9.4.6 AI 기록 보조·녹음·자동화 결정의 조건

원문 대조·이중 검수 2026-11-01

요약

AI 기록 보조는 진료기록 입력, 업체 위탁, 학습·연구 이용, 자동화된 결정을 나눠 각각의 법적 근거를 따져요. ^{1, 2, 4, 7}

꼭 기억할 것

• 외부 AI 업체에 환자 음성 처리를 맡기면 목적 외 처리 금지·보호조치를 담은 문서로 위탁하고, 위탁 업무와 수탁자를 공개해야 해요. ²
• 가명정보는 통계작성·과학적 연구·공익적 기록보존 등을 위해 동의 없이 처리할 수 있고, 특정 개인을 알아보는 목적으로는 처리할 수 없어요. ^{4, 15}
• 자동화된 결정에 대한 거부·설명 요구는 받은 날부터 30일 이내에 조치하고, 정당한 사유가 있으면 알리고 2회까지 각 30일 연장할 수 있어요. ⁸

기록 입력과 학습·연구 이용은 근거가 달라요

건강에 관한 정보는 민감정보예요. ¹ 법정 사항을 알리고 다른 동의와 별도로 동의를 받거나, 법령이 처리를 요구·허용하는 경우에만 처리할 수 있어요. ¹

개인정보는 동의, 법률의 특별한 규정, 법령상 의무 준수를 위해 불가피한 경우, 계약 이행이나 계약 체결 과정에서 정보주체가 요청한 조치를 위해 필요한 경우 등 근거가 있을 때 수집할 수 있고, 그 수집 목적의 범위에서 이용할 수 있어요. ¹⁰

작성 제안: AI 기능을 '진료기록 작성 보조', '업체의 모델 학습', '의원의 연구·통계' 세 용도로 나누고, 용도마다 근거를 따로 적어요. 진료기록 보조에 쓴 근거가 학습·연구 이용까지 자동으로 넓어진다고 보지 않아요.

환자 음성을 외부 AI로 보내기 전에 확인해요

외부 업체에 개인정보 처리 업무를 맡기는 것을 '업무위탁'이라고 해요. ² 위탁은 위탁업무 목적 외 처리 금지, 기술적·관리적 보호조치 등을 담은 문서로 해야 해요. ² 위탁하는 업무의 내용과 수탁자는 정보주체가 언제든지 쉽게 확인할 수 있도록 공개해야 해요. ²

수탁자는 위탁받은 업무 범위를 넘어 개인정보를 이용하거나 제3자에게 제공할 수 없어요. ² 수탁자가 다시 위탁하려면 위탁자의 동의를 받아야 하고, 위탁자는 수탁자를 교육하고 처리 현황 점검 등으로 감독해야 해요. ² 관리·감독이나 교육을 소홀히 해 수탁자가 법을 어기면 위탁자에게 과징금이 부과될 수 있어요. ¹² 위탁자의 동의 없이 제3자에게 다시 위탁한 자는 2천만원 이하 과태료 대상이에요. ¹¹

작성 제안: 계약 전에 음성 원본과 전사문이 저장되는 곳과 삭제 시점, 업체가 자기 모델 학습에 쓰는지와 끄는 방법, 재위탁 업체 목록, 의원이 처리 기록을 받을 수 있는지를 서면으로 받아요. 서버가 국외에 있으면 이 장의 EMR·클라우드 위탁계약 절에서 다룬 국외 이전 점검을 함께 해요.

작성 제안: 진료실에서 녹음이 시작된다는 사실을 환자가 미리 알 수 있게 안내하고, 원하지 않는 환자는 직접 입력으로 바꾸는 절차를 둬요.

