Key points. The English translation of Korea’s Personal Information Protection Act ("PIPA") published by the Korea Legislation Research Institute ("KLRI") reflects Act No. 20897 (effective 2 October 2025). Since then, Act No. 21445 (promulgated 10 March 2026) has taken effect in part on 11 September 2026, with the rest following on 1 July 2027, and Act No. 21910 (promulgated 8 September 2026) adds the AI development exception from 9 March 2027. This page gives the Korean text of every article those Acts changed, with an unofficial English translation row by row. It has no legal effect; the Korean text governs.
- Edition
pipa-en-20260929-d904c27b- Statute
- Personal Information Protection Act (개인정보 보호법)
- Versions translated
- Act No. 21445, effective 11 September 2026 — 17 articles
Act No. 21910, effective 9 March 2027 — 7 articles
Act No. 21445, effective 1 July 2027 — 2 articles - Korean text taken
- 29 September 2026, from the National Law Information Center (law.go.kr), DRF open API
- Review
- Reviewed and approved by Hyunsub Lee, Korean-qualified lawyer, 29 September 2026
- Status
- Unofficial translation. No legal effect. The Korean text governs.
- Downloads
- CSV · PDF — both carry the edition identifier above
What this page is, and what it is not
Korean statutes have legal effect only in Korean. The English translation that most readers outside Korea use is the one published by the Korea Legislation Research Institute and shown on the National Law Information Center (law.go.kr). It is a reference translation. It says itself that it has no legal effect and may not reflect the latest amendments. As checked on 29 September 2026, it reflects Act No. 20897.
This page fills that gap for the Act, not for the Enforcement Decree. It covers the articles whose text differs from Act No. 20897 in the versions that follow it. It does not re-translate the rest of the Act; for unchanged articles, the KLRI translation of Act No. 20897 still matches the Korean text. Where the differences between the versions matter in practice is explained in a separate note on which English text of PIPA to cite.
A full Korean–Chinese parallel text of the Act and of the Enforcement Decree, not limited to the changed articles, is at /zh/pipa/ and /zh/pipa-decree/ (unofficial Chinese translation).
How the table reads:
- One row per paragraph, subparagraph or item, in the order of the Korean text. The Korean column is the text of the version named in the section heading, including the amendment notes in angle brackets that the Korean text carries.
- Rows marked with a bar (and a label in the first column) are the ones that changed. The other rows of the same article are shown so that the article can be read whole.
- Row addresses are stable. A provision can be linked directly, for example
#art-28-12-p1-i3for Article 28-12(1) subparagraph 3. Where the same article appears in two versions, the later one carries the effective date, as in#art-75-p2-i15-from-2027-07-01. - Terminology follows the KLRI translation so that the two can be read side by side, with two exceptions. 고유식별정보 is translated as unique identifying information, because the KLRI term, personally identifiable information, is read in English-speaking practice as covering all personal data. 국내대리인 is translated with the KLRI term domestic agent, with the more common domestic representative noted once. Words in square brackets are translator insertions, not statutory text.
Act No. 21445 — first stage (effective 11 September 2026)
Art. 23Art. 24Art. 24-2Art. 25Art. 26Art. 28-4Art. 28-7Art. 29Art. 30-3Art. 31Art. 31-2Art. 34Art. 39Art. 39-2Art. 58Art. 64-2Art. 75
Article 23 (Restrictions on Processing of Sensitive Information) 제23조(민감정보의 처리 제한)
| Provision | Korean | English (unofficial) |
|---|---|---|
| Art. 23(1)제23조제1항 | ①개인정보처리자는 사상ㆍ신념, 노동조합ㆍ정당의 가입ㆍ탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보로서 대통령령으로 정하는 정보(이하 "민감정보"라 한다)를 처리하여서는 아니 된다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 그러하지 아니하다. <개정 2016.3.29> | (1) A personal information controller shall not process information concerning ideology or beliefs, joining or withdrawal from a trade union or political party, political opinions, health, sex life, etc., or any other personal information prescribed by Presidential Decree as information likely to seriously infringe on the privacy of a data subject (hereinafter referred to as "sensitive information"): Provided, That this shall not apply in any of the following cases: |
| Art. 23(1) subpara. 1제23조제1항제1호 | 1. 정보주체에게 제15조제2항 각 호 또는 제17조제2항 각 호의 사항을 알리고 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우 | 1. Where the data subject has been informed of the matters set forth in the subparagraphs of Article 15 (2) or the subparagraphs of Article 17 (2) and has given consent separately from consent to the processing of other personal information; |
| Art. 23(1) subpara. 2제23조제1항제2호 | 2. 법령에서 민감정보의 처리를 요구하거나 허용하는 경우 | 2. Where Acts and subordinate statutes require or permit the processing of sensitive information. |
| Art. 23(2)제23조제2항differs from Act No. 20897 | ② 개인정보처리자가 제1항 각 호에 따라 민감정보를 처리하는 경우에는 그 민감정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손(이하 "유출등"이라 한다)이 되지 아니하도록 제29조에 따른 안전성 확보에 필요한 조치를 하여야 한다. <신설 2016.3.29, 2026.3.10> | (2) Where a personal information controller processes sensitive information pursuant to the subparagraphs of paragraph (1), it shall take the measures necessary for ensuring safety under Article 29 so that the sensitive information is not lost, stolen, divulged, forged, altered, or damaged (hereinafter referred to as "divulgence, etc." [breach]). |
| Art. 23(3)제23조제3항 | ③ 개인정보처리자는 재화 또는 서비스를 제공하는 과정에서 공개되는 정보에 정보주체의 민감정보가 포함됨으로써 사생활 침해의 위험성이 있다고 판단하는 때에는 재화 또는 서비스의 제공 전에 민감정보의 공개 가능성 및 비공개를 선택하는 방법을 정보주체가 알아보기 쉽게 알려야 한다. <신설 2023.3.14> | (3) Where a personal information controller determines that there is a risk of invasion of privacy because a data subject's sensitive information is included in information made public in the course of providing goods or services, it shall, before providing the goods or services, inform the data subject, in a manner easy for the data subject to understand, of the possibility that the sensitive information will be made public and of the method for choosing to keep it private. |
Article 24 (Restrictions on Processing of Unique Identifying Information) 제24조(고유식별정보의 처리 제한) — (the KLRI translation uses 'personally identifiable information')
| Provision | Korean | English (unofficial) |
|---|---|---|
| Art. 24(1)제24조제1항 | ① 개인정보처리자는 다음 각 호의 경우를 제외하고는 법령에 따라 개인을 고유하게 구별하기 위하여 부여된 식별정보로서 대통령령으로 정하는 정보(이하 "고유식별정보"라 한다)를 처리할 수 없다. | (1) A personal information controller may not process identifying information assigned under Acts and subordinate statutes to uniquely distinguish individuals, which is prescribed by Presidential Decree (hereinafter referred to as "unique identifying information"), except in the following cases: |
| Art. 24(1) subpara. 1제24조제1항제1호 | 1. 정보주체에게 제15조제2항 각 호 또는 제17조제2항 각 호의 사항을 알리고 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우 | 1. Where the data subject has been informed of the matters set forth in the subparagraphs of Article 15 (2) or the subparagraphs of Article 17 (2) and has given consent separately from consent to the processing of other personal information; |
| Art. 24(1) subpara. 2제24조제1항제2호 | 2. 법령에서 구체적으로 고유식별정보의 처리를 요구하거나 허용하는 경우 | 2. Where Acts and subordinate statutes specifically require or permit the processing of unique identifying information. |
| Art. 24(2)제24조제2항 | ② 삭제 <2013.8.6> | (2) Deleted. |
| Art. 24(3)제24조제3항differs from Act No. 20897 | ③ 개인정보처리자가 제1항 각 호에 따라 고유식별정보를 처리하는 경우에는 그 고유식별정보가 유출등이 되지 아니하도록 대통령령으로 정하는 바에 따라 암호화 등 안전성 확보에 필요한 조치를 하여야 한다. <개정 2015.7.24, 2026.3.10> | (3) Where a personal information controller processes unique identifying information pursuant to the subparagraphs of paragraph (1), it shall take the measures necessary for ensuring safety, including encryption, as prescribed by Presidential Decree, so as to prevent divulgence, etc. of the unique identifying information. |
| Art. 24(4)제24조제4항 | ④ 보호위원회는 처리하는 개인정보의 종류ㆍ규모, 종업원 수 및 매출액 규모 등을 고려하여 대통령령으로 정하는 기준에 해당하는 개인정보처리자가 제3항에 따라 안전성 확보에 필요한 조치를 하였는지에 관하여 대통령령으로 정하는 바에 따라 정기적으로 조사하여야 한다. <신설 2016.3.29, 2017.7.26, 2020.2.4> | (4) The Protection Commission shall, as prescribed by Presidential Decree, periodically investigate whether any personal information controller meeting the criteria prescribed by Presidential Decree, in consideration of the types and volume of personal information processed, the number of employees, the amount of sales, etc., has taken the measures necessary for ensuring safety under paragraph (3). |
| Art. 24(5)제24조제5항 | ⑤ 보호위원회는 대통령령으로 정하는 전문기관으로 하여금 제4항에 따른 조사를 수행하게 할 수 있다. <신설 2016.3.29, 2017.7.26, 2020.2.4> | (5) The Protection Commission may have a specialized institution prescribed by Presidential Decree conduct the investigation under paragraph (4). |
Article 24-2 (Restrictions on Processing of Resident Registration Numbers) 제24조의2(주민등록번호 처리의 제한) [본조신설 2013.8.6]
| Provision | Korean | English (unofficial) |
|---|---|---|
| Art. 24-2(1)제24조의2제1항 | ① 제24조제1항에도 불구하고 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우를 제외하고는 주민등록번호를 처리할 수 없다. <개정 2014.11.19, 2016.3.29, 2017.7.26, 2020.2.4> | (1) Notwithstanding Article 24 (1), a personal information controller may not process resident registration numbers except in any of the following cases: |
| Art. 24-2(1) subpara. 1제24조의2제1항제1호 | 1. 법률ㆍ대통령령ㆍ국회규칙ㆍ대법원규칙ㆍ헌법재판소규칙ㆍ중앙선거관리위원회규칙 및 감사원규칙에서 구체적으로 주민등록번호의 처리를 요구하거나 허용한 경우 | 1. Where an Act, Presidential Decree, National Assembly Regulation, Supreme Court Regulation, Constitutional Court Regulation, National Election Commission Regulation, or Board of Audit and Inspection Regulation specifically requires or permits the processing of resident registration numbers; |
| Art. 24-2(1) subpara. 2제24조의2제1항제2호 | 2. 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 명백히 필요하다고 인정되는 경우 | 2. Where it is deemed clearly necessary for the urgent life, bodily, or property interests of the data subject or a third party; |
| Art. 24-2(1) subpara. 3제24조의2제1항제3호 | 3. 제1호 및 제2호에 준하여 주민등록번호 처리가 불가피한 경우로서 보호위원회가 고시로 정하는 경우 | 3. Where the processing of resident registration numbers is unavoidable in a manner equivalent to subparagraphs 1 and 2, as prescribed by public notice of the Protection Commission. |
| Art. 24-2(2)제24조의2제2항differs from Act No. 20897 | ② 개인정보처리자는 제24조제3항에도 불구하고 주민등록번호가 유출등이 되지 아니하도록 암호화 조치를 통하여 안전하게 보관하여야 한다. 이 경우 암호화 적용 대상 및 대상별 적용 시기 등에 관하여 필요한 사항은 개인정보의 처리 규모와 유출 시 영향 등을 고려하여 대통령령으로 정한다. <신설 2014.3.24, 2015.7.24, 2026.3.10> | (2) Notwithstanding Article 24 (3), a personal information controller shall keep resident registration numbers securely by means of encryption so as to prevent divulgence, etc. of the resident registration numbers. In such cases, matters necessary for the objects to which encryption applies, the timing of application for each object, etc. shall be prescribed by Presidential Decree, in consideration of the volume of personal information processed, the impact of divulgence, and other factors. |
| Art. 24-2(3)제24조의2제3항 | ③ 개인정보처리자는 제1항 각 호에 따라 주민등록번호를 처리하는 경우에도 정보주체가 인터넷 홈페이지를 통하여 회원으로 가입하는 단계에서는 주민등록번호를 사용하지 아니하고도 회원으로 가입할 수 있는 방법을 제공하여야 한다. <개정 2014.3.24> | (3) Even where a personal information controller processes resident registration numbers pursuant to the subparagraphs of paragraph (1), it shall provide a method by which a data subject can register as a member without using a resident registration number at the stage of registering as a member through an Internet homepage. |
| Art. 24-2(4)제24조의2제4항 | ④ 보호위원회는 개인정보처리자가 제3항에 따른 방법을 제공할 수 있도록 관계 법령의 정비, 계획의 수립, 필요한 시설 및 시스템의 구축 등 제반 조치를 마련ㆍ지원할 수 있다. <개정 2014.3.24, 2017.7.26, 2020.2.4> | (4) The Protection Commission may prepare and support all necessary measures, such as the improvement of relevant Acts and subordinate statutes, the establishment of plans, and the building of necessary facilities and systems, to enable personal information controllers to provide the method under paragraph (3). |
Article 25 (Restrictions on Installation and Operation of Fixed Video Information Processing Devices) 제25조(고정형 영상정보처리기기의 설치ㆍ운영 제한) [제목개정 2023.3.14]
| Provision | Korean | English (unofficial) |
|---|---|---|
| Art. 25(1)제25조제1항 | ① 누구든지 다음 각 호의 경우를 제외하고는 공개된 장소에 고정형 영상정보처리기기를 설치ㆍ운영하여서는 아니 된다. <개정 2023.3.14> | (1) No person shall install and operate a fixed visual data processing device in a public place, except in the following cases: |
| Art. 25(1) subpara. 1제25조제1항제1호 | 1. 법령에서 구체적으로 허용하고 있는 경우 | 1. Where specifically permitted by Acts and subordinate statutes; |
| Art. 25(1) subpara. 2제25조제1항제2호 | 2. 범죄의 예방 및 수사를 위하여 필요한 경우 | 2. Where necessary for the prevention and investigation of crimes; |
| Art. 25(1) subpara. 3제25조제1항제3호 | 3. 시설의 안전 및 관리, 화재 예방을 위하여 정당한 권한을 가진 자가 설치ㆍ운영하는 경우 | 3. Where installed and operated by a person with legitimate authority for the safety and management of facilities and the prevention of fire; |
| Art. 25(1) subpara. 4제25조제1항제4호 | 4. 교통단속을 위하여 정당한 권한을 가진 자가 설치ㆍ운영하는 경우 | 4. Where installed and operated by a person with legitimate authority for traffic enforcement; |
| Art. 25(1) subpara. 5제25조제1항제5호 | 5. 교통정보의 수집ㆍ분석 및 제공을 위하여 정당한 권한을 가진 자가 설치ㆍ운영하는 경우 | 5. Where installed and operated by a person with legitimate authority for the collection, analysis, and provision of traffic information; |
| Art. 25(1) subpara. 6제25조제1항제6호 | 6. 촬영된 영상정보를 저장하지 아니하는 경우로서 대통령령으로 정하는 경우 | 6. Where prescribed by Presidential Decree as a case in which the recorded video information is not stored. |
| Art. 25(2)제25조제2항 | ② 누구든지 불특정 다수가 이용하는 목욕실, 화장실, 발한실(發汗室), 탈의실 등 개인의 사생활을 현저히 침해할 우려가 있는 장소의 내부를 볼 수 있도록 고정형 영상정보처리기기를 설치ㆍ운영하여서는 아니 된다. 다만, 교도소, 정신보건 시설 등 법령에 근거하여 사람을 구금하거나 보호하는 시설로서 대통령령으로 정하는 시설에 대하여는 그러하지 아니하다. <개정 2023.3.14> | (2) No person shall install and operate a fixed visual data processing device so as to allow a view of the inside of a place that is likely to seriously infringe on individual privacy, such as a bathroom, toilet, sweating room (發汗室), or changing room used by many unspecified persons: Provided, That this shall not apply to facilities prescribed by Presidential Decree as facilities that confine or protect persons pursuant to Acts and subordinate statutes, such as prisons and mental health facilities. |
| Art. 25(3)제25조제3항 | ③ 제1항 각 호에 따라 고정형 영상정보처리기기를 설치ㆍ운영하려는 공공기관의 장과 제2항 단서에 따라 고정형 영상정보처리기기를 설치ㆍ운영하려는 자는 공청회ㆍ설명회의 개최 등 대통령령으로 정하는 절차를 거쳐 관계 전문가 및 이해관계인의 의견을 수렴하여야 한다. <개정 2023.3.14> | (3) The head of a public institution who intends to install and operate a fixed visual data processing device pursuant to the subparagraphs of paragraph (1), and a person who intends to install and operate a fixed visual data processing device pursuant to the proviso to paragraph (2), shall collect the opinions of relevant experts and interested persons through procedures prescribed by Presidential Decree, such as holding a public hearing or briefing session. |
| Art. 25(4)제25조제4항 | ④ 제1항 각 호에 따라 고정형 영상정보처리기기를 설치ㆍ운영하는 자(이하 "고정형영상정보처리기기운영자"라 한다)는 정보주체가 쉽게 인식할 수 있도록 다음 각 호의 사항이 포함된 안내판을 설치하는 등 필요한 조치를 하여야 한다. 다만, 「군사기지 및 군사시설 보호법」 제2조제2호에 따른 군사시설, 「통합방위법」 제2조제13호에 따른 국가중요시설, 그 밖에 대통령령으로 정하는 시설의 경우에는 그러하지 아니하다. <개정 2016.3.29, 2023.3.14> | (4) A person who installs and operates a fixed visual data processing device pursuant to the subparagraphs of paragraph (1) (hereinafter referred to as "fixed visual data processing device operator") shall take necessary measures, such as installing a sign containing the following matters, so that data subjects can easily recognize it: Provided, That this shall not apply to military installations under subparagraph 2 of Article 2 of the Protection of Military Bases and Installations Act, national key facilities under subparagraph 13 of Article 2 of the Integrated Defense Act, and other facilities prescribed by Presidential Decree: |
| Art. 25(4) subpara. 1제25조제4항제1호 | 1. 설치 목적 및 장소 | 1. The purpose and place of installation; |
| Art. 25(4) subpara. 2제25조제4항제2호 | 2. 촬영 범위 및 시간 | 2. The range and hours of recording; |
| Art. 25(4) subpara. 3제25조제4항제3호 | 3. 관리책임자의 연락처 | 3. The contact information of the person in charge of management; |
| Art. 25(4) subpara. 4제25조제4항제4호 | 4. 그 밖에 대통령령으로 정하는 사항 | 4. Other matters prescribed by Presidential Decree. |
