본사 인시던트 대응 절차서는 대개 GDPR을 기준으로 쓰여 있고, 첫 분기점이 위험도 평가입니다. 그런데 한국 개인정보 보호법 제34조 제1항은 위험 정도를 요건으로 삼지 않고 유출등을 알게 된 것만으로 통지 의무를 지우며, 기한은 72시간입니다(시행령 제39조 제1항). GDPR과 달리 암호화에 따른 통지 면제도 없습니다. 통지는 전건 의무이고 신고가 오히려 요건 한정이라는 구조 차이와, 2026년 9월 11일 개정법 시행으로 간극이 어디서 더 벌어지는지를 조문 단위로 정리합니다.

개인정보 보호법 제64조의2 제1항 제9호는 '유출된 경우' 자체를 과징금 사유로 정할 뿐 해킹인지 담당자 실수인지를 묻지 않습니다. 2025년 유출 관련 조사·처분 115건의 원인 1위도 업무 과실(53건, 46%)이었습니다. 무엇이 처분 여부를 가르고 무엇이 금액을 가르는지, 메일 오발송 같은 업무 과실 유형에서 신고와 통지가 어떻게 달라지는지를 조문 단위로 정리합니다.

EU 집행위원회가 2026년 7월 23일 한국 적정성 결정에 대한 첫 정기 재검토를 마치고 결정을 유지했습니다. EU에서 한국으로 개인정보를 이전할 때 표준계약조항 같은 추가 조치가 필요 없다는 상태는 그대로입니다(COM(2026) 384 final). 다만 보완규정 3개 조항의 폐지와 재검토 주기 4년 전환이 예고됐고, '글로벌 CBPR 인증을 받으면 국외이전이 된다’는 실무의 오해에는 명시적으로 제동이 걸렸습니다. 반대 방향인 한국에서 EU로의 이전도 2025년 9월 16일 동등성 인정(공고 제2025-68호) 이후 별도 동의 없이 가능하되, 주민등록번호·개인신용정보는 빠지고 처리방침의 이전 근거 기재는 그대로 남습니다. 양방향 데이터 이전의 근거를 조문으로 정리합니다.

개정 정보통신망법이 2026년 7월 7일 시행됐습니다. 자율운영정책 수립과 6개월 1회 보고서 공표 의무는 '하루 평균 이용자 100만 명 이상’인 대규모 정보통신서비스 제공자에게만 적용되지만, 허위조작정보 유통 금지와 5배 징벌적 손해배상은 규모와 무관하게 적용됩니다. 우리 회사가 어느 쪽인지 가르는 기준을 조문으로 정리합니다.

외부 LLM API를 붙여 서비스를 만든 회사가 가장 자주 묻는 질문입니다. 학습 단계의 복제 책임은 원칙적으로 학습한 자에게 있지만, 파인튜닝을 하는 순간 도입 기업이 학습 주체가 되고, 출력물이 원작과 실질적으로 유사하면 그 출력물을 쓴 쪽이 침해 주체가 됩니다. 한국에는 TDM 면책 규정이 없어 공정이용(저작권법 제35조의5)이 유일한 통로이며, 문체부·저작권위원회가 2026년 2월 26일 그 판단 기준을 안내서로 내놨습니다.

AI기본법과 시행령은 2026년 1월 22일 함께 시행됐습니다. 모델을 직접 만들지 않고 외부 AI를 갖다 쓰는 회사도 '인공지능사업자’입니다(법 제2조 제7호). 이 글은 우리 회사가 의무 주체인지, 어느 조문이 걸리고 어느 조문은 애초에 해당하지 않는지를 한 장의 지도로 정리합니다. 투명성 고지, 고영향 인공지능 책무, 국내대리인, 계도기간과 과태료는 각각 별도의 글에서 자세히 다룹니다.

개인정보처리방침에 무엇을 담아야 하는지는 개인정보 보호법 제30조 제1항과 시행령 제31조 제1항이 정하고 있고, 국내대리인 기재까지 더하면 현행 기준 15개 항목입니다. 그 목록이 2023년 이후 네 차례 늘어, 2023년 초에 만든 처리방침은 지금 기준으로 항목이 비어 있을 가능성이 높습니다. 필수 항목과 신설 시점, 공개 방법, 과태료와 처리방침 평가제를 정리합니다. AI로 심사·추천을 자동화했다면 15개 항목을 다 채워도 빠지는 것이 하나 더 있습니다. 법 제30조 목록 밖에 있는 자동화된 결정의 공개 의무(법 제37조의2 제4항, 시행령 제44조의4의 다섯 항목)로, 거부권이 없는 경우에도 공개 의무는 남습니다. 국외이전·생성형 AI처럼 회사 사정에 따라 갈리는 항목은 각각의 글로 넘깁니다.

회원 탈퇴·거래 종료·직원 퇴사 후 개인정보는 지체 없이 파기하는 것이 원칙입니다. 근거는 개인정보 보호법 제21조입니다. 전자상거래법·근로기준법·세법이 정한 법정 보존기간은 그 예외입니다. 무엇을 언제까지 남기고, 남기는 동안 어떻게 관리해야 하는지 대표 보존기간표와 함께 정리합니다.

개인정보처리방침을 영어로 만들 때 답은 독자가 누구인지로 갈립니다. 한국 안의 외국인 이용자를 위한 것이면 국문 처리방침의 영문 번역본이 맞고(공식 영문본의 명칭은 privacy policy, 제30조 제1항 각 호 그대로), 해외 이용자를 위한 것이면 GDPR 등 진출국 법이 요구하는 별개의 Privacy Policy가 필요합니다. 하나를 번역해서 둘을 대신하면 양쪽 모두에서 구멍이 납니다. 영문 용어 대응표와 두 문서를 관리하는 점검 항목을 정리했습니다.

만 14세 미만 아동의 개인정보는 법정대리인의 동의를 받고 동의했는지 '확인’까지 해야 수집할 수 있으며, 아동 대상 서비스가 아니어도 아동 이용을 인식했다면 조치 의무가 생깁니다. 아동을 받지 않는 서비스라면 '만 14세 미만 이용 불가’를 가입 화면에 분명히 표시하고 이용자 본인이 이를 별도로 확인하게 해야 합니다. 자녀 위치 앱처럼 위치정보가 얽히면 위치정보법 제25조가 따로 적용되어 법정대리인 동의 외에 아동 본인의 동의와 매회 통보 의무가 추가됩니다. 동의 확인 방법 7가지, 제재 수위, 2023년 자녀안심 앱 5곳 처분까지 정리합니다.