한국법령정보센터(Korea Law Information Center)

불법 스팸 방지를 위한 정보통신망법 안내서 제7차 개정본

한국법령정보센터장 — Thu, 5 Mar 2026 16:00:37 +0900

불법 스팸 방지를 위한 정보통신망법 안내서 제7차 개정본이 게시되었습니다.

[주요개정내용]

▲ 광고 수신 동의 요구 시 ‘혜택 알림’, ‘정보제공’ 등 모호한 표현 사용 금지

▲ 앱 알림(앱푸시) 광고 수신 거부 시 로그인 등 복잡한 절차 요구 불가

▲ 쿠폰·마일리지·적립금 등 일방적 제공 후 발급·소멸 안내 전송 시 명시적 사전 동의 필요 등

이에 따라 과거 개인정보 수집이용 동의서를 확인하고, 앱 알림에 관한 프로세스를 점검해보셔야 합니다.

(7차 개정) 불법스팸 방지를 위한 정보통신망법 안내서.pdf

2.82MB

2025년 개정 「개인정보 영향평가 수행안내서」

한국법령정보센터장 — Mon, 24 Nov 2025 17:49:56 +0900

2025년 개정 「개인정보 영향평가 수행안내서」 주요 변화

(2025.10 개정 반영)

2025년 10월, 개인정보보호위원회와 한국인터넷진흥원(KISA)은 최신 개인정보보호 정책 환경을 반영한 신규 개정판 「개인정보 영향평가 수행안내서」를 발간하였다.

.
이번 개정은 급격히 확산되는 AI 기반 서비스, 자동화된 의사결정, 고위험 개인정보 처리환경을 포괄적으로 반영하여, 공공기관 및 민간기관 실무자가 보다 정교하게 영향평가(PIA)를 수행할 수 있도록 구성된 것이 특징이다.

본 글에서는 개정의 핵심 내용을 정리하고, 실무 담당자가 활용할 수 있는 주요 시사점을 제시한다.

1. 개정의 배경과 목적

안내서에 따르면, 이번 개정은 법·제도 변화와 기술환경의 빠른 발전을 반영하기 위해 이루어졌다.
특히, 2024년 개정 사항에 이어 “인공지능(AI) 평가분야 및 항목 신설”이 크게 강조되었다는 점이 가장 큰 특징이다.

또한, 영향평가의 최신성을 유지하기 위해 발간 이후 3년마다 재검토하도록 명시하고 있어, 지속적인 제도적 정비가 이루어질 예정임을 확인할 수 있다.

2. 영향평가의 개념 및 필요성

개인정보 영향평가(Privacy Impact Assessment, PIA)는
새로운 개인정보처리시스템의 도입 또는 기존 시스템의 중대한 변경 시, 개인정보 침해 위험을 사전에 분석·예측·검토하여 개선방안을 마련하는 제도적 절차이다.

즉, 영향평가는 단순한 문서 작성이 아니라 개인정보 침해사고 예방을 위한 필수적 사전 안전장치라는 점을 강조하고 있다.

3. 평가 대상 기준의 정교화

안내서는 영향평가 의무 대상의 기준을 다음과 같이 구체적으로 제시한다.

● 평가의무가 발생하는 주요 기준

5만 명 이상 민감정보 또는 고유식별정보 처리
50만 명 이상이 되는 개인정보파일 간 연계
100만 명 이상 개인정보파일 구축·운용
기존 평가 실시 이후 운용체계 변경 시 재평가 의무

여기에 더해,

비록 법정 기준 미만이라도, 향후 1년 이내 기준 초과 가능성이 있으면 영향평가 수행을 권고한다
고 명시하고 있어, 선제적 위험관리 관점이 강조되고 있다.

또한 2024년 3월부터는 미이행 시 3천만원 이하 과태료가 부과되기 때문에 실무기관의 준수 필요성이 한층 강화되었다.

4. 2025년 개정의 핵심: AI 평가 분야 신설

이번 개정판의 가장 중요한 변화는 다음이다:

● 인공지능(AI) 기반 시스템의 영향평가 항목 신설

AI 활용이 보편화되면서, 개인정보를 기반으로 한 자동화 처리·추론·예측 기술이 확산되고 있다. 이에 따라 안내서는 "5.7 인공지능(AI)" 항목을 새롭게 추가하여 다음 평가 요소를 명문화했다.

AI 모델 학습에 사용되는 개인정보의 적법성
학습·추론 과정에서의 개인정보 최소화 여부
자동화된 결정의 투명성 및 설명 가능성
알고리즘 편향, 프라이버시 침해 가능성
AI 모델 및 데이터셋의 재식별 위험
AI 관련 로그·감사·오류관리 체계

이 항목은 앞으로 공공서비스뿐 아니라 민간 AI 서비스에도 실무 기준으로 널리 활용될 것으로 예상된다.

5. 영향평가 수행 절차의 명확화

영향평가 절차는
사전준비 → 수행 → 이행의 3단계 구조로 유지되며, 각 단계별 요구사항이 더욱 체계적으로 정비되었다

개인정보_영향평가_수행안내서(2025.10)

① 사전준비 단계

사업계획 작성
영향평가 필요성 검토
예산 확보
평가기관 선정
영향평가팀 구성

② 수행 단계

개인정보 흐름 분석
침해요인 분석
위험평가
개선계획 마련
영향평가서·요약본 작성

③ 이행 단계

개선계획의 실제 반영 여부 점검
완료 후 2개월 내 위원회 제출

특히, 평가 결과의 반영 여부를 감리 또는 테스트 단계에서 확인해야 한다는 규정이 강화됨으로써, 형식적 절차가 아닌 실효성 있는 반영을 강조하고 있다.

