재, 재난 등의 상황에서 인명의 구조ㆍ구급 등을 위하여 필요한 경우에는 사람 또는 그 사람과 관련된 사물의 영상을 이동형 영상정보처리기기로 촬영할 수 있도록 함.

2) 이동형 영상정보처리기기로 영상을 촬영하는 경우에는 불빛, 소리, 안내판 등의 수단이나 방법으로 정보주체가 촬영 사실을 알 수 있도록 표시하고 알리도록 하되, 드론을 이용한 촬영 등의 경우에는 개인정보 보호위원회가 정하는 방법으로 알릴 수 있도록 함.

마. 국가 등에 대한 개인정보 보호 수준 인정에 관한 사항(제29조의9 신설)

개인정보 보호위원회는 개인정보가 이전되는 국가 또는 국제기구의 개인정보 보호체계 등이 「개인정보 보호법」에 따른 보호 수준과 실질적으로 동등한 수준을 갖추었다고 인정하려는 경우에는 해당 국가 등의 개인정보 보호체계, 개인정보 보호를 위한 독립적인 감독기관의 존재 여부 등을 종합적으로 고려하도록 하고, 해당 국가 등의 개인정보 보호체계, 정보주체의 피해구제 절차 등의 개인정보 보호수준이 변경된 경우에는 인정을 취소하거나 그 내용을 변경할 수 있도록 함.

바. 개인정보의 국외 이전 중지 명령의 기준 및 이의신청(제29조의11 및 제29조의12 신설)

개인정보 보호위원회가 개인정보처리자에게 개인정보의 국외 이전 중지를 명하려는 경우에는 이전되는 개인정보의 유형ㆍ규모, 정보주체에게 발생한 피해의 중대성 등을 종합적으로 고려하도록 하고, 개인정보의 국외 이전 중지 명령에 이의를 제기하려는 개인정보처리자는 명령을 받은 날부터 7일 이내에 개인정보 보호위원회가 정하는 이의신청서에 이의 신청 사유를 증명할 수 있는 서류를 첨부하여 개인정보 보호위원회에 제출하도록 함.

사. 공공기관의 개인정보 안전성 확보 조치(제30조의2 신설)

1) 개인정보 처리 규모 등이 일정한 기준에 해당하는 개인정보처리시스템을 운영하는 공공기관은 일반적인 안전성 확보 조치 외에 개인정보처리시스템별 안전성 확보 조치, 개인정보처리시스템 접속기록의 저장ㆍ분석ㆍ점검ㆍ관리 등의 조치를 추가로 하도록 하고,

2) 개인정보처리시스템의 규모와 특성 등을 고려하여 개인정보의 안전한 관리를 위한 전담 부서를 지정ㆍ운영하거나 전담인력을 배치하고, 개인정보처리시스템의 안전성에 관한 협의를 위해 해당 시스템 이용기관 등으로 구성되는 공공시스템운영협의회를 설치ㆍ운영하도록 함.

아. 개인정보 처리방침의 평가 대상 및 절차(제31조의2 신설)

개인정보 보호위원회가 개인정보처리자가 수립한 개인정보 처리방침을 평가하려는 경우에는 개인정보처리자 및 처리하는 개인정보의 유형 등을 고려하여 평가 대상을 선정하고, 평가 과정에서 필요한 경우에는 개인정보처리자에게 의견을 제출할 것을 요청할 수 있도록 함.

자. 개인정보 유출 등의 통지(제39조)

개인정보처리자는 개인정보의 유출 등을 알게 되었을 때에는 서면 등의 방법으로 72시간 이내에 정보주체에게 통지하도록 하고, 정보주체의 연락처를 알 수 없는 경우 등 정당한 사유가 있는 경우에는 해당 개인정보처리자의 인터넷 홈페이지에 30일 이상 통지내용을 게시하는 것으로 통지를 갈음할 수 있도록 함.

차. 개인정보 유출 등의 신고(제40조)

개인정보처리자는 민감정보 또는 고유식별정보가 유출되었거나 개인정보처리자 외부로부터의 불법적인 접근에 의한 개인정보의 유출 등을 알게 되었을 때에는 72시간 이내에 개인정보 보호위원회 등에 신고하도록 하고, 신고하려는 때에 구체적인 내용을 확인하지 못한 경우에는 그때까지 확인된 내용 등을 먼저 신고하고 추가로 확인되는 내용에 대해서는 확인되는 즉시 신고하도록 함.

카. 분쟁의 조정절차 및 조정업무의 처리에 관한 사항(제51조의2부터 제51조의4까지 신설)

분쟁조정에 응하지 않으려는 개인정보처리자는 분쟁조정의 통지를 받은 날부터 10일 이내에 분쟁조정 불응 의사를 분쟁조정위원회에 알리도록 하고, 분쟁조정위원회가 분쟁의 조정을 위하여 사건과 관련된 장소에 출입하여 관련 자료를 조사ㆍ열람을 할 때에는 분쟁당사자 등이 입회하거나 의견을 진술하도록 요청할 수 있도록 함.

타. 과징금 산정기준 및 납부 등에 관한 사항(제60조의2부터 제60조의5까지 신설, 별표 1의5)

1) 과징금 산정의 기준이 되는 전체 매출액을 원칙적으로 위반행위가 있었던 사업연도 직전 3개 사업연도의 매출액을 연평균한 금액으로 하고, 수익사업을 영위하지 않거나 재해로 인해 자료가 훼손되는 등의 사유로 매출액이 없거나 매출액 산정이 곤란한 경우에는 20억원 이하의 과징금을 부과할 수 있도록 함.

2) 과징금 납부기한을 연장하려는 경우에는 원래 납부기한의 다음 날부터 2년까지만 연장할 수 있도록 하고, 과징금을 분할하여 납부하려는 경우에는 납부기한 간 간격이 6개월을 초과할 수 없으며, 분할 횟수는 6회를 초과할 수 없도록 함.

<법제처 제공>