규제영향분석서

개인정보 보호법 시행령

<목 차>

1.개인정보 처리방침의 내용 및 공개방법 등

2.개인정보 보호책임자 지정

3.자동화된 결정에 대한 정보주체의 권리

소관부처 및 작성자 인적사항	소관부처	개인정보보호위원회	작성자	이름	정승인
	담당부서(과)	개인정보보호정책과		직급	행정사무관
	국장	양청삼		연락처	02-2100-3057
	과장	김직동		이메일	jzoos77@korea.kr
2023. 11. 20.						작성

정책책임자직위    성명 (서명)

< 규제 개요 >

기본 정보	1.규제사무명	개인정보 처리방침의 내용 및 공개방법 등
	2.규제조문	개인정보 보호법 시행령 개정안 제31조제1항
	3.위임법령	개인정보 보호법 제30조제1항제8호
	4.유형	강화				5.입법예고	2023.11.23~2024.01.02
규제의 필요성	6.추진배경 및 정부개입 필요성	ㅇ (추진배경) - 기존에는 개인정보를 국외에서 처리(수집·이전)하는 경우 이를 국외 이전 동의 시 알리거나 처리방침에 명시하도록 규정 - 이에, 개인정보위는 시행령 개정 전에도 '개인정보 처리방침 작성 지침'(2022.3)을 통해 개인정보가 국외에서 처리되는 경우 개인정보처리자가 이를 정보주체에게 알릴 수 있도록 안내해왔음 - 개인정보 보호법 개정(2023.9.15.시행)으로 인해 국외 이전 요건이 다양화되고 국외 이전 규정이 체계화(제4절 개인정보의 국외 이전) 되면서, 정보주체가 본인의 개인정보가 국외로 이전되는 경우를 포함하여 국외에서 처리된다는 사실을 종전과 같이 처리방침 등을 통해 확인할 수 있도록 할 필요성 제기 ㅇ (정부개입 필요성) - 정보주체가 본인의 개인정보가 국외에서 처리(수집·이전)된다는 사실 등을 쉽게 확인할 수 있도록 하는 것은 개인정보 보호수준을 보장하기 위한 정보주체의 핵심 권리로서, - 기존과 같이 정보주체의 알권리를 빠짐없이 보호하기 위해 이를 처리방침에 공개하도록 할 필요
	7.규제내용	ㅇ 개인정보를 국외에서 수집·이용하는 경우 개인정보가 처리되는 국가 및 국외에서 처리(수집·이전)된다는 사실 공개 ㅇ 개인정보를 국외로 이전하는 경우 국외 이전의 근거와 법 제28조의8제2항 각 호의 사항을 공개
	8.피규제집단 및 이해관계자	ㅇ 개인정보를 국외에서 처리하려는 개인정보처리자
	9.규제목표	ㅇ 개인정보가 국외에서 처리되는 경우 처리 방침에 이를 명시함으로써 정보주체의 알권리 및 결정권을 종전과 동일한 수준으로 보장
규제의 적정성	10.영향평가 여부	기술영향평가			경쟁영향평가			중기영향평가
		해당없음			해당없음			해당없음
	11.비용편익 분석 (정성분석)	ㅇ (비용) 종전과 동일한 수준으로서 개인정보처리자의 신규 부담 발생은 매우 낮을 것으로 판단 - 개인정보보호법 개정 이전에도, 이용자의 개인정보를 국외에서 처리하는 경우(제공, 처리위탁, 보관 등) 처리 방침 기재 의무가 있었음 - 법 개정으로 신설된 국외 이전 요건(보호수준 인증, 대상국 인정)의 경우 아직 인정받은 국가가 없는 등 요건이 활성화되지 않은 상황으로서, 이를 활용중인 처리자는 없는 것으로 파악하고 있으며 처리방침 기재 의무 발생시에도 신규 부담은 적을 것 ㅇ (편익) 정보주체의 개인정보 국외 처리에 대한 알권리 보장 및 처리에 대한 자기결정권 확충 - 우리 법이 보장하는 국민의 개인정보 보호 수준 유지, 우리 국민의 개인정보 국외 유출로 인한 피해 예방
기타	12.규제일몰제	대분류	소분류
		일몰설정 예외기준	1. 국제조약 등에 따라 동일하게 적용 되어야 하는 규제							미해당
			2. 국가의 질서 유지 및 국민생명· 안전과 직접 관련된 규제							미해당
			3. 사회통념상 보편적으로 통용되는 규범적 성격의 규제							미해당
		경제규제 여부기준	4. 국민과 기업의 경제활동에 대한 규제							미해당
			5. 경제활동에 직접영향을 주는 규제							미해당
		일몰설정 세부기준	6. 피규제자의 규제부담이 매우 큰 규제							미해당
			7. 한시적 목적을 위한 규제이거나 주기적인 검토가 필요한 규제							해당
		일몰설정여부		일몰조문					연장여부
		설정		제31조					연장
		일몰유형		일몰설정기간					일몰주기
		재검토형		2015.01.01~2025.01.01					2년
	13. 우선허용· 사후 규제 적용여부	해당 없음

<조문 대비표>

현 행	개 정 안
제31조(개인정보 처리방침의 내용 및 공개방법 등) ① 법 제30조제1항제8호에서 “대통령령으로 정한 사항”이란 다음 각 호의 사항을 말한다. 1. ∼ 3. (생 략) <신 설> <신 설>	제31조(개인정보 처리방침의 내용 및 공개방법 등) ① ----------------------------------------------------. 1. ∼ 3. (현행과 같음) 4. 정보주체로부터 개인정보를 국외에서 수집하여 처리하는 경우 개인정보가 국외에서 처리된다는 사실과 해당 국가에 관한 사항(해당되는 경우에만 정한다) 5. 개인정보를 국외로 이전하는 경우 국외 이전의 근거와 법 제28조의8제2항 각 호의 사항(해당되는 경우에만 정한다)

Ⅰ. 규제의 필요성 및 대안선택

1. 추진배경 및 정부개입 필요성

ㅇ 추진배경

- 기존에는 개인정보를 국외에서 처리(수집·이전)하는 경우 이를 국외 이전 동의 시 알리거나 처리방침에 명시하도록 규정

- 이에, 개인정보위는 시행령 개정 전에도 ‘개인정보 처리방침 작성 지침’(2022.3)을 통해 개인정보가 국외에서 처리되는 경우 개인정보처리자가 이를 정보주체에게 알릴 수 있도록 안내해왔음

- 개인정보 보호법 개정(2023.9.15. 시행)으로 인해 국외 이전 요건이 다양화되고 국외 이전 규정이 체계화(제4절 개인정보의 국외 이전) 되면서, 정보주체가 본인의 개인정보가 국외로 이전되는 경우를 포함하여 국외에서 처리된다는 사실을 종전과 같이 처리방침 등을 통해 확인할 수 있도록 할 필요성 제기

※ ▲개인정보위가 정하여 고시하는 인증을 받은 경우, ▲국가 국제기구의 보호수준을 개인정보위가 인정한 경우 신설

ㅇ 정부개입 필요성

- 정보주체가 본인의 개인정보가 국외에서 처리(수집·이전)된다는 사실 등을 쉽게 확인할 수 있도록 하는 것은 개인정보 보호 수준을 보장하기 위한 정보주체의 핵심 권리로서,

- 기존과 같이 정보주체의 알권리를 빠짐없이 보호하기 위해 이를 개인정보 처리방침에 공개하도록 할 필요가 있음

2. 규제 대안 검토 및 선택

① 대안의 내용 및 선택 근거

ㅇ 대안의 내용

- 개인정보를 국외에서 수집·이용하는 경우 개인정보가 처리되는 국가 및 국외에서 처리된다는 사실을 개인정보 처리방침에 공개

- 개인정보를 국외로 이전하는 경우 국외 이전의 근거와 법 제28조의8제2항 각 호의 사항을 개인정보 처리방침에 공개

ㅇ 선택 근거

- 개인정보가 국외에서 처리되는 경우 처리자, 처리되는 국가, 처리 시기 등 처리정보를 정보주체에게 공개함으로써 정보주체의 알권리 보장

② 이해관계자 의견수렴

이해관계자명	일시 · 장소 · 방법	제시의견	조치결과
	◦입법예고(’23.11.23.~’24.1.2.) 예정

3. 규제목표

ㅇ 디지털시대 데이터의 흐름이 국내외로 다양화됨에 따라 개인정보가 국외에서 처리되는 경우 처리 방침에 이를 명시함으로써 정보주체의 알권리 및 결정권을 종전과 동일한 수준으로 보장

Ⅱ. 규제의 적정성

1. 목적‧수단 간 비례적 타당성

ㅇ 동 제도의 목적은 개인정보처리자가 개인정보를 국외에서 처리(수집·이전)하는 경우 그에 관한 사실을 정보 주체가 비교 확인할 수 있도록 하여 정보주체의 알권리를 보장하고자 하는 것임

- 특히, 개인정보 보호법 개정으로 인해 신설된 국외 이전 요건에 대해서도 종전과 같이 정보주체에게 국외 이전에 대한 동의 혹은 처리방침 명시를 통해 이를 알릴 필요성이 제기됨

ㅇ 상기 목적 달성을 위해 금번 시행령 개정을 통해 관련 내용을 개인정보 처리방침에 공개하도록 규정

- 법 개정 이전에도 정보주체의 동의가 아닌 국외 이전의 경우(처리위탁·보관 등) 처리방침에 공개하도록 하고 있었으며,

- 처리방침 공개의 경우 정보주체에게 개별적인 동의 획득 및 통보 필요성이 없어 목적과 수단간 비례성이 확보된 것으로 판단

※ 한편, ‘개인정보 처리방침 작성지침’(2022.3.)에 개인정보의 국외 이전에 관한 사항을 개인정보 처리방침에 작성하여 공개하도록 권장중

2. 영향평가 필요성 등 고려사항

영향평가
기술	경쟁	중기
해당없음	해당없음	해당없음

o 영향평가

- 기술규제영향평가

해당없음

- 경쟁영향평가

해당 없음

경쟁영향평가 점검항목	해당 여부
(A) 사업자의 수 또는 범위 제한	해당없음
(B) 사업자의 경쟁능력 제한	해당없음
(C) 사업자의 경쟁유인 감소	해당없음
(D) 소비자에게 제공되는 선택과 정보의 제한	해당없음

- 중기영향평가

해당없음

①	규제 영역		해당없음
②	규제 방식		해당없음
③	예비분석모델		해당없음
		판단 근거
④	대상 업종		해당없음
⑤	예비분석내용		해당없음
⑥	차등화적용 여부		해당없음

- 규제 차등화 예비분석 결과표

o 기타 고려사항

- 고용친화적 규제설계

해당없음

- 시장유인적 규제설계

해당없음

- 일몰설정 여부

해당없음

- 우선허용·사후규제 적용 여부

해당 없음

분류	적용여부	적용내용/미적용사유
포괄적 개념 정의		개인정보를 국외에서 수집·이용하거나 개인정보를 국외로 이전하는 경우 개인정보 처리방침에 관련 사항을 공개하도록 규정하는 것으로 포괄적 개념 정의에 미해당
유연한 분류 체계		개인정보를 국외에서 수집·이용하거나 개인정보를 국외로 이전하는 경우 개인정보 처리방침에 관련 사항을 공개하도록 규정하는 것으로 유연한 분류체계에 미해당
네거티브리스트		신사업 관련 허용대상을 한정 열거하는 사항이 아님
사후 평가관리		신사업 관련 사전 심의‧검사 또는 사후 평가‧관리와 무관
규제 샌드박스		신기술을 활용한 서비스 창출과 무관