6. 공공기관의 공개 의무 및 요약본 작성 의무

안내서는 공공기관이 영향평가 요약본을 작성하여
기관 홈페이지 또는 개인정보 포털에 공개해야 함을 명시하고 있다.
단, 시스템 구조나 암호화 방식 등 비공개 대상 정보는 제외하도록 분명히 하고 있다.

이는 공공기관의 개인정보 처리에 대한 투명성 확보 의무를 강화한 부분이다.

7. 실무자가 반드시 확인해야 할 주요 포인트

● 1) 영향평가 시점 준수

시스템 설계 완료 전에 평가 수행해야 하며, 개발·감리 단계에서 반드시 반영 여부가 검토된다.

● 2) 평가기관 지정 기준 준수

평가기관은 위원회 지정기관이어야 하고,
PM은 반드시 인증된 영향평가 전문인력이어야 한다.

● 3) AI·자동화 처리 관련 신규 항목 반영

2025년 이후 사업에서 AI 기술이 포함되면 반드시 신규 항목을 반영해야 한다.

● 4) 개인정보 흐름도의 정밀화 요구

개정판은 흐름도 분석에 대한 구체적 기준을 제시함으로써 단순 기능대신 데이터 중심 설계를 요구한다.

● 5) 평가결과 미제출 시 과태료

행정 책임이 강화되었으며, 제출 지연도 제재 대상이 될 수 있다.

8. 결론: 조직의 개인정보 리스크 관리 수준을 높이는 실질적 도구

2025년 개정판 개인정보 영향평가 수행안내서는
단순한 평가절차 안내를 넘어, AI 시대의 개인정보 리스크 관리 체계를 재정립하는 기준 문서로 자리 잡았다.

공공기관뿐 아니라 민간기업 또한 법령 위반 시 과징금 감경 요건 등 실질적 혜택이 있으므로, 자율적 영향평가 수행을 적극 고려할 필요가 있다.

새로운 안내서는 다음과 같은 메시지를 전달한다.

“영향평가의 목적은 문서를 만드는 것이 아니라,
개인정보 침해 위험을 사전에 차단하는 데 있다.”

기관과 기업은 이번 개정을 계기로
· 내부 규정 정비
· 시스템 설계 단계의 개인정보보호 내재화(Privacy by Design)
· AI 기반 서비스의 투명성 확보
를 함께 추진하는 것이 바람직하다.

개인정보_영향평가_수행안내서(2025.10).pdf

7.24MB

전자금융감독규정 해설서 개정판 25년 8월 기준

한국법령정보센터장 — Wed, 6 Aug 2025 11:42:09 +0900

전자금융감독규정 해설서 전면 개정!

디지털 금융환경에 맞춘 실무 중심의 길잡이

금융당국(금융위원회·금융감독원)은 빠르게 변화하는 디지털 환경에 발맞추어, 전자금융감독규정 해설서를 2025년 전면 개정하였습니다. 이번 개정판은 기존 해설서가 담지 못했던 최신 기술·제도 변화를 반영하고, 실제 금융회사 실무에 도움이 될 수 있도록 구성된 것이 특징입니다.

개정 해설서, 무엇이 달라졌나?

이번 해설서는 단순한 법령 해설서가 아닙니다. 다음과 같은 측면에서 현장 활용성을 대폭 강화하였습니다:

1. 최신 제도 반영

클라우드, 생성형 AI, BNPL 등 신기술 및 신제도 관련 규정 반영
망분리 규제 완화, 가명정보 활용 등 최근 변화된 규제 방향 포함

2. 다양한 해설 자료 포함

실제 법령 해석 사례
비조치의견서, 조치사례, 판례 등 참조 가능 자료 수록

3. 실무자 중심 구성

단순 법 조문 해석을 넘어 금융회사 실무자가 바로 활용 가능한 내용 중심
자주 묻는 질문(FAQ) 및 실제 이슈별 대응 사례 정리

전자금융감독규정 해설(25.8월).pdf

2.27MB

해설서, 이렇게 활용하세요!

신기술 도입 검토 시 참고자료로
- AI, 클라우드 등 디지털 기술을 도입하려는 금융사에게 필수 가이드
내부통제·보안정책 수립 시 활용
- 규제 요구사항과 보안 기준을 명확히 파악 가능
감사·점검 대응 준비 시 참고자료
- 실제 조치 사례와 법령 해석을 기반으로 리스크 대비 가능
신사업(예: BNPL, 마이페이먼트) 검토 시 정책 판단 기준 제공
사내 교육 자료로도 유용
- 실무자 및 준법감시인, 보안담당자 등 대상 교육에 바로 활용 가

개인정보 처리 통합 안내서(2025.7.)

한국법령정보센터장 — Mon, 14 Jul 2025 21:56:01 +0900

2025년 7월 개정된 개인정보 처리 통합 안내서의 주요 내용을 요약

발간 목적

개편된 개인정보 보호법 및 관련 지침을 반영하여, 개인정보처리자가 현장에서 이해하기 쉽게 준수사항을 안내하기 위함.

기존 안내서들(예: 동의 안내서, 위수탁 안내서 등)을 통합하고 단일 문서로 제공.

주요 내용 요약

1. 개인정보 보호의 목적 및 원칙

개인의 자유와 권리 보호 및 인간의 존엄과 가치 실현이 법의 핵심 목적.

헌법상 권리인 개인정보자기결정권을 근거로 다양한 보호 원칙 수립.

8가지 개인정보 보호 원칙 명시: 최소 수집, 정확성 유지, 안전관리, 정보주체 권리 보장 등.

2. 개인정보 수집･이용･제공 요건

적법 처리 원칙에 따라 7가지 요건 중 하나를 충족해야 수집･이용 가능.

