개인정보처리방침 필수 기재사항 — 2026년 기준 15개 항목과 2023년 이후 늘어난 것

핵심 요약. 개인정보처리방침에 담을 내용은 개인정보 보호법 제30조 제1항 각 호(11개)와 그 제8호의 위임을 받은 시행령 제31조 제1항 각 호(4개)가 정하고 있고, 여기에 국내대리인 기재(법 제31조의2 제4항)가 더해져 현행 기준 15개 항목입니다. 수립·공개하지 않으면 1천만 원 이하 과태료 대상입니다(법 제75조 제4항 제8호). 이 목록은 2023년 이후 네 차례 늘었습니다 — 2023년 9월 15일 민감정보의 공개 가능성·비공개 선택 방법(제30조 제1항 제3호의3)과 가명정보 처리에 관한 사항(제4호의2), 국외이전의 근거와 고지사항(시행령 제31조 제1항 제2호)이 추가됐고, 2024년 3월 15일 국외 직접 수집 시 처리 국가명(시행령 제31조 제1항 제4호)이 추가됐으며, 2025년 10월 2일부터 국내대리인 기재 누락에 과태료가 붙었습니다(법 제75조 제4항 제9호의2). 공개는 인터넷 홈페이지 지속 게재가 원칙이고(시행령 제31조 제2항), 처리방침이 계약 내용과 다르면 정보주체에게 유리한 쪽이 적용됩니다(법 제30조 제3항). AI로 심사·추천을 자동화했다면 이 15개 목록 밖에 별개의 공개 의무가 하나 더 있고(법 제37조의2 제4항, 시행령 제44조의4 제1항의 다섯 항목), 계약 이행에 필요한 결정이라 거부권이 적용되지 않아도 그 공개 의무와 설명 요구권은 그대로 남습니다.

서비스를 처음 열 때 개인정보처리방침을 한 번 만들어 두고, 그 뒤로 손대지 않은 회사가 많습니다. 문구를 바꿀 일이 없었으니 그대로 두어도 된다고 생각하기 쉽습니다.

그런데 처리방침은 회사가 바뀌지 않아도 법이 바뀌면 낡는 문서입니다. 무엇을 담아야 하는지가 법으로 정해져 있고, 그 목록이 2023년 이후 계속 늘어났기 때문입니다. 2023년 초 기준으로 완벽했던 처리방침도 지금 기준으로는 항목이 비어 있을 수 있습니다.

이 문서가 실제로 힘을 갖는 순간은 평시가 아니라 사고 뒤입니다. 유출 조사에서 위원회는 처리방침의 기재와 실제 처리를 대조하고, 투자·인수 실사에서는 이 문서가 회사의 진술로 읽힙니다. 그래서 아래 항목들은 "채웠는가"보다 "사실과 일치하는가"를 먼저 물어야 합니다.

이 글은 현행 법령을 기준으로 처리방침에 무엇이 들어가야 하는지, 그리고 그중 2023년 이후 새로 생긴 항목이 무엇인지를 나눠 정리합니다. 그 목록 밖에 있는 자동화된 결정의 공개 의무는 본문에서 함께 다루고, 국외이전·생성형 AI처럼 회사 사정에 따라 갈리는 항목은 뒤쪽 분기에서 각각의 글로 넘깁니다.

우리 회사도 개인정보처리방침을 만들어야 하나?

처리방침 수립·공개 의무를 지는 주체는 개인정보처리자입니다(법 제30조 제1항). 개인정보처리자는 "업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등"으로 정의됩니다(법 제2조 제5호).

여기서 자주 오해가 생깁니다. 법인이 아니어도, 규모가 작아도 해당됩니다.

개인사업자가 영업을 위해 고객 명단을 관리한다면 그 자체로 개인정보처리자입니다. 반대로 업무와 무관하게 개인이 지인 연락처를 저장해 두는 것은 해당하지 않습니다.

온라인으로 서비스를 제공하면서 회원가입·문의·결제 과정에서 이용자 정보를 받는다면, 특별한 사정이 없는 한 개인정보처리자에 해당한다고 보아야 합니다. "우리는 아직 초기라서"는 면제 사유가 아닙니다.

2026년 기준, 처리방침에 반드시 들어가야 할 항목은?

현행 법령상 필수 기재사항은 법 제30조 제1항 각 호(11개) 와 같은 항 제8호의 위임을 받은 시행령 제31조 제1항 각 호(4개) 로 나뉩니다. 전체를 한 표로 정리하면 다음과 같습니다.