3. 해외 및 유사입법사례

o 해외사례

ㅇ 해외사례: EU 개인정보보호법(GDPR)

- 개인정보가 국외에서 수집되는 경우 수집하는 개인정보처리자의 정보, 개인정보의 국외 이전 시 법적 근거 등을 정보주체에게 제공하도록 규정

제3장 정보주체의 권리

제12조(정보주체의 권리행사를 위한 투명한 정보, 통지 및 형식)

1. 개인정보처리자는 처리와 관련한 제13조 및 제14조에 명시된 일체의 정보, 제15조부터 제22조까지의 조문 및 제34조에 규정된 일체의 통지를 정확하고, 투명하며, 이해하기 쉬운 형식으로 명확하고 평이한 언어를 사용하여 정보주체에게 제공하기 위한 적절한 조치를 취해야 하고, 특히 아동을 특정 대상으로 할 때 더욱 그러해야 한다. 해당 정보는 서면이나 적절한 경우, 전자수단 등 기타 수단을 이용하여 제공되어야 한다. 개인정보주체가 요청하는 경우, 다른 수단을 통해 개인정보주체의 신원이 입증되면, 해당 정보는 구두로 제공될 수 있다.

제13조(정보주체로부터 수집되는 경우 제공되는 정보)

1. 정보주체에 관련된 개인정보를 정보주체로부터 수집하는 경우, 개인정보처리자는 개인정보를 취득할 당시 정보주체에게 다음 각 호의 정보 일체를 제공해야 한다.

(a) 개인정보처리자 또는 해당되는 경우, 개인정보처리자의 대리인의 신원 및 상세 연락처

(b) 해당되는 경우, 개인정보보호 담당관의 상세 연락처

(c) 해당 개인정보의 예정된 처리의 목적뿐 아니라 처리의 법적 근거

(d) 제6조(1)의 (f)호에 근거한 처리의 경우, 개인정보처리자 또는 제3자의 정당한 이익

(e) 해당되는 경우, 개인정보의 수령인 또는 수령인의 범주

(f) 해당되는 경우, 개인정보처리자가 제3국이나 국제기구의 수령인에게 개인정보를 이전할 예정이라는 사실과 집행위원회가 내린 적정성 결정의 유무, 또는 제46조, 제47조, 제49조(1)의 두 번째 단락에 명시된 이전의 경우, 적절하고 적합한 안전조치, 그 사본을 입수하기 위한 수단, 안전조치가 사용 가능하게 되는 경우에 대한 언급

제14조(정보주체로부터 수집되지 않은 경우 제공되는 정보)

1. 개인정보가 정보주체로부터 수집되지 않은 경우, 개인정보처리자는 다음 각 호의 정보를 정보주체에게 제공해야 한다.

(a) 개인정보처리자 또는 가능한 경우, 개인정보처리자의 대리인의 신원 및 상세 연락처

(이하 생략)

※ 제14조의 (b)~(f)는 제13조의 (b)~(f)와 동일

관련 국제기준	일치여부	불일치 사유(불일치 시에 한함)
해당없음	해당없음	해당없음

o 타법사례

Ⅲ. 규제의 실효성

1. 규제의 순응도

o 피규제자 준수 가능성

- 피규제자(개인정보처리자)의 의무는 종전과 동일한 수준으로서 개인정보처리자의 신규 부담 발생은 매우 낮을것으로 판단

- 개인정보 보호법 개정 이전에도, 이용자의 개인정보를 국외에서 처리하는 경우(제공, 처리위탁, 보관 등) 처리 방침 기재 의무가 있었으며,

- ‘개인정보 처리방침 작성 지침’(2022.3)을 통해 개인정보가 국외에서 처리되는 경우 개인정보처리자가 이를 정보주체에게 알릴 수 있도록 안내하고 있었음

- 또한, 금번 시행령 개정으로 인해 처리방침 작성 의무가 부과되는  국외 이전 요건(보호수준 인증, 대상국 인정)은 활성화되지 않은 상황으로서 이를 활용 중인 처리자는 없는 것으로 파악

- 한편, 개인정보 처리방침에 관련 사항을 공개함으로써 개인정보처리자의 개인정보 처리에 관한 투명성을 높이고 정보주체에게 자신의 개인정보를 어떻게 처리하고 있는지를 비교ㆍ확인할 수 있게 되므로 기업 및 국민의 이해도 및 순응도는 높을 것으로 예상

2. 규제의 집행가능성

o 행정적 집행가능성

- 개인정보보호위원회 기존 인력 및 전문위원회 등을 활용하여 행정적 집행 가능

o 재정적 집행가능성

- 인건비 외 별도 예산이 소요되지 않음

Ⅳ. 추진계획 및 종합결론

1. 추진 경과

o「개인정보 보호법」개정안 국회 본회의 의결(2.27.) 및 공포(3.14.)

o「개인정보 보호법 시행령」1차 개정안 검토 및 공포(9.12.)

※ 입법예고(5.19.～6.28.), 규제심사(7.14.), 법제처심사 (8.23.), 국무회의(9.5.)

o「개인정보 보호법」및 시행령 개정안 시행(9.15.)

o「개인정보 보호법 시행령」2차 개정안 마련(~10월)

o「개인정보 보호법 시행령」개정안 위원회 보고(11.8.)

2. 향후 평가계획

o 개인정보를 국외에서 처리하거나 국외 이전을 하는 기업 등을 대상으로 개정사항에 대한 지속적인 홍보 및 교육 등을 통해 인식을 제고하고, 모니터링 및 실태 점검 등을 병행할 예정

3. 종합결론

o 정보주체가 본인의 개인정보가 국외에서 처리(수집·이전)된다는 사실 등을 쉽게 확인할 수 있도록 하는 것은 개인정보 보호 수준을 보장하기 위한 정보주체의 핵심 권리로서, 정보주체의 알권리를 보호하기 위해 이를 처리방침에 공개하도록 할 필요

o 법 개정 이전에도 이용자의 개인정보를 국외에서 처리하는 경우(제공, 처리위탁, 보관 등) 처리 방침 기재 의무가 있었으며,

- ‘개인정보 처리방침 작성 지침’(2022.3)을 통해 개인정보가 국외에서 처리되는 경우 개인정보처리자가 이를 정보주체에게 알릴 수 있도록 안내하고 있었음

o 개인정보 처리방침에 관련 사항을 공개함으로써 개인정보처리자의 개인정보 처리에 관한 투명성을 높이고 정보주체에게 자신의 개인정보를 어떻게 처리하고 있는지를 비교ㆍ확인할 수 있게 됨으로 기업 및 국민의 이해도 및 순응도는 높을 것으로 예상

별 첨		비용편익분석 상세내역

가. 대안별 분석 비교표

분석기준년도	규제시행년도	분석대상기간(년)	할인율(%)	단위
2023	2024	0	4.5	백만원, 현재가치

규제대안1 :
영향집단		비용	편익	순비용
피규제 기업 · 소상공인	직접
	간접
피규제 일반국민
피규제자 이외 기업 · 소상공인
피규제자 이외 일반국민
정부
총 합계
기업순비용			연간균등순비용

정성분석 내용 및 기타 참고사항

나. 각 대안의 활동별 비용․편익 분석 결과

<규제대안1  : >

①피규제 기업소상공인 :

□ 간접비용

(정성)영향집단명

개인정보를 국외로 이전하거나 국외에서 수집하는 개인정보처리자

활동제목

국외 수집·이전에 대한 처리방침 공개

비용항목

해당없음

일시적/반복적

일시적

근거설명

ㅇ 개인정보처리자의 신규 비용 부담 발생은 매우 낮을것으로 판단

- 개인정보 보호법 개정 이전에도, 이용자의 개인정보를 국외에서 처리하는 경우 처리 방침 기재 의무가 있었음

- 법 개정으로 신설된 국외 이전 요건(보호수준 인증, 대상국 인정)의 경우 아직 인정받은 국가가 없는 등 요건이 활성화되지 않은 상황으로서 이를 활용중인 처리자는 없는 것으로 파악하고 있어, 처리방침 기재 의무 발생시에도 신규 비용 부담은 적을 것으로 예상

②피규제 일반국민 :

□ 편익

(정성)영향집단명

정보주체

활동제목

국외 수집·이전에 대한 처리방침 공개

편익항목

해당없음

일시적/반복적

일시적

근거설명

ㅇ 정보주체의 개인정보 국외 처리에 대한 알권리 보장 및 처리에 대한 자기결정권 확충

- 우리 법이 보장하는 국민의 개인정보 보호 수준 유지, 우리 국민의 개인정보 국외 유출로 인한 피해 예방

< 규제 개요 >

기본 정보	1.규제사무명	개인정보 보호책임자 지정
	2.규제조문	개인정보 보호법 시행령 개정안 제32조 및 별표1
	3.위임법령	개인정보 보호법 제31조
	4.유형	신설				5.입법예고	2023.11.23~2024.01.02
규제의 필요성	6.추진배경 및 정부개입 필요성	ㅇ 기존 개인정보 보호법 제31조는 개인정보처리자에게 개인정보 보호책임자 지정 의무를 부과하여 처리자의 개인정보 처리에 대한 책임성과 투명성을 높이기 위한 취지였으나, - 개인정보 보호책임자의 지정요건이 직위요건에만 국한되어 전문성 확보를 위한 자격요건이 없고, 독립성 보장을 위한 관련 규정도 미비하여 개인정보 보호 전담인력으로서의 역할 수행에 한계가 있다는 비판 제기 ㅇ 이에 개인정보 보호책임자의 전문성 및 독립성 확보의 근거를 마련한 개인정보 보호법 개정(2023.3.14. 공포)에 따라, 시행령에 위임된 개인정보 보호책임자 자격기준과 적용대상, 개인정보 보호 책임자의 독립성 보장 방안 등을 규정하여 개인정보 보호책임자의 자율적·체계적 개인정보보호 활동 유도
	7.규제내용	ㅇ 개인정보처리자의 매출액, 개인정보의 보유 규모 등을 고려하여 개인정보 보호책임자의 자격요건 및 독립성 보장 방안 마련
	8.피규제집단 및 이해관계자	ㅇ 개인정보처리자
	9.규제목표	ㅇ 일정 기준 이상의 개인정보처리자에게 개인정보 보호책임자 자격요건 도입 및 독립성 보장 의무를 부여하여 규제의 불확실성을 완화하고, 개인정보처리자의 개인정보 처리 책임성 및 투명성을 제고하여 정보주체의 권리 강화
규제의 적정성	10.영향평가 여부	기술영향평가			경쟁영향평가			중기영향평가
		해당없음			해당없음			해당없음
	11.비용편익 분석 (정성분석)	ㅇ 기존 법령에 따라 지정하도록 되어 있는 개인정보 보호책임자에 대한 자격요건 도입으로 일정 기준 이상의 개인정보처리자에게만 자격요건을 갖춘 개인정보 보호책임자 지정 의무가 발생하는 최소한의 요건으로서, 추가적으로 소요되는 비용 대비 대규모 개인정보처리자가 보유한 국민의 개인정보 보호라는 편익이 클 것으로 예상됨
기타	12.규제일몰제	대분류	소분류
		일몰설정 예외기준	1. 국제조약 등에 따라 동일하게 적용 되어야 하는 규제							해당
			2. 국가의 질서 유지 및 국민생명· 안전과 직접 관련된 규제							해당
			3. 사회통념상 보편적으로 통용되는 규범적 성격의 규제							해당
		경제규제 여부기준	4. 국민과 기업의 경제활동에 대한 규제
			5. 경제활동에 직접영향을 주는 규제
		일몰설정 세부기준	6. 피규제자의 규제부담이 매우 큰 규제
			7. 한시적 목적을 위한 규제이거나 주기적인 검토가 필요한 규제
		일몰설정여부		일몰조문					연장여부
		미설정
		일몰유형		일몰설정기간					일몰주기
	13. 우선허용· 사후 규제 적용여부	해당 없음