대표적 요건: 정보주체 동의, 법령에 따른 수집, 계약 이행 필요 등.

동의 기준 강화: 동의는 자유롭고 명확하게 고지된 정보에 기반해야 유효.

공공기관과 민간 모두에 동일한 기준 적용.

3. 개인정보의 정의

성명, 주민등록번호, 영상 등 개인 식별 가능한 정보.

다른 정보와 쉽게 결합하여 개인을 식별할 수 있는 정보도 포함.

가명정보도 법적으로는 개인정보의 한 형태로 간주.

4. 개인정보 파기 및 보호조치

목적 달성 후 지체 없이 파기해야 하며, 파기 방법도 정해져 있음.

개인정보 보유기간 설정과 함께 기술적/관리적 보호조치 필요.

5. 특별 보호 대상

민감정보, 고유식별정보, 아동의 개인정보 등은 더욱 엄격히 보호.

주민등록번호 등은 특별한 사유 없이는 처리 제한.

6. 업무 위탁 및 영업양도 시 조치

개인정보 처리 위탁 시 표준 계약서 사용 권장.

영업 양도 시 정보주체에게 사전 고지 및 동의 필요.

7. 법률 간 관계

개인정보 보호법은 일반법으로, 개별법의 특별 규정이 있는 경우 우선 적용.

단순 고시나 시행규칙은 법률에 우선할 수 없음.

제정 배경

2023년 개인정보 보호법 전면 개정에 따른 체계 개편.

기존 법령 해설서를 보완하고 현장 중심 사례를 반영해 실무 적용성을 강화.

문의

개인정보보호위원회 개인정보보호정책과: ☎ 02-2100-3055

법령해석 지원센터: ☎ 02-2100-3043

관련 자료:

위원회 누리집 www.pipc.go.kr

개인정보 포털 www.privacy.go.kr

개인정보 처리 통합 안내서(2025.7

4.39MB

#개인정보보호 #개인정보처리안내서 #PIPC #개인정보법 #정보보호 #2025개정 #개인정보자기결정권 #데이터보호 #개인정보수집 #개인정보활용

금융분야 개인신용정보 보호 가이드라인(2025.5.)

한국법령정보센터장 — Tue, 20 May 2025 18:42:36 +0900

금융분야 개인신용정보 보호 가이드라인(2025.5.)을 공지합니다

[핵심 변경사항 요약]

1. 개인정보 보호법과 신용정보법의 관계 명확화

신용정보법을 개인정보 보호법의 특별법으로 다시 한 번 명확히 하며, 처리 원칙, 위탁, 파기 등 조항별 적용 관계를 표로 정리함.
익명정보, 가명정보는 별도 법적 적용을 받는다는 점을 강조.

2. 가명정보·익명정보 개념 및 활용요건 구체화

가명정보와 익명정보의 차이와 활용 목적을 명확하게 구분.
특히 익명정보는 금융위 심사를 거쳐야만 자유로운 활용 가능.

3. 동의 체계의 실질적 개선

요약동의, 정보활용 동의등급제 도입 및 적용 강화:
- 신용정보 활용 시 동의서를 요약해 제공 가능.
- 사생활 침해 위험도에 따라 등급을 부여하고 고객에게 고지.
필수/선택 동의사항 명확화, 선택적 항목 미동의로 서비스 거절 금지.

4. 개인신용정보 수집·이용 관련 요건 완화

과거 "불가피한 경우"에만 수집 가능했던 부분이,
- 개정 개인정보 보호법(‘23.3월 개정)에 따라 **"계약 체결·이행에 필요한 경우"**로 요건이 완화됨.

5. 정보주체의 권리강화

자동화 평가(예: 신용등급)에 대한 설명요구권 명문화.
전송요구권과 삭제·정정·열람 요청 절차 명확화.

6. 위탁, 제공, 이전, 파기 등에 대한 절차 구체화

위탁 처리 시, 수탁자의 이용·제공 시 준수사항 강화.
영업양수도나 국외이전 시 적용 기준 상세화.

7. 기술보안 및 유출 시 대응 강화

유출 발생 시 조치 절차 및 신고 기준 명확화, 개인정보 보호위원회와의 역할분담 강조.

금융분야 개인신용정보 보호 가이드라인(2025.5.).pdf

1.62MB

개정 표준 개인정보 보호지침

한국법령정보센터장 — Tue, 15 Apr 2025 13:14:39 +0900

표준 개인정보 보호지침 요약 (2025.4.11 일부개정)

1. 적용 대상 및 목적

모든 개인정보처리자(공공기관, 법인, 단체, 개인 포함)를 대상으로 하며, 개인정보 보호법 제12조 제1항에 따라 구체적인 처리 기준, 침해 예방, 보호조치 등을 규정함.

2. 주요 용어 정의 (제2조)

처리: 수집·저장·보유·제공·파기 등 일체의 행위

개인정보처리자: 개인정보파일을 운용하는 모든 주체

영상정보처리기기: 고정형(CCTV 등), 이동형(드론, 바디캠 등) 포함

개인영상정보: 영상 형태의 개인정보

3. 개인정보 처리 원칙 (제4조)

수집 최소화, 목적 외 이용 금지

정확성 및 안전성 확보

익명·가명처리 권장

정보주체 권리 보장 및 공개 의무화

4. 개인정보 수집 및 제공 요건 (제6~8조)

수집 이용: 동의, 법률 근거, 계약 이행, 긴급 생명 보호 등

제공: 제3자 제공 시 성명·연락처까지 고지

목적 외 이용 제한: 이용방법·형태 제한, 문서화 요구

5. 파기 및 보존 (제10~11조)