가명정보와 익명정보를 나눠요

가명처리는 개인정보의 일부를 삭제하거나 일부 또는 전부를 대체하는 등의 방법으로 추가 정보 없이는 특정 개인을 알아볼 수 없게 하는 처리예요. ³ 그렇게 만든 가명정보는 법의 '개인정보' 정의 안에 들어 있어요. ³

가명정보는 통계작성, 과학적 연구, 공익적 기록보존 등을 위해 정보주체 동의 없이 처리할 수 있어요. ⁴ 제3자에게 제공할 때는 특정 개인을 알아보기 위해 쓰일 수 있는 정보를 넣으면 안 돼요. ⁴ 과학적 연구는 과학적 방법을 적용하는 연구를 말하며, 기초연구·응용연구·민간 투자 연구 등이 포함돼요. ³

가명정보를 처리하면 복원용 추가 정보를 분리 보관하는 등 안전조치를 해야 해요. ⁵ 처리 목적, 제3자 제공 시 제공받는 자 등 기록을 작성해 보관하고, 가명정보를 파기했으면 파기한 날부터 3년 이상 보관해야 해요. ⁵ 처리 중 특정 개인을 알아볼 수 있는 정보가 생기면 즉시 처리를 중지하고 지체 없이 회수·파기해야 해요. ¹⁵ 가명정보 안전조치를 하지 않거나, 개인을 알아볼 수 있는 정보가 생겼는데도 이용을 중지하지 않거나 회수·파기하지 않으면 3천만원 이하 과태료 대상이에요. ¹¹ 처리 기록을 작성해 보관하지 않으면 1천만원 이하 과태료 대상이에요. ¹¹

법 제2조는 '익명정보'라는 말을 따로 정의하지 않아요. ³ 대신 시간·비용·기술 등을 합리적으로 고려할 때 다른 정보를 사용해도 더 이상 개인을 알아볼 수 없는 정보에는 개인정보 보호법을 적용하지 않아요. ⁶

작성 제안: 업체가 '비식별화해서 학습한다'고 하면 추가 정보로 복원할 수 있는 가명정보인지, 더 이상 개인을 알아볼 수 없는 정보인지 구체적 방법을 문서로 받아요.

최종 기록은 의사가 검토하고 서명해요

의료인은 진료기록부등을 갖추고 환자의 주된 증상, 진단 및 치료 내용 등을 상세히 기록하고 서명해야 해요. ⁹ 진료기록부등을 거짓으로 작성하거나 고의로 사실과 다르게 추가기재·수정해서는 안 돼요. ⁹ 보존 대상에는 추가기재·수정된 기록과 수정 전 원본이 모두 포함돼요. ⁹

진료기록부등은 「전자서명법」에 따른 전자서명이 기재된 전자문서, 곧 전자의무기록(EMR)으로 작성·보관할 수 있어요. ¹³ 전자의무기록에 추가기재·수정을 했다면 보건복지부령에 따라 접속기록을 별도로 보관해야 해요. ¹³

작성 제안: AI 초안은 의사가 읽고 고친 뒤 서명하는 순서로 운영해요. 환자가 말하지 않은 증상이나 하지 않은 검사가 들어갔는지, 내과의 약 용량 변경이나 이비인후과의 좌우·청력 수치처럼 틀리기 쉬운 항목을 먼저 봐요.

자동화된 결정의 권리를 점검해요

정보주체는 완전히 자동화된 시스템(인공지능 기술을 적용한 시스템 포함)으로 개인정보를 처리해 이루어진 결정(「행정기본법」 제20조에 따른 행정청의 자동적 처분은 제외)이 자신의 권리·의무에 중대한 영향을 미치면 그 결정을 거부할 수 있어요. ⁷ 다만 제15조제1항제1호·제2호·제4호의 요건에 따른 동의, 법률의 특별한 규정·법령상 의무 준수, 계약 이행 등에 따라 이루어진 결정(「행정기본법」 제20조에 따른 행정청의 자동적 처분은 제외)이면 거부권은 적용되지 않아요. ^{7, 10} 자동화된 결정을 했다면 정보주체는 설명 등을 요구할 수 있어요. ⁷