| Art. 25(5)제25조제5항 | ⑤ 고정형영상정보처리기기운영자는 고정형 영상정보처리기기의 설치 목적과 다른 목적으로 고정형 영상정보처리기기를 임의로 조작하거나 다른 곳을 비춰서는 아니 되며, 녹음기능은 사용할 수 없다. <개정 2023.3.14> | (5) A fixed visual data processing device operator shall not arbitrarily manipulate the fixed visual data processing device for any purpose other than the purpose of its installation or point it at other places, and may not use its sound-recording function. |
| Art. 25(6)제25조제6항differs from Act No. 20897 | ⑥ 고정형영상정보처리기기운영자는 개인정보가 유출등이 되지 아니하도록 제29조에 따라 안전성 확보에 필요한 조치를 하여야 한다. <개정 2015.7.24, 2023.3.14, 2026.3.10> | (6) A fixed visual data processing device operator shall take the measures necessary for ensuring safety pursuant to Article 29 so as to prevent divulgence, etc. of personal information. |
| Art. 25(7)제25조제7항 | ⑦ 고정형영상정보처리기기운영자는 대통령령으로 정하는 바에 따라 고정형 영상정보처리기기 운영ㆍ관리 방침을 마련하여야 한다. 다만, 제30조에 따른 개인정보 처리방침을 정할 때 고정형 영상정보처리기기 운영ㆍ관리에 관한 사항을 포함시킨 경우에는 고정형 영상정보처리기기 운영ㆍ관리 방침을 마련하지 아니할 수 있다. <개정 2023.3.14> | (7) A fixed visual data processing device operator shall establish a policy on the operation and management of fixed visual data processing devices, as prescribed by Presidential Decree: Provided, That where matters concerning the operation and management of fixed visual data processing devices are included when establishing the privacy policy under Article 30, the operator need not establish a policy on the operation and management of fixed visual data processing devices. |
| Art. 25(8)제25조제8항 | ⑧ 고정형영상정보처리기기운영자는 고정형 영상정보처리기기의 설치ㆍ운영에 관한 사무를 위탁할 수 있다. 다만, 공공기관이 고정형 영상정보처리기기 설치ㆍ운영에 관한 사무를 위탁하는 경우에는 대통령령으로 정하는 절차 및 요건에 따라야 한다. <개정 2023.3.14> | (8) A fixed visual data processing device operator may entrust affairs concerning the installation and operation of fixed visual data processing devices: Provided, That where a public institution entrusts affairs concerning the installation and operation of fixed visual data processing devices, it shall follow the procedures and requirements prescribed by Presidential Decree. |
Article 26 (Restrictions on Processing of Personal Information Due to Entrustment of Work) 제26조(업무위탁에 따른 개인정보의 처리 제한)
| Provision | Korean | English (unofficial) |
|---|---|---|
| Art. 26(1)제26조제1항 | ① 개인정보처리자가 제3자에게 개인정보의 처리 업무를 위탁하는 경우에는 다음 각 호의 내용이 포함된 문서로 하여야 한다. <개정 2023.3.14> | (1) Where a personal information controller entrusts the work of processing personal information to a third party, it shall do so by a document containing the following: |
| Art. 26(1) subpara. 1제26조제1항제1호 | 1. 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항 | 1. Matters concerning the prohibition of processing personal information for purposes other than the performance of the entrusted work; |
| Art. 26(1) subpara. 2제26조제1항제2호 | 2. 개인정보의 기술적ㆍ관리적 보호조치에 관한 사항 | 2. Matters concerning technical and managerial protective measures for personal information; |
| Art. 26(1) subpara. 3제26조제1항제3호 | 3. 그 밖에 개인정보의 안전한 관리를 위하여 대통령령으로 정한 사항 | 3. Other matters prescribed by Presidential Decree for the safe management of personal information. |
| Art. 26(2)제26조제2항 | ② 제1항에 따라 개인정보의 처리 업무를 위탁하는 개인정보처리자(이하 "위탁자"라 한다)는 위탁하는 업무의 내용과 개인정보 처리 업무를 위탁받아 처리하는 자(개인정보 처리 업무를 위탁받아 처리하는 자로부터 위탁받은 업무를 다시 위탁받은 제3자를 포함하며, 이하 "수탁자"라 한다)를 정보주체가 언제든지 쉽게 확인할 수 있도록 대통령령으로 정하는 방법에 따라 공개하여야 한다. <개정 2023.3.14> | (2) A personal information controller who entrusts the work of processing personal information pursuant to paragraph (1) (hereinafter referred to as "entrustor") shall disclose the details of the entrusted work and the person who is entrusted with and processes the work of processing personal information (including a third party that has been re-entrusted with the work entrusted to a person entrusted with and processing the work of processing personal information; hereinafter referred to as "entrustee"), by the method prescribed by Presidential Decree, so that data subjects can easily check them at any time. |
| Art. 26(3)제26조제3항 | ③ 위탁자가 재화 또는 서비스를 홍보하거나 판매를 권유하는 업무를 위탁하는 경우에는 대통령령으로 정하는 방법에 따라 위탁하는 업무의 내용과 수탁자를 정보주체에게 알려야 한다. 위탁하는 업무의 내용이나 수탁자가 변경된 경우에도 또한 같다. | (3) Where an entrustor entrusts the work of promoting or soliciting the sale of goods or services, it shall notify data subjects of the details of the entrusted work and the entrustee by the method prescribed by Presidential Decree. The same shall apply where the details of the entrusted work or the entrustee are changed. |
| Art. 26(4)제26조제4항differs from Act No. 20897 | ④ 위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 유출등이 되지 아니하도록 수탁자를 교육하고, 처리 현황 점검 등 대통령령으로 정하는 바에 따라 수탁자가 개인정보를 안전하게 처리하는지를 감독하여야 한다. <개정 2015.7.24, 2026.3.10> | (4) An entrustor shall educate the entrustee so as to prevent divulgence, etc. of data subjects' personal information due to the entrustment of work, and shall supervise whether the entrustee processes personal information safely, as prescribed by Presidential Decree, including by inspecting the status of processing. |
| Art. 26(5)제26조제5항 | ⑤ 수탁자는 개인정보처리자로부터 위탁받은 해당 업무 범위를 초과하여 개인정보를 이용하거나 제3자에게 제공하여서는 아니 된다. | (5) An entrustee shall not use personal information or provide it to a third party beyond the scope of the relevant work entrusted by the personal information controller. |
| Art. 26(6)제26조제6항 | ⑥ 수탁자는 위탁받은 개인정보의 처리 업무를 제3자에게 다시 위탁하려는 경우에는 위탁자의 동의를 받아야 한다. <신설 2023.3.14> | (6) Where an entrustee intends to re-entrust the entrusted work of processing personal information to a third party, it shall obtain the consent of the entrustor. |
| Art. 26(7)제26조제7항 | ⑦ 수탁자가 위탁받은 업무와 관련하여 개인정보를 처리하는 과정에서 이 법을 위반하여 발생한 손해배상책임에 대하여는 수탁자를 개인정보처리자의 소속 직원으로 본다. <개정 2023.3.14> | (7) With respect to liability for damages arising from a violation of this Act in the course of processing personal information in connection with the entrusted work, the entrustee shall be deemed an employee of the personal information controller. |
| Art. 26(8)제26조제8항differs from Act No. 20897 | ⑧ 수탁자에 관하여는 제15조부터 제18조까지, 제21조, 제22조, 제22조의2, 제23조, 제24조, 제24조의2, 제25조, 제25조의2, 제27조, 제28조, 제28조의2부터 제28조의5까지, 제28조의7부터 제28조의11까지, 제29조, 제30조, 제30조의2, 제30조의3, 제31조, 제33조, 제34조, 제34조의2, 제35조, 제35조의2, 제36조, 제37조, 제37조의2, 제38조, 제59조, 제63조, 제63조의2 및 제64조의2를 준용한다. 이 경우 "개인정보처리자"는 "수탁자"로 본다. <개정 2023.3.14, 2026.3.10> | (8) Articles 15 through 18, 21, 22, 22-2, 23, 24, 24-2, 25, 25-2, 27, 28, Articles 28-2 through 28-5, Articles 28-7 through 28-11, and Articles 29, 30, 30-2, 30-3, 31, 33, 34, 34-2, 35, 35-2, 36, 37, 37-2, 38, 59, 63, 63-2, and 64-2 shall apply mutatis mutandis to entrustees. In such cases, "personal information controller" shall be deemed "entrustee". |
Article 28-4 (Obligation to Take Safety Measures for Pseudonymized Information, etc.) 제28조의4(가명정보에 대한 안전조치의무 등) [본조신설 2020.2.4]
| Provision | Korean | English (unofficial) |
|---|---|---|
| Art. 28-4(1)제28조의4제1항differs from Act No. 20897 | ① 개인정보처리자는 제28조의2 또는 제28조의3에 따라 가명정보를 처리하는 경우에는 원래의 상태로 복원하기 위한 추가 정보를 별도로 분리하여 보관ㆍ관리하는 등 해당 정보가 유출등이 되지 아니하도록 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다. <개정 2023.3.14, 2026.3.10> | (1) Where a personal information controller processes pseudonymized information pursuant to Article 28-2 or 28-3, it shall take technical, managerial, and physical measures necessary for ensuring safety, as prescribed by Presidential Decree, such as separately storing and managing additional information needed to restore the information to its original state, so as to prevent divulgence, etc. of the relevant information. |
| Art. 28-4(2)제28조의4제2항 | ② 개인정보처리자는 제28조의2 또는 제28조의3에 따라 가명정보를 처리하는 경우 처리목적 등을 고려하여 가명정보의 처리 기간을 별도로 정할 수 있다. <신설 2023.3.14> | (2) Where a personal information controller processes pseudonymized information pursuant to Article 28-2 or 28-3, it may separately determine the processing period of the pseudonymized information in consideration of the purposes of processing, etc. |
| Art. 28-4(3)제28조의4제3항 | ③ 개인정보처리자는 제28조의2 또는 제28조의3에 따라 가명정보를 처리하고자 하는 경우에는 가명정보의 처리 목적, 제3자 제공 시 제공받는 자, 가명정보의 처리 기간(제2항에 따라 처리 기간을 별도로 정한 경우에 한한다) 등 가명정보의 처리 내용을 관리하기 위하여 대통령령으로 정하는 사항에 대한 관련 기록을 작성하여 보관하여야 하며, 가명정보를 파기한 경우에는 파기한 날부터 3년 이상 보관하여야 한다. <개정 2023.3.14> | (3) Where a personal information controller intends to process pseudonymized information pursuant to Article 28-2 or 28-3, it shall prepare and keep relevant records of the matters prescribed by Presidential Decree for managing the details of processing pseudonymized information, such as the purposes of processing pseudonymized information, the recipient in the case of provision to a third party, and the processing period of the pseudonymized information (limited to cases where the processing period is separately determined pursuant to paragraph (2)), and where it has destroyed pseudonymized information, it shall keep such records for at least 3 years from the date of destruction. |
Article 28-7 (Scope of Application) 제28조의7(적용범위) [본조신설 2020.2.4]
| Provision | Korean | English (unofficial) |
|---|---|---|
| Art. 28-7제28조의7differs from Act No. 20897 | 제28조의2 또는 제28조의3에 따라 처리된 가명정보는 제20조, 제20조의2, 제27조, 제34조제1항ㆍ제2항, 제35조, 제35조의2, 제36조 및 제37조를 적용하지 아니한다. <개정 2023.3.14, 2026.3.10> | Articles 20, 20-2, 27, 34 (1) and (2), 35, 35-2, 36, and 37 shall not apply to pseudonymized information processed pursuant to Article 28-2 or 28-3. |
Article 29 (Obligation to Take Safety Measures) 제29조(안전조치의무)
| Provision | Korean | English (unofficial) |
|---|---|---|
| Art. 29제29조differs from Act No. 20897 | 개인정보처리자는 개인정보가 유출등이 되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다. <개정 2015.7.24, 2026.3.10> | A personal information controller shall take technical, managerial, and physical measures necessary for ensuring safety, such as establishing an internal management plan and keeping access records, as prescribed by Presidential Decree, so as to prevent divulgence, etc. of personal information. |
Article 30-3 (Responsibility of Business Owners or Representatives)new article 제30조의3(사업주 또는 대표자의 책임) [본조신설 2026.3.10]
| Provision | Korean | English (unofficial) |
|---|---|---|
| Art. 30-3제30조의3differs from Act No. 20897 | 개인정보처리자의 사업주 또는 대표자는 개인정보의 안전한 처리 및 정보주체의 권리 보호에 대한 최종적인 책임자로서 개인정보 보호에 필요한 전문 인력과 충분한 예산의 지원 등 총괄적인 관리 조치를 실효성 있게 하여야 한다. | The business owner or representative of a personal information controller, as the person ultimately responsible for the safe processing of personal information and the protection of data subjects' rights, shall effectively take overall management measures, such as providing the professional personnel and sufficient budget necessary for the protection of personal information. |
Article 31 (Designation of Privacy Officers, etc.) 제31조(개인정보 보호책임자의 지정 등) [제목개정 2023.3.14]
| Provision | Korean | English (unofficial) |
|---|---|---|
| Art. 31(1)제31조제1항differs from Act No. 20897 | ① 개인정보처리자는 개인정보의 처리 및 보호에 관한 업무를 총괄해서 담당할 개인정보 보호책임자를 지정하여야 한다. 다만, 종업원 수, 매출액 등이 대통령령으로 정하는 기준에 해당하는 개인정보처리자의 경우에는 지정하지 아니할 수 있다. <개정 2023.3.14, 2026.3.10> | (1) A personal information controller shall designate a privacy officer who will be in general charge of the work related to the processing and protection of personal information: Provided, That a personal information controller meeting the criteria prescribed by Presidential Decree in terms of the number of employees, the amount of sales, etc. need not designate one. |
| Art. 31(2)제31조제2항 | ② 제1항 단서에 따라 개인정보 보호책임자를 지정하지 아니하는 경우에는 개인정보처리자의 사업주 또는 대표자가 개인정보 보호책임자가 된다. <신설 2023.3.14> | (2) Where a privacy officer is not designated pursuant to the proviso to paragraph (1), the business owner or representative of the personal information controller shall be the privacy officer. |
| Art. 31(3)제31조제3항differs from Act No. 20897 | ③ 매출액, 개인정보의 보유 규모 등을 고려하여 대통령령으로 정하는 기준에 해당하는 개인정보처리자는 다음 각 호의 사항을 준수하여야 한다. <신설 2026.3.10> | (3) A personal information controller meeting the criteria prescribed by Presidential Decree in consideration of the amount of sales, the volume of personal information held, etc. shall comply with the following: |
| Art. 31(3) subpara. 1제31조제3항제1호differs from Act No. 20897 | 1. 개인정보 보호책임자를 지정하거나 그 지정을 변경 또는 해제할 때에는 이사회(법인인 경우로 한정한다. 이하 같다)의 의결을 거칠 것 | 1. To obtain a resolution of the board of directors (limited to cases of a corporation; the same shall apply hereinafter) when designating a privacy officer or changing or revoking such designation; |
| Art. 31(3) subpara. 2제31조제3항제2호differs from Act No. 20897 | 2. 보호위원회에 대통령령으로 정하는 바에 따라 개인정보 보호책임자 지정ㆍ변경 또는 해제에 관한 사항을 신고할 것 | 2. To report matters concerning the designation, change, or revocation of a privacy officer to the Protection Commission, as prescribed by Presidential Decree. |
| Art. 31(4)제31조제4항differs from Act No. 20897 | ④ 개인정보 보호책임자는 다음 각 호의 업무를 수행한다. <개정 2023.3.14, 2026.3.10> | (4) A privacy officer shall perform the following duties: |
| Art. 31(4) subpara. 1제31조제4항제1호differs from Act No. 20897 | 1. 개인정보 보호 계획의 수립 및 시행 | 1. Establishing and implementing personal information protection plans; |
| Art. 31(4) subpara. 2제31조제4항제2호differs from Act No. 20897 | 2. 개인정보 보호에 필요한 전문 인력의 관리 및 예산의 확보 | 2. Managing the professional personnel and securing the budget necessary for the protection of personal information; |
| Art. 31(4) subpara. 3제31조제4항제3호differs from Act No. 20897 | 3. 사업주 또는 대표자 및 이사회에 대한 개인정보 보호 현황 및 주요 사항의 보고 | 3. Reporting the status of personal information protection and material matters to the business owner or representative and to the board of directors; |
| Art. 31(4) subpara. 4제31조제4항제4호differs from Act No. 20897 | 4. 개인정보 처리 및 보호의 실태와 관행에 대한 정기적인 조사 및 개선 | 4. Regularly investigating and improving the status and practices of personal information processing and protection; |
| Art. 31(4) subpara. 5제31조제4항제5호differs from Act No. 20897 | 5. 개인정보 처리와 관련한 불만의 처리 및 피해 구제 | 5. Handling complaints and providing remedies for damage related to the processing of personal information; |
| Art. 31(4) subpara. 6제31조제4항제6호differs from Act No. 20897 | 6. 개인정보 유출 및 오용ㆍ남용 방지를 위한 내부통제시스템의 구축 | 6. Establishing an internal control system to prevent the divulgence, misuse, and abuse of personal information; |
| Art. 31(4) subpara. 7제31조제4항제7호differs from Act No. 20897 | 7. 개인정보 보호 교육 계획의 수립 및 시행 | 7. Establishing and implementing personal information protection education plans; |
| Art. 31(4) subpara. 8제31조제4항제8호differs from Act No. 20897 | 8. 개인정보파일의 보호 및 관리ㆍ감독 | 8. Protecting, managing, and supervising personal information files; |
| Art. 31(4) subpara. 9제31조제4항제9호differs from Act No. 20897 | 9. 그 밖에 개인정보의 적절한 처리 및 보호를 위하여 대통령령으로 정한 업무 | 9. Other duties prescribed by Presidential Decree for the appropriate processing and protection of personal information. |
| Art. 31(5)제31조제5항differs from Act No. 20897 | ⑤ 개인정보 보호책임자는 제4항 각 호의 업무를 수행함에 있어서 필요한 경우 개인정보의 처리 현황, 처리 체계 등에 대하여 수시로 조사하거나 관계 당사자로부터 보고를 받을 수 있다. <개정 2023.3.14, 2026.3.10> | (5) A privacy officer may, where necessary in performing the duties under the subparagraphs of paragraph (4), investigate at any time the status of processing, the processing system, etc. of personal information or receive reports from the relevant parties. |
| Art. 31(6)제31조제6항differs from Act No. 20897 | ⑥ 개인정보 보호책임자는 개인정보 보호와 관련하여 이 법 및 다른 관계 법령의 위반 사실을 알게 된 경우에는 즉시 개선조치를 하여야 하며, 필요하면 소속 기관 또는 단체의 장에게 개선조치를 보고하여야 한다. <개정 2023.3.14, 2026.3.10> | (6) A privacy officer who becomes aware of any violation of this Act or other relevant Acts and subordinate statutes in relation to the protection of personal information shall immediately take corrective measures and, if necessary, shall report the corrective measures to the head of the institution or organization to which he or she belongs. |
| Art. 31(7)제31조제7항differs from Act No. 20897 | ⑦ 개인정보처리자는 개인정보 보호책임자가 제4항 각 호의 업무를 수행함에 있어서 정당한 이유 없이 불이익을 주거나 받게 하여서는 아니 되며, 개인정보 보호책임자가 업무를 독립적으로 수행할 수 있도록 보장하여야 한다. <개정 2023.3.14, 2026.3.10> | (7) A personal information controller shall not, without justifiable grounds, impose or cause the privacy officer to suffer any disadvantage in relation to the performance of the duties under the subparagraphs of paragraph (4), and shall guarantee that the privacy officer can perform his or her duties independently. |
| Art. 31(8)제31조제8항differs from Act No. 20897 | ⑧ 개인정보처리자는 개인정보의 안전한 처리 및 보호, 정보의 교류, 그 밖에 대통령령으로 정하는 공동의 사업을 수행하기 위하여 제1항에 따른 개인정보 보호책임자를 구성원으로 하는 개인정보 보호책임자 협의회를 구성ㆍ운영할 수 있다. <신설 2023.3.14, 2026.3.10> | (8) Personal information controllers may form and operate a council of privacy officers, whose members are privacy officers under paragraph (1), to carry out joint projects, such as the safe processing and protection of personal information, the exchange of information, and other joint projects prescribed by Presidential Decree. |