보유기간 경과 후 5일 내 파기

복구 불가능한 기술적 조치 의무

법령에 의한 보존 시 분리 저장

6. 동의 및 법정대리인 관련 (제12~14조)

개별 항목별 동의 필요

친목단체의 경우 일부 정보는 동의 없이 수집 가능

법정대리인의 정보는 동의 용도로만 사용, 미동의시 5일 내 파기

7. 개인정보 유출 시 대응 (제25~29조)

72시간 이내 정보주체에 통지 의무

1천 명 이상 또는 민감정보 유출 시 신고 의무

조치 매뉴얼 마련 및 피해 최소화 노력 요구

8. 정보주체 권리 보장 (제31~34조)

열람·정정·삭제·처리정지 요청 가능

10일 이내 조치 필요

불응 시 사유 고지 의무

9. 영상정보처리기기 관리 (제35~48조)

안내판 설치 의무(고정형), 표시의무(이동형)

운영관리방침 마련

열람 요구·파기 절차 명문화

위탁시 명칭 및 책임 명시

10. 공공기관의 개인정보파일 등록·공개 (제49~62조)

개인정보파일 등록 의무화 및 정기 점검

개인정보파일 등록, 변경, 파기 후 삭제 처리

개인영상정보 포함 여부, 영향평가 결과 기재

표준목록 등록 및 공공공시 요건 강화

표준 개인정보 보호지침(개인정보보호위원회고시)(제2025-4호)(20250411).pdf

0.15MB

#표준개인정보보호지침

법령상 개인정보보호 교육 이렇게 하시면 안됩니다.

한국법령정보센터장 — Mon, 10 Feb 2025 22:02:23 +0900

법령상 의무사항인 개인정보보호 교육 그동안 놓치신게 있으면 개인정보보호위원회의 해설서를 기반으로 조치해야할 사항을 확인하세요. 특히 개인정보보호법 개정이후 첫 해설서로 담당업무별 교육, 필요한 서류의 구비 방법 등이 제시되어있습니다.

개인정보처리자가 반드시 유의해야 할 사항

1. 개인정보 보호 교육, 왜 중요한가?

디지털 시대에서 개인정보 보호는 단순한 선택이 아닌 필수입니다. 「개인정보 보호법」 제28조에 따라 모든 개인정보처리자는 개인정보를 적절히 보호하고 관리할 책임이 있습니다. 특히, 개인정보 보호 교육은 개인정보의 적절한 취급을 보장하고 조직의 신뢰를 확보하는 중요한 요소입니다.

이번에 발간된 *「개인정보 보호 교육 업무 안내서」*는 개인정보 보호 교육의 법적 근거, 교육 방법, 교육 시 유의할 사항 등을 명확하게 정리하고 있어, 실무 담당자들에게 큰 도움이 될 자료입니다.

그렇다면, 개인정보처리자가 반드시 유의해야 할 사항에는 무엇이 있을까요?

2. 개인정보처리자가 반드시 유의해야 할 사항

① 개인정보 보호 교육은 법적 의무이다

개인정보처리자는 개인정보취급자(직원, 파견근로자, 시간제 근로자 포함)를 대상으로 정기적인 교육을 실시해야 하며, 이를 소홀히 할 경우 과태료 및 행정처분 대상이 될 수 있습니다.

② 교육 대상은 조직 내 모든 개인정보취급자

개인정보 보호 교육의 대상은 다음과 같습니다:

개인정보 보호책임자(CPO)
개인정보 보호담당자
일반 개인정보취급자(정규직, 비정규직 포함)
개인정보 처리업무를 수행하는 수탁자

이는 개인정보를 다루는 모든 인원이 개인정보 보호의 중요성을 인식하고, 법적 의무를 준수하도록 하기 위함입니다.

③ 교육 내용의 필수 포함 사항

개인정보 보호 교육은 형식적인 교육이 아닌 실질적인 보호 역량을 강화하는 과정이어야 합니다. 반드시 포함해야 할 내용은 다음과 같습니다.

개인정보 보호법의 주요 내용 및 개정 사항
개인정보 수집, 이용, 제공 시 준수해야 할 원칙
개인정보 유출 사고 발생 시 대응 절차
개인정보의 안전성 확보 조치 기준(기술적·관리적 보호 조치)
개인정보취급자의 의무 및 책임

④ 개인정보 보호 교육의 효과적인 운영 방법

개인정보 보호 교육을 효과적으로 운영하기 위해서는 기업과 조직의 특성에 맞는 교육 방법을 선택하는 것이 중요합니다. 안내서에서는 다음과 같은 다양한 교육 방법을 제시하고 있습니다.

사내 교육: 내부 전문가 또는 외부 강사를 초빙하여 교육 진행
온라인 교육: 개인정보배움터 (edu.privacy.go.kr)와 같은 공인 교육 플랫폼 활용
워크숍 및 컨퍼런스 참여: 최신 개인정보 보호 트렌드와 법령 변화 학습

또한, 연 1회 이상 정기적으로 교육을 실시하고, 교육 후에는 참석자 명단 및 교육 결과 보고서를 작성하여 관리해야 합니다.

⑤ 교육을 형식적으로 진행하면 안 된다!

부적절한 교육 유형으로 다음과 같은 사례가 제시되고 있습니다.

단순히 교육 영상을 공유하고 출석 확인 없이 수료 처리하는 경우
개인정보 보호책임자(CPO)나 개인정보취급자 중 일부를 교육에서 제외하는 경우
교육 자료가 부정확하거나 최신 법령을 반영하지 않은 경우
개인정보 보호 교육을 빙자하여 특정 제품이나 서비스를 홍보하는 경우

이러한 사례는 교육의 효과를 저해할 뿐만 아니라 감독기관의 점검 시 불이익을 초래할 수 있습니다.