굵게 표시한 다섯 항목이 2023년 이후 늘어난 것입니다. 앞의 네 항목은 2023년 초 기준 처리방침에는 아예 없던 항목입니다 — 민감정보의 공개 가능성·비공개 선택 방법과 가명정보 처리에 관한 사항(법 개정, 2023. 9. 15. 시행), 국외이전의 근거와 고지사항(시행령 개정, 2023. 9. 15. 시행), 국외 직접 수집 시 처리 국가명(시행령 개정, 2024. 3. 15. 시행). 국내대리인 항목은 기재 의무 자체는 그 전부터 있었고 근거 조문만 종전 제3항에서 제4항으로 이동했는데, 달라진 것은 제재입니다 — 누락에 1천만 원 이하 과태료를 무는 근거(법 제75조 제4항 제9호의2)가 2025년 10월 2일 처음 생겼습니다.

15개 항목을 다 채워도 빠지는 것은 없나? — 자동화된 결정의 공개

처리방침 점검을 의뢰받아 열어 보면 자주 마주치는 상태가 있습니다. 위 15개 항목은 빠짐없이 채워져 있는데, 회사가 실제로 돌리고 있는 자동 심사에 관한 서술은 어디에도 없는 경우입니다. 담당자를 탓하기 어렵습니다. 체크리스트를 성실히 따랐는데도 빠지는 구조이기 때문입니다.

법 제30조 제1항과 시행령 제31조 제1항의 목록 어디에도 자동화된 결정은 없습니다. 그 공개 의무는 다른 조문에서 나옵니다.

개인정보 보호법 제37조의2 ④ 개인정보처리자는 자동화된 결정의 기준과 절차, 개인정보가 처리되는 방식 등을 정보주체가 쉽게 확인할 수 있도록 공개하여야 한다.

조문 위치가 다르다는 것은 실무에서 두 가지를 뜻합니다. 처리방침 템플릿이나 자동 생성 도구는 대개 제30조 목록을 기준으로 만들어져 있어서, 그 도구를 썼다면 이 항목이 애초에 생기지 않습니다. 그리고 처리방침만 검토 대상으로 삼는 내부 점검에서도 잡히지 않습니다. 말하자면 법 제30조 목록 밖에 있는 열여섯 번째 공개 의무입니다.

우리 시스템이 '자동화된 결정’인가

법 제37조의2 제1항은 자동화된 결정을 완전히 자동화된 시스템(인공지능 기술을 적용한 시스템을 포함한다)으로 개인정보를 처리하여 이루어지는 결정으로 정의합니다. 「행정기본법」 제20조에 따른 행정청의 자동적 처분은 제외됩니다.

판단에서 무게가 실리는 낱말은 "완전히"입니다. 사람이 최종 결정을 하고 시스템은 점수만 산출한다면 그 결정은 완전히 자동화된 것이 아니라고 볼 여지가 있습니다. 반대로 사람의 개입이 형식에 그친다면, 즉 시스템 산출물을 그대로 승인하는 절차만 놓여 있다면 실질은 자동화된 결정에 가깝습니다. 경계에 있는 구조라면 어느 단계에서 사람이 무엇을 보고 무엇을 바꿀 수 있는지를 판단 흐름도로 남겨 두어야, 나중에 그 개입이 실질적이었다고 말할 수 있습니다.

정의에는 "권리 또는 의무에 중대한 영향"이라는 요건이 없다는 점도 확인해 두어야 합니다. 그 요건은 제1항의 거부권 발동 요건이지 자동화된 결정 자체의 정의가 아닙니다. 이 차이가 공개 의무의 범위를 결정합니다.

거부권이 없어도 공개 의무는 남는다

법 제37조의2는 세 가지 권리·의무를 서로 다른 요건 위에 세워 두었습니다.

제1항 단서는 계약의 체결·이행에 필요한 경우(법 제15조 제1항 제4호) 등에 거부권이 적용되지 않는다고 정합니다. 실무에서 "우리는 계약 이행에 필요한 시스템이라 해당 없음"이라는 결론이 여기서 나옵니다. 그 결론은 거부권에 관해서만 맞습니다. 제2항의 설명 요구권과 제4항의 공개 의무에는 그 단서가 걸려 있지 않습니다. 조문을 항 단위로 끊어 읽지 않으면 세 의무를 한꺼번에 면제받은 것으로 잘못 정리하게 됩니다.