| Art. 31(9)제31조제9항differs from Act No. 20897 | ⑨ 보호위원회는 제8항에 따른 개인정보 보호책임자 협의회의 활동에 필요한 지원을 할 수 있다. <신설 2023.3.14, 2026.3.10> | (9) The Protection Commission may provide support necessary for the activities of the council of privacy officers under paragraph (8). |
| Art. 31(10)제31조제10항differs from Act No. 20897 | ⑩ 제1항에 따른 개인정보 보호책임자의 자격요건, 제3항제2호에 따른 신고의 방법 및 절차, 제4항에 따른 업무 및 제7항에 따른 독립성 보장 등에 필요한 사항은 매출액, 개인정보의 보유 규모 등을 고려하여 대통령령으로 정한다. <개정 2023.3.14, 2026.3.10> | (10) Matters necessary for the qualification requirements of a privacy officer under paragraph (1), the method and procedures for reporting under paragraph (3) 2, the duties under paragraph (4), the guarantee of independence under paragraph (7), etc. shall be prescribed by Presidential Decree, in consideration of the amount of sales, the volume of personal information held, etc. |
Article 31-2 (Designation of Domestic Agents) 제31조의2(국내대리인의 지정) [본조신설 2020.2.4][제39조의11에서 이동 <2023.3.14>]
| Provision | Korean | English (unofficial) |
|---|---|---|
| Art. 31-2(1)제31조의2제1항 | ① 국내에 주소 또는 영업소가 없는 개인정보처리자로서 매출액, 개인정보의 보유 규모 등을 고려하여 대통령령으로 정하는 자는 다음 각 호의 사항을 대리하는 자(이하 "국내대리인"이라 한다)를 지정하여야 한다. 이 경우 국내대리인의 지정은 문서로 하여야 한다. <개정 2023.3.14, 2025.4.1, 2026.3.10> | (1) A personal information controller that has no domicile or place of business in the Republic of Korea and that is prescribed by Presidential Decree in consideration of the amount of sales, the volume of personal information held, etc. shall designate a person who acts on its behalf with respect to the following matters (hereinafter referred to as "domestic agent" [commonly called a "domestic representative"]). In such cases, the domestic agent shall be designated in writing. |
| Art. 31-2(1) subpara. 1제31조의2제1항제1호differs from Act No. 20897 | 1. 제31조제4항제5호에 따른 개인정보 처리와 관련한 불만의 처리 및 피해 구제 업무 | 1. Handling complaints and providing remedies for damage related to the processing of personal information under Article 31 (4) 5; |
| Art. 31-2(1) subpara. 2제31조의2제1항제2호differs from Act No. 20897 | 2. 제34조제1항ㆍ제2항에 따른 통지 및 같은 조 제4항에 따른 유출등의 신고 | 2. Notification under Article 34 (1) and (2), and reporting of divulgence, etc. under paragraph (4) of the same Article; |
| Art. 31-2(1) subpara. 3제31조의2제1항제3호 | 3. 제63조제1항에 따른 물품ㆍ서류 등 자료의 제출 | 3. Submission of materials, such as goods and documents, under Article 63 (1). |
| Art. 31-2(2)제31조의2제2항 | ② 국내대리인은 국내에 주소 또는 영업소가 있어야 한다. 이 경우 다음 각 호의 어느 하나에 해당하는 법인이 있는 개인정보처리자는 그 법인 중에서 국내대리인을 지정하여야 한다. <개정 2023.3.14, 2025.4.1> | (2) A domestic agent shall have a domicile or place of business in the Republic of Korea. In such cases, a personal information controller that has a corporation falling under any of the following subparagraphs shall designate its domestic agent from among such corporations: |
| Art. 31-2(2) subpara. 1제31조의2제2항제1호 | 1. 해당 개인정보처리자가 설립한 국내 법인 | 1. A domestic corporation established by the relevant personal information controller; |
| Art. 31-2(2) subpara. 2제31조의2제2항제2호 | 2. 해당 개인정보처리자가 임원 구성, 사업 운영 등에 지배적인 영향력을 행사하는 국내 법인으로서 대통령령으로 정하는 법인 | 2. A domestic corporation over which the relevant personal information controller exercises a dominant influence in terms of the composition of officers, business operations, etc., as prescribed by Presidential Decree. |
| Art. 31-2(3)제31조의2제3항 | ③ 제1항에 따라 국내대리인을 지정한 개인정보처리자는 국내대리인이 업무를 충실히 수행하도록 대통령령으로 정하는 바에 따라 교육하고 업무현황을 점검하는 등의 관리ㆍ감독을 하여야 한다. <신설 2025.4.1> | (3) A personal information controller that has designated a domestic agent pursuant to paragraph (1) shall manage and supervise the domestic agent, such as by providing education and inspecting the status of its work, as prescribed by Presidential Decree, so that the domestic agent faithfully performs its duties. |
| Art. 31-2(4)제31조의2제4항 | ④ 개인정보처리자는 제1항에 따라 국내대리인을 지정하는 경우에는 다음 각 호의 사항을 개인정보 처리방침에 포함하여야 한다. <개정 2023.3.14, 2025.4.1> | (4) Where a personal information controller designates a domestic agent pursuant to paragraph (1), it shall include the following matters in its privacy policy: |
| Art. 31-2(4) subpara. 1제31조의2제4항제1호 | 1. 국내대리인의 성명(법인의 경우에는 그 명칭 및 대표자의 성명을 말한다) | 1. The name of the domestic agent (in the case of a corporation, its name and the name of its representative); |
| Art. 31-2(4) subpara. 2제31조의2제4항제2호 | 2. 국내대리인의 주소(법인의 경우에는 영업소의 소재지를 말한다), 전화번호 및 전자우편 주소 | 2. The address (in the case of a corporation, the location of its place of business), telephone number, and e-mail address of the domestic agent. |
| Art. 31-2(5)제31조의2제5항 | ⑤ 국내대리인이 제1항 각 호와 관련하여 이 법을 위반한 경우에는 개인정보처리자가 그 행위를 한 것으로 본다. <개정 2023.3.14, 2025.4.1> | (5) Where a domestic agent violates this Act in relation to the subparagraphs of paragraph (1), the personal information controller shall be deemed to have committed such act. |
Article 34 (Notification and Report of Divulgence, etc. of Personal Information) 제34조(개인정보 유출등의 통지ㆍ신고) [제목개정 2023.3.14, 2026.3.10]
| Provision | Korean | English (unofficial) |
|---|---|---|
| Art. 34(1)제34조제1항differs from Act No. 20897 | ① 개인정보처리자는 개인정보가 유출등이 되었음을 알게 되었을 때에는 지체 없이 해당 정보주체에게 다음 각 호의 사항을 알려야 한다. 다만, 정보주체의 연락처를 알 수 없는 경우 등 정당한 사유가 있는 경우에는 대통령령으로 정하는 바에 따라 통지를 갈음하는 조치를 취할 수 있다. <개정 2023.3.14, 2026.3.10> | (1) When a personal information controller becomes aware that divulgence, etc. of personal information has occurred, it shall notify the relevant data subjects of the following matters without delay: Provided, That where there are justifiable grounds, such as where the contact information of the data subject cannot be ascertained, it may take measures in lieu of notification as prescribed by Presidential Decree: |
| Art. 34(1) subpara. 1제34조제1항제1호 | 1. 유출등이 된 개인정보의 항목 | 1. The items of personal information subject to divulgence, etc.; |
| Art. 34(1) subpara. 2제34조제1항제2호 | 2. 유출등이 된 시점과 그 경위 | 2. The time at which the divulgence, etc. occurred and the circumstances thereof; |
| Art. 34(1) subpara. 3제34조제1항제3호differs from Act No. 20897 | 3. 유출등으로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 구체적인 정보 | 3. Specific information on methods, etc. that the data subject can take to minimize any damage that may arise from the divulgence, etc.; |
| Art. 34(1) subpara. 4제34조제1항제4호 | 4. 개인정보처리자의 대응조치 및 피해 구제절차 | 4. The response measures of the personal information controller and the procedures for remedying damage; |
| Art. 34(1) subpara. 5제34조제1항제5호 | 5. 정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처 | 5. The department in charge and contact information for receiving reports, etc. where damage has been caused to a data subject; |
| Art. 34(1) subpara. 6제34조제1항제6호differs from Act No. 20897 | 6. 개인정보 유출등으로 인한 제39조에 따른 손해배상과 제39조의2에 따른 법정손해배상의 청구 및 제43조에 따른 분쟁조정 등 피해를 입은 정보주체의 법적 권리와 그 행사 방법 등에 관한 정보 | 6. Information on the legal rights of affected data subjects and the methods of exercising them, such as claims for compensation for damages under Article 39 and for statutory compensation under Article 39-2 and dispute mediation under Article 43, arising from the divulgence, etc. of personal information; |
| Art. 34(1) subpara. 7제34조제1항제7호differs from Act No. 20897 | 7. 그 밖에 개인정보가 유출등이 된 정보주체의 보호를 위하여 대통령령으로 정하는 사항 | 7. Other matters prescribed by Presidential Decree for the protection of data subjects whose personal information has been subject to divulgence, etc.. |
| Art. 34(2)제34조제2항differs from Act No. 20897 | ② 제1항에도 불구하고 개인정보의 유형, 정보주체에게 미치는 영향 및 유출등의 위험 정도를 고려하여 대통령령으로 정하는 유출등의 가능성이 있음을 알게 되었을 때에는 지체 없이 유출등의 가능성이 있는 모든 정보주체에게 피해를 최소화하기 위한 정보 등 대통령령으로 정하는 사항을 알려야 한다. <신설 2026.3.10> | (2) Notwithstanding paragraph (1), when a personal information controller becomes aware that there is a possibility of divulgence, etc. prescribed by Presidential Decree in consideration of the type of personal information, the impact on data subjects, and the degree of risk of divulgence, etc., it shall notify, without delay, all data subjects for whom there is a possibility of divulgence, etc. of the matters prescribed by Presidential Decree, such as information for minimizing damage. |
| Art. 34(3)제34조제3항differs from Act No. 20897 | ③ 개인정보처리자는 개인정보가 유출등이 된 경우에는 해당 개인정보의 회수ㆍ삭제 등 피해 확산을 방지하기 위한 조치를 포함하여 피해를 최소화하기 위한 대책을 마련하고 필요한 조치를 하여야 한다. <개정 2023.3.14, 2026.3.10> | (3) Where divulgence, etc. of personal information has occurred, a personal information controller shall prepare countermeasures to minimize damage, including measures to prevent the spread of damage such as retrieval and deletion of the relevant personal information, and shall take necessary measures. |
| Art. 34(4)제34조제4항differs from Act No. 20897 | ④ 개인정보처리자는 개인정보의 유출등이 있음을 알게 되었을 때에는 개인정보의 유형, 유출등의 경로 및 규모 등을 고려하여 대통령령으로 정하는 바에 따라 제1항 각 호의 사항을 지체 없이 보호위원회 또는 대통령령으로 정하는 전문기관에 신고하여야 한다. 이 경우 보호위원회 또는 대통령령으로 정하는 전문기관은 피해 확산방지, 피해 복구 등을 위한 기술을 지원할 수 있다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2020.2.4, 2023.3.14, 2026.3.10> | (4) When a personal information controller becomes aware that divulgence, etc. of personal information has occurred, it shall report the matters set forth in the subparagraphs of paragraph (1) without delay to the Protection Commission or a specialized institution prescribed by Presidential Decree, as prescribed by Presidential Decree in consideration of the type of personal information, the path and scale of the divulgence, etc., etc. In such cases, the Protection Commission or the specialized institution prescribed by Presidential Decree may provide technical support for preventing the spread of damage, recovering from damage, etc. |
| Art. 34(5)제34조제5항differs from Act No. 20897 | ⑤ 제1항ㆍ제2항에 따른 통지 및 제4항에 따른 유출등의 신고의 시기, 방법, 절차 등에 필요한 사항은 대통령령으로 정한다. <개정 2023.3.14, 2026.3.10> | (5) Matters necessary for the timing, methods, procedures, etc. of notification under paragraphs (1) and (2) and of reporting of divulgence, etc. under paragraph (4) shall be prescribed by Presidential Decree. |
Article 39 (Liability for Damages) 제39조(손해배상책임)
| Provision | Korean | English (unofficial) |
|---|---|---|
| Art. 39(1)제39조제1항 | ① 정보주체는 개인정보처리자가 이 법을 위반한 행위로 손해를 입으면 개인정보처리자에게 손해배상을 청구할 수 있다. 이 경우 그 개인정보처리자는 고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다. | (1) Where a data subject suffers damage due to an act of a personal information controller in violation of this Act, the data subject may claim compensation for damages from the personal information controller. In such cases, the personal information controller may not be released from liability unless it proves that there was no intent or negligence on its part. |
| Art. 39(2)제39조제2항 | ② 삭제 <2015.7.24> | (2) Deleted. |
| Art. 39(3)제39조제3항differs from Act No. 20897 | ③ 개인정보처리자의 고의 또는 중대한 과실로 인하여 개인정보가 유출등이 된 경우로서 정보주체에게 손해가 발생한 때에는 법원은 그 손해액의 5배를 넘지 아니하는 범위에서 손해배상액을 정할 수 있다. 다만, 개인정보처리자가 고의 또는 중대한 과실이 없음을 증명한 경우에는 그러하지 아니하다. <신설 2015.7.24, 2023.3.14, 2026.3.10> | (3) Where divulgence, etc. of personal information has occurred due to the intent or gross negligence of a personal information controller and damage has been caused to a data subject, the court may determine the amount of compensation within the limit not exceeding five times the amount of such damage: Provided, That this shall not apply where the personal information controller proves that there was no intent or gross negligence on its part. |
| Art. 39(4)제39조제4항 | ④ 법원은 제3항의 배상액을 정할 때에는 다음 각 호의 사항을 고려하여야 한다. <신설 2015.7.24> | (4) When determining the amount of compensation under paragraph (3), the court shall take into consideration the following matters: |
| Art. 39(4) subpara. 1제39조제4항제1호 | 1. 고의 또는 손해 발생의 우려를 인식한 정도 | 1. The degree of intent or of awareness of the risk of causing damage; |
| Art. 39(4) subpara. 2제39조제4항제2호 | 2. 위반행위로 인하여 입은 피해 규모 | 2. The scale of damage incurred due to the violation; |
| Art. 39(4) subpara. 3제39조제4항제3호 | 3. 위법행위로 인하여 개인정보처리자가 취득한 경제적 이익 | 3. The economic benefit obtained by the personal information controller from the unlawful act; |
| Art. 39(4) subpara. 4제39조제4항제4호 | 4. 위반행위에 따른 벌금 및 과징금 | 4. Criminal fines and penalty surcharges imposed for the violation; |
| Art. 39(4) subpara. 5제39조제4항제5호 | 5. 위반행위의 기간ㆍ횟수 등 | 5. The period, frequency, etc. of the violation; |
| Art. 39(4) subpara. 6제39조제4항제6호 | 6. 개인정보처리자의 재산상태 | 6. The property status of the personal information controller; |
| Art. 39(4) subpara. 7제39조제4항제7호 | 7. 개인정보처리자가 정보주체의 개인정보 분실ㆍ도난ㆍ유출 후 해당 개인정보를 회수하기 위하여 노력한 정도 | 7. The degree of effort made by the personal information controller to retrieve the relevant personal information after the loss, theft, or divulgence of the data subject's personal information; |
| Art. 39(4) subpara. 8제39조제4항제8호 | 8. 개인정보처리자가 정보주체의 피해구제를 위하여 노력한 정도 | 8. The degree of effort made by the personal information controller to provide remedies for the data subject's damage. |
Article 39-2 (Claims for Statutory Compensation) 제39조의2(법정손해배상의 청구) [본조신설 2015.7.24]
| Provision | Korean | English (unofficial) |
|---|---|---|
| Art. 39-2(1)제39조의2제1항differs from Act No. 20897 | ① 제39조제1항에도 불구하고 정보주체는 개인정보처리자의 고의 또는 과실로 인하여 개인정보가 유출등이 된 경우에는 300만원 이하의 범위에서 상당한 금액을 손해액으로 하여 배상을 청구할 수 있다. 이 경우 해당 개인정보처리자는 고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다. <개정 2026.3.10> | (1) Notwithstanding Article 39 (1), where divulgence, etc. of personal information has occurred due to the intent or negligence of a personal information controller, a data subject may claim compensation by treating a reasonable amount not exceeding 3 million won as the amount of damages. In such cases, the relevant personal information controller may not be released from liability unless it proves that there was no intent or negligence on its part. |
| Art. 39-2(2)제39조의2제2항 | ② 법원은 제1항에 따른 청구가 있는 경우에 변론 전체의 취지와 증거조사의 결과를 고려하여 제1항의 범위에서 상당한 손해액을 인정할 수 있다. | (2) Where a claim is filed under paragraph (1), the court may recognize a reasonable amount of damages within the limit under paragraph (1), taking into consideration the overall purport of the arguments and the results of the examination of evidence. |
| Art. 39-2(3)제39조의2제3항 | ③ 제39조에 따라 손해배상을 청구한 정보주체는 사실심(事實審)의 변론이 종결되기 전까지 그 청구를 제1항에 따른 청구로 변경할 수 있다. | (3) A data subject who has claimed compensation for damages under Article 39 may change such claim to a claim under paragraph (1) before the closing of arguments in the fact-finding instance (事實審). |
Article 58 (Partial Exclusion from Application) 제58조(적용의 일부 제외)
| Provision | Korean | English (unofficial) |
|---|---|---|
| Art. 58(1)제58조제1항 | ① 다음 각 호의 어느 하나에 해당하는 개인정보에 관하여는 제3장부터 제8장까지를 적용하지 아니한다. <개정 2023.3.14> | (1) Chapters III through VIII shall not apply to personal information falling under any of the following subparagraphs: |
| Art. 58(1) subpara. 1제58조제1항제1호 | 1. 삭제<2023.3.14> | 1. Deleted. |
| Art. 58(1) subpara. 2제58조제1항제2호 | 2. 국가안전보장과 관련된 정보 분석을 목적으로 수집 또는 제공 요청되는 개인정보 | 2. Personal information collected, or requested to be provided, for the purpose of analyzing information related to national security; |
| Art. 58(1) subpara. 3제58조제1항제3호 | 3. 삭제<2023.3.14> | 3. Deleted. |
| Art. 58(1) subpara. 4제58조제1항제4호 | 4. 언론, 종교단체, 정당이 각각 취재ㆍ보도, 선교, 선거 입후보자 추천 등 고유 목적을 달성하기 위하여 수집ㆍ이용하는 개인정보 | 4. Personal information collected and used by the press, religious organizations, or political parties, respectively, to achieve their own intrinsic purposes, such as news gathering and reporting, missionary work, and the nomination of candidates for elections. |
| Art. 58(2)제58조제2항 | ② 제25조제1항 각 호에 따라 공개된 장소에 고정형 영상정보처리기기를 설치ㆍ운영하여 처리되는 개인정보에 대해서는 제15조, 제22조, 제22조의2, 제27조제1항ㆍ제2항, 제34조 및 제37조를 적용하지 아니한다. <개정 2023.3.14> | (2) Articles 15, 22, 22-2, 27 (1) and (2), 34, and 37 shall not apply to personal information processed by installing and operating a fixed visual data processing device in a public place pursuant to the subparagraphs of Article 25 (1). |
| Art. 58(3)제58조제3항differs from Act No. 20897 | ③ 개인정보처리자가 동창회, 동호회 등 친목 도모를 위한 단체를 운영하기 위하여 개인정보를 처리하는 경우에는 제15조, 제30조, 제30조의3 및 제31조를 적용하지 아니한다. <개정 2026.3.10> | (3) Articles 15, 30, 30-3, and 31 shall not apply where a personal information controller processes personal information to operate an organization for promoting friendship, such as an alumni association or a hobby club. |