3. 개인정보 보호 교육을 준수하지 않을 경우? (위반 시 처벌)

개인정보 보호 교육을 소홀히 하면 법적 제재를 받을 수 있습니다.

과징금: 전체 매출액의 3% 이내 부과 가능
과태료: 최대 3천만 원 부과 가능
법적 책임: 개인정보 유출 사고 발생 시, 적절한 교육 및 보호 조치를 하지 않았다면 법적 책임을 지게 될 수 있음

즉, 개인정보 보호 교육은 단순한 법적 의무를 넘어서 조직의 리스크를 관리하는 중요한 요소임을 잊지 말아야 합니다.

4. 개인정보 보호 교육의 성공적인 운영을 위한 팁

경영진의 관심과 지원 확보: 경영진이 개인정보 보호 교육을 적극 지원하면, 조직 내 개인정보 보호 문화가 정착될 가능성이 높아집니다.
맞춤형 교육 진행: 개인정보 보호책임자, IT 담당자, 일반 직원 등 대상별로 교육 내용을 차별화하여 교육 효과를 극대화합니다.
실제 사례 활용: 개인정보 유출 사례를 공유하고, 사고 발생 시 대응 절차를 교육하면 학습 효과가 더욱 높아집니다.
정기적인 피드백 반영: 교육 후 설문조사를 통해 개선할 사항을 파악하고, 다음 교육에 반영합니다.

5. 결론: 개인정보 보호 교육은 기업의 신뢰와 직결된다

개인정보 보호 교육은 단순히 법적 의무를 넘어 기업과 조직의 신뢰를 높이는 중요한 과정입니다. 개인정보 유출 사고가 발생하면 기업의 평판이 심각하게 훼손될 수 있으며, 이는 금전적 손실뿐만 아니라 고객과의 신뢰 상실로 이어질 수 있습니다.

따라서, 개인정보처리자는 「개인정보 보호 교육 업무 안내서」를 적극 활용하여 효과적인 교육을 계획하고, 체계적인 개인정보 보호 시스템을 구축해야 합니다.

개인정보 보호는 한 번의 교육으로 끝나는 것이 아니라, 지속적인 관심과 노력이 필요한 과정이라는 점을 꼭 기억해야 합니다!

개인정보 보호 교육 업무 안내서(2024.12.).pdf

0.64MB

자동화된 결정에 대한 조치 기준

한국법령정보센터장 — Wed, 19 Jun 2024 08:59:46 +0900

「자동화된 결정에 대한 개인정보처리자의 조치 기준」 고시 제정

이번 고시 제정안은 올해 1월 개인정보 보호법 시행령 심사 과정에서 기업ㆍ기관 등 개인정보처리자가 조치해야 할 세부사항을 고시 제정을 통해 구체화할 필요가 있다는 규제개혁위원회의 의견을 반영한 것이다.

주요 방향

이에 따라, 고시 제정안에는 자동화된 결정에 대하여 정보주체가 거부하거나 설명ㆍ검토를 요구한 경우에 기업ㆍ기관 등 개인정보처리자가 조치하는 과정에서 고려해야 할 세부사항을 권리의 유형별로 구체화하였다.

첫째, 정보주체가 자신의 권리 또는 의무에 중대한 영향을 미치는 자동화된 결정에 대해 설명을 요구한 경우에는 정보주체에게 개별적으로 의미있는 정보를 선별하여 이해하기 쉬운 방식으로 간결하게 제공하도록 했다.

※ 중대한 영향을 미치지 않는 자동화된 결정의 경우에는 미리 공개한 주요 개인정보의 유형과 자동화된 결정의 관계 등을 간결하게 알릴 수 있음

이 경우, ‘자동화된 결정’에 해당하는지 여부를 판단할 때에는 ‘정당한 권한을 가진 사람의 실질적이고 의미 있는 개입’이 있는지, 정보주체의 개인정보에 대한 개별적인 처리 과정을 거쳐 의미 있는 정보를 추출하는지, 최종적인 결정인지 등을 종합적으로 고려하도록 했다.

둘째, 정보주체의 권리 또는 의무에 중대한 영향을 미치는 자동화된 결정에 대하여 정보주체가 거부한 경우에는, 해당 결정의 적용을 정지하여 정보주체에게 중대한 영향이 미치지 않도록 조치하고 그 결과를 알리도록 하였다.

240518+(조간)+‘자동화된+결정에+대한+조치+기준’+고시안+행정예고(개인정보보호정책과).hwpx

2.68MB

「자동화된 결정에 대한 개인정보처리자의 조치 기준」

제1조(목적) 이 고시는 「개인정보 보호법」(이하 “법”이라 한다) 제37조의2와 「개인정보 보호법 시행령」(이하 “영”이라 한다) 제44조의3제6항에 따라 정보주체의 자동화된 결정에 대한 거부, 설명 및 검토 요구에 따른 개인정보처리자의 조치에 관해 필요한 사항을 규정함을 목적으로 한다.

제2조(정의) 이 고시에서 사용하는 용어의 뜻은 다음과 같다.

1. “자동화된 결정”이란 법 제37조의2제1항에 따라 완전히 자동화된 시스템(인공지능 기술을 적용한 시스템을 포함한다. 이하 같다)으로 개인정보를 처리하여 이루어지는 결정(「행정기본법」제20조에 따른 행정청의 자동적 처분은 제외한다)을 말한다.

2. “거부ㆍ설명등요구”란 영 제44조의2제1항 및 제2항에 따른 정보주체의 자동화된 결정에 대한 거부, 설명 및 검토 요구를 말한다.

