「개인정보 보호법」 제정·개정사 종합 정리 (1994 전사 ~ 2026.10)

면책 — 이 문서는 일반 정보 정리이며 법률 자문(legal advice)이 아닙니다. 구체적인 사안의 판단·대응은 반드시 변호사 등 전문가의 자문을 받으십시오. 법령·판례·처분은 이 문서 작성 뒤에도 바뀔 수 있습니다.

기준일자: 2026-10-20. 이날 국가법령정보센터(law.go.kr) 연혁 목록에서 "현재 시행 중"으로 표시된 판은 법률 제21445호(2026.3.10 공포, 2026.9.11 시행분) 와 시행령 대통령령 제36671호(2026.9.10 공포, 2026.9.11 시행) 입니다. 아직 시행되지 않은 판은 법률 제21910호(AI 특례, 2027.3.9 시행) 와 법률 제21445호 중 인증 의무화 부분(2027.7.1 시행) 입니다. [1][16][17]

주요 출처 — ① 국가법령정보센터 법령 원문·「제정·개정이유」(law.go.kr) ② 국회 의안정보시스템·열린국회정보 ③ law.go.kr 판례·헌재결정례 원문 ④ 개인정보보호위원회(PIPC) 보도자료·첨부 PDF(pipc.go.kr) ⑤ EUR-Lex·EU 집행위원회 ⑥ RISS·KCI·국회입법조사처(NARS) 학술 문헌 초록 ⑦ 언론·로펌 자료(보조). 원자료는 같은 프로젝트 refs/ 폴더의 2026-10-20자 수집본 5종과 원문 사본 폴더(refs/2026-10-20_lawgokr_raw/, refs/2026-10-20_집행_raw/)입니다.

작성 원칙 — 위 수집본에 들어 있는 사실만 적었습니다(기억에 의존한 추가 사실 없음). 수집본끼리 값이 다르면 refs/2026-10-20_교차검증.md의 정정 결과를 따랐고, 끝내 결론이 안 난 것은 두 값을 모두 적고 이유를 밝혔습니다.

0-1. 범례 — 출처 등급 표시

0-2. 처음 읽는 분을 위한 용어 풀이

1. 한눈에 보기

1-1. 전체 연혁표 (법률 14개 판)

law.go.kr 연혁 목록 기준으로 법률번호 14개, 시행일 기준으로 23개 항목입니다. [1] 국회 정보는 교차검증으로 확인된 것만 적고 나머지는 미확인으로 두었습니다.

보충 설명

• law.go.kr 법률 연혁 목록에 나온 타법개정은 3건(2013.3.23, 2014.11.19, 2017.7.26)뿐이고, 모두 「정부조직법」 개정으로 담당 부처 이름이 바뀐 것입니다. 그 밖의 타법개정은 목록에 없었습니다. [1]
• 2023년 법률 제19234호에 대해서는 2023.4.4 법제처장 명의로 관보 제20458호(2023.3.14) 게재분의 오류 정정 공고가 있었습니다. 정정 내용 자체는 미확인. [12]
• 사용자 메모 중 "2014.3.24 = 주민번호 과징금"이라는 기재는 원문과 다릅니다. 주민번호 과징금(제34조의2)은 2013.8.6 제11990호, 2014.3.24 제12504호는 암호화 의무입니다. [4][5] 정정

1-2. 시대 구분 (5기)

2. 제정 이전의 배경

2-1. 1994년 「공공기관의 개인정보보호에 관한 법률」

2-2. 이원 구조 — 공공기관법 + 정보통신망법 (+ 영역별 법)

• 일반법 제정 전에는 공공기관이 컴퓨터 등으로 처리하는 개인정보 = 공공기관 개인정보보호법, 정보통신서비스 제공자가 수집하는 개인정보 = 정보통신망법이 각각 규율했습니다. 법무법인 지평 뉴스레터(2011.9)는 신법이 "직접 배포된 신청서" 등 기존 법이 분명히 다루지 못한 영역까지 적용된다고 설명했습니다. 2차 [81]
• 학계는 1994 공공기관법 → 1995 신용정보법 → 2000 정보통신망법으로 영역별 법제가 생겨났고, 2010년 무렵 유출사고 빈발이 일반법 제정의 동력이 되었다고 정리합니다(손형섭 2012, A3). 학술
• 2011년 국회 대안의 제안이유: "국가사회 전반을 규율하는 개인정보 보호원칙과 개인정보 처리기준이 마련되지 못해 개인정보 보호의 사각지대가 발생". [1차-국회 원문 PDF] [24]

2-3. 헌법적 기초 — 개인정보자기결정권

• 헌법재판소 2005.5.26. 99헌마513 결정(전원재판부, 주민등록법 지문날인 사건): 주문은 일부 청구 각하, 나머지 청구 기각. 개인정보자기결정권을 "자신에 관한 정보가 언제 누구에게 어느 범위까지 알려지고 또 이용되도록 할 것인지를 그 정보주체가 스스로 결정할 수 있는 권리"로 정의하고, 헌법 제17조·제10조 제1문 등을 이념적 기초로 하는 "독자적 기본권으로서 헌법에 명시되지 아니한 기본권"으로 보았습니다. 1차-판결 [37] / 해설 2차 [40]
• 수집 단계에서는 "99헌마513, 2004헌마190(병합)"으로 적었으나, law.go.kr 본문에서 2004헌마190 병합 표기는 찾지 못했습니다 → 병합번호 미확인.
• 이 결정이 2011년 제정에 직접 영향을 줬다는 1차 출처는 없습니다 → 미확인. 1994년 법과 2011년 법 사이 시기의 헌법적 배경으로만 적습니다. 해석

2-4. 17대 국회(2004~2008) — 임기만료 폐기

• 2003년 NEIS(교육행정정보시스템) 논란을 계기로 일반법 입법 논의가 시작됐다는 보도가 있습니다. 2차 [82][83]
• 17대 국회에서 개인정보보호 법안 3건이 발의되고 통합안까지 만들었으나 합의하지 못해 임기만료로 폐기되었습니다. 주된 쟁점은 "개인정보보호 감독 독립기구 설치" 여부였습니다(디지털타임스 2008.9.30). 2차 [84]
• 노회찬(2004.11)·이은영(2005.7)·이혜훈(2005.12) 의원안이라는 발의자·발의일은 검색 요약에만 나옴 → 미확인.

2-5. 18대 국회(2008~2011) 경과 — 13건 통합 대안

출처: 국회 행정안전위원장 대안(의안번호 11087 = 의안정보시스템상 1811087, 2011.3.10) 원문 1차-국회 [24][25]

• 참고: digitaljustice.kr은 "2011년 3월 29일 국회 통과"라고 적었지만 3.29는 공포일이므로 오기로 판단합니다. 2차 [82]
• 지연 이유: 보안뉴스 「정보보호 20년사」는 감독기구를 행정안전부 소속으로 둘지 독립기구로 둘지 다툰 것이 "개인정보보호법 시행이 9년여 만에 된 원인 중 하나"라고 평가합니다. 2차 [83]

2-6. 제정 당시의 쟁점 정리

2-7. 제정 직전·직후의 대형 유출 사고 (배경)

• 옥션 사고가 특정 입법을 직접 이끌었다는 1차 출처는 없습니다 → 미확인. 보안뉴스는 2008년 이후 대형 유출이 이어지면서 일반법 제정에 대한 사회적 공감대가 생겼다고만 서술합니다. 검색요약 [83]
• 2011년 제정법의 공포(3.29)·시행(9.30)은 현대캐피탈(4월)·SK컴즈(7월) 사고와 시기가 겹치지만, 이 두 사고는 제정 이후의 사건입니다. 해석

3. 개정별 상세

읽는 법: 각 판마다 ① 배경·계기 ② 주요 개정사항(이전 → 이후 비교표, 조문번호) ③ 시행일 ④ 영향받는 대상 ⑤ 학계·현장 평가 ⑥ 출처 순서로 적었습니다. 조문번호 중 "안 제○조"는 국회 법안 기준 번호입니다. 개정이유 인용은 law.go.kr 원문 그대로입니다.

3-1. 제정 — 법률 제10465호 (2011.3.29 공포 / 2011.9.30 시행, 일부 2012.3.30)

① 배경·계기

• 제정이유(원문): "공공부문과 민간부문을 망라하여 국제 수준에 부합하는 개인정보 처리원칙 등을 규정하고, 개인정보 침해로 인한 국민의 피해 구제를 강화하여 국민의 사생활의 비밀을 보호하며, 개인정보에 대한 권리와 이익을 보장하려는 것임." [2]
• 국회 대안 제안이유 요지: 정보사회 고도화로 개인정보 수집·이용이 보편화됐으나 통일된 원칙이 없었고, 그 사이 유출·오용·남용으로 사생활 침해, 명의도용, 전화사기 피해가 발생. [24]
• 국회 경과는 2-5 참조(13건 통합 대안, 본회의 2011.3.11). [24][25]

② 주요 내용 (이전 → 이후)

③ 시행일: 부칙 제1조 "이 법은 공포 후 6개월이 경과한 날부터 시행한다. 다만, 제24조제2항 및 제75조제2항제5호는 공포 후 1년이 경과한 날부터 시행한다." → 2011.9.30 / 2012.3.30. [2] 시행령(대통령령 제23169호)은 2011.9.29 공포, 2011.9.30·2012.3.30 시행. [16]

④ 영향받는 대상: 모든 공공기관·사업자(행정안전부 보도자료 부제 "모든 공공기관·사업자를 규율대상으로"). 종전 법의 사각지대였던 오프라인 사업자·수기 문서 처리자가 새로 규율대상이 됨. [2][120][81]

⑤ 학계·현장 평가

• 김운석(2011, A1): 제정법의 변화를 10가지(적용대상 확대·사각지대 해소, 보호위원회 설치, 단계별 보호기준, 고유식별정보 처리제한, CCTV 제한, 영향평가, 정보주체 권리, 집단분쟁조정·단체소송, 침해신고, 벌칙 강화)로 정리하고 "일원화된 체계"가 오·남용 피해를 줄일 것이라 기대. 학술
• 김일환(2011, A2): "진일보한 법"이지만 보호위원회는 독립성·권한이 부족한 '타협의 산물'. 학술
• 배대헌(2012, A4): 용어·문장 정비, 개인정보 보호법 중심의 관련 법률 간 조화, '잊힐 권리' 입법 검토를 과제로 제시. 학술
• 이은우(2012, A5), 이한주(2013, A6): 위원회 권한·독립성 한계. 학술
• NARS 심우민(2011, A7) 「개인정보 보호법 시행과 당면과제」 — 요지 미확인. 학술

3-2. 타법개정 — 법률 제11690호 (2013.3.23, 「정부조직법」 전부개정)

• 개정이유: 정부조직 개편 — "행정안전부를 안전행정부로 개편함(안 제34조)" 등. [3]
• 이 법에 대한 내용(부칙 제6조 <150>): 제9조제1항 등 여러 조문의 "행정안전부장관" → "안전행정부장관", 제18조제4항 "행정안전부령" → "안전행정부령". 시행 2013.3.23. [3]
• 영향: 개인정보 보호 주무부처 명칭만 변경(권한 내용 변화 없음). [3]

3-3. 일부개정 — 법률 제11990호 (2013.8.6 공포 / 2014.8.7 시행) ★주민등록번호 처리 제한·과징금

① 배경·계기

• 개정이유(원문): "모든 개인정보처리자에 대하여 원칙적으로 주민등록번호의 처리를 금지하고, 주민등록번호가 분실ㆍ도난ㆍ유출ㆍ변조ㆍ훼손된 경우 5억원 이하의 과징금을 부과ㆍ징수할 수 있도록 하며, … 대표자 또는 책임 있는 임원을 징계할 것을 권고할 수 있도록 명확히 하여 주민등록번호 유출사고를 방지하는 한편, 기업이 주민등록번호 등 개인정보 보호를 위한 책임을 다하도록 하려는 것임." [4]
• 관련 흐름: 2011~2012년 SK컴즈·넥슨·KT 등 대형 유출 뒤 2012.2.17 정보통신망법 개정(법률 제11322호, 2012.8.18 시행)이 온라인 영역의 주민번호 수집·이용 제한과 유출 통지·신고 의무를 먼저 도입("대규모 개인정보 유출사고가 발생하는 것을 방지하기 위하여"). [21] 제11990호는 이 흐름을 모든 개인정보처리자로 넓힌 것으로 볼 수 있습니다 해석. 제11990호 개정이유는 특정 사고를 거명하지 않습니다. [4]
• NARS 심우민(2013, B1)은 정보통신망법상 온라인 주민번호 수집금지의 문제점(당사자 협의 미흡, 본인확인기관 활용의 불안정성, 여전한 주민번호 활용)을 지적. 학술

② 주요 개정사항

③ 시행일·경과: 부칙 제1조 "이 법은 공포 후 1년이 경과한 날부터 시행한다." → 2014.8.7. 부칙 제2조: 시행 당시 보유한 주민등록번호는 "시행일부터 2년 이내에" 파기. [4] 시행령 대통령령 제25531호(2014.8.6 공포, 2014.8.7 시행)가 과징금 부과기준·30일 내 납부를 정함. [16]

• 참고: 2014.11.19 타법개정으로 위 조문의 "안전행정부장관"은 "행정자치부장관"으로 바뀜(3-6). [6]

④ 영향받는 대상: 법령 근거 없이 주민번호를 수집하던 모든 공공·민간 개인정보처리자(오프라인 포함). 회원가입 시 주민번호 대체수단 제공 의무. [4]

⑤ 평가: NARS 하혜영(2014, B2) — 주민번호 체계 개편 대체방안 4가지(완전폐지·임의번호 전환·발행번호 도입·침해요소 제거) 비교, 목적 외 사용금지·재발급 요건 완화 등 과제. 학술

3-4. 일부개정 — 법률 제12504호 (2014.3.24 공포·시행 / 암호화 2016.1.1) ★주민번호 암호화

① 배경·계기

• 개정이유(원문): "최근 카드사 등에서 대규모의 개인정보 유출 사고가 빈번하게 발생하여 사회문제가 되고 있고, … 특히 주민등록번호를 보관하는 개인정보처리자는 주민등록번호를 암호화하도록 의무화하려는 것임." [5]
• 직접 계기: 2014.1.8 창원지방검찰청 특수부 중간발표 — KCB(코리아크레딧뷰로) 직원이 FDS(부정사용방지시스템) 개발 용역 중 카드3사 고객정보 유출(국민 5,300만, 농협 2,500만, 롯데 2,600만, 합계 1억 400만, 중복 포함). 2차 [94] (4장 참조)

② 주요 개정사항

③ 시행일: 부칙(원문) "이 법은 공포한 날부터 시행한다. 다만, 법률 제11990호 개인정보 보호법 일부개정법률 제24조의2 및 제75조제2항제5호의 개정규정은 2016년 1월 1일부터 시행한다." [5] 위임사항은 시행령 대통령령 제26776호(2015.12.30 공포, 2015.12.30·2016.1.1 시행). [16]

④ 영향받는 대상: 주민등록번호를 보관하는 모든 개인정보처리자(암호화 의무). [5]

⑤ 평가: 김주영(2014, B3) — 2014.1 카드사 유출사건 후 개정안들을 '교차점 분석'(입법평가 기법)으로 검토, 일반법이 있어도 민간 영역별 법제가 남아 중첩 규율이 상존하므로 전체적·체계적 법정비가 시급. 학술

3-5. (관련 법) 같은 시기 정보통신망법·신용정보법 개정

「개인정보 보호법」의 판은 아니지만, 2014 카드3사 사고에 대한 입법 반응이 여러 법에 나뉘어 들어왔으므로 함께 적습니다.