| Art. 58(4)제58조제4항 | ④ 개인정보처리자는 제1항 각 호에 따라 개인정보를 처리하는 경우에도 그 목적을 위하여 필요한 범위에서 최소한의 기간에 최소한의 개인정보만을 처리하여야 하며, 개인정보의 안전한 관리를 위하여 필요한 기술적ㆍ관리적 및 물리적 보호조치, 개인정보의 처리에 관한 고충처리, 그 밖에 개인정보의 적절한 처리를 위하여 필요한 조치를 마련하여야 한다. | (4) Even where a personal information controller processes personal information pursuant to the subparagraphs of paragraph (1), it shall process only the minimum personal information for the minimum period within the scope necessary for the relevant purpose, and shall prepare technical, managerial, and physical protective measures necessary for the safe management of personal information, the handling of grievances concerning the processing of personal information, and other measures necessary for the appropriate processing of personal information. |
Article 64-2 (Imposition of Penalty Surcharges) 제64조의2(과징금의 부과) [본조신설 2023.3.14]
| Provision | Korean | English (unofficial) |
|---|---|---|
| Art. 64-2(1)제64조의2제1항 | ① 보호위원회는 다음 각 호의 어느 하나에 해당하는 경우에는 해당 개인정보처리자에게 전체 매출액의 100분의 3을 초과하지 아니하는 범위에서 과징금을 부과할 수 있다. 다만, 매출액이 없거나 매출액의 산정이 곤란한 경우로서 대통령령으로 정하는 경우에는 20억원을 초과하지 아니하는 범위에서 과징금을 부과할 수 있다. <개정 2026.3.10> | (1) Where any of the following subparagraphs applies, the Protection Commission may impose on the relevant personal information controller a penalty surcharge not exceeding 3/100 of its total sales: Provided, That where there are no sales or it is difficult to calculate sales, as prescribed by Presidential Decree, it may impose a penalty surcharge not exceeding 2 billion won: |
| Art. 64-2(1) subpara. 1제64조의2제1항제1호 | 1. 제15조제1항, 제17조제1항, 제18조제1항ㆍ제2항(제26조제8항에 따라 준용되는 경우를 포함한다) 또는 제19조를 위반하여 개인정보를 처리한 경우 | 1. Where personal information is processed in violation of Article 15 (1), 17 (1), 18 (1) or (2) (including cases where it applies mutatis mutandis pursuant to Article 26 (8)), or 19; |
| Art. 64-2(1) subpara. 2제64조의2제1항제2호 | 2. 제22조의2제1항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 법정대리인의 동의를 받지 아니하고 만 14세 미만인 아동의 개인정보를 처리한 경우 | 2. Where the personal information of a child under 14 years of age is processed without the consent of his or her legal representative, in violation of Article 22-2 (1) (including cases where it applies mutatis mutandis pursuant to Article 26 (8)); |
| Art. 64-2(1) subpara. 3제64조의2제1항제3호 | 3. 제23조제1항제1호(제26조제8항에 따라 준용되는 경우를 포함한다)를 위반하여 정보주체의 동의를 받지 아니하고 민감정보를 처리한 경우 | 3. Where sensitive information is processed without the consent of the data subject, in violation of Article 23 (1) 1 (including cases where it applies mutatis mutandis pursuant to Article 26 (8)); |
| Art. 64-2(1) subpara. 4제64조의2제1항제4호 | 4. 제24조제1항ㆍ제24조의2제1항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 고유식별정보 또는 주민등록번호를 처리한 경우 | 4. Where unique identifying information or resident registration numbers are processed in violation of Article 24 (1) or 24-2 (1) (including cases where it applies mutatis mutandis pursuant to Article 26 (8)); |
| Art. 64-2(1) subpara. 5제64조의2제1항제5호 | 5. 제26조제4항에 따른 관리ㆍ감독 또는 교육을 소홀히 하여 수탁자가 이 법의 규정을 위반한 경우 | 5. Where an entrustee violates any provision of this Act because the management and supervision or education under Article 26 (4) was neglected; |
| Art. 64-2(1) subpara. 6제64조의2제1항제6호 | 6. 제28조의5제1항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 특정 개인을 알아보기 위한 목적으로 정보를 처리한 경우 | 6. Where information is processed for the purpose of identifying a specific individual, in violation of Article 28-5 (1) (including cases where it applies mutatis mutandis pursuant to Article 26 (8)); |
| Art. 64-2(1) subpara. 7제64조의2제1항제7호 | 7. 제28조의8제1항(제26조제8항 및 제28조의11에 따라 준용되는 경우를 포함한다)을 위반하여 개인정보를 국외로 이전한 경우 | 7. Where personal information is transferred overseas in violation of Article 28-8 (1) (including cases where it applies mutatis mutandis pursuant to Articles 26 (8) and 28-11); |
| Art. 64-2(1) subpara. 8제64조의2제1항제8호 | 8. 제28조의9제1항(제26조제8항 및 제28조의11에 따라 준용되는 경우를 포함한다)을 위반하여 국외 이전 중지 명령을 따르지 아니한 경우 | 8. Where an order to suspend an overseas transfer is not complied with, in violation of Article 28-9 (1) (including cases where it applies mutatis mutandis pursuant to Articles 26 (8) and 28-11); |
| Art. 64-2(1) subpara. 9제64조의2제1항제9호differs from Act No. 20897 | 9. 개인정보처리자가 처리하는 개인정보가 유출등이 된 경우. 다만, 개인정보가 유출등이 되지 아니하도록 개인정보처리자가 제29조(제26조제8항에 따라 준용되는 경우를 포함한다)에 따른 안전성 확보에 필요한 조치를 다한 경우에는 그러하지 아니하다. | 9. Where divulgence, etc. of personal information processed by a personal information controller has occurred: Provided, That this shall not apply where the personal information controller has taken all measures necessary for ensuring safety under Article 29 (including cases where it applies mutatis mutandis pursuant to Article 26 (8)) so as to prevent divulgence, etc. of the personal information. |
| Art. 64-2(2)제64조의2제2항differs from Act No. 20897 | ② 제1항에도 불구하고 보호위원회는 다음 각 호의 어느 하나에 해당하는 경우에는 해당 개인정보처리자에게 전체 매출액의 100분의 10을 초과하지 아니하는 범위에서 과징금을 부과할 수 있다. 다만, 매출액이 없거나 매출액의 산정이 곤란한 경우로서 대통령령으로 정하는 경우에는 50억원을 초과하지 아니하는 범위에서 과징금을 부과할 수 있다. <신설 2026.3.10> | (2) Notwithstanding paragraph (1), where any of the following subparagraphs applies, the Protection Commission may impose on the relevant personal information controller a penalty surcharge not exceeding 10/100 of its total sales: Provided, That where there are no sales or it is difficult to calculate sales, as prescribed by Presidential Decree, it may impose a penalty surcharge not exceeding 5 billion won: |
| Art. 64-2(2) subpara. 1제64조의2제2항제1호differs from Act No. 20897 | 1. 이 조에 따른 과징금 부과처분을 받은 날부터 3년이 경과하기 전에 제1항 같은 호에 해당하는 위반행위를 한 경우(각각 고의 또는 중대한 과실이 있는 경우로 한정한다) | 1. Where a violation falling under the same subparagraph of paragraph (1) is committed before 3 years have elapsed from the date on which a disposition imposing a penalty surcharge under this Article was received (limited to cases where there is intent or gross negligence in each instance); |
| Art. 64-2(2) subpara. 2제64조의2제2항제2호differs from Act No. 20897 | 2. 고의 또는 중대한 과실로 제1항 각 호의 어느 하나에 해당하는 위반행위를 하고 정보주체의 피해 규모가 1천만명 이상인 경우 | 2. Where a violation falling under any subparagraph of paragraph (1) is committed intentionally or by gross negligence, and the scale of damage to data subjects is 10 million persons or more; |
| Art. 64-2(2) subpara. 3제64조의2제2항제3호differs from Act No. 20897 | 3. 제64조제1항에 따른 시정조치 명령에 따르지 아니하여 개인정보처리자가 제1항제9호의 위반행위를 한 경우 | 3. Where the personal information controller commits the violation under paragraph (1) 9 as a result of failing to comply with an order to take corrective measures under Article 64 (1). |
| Art. 64-2(3)제64조의2제3항differs from Act No. 20897 | ③ 보호위원회는 제1항 및 제2항에 따른 과징금을 부과하려는 경우 전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 매출액을 기준으로 과징금을 산정한다. <개정 2026.3.10> | (3) Where the Protection Commission intends to impose a penalty surcharge under paragraphs (1) and (2), it shall calculate the penalty surcharge on the basis of the sales remaining after excluding, from the total sales, the sales unrelated to the violation. |
| Art. 64-2(4)제64조의2제4항differs from Act No. 20897 | ④ 보호위원회는 제1항 및 제2항에 따른 과징금을 부과하려는 경우 개인정보처리자가 정당한 사유 없이 매출액 산정자료의 제출을 거부하거나 거짓의 자료를 제출한 경우에는 해당 개인정보처리자의 전체 매출액을 기준으로 산정하되 해당 개인정보처리자 및 비슷한 규모의 개인정보처리자의 개인정보 보유 규모, 재무제표 등 회계자료, 상품ㆍ용역의 가격 등 영업현황 자료에 근거하여 매출액을 추정할 수 있다. <개정 2026.3.10> | (4) Where the Protection Commission intends to impose a penalty surcharge under paragraphs (1) and (2), and the personal information controller refuses to submit materials for calculating sales or submits false materials without justifiable grounds, the Protection Commission shall calculate the penalty surcharge on the basis of the total sales of the relevant personal information controller, and may estimate the sales based on the volume of personal information held by the relevant personal information controller and by personal information controllers of a similar scale, accounting materials such as financial statements, and business status materials such as the prices of goods and services. |
| Art. 64-2(5)제64조의2제5항differs from Act No. 20897 | ⑤ 보호위원회는 제1항 및 제2항에 따른 과징금을 부과하는 경우에는 위반행위에 상응하는 비례성과 침해 예방에 대한 효과성이 확보될 수 있도록 다음 각 호의 사항을 고려하여야 한다. <개정 2026.3.10> | (5) When imposing a penalty surcharge under paragraphs (1) and (2), the Protection Commission shall take into consideration the following matters so as to ensure proportionality commensurate with the violation and effectiveness in preventing infringement: |
| Art. 64-2(5) subpara. 1제64조의2제5항제1호differs from Act No. 20897 | 1. 위반행위의 내용 및 정도 | 1. The details and degree of the violation; |
| Art. 64-2(5) subpara. 2제64조의2제5항제2호differs from Act No. 20897 | 2. 위반행위의 기간 및 횟수 | 2. The period and frequency of the violation; |
| Art. 64-2(5) subpara. 3제64조의2제5항제3호differs from Act No. 20897 | 3. 위반행위로 인하여 취득한 이익의 규모 | 3. The scale of the benefit obtained from the violation; |
| Art. 64-2(5) subpara. 4제64조의2제5항제4호differs from Act No. 20897 | 4. 암호화 등 안전성 확보 조치 이행 노력 | 4. Efforts to implement measures for ensuring safety, such as encryption; |
| Art. 64-2(5) subpara. 5제64조의2제5항제5호differs from Act No. 20897 | 5. 개인정보가 유출등이 된 경우 위반행위와의 관련성 및 유출등의 규모 | 5. Where divulgence, etc. of personal information has occurred, its relevance to the violation and the scale of the divulgence, etc.; |
| Art. 64-2(5) subpara. 6제64조의2제5항제6호differs from Act No. 20897 | 6. 위반행위로 인한 피해의 회복 및 피해 확산 방지 조치의 이행 여부 | 6. Whether measures to recover from damage caused by the violation and to prevent the spread of damage have been implemented; |
| Art. 64-2(5) subpara. 7제64조의2제5항제7호differs from Act No. 20897 | 7. 개인정보처리자의 업무 형태 및 규모 | 7. The type and scale of business of the personal information controller; |
| Art. 64-2(5) subpara. 8제64조의2제5항제8호differs from Act No. 20897 | 8. 개인정보처리자가 처리하는 개인정보의 유형과 정보주체에게 미치는 영향 | 8. The types of personal information processed by the personal information controller and the impact on data subjects; |
| Art. 64-2(5) subpara. 9제64조의2제5항제9호differs from Act No. 20897 | 9. 위반행위로 인한 정보주체의 피해 규모 | 9. The scale of damage to data subjects caused by the violation; |
| Art. 64-2(5) subpara. 10제64조의2제5항제10호differs from Act No. 20897 | 10. 개인정보 보호 인증, 자율적인 보호 활동 등 개인정보 보호를 위한 노력 | 10. Efforts to protect personal information, such as personal information protection certification and voluntary protection activities; |
| Art. 64-2(5) subpara. 11제64조의2제5항제11호differs from Act No. 20897 | 11. 보호위원회와의 협조 등 위반행위를 시정하기 위한 조치 여부 | 11. Whether measures have been taken to correct the violation, such as cooperation with the Protection Commission. |
| Art. 64-2(6)제64조의2제6항differs from Act No. 20897 | ⑥ 보호위원회는 개인정보 보호를 위하여 예산ㆍ인력ㆍ설비ㆍ장치 등을 투자하고 운영하는 등 대통령령으로 정하는 사유가 있는 경우에는 제1항 및 제2항에 따른 과징금을 감경한다. 다만, 개인정보처리자의 고의 또는 중대한 과실로 위반행위를 한 경우는 제외한다. <신설 2026.3.10> | (6) Where there are grounds prescribed by Presidential Decree, such as investing in and operating budgets, personnel, facilities, equipment, etc. for the protection of personal information, the Protection Commission shall reduce the penalty surcharge under paragraphs (1) and (2): Provided, That this shall not apply where the violation was committed by the intent or gross negligence of the personal information controller. |
| Art. 64-2(7)제64조의2제7항differs from Act No. 20897 | ⑦ 보호위원회는 다음 각 호의 어느 하나에 해당하는 사유가 있는 경우에는 과징금을 부과하지 아니할 수 있다. <개정 2026.3.10> | (7) The Protection Commission may refrain from imposing a penalty surcharge where any of the following grounds exists: |
| Art. 64-2(7) subpara. 1제64조의2제7항제1호differs from Act No. 20897 | 1. 지급불능ㆍ지급정지 또는 자본잠식 등의 사유로 객관적으로 과징금을 낼 능력이 없다고 인정되는 경우 | 1. Where the person is deemed objectively incapable of paying the penalty surcharge due to insolvency, suspension of payments, capital impairment, or other grounds; |
| Art. 64-2(7) subpara. 2제64조의2제7항제2호differs from Act No. 20897 | 2. 본인의 행위가 위법하지 아니한 것으로 잘못 인식할 만한 정당한 사유가 있는 경우 | 2. Where there are justifiable grounds for mistakenly believing that one's own act was not unlawful; |
| Art. 64-2(7) subpara. 3제64조의2제7항제3호differs from Act No. 20897 | 3. 위반행위의 내용ㆍ정도가 경미하거나 산정된 과징금이 소액인 경우 | 3. Where the details and degree of the violation are minor or the calculated penalty surcharge is a small amount; |
| Art. 64-2(7) subpara. 4제64조의2제7항제4호differs from Act No. 20897 | 4. 그 밖에 정보주체에게 피해가 발생하지 아니하였거나 경미한 경우로서 대통령령으로 정하는 사유가 있는 경우 | 4. Other cases where no damage has been caused to data subjects or the damage is minor, and there are grounds prescribed by Presidential Decree. |
| Art. 64-2(8)제64조의2제8항differs from Act No. 20897 | ⑧ 제1항 및 제2항에 따른 과징금은 제3항부터 제7항까지를 고려하여 산정하되, 구체적인 산정기준과 산정절차는 대통령령으로 정한다. <개정 2026.3.10> | (8) A penalty surcharge under paragraphs (1) and (2) shall be calculated in consideration of paragraphs (3) through (7), and the specific calculation criteria and procedures shall be prescribed by Presidential Decree. |
| Art. 64-2(9)제64조의2제9항differs from Act No. 20897 | ⑨ 보호위원회는 제1항 및 제2항에 따른 과징금을 내야 할 자가 납부기한까지 이를 내지 아니하면 납부기한의 다음 날부터 내지 아니한 과징금의 연 100분의 6에 해당하는 가산금을 징수한다. 이 경우 가산금을 징수하는 기간은 60개월을 초과하지 못한다. <개정 2026.3.10> | (9) Where a person liable to pay a penalty surcharge under paragraphs (1) and (2) fails to pay it by the payment deadline, the Protection Commission shall collect an additional charge equivalent to 6/100 per annum of the unpaid penalty surcharge from the day following the payment deadline. In such cases, the period for which the additional charge is collected shall not exceed 60 months. |
| Art. 64-2(10)제64조의2제10항differs from Act No. 20897 | ⑩ 보호위원회는 제1항 및 제2항에 따른 과징금을 내야 할 자가 납부기한까지 내지 아니한 경우에는 기간을 정하여 독촉하고, 독촉으로 지정한 기간 내에 과징금과 제9항에 따른 가산금을 내지 아니하면 국세강제징수의 예에 따라 징수한다. <개정 2026.3.10> | (10) Where a person liable to pay a penalty surcharge under paragraphs (1) and (2) fails to pay it by the payment deadline, the Protection Commission shall demand payment by setting a period, and if the penalty surcharge and the additional charge under paragraph (9) are not paid within the period specified in the demand, the Protection Commission shall collect them in the same manner as the compulsory collection of national taxes. |
| Art. 64-2(11)제64조의2제11항differs from Act No. 20897 | ⑪ 보호위원회는 법원의 판결 등의 사유로 제1항 및 제2항에 따라 부과된 과징금을 환급하는 경우에는 과징금을 낸 날부터 환급하는 날까지의 기간에 대하여 금융회사 등의 예금이자율 등을 고려하여 대통령령으로 정하는 이자율을 적용하여 계산한 환급가산금을 지급하여야 한다. <개정 2026.3.10> | (11) Where the Protection Commission refunds a penalty surcharge imposed under paragraphs (1) and (2) on grounds such as a court judgment, it shall pay an additional refund amount calculated by applying the interest rate prescribed by Presidential Decree, in consideration of the deposit interest rates of financial companies, etc., for the period from the date on which the penalty surcharge was paid to the date of refund. |
| Art. 64-2(12)제64조의2제12항differs from Act No. 20897 | ⑫ 보호위원회는 제11항에도 불구하고 법원의 판결에 따라 과징금 부과처분이 취소되어 그 판결이유에 따라 새로운 과징금을 부과하는 경우에는 당초 납부한 과징금에서 새로 부과하기로 결정한 과징금을 공제한 나머지 금액에 대해서만 환급가산금을 계산하여 지급한다. <개정 2026.3.10> | (12) Notwithstanding paragraph (11), where a disposition imposing a penalty surcharge is revoked by a court judgment and a new penalty surcharge is imposed in accordance with the reasoning of the judgment, the Protection Commission shall calculate and pay the additional refund amount only on the remaining amount after deducting the newly determined penalty surcharge from the penalty surcharge initially paid. |
Article 75 (Administrative Fines) 제75조(과태료) [전문개정 2023.3.14]
| Provision | Korean | English (unofficial) |
|---|---|---|
| Art. 75(1)제75조제1항 | ① 다음 각 호의 어느 하나에 해당하는 자에게는 5천만원 이하의 과태료를 부과한다. | (1) An administrative fine not exceeding 50 million won shall be imposed on any of the following persons: |
| Art. 75(1) subpara. 1제75조제1항제1호 | 1. 제25조제2항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 고정형 영상정보처리기기를 설치ㆍ운영한 자 | 1. A person who installs and operates a fixed visual data processing device in violation of Article 25 (2) (including cases where it applies mutatis mutandis pursuant to Article 26 (8)); |
| Art. 75(1) subpara. 2제75조제1항제2호 | 2. 제25조의2제2항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 이동형 영상정보처리기기로 사람 또는 그 사람과 관련된 사물의 영상을 촬영한 자 | 2. A person who records images of a person or of objects related to that person with a mobile visual data processing device in violation of Article 25-2 (2) (including cases where it applies mutatis mutandis pursuant to Article 26 (8)). |
| Art. 75(2)제75조제2항 | ② 다음 각 호의 어느 하나에 해당하는 자에게는 3천만원 이하의 과태료를 부과한다. <개정 2026.3.10> | (2) An administrative fine not exceeding 30 million won shall be imposed on any of the following persons: |