<조문 대비표>

현 행	개 정 안
제32조(개인정보 보호책임자의 업무 및 지정요건 등) <신 설> ① 법 제31조제2항제7호에서 “대통령령으로 정한 업무”란 다음 각 호와 같다. 1. 법 제31조에 따른 개인정보처리방침의 수립·변경 및 시행 2. 개인정보 보호 관련 자료의 관리 3. 처리 목적이 달성되었거나 보유기간이 지난 개인정보의 파기 ② 개인정보처리자는 법 제31조제1항에 따라 개인정보 보호책임자를 지정하려는 경우에는 다음 각 호의 구분에 따라 지정한다. 1. 공공기관: 다음 각 목의 구분에 따른 기준에 해당하는 공무원 등 가. ~ 마. (생 략) 바. 시ㆍ군 및 자치구: 4급 공무원 또는 그에 상당하는 공무원 사. 제2조제5호에 따른 각급 학교: 해당 학교의 행정 사무를 총괄하는 사람 아. (생 략) 2. (생 략) <신 설> ③ 제2항에도 불구하고 개인정보처리자가 「소상공인 보호 및 지원에 관한 법률」제2조에 따른 소상공인에 해당하는 경우에는 별도의 지정 없이 그 사업주 또는 대표자를 개인정보 보호책임자로 지정한 것으로 본다. 다만, 개인정보처리자가 별도로 개인정보 보호책임자를 지정한 경우에는 그렇지 않다. ④ 보호위원회는 개인정보 보호책임자가 법 제31조제2항의 업무를 원활히 수행할 수 있도록 개인정보 보호책임자에 대한 교육과정을 개설·운영하는 등 지원을 할 수 있다. <신 설> <신 설>	제32조(개인정보 보호책임자의 업무 및 지정요건 등) ① 법 제31조제1항단서에서 “종업원 수, 매출액 등이 대통령령으로 정하는 기준에 해당하는 개인정보처리자”란 「소상공인기본법」 제2조제1항에 따른 소상공인에 해당하는 개인정보처리자를 말한다. ② 법 제31조제3항제7호에서 “대통령령으로 정한 업무”란 다음 각 호와 같다. 1. (현행과 같음) 2. 개인정보 처리와 관련된 인적ㆍ물적 자원 및 정보의 관리 3. (현행과 같음) ③ (현행과 같음) 1. (현행과 같음) 가. ~ 마. (현행과 같음) 바. ------------ 이상 공무원 또는 ---------- 사. 제2조제5호에 따른 각급 학교: 해당 학교의 행정 사무를 총괄하는 사람. 다만, 제4항제1호나목에 해당하는 경우에는 소속 임직원 중에서 지정할 수 있다. 아. (현행과 같음) 2. (현행과 같음) ④ 다음 각 호의 어느 하나에 해당하는 개인정보처리자(법 제2조제6호에 따른 공공기관의 경우에는 이 영 제2조제2호부터 제5호에 해당하는 경우에 한한다)는 법 제 31조제1항에 따라 개인정보 보호책임자를 지정하려는 경우에는 별표 1에서 정하는 자격요건을 갖춘 자를 지정하여야 한다. 1. 연간 매출액 또는 수입 등이 1,500억원 이상인 자로서 다음 각 목의 어느 하나에 해당하는 자 가. 제15조의2제1항 각 호의 어느 하나에 해당하는 자 나. 직전연도 12월 31일 기준으로 재학생 수가 1만명 이상인 「고등교육법」 제2조에 따른 학교 2.「의료법」제3조의4에 따른 상급종합병원 3. 제30조의2제1항에 따라 보호위원회가 고시하는 기준에 해당하는 개인정보처리시스템을 운영하는 공공기관 <삭 제> ⑤ 보호위원회는 개인정보 보호책임자가 법 제31조제3항의 업무를원활히 수행할 수 있도록 개인정보 보호책임자에 대한 교육과정을 개설·운영하는 등 지원을 할 수 있다. ⑥ 개인정보처리자(법 제31조제2항에 따라 사업주 또는 대표자가 개인정보 보호책임자가 되는 경우는 제외한다)는 개인정보 보호책임자가 개인정보 보호 관련 업무에 대한 종합적 이해와 전문가적 역량을 갖추고 법 제31조제3항의 업무를 독립적으로 수행할 수 있도록 다음 각 호의 사항을 준수하여야 한다. 1. 개인정보 처리와 관련된 모든 정보에 대한 접근 보장 2. 수행하는 업무계획, 집행, 결과 등에 관하여 연 1회 이상 정기적으로 대표자 및 이사회(이사회가 없는 경우에는 대표자에 한한다)에 직접 보고할 수 있는 체계의 구축 3. 업무 수행에 적합한 조직체계의 마련 및 인적·물적 자원의 제공 4. 부당한 지시에 대한 불이행을 이유로 한 불이익의 금지 제32조의2(개인정보 보호책임자 협의회의 사업 범위) 법 제31조제7항에서 “대통령령으로 정하는 공동의 사업”이란 다음 각 호의 사업을 말한다. 1. 개인정보처리자의 개인정보 보호 강화를 위한 정책의 조사, 연구 및 수립 지원 2. 개인정보 침해사고 분석 및 대책 연구 3. 개인정보 보호책임자 지정·운영, 업무 수행 현황 등 실태 파악 및 제도 개선을 위한 연구 4. 개인정보 보호책임자 교육 등 개인정보 보호책임자의 개인정보 보호 역량 및 전문성 향상 5. 개인정보 보호책임자의 업무와 관련된 국내외 주요 동향의 조사, 분석 및 공유 6. 그 밖에 개인정보처리시스템 등의 안전한 관리를 위하여 필요한 사업 ② 보호위원회는 예산의 범위에서 개인정보 보호책임자 협의회 운영과 사업에 필요한 행정적ㆍ재정적 지원을 할 수 있다.

Ⅰ. 규제의 필요성 및 대안선택

1. 추진배경 및 정부개입 필요성

ㅇ 현행 개인정보 보호법 제31조는 개인정보처리자에게 개인정보 보호책임자 지정 의무를 부과하여 처리자의 개인정보 처리에 대한 책임성과 투명성을 높이고 국민의 개인정보 보호를 강화하기 위한 취지이나,

- 개인정보 보호책임자의 전문성을 확보할 수 있는 자격요건에 대한기준이 없고, 독립적 업무수행을 보장할 수 있는 방안도 미비하여개인정보 보호 전담인력으로서 역할수행에 한계가 있다는 비판 제기

ㅇ 이에 개인정보 보호책임자의 전문성 확보 및 독립성 보장의 근거를 마련한 개인정보 보호법 개정에 따라, 시행령에 위임된 개인정보 보호책임자 자격기준 및 적용대상, 독립성 보장방안을 정하여 개인정보 보호책임자의 자율적이고 체계적인 개인정보 보호 활동 유도

2. 규제 대안 검토 및 선택

① 대안의 내용 및 선택 근거

ㅇ 대안의 내용

- 개인정보 보호책임자의 자격기준을 도입하고, 개인정보처리자의 매출액, 개인정보의 보유 규모를 종합적으로 고려하여 자격요건을 갖춘 CPO를 지정해야 되는 적용대상 수립(안 제32조제4항 및 별표1)

- 개인정보 처리 관련 모든 정보에 대한 접근보장, 대표자 및 이사회에 직접 보고 가능체계 구축, 업무수행에 적합한 인적ㆍ물적 자원 제공, 부당한 지시에 대한 불이행을 이유로 한 불이익 금지 등 CPO 독립성 보장을 위한 개인정보처리자의 준수의무 부여(안 제32조제6항)

- CPO 지정·운영 등 현황 파악 및 제도 개선, 교육 등 역량 및 전문성 강화, 업무와 관련된 국내외 개인정보 주요 동향 공유 등 “CPO 협의회”가 수행하는 공동사업의 범위 규정(안 제32조의2)

ㅇ 선택 근거

- 전문성을 갖춘 개인정보 보호책임자를 지정해야 하는 의무를 모든 개인정보처리자에게 부여하지 않고, 개인정보처리자의 매출액 및 개인정보의 보유 규모 등을 고려하여 선정함에 따라 적용범위 최소화

- 법률에서 정한 개인정보 보호책임자의 자격요건 및 독립성 보장 등에 필요한 사항을 구체화하여 개인정보처리자의 예측 가능성 제고

② 이해관계자 의견수렴

이해관계자명	일시 · 장소 · 방법	제시의견	조치결과
	◦입법예고(’23.11.23.~‘24.1.2.) 예정

3. 규제목표

ㅇ 일정기준 이상의 개인정보처리자에게 개인정보 보호책임자 자격요건 도입 및 독립성 보장 의무를 부여하여, 규제의 불확실성을 완화하고 개인정보처리자의 개인정보 처리 책임성 및 투명성 제고

Ⅱ. 규제의 적정성

1. 목적‧수단 간 비례적 타당성

ㅇ 동 제도는 개인정보 보호책임자의 전문성을 강화하기 위한 자격요건을 도입하고, 독립성을 보장하기 위한 방안을 규정하여 개인정보처리자의 개인정보 처리 책임성과 투명성을 제고하기 위함임

ㅇ 이에 전문성을 갖춘 개인정보 보호책임자 지정대상 선정기준, 개인정보 보호책임자의 독립성 강화를 위한 개인정보처리자의 의무사항 등을 구체화함으로써 합리적이고 예측 가능한 법 적용을 도모하는 것으로, 목적과 수단 간 비례성 확보

2. 영향평가 필요성 등 고려사항

영향평가
기술	경쟁	중기
해당없음	해당없음	해당없음

o 영향평가

- 기술규제영향평가

해당없음

- 경쟁영향평가

해당없음

경쟁영향평가 점검항목	해당 여부
(A) 사업자의 수 또는 범위 제한	해당없음
(B) 사업자의 경쟁능력 제한	해당없음
(C) 사업자의 경쟁유인 감소	해당없음
(D) 소비자에게 제공되는 선택과 정보의 제한	해당없음