• 학계: 최경진(2015, B4) — 정보통신망법·신용정보법의 300만원 이하 법정손해배상은 기존 상당손해액형과 미국 실손해 대체형의 절충형이며 하한 설정, 증명책임 전환 명확화, 소멸시효 일원화 등 입법 보완이 필요. 학술

3-6. 타법개정 — 법률 제12844호 (2014.11.19, 「정부조직법」 일부개정)

• 개정이유: 국민안전처·인사혁신처 신설, "안전행정부는 … 행정자치부로 명칭을 변경함." [6]
• 이 법에 대한 내용(부칙 제6조 <56>): 제24조의2제1항제3호, 제34조의2 등을 포함한 여러 조문의 "안전행정부장관" → "행정자치부장관", 제18조제4항 "안전행정부령" → "행정자치부령". 시행 2014.11.19. [6]

3-7. 일부개정 — 법률 제13423호 (2015.7.24 공포 / 2015.7.24·2016.1.1·2016.7.25 시행) ★징벌적·법정손해배상, 보호위원회 기능 강화

① 배경·계기

• 개정이유(원문): "2014년 1월 카드사 개인정보 유출사고와 같은 대형 개인정보 유출이 빈발하는 등 … 대통령 소속 개인정보 보호위원회의 총괄ㆍ조정 기능 강화, 개인정보 보호 인증기관 지정 근거 마련 등 현행법의 운영상 미비사항을 보완하고, 징벌적 손해배상제ㆍ법정손해배상제를 도입하여 개인정보 유출에 대한 피해구제를 강화하는 한편, 개인정보 불법 유통으로 얻은 범죄 수익을 몰수ㆍ추징하고 …" [7]
• 개정이유가 사고를 직접 거명한 사례입니다. [7]

② 주요 개정사항

③ 시행일: 부칙 제1조 — 공포한 날(2015.7.24) 시행. 다만 제8조제1항, 제8조의2, 제9조, 제11조제1항, 제32조의2, 제39조제3항·제4항, 제39조의2, 제40조, 제75조제2항제7호의2는 "공포 후 1년이 경과한 날부터"(→ 2016.7.25), 제12504호 제24조의2제2항 전단 및 제75조제2항제4호의3은 "2016년 1월 1일부터". [7]

• 즉 징벌적·법정손해배상은 2016.7.25부터 적용. [7]

④ 영향받는 대상: 모든 개인정보처리자(손해배상 책임 강화), 불법 유통 관여자(형벌·몰수). 인증 대상 사업자. [7]

⑤ 학계·현장 평가

• NARS 손주연(2015, B8): 공식 해설 — 징벌적·법정손해배상 도입, 제재수준 강화, 보호위원회 기능 강화, 인증제도, 추가 보완 과제(손해배상 개선, 불법유통 제재, 정책 역할 체계화). 학술
• 이종구(2015, B5): 재량적 3배 배상은 과잉금지원칙과 충돌하지 않음. 다만 손해액 입증이 어려우면 실효성이 없으므로 개연성 입증 완화, 법정손해배상과 병행(최고·최저한도), 법원의 적극적 재량 행사 필요. 학술
• 여경수(2015, B6): 초록상 저자 평가는 미확인. 학술
• 김일환·성재호(2015, B7): 적용대상 전면화·단계별 보호기준·영향평가를 개관, "여전히 이해하기 어렵다"는 문제와 모호성 지적. 학술

3-8. 일부개정 — 법률 제14107호 (2016.3.29 공포 / 2016.9.30·2017.3.30 시행)

① 배경: 개정이유에 "영상정보처리기기 안내판 설치 관련 규정을 법률에 상향 규정" 등이 언급됨. 특정 사고 거명은 수집본에 없음. [8]

② 주요 개정사항

③ 시행일: 부칙 제1조(원문) "이 법은 공포 후 6개월이 경과한 날부터 시행한다. 다만, 제24조의2제1항제1호 및 제67조제2항제5호의 개정규정은 공포 후 1년이 경과한 날부터 시행한다." → 2016.9.30 / 2017.3.30. [8]

④ 영향: 제3자로부터 정보를 받는 사업자(데이터 구매·제휴), 민감정보 처리자, 시행규칙·고시만을 근거로 주민번호를 수집하던 기관·기업. [8] [해석: 영향 대상 분류는 조문 내용에서 도출]

3-9. 일부개정 — 법률 제14765호 (2017.4.18 공포 / 2017.10.19 시행)

• 개정이유(원문): "개인정보처리자가 서면 등으로 정보주체의 동의를 받을 때에는 정보의 수집ㆍ이용 목적, 수집ㆍ이용하려는 개인정보의 항목 등 대통령령으로 정하는 중요한 내용을 행정자치부령으로 정하는 방법에 따라 명확히 표시하여 알아보기 쉽게 하려는 것임." [9]

• 시행: 부칙 "공포 후 6개월이 경과한 날부터 시행한다." → 2017.10.19. [9]
• 영향: 서면(종이·전자 동의서 등)으로 동의를 받는 모든 개인정보처리자. [9]

3-10. 타법개정 — 법률 제14839호 (2017.7.26, 「정부조직법」 일부개정)

• 개정이유: "국민안전처와 행정자치부를 통합하여 행정안전부를 신설" 등. [10]
• 이 법에 대한 내용(부칙 제5조 ㊾): 여러 조문 "행정자치부장관" → "행정안전부장관", 제18조제4항 "행정자치부령" → "행정안전부령", 그리고 (시행 전이던) 제14765호의 제22조제2항 "행정자치부령" → "행정안전부령"(이 부분은 2017.10.19 시행). [10]

3-11. 일부개정 — 법률 제16930호 (2020.2.4 공포 / 2020.8.5 시행) ★데이터 3법

① 배경·계기

• 개정이유(원문): "현행법상 개인정보 보호 감독기능은 행정안전부ㆍ방송통신위원회ㆍ개인정보보호위원회 등으로, 개인정보 보호 관련 법령은 이 법과 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 등으로 각각 분산되어 있어 … 정보주체의 동의 없이 과학적 연구, 통계작성, 공익적 기록보존 등의 목적으로 가명정보를 이용할 수 있는 근거를 마련하되 … 감독기구는 개인정보 보호위원회로, 관련 법률의 유사ㆍ중복 규정은 이 법으로 일원화" [11]
• 같은 개정이유: "핵심 자원인 데이터의 이용 활성화를 통한 신산업 육성이 범국가적 과제로 대두". [11]
• '데이터 3법' = 같은 시기에 함께 개정된 「개인정보 보호법」·「정보통신망법」·「신용정보법」을 묶어 부르는 말. 2차 [99]
• 국회: 「개인정보 보호법 일부개정법률안(대안)」 의안번호 2024495, 행정안전위원장, 제안·본회의 2020.1.9 원안가결. 1차-국회 [26]
• 인재근 의원안이 당정협의를 거친 "사실상의 정부안"이었다는 내용은 검색요약에만 있고 발의일(2018.11)·의안번호는 미확인. 검색요약
• EU 적정성과의 관계: 아이뉴스24(2020.1.22)는 GDPR 적정성 평가가 "규제기관 독립성"과 적용 법률 범위가 좁은 문제로 늦어지고 있었다고 보도하고, 염흥열 교수의 "연내 조속히 완료될 수 있을 것" 전망을 실었습니다. 2차 [99] 그러나 2020 개정 법률의 개정이유에는 EU·GDPR 언급이 없습니다. 1차-법령 [11] → 적정성이 입법 동기였다는 연결은 해석·보도 수준.
• 이 개정 이전 단계: 2016 「비식별 조치 가이드라인」 등 가이드라인 중심 운영 → 가이드라인의 법률적 근거 필요성이 제기됨(NARS 심우민 2017, C3). 학술

② 주요 개정사항

③ 시행일·부칙: 부칙 제1조 "이 법은 공포 후 6개월이 경과한 날부터 시행한다." → 2020.8.5. [11]

• 부칙 정리(원문 사본 대조): 제2조 — 종전 위원 임기는 시행 전날 만료 / 제3조 — 방송통신위원회 소관사무 중 개인정보 보호 사무(①)와 행정안전부장관 소관 사무 중 제7조의8 사무(②)는 보호위원회가 "승계" / 제5조 — 정보통신망법 제47조의3에 따른 인증기관·심사기관은 이 법 제32조의2의 전문기관으로 간주 / 제8조 — 시행 전 종료된 행위의 과징금은 종전 규정 / 제9조 — 다른 법률(방송통신위원회법 등) 개정 / 제10조 — 다른 법령이 "방송통신위원회"·"행정안전부장관" 등을 인용한 경우 보호위원회를 인용한 것으로 봄. [11]
• 수집본 사이의 표기 차이(연혁 파일 "부칙 제9조"는 개정이유 주요내용 '나'의 괄호 표기, 집행 파일 "부칙 제10조")는 원문 사본으로 확인한 결과 사무 승계 = 부칙 제3조, 다른 법률 개정 = 제9조, 인용 간주 = 제10조로 정리됩니다. [11] 정정·조정
• 시행령: 대통령령 제30892호(2020.8.4 공포, 2020.8.5·2021.2.5 시행)가 위임사항 규정. [16]
• 출범 규모: 2020.8.5 출범, 금융위 기능 일부 포함, 4국14과 154명이라는 보도 2차 [125]. 금융위원회 부분은 미확인.

④ 영향받는 대상

• 데이터 활용 기업·연구기관(가명정보 활용 근거), 결합을 원하는 기관(결합전문기관 경유 의무). [11]
• 정보통신서비스 제공자: 감독기관이 방송통신위원회 → 보호위원회로 바뀌고 근거 법이 정보통신망법 → 이 법 제6장으로 이동. [11]
• 종전 정보통신망법상 ISMS 계열 인증기관은 이 법 전문기관으로 간주. [11]

⑤ 학계·현장 평가

• 이소은(2020, D1): 제정 이후 가장 큰 변화. 개인정보 정의 명확화, 위원회 권한·독립성 강화, 일반법 지위 확립. 가장 중요한 변화는 동의 없는 처리 사유 확대. 학술
• 김송옥(2020, D2): 산업계·시민단체 모두 문제 제기. 비교법상 한국만 ① 동의 없는 가명처리 목적을 3가지로 한정, ② 결합을 정부 지정 결합전문기관 경유로 강제, ③ 정보주체 권리·처리자 의무를 한 줄 조항으로 일괄 배제하는 "유례없는" 체계. 해외입법례의 "잘못된 소개"도 지적. 학술
• 강달천(2020, D3): '사전동의=형식적 동의', '동의의무 위반=형사처벌' 공식(동의 만능주의)이 유지돼 가명정보 등 신설 규정이 제 기능을 하기 어렵다. 학술
• 이양복(2020, D4): 산업적 목적 포함 '과학적 연구'에 쓰인 가명정보의 목적 달성 후 삭제 규정 부재, 가명처리의 보안 취약성 우려. 학술
• 이부하(2020, D5): '과학적 연구' 범위 불명확 → 공익 목적 활동으로 한정 해석해야. 학술
• 김정수(2020, D6): 분산·중복 법제 일원화는 성과지만 급박한 입법으로 체계성·정합성 검토가 부족. 학술
• 노윤경·오병철(2020, D7): 과징금이 국고 귀속돼 피해구제와 무관 → 용도를 법에 한정하는 규정 제안. 학술
• 임효진·박형준(2022, D8, 옹호연합모형 분석): 보호를 지지하던 집권세력이 경제활성화를 위해 활용옹호연합으로 재편된 것이 통과의 핵심 요인, 행정안전부가 정책중개자. 학술
• NARS 최정민(2020, D9): 중앙행정기관화로 독립적 집행 가능. 과제는 소속·국무총리 감독권 범위, 대통령령 위임 대신 법률 명시, 신용정보의 PIPC·금융위 이원 감독체계. 학술
• 유충호(2022, D12): 일원화·독립성은 진전, 그러나 신용정보법 유사 규정 잔존, 국회 우선 임명 구조의 정치적 독립성 우려 → 대통령 지명·국회 승인 방식, '한국개인정보보호원' 설립 제안. 학술
• 시민단체: 참여연대 「[2019 정기국회 입법 반대과제] 개인정보의 무분별한 상업적 판매 허용하는 개인정보보호법안 등 '데이터3법' 폐기」 — 제목만 확인, 검색 요약상 "가명정보도 결합 시 식별 위험이 있는 개인정보"라는 취지. 세부 미확인. 2차 [135]