| Art. 75(2) subpara. 1제75조제2항제1호 | 1. 제16조제3항ㆍ제22조제5항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 재화 또는 서비스의 제공을 거부한 자 | 1. A person who refuses to provide goods or services in violation of Article 16 (3) or 22 (5) (including cases where it applies mutatis mutandis pursuant to Article 26 (8)); |
| Art. 75(2) subpara. 2제75조제2항제2호 | 2. 제20조제1항ㆍ제2항을 위반하여 정보주체에게 같은 조 제1항 각 호의 사실을 알리지 아니한 자 | 2. A person who fails to notify a data subject of the facts set forth in the subparagraphs of paragraph (1) of the same Article, in violation of Article 20 (1) or (2); |
| Art. 75(2) subpara. 3제75조제2항제3호 | 3. 제20조의2제1항을 위반하여 개인정보의 이용ㆍ제공 내역이나 이용ㆍ제공 내역을 확인할 수 있는 정보시스템에 접속하는 방법을 통지하지 아니한 자 | 3. A person who fails to notify the details of use and provision of personal information, or the method of accessing the information system through which the details of use and provision can be checked, in violation of Article 20-2 (1); |
| Art. 75(2) subpara. 4제75조제2항제4호 | 4. 제21조제1항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 개인정보의 파기 등 필요한 조치를 하지 아니한 자 | 4. A person who fails to take necessary measures, such as destruction of personal information, in violation of Article 21 (1) (including cases where it applies mutatis mutandis pursuant to Article 26 (8)); |
| Art. 75(2) subpara. 5제75조제2항제5호 | 5. 제23조제2항ㆍ제24조제3항ㆍ제25조제6항(제25조의2제4항에 따라 준용되는 경우를 포함한다)ㆍ제28조의4제1항ㆍ제29조(제26조제8항에 따라 준용되는 경우를 포함한다)를 위반하여 안전성 확보에 필요한 조치를 하지 아니한 자 | 5. A person who fails to take the measures necessary for ensuring safety, in violation of Article 23 (2), 24 (3), 25 (6) (including cases where it applies mutatis mutandis pursuant to Article 25-2 (4)), 28-4 (1), or 29 (including cases where it applies mutatis mutandis pursuant to Article 26 (8)); |
| Art. 75(2) subpara. 6제75조제2항제6호 | 6. 제23조제3항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 민감정보의 공개 가능성 및 비공개를 선택하는 방법을 알리지 아니한 자 | 6. A person who fails to inform of the possibility that sensitive information will be made public and of the method for choosing to keep it private, in violation of Article 23 (3) (including cases where it applies mutatis mutandis pursuant to Article 26 (8)); |
| Art. 75(2) subpara. 7제75조제2항제7호 | 7. 제24조의2제1항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 주민등록번호를 처리한 자 | 7. A person who processes resident registration numbers in violation of Article 24-2 (1) (including cases where it applies mutatis mutandis pursuant to Article 26 (8)); |
| Art. 75(2) subpara. 8제75조제2항제8호 | 8. 제24조의2제2항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 암호화 조치를 하지 아니한 자 | 8. A person who fails to take encryption measures in violation of Article 24-2 (2) (including cases where it applies mutatis mutandis pursuant to Article 26 (8)); |
| Art. 75(2) subpara. 9제75조제2항제9호 | 9. 제24조의2제3항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 정보주체가 주민등록번호를 사용하지 아니할 수 있는 방법을 제공하지 아니한 자 | 9. A person who fails to provide a method by which data subjects need not use resident registration numbers, in violation of Article 24-2 (3) (including cases where it applies mutatis mutandis pursuant to Article 26 (8)); |
| Art. 75(2) subpara. 10제75조제2항제10호 | 10. 제25조제1항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 고정형 영상정보처리기기를 설치ㆍ운영한 자 | 10. A person who installs and operates a fixed visual data processing device in violation of Article 25 (1) (including cases where it applies mutatis mutandis pursuant to Article 26 (8)); |
| Art. 75(2) subpara. 11제75조제2항제11호 | 11. 제25조의2제1항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 사람 또는 그 사람과 관련된 사물의 영상을 촬영한 자 | 11. A person who records images of a person or of objects related to that person in violation of Article 25-2 (1) (including cases where it applies mutatis mutandis pursuant to Article 26 (8)); |
| Art. 75(2) subpara. 12제75조제2항제12호 | 12. 제26조제3항을 위반하여 정보주체에게 알려야 할 사항을 알리지 아니한 자 | 12. A person who fails to notify data subjects of the matters to be notified, in violation of Article 26 (3); |
| Art. 75(2) subpara. 13제75조제2항제13호 | 13. 제28조의5제2항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 개인을 알아볼 수 있는 정보가 생성되었음에도 이용을 중지하지 아니하거나 이를 회수ㆍ파기하지 아니한 자 | 13. A person who, although information from which an individual can be identified has been generated, fails to cease using it or fails to retrieve and destroy it, in violation of Article 28-5 (2) (including cases where it applies mutatis mutandis pursuant to Article 26 (8)); |
| Art. 75(2) subpara. 14제75조제2항제14호 | 14. 제28조의8제4항(제26조제8항 및 제28조의11에 따라 준용되는 경우를 포함한다)을 위반하여 보호조치를 하지 아니한 자 | 14. A person who fails to take protective measures in violation of Article 28-8 (4) (including cases where it applies mutatis mutandis pursuant to Articles 26 (8) and 28-11); |
| Art. 75(2) subpara. 14-2제75조제2항제14의2호differs from Act No. 20897 | 14의2. 제31조제1항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 개인정보 보호책임자를 지정하지 아니하거나 제31조제10항(제26조제8항에 따라 준용되는 경우를 포함한다)에 따른 개인정보 보호책임자의 자격요건을 갖추지 아니한 자를 개인정보 보호책임자로 지정한 자 | 14-2. A person who fails to designate a privacy officer in violation of Article 31 (1) (including cases where it applies mutatis mutandis pursuant to Article 26 (8)), or who designates as a privacy officer a person who does not meet the qualification requirements for a privacy officer under Article 31 (10) (including cases where it applies mutatis mutandis pursuant to Article 26 (8)); |
| Art. 75(2) subpara. 14-3제75조제2항제14의3호differs from Act No. 20897 | 14의3. 제31조제3항제1호(제26조제8항에 따라 준용되는 경우를 포함한다)를 위반하여 개인정보 보호책임자를 지정하거나 그 지정을 변경 또는 해제할 때에 이사회의 의결을 거치지 아니한 자 | 14-3. A person who fails to obtain a resolution of the board of directors when designating a privacy officer or changing or revoking such designation, in violation of Article 31 (3) 1 (including cases where it applies mutatis mutandis pursuant to Article 26 (8)); |
| Art. 75(2) subpara. 14-4제75조제2항제14의4호differs from Act No. 20897 | 14의4. 제31조제3항제2호(제26조제8항에 따라 준용되는 경우를 포함한다)를 위반하여 개인정보 보호책임자의 지정ㆍ변경 또는 해제에 관한 사항을 신고하지 아니한 자 | 14-4. A person who fails to report matters concerning the designation, change, or revocation of a privacy officer, in violation of Article 31 (3) 2 (including cases where it applies mutatis mutandis pursuant to Article 26 (8)); |
| Art. 75(2) subpara. 15제75조제2항제15호 | 15. 제32조의2제6항을 위반하여 인증을 받지 아니하였음에도 거짓으로 인증의 내용을 표시하거나 홍보한 자 | 15. A person who falsely indicates or promotes the details of certification despite not having obtained certification, in violation of Article 32-2 (6); |
| Art. 75(2) subpara. 16제75조제2항제16호 | 16. 제33조제1항을 위반하여 영향평가를 하지 아니하거나 그 결과를 보호위원회에 제출하지 아니한 자 | 16. A person who fails to conduct an impact assessment or to submit its results to the Protection Commission, in violation of Article 33 (1); |
| Art. 75(2) subpara. 17제75조제2항제17호differs from Act No. 20897 | 17. 제34조제1항 또는 같은 조 제2항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 정보주체에게 제34조제1항 각 호의 사항 또는 같은 조 제2항의 피해를 최소화하기 위한 정보 등의 사항을 알리지 아니한 자 | 17. A person who fails to notify data subjects of the matters set forth in the subparagraphs of Article 34 (1) or of matters such as the information for minimizing damage under paragraph (2) of the same Article, in violation of Article 34 (1) or paragraph (2) of the same Article (including cases where it applies mutatis mutandis pursuant to Article 26 (8)); |
| Art. 75(2) subpara. 18제75조제2항제18호differs from Act No. 20897 | 18. 제34조제4항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 보호위원회 또는 대통령령으로 정하는 전문기관에 신고하지 아니한 자 | 18. A person who fails to report to the Protection Commission or a specialized institution prescribed by Presidential Decree, in violation of Article 34 (4) (including cases where it applies mutatis mutandis pursuant to Article 26 (8)); |
| Art. 75(2) subpara. 19제75조제2항제19호 | 19. 제35조제3항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 열람을 제한하거나 거절한 자 | 19. A person who restricts or refuses access in violation of Article 35 (3) (including cases where it applies mutatis mutandis pursuant to Article 26 (8)); |
| Art. 75(2) subpara. 20제75조제2항제20호 | 20. 제35조의3제1항에 따른 지정을 받지 아니하고 같은 항 제2호의 업무를 수행한 자 | 20. A person who performs the work under subparagraph 2 of the same paragraph without being designated under Article 35-3 (1); |
| Art. 75(2) subpara. 21제75조제2항제21호 | 21. 제35조의3제3항을 위반한 자 | 21. A person who violates Article 35-3 (3); |
| Art. 75(2) subpara. 22제75조제2항제22호 | 22. 제36조제2항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 정정ㆍ삭제 등 필요한 조치를 하지 아니한 자 | 22. A person who fails to take necessary measures, such as correction or deletion, in violation of Article 36 (2) (including cases where it applies mutatis mutandis pursuant to Article 26 (8)); |
| Art. 75(2) subpara. 23제75조제2항제23호 | 23. 제37조제3항 또는 제5항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 파기 등 필요한 조치를 하지 아니한 자 | 23. A person who fails to take necessary measures, such as destruction, in violation of Article 37 (3) or (5) (including cases where it applies mutatis mutandis pursuant to Article 26 (8)); |
| Art. 75(2) subpara. 24제75조제2항제24호 | 24. 제37조의2제3항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 정당한 사유 없이 정보주체의 요구에 따르지 아니한 자 | 24. A person who fails to comply with a data subject's request without justifiable grounds, in violation of Article 37-2 (3) (including cases where it applies mutatis mutandis pursuant to Article 26 (8)); |
| Art. 75(2) subpara. 25제75조제2항제25호 | 25. 제63조제1항(제26조제8항에 따라 준용되는 경우를 포함한다)에 따른 관계 물품ㆍ서류 등 자료를 제출하지 아니하거나 거짓으로 제출한 자 | 25. A person who fails to submit relevant materials, such as goods and documents, under Article 63 (1) (including cases where it applies mutatis mutandis pursuant to Article 26 (8)), or submits false materials; |
| Art. 75(2) subpara. 26제75조제2항제26호 | 26. 제63조제2항(제26조제8항에 따라 준용되는 경우를 포함한다)에 따른 출입ㆍ검사를 거부ㆍ방해 또는 기피한 자 | 26. A person who refuses, obstructs, or evades access and inspection under Article 63 (2) (including cases where it applies mutatis mutandis pursuant to Article 26 (8)); |
| Art. 75(2) subpara. 27제75조제2항제27호 | 27. 제64조제1항에 따른 시정조치 명령에 따르지 아니한 자 | 27. A person who fails to comply with an order to take corrective measures under Article 64 (1). |
| Art. 75(3)제75조제3항 | ③ 다음 각 호의 어느 하나에 해당하는 자에게는 2천만원 이하의 과태료를 부과한다. <개정 2025.4.1> | (3) An administrative fine not exceeding 20 million won shall be imposed on any of the following persons: |
| Art. 75(3) subpara. 1제75조제3항제1호 | 1. 제26조제6항을 위반하여 위탁자의 동의를 받지 아니하고 제3자에게 다시 위탁한 자 | 1. A person who re-entrusts work to a third party without obtaining the consent of the entrustor, in violation of Article 26 (6); |
| Art. 75(3) subpara. 2제75조제3항제2호 | 2. 제31조의2제1항을 위반하여 국내대리인을 지정하지 아니한 자 | 2. A person who fails to designate a domestic agent in violation of Article 31-2 (1); |
| Art. 75(3) subpara. 3제75조제3항제3호 | 3. 제31조의2제2항을 위반하여 국내대리인을 지정한 자 | 3. A person who designates a domestic agent in violation of Article 31-2 (2); |
| Art. 75(3) subpara. 4제75조제3항제4호 | 4. 제31조의2제3항을 위반하여 국내대리인을 관리ㆍ감독하지 아니한 자 | 4. A person who fails to manage and supervise a domestic agent in violation of Article 31-2 (3). |
| Art. 75(4)제75조제4항 | ④ 다음 각 호의 어느 하나에 해당하는 자에게는 1천만원 이하의 과태료를 부과한다. <개정 2025.4.1> | (4) An administrative fine not exceeding 10 million won shall be imposed on any of the following persons: |
| Art. 75(4) subpara. 1제75조제4항제1호 | 1. 제11조의2제2항을 위반하여 정당한 사유 없이 자료를 제출하지 아니하거나 거짓으로 제출한 자 | 1. A person who fails to submit materials without justifiable grounds, or submits false materials, in violation of Article 11-2 (2); |
| Art. 75(4) subpara. 2제75조제4항제2호 | 2. 제21조제3항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 개인정보를 분리하여 저장ㆍ관리하지 아니한 자 | 2. A person who fails to separately store and manage personal information in violation of Article 21 (3) (including cases where it applies mutatis mutandis pursuant to Article 26 (8)); |
| Art. 75(4) subpara. 3제75조제4항제3호 | 3. 제22조제1항부터 제3항까지(제26조제8항에 따라 준용되는 경우를 포함한다)를 위반하여 동의를 받은 자 | 3. A person who obtains consent in violation of Articles 22 (1) through (3) (including cases where they apply mutatis mutandis pursuant to Article 26 (8)); |
| Art. 75(4) subpara. 4제75조제4항제4호 | 4. 제26조제1항을 위반하여 업무 위탁 시 같은 항 각 호의 내용이 포함된 문서로 하지 아니한 자 | 4. A person who, in violation of Article 26 (1), fails to use a document containing the matters set forth in the subparagraphs of the same paragraph when entrusting work; |
| Art. 75(4) subpara. 5제75조제4항제5호 | 5. 제26조제2항을 위반하여 위탁하는 업무의 내용과 수탁자를 공개하지 아니한 자 | 5. A person who fails to disclose the details of the entrusted work and the entrustee in violation of Article 26 (2); |
| Art. 75(4) subpara. 6제75조제4항제6호 | 6. 제27조제1항ㆍ제2항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 정보주체에게 개인정보의 이전 사실을 알리지 아니한 자 | 6. A person who fails to notify data subjects of the fact of transfer of personal information in violation of Article 27 (1) or (2) (including cases where it applies mutatis mutandis pursuant to Article 26 (8)); |
| Art. 75(4) subpara. 7제75조제4항제7호 | 7. 제28조의4제3항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 관련 기록을 작성하여 보관하지 아니한 자 | 7. A person who fails to prepare and keep relevant records in violation of Article 28-4 (3) (including cases where it applies mutatis mutandis pursuant to Article 26 (8)); |
| Art. 75(4) subpara. 8제75조제4항제8호 | 8. 제30조제1항 또는 제2항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 개인정보 처리방침을 정하지 아니하거나 이를 공개하지 아니한 자 | 8. A person who fails to establish or disclose a privacy policy in violation of Article 30 (1) or (2) (including cases where it applies mutatis mutandis pursuant to Article 26 (8)); |
| Art. 75(4) subpara. 9제75조제4항제9호differs from Act No. 20897 | 9. 삭제<2026.3.10> | 9. Deleted. |
| Art. 75(4) subpara. 9-2제75조제4항제9의2호 | 9의2. 제31조의2제4항을 위반하여 국내대리인의 성명ㆍ주소ㆍ전화번호 및 전자우편 주소를 개인정보 처리방침에 포함하지 아니한 자 | 9-2. A person who fails to include the name, address, telephone number, and e-mail address of the domestic agent in the privacy policy, in violation of Article 31-2 (4); |
| Art. 75(4) subpara. 10제75조제4항제10호 | 10. 제35조제3항ㆍ제4항, 제36조제2항ㆍ제4항 또는 제37조제4항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 정보주체에게 알려야 할 사항을 알리지 아니한 자 | 10. A person who fails to notify data subjects of the matters to be notified, in violation of Article 35 (3) or (4), 36 (2) or (4), or 37 (4) (including cases where they apply mutatis mutandis pursuant to Article 26 (8)); |
| Art. 75(4) subpara. 11제75조제4항제11호 | 11. 제45조제1항에 따른 자료를 정당한 사유 없이 제출하지 아니하거나 거짓으로 제출한 자 | 11. A person who fails to submit materials under Article 45 (1) without justifiable grounds, or submits false materials; |
| Art. 75(4) subpara. 12제75조제4항제12호 | 12. 제45조제2항에 따른 출입ㆍ조사ㆍ열람을 정당한 사유 없이 거부ㆍ방해 또는 기피한 자 | 12. A person who refuses, obstructs, or evades access, investigation, or inspection under Article 45 (2) without justifiable grounds. |
| Art. 75(5)제75조제5항 | ⑤ 제1항부터 제4항까지에 따른 과태료는 대통령령으로 정하는 바에 따라 보호위원회가 부과ㆍ징수한다. 이 경우 보호위원회는 위반행위의 정도ㆍ동기ㆍ결과, 개인정보처리자의 규모 등을 고려하여 과태료를 감경하거나 면제할 수 있다. | (5) The administrative fines under paragraphs (1) through (4) shall be imposed and collected by the Protection Commission, as prescribed by Presidential Decree. In such cases, the Protection Commission may reduce or exempt an administrative fine in consideration of the degree, motive, and consequences of the violation, the size of the personal information controller, etc. |
Act No. 21910 — AI development exception (effective 9 March 2027)
Art. 2Art. 7-9Art. 28-12Art. 28-13Art. 28-14Art. 28-15Art. 37-2
Article 2 (Definitions)In force from 9 March 2027 제2조(정의)
| Provision | Korean | English (unofficial) |
|---|---|---|
| Art. 2제2조 | 이 법에서 사용하는 용어의 뜻은 다음과 같다. <개정 2014.3.24, 2020.2.4, 2023.3.14, 2026.9.8> | The terms used in this Act have the following meanings: |
| Art. 2 subpara. 1제2조제1호 | 1. "개인정보"란 살아 있는 개인에 관한 정보로서 다음 각 목의 어느 하나에 해당하는 정보를 말한다. | 1. The term "personal information" means information relating to a living individual that falls under any of the following items: |
| Art. 2 subpara. 1(a)제2조제1호가목 | 가. 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보 | (a) Information by which an individual can be identified through name, resident registration number, video, or the like; |
| Art. 2 subpara. 1(b)제2조제1호나목 | 나. 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보. 이 경우 쉽게 결합할 수 있는지 여부는 다른 정보의 입수 가능성 등 개인을 알아보는 데 소요되는 시간, 비용, 기술 등을 합리적으로 고려하여야 한다. | (b) Information which, although it cannot by itself identify a specific individual, can identify an individual when readily combined with other information. In such cases, whether the information can be readily combined shall be determined by reasonably considering the time, cost, technology, etc. required to identify an individual, including the likelihood of obtaining the other information; |