공개할 다섯 항목

시행령 제44조의4 제1항이 정하는 내용입니다.

1. 자동화된 결정이 이루어진다는 사실과 그 목적 및 대상이 되는 정보주체의 범위
2. 자동화된 결정에 사용되는 주요 개인정보의 유형과 자동화된 결정의 관계
3. 자동화된 결정 과정에서의 고려사항 및 주요 개인정보가 처리되는 절차
4. 자동화된 결정 과정에서 민감정보 또는 14세 미만 아동의 개인정보를 처리하는 경우 그 목적 및 처리하는 개인정보의 구체적인 항목
5. 자동화된 결정에 대하여 정보주체가 거부·설명등요구를 할 수 있다는 사실과 그 방법 및 절차

2호가 실무에서 가장 손이 많이 갑니다. 개인정보의 유형을 나열하는 데 그치지 말고 그 유형과 결정의 관계를 적으라고 요구하기 때문입니다. "이용 이력을 수집합니다"가 아니라 "최근 6개월 결제 이력이 한도 산정에 반영됩니다"에 가까운 서술이 필요합니다. 동시에 이 조항은 알고리즘을 공개하라는 요구가 아닙니다. 요구되는 것은 기준·절차·처리 방식이고, 가중치나 모델 구조까지 내놓아야 하는 것은 아닙니다. 어디까지 적을지는 2호와 3호의 문언을 기준선으로 잡는 편이 안전합니다.

4호는 대상이 좁지만 걸리면 부담이 큽니다. 민감정보나 14세 미만 아동의 개인정보가 결정 과정에 들어간다면 목적과 구체적 항목까지 적어야 합니다. 반대로 말하면, 그 두 유형을 결정 과정에서 배제하는 설계가 공개 부담을 줄입니다.

어디에 어떻게 공개하나

시행령 제44조의4 제1항 본문은 "인터넷 홈페이지 등을 통해" 정보주체가 쉽게 확인할 수 있도록 공개하도록 하고, 인터넷 홈페이지 등을 운영하지 않거나 지속적으로 알려야 할 필요가 없는 경우에는 미리 서면등의 방법으로 알릴 수 있도록 합니다. 같은 조 제2항은 정보주체가 쉽게 알 수 있도록 표준화·체계화된 용어를 사용해야 하며, 쉽게 이해할 수 있도록 동영상·그림·도표 등 시각적인 방법 등을 활용할 수 있다고 덧붙입니다. "활용할 수 있다"는 임의 규정이지만 "표준화·체계화된 용어를 사용해야 한다"는 의무여서, 내부에서 쓰는 모델 명칭이나 지표 약어를 그대로 옮겨 적는 방식은 이 요구에 어긋납니다.

배치는 둘 중 하나가 일반적입니다. 처리방침 안에 한 항목으로 넣거나, 처리방침에서 링크되는 별도 문서로 두는 방식입니다. 어느 쪽이든 처리방침에서 찾아갈 수 있어야 "쉽게 확인할 수 있도록"이라는 요건에 부합합니다.

공개는 시작이지 끝이 아닙니다. 다섯 번째 항목이 거부·설명 요구의 방법과 절차를 적으라고 요구하는 이상, 그 창구로 실제 요구가 들어옵니다. 요구를 받으면 정당한 사유가 없는 한 자동화된 결정을 적용하지 않거나 인적 개입에 의한 재처리·설명 등 필요한 조치를 해야 합니다(법 제37조의2 제3항). 처리 기한과 거절할 수 있는 범위, 시스템이 해외 본사에 있을 때 누가 답하는지는 → 본사 AI가 내린 결정을 한국 이용자가 거부했습니다

같은 시스템이 AI기본법에도 걸릴 수 있습니다. 채용·대출 심사처럼 개인의 권리·의무에 중대한 영향을 미치는 판단에 AI를 쓴다면 고영향 인공지능 해당 여부를 사전에 검토할 의무가 있고, 해당하면 설명 방안 수립·게시를 포함한 여섯 가지 책무가 따라붙습니다. 두 법의 공개 의무는 일부 겹칩니다. AI기본법 시행령 별표 1 제7호는 개인정보 보호법 제37조의2를 포함한 조치를 이행한 경우 개인정보 처리 및 보호에 관한 한 AI기본법 제34조 제1항 각 호의 조치를 이행한 것으로 봅니다. → 우리 서비스가 '고영향 인공지능’인가

처리방침은 어디에 어떻게 게시해야 하나?

