일본 개인정보보호법 등 벌칙 개정 — 개인정보 부정취득죄 신설, 2027년 1월 17일 시행

원문은 일본 정부 발표(일본어)이며, 이 페이지는 한국어 요약입니다.

2026년 7월 17일 공포된 「개인정보의 보호에 관한 법률 등의 일부를 개정하는 법률」(令和8년 법률 제56호) 중 벌칙 관련 규정이 2027년 1월 17일부터 시행됩니다. 개정 대상은 ① 개인정보보호법(個人情報の保護に関する法律) ② 마이넘버법(行政手続における特定の個人を識別するための番号の利用等に関する法律) ③ 차세대의료기반법(医療分野の研究開発に資するための匿名加工医療情報及び仮名加工医療情報に関する法律) 3개 법률입니다. 일본에 살거나 일하면서 확인해 둘 점은 크게 세 가지입니다. 1) 개인정보를 빼내는 행위 자체를 대상으로 하는 처벌 조항이 개인정보보호법에 새로 들어갑니다(제180조 신설). 자기 또는 제3자의 부정한 이익을 도모할 목적, 또는 본인·개인정보를 보유하는 자 그 밖의 자에게 손해를 가할 목적으로, 사람을 속이거나 사람에게 폭행을 가하거나 사람을 협박하는 행위에 의해, 또는 재물의 절취 또는 손괴, 시설에의 침입, 유선전기통신의 방수(傍受), 부정액세스행위(부정액세스행위의 금지 등에 관한 법률 제2조 제4항에서 정하는 부정액세스행위), 그 밖에 개인정보를 보유하는 자의 관리를 해하는 행위에 의해 개인정보를 취득한 때에는, 그 위반행위를 한 자를 2년 이하 구금형 또는 100만엔 이하 벌금에 처합니다. 같은 조 제2항은 이 규정이 형법(明治40년 법률 제45호) 그 밖의 벌칙의 적용을 방해하지 않는다고 정합니다. 2) 업무로 개인정보를 다루는 사람에게 적용되는 조항의 형량 상한이 올라갑니다. 개인정보취급사업자(법인인 경우에는 그 임원·대표자 또는 관리인) 또는 그 종업자, 또는 이들이었던 사람이 업무에 관하여 취급한 개인정보 데이터베이스 등을 제공하거나 도용한 경우는 1년 이하 구금형 또는 50만엔 이하 벌금에서 2년 이하 구금형 또는 100만엔 이하 벌금으로 바뀝니다(구 제179조 → 신 제178조). 행정기관 등의 직원 또는 직원이었던 사람, 위탁받은 업무에 종사하는(또는 종사했던) 사람, 행정기관 등에서 개인정보·가명가공정보·익명가공정보의 취급에 종사하는(또는 종사했던) 파견노동자가 정당한 이유 없이 개인의 비밀에 속하는 사항이 기록된 제60조 제2항 제1호에 관련된 개인정보파일(그 전부 또는 일부를 복제하거나 가공한 것을 포함)을 제공한 경우는 2년 이하 구금형 또는 100만엔 이하 벌금에서 3년 이하 구금형 또는 150만엔 이하 벌금으로 바뀝니다(제176조). 행정기관 등 직원 등이 업무상 알게 된 보유개인정보를 제공·도용한 경우도 1년 이하 구금형 또는 50만엔 이하 벌금에서 2년 이하 구금형 또는 100만엔 이하 벌금이 됩니다(구 제180조 → 신 제179조). 신 제178조와 신 제179조에는 종전의 「자기 또는 제3자의 부정한 이익을 도모할 목적」에 더해 「본인 그 밖의 자에게 손해를 가할 목적」이 목적 요건으로 추가됩니다. 제176조에는 목적 요건이 없고, 개정 전후 모두 정당한 이유 없이(正当な理由がないのに) 제공한 경우를 대상으로 하며 이번 개정에서 바뀌는 것은 형량뿐입니다. 퇴직한 뒤에도 「이들이었던 자」로서 적용 대상이 되는 점은 종전과 같습니다. 3) 법인에 대한 벌금이 별도로 규정됩니다. 