3-12. 일부개정 — 법률 제19234호 (2023.3.14 공포 / 2023.9.15·2024.3.15·2025.3.13 시행) ★실질적 전면 정비

① 배경·계기

• 개정이유(원문 일부): "정보주체가 개인정보처리자에게 자신의 개인정보를 정보주체 본인, 개인정보관리 전문기관 또는 … 자에게 전송할 것을 요구할 수 있도록 하고, 인공지능 등을 이용한 자동화된 결정이 정보주체의 권리 또는 의무에 중대한 영향을 미치는 경우 정보주체가 이를 거부하거나 해당 결정에 대한 설명 등을 요구할 수 있도록 하며, … 온라인 사업자와 오프라인 사업자 간 적용되는 규정이 달라 불필요한 혼란이 발생한 점을 고려하여 관련 규정을 정비하는 한편, 개인정보의 국외 이전이 증가함에 따라 개인정보를 국외로 이전할 수 있는 경우를 확대하여 국제기준에 부합하도록" [12]
• 국회: 의안번호 2120089(대안, 정무위원장 — 2020년 이후 소관 상임위가 행정안전위원회에서 정무위원회로 바뀐 것과 일치), 제안 2023.2.17, 본회의 2023.2.27 원안가결. 1차-국회 [27]
• 2021 정부 개정안 단계 문헌: 김법연(2021, E1, 요지 미확인), 박노형·김효권(2022, E2). 학술

② 주요 개정사항 (개정이유 항목 가~하, 조문은 원문)

③ 시행일 (3단계)

• 부칙 제1조(원문): "이 법은 공포 후 6개월이 경과한 날부터 시행한다. 다만, … 1. 제11조의2, 제31조, 제35조의3, 제37조의2, 제39조의7, 제60조제5호, 제75조제2항제16호ㆍ제20호ㆍ제21호ㆍ제24호 및 같은 조 제4항제1호ㆍ제9호의 개정규정: 공포 후 1년이 경과한 날 / 2. 제35조의2의 개정규정: 공포 후 1년이 경과한 날부터 공포 후 2년이 넘지 아니하는 범위에서 대통령령으로 정하는 날" [12]

• 경과조치: 시행 전 종료된 위반행위의 과징금은 종전 제28조의6·제34조의2·제39조의15 적용(부칙 제8조). [1]
• 하위법령: 시행령 제33723호(2023.9.12, 이용·제공내역 통지 대상, 아동 법정대리인 동의 확인, 국외이전 적정성 인정 절차 등), 제34309호(2024.3.12, 보호수준 평가, 자동화된 결정 거부·설명요구 절차), 제35343호(2025.2.25, 전송요구권 시설·기술 기준, 전송 대상 정보 범위 등). [16] PIPC 「개인정보 보호법 및 시행령 개정 안내서」(2023.9 초안 → 2023.12 최종)는 보도로만 확인 2차 [136], 원문 미확인.

④ 영향받는 대상

• 舊 정보통신서비스 제공자(온라인 사업자): 특례가 없어지고 일반 규정 적용. 과징금 기준이 "관련 매출액" → "전체 매출액(무관 매출 제외)"으로 바뀜. [1][12]
• 오프라인 사업자: 온라인 사업자에게만 있던 의무(국내대리인, 손해배상 보장 등) 일부가 일반 조항으로 이동해 함께 적용될 수 있음. 손해배상 보장 의무 대상은 전년도 매출액등 10억원 이상 + 일평균 정보주체 1만명 이상(시행령 제48조의7). [1][17]
• 공공기관: 보호수준 평가. AI·플랫폼: 자동화된 결정 대응. 국외이전 사업자: 다양화된 근거. [12]

⑤ 학계·현장 평가

• 김연진(PIPC, 2023, E4): "실질적인 전면개정". 핵심은 전송요구권·자동화된 결정 대응권(GDPR이 이미 도입한 권리). 향후 전송 플랫폼 구축, 민감정보 기반 자동화된 결정 원칙 금지 추가, 제37조 처리정지에 '프로파일링' 명시 필요. 학술
• 이해원(2023, E5): 제15조①4호 "계약 이행 필요"는 넓게 해석될 여지(약관 문제로 귀결), 14세 이상 미성년자 동의능력 인정 체계(제22조의2)는 민법과 충돌, 최대 5배 징벌적 손해배상은 타당성 낮고 외국 징벌배상 판결 집행승인 부작용. 법의 사법화(私法化) 전망. 학술
• 박노형(2023, E6): 국외이전 규율 연혁(제17조③ → 2020 정보통신망법 규정 통합 → 2023 제3장 제4절). 다양한 이전 근거는 긍정적이나 GDPR 제5장 대비 더 과감한 개선 필요. 학술
• 유주선(2023, E7): 2020 개정이 현실과 괴리됐다는 지적 → 2023 재개정. 전송요구권 활성화를 위해 지원 플랫폼·표준화·과금 합리화·의료법 문제 해소 필요. 학술
• 박노형·김효권(2022, E2, 정부안 단계): GDPR은 자동화된 결정을 원칙 금지·예외 허용, 정부안은 원칙 허용 → 정보주체에 과중한 입증책임. 적정성 결정 유지를 위해 GDPR 합치 필요. 학술
• NARS 김형진(2023, E11): 전송요구권의 순기능(통제권 강화·데이터경제·독점 완화) vs 역기능(기업 권리 제한·투자 유인 억제, 프라이버시 침해, 경쟁제한) → 이익조정 3원칙. 학술
• 한국인터넷기업협회(2023, E12) 「전면 개정, 그러나 여전히 남은 숙제」 — 산업계 자료, 요지 미확인. 학술
• 시행 후: 이상용·이혜리(2024, F1) — 제37조의2에 프로파일링 규정 없음, 민감정보·아동 특별보호 없음. 김재홍·명순구(2026, F2) — 제37조의2④ 공개(시스템 수준)와 ② 설명요구(개별·사후)의 기능 간극. 신영수(2025, F3) — 관련→전체 매출액 기준은 전례 없는 기준이라 논란. 조준현(2025, F9) — 전송요구권 2025.3.13 시행, 시행령은 보건의료·통신·에너지 정보전송자로 구분, 에너지는 2026.6.1까지 유예, 대통령령 포괄위임 적절성 문제. 박가람(2026, F10) — '전 분야 마이데이터'에 산업계·시민단체 반대, 가격차별·제3자 권리·보안·재식별 위험. 학술
• 후속 시행령: 2026.2.19 제36121호(2026.8.20 시행)가 전송요구 대상 정보를 "정보주체 본인에 대한 모든 정보로 확대"(타인 권리 침해 정보·일방향 암호화 정보 등 제외). [16]

3-13. 일부개정 — 법률 제20897호 (2025.4.1 공포 / 2025.10.2 시행) ★국내대리인

① 배경: 해외 사업자의 국내대리인이 형식적으로 운영된다는 문제의식 [해석 — 개정이유 문언에서 도출]. 개정이유는 아래 ②의 내용을 그대로 서술합니다. 같은 시기 PIPC는 알리익스프레스(2024.7.24)·테무(2025.5.14, 국내대리인 미지정 포함) 등 해외 플랫폼을 처분했습니다(6장). 1차-PIPC [45][52] — 이 처분들과 개정의 직접 인과는 해석.

② 주요 개정사항

• 공포: "대통령 권한대행 국무총리 한덕수". 부칙 제1조: 공포 후 6개월 경과한 날 시행(2025.10.2). 제2조: 기존 국내대리인 지정자는 시행 후 6개월 이내 재지정. [13] 시행령 제35780호(2025.9.23, 2025.10.2 시행)가 위임사항·과태료 기준. [16]
• 국회: 의안번호 2208859(대안, 정무위원장), 본회의 2025.3.13 원안가결 — 제20897호와의 대응은 미대조 미확인-부분. [30]

④ 영향: 국내에 주소·영업소가 없는 해외 사업자 중 지정 기준 해당자, 특히 국내 자회사가 있는 글로벌 플랫폼. [13][1]

3-14. 일부개정 — 법률 제21445호 (2026.3.10 공포 / 2026.9.11 시행, 인증 의무화 2027.7.1) ★과징금 최대 10%·대표자 책임·인증 의무화

① 배경·계기

• 개정이유(원문): "최근 주요 통신사, 금융사, 플랫폼 사업자 등의 대규모 개인정보 유출사고가 연이어 발생하면서 국민 피해가 지속적으로 확대되고 있는바, 반복적이거나 중대한 개인정보 침해행위에 대해서는 보다 강력한 과징금 제도를 마련하여 현행 제재수단의 한계를 보완하고, 사업주 또는 대표자의 책임을 명확히 하며, 개인정보 보호책임자의 권한과 독립성을 강화하고, 일정 규모 이상의 개인정보처리자에 대한 개인정보 보호 인증을 의무화하는 한편, … 유출 가능성 통지제도를 도입하는 등" [14]
• 개정이유는 회사명을 거명하지 않습니다. 디지털데일리(2026.2.13)는 배경으로 "SK텔레콤, KT, 롯데카드, 쿠팡" 사고를 거론했습니다. 2차 [116] → 개별 사고와의 연결은 보도·해석.
• 국회 경과: 정무위 2025.12.17 → 본회의 2026.2.12 원안가결(의안번호 2216765, 대안, 정무위원장, 제안 2026.2.11) → 정부이송 2026.2.27 → 국무회의 2026.3.3 → 2026.3.10 공포. 1차-국회 [28]; 1차-PIPC [64] (정무위·국무회의 날짜는 PIPC 자료, 제안·의결·이송 날짜는 의안정보시스템)
• NARS 박소영·김형진(2026.2.2, F26): 2025.11 쿠팡 침해사고의 국정조사 쟁점(내부보안체계, DB 관리, 통지 의사결정, 자체조사, 배상 방식). 학술
• 2차 교차확인: 뉴시스(2026.3.9)·신김 뉴스레터 검색 결과 요약에서 "법률 제21445호, 2026.3.10 공포, 9.11 시행 / 인증 의무화 2027.7.1"이 law.go.kr과 일치. 2차 [133]

② 주요 개정사항

③ 시행일·적용례 (부칙 원문 — 교차검증 정정 반영)

제1조(시행일) 이 법은 공포 후 6개월이 경과한 날부터 시행한다. 다만, 제32조의2제1항 단서 및 제75조제2항제15호의 개정규정은 2027년 7월 1일부터 시행한다.

제2조(개인정보 유출등의 통지 등에 관한 적용례) ① 제34조제1항 및 제4항의 개정규정은 이 법 시행 이후 개인정보가 유출등이 되었음을 알게 된 경우부터 적용한다. ② 제34조제2항의 개정규정은 이 법 시행 이후 대통령령으로 정하는 유출등의 가능성이 있음을 알게 된 경우부터 적용한다. ③ 제34조제3항의 개정규정은 이 법 시행 이후 유출등이 된 경우부터 적용한다.

제3조(과징금 부과에 관한 적용례) ① 제64조의2제2항제1호의 개정규정은 이 법 시행 이후 발생한 같은 조 제1항 각 호의 위반행위로 같은 조에 따른 과징금 부과처분을 받은 후 다시 같은 조 제1항 같은 호에 해당하는 위반행위를 한 경우부터 적용한다. ② 제64조의2제2항제2호의 개정규정은 이 법 시행 당시 종료되지 아니한 위반행위에 대해서도 적용한다. ③ 제64조의2제2항제3호의 개정규정은 이 법 시행 이후 제64조제1항에 따른 시정조치 명령을 받은 경우부터 적용한다.

제4조(다른 법률의 개정) — 「신용정보법」(제20조제4항제1호가목·제5항의 「개인정보 보호법」 제31조 인용 항 번호)·「정보통신망법」 조문 인용 정비.

1차-법령 [14] (원문 사본 법_lsiSeq283839.txt)

• 정정 수집 단계에서 "강화된 과징금은 시행 이후 발생한 사건부터 적용"(위원장 설명, 검색요약)이라고 적었으나, 부칙은 유형별로 다릅니다. 제1호(반복)·제3호(시정명령 불이행)는 시행 후 사유부터 적용하지만, 제2호(고의·중과실 + 피해 1천만명 이상)는 "이 법 시행 당시 종료되지 아니한 위반행위에 대해서도 적용" 합니다. "시행 이후 발생 사건부터"라는 일률적 설명은 부정확합니다. [14]
• 함의: 쿠팡(2026.6.10 의결)·SKT(2025.8.27 의결)는 시행일(2026.9.11) 전에 처분됐으므로 3% 기준이 적용된 것은 맞습니다(쿠팡 PDF에 "전체 매출액의 3%" 명시). 다만 시행일 당시 끝나지 않은 위반행위가 있다면 제2호(10%)가 적용될 수 있다는 점이 부칙상 열려 있습니다. [14][41]
• 하위법령: 과징금 시행령(산정·감경·면제) 입법예고 2026.6.1~7.13 → 시행령 대통령령 제36671호(2026.9.10 공포, 2026.9.11 시행): 일정 규모 이상 처리자의 보호책임자 지정 절차, 유출 가능성 통지 시기·내용 등. 1차-PIPC [67]; [16][17] 유출 통지·신고는 72시간 이내(시행령 제39조①·제40조①). [17]
• 시행령 관련 보도(2차): 투자 감경 최대 40%, 유출 가능성 통지 72시간 이내, CPO 이사회 의결 대상은 연 매출 1,800억원 초과 등(율촌, 법률신문 2026.9.15). 2차 [117] — 현행 시행령 본문의 1,800억원 기준은 1차-법령 [17]로 확인, 40%는 입법예고안 기준(P-12134)이며 확정 별표상 비율 미확인. 리질리언스 추가 감경·통지지연 30% 가중은 2차 [127] 미확인.
• CPO 경과·계도: 기존 CPO 6개월 내 신고, 2027.12.31까지 계도기간(과태료 미부과) — 2차 [127], PIPC 원문 미확인.

