한국에 자회사가 있는데 국내대리인은 로펌입니다 — 재지정 기한은 2026년 4월에 이미 지났습니다

핵심 요약. 개인정보 보호법 제31조의2 제2항은 2025년 4월 1일 개정으로 후단이 붙어, 개인정보처리자가 설립한 국내 법인이나 지배적 영향력을 행사하는 국내 법인이 있으면 그 법인 중에서 국내대리인을 지정하도록 바뀌었습니다. 2025년 10월 2일 시행이고, 부칙이 준 재지정 기간 6개월은 2026년 4월 2일에 이미 끝났습니다. 지배적 영향력의 범위는 시행령 제32조의3 제3항이 대표이사를 임면하거나 임원의 50% 이상을 선임할 수 있는 법인, 또는 발행주식총수·출자총액의 30% 이상을 출자한 법인으로 정했습니다. 같은 개정으로 관리·감독 의무(제31조의2 제3항)가 신설돼 연 1회 이상 교육과 계획·이행·개선 점검이 요구되고, 위반에는 각각 과태료가 붙습니다. 2026년 9월 11일부터는 대리 업무의 범위도 넓어져 유출등의 가능성 통지가 들어옵니다.

한국에 자회사를 두고 있는 외국 기업의 개인정보 처리방침을 열어 보면, 국내대리인 자리에 법무법인이나 컨설팅 회사 이름이 적혀 있는 경우가 있습니다.

몇 해 전에는 흔한 구조였습니다. 국내대리인 제도가 처음 들어왔을 때는 누구를 세울지에 제한이 없었기 때문입니다.

그 제한이 생겼고, 고칠 시간으로 준 기간도 지났습니다.

우리 회사가 지정 대상인가

두 단계로 갈립니다.

먼저 법 제31조의2 제1항의 전제입니다. 이 조항은 국내에 주소 또는 영업소가 없는 개인정보처리자에게 국내대리인 지정 의무를 지웁니다. 한국에 자회사가 있어도 그 자회사는 별개 법인이므로, 데이터를 처리하는 주체가 해외 본사라면 본사 자신은 이 전제에 해당할 수 있습니다. 자회사가 있다는 사실만으로 이 의무에서 벗어나지는 않습니다.

그다음이 규모입니다. 시행령 제32조의3 제1항이 세 가지를 정합니다.

매출액은 전년도 평균환율을 적용해 원화로 환산합니다(같은 조 제2항).

세 번째 기준을 눈여겨볼 만합니다. 매출과 이용자 수를 밑돌더라도 조사를 받는 과정에서 지정 대상이 될 수 있습니다. 규모 기준만 확인하고 넘어가면 놓치는 자리입니다.

한국 자회사가 있으면 누구를 지정해야 하나

2025년 4월 1일 개정으로 제31조의2 제2항에 후단이 붙었습니다. 다음 법인이 있으면 그 법인 중에서 국내대리인을 지정해야 합니다.

1. 해당 개인정보처리자가 설립한 국내 법인
2. 해당 개인정보처리자가 임원 구성, 사업 운영 등에 지배적인 영향력을 행사하는 국내 법인으로서 대통령령으로 정하는 법인

두 번째가 넓습니다. 시행령 제32조의3 제3항이 이렇게 정했습니다.

• 대표이사를 임면하거나 임원의 100분의 50 이상을 선임하거나 선임할 수 있는 법인
• 발행주식총수 또는 출자총액의 100분의 30 이상을 출자한 법인

지분 30%면 걸립니다. 완전자회사가 아니어도, 합작법인이라도 출자 비율이 이 선을 넘으면 그 법인이 국내대리인이 되어야 합니다.

로펌이나 컨설팅사를 세워 둔 구조가 여기서 어긋납니다. 대리인을 두긴 두었으나 둘 수 있는 자가 아닌 자를 둔 상태가 됩니다.

기한은 2026년 4월 2일이었습니다

개정법(법률 제20897호) 부칙 제1조는 공포 후 6개월이 경과한 날부터 시행한다고 정했습니다. 공포일이 2025년 4월 1일이니 시행일은 2025년 10월 2일입니다.

부칙 제2조가 경과조치를 두었습니다. 시행 당시 종전 규정에 따라 국내대리인을 지정한 개인정보처리자 중 제2항 각 호의 법인이 있는 자는 시행 이후 6개월 이내에 그 법인 중에서 국내대리인을 지정해야 한다는 내용입니다.

그 6개월은 2026년 4월 2일에 끝났습니다. 지금 시점에서 로펌이 국내대리인으로 남아 있다면 유예 안에 있는 것이 아니라 기간을 넘긴 상태입니다.

바꾸고 나면 관리·감독이 따라옵니다

같은 개정으로 제31조의2 제3항이 신설됐습니다. 국내대리인을 지정한 개인정보처리자는 국내대리인이 업무를 충실히 수행하도록 대통령령으로 정하는 바에 따라 교육하고 업무현황을 점검하는 등의 관리·감독을 해야 합니다.