| Art. 2 subpara. 1(c)제2조제1호다목 | 다. 가목 또는 나목을 제1호의2에 따라 가명처리함으로써 원래의 상태로 복원하기 위한 추가 정보의 사용ㆍ결합 없이는 특정 개인을 알아볼 수 없는 정보(이하 "가명정보"라 한다) | (c) Information under item (a) or (b) which, as a result of pseudonymization under subparagraph 1-2, cannot identify a specific individual without the use of, or combination with, additional information needed to restore it to its original state (hereinafter referred to as "pseudonymized information"); |
| Art. 2 subpara. 1-2제2조제1의2호 | 1의2. "가명처리"란 개인정보의 일부를 삭제하거나 일부 또는 전부를 대체하는 등의 방법으로 추가 정보가 없이는 특정 개인을 알아볼 수 없도록 처리하는 것을 말한다. | 1-2. The term "pseudonymization" means processing personal information, by means such as deleting part of it or replacing part or all of it, so that a specific individual cannot be identified without additional information; |
| Art. 2 subpara. 2제2조제2호 | 2. "처리"란 개인정보의 수집, 생성, 연계, 연동, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정(訂正), 복구, 이용, 제공, 공개, 파기(破棄), 그 밖에 이와 유사한 행위를 말한다. | 2. The term "processing" means the collection, generation, linkage, interconnection, recording, storage, retention, alteration, editing, retrieval, output, correction, recovery, use, provision, disclosure, and destruction of personal information, and any other act similar thereto; |
| Art. 2 subpara. 3제2조제3호 | 3. "정보주체"란 처리되는 정보에 의하여 알아볼 수 있는 사람으로서 그 정보의 주체가 되는 사람을 말한다. | 3. The term "data subject" means a person who can be identified by the information being processed and who is the subject of that information; |
| Art. 2 subpara. 4제2조제4호 | 4. "개인정보파일"이란 개인정보를 쉽게 검색할 수 있도록 일정한 규칙에 따라 체계적으로 배열하거나 구성한 개인정보의 집합물(集合物)을 말한다. | 4. The term "personal information file" means a set of personal information arranged or organized systematically according to certain rules so that personal information can be searched easily; |
| Art. 2 subpara. 5제2조제5호 | 5. "개인정보처리자"란 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등을 말한다. | 5. The term "personal information controller" means a public institution, corporation, organization, individual, etc. that processes personal information, either on its own or through another person, in order to operate a personal information file for business purposes; |
| Art. 2 subpara. 6제2조제6호 | 6. "공공기관"이란 다음 각 목의 기관을 말한다. | 6. The term "public institution" means any of the following institutions: |
| Art. 2 subpara. 6(a)제2조제6호가목 | 가. 국회, 법원, 헌법재판소, 중앙선거관리위원회의 행정사무를 처리하는 기관, 중앙행정기관(대통령 소속 기관과 국무총리 소속 기관을 포함한다) 및 그 소속 기관, 지방자치단체 | (a) Institutions that handle the administrative affairs of the National Assembly, the courts, the Constitutional Court, and the National Election Commission; central administrative agencies (including agencies under the President and agencies under the Prime Minister) and agencies affiliated therewith; and local governments; |
| Art. 2 subpara. 6(b)제2조제6호나목 | 나. 그 밖의 국가기관 및 공공단체 중 대통령령으로 정하는 기관 | (b) Other state agencies and public organizations prescribed by Presidential Decree; |
| Art. 2 subpara. 7제2조제7호 | 7. "고정형 영상정보처리기기"란 일정한 공간에 설치되어 지속적 또는 주기적으로 사람 또는 사물의 영상 등을 촬영하거나 이를 유ㆍ무선망을 통하여 전송하는 장치로서 대통령령으로 정하는 장치를 말한다. | 7. The term "fixed visual data processing device" means a device prescribed by Presidential Decree that is installed in a certain space and continuously or periodically captures video, etc. of persons or objects, or transmits such video, etc. through a wired or wireless network; |
| Art. 2 subpara. 7-2제2조제7의2호 | 7의2. "이동형 영상정보처리기기"란 사람이 신체에 착용 또는 휴대하거나 이동 가능한 물체에 부착 또는 거치(据置)하여 사람 또는 사물의 영상 등을 촬영하거나 이를 유ㆍ무선망을 통하여 전송하는 장치로서 대통령령으로 정하는 장치를 말한다. | 7-2. The term "mobile visual data processing device" means a device prescribed by Presidential Decree that a person wears on or carries with his or her body, or that is attached to or mounted on a movable object, and that captures video, etc. of persons or objects, or transmits such video, etc. through a wired or wireless network; |
| Art. 2 subpara. 8제2조제8호 | 8. "과학적 연구"란 기술의 개발과 실증, 기초연구, 응용연구 및 민간 투자 연구 등 과학적 방법을 적용하는 연구를 말한다. | 8. The term "scientific research" means research to which scientific methods are applied, such as technology development and demonstration, basic research, applied research, and privately funded research; |
| Art. 2 subpara. 9제2조제9호changed by Act No. 21910 | 9. "인공지능기술"이란 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」 제2조제3호에 따른 인공지능기술을 말한다. | 9. The term "artificial intelligence technology" means artificial intelligence technology as defined in subparagraph 3 of Article 2 of the Framework Act on the Development of Artificial Intelligence and the Creation of a Foundation for Trust |
Article 7-9 (Matters Subject to Deliberation and Resolution by the Protection Commission)In force from 9 March 2027 제7조의9(보호위원회의 심의ㆍ의결 사항 등) [본조신설 2020.2.4]
| Provision | Korean | English (unofficial) |
|---|---|---|
| Art. 7-9(1)제7조의9제1항 | ① 보호위원회는 다음 각 호의 사항을 심의ㆍ의결한다. <개정 2023.3.14, 2026.9.8> | (1) The Protection Commission shall deliberate on and resolve the following matters: |
| Art. 7-9(1) subpara. 1제7조의9제1항제1호 | 1. 제8조의2에 따른 개인정보 침해요인 평가에 관한 사항 | 1. Matters concerning the assessment of factors infringing on personal information under Article 8-2; |
| Art. 7-9(1) subpara. 2제7조의9제1항제2호 | 2. 제9조에 따른 기본계획 및 제10조에 따른 시행계획에 관한 사항 | 2. Matters concerning the master plan under Article 9 and the implementation plans under Article 10; |
| Art. 7-9(1) subpara. 3제7조의9제1항제3호 | 3. 개인정보 보호와 관련된 정책, 제도 및 법령의 개선에 관한 사항 | 3. Matters concerning the improvement of policies, systems, and statutes related to the protection of personal information; |
| Art. 7-9(1) subpara. 4제7조의9제1항제4호 | 4. 개인정보의 처리에 관한 공공기관 간의 의견조정에 관한 사항 | 4. Matters concerning the coordination of opinions among public institutions regarding the processing of personal information; |
| Art. 7-9(1) subpara. 5제7조의9제1항제5호 | 5. 개인정보 보호에 관한 법령의 해석ㆍ운용에 관한 사항 | 5. Matters concerning the interpretation and application of statutes on the protection of personal information; |
| Art. 7-9(1) subpara. 6제7조의9제1항제6호 | 6. 제18조제2항제5호에 따른 개인정보의 이용ㆍ제공에 관한 사항 | 6. Matters concerning the use and provision of personal information under Article 18 (2) 5; |
| Art. 7-9(1) subpara. 6-2제7조의9제1항제6의2호 | 6의2. 제28조의9에 따른 개인정보의 국외 이전 중지 명령에 관한 사항 | 6-2. Matters concerning orders to suspend the transfer of personal information abroad under Article 28-9; |
| Art. 7-9(1) subpara. 6-3제7조의9제1항제6의3호changed by Act No. 21910 | 6의3. 제28조의12제1항 및 제2항에 따른 인공지능기술 개발을 위한 개인정보의 이용에 관한 사항 | 6-3. Matters concerning the use of personal information for the development of artificial intelligence technology under Article 28-12 (1) and (2); |
| Art. 7-9(1) subpara. 6-4제7조의9제1항제6의4호changed by Act No. 21910 | 6의4. 제28조의14제1항에 따른 인공지능기술 개발을 위한 개인정보 처리 제한에 관한 사항 | 6-4. Matters concerning the restriction of the processing of personal information for the development of artificial intelligence technology under Article 28-14 (1); |
| Art. 7-9(1) subpara. 7제7조의9제1항제7호 | 7. 제33조제4항에 따른 영향평가 결과에 관한 사항 | 7. Matters concerning the results of impact assessments under Article 33 (4); |
| Art. 7-9(1) subpara. 8제7조의9제1항제8호 | 8. 제64조의2에 따른 과징금 부과에 관한 사항 | 8. Matters concerning the imposition of penalty surcharges under Article 64-2; |
| Art. 7-9(1) subpara. 9제7조의9제1항제9호 | 9. 제61조에 따른 의견제시 및 개선권고에 관한 사항 | 9. Matters concerning the presentation of opinions and improvement recommendations under Article 61; |
| Art. 7-9(1) subpara. 9-2제7조의9제1항제9의2호 | 9의2. 제63조의2제2항에 따른 시정권고에 관한 사항 | 9-2. Matters concerning corrective recommendations under Article 63-2 (2); |
| Art. 7-9(1) subpara. 10제7조의9제1항제10호 | 10. 제64조에 따른 시정조치 등에 관한 사항 | 10. Matters concerning corrective measures, etc. under Article 64; |
| Art. 7-9(1) subpara. 11제7조의9제1항제11호 | 11. 제65조에 따른 고발 및 징계권고에 관한 사항 | 11. Matters concerning criminal complaints and recommendations for disciplinary action under Article 65; |
| Art. 7-9(1) subpara. 12제7조의9제1항제12호 | 12. 제66조에 따른 처리 결과의 공표 및 공표명령에 관한 사항 | 12. Matters concerning the public announcement of the results of dispositions and orders for public announcement under Article 66; |
| Art. 7-9(1) subpara. 13제7조의9제1항제13호 | 13. 제75조에 따른 과태료 부과에 관한 사항 | 13. Matters concerning the imposition of administrative fines under Article 75; |
| Art. 7-9(1) subpara. 14제7조의9제1항제14호 | 14. 소관 법령 및 보호위원회 규칙의 제정ㆍ개정 및 폐지에 관한 사항 | 14. Matters concerning the enactment, amendment, and repeal of statutes under its jurisdiction and of rules of the Protection Commission; |
| Art. 7-9(1) subpara. 15제7조의9제1항제15호 | 15. 개인정보 보호와 관련하여 보호위원회의 위원장 또는 위원 2명 이상이 회의에 부치는 사항 | 15. Matters related to the protection of personal information that are referred to a meeting by the Chairperson of the Protection Commission or by two or more of its members; |
| Art. 7-9(1) subpara. 16제7조의9제1항제16호 | 16. 그 밖에 이 법 또는 다른 법령에 따라 보호위원회가 심의ㆍ의결하는 사항 | 16. Other matters on which the Protection Commission deliberates and resolves under this Act or other statutes. |
| Art. 7-9(2)제7조의9제2항 | ② 보호위원회는 제1항 각 호의 사항을 심의ㆍ의결하기 위하여 필요한 경우 다음 각 호의 조치를 할 수 있다. | (2) Where necessary to deliberate on and resolve the matters referred to in the subparagraphs of paragraph (1), the Protection Commission may take the following measures: |
| Art. 7-9(2) subpara. 1제7조의9제2항제1호 | 1. 관계 공무원, 개인정보 보호에 관한 전문 지식이 있는 사람이나 시민사회단체 및 관련 사업자로부터의 의견 청취 | 1. Hearing the opinions of relevant public officials, persons with expert knowledge of personal information protection, civic groups, and relevant business operators; |
| Art. 7-9(2) subpara. 2제7조의9제2항제2호 | 2. 관계 기관 등에 대한 자료제출이나 사실조회 요구 | 2. Requesting relevant institutions, etc. to submit materials or to confirm facts. |
| Art. 7-9(3)제7조의9제3항 | ③ 제2항제2호에 따른 요구를 받은 관계 기관 등은 특별한 사정이 없으면 이에 따라야 한다. | (3) A relevant institution, etc. that receives a request under paragraph (2) 2 shall comply with the request unless there are special circumstances. |
| Art. 7-9(4)제7조의9제4항 | ④ 보호위원회는 제1항제3호의 사항을 심의ㆍ의결한 경우에는 관계 기관에 그 개선을 권고할 수 있다. | (4) Where the Protection Commission has deliberated on and resolved a matter referred to in paragraph (1) 3, it may recommend that the relevant institutions make improvements thereto. |
| Art. 7-9(5)제7조의9제5항 | ⑤ 보호위원회는 제4항에 따른 권고 내용의 이행 여부를 점검할 수 있다. | (5) The Protection Commission may check whether the recommendations made under paragraph (4) have been implemented. |
Article 28-12 (Use of Personal Information for Development of Artificial Intelligence Technology)new articleIn force from 9 March 2027 제28조의12(인공지능기술 개발을 위한 개인정보의 이용) [본조신설 2026.9.8]
| Provision | Korean | English (unofficial) |
|---|---|---|
| Art. 28-12(1)제28조의12제1항changed by Act No. 21910 | ① 개인정보처리자는 인공지능기술 개발(성능 개선을 포함한다. 이하 이 절에서 같다)을 위하여 다음 각 호의 요건을 모두 갖추고 제2항에 따른 보호위원회의 심의ㆍ의결을 거친 경우에는 이 법 또는 다른 법령에 따라 적법하게 수집한 개인정보를 당초 수집한 목적 외로 이용할 수 있다. | (1) For the development of artificial intelligence technology (including the improvement of its performance; hereinafter the same shall apply in this Section), a personal information controller may use personal information lawfully collected under this Act or other statutes beyond the purpose for which it was originally collected, if all of the following requirements are met and the controller has undergone deliberation and resolution by the Protection Commission under paragraph (2): |
| Art. 28-12(1) subpara. 1제28조의12제1항제1호changed by Act No. 21910 | 1. 영상, 음성, 이미지, 부호 및 문자 등 처리되는 정보의 특성, 인공지능기술 개발과의 관련성 등을 고려하였을 때 익명 또는 가명으로 처리하여서는 인공지능기술 개발이 어려울 것 | 1. The development of artificial intelligence technology would be difficult if the information were processed in anonymous or pseudonymous form, considering the characteristics of the information to be processed, such as video, audio, images, codes, and text, its relevance to the development of artificial intelligence technology, and other factors; |
| Art. 28-12(1) subpara. 2제28조의12제1항제2호changed by Act No. 21910 | 2. 개인정보의 안전한 처리를 위한 기술적ㆍ관리적ㆍ물리적 조치가 된 환경에서 처리하거나 클라우드 환경 등 개별 상황에 따른 추가적 안전조치를 이행하는 등 대통령령으로 정하는 기준에 따른 안전장치를 마련하였을 것 | 2. Protective mechanisms meeting the standards prescribed by Presidential Decree have been put in place, such as processing the information in an environment where technical, managerial, and physical measures for the safe processing of personal information have been taken, or implementing additional safety measures tailored to specific circumstances, such as a cloud environment; |
| Art. 28-12(1) subpara. 3제28조의12제1항제3호changed by Act No. 21910 | 3. 인공지능기술 개발의 목적이 다음 각 목의 어느 하나를 포함하고 있는 경우로서 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 현저히 낮을 것 | 3. The purposes of the development of artificial intelligence technology include any of the following, and the risk of unfairly infringing on the interests of data subjects or third parties is significantly low: |
| Art. 28-12(1) subpara. 3(a)제28조의12제1항제3호가목changed by Act No. 21910 | 가. 공공의 이익 증진을 위한 경우 | (a) Where it is intended to promote the public interest; |
| Art. 28-12(1) subpara. 3(b)제28조의12제1항제3호나목changed by Act No. 21910 | 나. 정보주체 또는 제3자의 이익을 보호하거나 사회적 이익 증진을 위한 경우 | (b) Where it is intended to protect the interests of data subjects or third parties, or to promote social interests. |
| Art. 28-12(2)제28조의12제2항changed by Act No. 21910 | ② 개인정보처리자는 제1항에 따라 개인정보를 이용하려는 경우에는 같은 항 각 호의 요건을 갖추었는지 여부에 대하여 보호위원회의 심의ㆍ의결을 받아야 한다. 이 경우 보호위원회는 정보주체의 권리 보장 및 개인정보의 안전한 처리를 위하여 필요한 범위에서 조건을 붙일 수 있다. | (2) A personal information controller that intends to use personal information under paragraph (1) shall undergo deliberation and resolution by the Protection Commission as to whether it meets the requirements set forth in the subparagraphs of the same paragraph. In such cases, the Protection Commission may attach conditions to the extent necessary to guarantee the rights of data subjects and to ensure the safe processing of personal information. |
| Art. 28-12(3)제28조의12제3항changed by Act No. 21910 | ③ 보호위원회는 민감정보ㆍ고유식별정보 등의 처리 여부, 정보주체의 권리 또는 이익에 미치는 영향 및 위험의 정도 등을 고려하여 대통령령으로 정하는 기준에 해당하는 경우에는 제2항에 따른 심의ㆍ의결 전에 해당 개인정보처리자에게 기간을 정하여 개인정보 처리로 인한 위험요인 분석과 개선 사항 도출을 위한 평가(이하 "위험요인평가"라 한다)를 하고 그 결과를 제출하도록 하여야 한다. | (3) Where a case meets the standards prescribed by Presidential Decree, taking into account whether sensitive information, unique identifying information, etc. is processed, the impact on the rights or interests of data subjects and the degree of risk thereto, and other factors, the Protection Commission shall, before the deliberation and resolution under paragraph (2), require the relevant personal information controller, within a period specified by the Protection Commission, to conduct an assessment to analyze risk factors arising from the processing of personal information and to identify matters for improvement (hereinafter referred to as "risk factor assessment"), and to submit its results. |
| Art. 28-12(4)제28조의12제4항changed by Act No. 21910 | ④ 보호위원회는 제2항에 따른 심의ㆍ의결을 요청한 내용이 종전에 보호위원회의 심의ㆍ의결을 거친 인공지능 기술ㆍ서비스의 내용ㆍ방식ㆍ형태 등과 실질적으로 동일하거나 유사한 경우로서 대통령령으로 정하는 경우에는 보호위원회가 정하여 고시하는 방법에 따라 심의ㆍ의결 절차를 간소화할 수 있다. | (4) Where the matter for which deliberation and resolution is requested under paragraph (2) is substantially identical or similar to the content, method, form, etc. of an artificial intelligence technology or service that has previously undergone deliberation and resolution by the Protection Commission, and falls under the cases prescribed by Presidential Decree, the Protection Commission may simplify the deliberation and resolution procedure in accordance with the method determined and publicly notified by the Protection Commission. |
| Art. 28-12(5)제28조의12제5항changed by Act No. 21910 | ⑤ 개인정보처리자는 제1항 및 제2항에 따라 보호위원회의 심의ㆍ의결을 받아 개인정보를 이용하려는 경우에는 개인정보를 이용하는 목적과 유형을 제30조에 따른 개인정보 처리방침에 포함하여야 한다. | (5) A personal information controller that intends to use personal information after undergoing deliberation and resolution by the Protection Commission under paragraphs (1) and (2) shall include the purposes and types of the use of personal information in its privacy policy under Article 30. |
| Art. 28-12(6)제28조의12제6항changed by Act No. 21910 | ⑥ 보호위원회는 제2항에 따라 심의ㆍ의결한 때에는 다음 각 호의 사항을 인터넷 홈페이지 등에 공개하여야 한다. | (6) Upon deliberation and resolution under paragraph (2), the Protection Commission shall disclose the following matters on its website, etc.: |
| Art. 28-12(6) subpara. 1제28조의12제6항제1호changed by Act No. 21910 | 1. 심의ㆍ의결을 요청한 자와 그 주요 내용 | 1. The person who requested the deliberation and resolution, and the main details of the request; |
| Art. 28-12(6) subpara. 2제28조의12제6항제2호changed by Act No. 21910 | 2. 위험요인평가 결과를 요약한 내용 | 2. A summary of the results of the risk factor assessment. |