④ 영향받는 대상

• 모든 처리자의 대표자·사업주(최종책임). 대규모 처리자(이사회 의결 CPO, 인증 의무 — 기준 시행령 위임). 1천만명 이상 피해를 낼 수 있는 대형 플랫폼·통신·금융. 유출 "가능성" 단계의 통지 부담이 생긴 모든 처리자. [14][17]

⑤ 학계·현장 평가

• 강태욱(2026, F7) 「징벌적 과징금 제도의 신설과 개인정보 보호 인증의 의무화」 — 초록 없음, 요지 미확인. 학술
• 김배정(2026, F8): ① '유출등의 가능성 통지'는 EU·호주(결과 중대성 낮으면 면제)보다 엄격, ② 일본도 2026 과징금납부명령 도입, ③ 과징금을 개인정보 보호기금으로, ④ 보험·공제 확대. 학술
• 배기철(2026, F5)·김태오(2026, F6)의 과징금 비판은 9-4 참조. 2026.3.10 개정에 대한 본격 평가 문헌은 아직 적음(F7·F8 정도). 학술

3-15. 일부개정 — 법률 제21910호 (2026.9.8 공포 / 2027.3.9 시행, 기준일 현재 시행 전) ★AI 개발 특례

① 배경·계기

• 개정이유(원문): "익명 또는 가명 처리로는 인공지능기술 개발이 곤란한 경우, 공공의 이익 증진을 위한 경우 등의 요건을 모두 갖추고 개인정보 보호위원회의 심의ㆍ의결을 거친 때에는 기존에 적법하게 수집한 개인정보를 인공지능기술개발을 위하여 사용할 수 있도록 하고, 개인정보처리자에게 정보주체의 권리 또는 이익에 미치는 영향에 대하여 사전에 위험요인평가를 하도록 하는 등" [15]
• 국회: 의안번호 2220246(대안, 정무위원장, 제안 2026.7.29), 본회의 2026.8.20 원안가결, 정부이송 2026.8.28. 1차-국회 [29]; 1차-PIPC [69]
• 사전 논의: 이루다(2021)·딥시크(2025) 처분 등 AI 관련 집행(6장), 학계의 AI 학습데이터 특례 논의(F14~F18, F24). 류승균(2026, F17)은 발의된 AI 특례가 전 산업에 적용 가능하다는 점을 장점으로 평가. 학술

② 주요 개정사항

• 공포: "대통령 이재명", 국무총리 한성숙. 부칙: "이 법은 공포 후 6개월이 경과한 날부터 시행한다." → 2027.3.9. [15]
• 수집 단계에서 집행 파일은 신설 조문번호 "제28조의12"를 2차(법무법인 태평양 뉴스레터 [128])로 적었으나, 연혁 파일·원문 사본으로 제28조의12~제28조의15 확인. [15]

④ 영향받는 대상: AI를 개발하거나 성능을 개선하려는 모든 개인정보처리자(공공·민간, 업종 무관). 단, 개별 사안마다 보호위원회 심의·의결이 전제. [15]학술 F17

⑤ 평가: 이 확정 조문에 대한 학술 평가는 수집 범위에서 찾지 못함 미확인. 사전 논의 문헌은 9-7 참조. 학술

4. 관련 사고·사건 연대표 — 유출사고 → 입법 반응

인과 표시 규칙: 원문 명시 = 해당 법률의 개정이유가 그 사고(또는 그 유형)를 직접 언급 / 보도 = 언론이 연결 / 해석 = 이 문서의 해석(개정이유가 회사명을 거명하지 않음). 사고 규모가 출처마다 다르면 모두 적었습니다.

읽는 요령 — 인과 관계에 대해 확인된 것과 아닌 것

• 개정이유가 사고를 직접 언급한 것: 2014.3(제12504호, "카드사 등"), 2015.7(제13423호, "2014년 1월 카드사"), 2026.3(제21445호, "주요 통신사, 금융사, 플랫폼 사업자 등") 세 번입니다. 2013.8(제11990호)은 사고 일반("주민등록번호 유출사고")만 언급합니다. [4][5][7][14]
• 회사명(SK컴즈·넥슨·SKT·KT·롯데카드·쿠팡 등)과 특정 개정의 연결은 모두 보도 또는 해석입니다.
• 2020·2023 개정은 사고보다 데이터 활용·규제 정합성·국외이전 증가가 개정이유의 중심입니다. [11][12]

5. 주요 판례·헌법재판소 결정

교차검증 단계에서 law.go.kr 판례·헌재결정례 DB로 주문·판시사항을 다시 확인했습니다. 카드3사 판결만 law.go.kr에서 검색되지 않아 2차입니다.

판례 흐름 요약 (위 표의 내용만으로 정리)

1. 손해(위자료) 판단: GS칼텍스(2012)가 "유출만으로 곧바로 손해 아님 — 종합 판단" 틀을 세우고, 카드3사(2019, 2차)는 같은 틀로 위자료를 인정. [32][34]
2. 보호조치 의무 판단: 옥션(2015)은 고시 준수 시 원칙적 면책, SK컴즈(2018)는 고시는 "최소 기준"이라며 보완. 두 사건 모두 회사 승소. [31][33]
3. 과징금 사법 통제: 인터파크(2020, 보도)는 위반과 유출 사이 인과관계 불요, KT(2021)는 보호조치를 다했다고 보아 과징금 취소. [98][39]
4. 가명정보: 헌재(2023)는 조항 합헌, 대법원(2025)은 가명처리정지 요구 불가. [38][36]
5. 이 흐름이 법 개정(예: 2015 징벌적·법정손해배상, 2023 과징금 체계)에 직접 영향을 줬다는 1차 출처는 없음 → 해석으로만 연결 가능.

6. 감독기구와 집행

6-1. 감독기구 변천

KISA(한국인터넷진흥원)의 법정 역할 (현행 시행령) [17]

• 유출등 신고 접수 전문기관(시행령 제40조 — 수집본에는 "③ 법 제34조제3항…대통령령으로 정하는 전문기관이란 각각 한국인터넷진흥원"으로 인용됨, 항 번호는 원문 그대로 옮긴 것)
• 노출 개인정보 삭제·차단 요청기관(시행령 제40조의2)
• 개인정보 보호 인증(ISMS-P) 전문기관(시행령 제34조의6①1호)
• 침해신고센터 업무, 자료제출·검사 기술자문(시행령 제59조)
• 주민등록번호 안전성 확보조치 조사 전문기관(법 제24조제5항 관련)

개인정보 분쟁조정위원회

• 법 제40조: 위원장 포함 30명 이내, 위원장은 공무원이 아닌 사람 중 보호위원회 위원장이 위촉, 임기 2년(1차 연임), 조정부(5명 이내) 가능. [1]
• 사례: 2025.11.3 SKT 사건 신청인 3,998명(집단분쟁조정 3건 3,267명 + 개인 731명)에 1인당 30만원 조정안 결정. 1차-PIPC [62]
• 2026.6.12 쿠팡 유출 관련 집단분쟁조정 절차 재개(제목 확인, 세부 미확인). 1차-PIPC [63]

6-2. 주요 처분표 (PIPC, 의결일 기준)

※ 처분별 위반 조항 번호는 대부분 보도자료 본문이 아니라 첨부 의결서에 있어 미확인(틱톡 건 제외). [57] ※ 참고(학술 초록 기준): ChatGPT(OpenAI) 처분 360만원 — 정찬모(2024, F20)가 이루다 처분과의 형평성 문제 지적. PIPC 의결서 미확인.

방송통신위원회 시기(2020.8 이전) 처분 — 2차 자료 기준

6-3. 연도 통계

2025년 과징금 총액 — 두 값의 차이 (교차검증)

• 결론: 두 값의 차이는 오류가 아니라 집계 범위(전체 과징금 vs 유출 관련 과징금)의 차이입니다. 1,583억원과 1,579억원 사이 약 4억원 차이는 과태료 포함 여부로 보이나 이는 추정입니다(PIPC 연차보고서 원문 미확인).

6-4. 제재 체계의 변화

(1) 큰 흐름: 형벌 중심 → 과징금 중심, 정액 → 매출 비례, 관련 매출 → 전체 매출, 3% → 10%

(2) 현행 제재 수단 정리 (기준일 현재) [1][17]

(3) 추진 중인 것 — 조사 착수 전 증거 은닉·폐기 시 형사처벌 + 매출 3% 별도 과징금: PIPC "연내 추진" 발표(보도), 발의·통과 여부 미확인. 2차 [131] / 유출 사전예방 시행령 입법예고 2026.6.2(제목). 1차-PIPC [68]

7. 영향받는 분야별 정리

기준: 법률 제21445호(2026.9.11 시행)·시행령 제36671호(2026.9.11 시행). [1][17] "구분"은 이해를 돕기 위한 분류이며 법이 이렇게 나누는 것은 아닙니다(이 법은 원칙적으로 모든 개인정보처리자에게 같은 규정을 적용합니다).

7-1. 현행 주요 수치 기준(시행령 등) 한눈에 보기

7-2. 분야별

8. 국제 비교 — GDPR 대응과 EU 적정성 결정

8-1. EU 적정성 결정의 경과

8-2. 한국법 vs GDPR 비교 포인트 (문헌 초록 근거)

8-3. 그 밖의 국가 비교 (문헌에 나온 것만)

9. 학계 쟁점과 평가 (주제별)

모든 내용은 논문 초록 또는 NARS 상세페이지(목차·요약)에 근거합니다. 논문 본문(PDF)은 한 건도 열람하지 않았으므로 세부 논증은 미확인입니다. 문헌 기호(A1 등)는 12-1 참고문헌 목록과 같습니다.

9-1. 정보통신망법 등과의 이원화(중복규제)

• 2011~2019 비판: 일반법 제정 후에도 영역별 법이 남아 중첩 규율(B3 김주영 2014). 2011년 이후 중복조항으로 수범자·집행기관 혼란, 일원화 제언(C1 윤석진 2016). 정보통신망법·위치정보법 개인정보 규정을 이 법 중심으로 통합, 신규 입법 지양(C2 김현경 2016). 특별법 절대우위 부정, 정보통신망법 중복조항 폐지 후 편입, 방송통신위원회 주도의 개별법 강화 비판(C4 임규철 2018). 법제 통일성은 적정성 결정 요건(C7).
• 2020 평가: 데이터3법이 분산·중복 법제를 일원화했다는 평가(D1·D6·D12)와 함께 급박한 입법으로 체계성 검토 부족(D6), 신용정보법 유사 규정 잔존(D12), PIPC–금융위 이원 감독(D9).
• 2023 이후: 2023 개정으로 온·오프라인(정보통신서비스 특례) 일원화 [12]. 그러나 2025 국회 토론회에서도 위치정보법·신용정보법 통합 필요 제기(F23, 최영진 전 PIPC 부위원장).
• 이 문서의 정리 해석: 연혁상 이원화 해소는 ① 2014 제6조 열거 삭제 [5] → ② 2020 정보통신망법 개인정보 규정 이관(특례 형태) [11] → ③ 2023 특례 삭제·완전 일원화 [12]의 3단계로 진행. 신용정보법은 여전히 특별법으로 남음 [18].

9-2. 가명정보 논란 (2020 도입 → 2023 헌재 → 2025 대법원)

• 활용 측: 가이드라인 효력 문제를 해소하고 명확한 법적 근거 확보(D2). 다만 동의 만능주의·형사처벌 구조가 남아 실효성 의문(D3).
• 보호 측: 시민단체는 가명정보도 결합 시 식별 위험이 있는 개인정보라며 폐기 요구(D13, 세부 미확인). 산업적 목적 '과학적 연구' 포함·목적 달성 후 삭제 규정 부재·보안 취약(D4), '과학적 연구'를 공익 목적으로 한정 해석(D5), 권리 일괄 배제는 유례없음(D2).
• 운영: 결합전문기관의 재식별 우려, 기관 간 기준 일치, 결합 목적 적합성 통제 강화, 현장실사(D11 NARS 박소영 2021).
• 헌재·대법원 이후: 헌재 2020헌마1476(2023.10.26) 기각 [38]. 대법원 2024다210554(2025.7.18) 가명처리정지 요구 불가·파기환송 [36] → 해석원칙·비례원칙 위반 비판(F11 이해원), 하급심과 헌재 사이 긴장(F12 김정수 — 공공부문은 엄격한 법적 근거·통제, 민간은 사적 자치를 해치지 않는 최적 규제점), 전송요구권과 결합 시 동의 없이 쓸 수 있는 데이터 증대 우려(F10 박가람). 그 밖의 평석(이지은 2025, 윤태영 2026, 임용현 2026, 양소연 2024)은 요지 미확인(F13).
• 2026.3.31 PIPC 가명정보 처리 가이드라인 전면 개정('위험도 기반' 판단) — 제목만 확인. [70]

9-3. 개인정보보호위원회 독립성

• 2011: 국제기준 대비 독립성·권한 부족 '타협의 산물'(A2), 행정입법권·민간 관할권 부재(A5), CNIL 대비 한계(A6).
• 2019: 중앙행정기관화·국무총리 감독권 배제 요구(C8 김진영), 독립성은 적정성 결정 요건(C7).
• 2020 이후: 국무총리 소속 중앙행정기관 개편 후에도 소속·국무총리 감독권 범위가 과제(D9), 국회 우선 임명 구조의 정치적 독립성 우려 → 대통령 지명·국회 승인 방식, 한국개인정보보호원 설립 제안(D12). 2025 토론회: 조사·처분의 공정성·전문성 강화(F23).
• 거버넌스: 「인공지능기본법」(초록 표기 2024.12.26 국회 통과) 시행에 따른 AI·개인정보 담당기관 간 관할·규제권 논란 → 협력체계 필요(F16 홍종현 2025).