3. “중대한 영향”이란 자동화된 결정이 정보주체의 권리 또는 의무에 법적인 영향을 미치는 경우로서 그 영향의 정도가 정보주체의 권리 또는 의무의 본질적인 내용을 제한하는 경우를 말한다.

4. “인적 개입”이란 자동화된 시스템에 의한 결정을 변경할 수 있는 권한을 가진 사람이 그 결정 과정 또는 재처리를 통한 결정 과정에 실질적으로 개입하는 것을 말한다.

제3조(자동화된 결정 등의 판단기준) ① 완전히 자동화된 시스템으로 이루어지는 결정이 자동화된 결정에 해당하는지 여부를 판단할 때에는 다음 각 호의 사항을 고려해야 한다.

1. 정당한 권한을 가진 사람의 실질적이고 의미 있는 개입 없이 완전히 자동화된 시스템에 의해 결정이 이루어졌는지 여부

2. 완전히 자동화된 시스템으로 해당 정보주체의 개인정보를 분석ㆍ가공하는 등 개별적인 처리 과정을 거쳐 의미 있는 정보를 추출하는지 여부

3. 개인정보처리자가 내린 결정으로서 정보주체의 권리 또는 의무에 영향을 미치는 결정인지 여부

4. 해당 결정이 내려지는 단계와 관계 없이 해당 결정이 정보주체에 대한 최종적인 결정에 해당하는지 여부

5. 완전히 자동화된 시스템에 의한 개인정보의 처리와 결정 사이에 실질적인 관련성이 있는지 여부

6. 다른 법률에 자동화된 결정에 대한 정보주체의 권리를 규정한 특별한 규정이 있는지 여부

② 자동화된 결정이 정보주체의 권리 또는 의무에 중대한 영향을 미치는 경우에 해당하는지 여부를 판단할 때에는 다음 각 호의 사항을 고려해야 한다.

1. 사람의 생명, 신체의 안전과 관련된 정보주체의 권리 또는 의무인지 여부

2. 정보주체의 권리가 박탈되거나 권리 행사가 불가능하게 되는지 여부

3. 정보주체가 통상적으로 받아들일 수 있는 한도를 넘어서는 의무가 발생하는지 여부

4. 정보주체의 권리 또는 의무에 지속적인 제한이 발생하는지 여부

5. 정보주체에게 영향을 미치기 전의 상태로 회복하거나 해당 영향을 회피할 수 있는 가능성이 있는지 여부

③ 자동화된 결정이 법 제37조의2제1항 단서의 법 제15조제1항제1호ㆍ제2호 및 제4호에 따라 이루어지는 경우에 해당하는지 여부를 판단할 때에는 다음 각 호의 사항을 고려해야 한다.

1. 개인정보를 수집ㆍ이용하는 과정에서 자동화된 결정이 이루어진다는 사실에 대해 정보주체가 명확하게 인지할 수 있도록 알리고 동의를 받았는지 여부

2. 자동화된 결정에 대하여 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 자동화된 결정이 불가피한 경우에 해당하는지 여부

3. 정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 자동화된 결정을 하는 경우로서 자동화된 결정이 이루어진다는 사실에 대해 정보주체가 명확하게 인지할 수 있도록 알렸는지 여부

제4조(정보주체의 거부에 따른 조치) ① 개인정보처리자는 정보주체가 자동화된 결정을 거부하는 경우에는 해당 결정의 적용을 정지하여 정보주체의 권리 또는 의무에 중대한 영향을 미치지 않도록 조치하고 그 결과를 정보주체에게 알려야 한다. 다만, 인적 개입에 의한 재처리를 하고 그 결과를 정보주체에게 알린 경우에는 그러하지 아니하다.

② 개인정보처리자는 제1항 본문에 따라 자동화된 결정의 적용을 정지한 경우로서 정지 상태를 해소하고 정보주체의 권리를 보호하기 위해 필요한 경우에는 제6조에 따른 조치를 한 후 그 결과를 정보주체에게 알릴 수 있다.

③ 개인정보처리자는 자동화된 결정에 대한 정보주체의 거부 내용에 설명 및 검토를 요구하는 내용이 포함되어 있는 경우에는 각각의 조치를 한 후 그 결과를 함께 알릴 수 있다.

제5조(정보주체의 설명 요구에 따른 조치) ① 개인정보처리자는 정보주체가 자신의 권리 또는 의무에 중대한 영향을 미치는 자동화된 결정에 대해 설명을 요구하는 경우에는 정보주체에게 개별적으로 영 제44조의3제2항 각 호의 사항을 포함한 간결하고 의미있는 설명을 제공해야 한다.

② 개인정보처리자는 제1항에 따라 정보주체에게 자동화된 결정에 대해 설명할 때에는 정보주체에게 의미있는 정보를 선별하여 정보주체가 이해하기 쉬운 방식으로 간결하게 제공해야 한다.

③ 개인정보처리자는 제1항 및 제2항에도 불구하고 정보주체가 자신의 권리 또는 의무에 중대한 영향을 미치지 않는 자동화된 결정에 대해 설명을 요구한 경우에는 영 제44조의4제1항에 따라 미리 인터넷 홈페이지를 통해 공개하거나 정보주체에게 서면등의 방법으로 알린 사항 중 다음 각 호의 사항을 선별하여 정보주체가 이해하기 쉬운 방식으로 간결하게 알릴 수 있다.

1. 자동화된 결정에 사용되는 주요 개인정보의 유형과 자동화된 결정의 관계

2. 자동화된 결정 과정에서의 고려사항 및 주요 개인정보가 처리되는 절차

④ 개인정보처리자는 정보주체가 자동화된 결정에 대한 설명 요구의 내용에 검토를 요구하는 내용이 포함되어 있는 경우에는 각각의 조치를 한 후 그 결과를 함께 알릴 수 있다.