작성만큼 자주 놓치는 것이 공개 방법입니다. 처리방침은 수립하거나 변경한 경우 정보주체가 쉽게 확인할 수 있도록 공개해야 하고(법 제30조 제2항), 원칙적인 방법은 인터넷 홈페이지에 지속적으로 게재하는 것입니다(시행령 제31조 제2항).

홈페이지에 게재할 수 없는 경우에만 다음 중 하나 이상의 방법을 씁니다(시행령 제31조 제3항).

1. 사업장 등의 보기 쉬운 장소에 게시
2. 관보(공공기관만) 또는 사업장 소재 시·도 이상 지역을 주된 보급지역으로 하는 일반일간신문·일반주간신문·인터넷신문에 게재
3. 연 2회 이상 발행해 정보주체에게 배포하는 간행물·소식지·홍보지·청구서 등에 지속적으로 게재
4. 재화·서비스 제공을 위해 작성한 계약서 등에 실어 정보주체에게 발급

여기서 하나 더 기억할 조항이 있습니다.

개인정보 보호법 제30조 ③ 개인정보 처리방침의 내용과 개인정보처리자와 정보주체 간에 체결한 계약의 내용이 다른 경우에는 정보주체에게 유리한 것을 적용한다.

처리방침은 안내문이 아니라, 이용약관 등과 어긋나면 정보주체에게 유리한 쪽으로 효력이 정리되는 문서입니다. "실제 운영과 다르지만 일단 넓게 써 두자"는 접근이 위험한 이유입니다.

안 지키면 어떻게 되나?

• 처리방침을 정하지 않거나 공개하지 않으면 1천만 원 이하의 과태료(법 제75조 제4항 제8호)
• 국내대리인 지정 대상인데 국내대리인의 성명·주소·전화번호·전자우편 주소를 처리방침에 포함하지 않으면 1천만 원 이하의 과태료(같은 항 제9호의2)

과태료보다 현실적인 압박은 처리방침 평가제입니다. 개인정보위는 ① 법정 기재사항을 적정하게 정하고 있는지, ② 알기 쉽게 작성했는지, ③ 정보주체가 쉽게 확인할 수 있는 방법으로 공개하고 있는지를 평가하고, 개선이 필요하면 개선을 권고할 수 있습니다(법 제30조의2 제1항).

평가 대상은 개인정보처리자의 유형·매출액 규모, 처리하는 개인정보의 유형·규모(민감정보·고유식별정보 포함 여부), 처리의 법적 근거와 방식, 법 위반행위 발생 여부, 아동·청소년 등 정보주체의 특성을 종합적으로 고려해 선정되고, 선정되면 평가 개시 10일 전까지 평가계획이 통보됩니다(시행령 제31조의2 제1항·제2항). 대상은 매년 7개 안팎의 분야를 새로 골라 지정하는 방식이어서(2024년 7개 분야 49개 서비스, 2026년 7대 분야 52개 서비스) 우리 업종이 언제 포함될지 미리 알기 어렵습니다. 차례가 온 뒤 손보는 것보다 기준을 미리 맞춰 두는 편이 낫습니다.

우리 상황이라면 어디를 더 봐야 하나

필수 항목을 채운 다음에는 회사가 무엇을 하고 있느냐에 따라 볼 곳이 갈립니다. 각각 별도의 글로 정리해 두었습니다.

해외 클라우드·SaaS를 쓰거나 해외 이용자를 받는다면. 가장 자주 비어 있는 항목이 국외이전입니다. 법은 제공(조회되는 경우를 포함한다)·처리위탁·보관을 모두 이전으로 보므로(법 제28조의8 제1항), 해외 리전 클라우드나 해외 본사가 운영하는 분석 도구·CRM을 쓰는 순간 해당합니다. 시행령 제31조 제1항 제2호는 이전의 근거와 함께 법 제28조의8 제2항 각 호의 사항(이전 항목·국가·시기·방법, 수령자, 이용목적과 보유기간, 거부 방법과 그 효과)을 적도록 합니다. 그리고 해외 이용자를 받기 시작했다면 국문 처리방침과 영문 Privacy Policy는 서로 다른 법이 요구하는 별개 문서입니다. → 처리방침을 번역해 영문 Privacy Policy로 써도 되나

마케팅팀이 심은 광고 픽셀·SDK도 빼놓기 쉬운 국외이전 지점입니다. → 웹사이트에 심은 광고 픽셀이 수집하는 행태정보도 개인정보인가

AI로 심사·추천을 자동화했다면. 자동화된 결정의 기준과 절차, 개인정보가 처리되는 방식을 공개할 의무가 별도로 있습니다(법 제37조의2 제4항). 이것은 법 제30조의 처리방침 기재사항이 아니라 별개의 공개 의무여서, 처리방침 항목만 맞춰 두면 빠집니다. 공개할 다섯 항목과 거부권 예외의 범위는 위 절에 정리했습니다.

