로펌이나 컨설팅사를 국내대리인으로 두고 있던 구조는 재지정 대상입니다. 개인정보 보호법 제31조의2 제2항이 2025년 10월 2일부터 국내에 설립한 법인이나 지배적 영향력을 행사하는 국내 법인이 있으면 그 법인 중에서 지정하도록 바꿨고, 부칙이 준 6개월은 2026년 4월 2일에 끝났습니다. 지정 대상 기준, 지배적 영향력의 범위, 새로 붙은 관리·감독 의무, 그리고 9월 11일부터 넓어진 대리 업무를 조문 단위로 정리했습니다.

본사가 GDPR을 기준으로 만든 정책·절차서를 번역해 두면 한국법도 지켜진다고 보기 쉽지만, 깨지는 지점이 따로 있습니다. 그리고 그 지점들은 대개 문서 내용이 아니라 누가 결정하는지와 무엇을 밖에 알리는지에 걸립니다. 개인정보 보호책임자 지정에 이사회 의결이 들어오고(2026년 9월 11일), 국내 법인이 있으면 국내대리인을 그 법인 중에서 지정해야 하며(2025년 10월 2일 시행, 경과기간 만료), 수탁자 목록은 공개 대상입니다. 본사 산출물 아홉 개를 조문과 하나씩 대조했습니다.

(가칭)아동·청소년 개인정보 보호법은 2026년 8월 현재 없습니다. 2022년 관계부처 합동 「아동·청소년 개인정보 보호 기본계획」은 보호 연령을 18세 미만으로 넓히고 맞춤형 광고를 제한하는 이 법을 2024년에 제정하겠다고 했습니다. 개인정보 보호법 제22조의2의 기준선은 여전히 만 14세 미만입니다. 그 사이 정책 문서에서 이 법의 자리는 계속 줄었고, 실제로 아동 정보를 들여다보기 시작한 것은 입법이 아니라 법 제63조의2의 사전 실태점검입니다.

㈜비케이알(버거킹)이 만 14세 미만 아동의 법정대리인 동의 위반으로 과징금 9억 2,400만 원을 받았습니다. 유출 사고가 없었는데도 나온 처분입니다. 개인정보보호위원회가 2026년 2월 11일 식음료 10개사 실태조사 결과를 의결하면서 부과했습니다. 같은 조사에서 8개사는 과태료에 그쳤는데, 그 차이는 개인정보 보호법 제64조의2 제1항이 과징금 대상을 열거해 둔 구조에서 나옵니다. 아동 조문은 유출이 없어도 과징금이 나오는 몇 안 되는 경로입니다.

데이터를 받는 쪽에는 두 갈래가 있습니다. 지정을 받아야 하는 개인정보관리 전문기관과, 지정 없이 시설·기술 기준만 충족하면 되는 일반수신자입니다. 갈림점은 규모가 아니라 목적입니다. 받은 정보로 통합조회·맞춤형 서비스를 하려면 지정 대상이고, 고유 업무에서 수집한 정보의 진위를 확인하는 정도면 일반수신자입니다. 경계를 넘으면 시행령이 금지행위로 규정합니다.

개인정보 보호법 시행령은 전송 기한을 며칠이라고 정하지 않고 '지체 없이’라고만 씁니다. 대신 거절할 수 있는 사유를 제42조의8 제1항에 열한 가지로 열거해 두었습니다. 거절하더라도 사유를 통지해야 하고, 거절 내역과 사유는 3년간 보관해야 합니다. 요구가 들어온 뒤의 절차를 조문 단위로 정리했습니다.

대법원은 기업지배권이 이전되는 시점 이전의 사유로 발생한 우발채무를 진술보증 위반의 손해로 보았습니다. 2017다6108 판결입니다. 담합처럼 이미 끝난 행위는 이 선으로 갈리지만, 파기하지 않은 데이터나 근거가 정리되지 않은 국외이전 같은 개인정보 위반은 클로징 이후에도 계속됩니다. 구간이 어디서 끊기느냐가 과징금의 기준 매출액과 가중 폭까지 함께 바꾼다는 점을 조문 단위로 정리했습니다.

영국에서 한국으로 보내는 것과 한국에서 영국으로 보내는 것은 근거가 다릅니다. 영국의 적정성 규정은 EU 결정과 달리 보완규정 조건도 신용정보 제외도 두지 않는 반면, 한국의 동등성 인정 대상에는 영국이 들어 있지 않습니다. EU와 영국 데이터를 같은 절차로 관리하는 회사가 어느 쪽을 놓치고 있는지 방향별로 정리했습니다.

외국계 한국법인이 본사 프라이버시 총괄을 한국 개인정보 보호책임자로 올려 둔 구조는 지정 대상 범위에 맞지 않을 수 있습니다. 기준은 시행령 제32조 제3항 제2호입니다. 지정 대상과 경력 자격요건은 2024년 3월부터 이미 시행 중이고, 2026년 9월 11일부터 여기에 과태료가 새로 붙었습니다. 기존 지정분의 처리는 법률 부칙이 아니라 2026년 9월 10일 공포된 시행령(대통령령 제36671호)의 부칙이 답합니다 — 시행일부터 6개월 안에 신고해야 하며, 신고 기한은 입법예고안의 1개월에서 6개월로 늘었습니다. 대상의 매출 기준도 1,500억 원 이상에서 1,800억 원 초과로 올라 대상이 좁아졌습니다. 형식적으로만 둔 CPO의 대가는 2026년 KT·롯데카드 제재가 보여 줍니다. 위원회는 과징금과 별도로 'CPO의 책임과 역할을 명확히 하는 거버넌스 체계 정비’를 시정명령으로 요구했고, 롯데카드 결정문에서는 CPO가 의사결정 기록을 설명하지 못한 점을 중대성 판단에 반영했습니다.

퇴사자가 고객 데이터를 반출한 것을 확인한 회사는 영업비밀 침해의 원고이면서 동시에 개인정보 유출의 통지 의무자입니다. 안전조치를 소홀히 했다면 과징금 대상이기도 합니다. 개인정보보호위원회는 실제로 이런 사안에서 안전조치 위반은 아니라고 보면서도 통지 지연에는 시정조치를 명했습니다(제2026-213-267호). 소송에서 유리한 주장과 조사에서 유리한 항변이 같은 사실을 두고 갈리는 지점을 조문 단위로 정리했습니다.