제6조(정보주체의 검토 요구에 따른 조치) 개인정보처리자는 정보주체가 영 제44조의2제2항에 따라 제출한 다음 각 호의 의견을 자동화된 결정에 반영할 수 있는지에 대한 검토를 요구한 경우에는 반영 여부를 검토하고 반영한 경우에는 그 결과를 정보주체에게 알려야 한다.

1. 자동화된 결정 과정에서 처리되는 개인정보를 추가하거나 정정한 후 재처리

2. 자동화된 결정 과정에서 정보주체에게 영향을 미치는 고려사항에 대한 재검토

제7조(정보주체의 거부ㆍ설명등요구에 대한 거절 등) ① 개인정보처리자는 정보주체가 자동화된 결정에 대하여 거부ㆍ설명등요구를 한 경우라고 하더라도 정보주체의 요구에 따른 조치를 거절할 정당한 사유가 있는 때에는 해당 조치를 하지 않을 수 있다. 이 경우 정당한 사유가 있는지 여부는 정보주체의 자동화된 결정에 대한 거부ㆍ설명등요구를 제한하여 정보주체가 입게 될 불이익과 개인정보처리자 또는 제3자의 이익을 비교ㆍ형량(衡量)하여 개별적으로 판단해야 한다.

② 정보주체가 자동화된 결정에 대하여 거부한 경우 정보주체의 요구에 따른 조치를 거절할 수 있는 정당한 사유에 해당하는지를 판단할 때에는 다음 각 호의 사항을 고려해야 한다.

1. 해당 결정이 자동화된 결정이고 정보주체의 권리 또는 의무에 중대한 영향을 미치는 경우에 해당하여 영 제44조의3제1항에 따른 조치 의무가 있는지 여부

2. 자동화된 결정이 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한지 여부

3. 해당 조치로 인해 다른 사람의 생명, 신체를 해할 우려가 있거나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는지 여부

4. 해당 조치로 인해 개인정보처리자의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우로서 정보주체의 자동화된 결정에 대한 권리보다 우선하는지 여부

5. 해당 자동화된 결정을 적용하지 아니하면 정보주체와 약정한 서비스를 제공하지 못하는 등 계약의 이행이 곤란한 경우로서 정보주체가 그 계약의 해지 의사를 명확하게 밝히지 아니한 경우에 해당하는지 여부

③ 정보주체가 자동화된 결정에 대하여 설명을 요구한 경우 이를 거절할 정당한 사유에 해당하는지를 판단할 때에는 다음 각 호의 사항을 고려해야 한다.

1. 해당 결정이 자동화된 결정에 해당하여 영 제44조의3제2항에 따른 조치 의무가 있는지 여부

2. 자동화된 결정에 대한 설명이 법률에 따라 금지되거나 제한되는지 여부

3. 자동화된 결정에 대한 설명으로 인해 다른 사람의 생명, 신체를 해할 우려가 있거나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는지 여부

4. 자동화된 결정에 대한 설명으로 인해 개인정보처리자의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우로서 정보주체의 자동화된 결정에 대한 권리보다 우선하는지 여부

5. 자동화된 결정에 대한 설명을 요구한 사항이 정보주체가 충분히 예상할 수 있는 내용이거나 사실과 다른 내용인지 여부

④ 정보주체가 자동화된 결정에 대하여 개인정보를 추가하는 등 의견 제출을 통해 검토를 요구한 경우 해당 요구를 거절할 정당한 사유에 해당하는지를 판단할 때에는 다음 각 호의 사항을 고려해야 한다.

1. 해당 결정이 자동화된 결정에 해당하여 영 제44조의3제3항에 따른 조치 의무가 있는지 여부

2. 정보주체가 제출한 의견의 내용이 자동화된 결정 과정에 이미 반영되어 있거나 동일한 내용의 검토 요구가 반복적으로 제기된 것인지 여부

제8조(조치 기간 및 방법) ① 개인정보처리자는 영 제44조의3제1항부터 제3항의 규정에 따라 정보주체의 거부ㆍ설명등요구에 따른 조치를 하는 경우에는 정보주체의 요구를 받은 날부터 30일 이내에 처리하고 서면, 전자우편, 팩스, 전화, 문자전송 또는 이에 상당하는 방법(이하 “서면등의 방법”이라 한다)으로 알려야 한다. 다만, 다음 각 호의 어느 하나에 해당하여 30일 이내에 처리하기 어려운 경우에는 정보주체에게 그 사유를 알리고 2회에 한정하여 각각 30일의 범위에서 그 기간을 연장할 수 있다.

1. 거부ㆍ설명등요구에 대하여 추가적인 조치가 필요하거나 요구된 내용이 복잡하여 정해진 기간 내에 조치하기 곤란한 경우

2. 천재지변, 일시적인 업무량 폭주 등으로 정해진 기간 내에 조치하기 곤란한 경우

② 개인정보처리자는 영 제44조의3제4항에 따라 정보주체의 거부ㆍ설명등요구에 대하여 거절하려는 경우에는 그 사유와 이의제기 방법 및 절차를 정당한 사유가 없는 한 거부ㆍ설명등요구를 받은 날부터 10일 이내에 서면등의 방법으로 알려야 한다.

제9조(재검토기한) 보호위원회는 이 고시에 대하여 「행정규제기본법」 및 「훈령ㆍ예규 등의 발령 및 관리에 관한 규정」에 따라 2025년 1월 1일을 기준으로 매 3년이 되는 시점(매 3년째의 12월 31일까지를 말한다)마다 그 타당성을 검토하여 개선 등의 조치를 하여야 한다.