9-4. 과징금 — 인과관계, 전체 매출액 vs 관련 매출액, 재원

• 인과관계: 2014.5.28 정보통신망법 제64조의3 제6호 문구 변경이 (2020 이관 후) 제39조의15①5호로 이어져 보호조치 미이행과 유출 사이 인과관계를 요구하지 않게 됨 → 재산권·직업수행 자유 위축, 최소한 '관련성'은 요구된다고 해석(E9 권건보 2023). 인터파크 대법원(2020, 보도)이 같은 취지 [98].
• 전체 매출액 기준(2023): 관련 → 전체 매출액 전환은 억지력 강화와 EU·중국 수준 맞추기로 추정되나 전례 없는 기준으로 논란(F3 신영수 2025). 안전조치 위반과 유출을 구분 않는 결과책임 구조, 무관 매출 포함 가능성, 관련매출 입증책임의 처리자 전가 → 정액 과징금 또는 '위반행위 관련 매출액' 회귀 제안(F5 배기철 2026). SKT·쿠팡 산정에서 '부당이득환수' 논리가 형해화되고 매출액 비례 제재금이 되었으며, 9개 위반사유를 단일 매출액 공식으로 규율하는 모순, 헌재·대법원의 '영향받는 서비스 범위' 확장해석 비판, 2023 형사처벌 삭제로 과징금이 유일 제재수단이 된 만큼 산정체계가 책임주의 통제를 대신해야(F6 김태오 2026). SKT 의결의 관련 매출액 산정 평석(F4, 요지 미확인).
• 재원: 국고 귀속 대신 피해구제 등으로 용도 한정(D7), 개인정보 보호기금(F8).
• 10%(2026): 학술 평가는 F7(요지 미확인)·F8 정도. 본격 평가는 아직 적음.

9-5. 손해배상·피해구제

• 법정손해배상은 절충형, 하한·증명책임·소멸시효 보완(B4 최경진 2015). 3배 배상은 과잉금지원칙과 충돌 않으나 입증 완화 필요(B5 이종구 2015).
• 5배 징벌적 배상은 타당성 낮고 외국 판결 집행 부작용(E5 이해원 2023).
• 통신사 해킹 등 소액·다수 피해 구제의 한계 → 주요국 집단소송, 공중피해보상조치·동의의결제 방안(F25 NARS 박소영 2025, 목차만 확인).
• 실무: 분쟁조정(SKT 1인 30만원 조정안) [62], 손해배상 보장 의무(제39조의7) [1].

9-6. 전송요구권(마이데이터)·자동화된 결정

• 전송요구권: GDPR·신용정보법 내용을 일반법에 도입(E7), 플랫폼 구축(E4), 순기능·역기능과 이익조정 3원칙(E11), 2025.3.13 시행·포괄위임 문제(F9), '전 분야 마이데이터'의 가격차별·제3자 권리·보안·재식별 위험(F10). 前史: 신용정보법상 전송요구권·마이데이터, 이동 정보 범위 명확화·점진적 확대(D10).
• 자동화된 결정: 정부안은 GDPR과 달리 원칙 허용, 입증책임 과중, '제공' 아닌 '공개'(E2). 시행 후: 프로파일링·민감정보·아동 특별보호 부재, 거부권 효과·면제사유 구체화(F1), 공개의무와 설명요구권의 간극(F2), 민감정보 기반 결정 원칙 금지 추가 제안(E4).

9-7. AI와 개인정보 (2024~2026)

• 현행 적법근거(동의·정당한 이익('명백하게' 우선 요건)·추가적 이용·공개정보·가명정보)의 AI 적용 한계(F17), 별도 법 제정(가칭 「인공지능 학습데이터를 위한 개인정보 이용법」) 또는 「인공지능기본법」 학습데이터 특례(F14·F15), 기관 간 관할 논란(F16), 학습 단계에서 정보주체의 인식·통제 곤란 → 기본권 충돌 구조(F19), 이루다 vs ChatGPT 처분 형평성(F20), '제로 프라이버시' 시대 고지·동의 중심 체계의 부적합(F23 최경진), AI 개발 데이터 수요 대응 개편 방안(F24, 목차만), KLRI 개정안 검토(F18, 요지 미확인).
• 입법 결과: 2026.9.8 제21910호 AI 개발 특례(제28조의12~15, 2027.3.9 시행) [15]. 이 확정 조문에 대한 학술 평가는 미확인(찾지 못함).

9-8. 아동, 개념 변천 총론

• 아동: 최소수집 감독·연령 적합 설계, 아동 프로파일링 광고 제한, 14세 이상 아동 별도 보호 제안(E10 NARS 박소영 2023). 14세 이상 미성년자 동의능력 체계와 민법 충돌(E5).
• 총론: 프라이버시 → 개인정보자기결정권(헌법) → 개인정보보호법(실정법)으로 발전, '개인정보권'(재산권화, 잊힐 권리, 데이터 소유권) 논의가 2020·2023 개정과 최근 판례 해석에 영향(F21 권창환 2025).

10. 실무에 도움이 될 것

10-1. 현행 주요 하위법령·고시·지침 목록 (기준일 2026-10-20)

10-2. 앞으로의 일정 (기준일 2026-10-20 이후)

이미 지난 경과기한(참고): 제20897호 부칙 제2조 — 기존 국내대리인은 시행(2025.10.2) 후 6개월 이내 재지정 [13]; 전송요구권 에너지 분야 유예 2026.6.1까지(학술 F9).

10-3. 실무 체크리스트 (일반 정보 — 개별 판단은 전문가 자문 필요)

아래 항목은 위 본문에 적힌 현행 조문·시행령 내용을 점검 질문 형태로 옮긴 것입니다. 해당 여부와 이행 방법은 사안마다 다릅니다.

A. 거버넌스·책임

• [ ] 대표자·사업주가 "최종적인 책임자"로서 전문 인력·예산 지원 등 총괄 관리조치를 하고 있는가(제30조의3, 2026.9.11~) [14]
• [ ] CPO를 지정했는가(소상공인은 생략 가능 — 대표자가 CPO) (제31조, 시행령 제32조①) [1][17]
• [ ] 우리 조직이 CPO 강화 대상(매출 1,800억원 초과 + 처리 규모 / 재학생 2만명 이상 대학 / 상급종합병원 / 공공시스템운영기관)인가 → 해당 시 이사회 의결·보호위원회 신고(6개월 이내)·별표1 자격요건 (제31조③④⑩, 시행령 제32조②~④) [1][17]
• [ ] 2027.7.1 인증 의무화 대상 기준(시행령 확정 시) 확인 계획이 있는가 [14]

B. 수집·이용·제공

• [ ] 수집 근거(제15조①, 2023 합리화된 요건)와 추가 이용·제공의 "합리적 관련 범위"(제15조③·제17조④)를 문서화했는가 [11][12]
• [ ] 서면 동의서에 중요 내용을 명확히 표시했는가(제22조②) [9]
• [ ] 정보주체 이외로부터 받은 정보의 출처 고지 의무 해당 여부(제20조) [8]
• [ ] 주민등록번호는 법률·대통령령·국회규칙·대법원규칙·헌법재판소규칙·중앙선거관리위원회규칙·감사원규칙 근거가 있을 때만 처리하고, 암호화했는가(제24조의2) — 롯데카드 처분 사유 참고 [8][5][44]
• [ ] 공개된 개인정보 처리 시 정보주체 동의가 객관적으로 인정되는 범위 안인가(로앤비 판결) [35]

C. 안전조치·유출 대응

• [ ] 「개인정보의 안전성 확보조치 기준」(고시 제2026-9호)을 이행하는가. 판례상 고시는 "최소 기준"(SK컴즈) [75][33]
• [ ] 유출등(유출·위조·변조·훼손) 및 그 가능성을 알게 된 때 72시간 이내 통지·신고 절차가 있는가(제34조, 시행령 제39조①·제40조①) — 통지 지연은 SKT·루이비통 등 처분 사유 [1][17][42][56]
• [ ] 조사 시 로그 삭제·서버 재설치·거짓 자료 제출이 없도록 증거보전 체계가 있는가 — 제73조 형벌(조사 방해 등), KT 고발·쿠팡 사례 [12][43][41]
• [ ] 손해배상 보장(보험·공제) 대상(매출 10억원 이상 + 일평균 1만명 이상)인가(제39조의7) [1][17]
• [ ] 보호 투자(예산·인력·설비) 내역을 과징금 감경 근거로 기록하는가(제64조의2⑥) [14]

D. 권리 보장

• [ ] 전송요구권(제35조의2, 2025.3.13~; 대상 정보 2026.8.20 확대) 대응 체계 [12][16]
• [ ] 자동화된 결정(AI 포함) 사용 시 거부·설명요구 대응과 기준·절차 공개(제37조의2) [12]
• [ ] 처리정지 요구 대응 — 단, 가명처리 자체는 처리정지 요구 대상 아님(대법원 2024다210554) [36]

E. 국외·해외

• [ ] 국외이전 근거(제28조의8①)와 고지·공개를 갖췄는가 — 알리·테무·카카오페이·딥시크·틱톡 처분 사유 [1][52][45][54][55][57]
• [ ] 해외 사업자: 국내대리인 지정 기준 해당 여부, 국내 자회사 중 지정, 관리·감독, 처리방침 기재(제31조의2) [13]

F. 가명정보·AI

• [ ] 가명정보 처리 목적(통계·과학적 연구·공익적 기록보존), 안전조치, 결합전문기관 경유, 재식별 금지(제28조의2~5) [11]
• [ ] AI 개발에 기존 개인정보를 쓰려면 2027.3.9 이후 제28조의12 요건(익명·가명 처리로 곤란, 안전장치, 공익 등 목적·침해 우려 현저히 낮음)과 보호위원회 심의·의결, 위험요인평가, 처리방침 기재가 필요 [15]

G. 공공기관

• [ ] 개인정보파일 등록(제32조), 영향평가(제33조, 5만/50만/100만명 기준), 매년 보호수준 평가(제11조의2), 공공시스템운영기관 추가 안전조치(시행령 제30조의2) [1][17]

11. 남은 미확인 사항 목록

교차검증으로 해소된 항목(아래 "해소됨" 표)은 제외하고, 기준일 현재 1차 출처로 결론을 내지 못한 것만 번호를 붙였습니다.

11-1. 미확인 항목 (총 46건)

A. 입법 경과·국회

1. 17대 국회 노회찬(2004.11)·이은영(2005.7)·이혜훈(2005.12) 의원안의 발의일·법안명
2. 1992~1993 공공기관 개인정보보호법 정부안 국회 제출 경위(서울신문 1993 검색요약만)
3. 2011 제정이 OECD 1980 가이드라인 8원칙을 명시 반영했다는 근거
4. 2011 제정 동기가 EU 적정성이었다는 근거
5. 헌재 99헌마513이 2011 제정에 직접 영향을 줬다는 근거
6. 2013·2014(제11990호·제12504호)·2015(제13423호)·2016(제14107호)·2017(제14765호) 판의 국회 의안번호·대표발의자·본회의 의결일
7. 2025 개정(제20897호)과 의안번호 2208859(본회의 2025.3.13)의 대응(상세조회 미대조)
8. 2015 신용정보법 제13216호와 의안번호 1913962의 직접 대조
9. 데이터3법 인재근 의원안 발의일(2018.11)·의안번호
10. 2023.3.14 개정(제19234호)의 관보정정(2023.4.4) 구체 내용
11. 2023 개정 2024.3.15 시행분 중 제35조의3·제39조의7·제60조제5호 각각의 세부 내용 검토
12. 2026.9.8 이후 국회 통과·미공포 개정안 존재 여부
13. 국회 전문위원 검토보고서(2021 정부안 등) 원문, 정무위 통과 관련 로펌 자료 [134] 원문
14. 1994년 법 시기 공공부문 주무부처 명칭

B. 사고 수치

15. 옥션 유출 규모의 경찰 발표 원문(1,081만 → 1,863만 시점 차이는 2차로만 설명)
16. 현대캐피탈 최종 175만 명, 정태영 사장 징계 수위
17. 넥슨 유출 항목 상세
18. KT 2012 처분 7억 5,300만원의 구성(과징금 단독/과태료 합산)·처분일
19. 인터파크 인원(1,030만)·건수(2,540만/2,665만) 1차 출처(방통위 의결서)

C. 판례

20. 카드3사 대법원 2019.10.18. 2018다207953 등 — law.go.kr 0건, 대법원 종합법률정보 1차 확인 필요
21. KB국민카드·KCB(원희룡 등 약 9,000명) 대법원 사건번호·선고일
22. 인터파크 과징금 대법원 사건번호
23. 헌재 99헌마513의 2004헌마190 병합 표기
24. 구글·메타 1심 사건번호(2023구합55191·54259는 검색요약)·선고일·항소심 경과
25. 카카오 오픈채팅 1심 사건번호·1차 출처(판결문·PIPC), 항소심 결과
26. 서울고법 2023.12.20. 2023나2009236 판결 원문
27. "국민은행" 관련 판례(특정 못함)