요구를 받으면 정당한 사유가 없는 한 그 결정을 적용하지 않거나 인적 개입에 의한 재처리(사람이 다시 판단해 처리하는 것)·설명 등 필요한 조치를 해야 해요. ⁷ 조치는 요구를 받은 날부터 30일 이내에 서면등의 방법으로 하고, 처리하기 어려운 정당한 사유가 있으면 사유를 알리고 2회에 한정해 각각 30일 범위에서 연장할 수 있어요. ⁸ 정당한 사유가 있어 요구를 거절할 때는 그 사유를 지체 없이 서면등의 방법으로 알려야 해요. ⁸

자동화된 결정을 한다면 그 사실과 목적·대상 범위, 사용되는 주요 개인정보 유형과 결정의 관계, 고려사항과 처리 절차, 민감정보나 14세 미만 아동의 개인정보를 처리하는 경우 그 목적과 항목, 거부·설명등요구 방법과 절차를 인터넷 홈페이지 등으로 공개해야 해요. ¹⁴ 인터넷 홈페이지 등을 운영하지 않거나 계속 알릴 필요가 없으면 미리 서면등의 방법으로 정보주체에게 알릴 수 있어요. ¹⁴

작성 제안: 의원에서 쓰는 AI 기능을 표로 정리해, 사람이 보지 않고 결과가 확정되는 기능(예: 문진 결과로 예약을 자동으로 거절·배정)이 있는지 따로 표시해요. 의사가 확인한 뒤 확정하는 기록 초안은 사람이 검토했다는 흔적을 남겨 두면 판단에 도움이 돼요.

흔한 실수

• 업체 약관의 '서비스 개선' 문구만 보고 학습 이용을 넘겨요. 수탁자는 위탁받은 업무 범위를 넘어 개인정보를 이용할 수 없어요. ²
• 가명처리한 데이터를 개인정보가 아니라고 보고 관리를 풀어요. 가명정보도 안전조치와 처리 기록 보관 의무가 있어요. ^{3, 5}
• AI 초안을 그대로 저장해요. 진료기록부등의 기록·서명 의무는 의료인에게 있어요. ⁹

근거 조문

개인정보 보호법 제23조(민감정보의 처리 제한) 제1항

①개인정보처리자는 사상ㆍ신념, 노동조합ㆍ정당의 가입ㆍ탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보로서 대통령령으로 정하는 정보(이하 "민감정보"라 한다)를 처리하여서는 아니 된다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는  그러하지 아니하다. <개정 2016.3.29>
1. 정보주체에게 제15조제2항 각 호 또는 제17조제2항 각 호의 사항을 알리고 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우
2. 법령에서 민감정보의 처리를 요구하거나 허용하는 경우

개인정보 보호법 제15조(개인정보의 수집ㆍ이용) 제1항 (중간 생략 없는 연속 발췌)

① 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다. <개정 2023.3.14>
1. 정보주체의 동의를 받은 경우
2. 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우
3. 공공기관이 법령 등에서 정하는 소관 업무의 수행을 위하여 불가피한 경우
4. 정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우

개인정보 보호법 제26조(업무위탁에 따른 개인정보의 처리 제한) 제1항

① 개인정보처리자가 제3자에게 개인정보의 처리 업무를 위탁하는 경우에는 다음 각 호의 내용이 포함된 문서로 하여야 한다. <개정 2023.3.14>
1. 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항
2. 개인정보의 기술적ㆍ관리적 보호조치에 관한 사항
3. 그 밖에 개인정보의 안전한 관리를 위하여 대통령령으로 정한 사항

개인정보 보호법 제26조 제2항

② 제1항에 따라 개인정보의 처리 업무를 위탁하는 개인정보처리자(이하 "위탁자"라 한다)는 위탁하는 업무의 내용과 개인정보 처리 업무를 위탁받아 처리하는 자(개인정보 처리 업무를 위탁받아 처리하는 자로부터 위탁받은 업무를 다시 위탁받은 제3자를 포함하며, 이하 "수탁자"라 한다)를 정보주체가 언제든지 쉽게 확인할 수 있도록 대통령령으로 정하는 방법에 따라  공개하여야 한다.