시행령 제32조의3 제4항이 내용을 정했습니다.

• 연 1회 이상 국내대리인의 업무에 대한 교육 실시
• 다음 세 가지 점검
  • 국내대리인이 업무수행에 대한 계획을 수립했는지
  • 그 계획을 이행했는지
  • 이행 여부 점검 결과 개선이 필요한 사항을 개선했는지

자회사를 대리인으로 지정하면 형식이 정리되지만 그것으로 끝나지 않는다는 뜻입니다. 계획을 세우게 하고, 이행을 확인하고, 개선까지 확인한 기록이 남아야 합니다. 본사와 자회사 사이의 내부 문서로 보이기 쉬운 영역인데 법이 요구하는 절차입니다.

9월 11일부터 대리 업무가 넓어집니다

국내대리인이 대리하는 업무는 제31조의2 제1항 각 호에 열거돼 있습니다. 현행은 불만 처리와 피해 구제, 유출 등의 통지와 신고, 그리고 보호위원회의 자료 제출 요구 대응 세 가지입니다.

2026년 9월 11일 시행 개정법(법률 제21445호)이 이 각 호의 문언을 손봅니다. 인용 조항이 바뀌는 부분과 범위가 늘어나는 부분이 함께 있습니다.

1호는 인용 조항만 바뀝니다. 개정법이 제31조에 제3항을 신설하면서 기존 항이 한 칸씩 밀렸기 때문입니다.

2호는 다릅니다. 개정법 제34조 제2항이 유출등의 가능성 단계에서의 통지를 신설하는데, 그것이 국내대리인의 대리 업무에 들어옵니다. 확정된 유출만 대리하던 범위가 가능성 단계까지 넓어집니다.

유출 가능성 통지가 무엇을 요구하는지, 그 범위를 정할 시행령이 아직 어떤 상태인지는 유출 대응 단계별 지도와 신구조문 대조표에서 다뤘습니다.

위반하면 무엇이 걸리나

과태료가 항목별로 나뉘어 있습니다.

금액보다 무거운 조항이 따로 있습니다. 제31조의2 제5항입니다.

국내대리인이 제1항 각 호와 관련하여 이 법을 위반한 경우에는 개인정보처리자가 그 행위를 한 것으로 본다.

국내대리인이 통지를 놓치거나 자료 제출을 제대로 하지 않으면 그 행위가 본사의 행위로 귀속됩니다. 대리인을 세우는 것이 책임을 넘기는 일이 아니라는 뜻이고, 관리·감독 의무가 왜 함께 들어왔는지도 여기서 설명됩니다.

지금 확인할 것

처리방침의 국내대리인 항목부터 엽니다. 법 제31조의2 제4항은 국내대리인의 성명(법인이면 명칭과 대표자 성명), 주소(법인이면 영업소 소재지), 전화번호, 전자우편 주소를 처리방침에 넣도록 정합니다. 거기 적힌 이름이 로펌이나 컨설팅사면 재지정 대상인지 바로 판단됩니다.

지분 구조를 30% 선으로 봅니다. 완전자회사만 해당한다고 읽기 쉬운데, 시행령은 출자 30% 또는 임원 50% 선임 가능을 기준으로 잡았습니다. 합작법인이나 소수지분 구조도 확인이 필요합니다.

지정은 문서로 합니다. 제31조의2 제1항 후단이 지정을 문서로 하도록 정하고 있습니다. 자회사로 바꾸면서 문서를 남기지 않으면 지정 자체를 증명하기 어렵습니다.

교육과 점검 일정을 잡습니다. 연 1회 이상이 기준이므로 첫 회차를 언제 할지, 계획·이행·개선 점검을 누가 기록할지를 정해 두어야 합니다.

9월 11일 이후의 통지 범위를 대리인과 맞춥니다. 유출 가능성 통지가 대리 업무에 들어오므로, 본사 인시던트 절차에서 어느 단계에 한국 대리인을 부를지 다시 정해야 합니다.

본사 정책 전반이 한국에서 어긋나는 지점들은 본사 정책을 한국 법인에 옮겼을 때 다시 봐야 할 아홉 지점에 모아 두었고, 개인정보 보호책임자 쪽 문제는 본사 APAC DPO를 한국 CPO로 올려 두었다면에서 따로 다뤘습니다.

자주 묻는 질문

Q. 우리 회사가 국내대리인 지정 대상인지 어떻게 판단하나요?

두 단계로 봅니다. 먼저 개인정보 보호법 제31조의2 제1항의 전제인 “국내에 주소 또는 영업소가 없는 개인정보처리자"에 해당해야 합니다. 한국 자회사가 별도 법인으로 있더라도 데이터를 처리하는 주체가 해외 본사라면 본사 자신은 이 전제에 해당할 수 있습니다. 그다음 시행령 제32조의3 제1항의 규모 기준 중 하나를 충족하는지 봅니다. 전년도 전체 매출액 1조 원 이상, 전년도 말 기준 직전 3개월간 국내 정보주체 수가 일일평균 100만 명 이상, 또는 법 제63조 제1항에 따라 자료 제출을 요구받은 자로서 보호위원회가 심의·의결한 경우입니다. 매출액은 전년도 평균환율로 원화 환산합니다.