D. 처분·집행

28. 이루다 과징금·과태료 내역(5,550만/4,780만원) — PIPC 첨부 PDF 숫자 추출 실패
29. ChatGPT(OpenAI) 360만원 처분 의결서
30. 각 제재 의결서의 위반 조항 번호(틱톡 건 외)
31. PIPC 의결 제2025-018-243호(SKT) 의결서 원문
32. 쿠팡 조사방해 고발(2차만)
33. 롯데카드 금융위원회 처분(업무정지 1.5개월·과징금 50억원) 1차 출처
34. 2025 과징금 1,583억원(유출 관련 과징금+과태료) vs 1,579억 907만원(유출 관련 과징금) 약 4억원 차이의 원인(과태료 포함 여부로 추정) 및 PIPC 연차보고서 원문
35. 2020 PIPC 출범 시 금융위원회 기능 이관 부분
36. 2026.6.12 쿠팡 집단분쟁조정 재개 세부, 2025.12 전담부서 신설 세부

E. 하위법령·제도

37. CPO 자격요건 시행령 별표1 원문(경력 4년/2년), 2024년 당시 1,500억원 기준
38. CPO 신고 6개월·계도기간 2027.12.31(언론 보도만)
39. 투자 감경 40%(입법예고안)의 확정 비율, 리질리언스 추가 감경, 통지지연 30% 가중(시행령 별표 1의5·고시 원문 미열람)
40. ISMS-P 의무 대상 "중요 개인정보처리자" 기준(시행령 미확정)
41. 2026.9.11 동시 시행 고시의 명칭, 시행규칙·고시 연혁 전반
42. 시행령 타법개정분과 일부개정분(2016.7.22, 2016.9.29, 2017.10.17 등)의 개정이유
43. 의료법·교육 분야 특칙 조문 대조
44. AI 특례(제21910호) 하위 시행령 제정 여부·내용
45. 증거인멸 시 3% 과징금 법안의 발의·통과 여부

F. 문헌·국제

46. 논문 본문(PDF) 전부 미열람(초록 수준), 초록 없는 문헌 요지(A7, B6 평가, E1, E8, E12, F4, F7, F13, F18), PIPC 백서·해설서·KISDI 보고서, EU 결정문 본문(Annex 등)과 2026 재검토 보고서 본문, 영문 번역본, EU 적정성 다음 검토 시기, AI 특례 확정 조문에 대한 학술 평가

11-2. 교차검증으로 해소된 항목 (참고)

12. 참고문헌 및 출처 목록

12-1. 참고문헌 (학술·공식 문헌, 문헌 수집본 기준)

URL 규칙: RISS = https://www.riss.kr/search/detail/DetailView.do?p_mat_type=1a0202e37d52c72d&control_no=<번호> / KCI = https://www.kci.go.kr/kciportal/ci/sereArticleSearch/ciSereArtiView.kci?sereArticleSearchBean.artiId=<ART번호> / NARS = https://www.nars.go.kr/report/view.do?cmsCode=CM0043&brdSeq=<번호>

제정(2011) 전후

• A1 김운석, 「개인정보보호 2.0시대의 개인정보보호법 개관」, 『법학연구』(충남대) 22(2), 2011, 9-42, KCI등재. KCI:ART001623176 / RISS:bb961eb00cc475bfffe0bdc3ef48d419
• A2 김일환, 「개인정보보호법제정비에 대한 비판적 고찰 - 새로운 개인정보보호법안을 중심으로 -」, 『토지공법연구』 52, 2011, 269-294, KCI등재. RISS:d1634145eef0c273c85d2949c297615a
• A3 손형섭, 「개인정보 보호법의 특징과 앞으로의 방향 - 업계의 반응에 대한 몇 가지 대안을 중심으로」, 『언론과 법』 11(1), 2012, 93-123, KCI등재. RISS:0233e1550cfa9032ffe0bdc3ef48d419
• A4 배대헌, 「'잰걸음으로 나선' 개인정보 보호법을 보완하는 논의 - 개인정보 보호법 개정 논의 및 관련법률 검토」, 『IT와 법 연구』 6, 2012, 1-33, KCI등재후보. RISS:84ad97308bfd66e2b7998d826d417196
• A5 이은우, 「개인정보보호위원회의 역할」, 『연세 공공거버넌스와 법』 3(1), 2012, 203-242. RISS:30a29aeed0f69e63ffe0bdc3ef48d419
• A6 이한주, 「개인정보보호위원회 제도의 문제점과 개선방안 - 프랑스 CNIL과의 비교를 통하여 -」, 『법학논고』(경북대) 41, 2013, 477-500, KCI등재. RISS:fba4606661206eacc85d2949c297615a
• A7 NARS 심우민, 「개인정보 보호법 시행과 당면과제」, 이슈와논점 308호, 2011.10.19. NARS:1251

2013~2015

• B1 NARS 심우민, 「온라인상 주민등록번호 수집금지 정책의 시행과 쟁점」, 이슈와논점 614호, 2013.3.4. NARS:1556
• B2 NARS 하혜영, 「주민등록번호 개편을 둘러싼 주요 쟁점과 향후 과제」, 이슈와논점 811호, 2014.3.12. NARS:10535
• B3 김주영, 「2014년의 신용정보 유출관련 개인정보 보호법제 개정안의 검토」, 『법학논총』(조선대) 21(1), 2014, 89-129, KCI등재. RISS:48cc5558f68f5531b7998d826d417196
• B4 최경진, 「새로 도입된 법정손해배상에 관한 비판적 검토」, 『성균관법학』 27(2), 2015, 175-208, KCI등재. RISS:b72593f4f1bdaf0d7f7a54760bb41745
• B5 이종구, 「전보배상과 징벌적 손해배상 및 3배 배상제도에 관한 연구」, 『경영법률』 26(1), 2015, 447-486, KCI등재. RISS:47475c06232201a26aae8a972f9116fb
• B6 여경수, 「개인정보 보호법상 징벌적 손해배상제도와 법정손해배상제도」, 『영산법률논총』 12(2), 2015, 201-217. RISS:d6da89d216f4bd6dd18150b21a227875
• B7 김일환·성재호, 「개인정보보호법의 개관 및 개정방향에 관한 연구」, 『인터넷정보학회논문지』 16(4), 2015, 141-148, KCI등재. RISS:473b26785f9edc597f7a54760bb41745
• B8 NARS 손주연, 「「개인정보 보호법」개정의 주요내용과 의의」, 이슈와논점 1054호, 2015.8.24. NARS:16965

2016~2019

• C1 윤석진, 「ICT 기반사회에서 개인정보 보호의 당면과제 -개인정보보호법제 일원화 방안 모색-」, 『중앙법학』 18(3), 2016, 63-100, KCI등재. RISS:743b777b57859ce1b7998d826d417196
• C2 김현경, 「개인정보 법체계 정합성 확보를 위한 소고」, 『성균관법학』 28(1), 2016, 31-69, KCI등재. RISS:8c4adc10ab3f04f5d18150b21a227875
• C3 NARS 심우민, 「개인정보 비식별 조치에 관한 입법정책적 대응과제」, 현안보고서 305호, 2017.5.24. NARS:20879
• C4 임규철, 「정합성의 입장에서 본 「개인정보보호법」 제6조와 「정보통신망법」 제5조의 '다른 법률에(서) 특별한 규정'에 대한 소고」, 『서울법학』 25(4), 2018, 495-525, KCI등재. RISS:c9f68f53a1a086047ecd42904f0c5d65
• C5 NARS 김태엽, 「해외 개인정보 보호 동향과 시사점：EU GDPR을 중심으로」, NARS 현안분석 23호, 2018.10.19. NARS:23953
• C6 김일환·권건보, 「가명정보의 개념과 처리조건에 대한 입법론적 고찰」, 『토지공법연구』 87, 2019, 729-761, KCI등재. RISS:4afa2b286d4894047f7a54760bb41745 (요지: 제2조에 가명정보를 익명정보와 구별해 정의, 제18조②4호 개정, 제29조에 추가정보 분리보관 등 안전조치 신설을 구체 조문안으로 제안)
• C7 김현경·이경준, 「EU의 'GDPR 적정성결정'을 위한 입법 과제」, 『성균관법학』 31(3), 2019, 1-55, KCI등재. RISS:5fffd9bd50cf837db36097776a77e665
• C8 김진영, 「최근 개인정보보호법 개정 동향과 보호조직 개선과제 연구」, 『과학기술법연구』 25(3), 2019, 43-81, KCI등재. RISS:f79951997a470be5d18150b21a227875
• C9 NARS 신용우, 「데이터 경제 시대의 개인정보 보호 법제 관련 쟁점 및 개선과제」, 이슈와논점 1593호, 2019.7.3. NARS:25399 (목차: 가명정보 도입, 동의 요건 완화, 개념 정비, 법제 정비, 추진체계 일원화 / 오남용 방지, 기준 명확화, 형사처벌 중심 규제 합리화, 정보주체 권리 강화, 정보주체 이익 환원)

2020 데이터3법

• D1 이소은, 「개인정보 보호법의 주요 개정 내용과 그에 대한 평가」, 『법학논집』(이화여대) 24(3), 2020, 249-286, KCI등재, DOI 10.32632/ELJ.2020.24.3.249. KCI:ART002572256
• D2 김송옥, 「가명정보의 안전한 처리와 합리적 이용을 위한 균형점」, 『공법연구』 49(2), 2020, 371-407, KCI우수등재. RISS:1bd6f70170662894c85d2949c297615a
• D3 강달천, 「개인정보자기결정권 보호의 한계의 관점에서 본 「개인정보보호법」 개정의 문제점」, 『중앙법학』 22(3), 2020, 7-50, KCI등재. RISS:cf449cbcd5979be1e9810257f7042666
• D4 이양복, 「데이터 3법의 분석과 향후과제」, 『비교사법』 27(2), 2020, 423-465, KCI등재. RISS:dc6e55c3776413a66aae8a972f9116fb
• D5 이부하, 「빅 데이터(Big Data) 시대 개정 개인정보 보호법에 관한 법적 고찰」, 『IT와 법 연구』 21, 2020, 31-54, KCI등재. RISS:045df4af8ce837657ecd42904f0c5d65
• D6 김정수, 「지능정보사회의 입법과 기본권 보호의 상관관계에 대한 소고」, 『공법학연구』 21(4), 2020, 339-367, KCI등재. RISS:ba9cf4ab76b85b8d6aae8a972f9116fb
• D7 노윤경·오병철, 「개인정보보호법상 과징금의 활용에 관한 연구」, 『정보법학』 24(3), 2020, 75-106, KCI등재. RISS:69f44bad6caf1616c85d2949c297615a
• D8 임효진·박형준, 「개인정보 보호와 활용에 관한 정책 변동 연구: 옹호연합모형을 활용한 '데이터 3법' 개정법안 통과과정 분석」, 『한국지역정보화학회지』 25(4), 2022, 29-59, KCI등재. RISS:a684ba492b8a1308b7998d826d417196
• D9 NARS 최정민, 「개인정보보호위원회 현황과 발전과제」, 이슈와논점 1779호, 2020.12.21. NARS:32880
• D10 NARS 조영은·최정민, 「개인정보 이동권과 마이데이터 쟁점 및 향후과제」, 이슈와논점 1767호, 2020.10.21. NARS:31859
• D11 NARS 박소영, 「가명정보 결합전문기관 운영실태와 개선과제」, NARS 입법·정책 95호, 2021.12.6. NARS:37088
• D12 유충호, 「개인정보보호 수행체계 법제의 개선방향에 관한 연구」, 『법학논문집』(중앙대) 46(3), 2022, 127-164, KCI등재. RISS:f570021276c297f57f7a54760bb41745
• D13 참여연대, 「[2019 정기국회 입법 반대과제] 개인정보의 무분별한 상업적 판매 허용하는 개인정보보호법안 등 '데이터3법' 폐기」. https://peoplepower21.org/publiclaw/1655829

2021~2023

• E1 김법연, 「개인정보보호법 개정 입법안의 주요내용」, 『경제규제와 법』 14(2), 2021, 98-105, KCI등재. RISS:2f4a032e9d9edb66b36097776a77e665
• E2 박노형·김효권, 「자동화된 결정에 관한 개인정보보호법 정부 개정안 신설 규정의 문제점 - EU GDPR과의 비교 분석」, 『사법』 1(62), 2022, 361-390, KCI등재. RISS:603c33d0633c7e0dd18150b21a227875
• E3 박주현, 「유럽사법재판소 'Schrems II' 판결의 한국 GDPR 적정성 평가에 대한 시사점」, 『저스티스』 192, 2022, 242-271, KCI등재. RISS:80558df10c950aa1c85d2949c297615a
• E4 김연진, 「개정 개인정보 보호법에 관한 시론적 고찰」, 『성균관법학』 35(2), 2023, 327-363, KCI등재. RISS:5a1c93f39c174a367ecd42904f0c5d65
• E5 이해원, 「개정 개인정보 보호법의 민사법적 쟁점」, 『법조』 72(3), 2023, 84-119, KCI우수등재, DOI 10.17007/klaj.2023.72.3.003. KCI:ART002978456 / RISS:87f39d3ced2f27707ecd42904f0c5d65
• E6 박노형, 「개정된 개인정보보호법상 개인정보의 국외이전에 관한 규정의 분석: GDPR을 참조하여」, 『고려법학』 109, 2023, 169-204, KCI등재. RISS:437eb3536a33bc287f7a54760bb41745
• E7 유주선, 「2023년 개정 개인정보보호법과 마이데이터 활용 방안 -보험업을 중심으로-」, 『금융법연구』 20(2), 2023, 55-76, KCI등재. RISS:35297ad4091134237f7a54760bb41745
• E8 유주선, 「개인정보 국외이전 관련 유럽연합과 우리나라의 비교법적 연구」, 『디지털금융법연구』 1(2), 2023. RISS:2cc633e3e4b7538e7ecd42904f0c5d65
• E9 권건보, 「개인정보 유출에 대한 과징금 부과요건에 대한 헌법적 검토」, 『비교법연구』(동국대) 23(1), 2023, 69-111, KCI등재. RISS:adf1a64974f2ac577f7a54760bb41745
• E10 NARS 박소영, 「온라인 서비스에서의 아동 개인정보 보호 동향과 향후 과제」, 이슈와논점 2078호, 2023.3.30. NARS:41726
• E11 NARS 김형진, 「개인정보 전송요구권의 위험요소와 마이데이터의 발전 방향」, NARS 입법·정책 143호, 2023.12.26. NARS:43689
• E12 한국인터넷기업협회 디지털경제연구원, 「전면 개정, 그러나 여전히 남은 숙제」, 이슈페이퍼, 2023, 1-6. RISS:72f054cc6c6c8cb2e9810257f7042666