생성형 AI 기능이 있다면. 이용자가 입력한 내용과 생성된 결과물이 수집·저장되는지, 그것이 어느 나라 어느 회사로 가는지가 처리방침 기재 대상이 됩니다. 2026년 4월 24일 개정된 작성지침이 이 부분에 부록을 새로 두었습니다. → 생성형 AI 서비스의 개인정보 처리방침

2026년 9월 11일 이후. 기재사항 목록 자체는 바뀌지 않았지만, 처리방침에 적는 내용의 전제가 되는 조항들이 움직였습니다. 사업주·대표자의 최종 책임을 명문화한 제30조의3이 신설됐고, 개인정보 보호책임자 지정에 이사회 의결이 들어오면서 제31조의 항 번호가 밀렸습니다. 조문 단위 신구 대조는 → 2026년 9월 11일 시행 개정 개인정보 보호법 신구조문 대조표

자동 생성 도구로 만든 처리방침을 쓰고 있다면. 문서가 있다는 것과 문서가 맞다는 것은 다릅니다. 실사와 조사에서 이 문서가 어떻게 읽히는지는 → 자동 생성한 개인정보 처리방침, 실사와 조사에서는 어떻게 읽히나

지금 바로 확인할 체크리스트

1. 처리방침에 민감정보의 공개 가능성·비공개 선택 방법 항목이 있는가 (해당되는 경우)
2. 가명정보 처리에 관한 사항을 적었는가 (가명처리를 하는 경우)
3. 국외이전 항목에 근거와 함께 이전 항목·국가·시기·방법·수령자·이용목적·보유기간·거부 방법이 모두 들어 있는가
4. 국외에서 국내 이용자 정보를 직접 수집한다면 처리 국가명을 적었는가
5. 국내대리인 지정 대상이라면 성명·주소·전화번호에 더해 전자우편 주소까지 적었는가
6. 처리방침이 홈페이지에 지속적으로 게재되어 있고, 이용약관·실제 운영과 어긋나지 않는가
7. 마지막 개정일이 2024년 3월 15일 이후인가 (그 이전이라면 항목 누락 가능성이 높습니다)
8. 사람의 실질적 개입 없이 결과가 정해지는 판단이 있다면, 거부권 유무와 상관없이 시행령 제44조의4 제1항의 다섯 항목(개인정보 유형과 결정의 관계, 민감정보·14세 미만 아동 정보의 처리 여부 포함)을 처리방침에서 찾아갈 수 있는 자리에 공개했는가

보유기간 항목을 적을 때는 실제 파기 시점과 어긋나지 않는지 함께 확인해야 합니다. 탈퇴한 회원의 데이터를 어떤 근거로 얼마나 남길 수 있는지는 회원이 탈퇴하면 개인정보를 바로 파기해야 하나에서 조문별로 정리했습니다.

처리방침에 적어 둔 내용과 회사가 실제로 하는 처리가 어긋나는지는 대개 유출 조사에서 확인됩니다. 사고를 인지한 뒤 72시간에 해야 할 일은 개인정보 유출 인지 후 72시간 안에 해야 할 일과 하면 안 되는 일에 정리했습니다.

처리방침이 외국계 한국법인의 문제로 넘어가면 점검 범위가 넓어집니다. 본사 산출물 단위로 본 지도는 본사 정책을 한국 법인에 옮겼을 때 다시 봐야 할 아홉 지점에 있습니다.

자주 묻는 질문

Q. 2023년에 만든 개인정보처리방침을 그대로 써도 되나요?

그대로 두면 항목이 비어 있을 가능성이 높습니다. 2023년 9월 15일부터 민감정보의 공개 가능성·비공개를 선택하는 방법(법 제30조 제1항 제3호의3), 가명정보의 처리 등에 관한 사항(같은 항 제4호의2), 국외이전의 근거와 법 제28조의8 제2항 각 호의 사항(시행령 제31조 제1항 제2호)이 필수 기재사항으로 추가됐고, 2024년 3월 15일에는 국외에서 국내 정보주체의 개인정보를 직접 수집해 처리하는 경우의 처리 국가명(시행령 제31조 제1항 제4호)이 더해졌습니다. 마지막 개정일이 2024년 3월 15일 이전이라면 점검이 필요합니다.