Q. 이미 로펌을 국내대리인으로 지정해 두었는데 그대로 두면 어떻게 되나요?

한국에 해당 법인이 있다면 위반 상태입니다. 법 제31조의2 제2항 후단은 개인정보처리자가 설립한 국내 법인이나 시행령이 정한 지배적 영향력을 행사하는 국내 법인이 있으면 그 법인 중에서 지정하도록 정하고, 이를 위반해 지정한 경우는 2천만 원 이하의 과태료 대상입니다(제75조 제3항 제3호). 2025년 4월 1일 개정법 부칙 제2조가 시행 후 6개월 이내에 재지정하도록 했는데 그 기간은 2026년 4월 2일에 끝났습니다.

Q. 국내대리인을 자회사로 바꾸면 그것으로 끝인가요?

관리·감독 의무가 따로 있습니다. 법 제31조의2 제3항은 국내대리인이 업무를 충실히 수행하도록 교육하고 업무현황을 점검하도록 정하고, 시행령 제32조의3 제4항이 그 내용을 구체화했습니다. 연 1회 이상 국내대리인의 업무에 대한 교육을 실시하고, 국내대리인이 업무수행 계획을 수립했는지, 그 계획을 이행했는지, 점검 결과 개선이 필요한 사항을 개선했는지를 점검해야 합니다. 이를 하지 않으면 2천만 원 이하의 과태료 대상입니다(제75조 제3항 제4호). 국내대리인의 성명·주소·전화번호·전자우편 주소를 개인정보 처리방침에 넣는 것도 별도 의무입니다(제31조의2 제4항, 미이행 시 제75조 제4항 제9호의2).

For your global headquarters — English summary

본사 법무·DPO에 그대로 전달하실 수 있도록 붙여 둡니다.

Korea: your domestic representative may need to be re-designated, and the grace period has already expired.

1. Who must appoint one. PIPA art. 31의2(1) applies to controllers with no address or place of business in Korea that meet a threshold in Enforcement Decree art. 32의3(1): annual revenue of KRW 1 trillion or more; an average of 1 million or more Korean data subjects per day over the three months preceding year-end; or designation by Commission resolution after a document production request under art. 63(1). Revenue is converted at the prior year’s average exchange rate. Having a Korean subsidiary does not remove the obligation, because the subsidiary is a separate legal person.

2. Who may be appointed changed on 2 October 2025. Art. 31의2(2), as amended on 1 April 2025, requires that where the controller has (i) a Korean entity it established, or (ii) a Korean entity over which it exercises dominant influence, the representative must be selected from among those entities. Decree art. 32의3(3) defines dominant influence as the ability to appoint or dismiss the representative director or to appoint 50% or more of officers, or holding 30% or more of shares or contributed capital. Appointing an outside law firm or consultancy instead is an administrative violation.

3. The transition period is over. Addendum art. 2 of Act No. 20897 allowed six months from entry into force to re-designate. That period ended on 2 April 2026.

4. Ongoing oversight is required. Art. 31의2(3) obliges the controller to train and monitor the representative. Decree art. 32의3(4) specifies training at least once a year and verification that the representative has prepared a work plan, implemented it, and remedied items identified for improvement.

5. Penalties. Failure to appoint, appointing a party not permitted under art. 31의2(2), and failure to supervise each carry fines of up to KRW 20 million (art. 75(3)(2)-(4)). Omitting the representative’s details from the privacy policy carries up to KRW 10 million (art. 75(4)(9)-2). Critically, art. 31의2(5) provides that a violation by the representative in connection with its delegated functions is deemed to have been committed by the controller.

6. From 11 September 2026 the delegated scope widens. The amended art. 31의2(1)(2) will cover notification under art. 34(1) and (2) — the latter being the newly created duty to notify where there is a possibility of a breach — plus reporting under art. 34(4).

This summary is general information, not legal advice. The Korean text of the statute prevails.

이 글은 일반적인 정보 제공 목적으로 작성됐으며 법률자문이 아닙니다. 구체적인 사안은 개별 검토가 필요합니다.

참고 자료

• 개인정보 보호법 제31조의2, 제34조, 제63조, 제75조 — 국가법령정보센터(현행 법률 제20897호, 2025. 10. 2. 시행). 제31조의2 제2항 후단·제3항은 2025. 4. 1. 개정·신설
• 개인정보 보호법 시행령 제32조의3 — 국가법령정보센터(대통령령 제36340호). 제3항·제4항은 2025. 9. 23. 신설
• 법률 제20897호 부칙 제1조(시행일), 제2조(국내대리인 지정에 관한 경과조치)
• 개정 개인정보 보호법(법률 제21445호, 2026. 9. 11. 시행) 원문 — 제31조의2 제1항 각 호 개정분