개인정보 보호법 제26조 제4항~제6항

④ 위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 유출등이 되지 아니하도록 수탁자를 교육하고, 처리 현황 점검 등 대통령령으로 정하는 바에 따라 수탁자가 개인정보를 안전하게 처리하는지를 감독하여야 한다. <개정 2015.7.24, 2026.3.10>
⑤ 수탁자는 개인정보처리자로부터 위탁받은 해당 업무 범위를 초과하여 개인정보를 이용하거나 제3자에게 제공하여서는 아니 된다.
⑥ 수탁자는 위탁받은 개인정보의 처리 업무를 제3자에게 다시 위탁하려는 경우에는 위탁자의 동의를 받아야 한다.

개인정보 보호법 제2조(정의) 제1호 다목·제1호의2

다. <개정 2014.3.24, 2020.2.4, 2023.3.14>
1. "개인정보"란 살아 있는 개인에 관한 정보로서 다음 각 목의 어느 하나에 해당하는 정보를 말한다.
가. 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보
나. 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보. 이 경우 쉽게 결합할 수 있는지 여부는 다른 정보의 입수 가능성 등 개인을 알아보는 데 소요되는 시간, 비용, 기술 등을 합리적으로 고려하여야 한다.
다. 가목 또는 나목을 제1호의2에 따라 가명처리함으로써 원래의 상태로 복원하기 위한 추가 정보의 사용ㆍ결합 없이는 특정 개인을 알아볼 수 없는 정보(이하 "가명정보"라 한다)
1의2. "가명처리"란 개인정보의 일부를 삭제하거나 일부 또는 전부를 대체하는 등의 방법으로 추가 정보가 없이는 특정 개인을 알아볼 수 없도록 처리하는 것을 말한다.

개인정보 보호법 제28조의2(가명정보의 처리 등)

① 개인정보처리자는 통계작성, 과학적 연구, 공익적 기록보존 등을 위하여 정보주체의 동의 없이 가명정보를 처리할 수 있다.
② 개인정보처리자는 제1항에 따라 가명정보를 제3자에게 제공하는 경우에는 특정 개인을 알아보기 위하여 사용될 수 있는 정보를 포함해서는 아니 된다.

개인정보 보호법 제28조의4(가명정보에 대한 안전조치의무 등) 제1항·제3항 (중간 생략 없는 연속 발췌)

① 개인정보처리자는 제28조의2 또는 제28조의3에 따라 가명정보를 처리하는 경우에는 원래의 상태로 복원하기 위한 추가 정보를 별도로 분리하여 보관ㆍ관리하는 등 해당 정보가 유출등이 되지 아니하도록 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다. <개정 2023.3.14, 2026.3.10>
② 개인정보처리자는 제28조의2 또는 제28조의3에 따라 가명정보를 처리하는 경우 처리목적 등을 고려하여 가명정보의 처리 기간을 별도로 정할 수 있다. <신설 2023.3.14>
③ 개인정보처리자는 제28조의2 또는 제28조의3에 따라 가명정보를 처리하고자 하는 경우에는 가명정보의 처리 목적, 제3자 제공 시 제공받는 자, 가명정보의 처리 기간(제2항에 따라 처리 기간을 별도로 정한 경우에 한한다) 등 가명정보의 처리 내용을 관리하기 위하여 대통령령으로 정하는 사항에 대한 관련 기록을 작성하여 보관하여야 하며, 가명정보를 파기한 경우에는 파기한 날부터 3년 이상 보관하여야 한다.