2024~2026

• F1 이상용·이혜리, 「개인정보보호법상 자동화된 결정 조항의 해석」, 『법조』 73(1), 2024, 217-247, KCI우수등재. RISS:97b320a2ec7c7fe2b36097776a77e665
• F2 김재홍·명순구, 「「개인정보 보호법」상 자동화된 결정 규율에서 공개의무와 설명등요구권의 관계」, 『과학기술과 법』 17(1), 2026, 1-39, KCI등재. RISS:45e05f7422420ad17ecd42904f0c5d65
• F3 신영수, 「개인정보보호법상 과징금 산정 기준의 법리적 쟁점」, 『IT와 법 연구』 31, 2025, 157-178, KCI등재. RISS:d65470e76be1bdb647de9c1710b0298d
• F4 안정호, 「개인정보 보호법 제64조의 2에 따른 과징금 부과 시 관련 매출액의 산정 방식 - 개인정보보호위원회 2025. 8. 27. 심의 의결 제2025-018-243호 관련 -」, 『경제규제와 법』 18(2), 2025, 280-283, KCI등재. RISS:f7cbf485a054c5cfc85d2949c297615a
• F5 배기철, 「개인정보 보호법상 과징금 제도의 문제점과 개선방안」, 『행정법연구』 80, 2026, 353-411, KCI등재. RISS:e67d9709d031c7d74884a65323211ff0
• F6 김태오, 「과징금 본질 및 기능의 재구조화 — 개인정보유출에 대한 과징금을 중심으로 —」, 『행정법연구』 80, 2026, 313-351, KCI등재. RISS:0df4476604a6fe427f7a54760bb41745
• F7 강태욱, 「징벌적 과징금 제도의 신설과 개인정보 보호 인증의 의무화」, 『KISO 저널』 63, 2026, 13-18. RISS:e35a26527e86d242b7998d826d417196
• F8 김배정, 「개인정보 보호제도에 관한 비교법적 연구 - 2026년 개정 개인정보 보호법 및 동법 시행령안을 중심으로 -」, 『디지털금융법연구』 4(1), 2026, 3-36, KCI등재후보. RISS:7d13342cc9320c057ecd42904f0c5d65
• F9 조준현, 「개인정보 전송요구권의 시행에 관한 법제적 고찰」, 『강원법학』 80, 2025, 191-232, KCI등재. RISS:d10b735a2c7d7956c85d2949c297615a
• F10 박가람, 「개인정보 전송요구권에 대한 연구」, 『성균관법학』 38(2), 2026, 103-140, KCI등재. RISS:7d6a6c8c6eb65d21c85d2949c297615a
• F11 이해원, 「정보주체의 인격권과 개인정보처리자의 재산권의 충돌과 조정 - '가명처리정지요구권'에 관한 대법원 2024다210554 판결을 중심으로 -」, 『재산법연구』 42(3), 2025, 179-210, KCI등재. RISS:f0a58e3b1a508e007ecd42904f0c5d65
• F12 김정수, 「개인정보 보호법과 가명정보 및 가명처리에 관한 헌법적 검토 - 헌법재판소 2023. 10. 26. 선고 2020헌마1476 결정을 중심으로 -」, 『연세법학』 47, 2025, 75-116, KCI등재. RISS:3391ae469120f5bec85d2949c297615a
• F13 가명처리정지 판결 평석(서지만): 이지은, 『법학논총』(조선대) 32(3), 2025 (RISS:1e47a0c73c45246a4884a65323211ff0) / 윤태영, 『경찰법연구』 24(1), 2026 (RISS:b84c0ad4d974bc02e9810257f7042666) / 임용현, 『연세법현논총』 4(2), 2026 (RISS:6acf4ca125ac7dc17ecd42904f0c5d65) / 양소연, 『인권과 정의』 522, 2024 — 서울고법 2023.12.20. 2023나2009236 (RISS:1aa38a5a9f0575c4e9810257f7042666)
• F14 박미사, 「인공지능(AI) 시대 개인정보보호법의 한계와 개선방안에 관한 고찰」, 『서강법률논총』 13(3), 2024, 129-160, KCI등재. RISS:a70e0a70066b0e29b36097776a77e665
• F15 박미사, 「인공지능 학습용데이터 활용을 위한 입법 과제」, 『공법연구』 53(4), 2025, 101-123, KCI우수등재. RISS:12024126913bd0b347de9c1710b0298d
• F16 홍종현, 「인공지능기본법의 제정에 따른 개인정보보호법과의 관계에 대한 공법적 고찰」, 『법학연구』(경상국립대) 33(2), 2025, 167-206, KCI등재. RISS:db858289b998ab8a4884a65323211ff0
• F17 류승균, 「인공지능을 위한 개인정보 처리의 법적 문제 - 현행법의 해석과 개정안의 검토 -」, 『법제』 713, 2026, 149-178, KCI등재. RISS:22148e38667199a7e9810257f7042666
• F18 이용민, 「인공지능 학습데이터 특례에 관한 개인정보보호법 개정안 검토」, 한국법제연구원 연구사업 저작물, 2025, 1-20. RISS:9b0e66bd0d2cbf70d18150b21a227875
• F19 김강한, 「생성형 인공지능 시대에 대응한 정보주체 권리의 실효적 보장 방안」, 『헌법학연구』 30(4), 2024, 301-342, KCI등재. RISS:f7c72c5ebca0fac147de9c1710b0298d
• F20 정찬모, 「거대 언어모델 인공지능과 개인정보보호: 한국의 사례와 정책」, 『IT와 법 연구』 28, 2024, 211-238, KCI등재. RISS:cef5622d07d41e71d18150b21a227875
• F21 권창환, 「개인정보에 관한 법적 개념의 변천과 그 시사점」, 『사법』 1(74), 2025, 827-885, KCI등재. RISS:11424fc4aa382e0c7ecd42904f0c5d65
• F22 NARS 박소영, 「미국 FTC의 알고리즘 삭제 명령, 개인정보 침해 데이터로 학습한 인공지능 규제의 시사점」, 이슈와논점 2219호, 2024.3.22. NARS:44382
• F23 NARS 박소영, 「인공지능 시대 개인정보 거버넌스 강화를 위한 대토론회」, NARS 브리프 89호, 2025.7.1. NARS:47824
• F24 NARS 김형진, 「AI 혁신과 개인정보 보호, 공존의 해법」, NARS 현안분석 366호, 2025.10.21. NARS:48301
• F25 NARS 박소영, 「통신사 해킹 등 개인정보 침해 피해자 구제 : 집단소송제와 공중피해보상조치·동의의결제 방안」, NARS 현안분석 372호, 2025.11.26. NARS:48474
• F26 NARS 박소영·김형진, 「쿠팡 국정조사에서의 개인정보 침해 관련 쟁점」, 이슈와논점 2469호, 2026.2.2. NARS:48846
• F27 차성욱, 「한ㆍEU 적정성 결정 이후 국가 간 데이터 이전 규범의 정합성」, 『서울법학』 34(2), 2026, 327-372, KCI등재. RISS:dc9d015a53486f236aae8a972f9116fb

공식·정부 문헌

• G1 Commission Implementing Decision (EU) 2022/254 of 17 December 2021, OJ L 44, 24.2.2022 → 출처 [78]
• G2 European Commission, "Commission finds Republic of Korea continues to provide adequate level of protection for personal data", 2026-07-23 → [79][80]
• G3 개인정보보호위원회, 「개인정보 보호법 및 시행령 개정 안내서」(2023.9 초안 → 2023.12 최종) → [136]
• G4 개인정보보호위원회, 「2025년 연차보고서」 — https://www.pipc.go.kr/np/ (메뉴 항목만 확인)
• G5 개인정보보호위원회 조문별 해설서 — 찾지 못함
• G6 국회 정무위원회·행정안전위원회 전문위원 검토보고서 — 찾지 못함 (참고 [134])
• G7 KISDI 보고서 — 찾지 못함

12-2. 출처 목록 (본문 [숫자])

법령 (law.go.kr) — 1차-법령

• [1] 「개인정보 보호법」 현행 본문(법률 제21445호, 2026.9.11 시행)·연혁 목록(lsId=011357; 연혁은 POST https://www.law.go.kr/LSW/lsHstListR.do, lsId=011357&ancYnChk=0): https://www.law.go.kr/LSW/lsInfoP.do?lsId=011357&ancYnChk=0 / https://www.law.go.kr/LSW/lsInfoP.do?lsId=011357&efYd=0
• [2] 법률 제10465호(제정): https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=111327 (제정법 본문 https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=111327&efYd=20110930 ; 제정이유 https://www.law.go.kr/LSW/lsSideInfoP.do?lsNm=%EA%B0%9C%EC%9D%B8%EC%A0%95%EB%B3%B4+%EB%B3%B4%ED%98%B8%EB%B2%95&ancNo=10465&chrClsCd=010202&urlMode=lsRvsDocInfoR&ancYd=20110329) / 사본 법_lsiSeq111327.txt
• [3] 법률 제11690호: https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=136728
• [4] 법률 제11990호: https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=142563
• [5] 법률 제12504호: https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=152302
• [6] 법률 제12844호: https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=162148
• [7] 법률 제13423호: https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=173223
• [8] 법률 제14107호: https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=182015
• [9] 법률 제14765호: https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=193382
• [10] 법률 제14839호: https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=195062
• [11] 법률 제16930호: https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=213857 (본문 https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=213857&efYd=20200805) / 사본 법_lsiSeq213857.txt
• [12] 법률 제19234호: https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=248613 / 사본 법_lsiSeq248613.txt
• [13] 법률 제20897호: https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=270351
• [14] 법률 제21445호: https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=283839 / 사본 법_lsiSeq283839.txt
• [15] 법률 제21910호: https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=289415 / 사본 법_lsiSeq289415.txt
• (각 판 제정·개정이유 원문 호출: POST https://www.law.go.kr/LSW/lsRvsDocInfoR.do, lsiSeq=<번호>&chrClsCd=010202)
• [16] 시행령 연혁 목록(lsId=011468, POST https://www.law.go.kr/LSW/lsHstListR.do) / 사본 시행령_연혁목록_lsId011468.txt, 시행령_lsiSeq<번호>.txt
• [17] 시행령 현행(대통령령 제36671호): https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=289537&efYd=20260911
• [18] 신용정보법 현행(2026.9.11 시행본): https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=283841&efYd=20260911
• [19] 신용정보법 법률 제13216호 개정이유: https://www.law.go.kr/LSW/lsRvsDocInfoR.do?lsNm=%EC%8B%A0%EC%9A%A9%EC%A0%95%EB%B3%B4%EC%9D%98+%EC%9D%B4%EC%9A%A9+%EB%B0%8F+%EB%B3%B4%ED%98%B8%EC%97%90+%EA%B4%80%ED%95%9C+%EB%B2%95%EB%A5%A0&ancNo=13216&chrClsCd=010202&ancYd=20150311
• [20] 공공기관의 개인정보보호에 관한 법률 제정이유(제4734호): https://www.law.go.kr/LSW/lsSideInfoP.do?lsNm=%EA%B3%B5%EA%B3%B5%EA%B8%B0%EA%B4%80%EC%9D%98+%EA%B0%9C%EC%9D%B8%EC%A0%95%EB%B3%B4%EB%B3%B4%ED%98%B8%EC%97%90+%EA%B4%80%ED%95%9C+%EB%B2%95%EB%A5%A0&ancNo=04734&chrClsCd=010202&urlMode=lsRvsDocInfoR&ancYd=19940107
• [21] 정보통신망법 제11322호 개정이유: https://www.law.go.kr/LSW/lsSideInfoP.do?lsNm=%EC%A0%95%EB%B3%B4%ED%86%B5%EC%8B%A0%EB%A7%9D+%EC%9D%B4%EC%9A%A9%EC%B4%89%EC%A7%84+%EB%B0%8F+%EC%A0%95%EB%B3%B4%EB%B3%B4%ED%98%B8+%EB%93%B1%EC%97%90+%EA%B4%80%ED%95%9C+%EB%B2%95%EB%A5%A0&ancNo=11322&chrClsCd=010202&urlMode=lsRvsDocInfoR&ancYd=20120217
• [22] 정보통신망법 제12681호 개정이유: https://www.law.go.kr/LSW/lsSideInfoP.do?lsNm=%EC%A0%95%EB%B3%B4%ED%86%B5%EC%8B%A0%EB%A7%9D+%EC%9D%B4%EC%9A%A9%EC%B4%89%EC%A7%84+%EB%B0%8F+%EC%A0%95%EB%B3%B4%EB%B3%B4%ED%98%B8+%EB%93%B1%EC%97%90+%EA%B4%80%ED%95%9C+%EB%B2%95%EB%A5%A0&ancNo=12681&chrClsCd=010202&urlMode=lsRvsDocInfoR&ancYd=20140528
• [23] 2차 위키문헌, 공공기관의 개인정보보호에 관한 법률: https://ko.wikisource.org/wiki/공공기관의_개인정보보호에_관한_법률