- 중기영향평가

해당없음

①	규제 영역		해당없음
②	규제 방식		해당없음
③	예비분석모델		해당없음
		판단 근거
④	대상 업종		해당없음
⑤	예비분석내용		해당없음
⑥	차등화적용 여부		해당없음

- 규제 차등화 예비분석 결과표

o 기타 고려사항

- 고용친화적 규제설계

해당없음

- 시장유인적 규제설계

해당없음

- 일몰설정 여부

해당없음

- 우선허용·사후규제 적용 여부

해당없음

분류	적용여부	적용내용/미적용사유
포괄적 개념 정의		인허가 또는 지원사항을 규정한 것이 아니므로 포괄적 개념 정의 불필요
유연한 분류 체계		인허가 또는 지원사항을 규정한 것이 아니므로 유연한 분류 체계에 미해당
네거티브리스트		신사업 관련 허용대상을 한정 열거하는 사항이 아님
사후 평가관리		신사업 관련 사전 심의‧검사 또는 사후 평가‧관리와 무관
규제 샌드박스		신기술을 활용한 서비스 창출과 무관

3. 해외 및 유사입법사례

o 해외사례

- EU 개인정보 보호법(GDPR)은 제37조부터 제39조까지 개인정보처리자와 수탁처리자를 대상으로 ’개인정보 보호담당관(Data Protection Officer)‘의 지정과 지위 및 수행업무 전반에 관한 사항을 규정

【EU GDPR】

제37조(개인정보보호 담당관의 지정) ① 다음 각 호에 해당하는 경우, 개인정보처리자와 수탁처리자는 개인정보보호 담당관을 지정해야 한다.

(a) 법원이 사법 권한을 행사하는 경우를 제외한 공공당국 또는 기관이 처리를 하는 경우

(b) 개인정보처리자나 수탁처리자의 핵심 활동이 처리의 성격, 범위 또는 목적에 의해 개인정보주체에 대한 정기적이고 체계적인 대규모의 모니터링을 요하는 처리 작업들로 구성되는 경우

(C) 개인정보처리자 또는 수탁처리자의 핵심 활동이 제9조에 따른 특정 범주의 개인정보와 제10조에 규정된 범죄경력 및 범죄 행위에 관련된 개인정보를 대규모로 처리하는 것으로 구성되는 경우

② 사업체 집단은 단일의 개인정보보호 담당관을 지정할 수 있는데 각 사업장이 해당 개인정보보호 담당관을 쉽게 이용할 수 있는 경우에 그러하다.

③ 개인정보처리자 또는 수탁처리자가 공공당국이나 기관인 경우, 조직의 구조나 규모를 고려하여 다수의 그러한 당국이나 기관을 위해 단일의 개인정보보호 담당관이 지정될 수 있다.

④ 제1항에 규정된 것 이외의 경우, 개인정보처리자나 수탁처리자의 각 범주를 대표하는 협회 또는 기타 기관은 유럽연합 또는 회원국 법률이 요구하는 경우 개인정보보호 담당관을 지정할 수 있거나 지정해야 한다. 개인정보보호 담당관은 개인정보처리자 또는 수탁처리자를 대변하는 해당 협회 및 기타 기관을 대행할 수 있다.

⑤ 개인정보보호 담당관은 직무상의 자질, 특히 개인정보보호법과 실무에 대한 전문가적 지식과 제39조에 규정된 업무를 수행할 수 있는 능력에 근거하여 지정되어야 한다.

⑥ 개인정보보호 담당관은 개인정보처리자 또는 수탁처리자의 직원일 수 있거나 서비스계약에 근거하여 업무를 수행할 수 있다.

⑦ 개인정보처리자 또는 수탁처리자는 개인정보보호 담당관의 상세 연락처를 공개하며 이를 감독기관에 통보하여야 한다.

제38조(개인정보보호 담당관의 지위) ① 개인정보처리자 및 수탁처리자는 개인정보보호 담당관이 개인정보 보호와 관련된 모든 문제에 적절하고 시의 적절하게 관여하도록 해야 한다.

② 개인정보처리자 및 수탁처리자는 개인정보보호 담당관이 제39조의 업무를 수행하고 개인정보 및 처리 작업을 열람하며 전문지식을 유지하는데 필요한 자원을 제공함으로써 그의 업무 수행을 지원해야 한다.

③ 개인정보처리자 또는 수탁처리자는 개인정보보호 담당관이 그 업무의 수행에 있어 어떠한 지시도 받지 않도록 보장해야 한다. 개인정보보호 담당관은 본인의 업무 수행을 이유로 개인정보처리자나 수탁처리자에 의해 해임 또는 처벌받아서는 안된다. 개인정보보호 담당관은 개인정보처리자 또는 수탁처리자의 최고 경영진에게 직접 보고해야 한다.

④ 개인정보주체는 본인의 개인정보 처리 및 본 규정에 따른 권리 행사와 관련한 모든 사안에 관해 개인정보보호 담당관에게 연락을 취할 수 있다.

⑤ 개인정보보호 담당관은 유렵연합이나 회원국 법률에 따라 본인의 업무 수행에 관해 비밀 또는 기밀 유지의 의무를 준수해야 한다.

⑥ 개인정보보호 담당관은 기타 어무 및 직무를 수행할 수 있다. 개인정보처리자나 수탁처리자는 이러한 업무 및 직무가 이해의 상충을 초래하지 않도록 해야 한다.

제39조(개인정보보호 담당관의 업무) ① 개인정보보호 담당관은 최소한 다음 각 호의 업무를 수행하여야 한다.

(a) 개인정보처리자나 수탁처리자, 그리고 처리를 수행하는 직원에게 본 규정과 유럽연합 또는 회원국의 개인정보보호 규정에 따른 의무에 대해 고지 및 권고

(b) 책임 할당, 인식 제고, 처리 작업에 관련된 직원 교육 및 관련 감사 등 본 규정, 기타 유럽연합 또는 회원국의 개인정보보호 규정, 개인정보 보호와 관련한 개인정보처리자 또는 수탁처리자의 정책이 준수되는지 모니터링

(C) 요청이 있을 경우, 제35조에 따라 개인정보보호 영향평가에 관한 자문 제공 및 평가의 이행을 모니터링

(d) 감독기관과 협력

(e) 제36조에 규정된 사전 자문 등 처리에 관련한 현안에 대해 감독기관의 연락처 역할 수행 및 적절한 경우 기타 사안에 대한 자문 제공

② 개인정보보호 담당관은 업무를 수행할 때 처리의 성격과 범위, 상황, 목적을 참작하여 처리 작업과 연계된 위험을 충분히 고려해야 한다.

관련 국제기준	일치여부	불일치 사유(불일치 시에 한함)
해당없음	해당없음	해당없음

o 타법사례

-「정보통신망 이용촉진 및 정보보호 등에 관한 법률」제45조의3 및 동법 시행령 제36조의7, 제36조의8은 정보통신서비스 제공자를 대상으로 정보보호 최고책임자의 지정·신고, 수행업무 및 자격요건 등을 규정

【정보통신망 이용촉진 및 정보보호 등에 관한 법률】

제45조의3(정보보호 최고책임자의 지정 등) ① 정보통신서비스 제공자는 정보통신시스템 등에 대한 보안 및 정보의 안전한 관리를 위하여 대통령령으로 정하는 기준에 해당하는 임직원을 정보보호 최고책임자로 지정하고 과학기술정보통신부장관에게 신고하여야 한다. 다만, 자산총액, 매출액 등이 대통령령으로 정하는 기준에 해당하는 정보통신서비스 제공자의 경우에는 정보보호 최고책임자를 신고하지 아니할 수 있다.

② 제1항에 따른 신고의 방법 및 절차 등에 대해서는 대통령령으로 정한다.

③ 제1항 본문에 따라 지정 및 신고된 정보보호 최고책임자(자산총액, 매출액 등 대통령령으로 정하는 기준에 해당하는 정보통신서비스 제공자의 경우로 한정한다)는 제4항의 업무 외의 다른 업무를 겸직할 수 없다.

④ 정보보호 최고책임자의 업무는 다음 각 호와 같다.

1. 정보보호 최고책임자는 다음 각 목의 업무를 총괄한다.

가. 정보보호 계획의 수립ㆍ시행 및 개선

나. 정보보호 실태와 관행의 정기적인 감사 및 개선

다. 정보보호 위험의 식별 평가 및 정보보호 대책 마련

라. 정보보호 교육과 모의 훈련 계획의 수립 및 시행

2. 정보보호 최고책임자는 다음 각 목의 업무를 겸할 수 있다.

가. 「정보보호산업의 진흥에 관한 법률」 제13조에 따른 정보보호 공시에 관한 업무

나. 「정보통신기반 보호법」 제5조제5항에 따른 정보보호책임자의 업무

다. 「전자금융거래법」 제21조의2제4항에 따른 정보보호최고책임자의 업무

라. 「개인정보 보호법」 제31조제2항에 따른 개인정보 보호책임자의 업무

마. 그 밖에 이 법 또는 관계 법령에 따라 정보보호를 위하여 필요한 조치의 이행

⑤ 정보통신서비스 제공자는 침해사고에 대한 공동 예방 및 대응, 필요한 정보의 교류, 그 밖에 대통령령으로 정하는 공동의 사업을 수행하기 위하여 제1항에 따른 정보보호 최고책임자를 구성원으로 하는 정보보호 최고책임자 협의회를 구성ㆍ운영할 수 있다.

⑥ 정부는 제5항에 따른 정보보호 최고책임자 협의회의 활동에 필요한 경비의 전부 또는 일부를 지원할 수 있다.

⑦ 정보보호 최고책임자의 자격요건 등에 필요한 사항은 대통령령으로 정한다.

【정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령】

제36조의7(정보보호 최고책임자의 지정 및 겸직금지 등) ① 법 제45조의3제1항 본문에서 “대통령령으로 정하는 기준에 해당하는 임직원”이란 다음 각 호의 구분에 따른 사람을 말한다.

1. 다음 각 목의 어느 하나에 해당하는 정보통신서비스 제공자: 사업주 또는 대표자

가. 자본금이 1억원 이하인 자

나. 「중소기업기본법」 제2조제2항에 따른 소기업

다. 「중소기업기본법」 제2조제2항에 따른 중기업으로서 다음의 어느 하나에 해당하지 않는 자

1) 「전기통신사업법」에 따른 전기통신사업자

2) 법 제47조제2항에 따라 정보보호 관리체계 인증을 받아야 하는 자

3) 「개인정보 보호법」 제30조제2항에 따라 개인정보 처리방침을 공개해야 하는 개인정보처리자

4) 「전자상거래 등에서의 소비자보호에 관한 법률」 제12조에 따라 신고를 해야 하는 통신판매업자

2. 다음 각 목의 어느 하나에 해당하는 정보통신서비스 제공자: 이사(「상법」 제401조의2제1항제3호에 따른 자와 같은 법 제408조의2에 따른 집행임원을 포함한다)

가. 직전 사업연도 말 기준 자산총액이 5조원 이상인 자

나. 법 제47조제2항에 따라 정보보호 관리체계 인증을 받아야 하는 자 중 직전 사업연도 말 기준 자산총액이 5천억원 이상인 자

3. 제1호 및 제2호에 해당하지 않는 정보통신서비스 제공자: 다음 각 목의 어느 하나에 해당하는 사람

가. 사업주 또는 대표자

나. 이사(「상법」 제401조의2제1항제3호에 따른 자와 같은 법 제408조의2에 따른 집행임원을 포함한다)

다. 정보보호 관련 업무를 총괄하는 부서의 장

② 법 제45조의3제1항 단서에서 “자산총액, 매출액 등이 대통령령으로 정하는 기준에 해당하는 정보통신서비스 제공자”란 정보통신서비스 제공자로서 제1항제1호 각 목의 어느 하나에 해당하는 자를 말한다.