개인정보 보호법 제28조의5(가명정보 처리 시 금지의무 등)

① 제28조의2 또는 제28조의3에 따라 가명정보를 처리하는 자는 특정 개인을 알아보기 위한 목적으로 가명정보를 처리해서는 아니 된다. <개정 2023.3.14>
② 개인정보처리자는 제28조의2 또는 제28조의3에 따라 가명정보를 처리하는 과정에서 특정 개인을 알아볼 수 있는 정보가 생성된 경우에는 즉시 해당 정보의 처리를 중지하고, 지체 없이 회수ㆍ파기하여야 한다.

개인정보 보호법 제58조의2(적용제외)

제58조의2(적용제외) 이 법은 시간ㆍ비용ㆍ기술 등을 합리적으로 고려할 때 다른 정보를 사용하여도 더 이상 개인을 알아볼 수 없는 정보에는 적용하지 아니한다.

의료법 제22조(진료기록부 등) 제1항~제3항

①의료인은 각각 진료기록부, 조산기록부, 간호기록부, 그 밖의 진료에 관한 기록(이하 "진료기록부등"이라 한다)을 갖추어 두고 환자의 주된 증상, 진단 및 치료 내용 등 보건복지부령으로 정하는 의료행위에 관한 사항과 의견을 상세히 기록하고 서명하여야 한다. <개정 2013.4.5>
②의료인이나 의료기관 개설자는 진료기록부등[제23조제1항에 따른 전자의무기록(電子醫務記錄)을 포함하며, 추가기재ㆍ수정된 경우 추가기재ㆍ수정된 진료기록부등 및 추가기재ㆍ수정 전의 원본을 모두 포함한다. 이하 같다]을 보건복지부령으로 정하는 바에 따라 보존하여야 한다. <개정 2008.2.29, 2010.1.18, 2018.3.27>
③ 의료인은 진료기록부등을 거짓으로 작성하거나 고의로 사실과 다르게 추가기재ㆍ수정하여서는 아니 된다.

의료법 제23조(전자의무기록) 제1항·제4항 (중간 생략 없는 연속 발췌)

①의료인이나 의료기관 개설자는 제22조의 규정에도 불구하고 진료기록부등을 「전자서명법」에 따른 전자서명이 기재된 전자문서(이하 "전자의무기록"이라 한다)로 작성ㆍ보관할 수 있다.
②의료인이나 의료기관 개설자는 보건복지부령으로 정하는 바에 따라 전자의무기록을 안전하게 관리ㆍ보존하는 데에 필요한 시설과 장비를 갖추어야 한다. <개정 2008.2.29, 2010.1.18>
③누구든지 정당한 사유 없이 전자의무기록에 저장된 개인정보를 탐지하거나 누출ㆍ변조 또는 훼손하여서는 아니 된다.
④ 의료인이나 의료기관 개설자는 전자의무기록에 추가기재ㆍ수정을 한 경우 보건복지부령으로 정하는 바에 따라 접속기록을 별도로 보관하여야 한다. <신설 2018.3.27>

개인정보 보호법 제37조의2(자동화된 결정에 대한 정보주체의 권리 등) 제1항~제4항

① 정보주체는 완전히 자동화된 시스템(인공지능 기술을 적용한 시스템을 포함한다)으로 개인정보를 처리하여 이루어지는 결정(「행정기본법」 제20조에 따른 행정청의 자동적 처분은 제외하며, 이하 이 조에서 "자동화된 결정"이라 한다)이 자신의 권리 또는 의무에 중대한 영향을 미치는 경우에는 해당 개인정보처리자에 대하여 해당 결정을 거부할 수 있는 권리를 가진다. 다만, 자동화된 결정이 제15조제1항제1호ㆍ제2호 및 제4호에 따라 이루어지는 경우에는 그러하지 아니하다.
② 정보주체는 개인정보처리자가 자동화된 결정을 한 경우에는 그 결정에 대하여 설명 등을 요구할 수 있다.
③ 개인정보처리자는 제1항 또는 제2항에 따라 정보주체가 자동화된 결정을 거부하거나 이에 대한 설명 등을 요구한 경우에는 정당한 사유가 없는 한 자동화된 결정을 적용하지 아니하거나 인적 개입에 의한 재처리ㆍ설명 등 필요한 조치를 하여야 한다.
④ 개인정보처리자는 자동화된 결정의 기준과 절차, 개인정보가 처리되는 방식 등을 정보주체가 쉽게 확인할 수 있도록 공개하여야 한다.