국회 — 1차-국회

• [24] 개인정보 보호법안(대안), 의안번호 11087, 2011.3.10, 행정안전위원장(법무법인 지평 게재 PDF): https://www.jipyong.com/origin/newsletter/30_201103/data/law2.pdf
• [25] 의안정보시스템 1811087(2011 제정): https://likms.assembly.go.kr/bill/billDetail.do?billId=PRC_U1N0A0J9E2L9P1Y5B4F9Q1K6O2Z4Z7
• [26] 의안정보시스템 2024495(2020): https://likms.assembly.go.kr/bill/billDetail.do?billId=PRC_L1Y9A1T1D2G5C1D8U1C3A3N5L7A6C1
• [27] 의안정보시스템 2120089(2023): https://likms.assembly.go.kr/bill/billDetail.do?billId=PRC_M2G2Z1U1I2C3V1E3N4W8K5I4J2L5W6
• [28] 의안정보시스템 2216765(2026, 제21445호): https://likms.assembly.go.kr/bill/billDetail.do?billId=PRC_A2S5H1A2H1P6H1F7Q1T0L0F4E9E5Y3
• [29] 의안정보시스템 2220246(2026, 제21910호): https://likms.assembly.go.kr/bill/billDetail.do?billId=PRC_V2Z6M0D5U1C4Y0K9G4W4B0I1J6T4D9
• [30] 열린국회정보 API TVBPMBILL11(신용정보법 1913962 — AGE=19 / 국내대리인 2208859 — AGE=22): https://open.assembly.go.kr/portal/openapi/TVBPMBILL11

판례·헌재 — 1차-판결 (law.go.kr)

• [31] 대법원 2015.2.12. 2013다43994, 44003(옥션): https://www.law.go.kr/LSW/precInfoP.do?precSeq=177605
• [32] 대법원 2012.12.26. 2011다59834, 59858, 59841(GS칼텍스): https://www.law.go.kr/LSW/precInfoP.do?precSeq=167192
• [33] 대법원 2018.1.25. 2015다24904, 24911, 24928, 24935(SK컴즈): https://www.law.go.kr/LSW/precInfoP.do?precSeq=193332
• [34] 2차 대법원 2019.10.18. 2018다207953 등(카드3사), casenote: https://casenote.kr/대법원/2018다207953 (law.go.kr 검색 0건: https://www.law.go.kr/LSW/precScListR.do)
• [35] 대법원 2016.8.17. 2014다235080(로앤비): https://www.law.go.kr/LSW/precInfoP.do?precSeq=183259
• [36] 대법원 2025.7.18. 2024다210554(가명처리정지): https://www.law.go.kr/LSW/precInfoP.do?precSeq=607791
• [37] 헌재 2005.5.26. 99헌마513: https://www.law.go.kr/LSW/detcInfoP.do?detcSeq=137747
• [38] 헌재 2023.10.26. 2020헌마1476: https://www.law.go.kr/LSW/detcInfoP.do?detcSeq=186381
• [39] 대법원 2021.8.19. 2018두56404(KT): https://www.law.go.kr/LSW/precInfoP.do?precSeq=217315 / 원심 서울고법 2016누64533: https://www.law.go.kr/LSW/precInfoP.do?precSeq=217657
• [40] 2차 casenote 판결 전문: https://casenote.kr/대법원/2013다43994 , https://casenote.kr/대법원/2011다59834 , https://casenote.kr/대법원/2015다24904 , https://casenote.kr/대법원/2014다235080 , https://casenote.kr/헌법재판소/99헌마513

개인정보보호위원회 보도자료 — 1차-PIPC (URL 패턴: https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=<번호>)

• [41] nttId=12171 쿠팡(작성 2026.6.11, 첨부 PDF FILE_000000000561021)
• [42] nttId=11453 SK텔레콤(작성 2025.8.28)
• [43] nttId=12349 KT 펨토셀(작성 2026.7.30)
• [44] nttId=11878 롯데카드
• [45] nttId=11200 테무
• [46] nttId=7298 이루다
• [47] nttId=12078 2025년 처분 통계(2026.5.15)
• [48] nttId=10960 구글·메타 1심 기각(보도참고 2025.1.23)
• [49] nttId=8221 구글·메타 처분(2022.9.14)
• [50] nttId=9030 LG유플러스
• [51] nttId=10180 카카오
• [52] nttId=10386 알리익스프레스
• [53] nttId=10726 메타(2024.11.4)
• [54] nttId=10955 카카오페이·애플
• [55] nttId=11145, 11007 딥시크
• [56] nttId=11817 루이비통·디올·티파니
• [57] nttId=12330 틱톡·애플
• [58] nttId=12425 GS리테일
• [59] nttId=9084 출범 3년 통계
• [60] nttId=12555 조사 신속화 방안·2026 상반기 신고
• [61] nttId=11707 사고 예방 전담부서 신설(제목)
• [62] nttId=11534 SKT 분쟁조정
• [63] nttId=12173 쿠팡 집단분쟁조정 재개(제목)
• [64] nttId=11865 2026 개정 국회 경과
• [65] nttId=12459 2026 개정 시행
• [66] nttId=12500 ISMS-P 시행령안 입법예고
• [67] nttId=12134 과징금 시행령 입법예고(감경 40%)
• [68] nttId=12137 유출 사전예방 시행령 입법예고(제목)
• [69] nttId=12391 AI 특례 국회 통과
• [70] nttId=11928 가명정보 처리 가이드라인 개정(제목)
• [71] nttId=12021 처리방침 작성지침 개정(제목)
• [72] nttId=11746 처리방침 평가 결과(제목)
• [73] nttId=12237 교육·고용 전송요구권 확대(제목)
• [74] PIPC 보도자료 목록: https://www.pipc.go.kr/np/cop/bbs/selectBoardList.do?bbsId=BS074&mCode=C020010000

고시 — 1차-법령

• [75] 개인정보의 안전성 확보조치 기준(고시 제2026-9호): https://www.law.go.kr/LSW/admRulInfoP.do?admRulSeq=2100000281400
• [76] 표준 개인정보 보호지침(고시 제2025-4호): https://www.law.go.kr/LSW/admRulInfoP.do?admRulSeq=2100000257592
• [77] ISMS-P 인증 고시(제2024-8호·과기정통부 제2024-30호): https://www.law.go.kr/LSW/admRulInfoP.do?admRulSeq=2100000244750

EU — 1차-EU

• [78] EUR-Lex, Commission Implementing Decision (EU) 2022/254: https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32022D0254 (ELI https://eur-lex.europa.eu/eli/dec_impl/2022/254/oj/eng)
• [79] European Commission news 2026-07-23: https://commission.europa.eu/news-and-media/news/commission-finds-republic-korea-continues-provide-adequate-level-protection-personal-data-2026-07-23_en
• [80] 검색요약 EU 이사회 송부문서 ST-12194-2026: https://data.consilium.europa.eu/doc/document/ST-12194-2026-INIT/en/pdf

언론·로펌 등 — 2차 (단서·보조)

• [81] 법무법인 지평 뉴스레터(2011.9): https://jipyong.com/newsletter/real_estate/17_201109/data/issue.html
• [82] 디지털정의 아카이브: https://digitaljustice.kr/p21911/
• [83] 보안뉴스, [정보보호 20년史] 2011년: http://www.boannews.com/news/articleView.html?idxno=81651
• [84] 디지털타임스(2008.9.30): https://www.dt.co.kr/article/10423152
• [85] 스포츠경향(2008): https://sports.khan.co.kr/article/200804252003176
• [86] 세계일보(2015.2.12): https://www.segye.com/newsView/20150212001451
• [87] 시사경제(옥션 1,863만, 2010.3.25 보도 관련): https://www.sateconomy.co.kr/news/view/179588935567467
• [88] 이투데이(2008.9.7): https://www.etoday.co.kr/news/view/183032
• [89] 서울신문(2011.4.11): https://m.seoul.co.kr/news/2011/04/11/20110411800072
• [90] 검색요약 현대캐피탈(시사경제·뉴스토마토): https://www.sateconomy.co.kr/news/view/1065576918739186 , https://newstomato.com/ReadNews.aspx?no=185110
• [91] 머니투데이(2011.11.25): https://www.mt.co.kr/tech/2011/11/25/2011112521473277339
• [92] 아이뉴스24(2014.3.6): https://www.inews24.com/view/807337
• [93] 보안뉴스(2020.5.25) 역대 처분 10선: http://www.boannews.com/news/articleView.html?idxno=88340
• [94] 데일리안(2014.1.8): https://www.dailian.co.kr/news/view/414493/
• [95] 서울신문(2014.1.18): https://m.seoul.co.kr/news/2014/01/18/20140118500111
• [96] 이투데이(2014.2.16): https://www.etoday.co.kr/news/view/869910
• [97] 검색요약 아시아경제(2015.2.16): https://view.asiae.co.kr/article/2015021617321679539
• [98] 바이라인네트워크(2020.3.19) 인터파크: https://byline.network/2020/03/19-98/ / 보안뉴스: https://m.boannews.com/html/detail.html?idx=87054
• [99] 아이뉴스24(2020.1.22): https://inews24.com/view/wrlted/1237813
• [100] 바이라인네트워크(2021.4.29) 이루다: https://byline.network/2021/04/29-101
• [101] eucrim(2021.12.22): https://eucrim.eu/news/commission-adopted-adequacy-decision-for-south-korea/
• [102] 아주경제(2022.9.14): https://www.ajunews.com/view/20220914131004945
• [103] 비즈워치(2025.1.23): https://news.bizwatch.co.kr/article/mobile/2025/01/23/0040
• [104] 바이라인네트워크(2023.7.12) LGU+: https://byline.network/2023/07/12-244/
• [105] 서울신문(2024.5.24): https://m.seoul.co.kr/news/2024/05/24/20240524011006
• [106] 카카오 소송 보도: 헤럴드경제(2026.1.15) https://www.heraldk.com/article/2026011504120806629 , 머니투데이(2026.1.22) https://www.mt.co.kr/tech/2026/01/22/2026012110345986477 , MTN(2026.9.3) https://news.mtn.co.kr/news-detail/2026090317414139091
• [107] 검색요약 알리익스프레스(바이라인·YTN): https://byline.network/2024/07/25_39282727/ , https://www.ytn.co.kr/_ln/0102_202407251339015251
• [108] 머니투데이(2025.8.29) SKT: https://www.mt.co.kr/tech/2025/08/29/2025082818041164473
• [109] 스마트투데이(2026.1.19): https://www.smarttoday.co.kr/ko-kr/articles/101599
• [110] 검색요약 SKT(다음 뉴스): https://v.daum.net/v/20250828131827266
• [111] 검색요약 전자신문(2025.5.15) 테무: https://www.etnews.com/20250515000201
• [112] 검색요약 뉴시스 롯데카드: https://mobile.newsis.com/view/NISX20260312_0003544641 , https://www.newsis.com/view/NISX20260731_0003732146
• [113] 머니투데이(2025.11.30) 쿠팡: https://www.mt.co.kr/tech/2025/11/30/2025113014380059809
• [114] 경향신문(2026.6.11): https://www.khan.co.kr/article/202606111625021/amp
• [115] 법률신문·대륙아주(2026.2.12 통과 개정안): https://www.lawtimes.co.kr/news/articleView.html?idxno=217245
• [116] 디지털데일리(2026.2.13): https://m.ddaily.co.kr/page/view/2026021308344626337
• [117] 법률신문·율촌(2026.9.15): https://www.lawtimes.co.kr/news/articleView.html?idxno=226414
• [118] 검색요약 KT 펨토셀(뉴스토마토·MTN): https://newstomato.com/ReadNews.aspx?no=1308712 , https://news.mtn.co.kr/news-detail/2026073010235463320
• [119] 검색요약 서울신문(1993.7.23): https://www.seoul.co.kr/news/1993/07/23/19930723017001
• [120] 행정안전부 보도자료(2011.3.29, 제목만): https://www.korea.kr/briefing/pressReleaseView.do?newsId=155732841
• [121] 아시아경제(2021.9.13) KT: https://view.asiae.co.kr/article/2021091308105701085
• [122] 검색요약 데이터3법 통과(법무법인 세종 자료): https://shinkim.com/attachment/16091
• [123] 검색요약 딜사이트(2019.10.28): https://dealsite.co.kr/articles/53328
• [124] 이투데이(2018.12.27): https://www.etoday.co.kr/news/view/1704067
• [125] 바이라인네트워크(2020.8) PIPC 출범: https://byline.network/2020/08/4-68/
• [126] 보안뉴스 CPO 자격요건: https://m.boannews.com/html/detail.html?idx=128373
• [127] 파이낸셜뉴스(2026.9.11): https://www.fnnews.com/news/202609110601480170
• [128] 법무법인 태평양 뉴스레터: https://www.bkl.co.kr/law/insight/newsletter/6749
• [129] 노컷뉴스 쿠팡 내역: https://www.nocutnews.co.kr/news/6531823
• [130] 디지털데일리 쿠팡 고발: https://www.ddaily.co.kr/page/view/2026061114464182391
• [131] 바이라인네트워크(2026.7.30) LGU+·증거인멸 법안: https://byline.network/2026/07/30-587/
• [132] 한경비즈니스(2026.4.15) 1,579억원: https://magazine.hankyung.com/business/article/202604151456b
• [133] 검색요약 뉴시스(2026.3.9) https://www.newsis.com/view/NISX20260309_0003540588 , 신김 뉴스레터 https://www.shinkim.com/kor/media/newsletter/3167
• [134] 검색요약 신김 뉴스레터(정무위 통과): https://www.shinkim.com/kor/media/newsletter/pdf/3296
• [135] 참여연대: https://peoplepower21.org/publiclaw/1655829
• [136] 개정 안내서 보도: https://newsseoul.co.kr/news/view/1065612009054708 , https://m.boannews.com/html/detail.html?idx=122340

작성 기준일 2026-10-20 · 근거 수집본: refs/2026-10-20_연혁_lawgokr.md, refs/2026-10-20_배경_사고_판례.md, refs/2026-10-20_문헌_연구논문.md, refs/2026-10-20_집행_영향분야.md, refs/2026-10-20_교차검증.md 및 원문 사본 폴더. 일반 정보 정리이며 법률 자문이 아닙니다.