| Art. 28-12(7)제28조의12제7항changed by Act No. 21910 | ⑦ 제2항 및 제3항에서 규정한 사항 외에 보호위원회에 심의ㆍ의결을 요청하는 방법, 보호위원회가 부여하는 조건, 세부 심의 기준 및 절차, 위험요인평가 등에 필요한 사항은 대통령령으로 정한다. | (7) Except as provided in paragraphs (2) and (3), matters necessary for the method of requesting deliberation and resolution from the Protection Commission, the conditions imposed by the Protection Commission, the detailed standards and procedures for deliberation, risk factor assessments, etc. shall be prescribed by Presidential Decree. |
Article 28-13 (Management and Supervision of Processing of Personal Information for Development of Artificial Intelligence Technology)new articleIn force from 9 March 2027 제28조의13(인공지능기술 개발을 위한 개인정보 처리에 대한 관리ㆍ감독) [본조신설 2026.9.8]
| Provision | Korean | English (unofficial) |
|---|---|---|
| Art. 28-13(1)제28조의13제1항changed by Act No. 21910 | ① 보호위원회는 제28조의12제1항 및 제2항에 따라 심의ㆍ의결한 사항에 대하여 주기적으로 이행 여부를 관리ㆍ감독하여야 한다. | (1) The Protection Commission shall periodically manage and supervise whether the matters deliberated on and resolved under Article 28-12 (1) and (2) are being implemented. |
| Art. 28-13(2)제28조의13제2항changed by Act No. 21910 | ② 보호위원회는 제1항에 따른 관리ㆍ감독에 필요한 범위에서 해당 개인정보처리자에게 자료제출을 요구할 수 있다. 이 경우 자료제출을 요구받은 자는 특별한 사정이 없으면 이에 따라야 한다. | (2) The Protection Commission may request the relevant personal information controller to submit materials to the extent necessary for the management and supervision under paragraph (1). In such cases, a person requested to submit materials shall comply with the request unless there are special circumstances. |
| Art. 28-13(3)제28조의13제3항changed by Act No. 21910 | ③ 제2항에 따라 제출받은 자료의 보호에 관해서는 제63조제6항 및 제7항을 준용한다. | (3) Article 63 (6) and (7) shall apply mutatis mutandis to the protection of materials submitted under paragraph (2). |
| Art. 28-13(4)제28조의13제4항changed by Act No. 21910 | ④ 제1항에 따른 관리ㆍ감독 및 제2항에 따른 자료제출 요구 등에 필요한 사항은 대통령령으로 정한다. | (4) Matters necessary for the management and supervision under paragraph (1), requests for the submission of materials under paragraph (2), etc. shall be prescribed by Presidential Decree. |
Article 28-14 (Restriction on Processing of Personal Information for Development of Artificial Intelligence Technology)new articleIn force from 9 March 2027 제28조의14(인공지능기술 개발을 위한 개인정보 처리 제한) [본조신설 2026.9.8]
| Provision | Korean | English (unofficial) |
|---|---|---|
| Art. 28-14(1)제28조의14제1항changed by Act No. 21910 | ① 보호위원회는 제28조의12제1항 및 제2항에 따라 개인정보 이용에 대한 심의ㆍ의결을 받은 자가 다음 각 호의 어느 하나에 해당하는 경우에는 심의ㆍ의결을 거쳐 개인정보 처리의 전부를 제한하여야 한다. | (1) Where a person who has undergone deliberation and resolution by the Protection Commission on the use of personal information under Article 28-12 (1) and (2) falls under any of the following subparagraphs, the Protection Commission shall, after deliberation and resolution, restrict the processing of personal information in its entirety: |
| Art. 28-14(1) subpara. 1제28조의14제1항제1호changed by Act No. 21910 | 1. 거짓이나 그 밖의 부정한 방법으로 개인정보 이용에 대한 보호위원회의 심의ㆍ의결을 받은 경우 | 1. Where the person has obtained deliberation and resolution by the Protection Commission on the use of personal information by fraudulent or other unlawful means; |
| Art. 28-14(1) subpara. 2제28조의14제1항제2호changed by Act No. 21910 | 2. 제28조의12제1항 각 호의 요건을 충족하지 못한 경우 | 2. Where the person fails to meet the requirements set forth in the subparagraphs of Article 28-12 (1); |
| Art. 28-14(1) subpara. 3제28조의14제1항제3호changed by Act No. 21910 | 3. 제28조의12제2항 후단에 따라 보호위원회가 부여한 조건을 충족하지 못한 경우 | 3. Where the person fails to satisfy the conditions imposed by the Protection Commission under the latter part of Article 28-12 (2); |
| Art. 28-14(1) subpara. 4제28조의14제1항제4호changed by Act No. 21910 | 4. 제28조의12제1항 및 제2항에 따라 보호위원회의 심의ㆍ의결을 받은 날부터 6개월 이내에 특별한 사유 없이 인공지능기술 개발을 위한 개인정보 처리를 시작하지 아니한 경우 | 4. Where the person has not commenced the processing of personal information for the development of artificial intelligence technology within 6 months from the date on which it underwent deliberation and resolution by the Protection Commission under Article 28-12 (1) and (2), without any special reason; |
| Art. 28-14(1) subpara. 5제28조의14제1항제5호changed by Act No. 21910 | 5. 중대한 사정 변경으로 인하여 인공지능기술 개발 등 개인정보 처리의 목적을 달성하는 것이 명백히 불가능하다고 판단되는 경우 | 5. Where it is deemed manifestly impossible, owing to a material change in circumstances, to achieve the purposes of processing personal information, such as the development of artificial intelligence technology. |
| Art. 28-14(2)제28조의14제2항changed by Act No. 21910 | ② 개인정보처리자는 보호위원회가 제1항에 따라 개인정보 처리를 제한한 경우에는 지체 없이 필요한 조치를 하고 보호위원회에 조치 결과를 알려야 한다. | (2) Where the Protection Commission has restricted the processing of personal information under paragraph (1), the personal information controller shall take necessary measures without delay and notify the Protection Commission of the results of such measures. |
| Art. 28-14(3)제28조의14제3항changed by Act No. 21910 | ③ 제1항 및 제2항에서 규정한 사항 외에 개인정보 처리 제한의 세부 기준 및 절차 등에 필요한 사항은 대통령령으로 정한다. | (3) Except as provided in paragraphs (1) and (2), matters necessary for the detailed standards, procedures, etc. for restricting the processing of personal information shall be prescribed by Presidential Decree. |
Article 28-15 (Partial Exclusion from Application under Special Provisions on Use)new articleIn force from 9 March 2027 제28조의15(이용 특례에 따른 적용의 일부 제외) [본조신설 2026.9.8]
| Provision | Korean | English (unofficial) |
|---|---|---|
| Art. 28-15제28조의15changed by Act No. 21910 | 제28조의12에 따라 개인정보를 이용하는 경우에는 그 범위에서 보호위원회의 심의ㆍ의결을 거쳐 제18조부터 제20조까지, 제20조의2, 제23조, 제24조, 제24조의2, 제25조, 제25조의2 및 제28조의8(개인정보를 국외로 처리위탁하는 경우에 한정한다)을 적용하지 아니할 수 있다. | Where personal information is used under Article 28-12, Articles 18 through 20, Article 20-2, Article 23, Article 24, Article 24-2, Article 25, Article 25-2, and Article 28-8 (limited to cases where the processing of personal information is entrusted abroad) may be excluded from application to that extent, after deliberation and resolution by the Protection Commission. |
Article 37-2 (Rights, etc. of Data Subjects regarding Automated Decisions)In force from 9 March 2027 제37조의2(자동화된 결정에 대한 정보주체의 권리 등) [본조신설 2023.3.14]
| Provision | Korean | English (unofficial) |
|---|---|---|
| Art. 37-2(1)제37조의2제1항changed by Act No. 21910 | ① 정보주체는 완전히 자동화된 시스템(인공지능기술을 적용한 시스템을 포함한다)으로 개인정보를 처리하여 이루어지는 결정(「행정기본법」 제20조에 따른 행정청의 자동적 처분은 제외하며, 이하 이 조에서 "자동화된 결정"이라 한다)이 자신의 권리 또는 의무에 중대한 영향을 미치는 경우에는 해당 개인정보처리자에 대하여 해당 결정을 거부할 수 있는 권리를 가진다. 다만, 자동화된 결정이 제15조제1항제1호ㆍ제2호 및 제4호에 따라 이루어지는 경우에는 그러하지 아니하다. <개정 2026.9.8> | (1) Where a decision made by processing personal information through a fully automated system (including a system to which artificial intelligence technology is applied) (excluding automatic dispositions by administrative agencies under Article 20 of the General Act on Public Administration; hereinafter referred to as "automated decision" in this Article) has a material impact on his or her rights or obligations, a data subject shall have the right to refuse such decision as against the relevant personal information controller: Provided, That the same shall not apply where the automated decision is made pursuant to Article 15 (1) 1, 2, or 4. |
| Art. 37-2(2)제37조의2제2항 | ② 정보주체는 개인정보처리자가 자동화된 결정을 한 경우에는 그 결정에 대하여 설명 등을 요구할 수 있다. | (2) Where a personal information controller has made an automated decision, the data subject may request an explanation, etc. of the decision. |
| Art. 37-2(3)제37조의2제3항 | ③ 개인정보처리자는 제1항 또는 제2항에 따라 정보주체가 자동화된 결정을 거부하거나 이에 대한 설명 등을 요구한 경우에는 정당한 사유가 없는 한 자동화된 결정을 적용하지 아니하거나 인적 개입에 의한 재처리ㆍ설명 등 필요한 조치를 하여야 한다. | (3) Where a data subject refuses an automated decision or requests an explanation, etc. thereof under paragraph (1) or (2), the personal information controller shall, unless there is a justifiable reason, refrain from applying the automated decision or take necessary measures, such as reprocessing through human intervention or providing an explanation. |
| Art. 37-2(4)제37조의2제4항 | ④ 개인정보처리자는 자동화된 결정의 기준과 절차, 개인정보가 처리되는 방식 등을 정보주체가 쉽게 확인할 수 있도록 공개하여야 한다. | (4) A personal information controller shall disclose the standards and procedures for automated decisions, the manner in which personal information is processed, etc. so that data subjects can easily ascertain them. |
| Art. 37-2(5)제37조의2제5항 | ⑤ 제1항부터 제4항까지에서 규정한 사항 외에 자동화된 결정의 거부ㆍ설명 등을 요구하는 절차 및 방법, 거부ㆍ설명 등의 요구에 따른 필요한 조치, 자동화된 결정의 기준ㆍ절차 및 개인정보가 처리되는 방식의 공개 등에 필요한 사항은 대통령령으로 정한다. | (5) Except as provided in paragraphs (1) through (4), matters necessary for the procedures and methods for refusing, or requesting explanations, etc. of, automated decisions, the necessary measures to be taken in response to requests for refusal, explanation, etc., and the disclosure of the standards and procedures for automated decisions and the manner in which personal information is processed, etc. shall be prescribed by Presidential Decree. |
Act No. 21445 — second stage (effective 1 July 2027)
Article 32-2 (Personal Information Protection Certification)In force from 1 July 2027 제32조의2(개인정보 보호 인증) [본조신설 2015.7.24]
| Provision | Korean | English (unofficial) |
|---|---|---|
| Art. 32-2(1)제32조의2제1항changed in this stage | ① 보호위원회는 개인정보처리자의 개인정보 처리 및 보호와 관련한 일련의 조치가 이 법에 부합하는지 등에 관하여 인증할 수 있다. 다만, 매출액, 개인정보의 처리 규모 등을 고려하여 대통령령으로 정하는 기준에 해당하는 개인정보처리자는 인증을 받아야 한다. <개정 2017.7.26, 2020.2.4, 2026.3.10> | (1) The Protection Commission may certify whether a series of measures taken by a personal information controller in relation to the processing and protection of personal information conforms to this Act, among other things: Provided, That a personal information controller that meets the standards prescribed by Presidential Decree in consideration of its sales revenue, the scale of its processing of personal information, etc. shall obtain the certification. |
| Art. 32-2(2)제32조의2제2항 | ② 제1항에 따른 인증의 유효기간은 3년으로 한다. | (2) The certification under paragraph (1) shall be valid for 3 years. |
| Art. 32-2(3)제32조의2제3항 | ③ 보호위원회는 다음 각 호의 어느 하나에 해당하는 경우에는 대통령령으로 정하는 바에 따라 제1항에 따른 인증을 취소할 수 있다. 다만, 제1호에 해당하는 경우에는 취소하여야 한다. <개정 2017.7.26, 2020.2.4> | (3) The Protection Commission may revoke the certification under paragraph (1), as prescribed by Presidential Decree, in any of the following cases: Provided, That it shall revoke the certification in the case of subparagraph 1: |
| Art. 32-2(3) subpara. 1제32조의2제3항제1호 | 1. 거짓이나 그 밖의 부정한 방법으로 개인정보 보호 인증을 받은 경우 | 1. Where personal information protection certification has been obtained by fraudulent or other unlawful means; |
| Art. 32-2(3) subpara. 2제32조의2제3항제2호 | 2. 제4항에 따른 사후관리를 거부 또는 방해한 경우 | 2. Where the follow-up management under paragraph (4) has been refused or obstructed; |
| Art. 32-2(3) subpara. 3제32조의2제3항제3호 | 3. 제8항에 따른 인증기준에 미달하게 된 경우 | 3. Where the certification standards under paragraph (8) are no longer met; |
| Art. 32-2(3) subpara. 4제32조의2제3항제4호 | 4. 개인정보 보호 관련 법령을 위반하고 그 위반사유가 중대한 경우 | 4. Where a statute related to the protection of personal information has been violated and the grounds of the violation are serious. |
| Art. 32-2(4)제32조의2제4항 | ④ 보호위원회는 개인정보 보호 인증의 실효성 유지를 위하여 연 1회 이상 사후관리를 실시하여야 한다. <개정 2017.7.26, 2020.2.4> | (4) The Protection Commission shall conduct follow-up management at least once a year in order to maintain the effectiveness of personal information protection certification. |
| Art. 32-2(5)제32조의2제5항 | ⑤ 보호위원회는 대통령령으로 정하는 전문기관으로 하여금 제1항에 따른 인증, 제3항에 따른 인증 취소, 제4항에 따른 사후관리 및 제7항에 따른 인증 심사원 관리 업무를 수행하게 할 수 있다. <개정 2017.7.26, 2020.2.4> | (5) The Protection Commission may have a specialized institution prescribed by Presidential Decree perform the affairs of certification under paragraph (1), revocation of certification under paragraph (3), follow-up management under paragraph (4), and management of certification auditors under paragraph (7). |
| Art. 32-2(6)제32조의2제6항 | ⑥ 제1항에 따른 인증을 받은 자는 대통령령으로 정하는 바에 따라 인증의 내용을 표시하거나 홍보할 수 있다. | (6) A person who has obtained the certification under paragraph (1) may display or publicize the details of the certification, as prescribed by Presidential Decree. |
| Art. 32-2(7)제32조의2제7항 | ⑦ 제1항에 따른 인증을 위하여 필요한 심사를 수행할 심사원의 자격 및 자격 취소 요건 등에 관하여는 전문성과 경력 및 그 밖에 필요한 사항을 고려하여 대통령령으로 정한다. | (7) The qualifications of the auditors who conduct the audits necessary for the certification under paragraph (1), the requirements for revoking such qualifications, etc. shall be prescribed by Presidential Decree, taking into account expertise, career experience, and other necessary factors. |
| Art. 32-2(8)제32조의2제8항 | ⑧ 그 밖에 개인정보 관리체계, 정보주체 권리보장, 안전성 확보조치가 이 법에 부합하는지 여부 등 제1항에 따른 인증의 기준ㆍ방법ㆍ절차 등 필요한 사항은 대통령령으로 정한다. | (8) Other matters necessary for the standards, methods, procedures, etc. of the certification under paragraph (1), such as whether the personal information management system, the guarantee of the rights of data subjects, and the measures to ensure safety conform to this Act, shall be prescribed by Presidential Decree. |
Article 75 (Administrative Fines)In force from 1 July 2027 제75조(과태료) [전문개정 2023.3.14]
| Provision | Korean | English (unofficial) |
|---|---|---|
| Art. 75(1)제75조제1항 | ① 다음 각 호의 어느 하나에 해당하는 자에게는 5천만원 이하의 과태료를 부과한다. | (1) An administrative fine not exceeding 50 million won shall be imposed on any of the following persons: |
| Art. 75(1) subpara. 1제75조제1항제1호 | 1. 제25조제2항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 고정형 영상정보처리기기를 설치ㆍ운영한 자 | 1. A person who installs or operates a fixed visual data processing device in violation of Article 25 (2) (including cases where it applies mutatis mutandis under Article 26 (8)); |
| Art. 75(1) subpara. 2제75조제1항제2호 | 2. 제25조의2제2항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 이동형 영상정보처리기기로 사람 또는 그 사람과 관련된 사물의 영상을 촬영한 자 | 2. A person who captures images of persons, or of objects related to such persons, with a mobile visual data processing device in violation of Article 25-2 (2) (including cases where it applies mutatis mutandis under Article 26 (8)). |
| Art. 75(2)제75조제2항 | ② 다음 각 호의 어느 하나에 해당하는 자에게는 3천만원 이하의 과태료를 부과한다. <개정 2026.3.10> | (2) An administrative fine not exceeding 30 million won shall be imposed on any of the following persons: |
| Art. 75(2) subpara. 1제75조제2항제1호 | 1. 제16조제3항ㆍ제22조제5항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 재화 또는 서비스의 제공을 거부한 자 | 1. A person who refuses to provide goods or services in violation of Article 16 (3) or Article 22 (5) (including cases where it applies mutatis mutandis under Article 26 (8)); |
| Art. 75(2) subpara. 2제75조제2항제2호 | 2. 제20조제1항ㆍ제2항을 위반하여 정보주체에게 같은 조 제1항 각 호의 사실을 알리지 아니한 자 | 2. A person who fails to notify data subjects of the matters set forth in the subparagraphs of paragraph (1) of the same Article, in violation of Article 20 (1) or (2); |
| Art. 75(2) subpara. 3제75조제2항제3호 | 3. 제20조의2제1항을 위반하여 개인정보의 이용ㆍ제공 내역이나 이용ㆍ제공 내역을 확인할 수 있는 정보시스템에 접속하는 방법을 통지하지 아니한 자 | 3. A person who fails to notify the details of the use and provision of personal information, or the method of accessing an information system through which such details can be checked, in violation of Article 20-2 (1); |
| Art. 75(2) subpara. 4제75조제2항제4호 | 4. 제21조제1항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 개인정보의 파기 등 필요한 조치를 하지 아니한 자 | 4. A person who fails to take necessary measures, such as the destruction of personal information, in violation of Article 21 (1) (including cases where it applies mutatis mutandis under Article 26 (8)); |
| Art. 75(2) subpara. 5제75조제2항제5호 | 5. 제23조제2항ㆍ제24조제3항ㆍ제25조제6항(제25조의2제4항에 따라 준용되는 경우를 포함한다)ㆍ제28조의4제1항ㆍ제29조(제26조제8항에 따라 준용되는 경우를 포함한다)를 위반하여 안전성 확보에 필요한 조치를 하지 아니한 자 | 5. A person who fails to take measures necessary to ensure safety in violation of Article 23 (2), Article 24 (3), Article 25 (6) (including cases where it applies mutatis mutandis under Article 25-2 (4)), Article 28-4 (1), or Article 29 (including cases where it applies mutatis mutandis under Article 26 (8)); |
| Art. 75(2) subpara. 6제75조제2항제6호 | 6. 제23조제3항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 민감정보의 공개 가능성 및 비공개를 선택하는 방법을 알리지 아니한 자 | 6. A person who fails to inform data subjects of the possibility that sensitive information may be made public and of the method of choosing non-disclosure, in violation of Article 23 (3) (including cases where it applies mutatis mutandis under Article 26 (8)); |
| Art. 75(2) subpara. 7제75조제2항제7호 | 7. 제24조의2제1항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 주민등록번호를 처리한 자 | 7. A person who processes resident registration numbers in violation of Article 24-2 (1) (including cases where it applies mutatis mutandis under Article 26 (8)); |