개인정보 보호법 시행령 제44조의3(거부ㆍ설명등요구에 따른 조치) 제5항

⑤ 개인정보처리자는 제1항부터 제3항까지의 규정에 따라 정보주체의 거부ㆍ설명등요구에 따른 조치를 하는 경우에는 정보주체의 거부ㆍ설명등요구를 받은 날부터 30일 이내에 서면등의 방법으로 해야 한다. 다만, 30일 이내에 처리하기 어려운 정당한 사유가 있는 경우에는 정보주체에게 그 사유를 알리고 2회에 한정하여 각각 30일의 범위에서 그 기간을 연장할 수 있다.

개인정보 보호법 시행령 제44조의3(거부ㆍ설명등요구에 따른 조치) 제4항

④ 개인정보처리자는 다른 사람의 생명ㆍ신체ㆍ재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 등 정당한 사유가 있어 법 제38조제5항에 따라 거부ㆍ설명등요구를 거절하는 경우에는 그 사유를 정보주체에게 지체 없이 서면등의 방법으로 알려야 한다.

개인정보 보호법 시행령 제44조의4(자동화된 결정의 기준과 절차 등의 공개) 제1항

① 개인정보처리자는 법 제37조의2제4항에 따라 다음 각 호의 사항을 정보주체가 쉽게 확인할 수 있도록 인터넷 홈페이지 등을 통해 공개해야 한다. 다만, 인터넷 홈페이지 등을 운영하지 않거나 지속적으로 알려야 할 필요가 없는 경우에는 미리 서면등의 방법으로 정보주체에게 알릴 수 있다.
1. 자동화된 결정이 이루어진다는 사실과 그 목적 및 대상이 되는 정보주체의 범위
2. 자동화된 결정에 사용되는 주요 개인정보의 유형과 자동화된 결정의 관계
3. 자동화된 결정 과정에서의 고려사항 및 주요 개인정보가 처리되는 절차
4. 자동화된 결정 과정에서 민감정보 또는 14세 미만 아동의 개인정보를 처리하는 경우 그 목적 및 처리하는 개인정보의 구체적인 항목
5. 자동화된 결정에 대하여 정보주체가 거부ㆍ설명등요구를 할 수 있다는 사실과 그 방법 및 절차

개인정보 보호법 제75조(과태료) 제2항 제5호·제13호·제24호, 제3항 제1호, 제4항 제4호·제5호·제7호 (중간 생략 없는 연속 발췌)