부 칙

이 고시는 발령한 날부터 시행한다.

2024년 개인정보 처리방침 작성지침(최신본)

한국법령정보센터장 — Thu, 2 May 2024 17:43:34 +0900

개인정보보호위원회에서 발표한 2024년 개인정보 처리방침 작성지침(최신본)입니다.

업무에 참고하시기 바랍니다.

목적

이 지침은 개인정보처리자가 「개인정보 보호법」(이하 ‘법’) 제30조의 ‘개인정보 처리방침’을 이 법이 개인정보의 처리 및 보호에 관하여 정한 절차 및 기준 등에 대한 사항을 적정하고 투명하게 작성 및 공개하도록 지원하기 위한 목적으로 제정 •또한, 개인정보 처리방침을 법 제3조에 따른 ‘개인정보보호 원칙’에 입각하여 작성함으로써 개인정보 처리방침이 형식적이지 않고 정보주체의 권리를 보장하기 위한 본연의 취지에 부합하도록 작성 및 공개되도록 구체적인 사례 및 작성 지침을 제안하고자 함 •‘개인정보 처리방침’을 적절하게 작성하여 공개함으로써 개인정보 처리의 투명성을 높이고, 정보주체가 자신의 개인정보가 어떻게 처리되고 있는지 처리방침을 통해 상시적으로 확인 및 비교 가능하도록 하고자 함

대상

본 지침은 법 제2조 제5호에 따른 개인정보처리자가 법 제30조 및 동법 시행령 제31조에 따라 ‘개인정보 처리방침’을 수립 및 공개하려는 경우 적용하여야 함

구성 및 성격

본 지침은 법 제3조에 따른 개인정보보호 원칙을 반영하여 법 제30조, 시행령 제31조 및 관련 규정*, 표준지침 제11조・제12조・제18조・제19조・제20조・제21조・ 제39조의3에 따라 개인정보처리자가 준수하여야 하는 사항 외에도 정보주체의 권리향상을 위해 처리방침에 작성・공개하여야 하는 사항을 규정하고 있음 *법 제31조의2제3항(국내대리인 지정에 관한 사항), 시행령 제14조의2 제2항(개인정보의 추가적인 이용 또는 제공 시 고려사항에 대한 판단기준) 등 •따라서 개인정보처리자는 법령 상 처리방침에 작성하여야 하는 필수 항목들에 대해 본 지침에 따라 개인정보 처리방침을 작성・공개하여야 하고, 그 외에 정보주체의 권리 보장 및 개인정보 처리의 투명성 향상을 위해 본 작성지침에서 권장하는 사항도 준수할 것을 권장함

개인정보 처리방침 작성 기본 원칙

① 법령 부합성 •개인정보처리자는 법 제30조 제1항 각 호 및 영 제31조 제1항 각 호의 사항 중 해당되는 내용을 모두 작성하여야 하며, 작성된 내용은 개인정보 보호 법령에 부합하여야 함 ② 투명성 및 정확성 •개인정보처리자는 정보주체의 알 권리 보장을 위해 자신의 개인정보 처리 현황을 정확하게 반영하여 개인정보 처리방침을 작성하고, 이를 투명하게 공개하여야 함 •개인정보처리자는 개인정보 처리방침에 공개한 내용이 실제 개인정보 처리 현황과 일치할 수 있도록 하는 등의 정확성과 투명성, 최신성을 유지할 수 있도록 수립 및 관리하여야 함 ③ 명확성 및 가독성 •개인정보처리자는 법 제30조 제1항 각 호 및 영 제31조 제1항 각 호의 사항을 정보주체가 쉽게 알 수 있도록 구분하여 작성해야 하며, 가급적 각각 별도의 항목으로 명시적으로 구분하여 작성할 것을 권고함 •개인정보처리자는 개인정보 처리방침에 개인정보 처리 현황을 구체적으로 작성하여야 하며, 모호하고 불명확한 표현을 사용하는 것은 지양됨 •개인정보 처리방침은 알기 쉬운 용어로 구체적이고 명확하게 표현되어야 하며(표준지침 제18조 제1항), 정보주체가 쉽게 이해할 수 있도록 가급적 평어체를 사용하고, 전문용어(법률용어 등)는 쉬운 표현으로 부연 설명을 제공하는 것을 권장함 •특히 개인정보 보호법의 적용을 받는 해외사업자의 경우 국내이용자가 이해할 수 있도록 쉽고 명확한 한글로 정보를 제공하여야 함 ④ 접근성 •개인정보 처리방침은 정보주체 누구나 쉽게 확인할 수 있는 방법으로 공개되어야 함 •개인정보 처리방침 상 정보주체 권리행사 방법은 개인정보를 수집하는 방법과 동일한 수준이거나 보다 쉬운 절차로 설계하고 구체적이고 상세하게 안내하여야 함

상세한 내용은 첨부파일을 확인하시기 바랍니다.

개인정보처리방침 작성지침('24.4).pdf

7.68MB

개인정보 영향평가 수행안내서(2024.04. 개정)

한국법령정보센터장 — Mon, 22 Apr 2024 00:12:34 +0900

개인정보 영향평가 수행안내서입니다.

2024년 4월 개정된 내용으로 약500페이지가 좀 넘는 방대한 양입니다.

공공기관 중 의무대상인 기관은 개인정보 영향평가 수행 안내서에 따라 개인정보 영향평가를 받아야 합니다.

상세한 내용은 아래의 파일을 다운로드 받아 확인하시기 바랍니다.

개인정보 영향평가 수행안내서(2024.04.).pdf

19.10MB