| Art. 75(2) subpara. 8제75조제2항제8호 | 8. 제24조의2제2항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 암호화 조치를 하지 아니한 자 | 8. A person who fails to take encryption measures in violation of Article 24-2 (2) (including cases where it applies mutatis mutandis under Article 26 (8)); |
| Art. 75(2) subpara. 9제75조제2항제9호 | 9. 제24조의2제3항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 정보주체가 주민등록번호를 사용하지 아니할 수 있는 방법을 제공하지 아니한 자 | 9. A person who fails to provide a method by which data subjects may choose not to use their resident registration numbers, in violation of Article 24-2 (3) (including cases where it applies mutatis mutandis under Article 26 (8)); |
| Art. 75(2) subpara. 10제75조제2항제10호 | 10. 제25조제1항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 고정형 영상정보처리기기를 설치ㆍ운영한 자 | 10. A person who installs or operates a fixed visual data processing device in violation of Article 25 (1) (including cases where it applies mutatis mutandis under Article 26 (8)); |
| Art. 75(2) subpara. 11제75조제2항제11호 | 11. 제25조의2제1항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 사람 또는 그 사람과 관련된 사물의 영상을 촬영한 자 | 11. A person who captures images of persons, or of objects related to such persons, in violation of Article 25-2 (1) (including cases where it applies mutatis mutandis under Article 26 (8)); |
| Art. 75(2) subpara. 12제75조제2항제12호 | 12. 제26조제3항을 위반하여 정보주체에게 알려야 할 사항을 알리지 아니한 자 | 12. A person who fails to notify data subjects of the matters of which they are to be notified, in violation of Article 26 (3); |
| Art. 75(2) subpara. 13제75조제2항제13호 | 13. 제28조의5제2항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 개인을 알아볼 수 있는 정보가 생성되었음에도 이용을 중지하지 아니하거나 이를 회수ㆍ파기하지 아니한 자 | 13. A person who, although information capable of identifying an individual has been generated, fails to cease using it or fails to retrieve and destroy it, in violation of Article 28-5 (2) (including cases where it applies mutatis mutandis under Article 26 (8)); |
| Art. 75(2) subpara. 14제75조제2항제14호 | 14. 제28조의8제4항(제26조제8항 및 제28조의11에 따라 준용되는 경우를 포함한다)을 위반하여 보호조치를 하지 아니한 자 | 14. A person who fails to take protective measures in violation of Article 28-8 (4) (including cases where it applies mutatis mutandis under Article 26 (8) and Article 28-11); |
| Art. 75(2) subpara. 14-2제75조제2항제14의2호 | 14의2. 제31조제1항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 개인정보 보호책임자를 지정하지 아니하거나 제31조제10항(제26조제8항에 따라 준용되는 경우를 포함한다)에 따른 개인정보 보호책임자의 자격요건을 갖추지 아니한 자를 개인정보 보호책임자로 지정한 자 | 14-2. A person who fails to designate a privacy officer in violation of Article 31 (1) (including cases where it applies mutatis mutandis under Article 26 (8)), or who designates as privacy officer a person who does not meet the qualification requirements for privacy officers under Article 31 (10) (including cases where it applies mutatis mutandis under Article 26 (8)); |
| Art. 75(2) subpara. 14-3제75조제2항제14의3호 | 14의3. 제31조제3항제1호(제26조제8항에 따라 준용되는 경우를 포함한다)를 위반하여 개인정보 보호책임자를 지정하거나 그 지정을 변경 또는 해제할 때에 이사회의 의결을 거치지 아니한 자 | 14-3. A person who, in designating a privacy officer or changing or revoking such designation, fails to obtain a resolution of the board of directors, in violation of Article 31 (3) 1 (including cases where it applies mutatis mutandis under Article 26 (8)); |
| Art. 75(2) subpara. 14-4제75조제2항제14의4호 | 14의4. 제31조제3항제2호(제26조제8항에 따라 준용되는 경우를 포함한다)를 위반하여 개인정보 보호책임자의 지정ㆍ변경 또는 해제에 관한 사항을 신고하지 아니한 자 | 14-4. A person who fails to report matters concerning the designation, change, or revocation of a privacy officer, in violation of Article 31 (3) 2 (including cases where it applies mutatis mutandis under Article 26 (8)); |
| Art. 75(2) subpara. 15제75조제2항제15호changed in this stage | 15. 제32조의2제1항 단서를 위반하여 인증을 받지 아니한 자 | 15. A person who fails to obtain certification in violation of the proviso to Article 32-2 (1); |
| Art. 75(2) subpara. 15-2제75조제2항제15의2호changed in this stage | 15의2. 제32조의2제6항을 위반하여 인증을 받지 아니하였음에도 거짓으로 인증의 내용을 표시하거나 홍보한 자 | 15-2. A person who falsely displays or publicizes the details of certification despite not having obtained certification, in violation of Article 32-2 (6); |
| Art. 75(2) subpara. 16제75조제2항제16호 | 16. 제33조제1항을 위반하여 영향평가를 하지 아니하거나 그 결과를 보호위원회에 제출하지 아니한 자 | 16. A person who fails to conduct an impact assessment or fails to submit its results to the Protection Commission, in violation of Article 33 (1); |
| Art. 75(2) subpara. 17제75조제2항제17호 | 17. 제34조제1항 또는 같은 조 제2항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 정보주체에게 제34조제1항 각 호의 사항 또는 같은 조 제2항의 피해를 최소화하기 위한 정보 등의 사항을 알리지 아니한 자 | 17. A person who fails to notify data subjects of the matters set forth in the subparagraphs of Article 34 (1) or of matters such as the information for minimizing damage under paragraph (2) of the same Article, in violation of Article 34 (1) or paragraph (2) of the same Article (including cases where it applies mutatis mutandis under Article 26 (8)); |
| Art. 75(2) subpara. 18제75조제2항제18호 | 18. 제34조제4항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 보호위원회 또는 대통령령으로 정하는 전문기관에 신고하지 아니한 자 | 18. A person who fails to report to the Protection Commission or to a specialized institution prescribed by Presidential Decree, in violation of Article 34 (4) (including cases where it applies mutatis mutandis under Article 26 (8)); |
| Art. 75(2) subpara. 19제75조제2항제19호 | 19. 제35조제3항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 열람을 제한하거나 거절한 자 | 19. A person who restricts or refuses access in violation of Article 35 (3) (including cases where it applies mutatis mutandis under Article 26 (8)); |
| Art. 75(2) subpara. 20제75조제2항제20호 | 20. 제35조의3제1항에 따른 지정을 받지 아니하고 같은 항 제2호의 업무를 수행한 자 | 20. A person who performs the affairs referred to in subparagraph 2 of Article 35-3 (1) without obtaining designation under the same paragraph; |
| Art. 75(2) subpara. 21제75조제2항제21호 | 21. 제35조의3제3항을 위반한 자 | 21. A person who violates Article 35-3 (3); |
| Art. 75(2) subpara. 22제75조제2항제22호 | 22. 제36조제2항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 정정ㆍ삭제 등 필요한 조치를 하지 아니한 자 | 22. A person who fails to take necessary measures, such as correction or erasure, in violation of Article 36 (2) (including cases where it applies mutatis mutandis under Article 26 (8)); |
| Art. 75(2) subpara. 23제75조제2항제23호 | 23. 제37조제3항 또는 제5항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 파기 등 필요한 조치를 하지 아니한 자 | 23. A person who fails to take necessary measures, such as destruction, in violation of Article 37 (3) or (5) (including cases where it applies mutatis mutandis under Article 26 (8)); |
| Art. 75(2) subpara. 24제75조제2항제24호 | 24. 제37조의2제3항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 정당한 사유 없이 정보주체의 요구에 따르지 아니한 자 | 24. A person who, without a justifiable grounds, fails to comply with a request of a data subject, in violation of Article 37-2 (3) (including cases where it applies mutatis mutandis under Article 26 (8)); |
| Art. 75(2) subpara. 25제75조제2항제25호 | 25. 제63조제1항(제26조제8항에 따라 준용되는 경우를 포함한다)에 따른 관계 물품ㆍ서류 등 자료를 제출하지 아니하거나 거짓으로 제출한 자 | 25. A person who fails to submit, or falsely submits, materials such as relevant goods and documents under Article 63 (1) (including cases where it applies mutatis mutandis under Article 26 (8)); |
| Art. 75(2) subpara. 26제75조제2항제26호 | 26. 제63조제2항(제26조제8항에 따라 준용되는 경우를 포함한다)에 따른 출입ㆍ검사를 거부ㆍ방해 또는 기피한 자 | 26. A person who refuses, obstructs, or evades entry and inspection under Article 63 (2) (including cases where it applies mutatis mutandis under Article 26 (8)); |
| Art. 75(2) subpara. 27제75조제2항제27호 | 27. 제64조제1항에 따른 시정조치 명령에 따르지 아니한 자 | 27. A person who fails to comply with an order for corrective measures under Article 64 (1). |
| Art. 75(3)제75조제3항 | ③ 다음 각 호의 어느 하나에 해당하는 자에게는 2천만원 이하의 과태료를 부과한다. <개정 2025.4.1> | (3) An administrative fine not exceeding 20 million won shall be imposed on any of the following persons: |
| Art. 75(3) subpara. 1제75조제3항제1호 | 1. 제26조제6항을 위반하여 위탁자의 동의를 받지 아니하고 제3자에게 다시 위탁한 자 | 1. A person who re-entrusts work to a third party without the consent of the entrustor, in violation of Article 26 (6); |
| Art. 75(3) subpara. 2제75조제3항제2호 | 2. 제31조의2제1항을 위반하여 국내대리인을 지정하지 아니한 자 | 2. A person who fails to designate a domestic agent (commonly called a "domestic representative"), in violation of Article 31-2 (1); |
| Art. 75(3) subpara. 3제75조제3항제3호 | 3. 제31조의2제2항을 위반하여 국내대리인을 지정한 자 | 3. A person who designates a domestic agent in violation of Article 31-2 (2); |
| Art. 75(3) subpara. 4제75조제3항제4호 | 4. 제31조의2제3항을 위반하여 국내대리인을 관리ㆍ감독하지 아니한 자 | 4. A person who fails to manage and supervise its domestic agent, in violation of Article 31-2 (3). |
| Art. 75(4)제75조제4항 | ④ 다음 각 호의 어느 하나에 해당하는 자에게는 1천만원 이하의 과태료를 부과한다. <개정 2025.4.1> | (4) An administrative fine not exceeding 10 million won shall be imposed on any of the following persons: |
| Art. 75(4) subpara. 1제75조제4항제1호 | 1. 제11조의2제2항을 위반하여 정당한 사유 없이 자료를 제출하지 아니하거나 거짓으로 제출한 자 | 1. A person who fails to submit materials without justifiable grounds, or submits false materials, in violation of Article 11-2 (2); |
| Art. 75(4) subpara. 2제75조제4항제2호 | 2. 제21조제3항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 개인정보를 분리하여 저장ㆍ관리하지 아니한 자 | 2. A person who fails to store and manage personal information separately, in violation of Article 21 (3) (including cases where it applies mutatis mutandis under Article 26 (8)); |
| Art. 75(4) subpara. 3제75조제4항제3호 | 3. 제22조제1항부터 제3항까지(제26조제8항에 따라 준용되는 경우를 포함한다)를 위반하여 동의를 받은 자 | 3. A person who obtains consent in violation of Article 22 (1) through (3) (including cases where they apply mutatis mutandis under Article 26 (8)); |
| Art. 75(4) subpara. 4제75조제4항제4호 | 4. 제26조제1항을 위반하여 업무 위탁 시 같은 항 각 호의 내용이 포함된 문서로 하지 아니한 자 | 4. A person who, when entrusting work, fails to do so by means of a document containing the matters set forth in the subparagraphs of the same paragraph, in violation of Article 26 (1); |
| Art. 75(4) subpara. 5제75조제4항제5호 | 5. 제26조제2항을 위반하여 위탁하는 업무의 내용과 수탁자를 공개하지 아니한 자 | 5. A person who fails to disclose the details of the entrusted work and the entrustee, in violation of Article 26 (2); |
| Art. 75(4) subpara. 6제75조제4항제6호 | 6. 제27조제1항ㆍ제2항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 정보주체에게 개인정보의 이전 사실을 알리지 아니한 자 | 6. A person who fails to notify data subjects of the transfer of personal information, in violation of Article 27 (1) or (2) (including cases where it applies mutatis mutandis under Article 26 (8)); |
| Art. 75(4) subpara. 7제75조제4항제7호 | 7. 제28조의4제3항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 관련 기록을 작성하여 보관하지 아니한 자 | 7. A person who fails to prepare and keep relevant records, in violation of Article 28-4 (3) (including cases where it applies mutatis mutandis under Article 26 (8)); |
| Art. 75(4) subpara. 8제75조제4항제8호 | 8. 제30조제1항 또는 제2항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 개인정보 처리방침을 정하지 아니하거나 이를 공개하지 아니한 자 | 8. A person who fails to establish or disclose a privacy policy, in violation of Article 30 (1) or (2) (including cases where it applies mutatis mutandis under Article 26 (8)); |
| Art. 75(4) subpara. 9제75조제4항제9호 | 9. 삭제<2026.3.10> | 9. Deleted. |
| Art. 75(4) subpara. 9-2제75조제4항제9의2호 | 9의2. 제31조의2제4항을 위반하여 국내대리인의 성명ㆍ주소ㆍ전화번호 및 전자우편 주소를 개인정보 처리방침에 포함하지 아니한 자 | 9-2. A person who fails to include the name, address, telephone number, and e-mail address of its domestic agent in its privacy policy, in violation of Article 31-2 (4); |
| Art. 75(4) subpara. 10제75조제4항제10호 | 10. 제35조제3항ㆍ제4항, 제36조제2항ㆍ제4항 또는 제37조제4항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 정보주체에게 알려야 할 사항을 알리지 아니한 자 | 10. A person who fails to notify data subjects of the matters of which they are to be notified, in violation of Article 35 (3) or (4), Article 36 (2) or (4), or Article 37 (4) (including cases where it applies mutatis mutandis under Article 26 (8)); |
| Art. 75(4) subpara. 11제75조제4항제11호 | 11. 제45조제1항에 따른 자료를 정당한 사유 없이 제출하지 아니하거나 거짓으로 제출한 자 | 11. A person who fails to submit materials under Article 45 (1) without justifiable grounds, or submits false materials; |
| Art. 75(4) subpara. 12제75조제4항제12호 | 12. 제45조제2항에 따른 출입ㆍ조사ㆍ열람을 정당한 사유 없이 거부ㆍ방해 또는 기피한 자 | 12. A person who, without a justifiable grounds, refuses, obstructs, or evades entry, investigation, or inspection under Article 45 (2). |
| Art. 75(5)제75조제5항 | ⑤ 제1항부터 제4항까지에 따른 과태료는 대통령령으로 정하는 바에 따라 보호위원회가 부과ㆍ징수한다. 이 경우 보호위원회는 위반행위의 정도ㆍ동기ㆍ결과, 개인정보처리자의 규모 등을 고려하여 과태료를 감경하거나 면제할 수 있다. | (5) The administrative fines under paragraphs (1) through (4) shall be imposed and collected by the Protection Commission, as prescribed by Presidential Decree. In such cases, the Protection Commission may reduce or waive an administrative fine, taking into account the degree, motive, and consequences of the violation, the size of the personal information controller, etc. |
Notice
This is an unofficial translation. It has no legal effect. Where the English and the Korean differ, the Korean text governs. The English translation published by the Korea Legislation Research Institute is also a reference translation without legal effect; neither text replaces the Korean statute.
The translation was prepared from the Korean text on the National Law Information Center and was reviewed and approved by Hyunsub Lee, a Korean-qualified lawyer, before publication. It translates the statute; it does not explain how any provision applies, and it is not legal advice.
The status line at the top of the page is produced by a weekly automatic check of the versions of the Act listed on the national law database. If a later amendment appears, the line says so and names it. If the check fails or has not run recently, the line says that currency could not be confirmed, rather than continuing to show the last good result.
Reporting an error. If you find a mistranslation, an omission or a numbering error, please write to hyunsub.lee@seumlaw.com with the row address (for example #art-34-p1-i3) and the edition identifier, or use the contact page. Corrections are recorded below.
Corrections
No corrections yet. Corrections will be listed here as YYYY-MM-DD — provision — what was corrected — edition identifier before the correction, newest first. A corrected text receives a new edition identifier.
Frequently asked questions
Is there an official English translation of Korea’s current Personal Information Protection Act?
No English text of the Act has legal effect in Korea; only the Korean text does. The English translation published by the Korea Legislation Research Institute, also shown on the National Law Information Center, is itself a reference translation that states it has no legal effect. As checked on 29 September 2026, that translation reflects Act No. 20897, effective 2 October 2025. It does not include the changes made by Act No. 21445 or Act No. 21910. This page translates the articles those two Acts changed.
Why are some articles marked 'In force from 9 March 2027' or '1 July 2027'?
They have been enacted but are not yet in force. Act No. 21910, promulgated on 8 September 2026, takes effect on 9 March 2027 and adds Articles 28-12 to 28-15 on processing personal information to develop AI technology, together with related changes to Articles 2, 7-9 and 37-2. Act No. 21445 was brought into force in two stages: most of it on 11 September 2026, and the changes to Article 32-2 (certification) and the related administrative fines in Article 75 on 1 July 2027. Each version is set out in its own section, so the text in force on a given date can be read separately from text that is only scheduled.
Can this translation be relied on or cited?
It can be cited as an unofficial translation, not relied on as the law. The Korean text governs. When citing, give the edition identifier shown at the top of the page and the row address of the provision, so that a reader can see which text was used and whether it has since been corrected. Corrections are listed on this page, and a corrected text receives a new edition identifier. Errors can be reported by email or through the contact page.
Prepared by Hyunsub Lee, a Korean-qualified lawyer at SEUM Law in Seoul (firm profile — the page opens in Korean; use the ENG switch at the top right for the English version). The dates on which each stage takes effect are also set out in the calendar of what takes effect when, and other English notes are collected at English summaries.