③ 법 제45조의3제1항 단서에 해당하는 자가 정보보호 최고책임자를 신고하지 않은 경우에는 사업주나 대표자를 정보보호 최고책임자로 지정한 것으로 본다.

④ 법 제45조의3제1항 및 제7항에 따라 정보통신서비스 제공자가 지정ㆍ신고해야 하는 정보보호 최고책임자는 다음 각 호의 어느 하나에 해당하는 자격을 갖추어야 한다. 이 경우 정보보호 또는 정보기술 분야의 학위는 「고등교육법」 제2조 각 호의 학교에서 「전자금융거래법 시행령」 별표 1 비고 제1호 각 목에 따른 학과의 과정을 이수하고 졸업하거나 그 밖의 관계법령에 따라 이와 같은 수준 이상으로 인정되는 학위로 하고, 정보보호 또는 정보기술 분야의 업무는 같은 비고 제3호 및 제4호에 따른 업무로 한다.

1. 정보보호 또는 정보기술 분야의 국내 또는 외국의 석사학위 이상 학위를 취득한 사람

2. 정보보호 또는 정보기술 분야의 국내 또는 외국의 학사학위를 취득한 사람으로서 정보보호 또는 정보기술 분야의 업무를 3년 이상 수행한 경력(학위 취득 전의 경력을 포함한다)이 있는 사람

3. 정보보호 또는 정보기술 분야의 국내 또는 외국의 전문학사학위를 취득한 사람으로서 정보보호 또는 정보기술 분야의 업무를 5년 이상 수행한 경력(학위 취득 전의 경력을 포함한다)이 있는 사람

4. 정보보호 또는 정보기술 분야의 업무를 10년 이상 수행한 경력이 있는 사람

5. 법 제47조제6항제5호에 따른 정보보호 관리체계 인증심사원의 자격을 취득한 사람

6. 해당 정보통신서비스 제공자의 소속인 정보보호 관련 업무를 담당하는 부서의 장으로 1년 이상 근무한 경력이 있는 사람

⑤ 법 제45조의3제3항에서 “자산총액, 매출액 등 대통령령으로 정하는 기준에 해당하는 정보통신서비스 제공자”란 정보통신서비스 제공자로서 제1항제2호 각 목의 어느 하나에 해당하는 자를 말한다.

⑥ 제5항에 따른 정보통신서비스 제공자가 지정ㆍ신고해야 하는 정보보호 최고책임자는 제4항에 따른 자격과 다음 각 호의 어느 하나에 해당하는 자격을 추가로 갖춰야 하며, 상근(常勤)해야 한다. 이 경우 정보보호 또는 정보기술 분야의 업무는 「전자금융거래법 시행령」 별표 1 비고 제3호 및 제4호에 따른 업무로 한다.

1. 정보보호 분야의 업무를 4년 이상 수행한 경력(제4항제1호부터 제3호까지에서 정한 학위 또는 같은 항 제5호의 자격 취득 전의 경력을 포함한다)이 있는 사람

2. 정보보호 또는 정보기술 분야의 업무를 5년 이상 수행(그중 2년 이상은 정보보호 분야의 업무를 수행해야 한다)한 경력(제4항제1호부터 제3호까지에서 정한 학위 또는 같은 항 제5호의 자격 취득 전의 경력을 포함한다)이 있는 사람

제36조의8(정보보호 최고책임자의 신고 방법 및 절차) 법 제45조의3제1항에 따라 정보보호 최고책임자를 지정하고 신고해야 하는 정보통신서비스 제공자는 신고의무가 발생한 날부터 180일 이내에 과학기술정보통신부령으로 정하는 정보보호 최고책임자 지정신고서를 과학기술정보통신부장관에게 제출해야 한다.

Ⅲ. 규제의 실효성

1. 규제의 순응도

o 피규제자 준수 가능성

- 개인정보 보호책임자의 전문성과 독립성을 강화하기 위한 자격요건 도입과 개인정보처리자에게 개인정보 보호책임자의 독립성 보장을 위한 준수의무를 부여하는 것은 개인정보 보호책임자 지정 제도의 실효성 제고로 국민의 개인정보 보호를 보다 강화하기 위한 취지임

- 또한, 모든 개인정보처리자에게 준수의무를 부여하지 않고, 개인정보처리자의 매출액과 개인정보의 보유규모를 종합적으로 고려하여 적용기관을 선정하여 수범대상을 최소화함으로써, 규제 준수의 가능성은 충분한 것으로 보여짐

2. 규제의 집행가능성

o 행정적 집행가능성

- 개인정보 보호책임자 지정 제도 운영을 위해 기존 개인정보보호위원회 인력 활용이 가능하므로 행정적 집행능력 보유

o 재정적 집행가능성

- 인건비 외 별도의 재정이 소요되지 않음

Ⅳ. 추진계획 및 종합결론

1. 추진 경과

o「개인정보 보호법」개정안 국회 본회의 의결(2.27.) 및 공포(3.14.)

o「개인정보 보호법 시행령」1차 개정안 검토 및 공포(9.12.)

※ 입법예고(5.19.～6.28.), 규제심사(7.14.), 법제처심사 (8.23.), 국무회의(9.5.)

o「개인정보 보호법」및 시행령 개정안 시행(9.15.)

o「개인정보 보호법 시행령」2차 개정안 마련(~10월)

o「개인정보 보호법 시행령」개정안 위원회 보고(11.8.)

2. 향후 평가계획

o 개인정보 보호책임자 현황 등 실태점검을 통해 적용대상 기관의 자격요건을 충족하는 개인정보 보호책임자 지정 여부 등을 지속 모니터링

3. 종합결론

o 개인정보 보호책임자의 전문성과 독립성을 강화하기 위한 자격요건 도입과 개인정보처리자에게 개인정보 보호책임자의 독립성 보장을 위한 준수의무를 부여하는 것은 개인정보 보호책임자 지정 제도의 실효성 제고로 국민의 개인정보 보호를 보다 강화하기 위한 취지임

o 개인정보 보호법 개정에 따라 도입된 개인정보 보호책임자의 전문성과 독립성 강화 방안을 구체화하여 제시하는 것으로,

o 이를 통해, 개인정보 보호책임자의 자격요건 및 적용대상 등 판단기준을 제시하여 개인정보처리자의 규제 불확실성을 해소하고, 국민의 권리를 더욱 두텁게 보호할 수 있을 것으로 예상

별 첨		비용편익분석 상세내역

가. 대안별 분석 비교표

분석기준년도	규제시행년도	분석대상기간(년)	할인율(%)	단위
2023	2024	0	4.5	백만원, 현재가치

규제대안1 :
영향집단		비용	편익	순비용
피규제 기업 · 소상공인	직접
	간접
피규제 일반국민
피규제자 이외 기업 · 소상공인
피규제자 이외 일반국민
정부
총 합계
기업순비용			연간균등순비용

정성분석 내용 및 기타 참고사항

나. 각 대안의 활동별 비용․편익 분석 결과

<규제대안1  : >

①피규제 기업소상공인 :

□ 간접비용

(정성)영향집단명

개인정보처리자

활동제목

개인정보 보호책임자 지정 등

비용항목

해당없음

일시적/반복적

일시적

근거설명

기존 법령에 따라 지정하고 있는 개인정보 보호책임자의 전문성과 독립성을 강화하기 위한 취지로 일정 규모 이상의 개인정보처리자에 대해 자격요건을 갖춘 개인정보 보호책임자를 지정하도록 하는 최소한의 요건으로서 별도의 비용은 없을 것으로 예상

②피규제 일반국민 :

□ 편익

(정성)영향집단명

정보주체

활동제목

개인정보 보호책임자 지정 등

편익항목

정보주체 권리 강화

일시적/반복적

일시적

근거설명

개인정보 보호책임자의 전문성과 독립성을 강화하여 개인정보처리자의 개인정보 처리 과정의 책임성, 투명성을 높여 정보주체의 권리 강화

< 규제 개요 >

기본 정보	1.규제사무명	자동화된 결정에 대한 정보주체의 권리
	2.규제조문	개인정보 보호법 시행령 제44조의2 ~ 제44조의4
	3.위임법령	개인정보 보호법 제37조의2
	4.유형	신설				5.입법예고	2023.11.23~2024.01.02
규제의 필요성	6.추진배경 및 정부개입 필요성	ㅇ (추진배경) - 인공지능(AI) 등 신기술 발전에 따라 인사채용, 복지수급자선정 등 완전히 자동화된 결정이 광범위하게 활용되면서 새로운 프라이버시 이슈 제기 - 이에 개인정보 보호법 개정(2023.3.14.공포)을 통해 완전 자동화된 결정이 정보주체의 권리 또는 의무에 중대한 영향을 미치는 경우 정보주체에게 거부권 및 설명 등 권리를 보장할 수 있도록 법적 근거를 마련함(법 제37조의2 신설) ㅇ (정부개입 필요성) - 법개정에 따라 위임된 정보주체의 권리행사 절차 및 방법, 개인정보처리자의 조치사항, 자동화된 결정 기준의 공개 등 세부기준을 명확하게 마련하여 수범자들의 혼란을 최소화
	7.규제내용	ㅇ 법 제37조의2제1항 및 제2항에서 위임한 자동화된 결정에 대한 거부 및 인적 개입에 의한 재처리, 설명 요구에 대한 조치사항을 구체화 ㅇ 법 제37조의2제4항에서 위임한 자동화된 결정의 기준과 절차 등의 공개에 대한 사항을 구체화
	8.피규제집단 및 이해관계자	ㅇ 개인정보를 완전히 자동화된 시스템(인공지능 기술을 적용한 시스템을 포함)을 통해 처리하는 개인정보처리자
	9.규제목표	ㅇ 인공지능 등 신기술 발전에 따른 디지털 대전환 시대에 완전히 자동화된 특수한 개인정보 처리 영역에서 정보주체의 권리를 보장함으로써, 개인정보처리자의 투명성 및 신뢰성을 제고하여 기업의 지속가능한 성장을 위한 ESG(환경·사회·지배구조) 경쟁력을 강화 ㅇ 완전히 자동화된 결정에 대한 정보주체의 권리행사 방법과 절차, 이에 대한 개인정보처리자의 조치사항 등을 명확하게 규정하여 수범자들의 혼란을 완화하고, 정보주체의 권리를 보장
규제의 적정성	10.영향평가 여부	기술영향평가			경쟁영향평가			중기영향평가
		해당없음			해당없음			해당없음
	11.비용편익 분석 (정성분석)	ㅇ (비용) 기존의 열람 및 정정·삭제, 처리정지 등 요구권 규정과 동일한 방법 및 절차를 준용하도록 규정하고 있고, 기존의 개인정보 처리방침을 활용하여 자동화된 결정의 기준 및 절차 등을 추가로 공개하는 것이므로 해당 개인정보처리자에게 추가로 소요되는 비용은 제한적임 ㅇ (편익) 인공지능(AI) 기술발전 등 디지털 전환의 변화된 상황에 맞추어 ‘완전히 자동화된 시스템’으로 개인정보를 처리하는 특수한 영역에서도 동일하게 정보주체의 권리가 보장되고 투명성이 강화됨에 따라 국민의 개인정보 침해 위험을 낮출 것으로 예상 - 유럽연합(EU) 등 국제사회의 규제 환경에 맞춰 국내 개인정보처리자의 투명성 및 신뢰성을 제고하여 기업의 지속가능한 성장을 위한 ESG(환경·사회·지배구조) 경쟁력을 강화할 것으로 예상
기타	12.규제일몰제	대분류	소분류
		일몰설정 예외기준	1. 국제조약 등에 따라 동일하게 적용 되어야 하는 규제							해당
			2. 국가의 질서 유지 및 국민생명· 안전과 직접 관련된 규제							해당
			3. 사회통념상 보편적으로 통용되는 규범적 성격의 규제							해당
		경제규제 여부기준	4. 국민과 기업의 경제활동에 대한 규제
			5. 경제활동에 직접영향을 주는 규제
		일몰설정 세부기준	6. 피규제자의 규제부담이 매우 큰 규제
			7. 한시적 목적을 위한 규제이거나 주기적인 검토가 필요한 규제
		일몰설정여부		일몰조문					연장여부
		미설정
		일몰유형		일몰설정기간					일몰주기
	13. 우선허용· 사후 규제 적용여부	해당없음