신 제185조 제1항은 법인의 대표자 또는 법인·사람의 대리인·사용인 그 밖의 종업자가 그 업무에 관하여 위반행위를 한 때 행위자를 벌하는 것 외에 그 법인에 대해서는 해당 각 호에서 정하는 벌금형을, 그 사람에 대해서는 각 본조의 벌금형을 과한다고 정하며, 제1호(제178조 및 제181조)는 1억엔 이하 벌금형, 제2호(제180조 및 제183조)는 각 본조의 벌금형입니다. 또한 신 제184조는 제176조부터 제180조까지 및 제182조의 죄를 일본 국외에서 범한 사람에게도 적용합니다(제180조 제2항은 제외). 의료·마이넘버 분야도 같은 날 함께 시행됩니다. 차세대의료기반법 제68조(인정익명가공의료정보작성사업자·인정가명가공의료정보작성사업자·인정의료정보등취급수탁사업자의 임원 또는 종업자, 또는 이들이었던 사람이 정당한 이유 없이 의료정보 데이터베이스 등을 제공한 경우)는 2년 이하 구금형 또는 100만엔 이하 벌금에서 3년 이하 구금형 또는 150만엔 이하 벌금으로, 제69조 제1항부터 제4항까지(익명가공의료정보 등·가명가공의료정보 등·제공가명가공의료정보·의료정보 등의 부정제공·도용)는 1년 이하 구금형에서 2년 이하 구금형으로 바뀌며 벌금은 100만엔 이하가 유지되고, 이들 조항은 모두 병과가 가능합니다. 제69조에도 「본인 그 밖의 자에게 손해를 가할 목적」이 추가됩니다. 마이넘버법은 제49조(개인번호의 부정제공·도용)에 같은 목적 요건이 추가되고 형량은 3년 이하 구금형 또는 150만엔 이하 벌금(병과 가능)이 유지되며, 제51조 제1항(개인번호의 부정취득) 수단에 「재물의 손괴」와 「유선전기통신의 방수」가 명시적으로 추가됩니다. 절차 쪽 변화로는 개인정보보호위원회의 공시송달 방법이 바뀝니다(제163조 제2항·제3항). 송달할 서류를 언제든 교부한다는 취지를 위원회 게시장에 게시하는 방식만이 아니라, 개인정보보호위원회 규칙으로 정하는 방법으로 불특정 다수의 사람이 열람할 수 있는 상태에 두고, 아울러 그 취지가 기재된 서면을 게시장에 게시하거나 위원회 사무소에 설치한 전자계산기 화면에 표시한 것을 열람할 수 있는 상태에 두는 조치로 행합니다. 효력은 그 조치를 개시한 날로부터 2주가 지나면 발생합니다(국외에서 해야 할 송달에 대한 공시송달은 6주). 주의할 점은 2027년 1월 17일이 개정법 전체의 시행일이 아니라는 것입니다. 개정법 附則 제1조 본문은 「공포일로부터 기산하여 2년을 넘지 않는 범위 내에서 정령으로 정하는 날」을 원칙적 시행일로 하고, 같은 조 단서 제3호에 열거된 규정(위 벌칙 조항 등)만 「공포일로부터 기산하여 6개월을 경과한 날」에 시행합니다. 정령이 정해지기 전이므로 본체 개정의 시행일은 확정되어 있지 않습니다. 벌칙에 관한 경과조치를 포함하여 시행에 필요한 경과조치는 정령으로 정하도록 위임되어 있습니다(附則 제13조, 이 조항은 공포일부터 시행).

2026년 7월 17일 공포된 「개인정보의 보호에 관한 법률 등의 일부를 개정하는 법률」(令和8년 법률 제56호) 가운데 벌칙 관련 규정이 2027년 1월 17일부터 시행됩니다. 개인정보보호법에 개인정보 부정취득죄(2년 이하 구금형 또는 100만엔 이하 벌금)가 신설되고, 개인정보 데이터베이스 등 부정제공·도용죄 등의 형량 상한이 올라가며, 마이넘버법·차세대의료기반법의 벌칙 조항도 같은 날 함께 바뀝니다.

아래 요약은 정부 발표·1차 출처에 근거한 사실 정리이며, 정책에 대한 평가나 의견이 아닙니다.

국가 제도 기준의 정리입니다. 자치체(시구정촌)별 제도·운영은 다를 수 있으니 신청 전 공식 창구에서 확인하세요.