② 다음 각 호의 어느 하나에 해당하는 자에게는 3천만원 이하의 과태료를 부과한다. <개정 2026.3.10>
1. 제16조제3항ㆍ제22조제5항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 재화 또는 서비스의 제공을 거부한 자
2. 제20조제1항ㆍ제2항을 위반하여 정보주체에게 같은 조 제1항 각 호의 사실을 알리지 아니한 자
3. 제20조의2제1항을 위반하여 개인정보의 이용ㆍ제공 내역이나 이용ㆍ제공 내역을 확인할 수 있는 정보시스템에 접속하는 방법을 통지하지 아니한 자
4. 제21조제1항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 개인정보의 파기 등 필요한 조치를 하지 아니한 자
5. 제23조제2항ㆍ제24조제3항ㆍ제25조제6항(제25조의2제4항에 따라 준용되는 경우를 포함한다)ㆍ제28조의4제1항ㆍ제29조(제26조제8항에 따라 준용되는 경우를 포함한다)를 위반하여 안전성 확보에 필요한 조치를 하지 아니한 자
6. 제23조제3항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 민감정보의 공개 가능성 및 비공개를 선택하는 방법을 알리지 아니한 자
7. 제24조의2제1항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 주민등록번호를 처리한 자
8. 제24조의2제2항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 암호화 조치를 하지 아니한 자
9. 제24조의2제3항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 정보주체가 주민등록번호를 사용하지 아니할 수 있는 방법을 제공하지 아니한 자
10. 제25조제1항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 고정형 영상정보처리기기를 설치ㆍ운영한 자
11. 제25조의2제1항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 사람 또는 그 사람과 관련된 사물의 영상을 촬영한 자
12. 제26조제3항을 위반하여 정보주체에게 알려야 할 사항을 알리지 아니한 자
13. 제28조의5제2항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 개인을 알아볼 수 있는 정보가 생성되었음에도 이용을 중지하지 아니하거나 이를 회수ㆍ파기하지 아니한 자
14. 제28조의8제4항(제26조제8항 및 제28조의11에 따라 준용되는 경우를 포함한다)을 위반하여 보호조치를 하지 아니한 자
14의2. 제31조제1항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 개인정보 보호책임자를 지정하지 아니하거나 제31조제10항(제26조제8항에 따라 준용되는 경우를 포함한다)에 따른 개인정보 보호책임자의 자격요건을 갖추지 아니한 자를 개인정보 보호책임자로 지정한 자
14의3. 제31조제3항제1호(제26조제8항에 따라 준용되는 경우를 포함한다)를 위반하여 개인정보 보호책임자를 지정하거나 그 지정을 변경 또는 해제할 때에 이사회의 의결을 거치지 아니한 자
14의4. 제31조제3항제2호(제26조제8항에 따라 준용되는 경우를 포함한다)를 위반하여 개인정보 보호책임자의 지정ㆍ변경 또는 해제에 관한 사항을 신고하지 아니한 자
15. 제32조의2제1항 단서를 위반하여 인증을 받지 아니한 자
15의2. 제32조의2제6항을 위반하여 인증을 받지 아니하였음에도 거짓으로 인증의 내용을 표시하거나 홍보한 자
16. 제33조제1항을 위반하여 영향평가를 하지 아니하거나 그 결과를 보호위원회에 제출하지 아니한 자
17. 제34조제1항 또는 같은 조 제2항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 정보주체에게 제34조제1항 각 호의 사항 또는 같은 조 제2항의 피해를 최소화하기 위한 정보 등의 사항을 알리지 아니한 자
18. 제34조제4항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 보호위원회 또는 대통령령으로 정하는 전문기관에 신고하지 아니한 자
19. 제35조제3항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 열람을 제한하거나 거절한 자
20. 제35조의3제1항에 따른 지정을 받지 아니하고 같은 항 제2호의 업무를 수행한 자
21. 제35조의3제3항을 위반한 자
22. 제36조제2항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 정정ㆍ삭제 등 필요한 조치를 하지 아니한 자
23. 제37조제3항 또는 제5항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 파기 등 필요한 조치를 하지 아니한 자
24. 제37조의2제3항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 정당한 사유 없이 정보주체의 요구에 따르지 아니한 자
25. 제63조제1항(제26조제8항에 따라 준용되는 경우를 포함한다)에 따른 관계 물품ㆍ서류 등 자료를 제출하지 아니하거나 거짓으로 제출한 자
26. 제63조제2항(제26조제8항에 따라 준용되는 경우를 포함한다)에 따른 출입ㆍ검사를 거부ㆍ방해 또는 기피한 자
27. 제64조제1항에 따른 시정조치 명령에 따르지 아니한 자
③ 다음 각 호의 어느 하나에 해당하는 자에게는 2천만원 이하의 과태료를 부과한다. <개정 2025.4.1>
1. 제26조제6항을 위반하여 위탁자의 동의를 받지 아니하고 제3자에게 다시 위탁한 자
2. 제31조의2제1항을 위반하여 국내대리인을 지정하지 아니한 자
3. 제31조의2제2항을 위반하여 국내대리인을 지정한 자
4. 제31조의2제3항을 위반하여 국내대리인을 관리ㆍ감독하지 아니한 자
④ 다음 각 호의 어느 하나에 해당하는 자에게는 1천만원 이하의 과태료를 부과한다. <개정 2025.4.1>
1. 제11조의2제2항을 위반하여 정당한 사유 없이 자료를 제출하지 아니하거나 거짓으로 제출한 자
2. 제21조제3항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 개인정보를 분리하여 저장ㆍ관리하지 아니한 자
3. 제22조제1항부터 제3항까지(제26조제8항에 따라 준용되는 경우를 포함한다)를 위반하여 동의를 받은 자
4. 제26조제1항을 위반하여 업무 위탁 시 같은 항 각 호의 내용이 포함된 문서로 하지 아니한 자
5. 제26조제2항을 위반하여 위탁하는 업무의 내용과 수탁자를 공개하지 아니한 자
6. 제27조제1항ㆍ제2항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 정보주체에게 개인정보의 이전 사실을 알리지 아니한 자
7. 제28조의4제3항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 관련 기록을 작성하여 보관하지 아니한 자