<조문 대비표>

현 행	개 정 안
<신 설> <신 설> <신 설>	제44조의2(자동화된 결정의 거부ㆍ설명 등을 요구하는 절차 및 방법) 정보주체는 법 제37조의2제1항 또는 제2항에 따라 자동화된 결정에 대한 거부ㆍ설명 등을 요구하려면 개인정보처리자가 마련하여 제44조의4제1항제5호에 따라 공개한 방법과 절차에 따라 요구하여야 한다. 이 경우 개인정보처리자가 자동화된 결정에 대한 거부ㆍ설명 등을 요구하는 방법과 절차를 마련할 때에는 제41조제2항을 준용하되, “열람”은 “거부ㆍ설명 등”으로 본다. 제44조의3(자동화된 결정의 거부ㆍ설명 등의 요구에 따른 조치) ① 개인정보처리자는 법 제37조의2제1항 본문에 따라 정보주체가 해당 자동화된 결정이 생명ㆍ신체ㆍ재산의 이익 등 자신의 권리 또는 의무에 중대한 영향을 미치는 경우에 해당하여 자동화된 결정을 거부한 경우 해당 자동화된 결정을 적용하지 않는 조치를 해야 한다. 이 경우 정보주체가 인적 개입에 의한 재처리를 요구한 경우에는 그에 따른 조치를 한 후 그 결과를 정보주체에게 알려야 한다. ② 개인정보처리자는 법 제37조의2제2항에 따라 정보주체가 자동화된 결정에 대한 설명 등을 요구한 경우 다음 각 호의 사항을 포함한 간결하고 의미있는 설명을 정보주체가 이해하기 쉽도록 제공해야 한다. 다만, 해당 자동화된 결정이 법 제37조의2제1항 본문에 따른 정보주체의 권리 또는 의무에 중대한 영향을 미치는 경우가 아닌 때에는 제44조의4제1항 각 호의 사항을 알리는 방법으로 설명 등을 할 수 있다. 1. 해당 자동화된 결정의 결과 2. 해당 자동화된 결정에 사용된 주요 개인정보의 유형과 해당 유형의 개인정보가 자동화된 결정에 미친 영향 등 자동화된 결정의 주요 기준 3. 해당 자동화된 결정에 사용된 주요 개인정보의 처리 과정 등 자동화된 결정이 이루어지는 절차 ③ 개인정보처리자는 법 제37조의2제2항에 따라 자동화된 결정에 대하여 이의를 제기한 경우에는 그 내용을 고려하여 필요한 조치를 한 후 정보주체에게 그 결과를 알려야 한다. ④ 개인정보처리자는 법 제37조의2제3항에 따른 정보주체의 거부 또는 설명 등 요구에 대하여 정당한 사유가 있어 필요한 조치를 하지 않은 경우에는 정보주체에게 그 사실 및 이유와 이의제기방법을 지체 없이 서면등의 방법으로 알려야 한다. ⑤ 개인정보처리자는 제1항부터 제3항까지의 규정에 따라 정보주체에게 해당 사실을 알리거나 설명 등의 조치를 하려는 때에는 정보주체의 요구를 받은 날부터 30일 이내에 서면등의 방법으로 해야 한다. 다만, 30일 이내에 처리하기 어려운 정당한 사유가 있는 경우에는 정보주체에게 그 사유를 알리고 60일 이내의 범위에서 연장할 수 있다. 제44조의4(자동화된 결정의 기준과 절차 등의 공개) ① 개인정보처리자는 법 제37조의2제4항에 따라 다음 각 호의 사항을 정보주체가 쉽게 확인할 수 있도록 인터넷 홈페이지 등을 통해 공개해야 한다. 다만, 인터넷 홈페이지 등을 운영하지 않거나 지속적으로 알려야 할 필요가 없는 경우에는 사전에 서면등의 방법으로 정보주체에게 알려야 한다. 1. 자동화된 결정이 이루어진다는 사실과 그 목적 및 대상이 되는 정보주체의 범위 2. 자동화된 결정에 사용되는 주요 개인정보의 유형과 자동화된 결정의 관계 3. 자동화된 결정 과정에서의 고려사항 및 주요 개인정보가 처리되는 절차 4. 자동화된 결정 과정에서 민감정보 또는 14세 미만 아동의 개인정보를 처리하는 경우 그 목적 및 처리하는 개인정보의 구체적인 항목 5. 법 제37조의2제1항 및 제2항에 따른 자동화된 결정에 대하여 정보주체가 거부 또는 설명 등을 요구할 수 있다는 사실과 거부ㆍ설명 등의 요구 방법과 절차 ② 개인정보처리자는 제1항 각 호의 사항을 공개할 때에는 정보주체가 해당 내용을 쉽게 알 수 있도록 표준화ㆍ체계화된 용어를 사용해야 한다. 이 경우 정보주체가 쉽게 이해할 수 있도록 동영상ㆍ그림ㆍ도표 등 시각화된 방법 등을 활용할 수 있다.

Ⅰ. 규제의 필요성 및 대안선택

1. 추진배경 및 정부개입 필요성

ㅇ 추진배경

- 인공지능(AI) 등 신기술 발전에 따라 인사채용, 복지수급자선정 등 완전히 자동화된 결정이 광범위하게 활용되면서 새로운 프라이버시 이슈 및 우려 등이 제기

- 이에 개인정보 보호법 개정(2023.3.14.공포)을 통해 완전 자동화된 결정이 정보주체의 권리 또는 의무에 중대한 영향을 미치는 경우 정보주체에게 거부권 및 설명 등 권리를 보장할 수 있도록 법적 근거를 마련함(법 제37조의2 신설)

ㅇ 정부개입 필요성

- 법개정에 따라 위임된 정보주체의 권리행사 절차 및 방법, 개인정보처리자의 조치사항, 자동화된 결정 기준의 공개 등 세부기준을 명확하게 마련하여 수범자들의 혼란을 최소화

2. 규제 대안 검토 및 선택

① 대안의 내용 및 선택 근거

o 대안의 내용

- 법 제37조의2제1항 및 제2항에 따라 정보주체가 거부 및 설명 등을 요구하는 절차 및 방법을 규정하되, 기존 시행령의 열람 및 정정·삭제, 처리정지 등 요구권 규정과의 체계와 정합성을 맞춰 규정

※ 법 제38조(권리행사의 방법 및 절차)는 ‘열람등요구’의 범위에 자동화된 결정에 대한 거부·설명 등 요구를 포함

- 법 제38조제4항에 따라 개인정보처리자가 마련하여 공개한 방법과 절차에 따라 거부ㆍ설명 등을 요구하도록 함

- 법 제37조의2제1항 및 제2항에서 위임한 자동화된 결정에 대한 ① 거부 및 인적 개입에 의한 재처리, ② 설명 등 요구에 대한 개인정보처리자의 조치 사항을 구체화

※ ① 해당 자동화된 결정이 생명ㆍ신체ㆍ재산의 이익 등 자신의 권리 또는 의무에 중대한 영향을 미치는 경우에 정보주체가 해당 결정을 거부한 경우 적용하지 않는 조치를 하고, 정보주체가 인적 개입에 의한 재처리를 요구한 경우 그 조치결과를 알리도록 함

- ② 설명 등 요구시 해당 결정의 결과, 해당 결정에 사용된 주요 개인정보의 유형 및 영향 등을 포함하여 간결하고 의미 있는 설명을 이해하기 쉽도록 제공하도록 하고, 정보주체의 권리 또는 의무에 중대한 영향을 미치지 않는 경우에는 사전 공개한 기준과 절차 등을 활용하여 설명할 수 있도록 함

- 법 제37조의2제4항에서 위임한 자동화된 결정의 기준과 절차 등의 공개에 대한 사항을 구체화

※ 사전에 기준 및 절차 등을 공개하도록 하되, 지속성이 없는 경우 서면등의 방법으로 정보주체에게 사전에 알리도록 함

- 정보주체가 쉽게 알 수 있도록 표준화·체계화된 용어 사용하게 하고, 시각화 방법 등을 활용할 수 있도록 규정

o 선택 근거

- 디지털 전환의 변화된 상황에 맞추어 ‘완전히 자동화된 시스템’으로 개인정보를 처리하는 특수한 영역에서도 권리가 보장될 수 있도록 기존의 일반적인 개인정보 처리 과정에서의 열람 및 정정·삭제, 처리정지, 동의철회 등 요구권으로 보장되고 있는 정보주체의 권리와 동일한 수준으로 보장될 수 있도록 규정

- 법률에서 정한 정보주체의 권리 행사 방법을 구체화하여 정보주체 및 개인정보처리자의 예측 가능성을 제고

② 이해관계자 의견수렴

이해관계자명	일시 · 장소 · 방법	제시의견	조치결과
	◦입법예고(’23.11.23.~’24.1.2.) 예정

3. 규제목표

ㅇ 인공지능 등 신기술 발전에 따른 디지털 대전환 시대에 완전히 자동화된 특수한 개인정보 처리 영역에서 정보주체의 권리를 보장함으로써, 개인정보처리자의 투명성 및 신뢰성을 제고하여 기업의 지속가능한 성장을 위한 ESG(환경·사회·지배구조) 경쟁력을 강화