Q. 처리방침에 국내대리인을 안 적으면 어떻게 되나요?

1천만 원 이하의 과태료 대상입니다. 국내대리인을 지정한 개인정보처리자는 국내대리인의 성명(법인은 명칭과 대표자 성명), 주소(법인은 영업소 소재지), 전화번호 및 전자우편 주소를 처리방침에 포함해야 하고(법 제31조의2 제4항), 이를 누락하면 과태료가 부과됩니다(법 제75조 제4항 제9호의2). 기재 의무 자체는 그 전부터 있었으나 과태료 근거는 2025년 10월 2일에 신설됐습니다.

Q. 홈페이지가 없는 회사는 개인정보처리방침을 어디에 공개하나요?

인터넷 홈페이지에 지속적으로 게재하는 것이 원칙이고(시행령 제31조 제2항), 게재할 수 없는 경우에만 같은 조 제3항의 네 가지 대체 방법 — 사업장 게시, 신문·관보 게재, 정기 간행물 게재, 계약서 등 발급 문서 수록 — 중 하나 이상을 씁니다. 각 방법의 요건은 위 게시 방법 절에 있습니다.

Q. AI로 자동 심사·추천을 하면 처리방침에 써야 하나요?

처리방침 기재사항과는 별개의 공개 의무가 걸립니다. 개인정보처리자는 자동화된 결정의 기준과 절차, 개인정보가 처리되는 방식 등을 정보주체가 쉽게 확인할 수 있도록 공개해야 하는데(법 제37조의2 제4항), 이것은 법 제30조 제1항의 목록에 들어 있지 않습니다. 공개할 내용은 시행령 제44조의4 제1항이 다섯 가지로 정하고, 같은 조는 '인터넷 홈페이지 등을 통해' 공개하도록 하므로 처리방침 안에 한 항목으로 넣어도 되고 처리방침에서 링크되는 별도 문서로 두어도 됩니다. 실무에서는 처리방침에 항목을 두고 상세 문서로 연결하는 구성이 관리하기 쉽습니다.

Q. 계약 이행에 필요한 자동화 시스템이라 거부권이 없다면 공개도 안 해도 되나요?

공개는 해야 합니다. 법 제37조의2 제1항 단서는 법 제15조 제1항 제1호·제2호·제4호에 따라 이루어진 자동화된 결정에 거부권이 적용되지 않는다고 정할 뿐이고, 같은 조 제2항의 설명 등 요구권과 제4항의 공개 의무는 그 단서의 적용을 받지 않습니다. 거부권이 없는 구조라도 공개 다섯 항목과 설명 요구 대응 절차는 갖추어야 합니다.

이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.

참고 자료

• 개인정보 보호법 제2조 제5호(개인정보처리자), 제28조의8(국외이전), 제30조(처리방침의 수립 및 공개), 제30조의2(처리방침의 평가 및 개선권고), 제31조의2(국내대리인의 지정), 제37조의2(자동화된 결정에 대한 정보주체의 권리 등), 제75조 제4항 제8호·제9호의2(과태료) — 국가법령정보센터. 법률 제20897호(2025. 10. 2. 시행)
• 개인정보 보호법 시행령 제31조(처리방침의 내용 및 공개방법 등), 제31조의2(처리방침의 평가 대상 및 절차), 제32조의3(국내대리인 지정 대상자의 범위 등), 제44조의4(자동화된 결정의 기준과 절차 등의 공개) — 국가법령정보센터. 대통령령 제36121호(2026. 8. 20. 시행)
• 인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 시행령 별표 1(이행조치 인정 기준 및 절차) 제7호 — 개인정보 보호법상 조치 이행 시 AI기본법 제34조 제1항 각 호 조치의 이행 간주 범위
• 개인정보 보호법 일부개정법률(법률 제21445호, 2026. 3. 10. 공포, 2026. 9. 11. 시행 / 제32조의2 제1항 단서는 2027. 7. 1. 시행)
• 개인정보 처리방침 평가, 국민 눈높이에서 더 꼼꼼히 본다(2026년도 평가계획) — 개인정보보호위원회 보도자료