개인정보 보호법 제64조의2(과징금의 부과) 제1항 제5호·제6호 (중간 생략 없는 연속 발췌)

① 보호위원회는 다음 각 호의 어느 하나에 해당하는 경우에는 해당 개인정보처리자에게 전체 매출액의 100분의 3을 초과하지 아니하는 범위에서 과징금을 부과할 수 있다. 다만, 매출액이 없거나 매출액의 산정이 곤란한 경우로서 대통령령으로 정하는 경우에는 20억원을 초과하지 아니하는 범위에서 과징금을 부과할 수 있다. <개정 2026.3.10>
1. 제15조제1항, 제17조제1항, 제18조제1항ㆍ제2항(제26조제8항에 따라 준용되는 경우를 포함한다) 또는 제19조를 위반하여 개인정보를 처리한 경우
2. 제22조의2제1항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 법정대리인의 동의를 받지 아니하고 만 14세 미만인 아동의 개인정보를 처리한 경우
3. 제23조제1항제1호(제26조제8항에 따라 준용되는 경우를 포함한다)를 위반하여 정보주체의 동의를 받지 아니하고 민감정보를 처리한 경우
4. 제24조제1항ㆍ제24조의2제1항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 고유식별정보 또는 주민등록번호를 처리한 경우
5. 제26조제4항에 따른 관리ㆍ감독 또는 교육을 소홀히 하여 수탁자가 이 법의 규정을 위반한 경우
6. 제28조의5제1항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 특정 개인을 알아보기 위한 목적으로 정보를 처리한 경우

출처

1. 법제처 국가법령정보센터 · 개인정보 보호법 제23조
2. 법제처 국가법령정보센터 · 개인정보 보호법 제26조
3. 법제처 국가법령정보센터 · 개인정보 보호법 제2조
4. 법제처 국가법령정보센터 · 개인정보 보호법 제28조의2
5. 법제처 국가법령정보센터 · 개인정보 보호법 제28조의4
6. 법제처 국가법령정보센터 · 개인정보 보호법 제58조의2
7. 법제처 국가법령정보센터 · 개인정보 보호법 제37조의2
8. 법제처 국가법령정보센터 · 개인정보 보호법 시행령 제44조의3
9. 법제처 국가법령정보센터 · 의료법 제22조
10. 법제처 국가법령정보센터 · 개인정보 보호법 제15조
11. 법제처 국가법령정보센터 · 개인정보 보호법 제75조
12. 법제처 국가법령정보센터 · 개인정보 보호법 제64조의2
13. 법제처 국가법령정보센터 · 의료법 제23조
14. 법제처 국가법령정보센터 · 개인정보 보호법 시행령 제44조의4
15. 법제처 국가법령정보센터 · 개인정보 보호법 제28조의5