ㅇ 완전히 자동화된 결정에 대한 정보주체의 권리행사 방법과 절차, 이에 대한 개인정보처리자의 조치사항 등을 명확하게 규정하여 수범자들의 예측 가능성을 제고

Ⅱ. 규제의 적정성

1. 목적‧수단 간 비례적 타당성

ㅇ 인공지능 등 신기술 발전에 따라 ‘완전히 자동화된 시스템’으로 개인정보를 처리하는 새롭고 특수한 영역에서의 정보주체의 권리를 보장하기 위한 것으로,

ㅇ 일반적인 개인정보 처리 과정에서의 열람 및 정정·삭제, 처리정지 등 요구권으로 보장되고 있는 정보주체의 권리와 동일한 수준으로 보장될 수 있도록 규정하여 목적·수단 간 비례적 타당성을 확보함

기존의 일반적인 개인정보 처리의 영역		완전히 자동화된 시스템의 새로운 개인정보 처리의 영역
열람	↔	설명(정보제공)
정정	↔	재처리
처리정지	↔	거부·배제
동의철회

2. 영향평가 필요성 등 고려사항

영향평가
기술	경쟁	중기
해당없음	해당없음	해당없음

o 영향평가

- 기술규제영향평가

해당없음

- 경쟁영향평가

해당없음

경쟁영향평가 점검항목	해당 여부
(A) 사업자의 수 또는 범위 제한	해당없음
(B) 사업자의 경쟁능력 제한	해당없음
(C) 사업자의 경쟁유인 감소	해당없음
(D) 소비자에게 제공되는 선택과 정보의 제한	해당없음

- 중기영향평가

해당없음

①	규제 영역		해당없음
②	규제 방식		해당없음
③	예비분석모델		해당없음
		판단 근거
④	대상 업종		해당없음
⑤	예비분석내용		해당없음
⑥	차등화적용 여부		해당없음

- 규제 차등화 예비분석 결과표

o 기타 고려사항

- 고용친화적 규제설계

해당없음

- 시장유인적 규제설계

해당없음

- 일몰설정 여부

해당없음

- 우선허용·사후규제 적용 여부

해당없음

분류	적용여부	적용내용/미적용사유
포괄적 개념 정의		인허가 또는 지원사항을 규정한 것이 아니므로 포괄적 개념 정의 불필요
유연한 분류 체계		인허가 또는 지원사항을 규정한 것이 아니므로 유연한 분류 체계에 미해당
네거티브리스트		신사업 관련 허용대상을 한정 열거하는 사항이 아님
사후 평가관리		신사업 관련 사전 심의‧검사 또는 사후 평가‧관리와 무관
규제 샌드박스		신기술을 활용한 서비스 창출과 무관

3. 해외 및 유사입법사례

o 해외사례

- EU 개인정보보호법(GDPR) 제22조

제22조 프로파일링 등 자동화된 개별 의사결정

1. 개인정보주체는 프로파일링 등 본인에 관한 법적 효력을 초래하거나 이와 유사하게 본인에게 중대한 영향을 미치는 자동화된 처리에만 의존하는 결정의 적용을 받지 않을 권리를 가진다.

2. 결정이 다음 각 호에 해당하는 경우에는 제1항이 적용되지 않는다.

(a) 개인정보주체와 개인정보처리자 간의 계약을 체결 또는 이행하는 데 필요한 경우

(b) 개인정보처리자에 적용되며, 개인정보주체의 권리와 자유 및 정당한 이익을 보호하기 위한 적절한 조치를 규정하는 유럽연합 또는 회원국 법률이 허용하는 경우

(c) 개인정보주체의 명백한 동의에 근거하는 경우

3. 제2항 (a)호 및 (c)호의 사례의 경우, 개인정보처리자는 개인정보주체의 권리와 자유 및 정당한 이익, 최소한 개인정보처리자의 인적 개입을 확보하고 본인의 관점을 피력하며 결정에 대해 이의를 제기할 수 있는 권리를 보호하는 데 적절한 조치를 시행해야 한다.

4. 제2항의 결정은 제9조(2)의 (a)호와 (g)호가 적용되고, 개인정보주체의 권리와 자유 및 정당한 이익을 보호하는 적절한 조치가 갖추어진 경우가 아니라면 제9조(1)의 특정 범주의 개인정보를 근거로 해서는 안 된다.

Article 22. Automated individual decision-making, including profiling

1. The data subject shall have the right not to be subject to a decision based solely on automated processing, including profiling, which produces legal effects concerning him or her or similarly significantly affects him or her.

2. Paragraph 1 shall not apply if the decision:

(a) is necessary for entering into, or performance of, a contract between the data subject and a data controller;

(b) is authorised by Union or Member State law to which the controller is subject and which also lays down suitable measures to safeguard the data subject's rights and freedoms and legitimate interests; or

(c) is based on the data subject's explicit consent.

3. In the cases referred to in points (a) and (c) of paragraph 2, the data controller shall implement suitable measures to safeguard the data subject's rights and freedoms and legitimate interests, at least the right to obtain human intervention on the part of the controller, to express his or her point of view and to contest the decision.

4. Decisions referred to in paragraph 2 shall not be based on special categories of personal data referred to in Article 9(1), unless point (a) or (g) of Article 9(2) apply and suitable measures to safeguard the data subject's rights and freedoms and legitimate interests are in place.

관련 국제기준	일치여부	불일치 사유(불일치 시에 한함)
해당없음	해당없음	해당없음

o 타법사례

- 신용정보법 제2조 및 제36조의2

제2조(정의) 이 법에서 사용하는 용어의 뜻은 다음과 같다.
14. “자동화평가”란 제15조제1항에 다른 신용정보회사등의 종사자가 평가 업무에 관여하지 아니하고 컴퓨터 등 정보처리장치로만 개인신용정보 및 그 밖의 정보를 처리하여 개인인 신용정보주체를 평가하는 행위를 말한다.

제36조의2(자동화평가 결과에 대한 설명 및 이의제기 등) ① 개인인 신용정보주체는 개인신용평가회사 및 대통령령으로 정하는 신용정보제공ㆍ이용자(이하 이 조에서 “개인신용평가회사등”이라 한다)에 대하여 다음 각 호의 사항을 설명하여 줄 것을 요구할 수 있다.

1. 다음 각 목의 행위에 자동화평가를 하는지 여부

가. 개인신용평가

나. 대통령령으로 정하는 금융거래의 설정 및 유지 여부, 내용의 결정(대통령령으로 정하는 신용정보제공ㆍ이용자에 한정한다)

다. 그 밖에 컴퓨터 등 정보처리장치로만 처리하면 개인신용정보 보호를 저해할 우려가 있는 경우로서 대통령령으로 정하는 행위

2. 자동화평가를 하는 경우 다음 각 목의 사항

가. 자동화평가의 결과

나. 자동화평가의 주요 기준

다. 자동화평가에 이용된 기초정보(이하 이 조에서 “기초정보”라 한다)의 개요

라. 그 밖에 가목부터 다목까지의 규정에서 정한 사항과 유사한 사항으로서 대통령령으로 정하는 사항

② 개인인 신용정보주체는 개인신용평가회사등에 대하여 다음 각 호의 행위를 할 수 있다.

1. 해당 신용정보주체에게 자동화평가 결과의 산출에 유리하다고 판단되는 정보의 제출

2. 자동화평가에 이용된 기초정보의 내용이 정확하지 아니하거나 최신의 정보가 아니라고 판단되는 경우 다음 각 목의 어느 하나에 해당하는 행위

가. 기초정보를 정정하거나 삭제할 것을 요구하는 행위

나. 자동화평가 결과를 다시 산출할 것을 요구하는 행위

③ 개인신용평가회사등은 다음 각 호의 어느 하나에 해당하는 경우에는 제1항 및 제2항에 따른 개인인 신용정보주체의 요구를 거절할 수 있다.

1. 이 법 또는 다른 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우

2. 해당 신용정보주체의 요구에 따르게 되면 금융거래 등 상거래관계의 설정 및 유지 등이 곤란한 경우

3. 그 밖에 제1호 및 제2호에서 정한 경우와 유사한 경우로서 대통령령으로 정하는 경우

④ 제1항 및 제2항에 따른 요구의 절차 및 방법, 제3항의 거절의 통지 및 그 밖에 필요한 사항은 대통령령으로 정한다.

- 신용정보법 시행령 제31조의2

제31조의2(개인신용평가 결과에 대한 설명 및 이의제기 등) ① 법 제36조의2제1항 각 호 외의 부분에서 “대통령령으로 정하는 신용정보제공ㆍ이용자”란 「금융위원회의 설치 등에 관한 법률」 제38조 각 호의 자를 말한다.

② 법 제36조의2제1항제1호나목에서 “대통령령으로 정하는 금융거래”란 다음 각 호의 거래를 말한다.

1. 법 제2조제1호의3가목1)부터 4)까지의 규정에 따른 거래

2. 그 밖에 제1호와 유사한 거래로서 금융위원회가 정하여 고시하는 거래

③ 법 제36조의2제1항제1호나목에서 “대통령령으로 정하는 신용정보제공ㆍ이용자”란 제1항에 따른 신용정보제공ㆍ이용자를 말한다.

④ 법 제36조의2제1항제1호다목에서 “대통령령으로 정하는 행위”란 제2항에 따른 거래에 관한 계약의 청약 또는 승낙 여부의 결정을 말한다.

⑤ 법 제36조의2제3항제3호에서 “대통령령으로 정하는 경우”란 다음 각 호의 어느 하나에 해당하는 경우를 말한다.

1. 개인인 신용정보주체가 정정 또는 삭제 요청한 내용이 사실과 다른 경우

2. 정당한 사유 없이 동일한 금융거래 등에 대해 3회 이상 반복적으로 법 제36조의2제1항 및 제2항에 따른 권리를 행사하는 경우

⑥ 개인인 신용정보주체는 서면, 전자우편, 인터넷 홈페이지 또는 어플리케이션 등을 통해 금융위원회가 정하여 고시하는 서식에 따라 법 제36조의2제1항 및 제2항에 따른 권리를 행사해야 한다.

⑦ 개인신용평가회사등은 법 제36조의2제1항 및 제2항에 따른 권리를 행사한 신용정보주체에게 설명ㆍ정정ㆍ삭제 등 필요조치를 하고 그 결과를 서면, 전자우편, 인터넷 홈페이지 또는 어플리케이션 등을 통해 금융위원회가 정하여 고시하는 서식에 따라 해당 신용정보주체에게 설명해야 한다.

⑧ 개인신용평가회사등은 개인인 신용정보주체에게 설명을 하는 경우 다음 각 호의 구분에 따라 설명해야 한다.

1. 법 제36조의2제1항제2호가목의 사항을 설명하는 경우: 개인인 신용정보주체의 별도 요청이 없으면 요구 시점에서 가장 최근에 실시한 자동화평가의 결과로서, 개인신용평가회사등이 자체적으로 정한 신용등급 또는 점수(백분율을 포함한다) 등으로 표시할 수 있다.

2. 법 제36조의2제1항제2호나목의 사항을 설명하는 경우: 자동화평가시 법 제2조제1호에서 정하고 있는 신용정보의 종류별(신용거래 판단정보, 신용도 판단정보, 신용거래능력 판단정보 등) 반영 비중을 안내하거나 또는 각 금융권역 협회에서 마련한 양식에 따라 안내할 수 있다.

3. 법 제36조의2제1항제2호다목의 사항을 설명하는 경우: 설명을 요구한 개인인 신용정보주체 본인, 종합신용정보집중기관 및 개인신용평가회사등으로부터 금융회사 등이 직접 입수한 신용정보를 안내할 수 있다. 다만, 금융회사 등이 기초정보를 자체적으로 가공하여 생성 또는 추론한 정보는 제외할 수 있다.

⑨ 개인신용평가회사등은 법 제36조의2제3항에 따라 개인인 신용정보주체의 요구를 거절한 경우 거절의 근거 및 사유를 서면, 전자우편, 인터넷 홈페이지 또는 어플리케이션 등을 통해 안내해야 한다.

- 신용정보업 감독규정(고시)

제40조의5(자동화평가 결과에 대한 설명 및 이의제기 등) ① 영 제31조의2제6항에서 "금융위원회가 정하여 고시하는 서식"이란 별지 제15호의2 서식 및 별지 제15호의3 서식을 말한다.

② 영 제31조의2제7항에서 "금융위원회가 정하여 고시하는 서식"이란 별지 제15호의4 서식을 말한다.

자동화평가 결과 안내서(제40조의5제2항 관련)

귀하가 xxxx년 oo월 △△일 당사를 대상으로 자동화평가 결과 등에 대한 설명을 요청함에 따라 귀하에 대한 당사의 자동화평가 결과, 자동화평가의 기준 및 자동화평가에 이용된 기초정보의 개요를 아래와 같이 안내 드립니다. 또한, 기초정보의 내용이 정확하지 않은 경우 등에는 정정 및 삭제를 요청할 수 있으며, 수정된 정보를 활용하여 자동화평가 결과를 다시 산출하여 줄 것으로 요구할 수 있습니다.

1. 자동화평가 결과

- 평가 기준 시점 : 20◊◊년 △월 ○일(금융거래시점 시점)

- 평가 대상 : (금융상품명 기재)

- 당사의 자동화평가 결과

2. 당사의 자동화평가 주요 기준 및 기초정보의 개요

① 식별정보(반영비중       %)

구 분	내 용	입수 경로
성 명
주민등록번호
직 업
(이하 생략)

② 거래내용판단정보(반영비중       %)

․ 대출정보

기관명	개설일	만기일	금액	입수 경로

․ 신용카드 개설 정보

기관명	개설일	만기일	입수 경로

③ 신용도판단정보(반영비중       %)

․ 채무불이행정보

발생기관	발생일	해제일	등록금액	연체금액	입수 경로

․ 단기연체정보

발생기관	발생일	연체일	연체금액	입수 경로

․ 금융질서문란정보

발생기관	발생일	사유	입수 경로

④ 신용거래능력판단정보(반영비중       %)

종류	금액	기준일	입수 경로
소득정보
기타 자산
(이하 생략)

⑤ 기타 정보(반영비중       %)

․ 공공정보

발생기관	발생일	등록금액	등록사유	입수 경로

※ 작성 요령

(1) 상기 양식은 예시로서 금융회사에서 신용정보 구분별(식별정보, 거래내용판단정보, 신용도판단정보, 신용거래능력판단정보, 기타정보) 해당 정보가 있는 경우 모든 정보에 대해 세부 항목 및 입수 경로를 안내(다만, 신용정보의 구분, 세부 정보 및 세부 공개항목은 협회 또는 금융회사가 자체적으로 정할 수 있음)

(2) 입수 경로는 당사 자체입수, 신용정보집중기관 또는 개인신용평가회사, 개인사업자신용평가회사 또는 기업신용조회회사(｢신용정보의 이용 및 보호에 관한 법률｣ 제2조제8호의 업무를 하기 위하여 같은 법 제4조제2항에 따라 금융위원회의 허가를 받은 회사 중 개인신용평가 업무를 하는 회사, NICE평가정보 또는 코리아크레딧뷰로(KCB) 등 회사 이름을 구체적으로 기재)중 해당되는 경로를 안내

(3) 상기 양식이 금융거래계약의 성격을 고려할 때 자동화평가 결과의 안내에 부적합하다고 판단하는 경우 협회 또는 금융회사가 자체적으로 정한 서식을 사용할 수 있음.

2. 자동화평가 결과의 산출에 유리하다고 판단되는 정보

(해당사항이 있는 경우 안내하고 없으면 본란 삭제)

해당 금융회사가 작성

(통신요금 납부실적, 국민연금 및 건강보험 납부실적 등)

20   .    .     .

○○금융회사 대표이사 △△△

[별지 제15호의4 서식] 자동화평가 결과 안내(제40조의5제2항 관련)

Ⅲ. 규제의 실효성

1. 규제의 순응도

o 피규제자 준수 가능성

- 자동화된 결정에 대한 정보주체의 권리 규정은 기존 법에 따라 사업자들이 준수하고 있는 열람 및 정정·삭제, 처리정지 등 요구권과 동일한 수준으로 인공지능 등 신기술을 활용한 일부 특수한 형태(완전히 자동화된 시스템)의 개인정보 처리 영역에서도 정보주체의 권리가 보장될 수 있도록 절차 및 기준을 구체화한 것으로 추가적인 비용 발생이 제한적임

- 또한, 거부권의 경우 법에서 자신의 권리·의무에 중대한 영향을 미치는 경우로 한정하고 있고, 설명 등 요구 시에도 권리·의무에 중대한 영향을 미치지 않는 경우에는 개인정보 처리방침에 공개한 기준과 절차 등을 설명에 활용할 수 있도록 하는 등 합리적으로 규정을 마련하여 기업의 규제 준수 가능성이 충분할 것으로 예상됨

2. 규제의 집행가능성

o 행정적 집행가능성

- 개인정보 보호 실태 현장 점검 등 각종 지도감독 시 해당 규제의 이행여부 확인 가능

o 재정적 집행가능성

- 인건비 외 별도 예산이 소요되지 않음

Ⅳ. 추진계획 및 종합결론

1. 추진 경과

o「개인정보 보호법」개정안 국회 본회의 의결(2.27.) 및 공포(3.14.)

o「개인정보 보호법 시행령」1차 개정안 검토 및 공포(9.12.)

※ 입법예고(5.19.～6.28.), 규제심사(7.14.), 법제처심사 (8.23.), 국무회의(9.5.)

o「개인정보 보호법」및 시행령 개정안 시행(9.15.)

o「개인정보 보호법 시행령」2차 개정안 마련(~10월)

o「개인정보 보호법 시행령」개정안 위원회 보고(11.8.)

2. 향후 평가계획

o 인공지능 등 완전히 자동화된 시스템을 통해 개인정보를 처리하는 기업 등을 대상으로 개정사항에 대한 지속적인 홍보 및 교육 등을 통해 인식을 제고하고, 모니터링 및 실태 점검 등을 병행할 예정

3. 종합결론

o 자동화된 결정에 대한 정보주체의 거부·설명 등을 요구할 수 있는 권리가 신설(법 제37조의2)됨에 따라, 정보주체의 요구절차 및 방법, 개인정보처리자의 조치사항 및 공개사항 등 세부 절차를 마련할 필요

o 일반적인 개인정보 처리 과정에서의 열람 및 정정·삭제, 처리정지 등 기존에도 사업자들이 준수하고 있는 정보주체의 권리와 함께,

- 인공지능(AI) 기술발전 등 디지털 전환의 변화된 상황에 맞추어 ‘완전히 자동화된 시스템’으로 개인정보를 처리하는 특수한 영역에서도 동일하게 정보주체의 권리가 보장될 수 있도록 규정을 마련한 것임

o 이를 통해, 인공지능 등 신기술 발전에 따른 디지털 대전환 시대에 완전히 자동화된 특수한 개인정보 처리 영역에서 정보주체의 권리를 보장하면서,

- 유럽연합(EU) 등 국제사회의 규제 환경에 맞춰 국내 개인정보처리자의 투명성 및 신뢰성을 제고하여 기업의 지속가능한 성장을 위한 ESG(환경·사회·지배구조) 경쟁력을 강화할 것으로 예상

별 첨		비용편익분석 상세내역

가. 대안별 분석 비교표

분석기준년도	규제시행년도	분석대상기간(년)	할인율(%)	단위
2023	2024	0	4.5	백만원, 현재가치

규제대안1 :
영향집단		비용	편익	순비용
피규제 기업 · 소상공인	직접
	간접
피규제 일반국민
피규제자 이외 기업 · 소상공인
피규제자 이외 일반국민
정부
총 합계
기업순비용			연간균등순비용

정성분석 내용 및 기타 참고사항

나. 각 대안의 활동별 비용․편익 분석 결과

<규제대안1  : >

①피규제 기업소상공인 :

□ 간접비용

(정성)영향집단명

완전히 자동화된 시스템으로 개인정보를 처리하는 개인정보처리자

활동제목

자동화된 결정에 대한 정보주체의 권리(거부, 설명 등) 행사 방법 및 절차, 자동화된 결정의 기준과 절차에 대한 공개

비용항목

해당없음

일시적/반복적

일시적

근거설명

ㅇ 기존의 열람 및 정정·삭제, 처리정지 등 요구권 규정과 동일한 방법 및 절차를 준용하도록 규정하고 있고,

ㅇ 기존의 개인정보 처리방침을 활용하여 자동화된 결정의 기준 및 절차 등을 추가로 공개하는 것이므로 해당 개인정보처리자에게 추가로 소요되는 비용은 제한적임

□ 간접편익

(정성)영향집단명

완전히 자동화된 시스템으로 개인정보를 처리하는 개인정보처리자

활동제목

자동화된 결정에 대한 정보주체의 권리(거부, 설명 등) 행사, 자동화된 결정의 기준과 절차에 대한 공개

편익항목

해당없음

일시적/반복적

일시적

근거설명

ㅇ 유럽연합(EU) 등 국제사회의 규제 환경에 맞춰 국내 개인정보처리자의 투명성 및 신뢰성을 제고하여 기업의 지속가능한 성장을 위한 ESG(환경·사회·지배구조) 경쟁력을 강화할 것으로 예상

②피규제 일반국민 :

□ 편익

(정성)영향집단명

정보주체

활동제목

자동화된 결정에 대한 정보주체의 권리(거부, 설명 등) 행사, 자동화된 결정의 기준과 절차에 대한 공개

편익항목

해당없음

일시적/반복적

일시적

근거설명

ㅇ 인공지능(AI) 기술발전 등 디지털 전환의 변화된 상황에 맞추어 ‘완전히 자동화된 시스템’으로 개인정보를 처리하는 특수한 영역에서도 동일하게 정보주체의 권리가 보장되고 투명성이 강화됨에 따라 국민의 개인정보 침해 위험을 낮출 것으로 예상