핵심 요약 개인정보보호법 영문본은 국가법령정보센터 영문법령(law.go.kr)과 한국법제연구원 영문법령(elaw.klri.re.kr) 두 곳에서 무료로 받을 수 있습니다. 현행은 법률 제21445호(2026년 9월 11일 시행)이고, 2026년 10월 25일 확인 기준 국가법령정보센터 영문본과 한국법제연구원의 가장 새로운 기록이 모두 이 현행판을 반영합니다. 다만 한국법제연구원에는 2020년판·2023년판·2025년판·2026년판이 현행 표시 없이 공존하므로 받은 문서 머리의 법률 번호부터 확인해야 합니다. 시행령 영문본도 국가법령정보센터에서는 현행 대통령령 제36671호(2026년 9월 11일 시행) 판으로 갱신되었지만, 영문본에는 법적 효력이 없으므로 대통령령에 위임된 세부는 국문 시행령으로 확인해야 합니다. 본사 법무팀이 2020년판 영문 개인정보 보호법을 읽으면 두 가지가 동시에 일어납니다. 국외이전에는 늘 개별 동의가 필요하다고 읽어 한국에만 동의 화면을 붙이는 과잉 준수, 그리고 2020년판에 존재하지 않는 의무(제28조의8 제4항의 보호조치, 제28조의11의 재이전 규정 등)가 본사 문서에서 통째로 빠지는 미준수입니다. 과징금 기준도 위반 관련 매출액 3%에서 전체 매출액 3%로 바뀌어 리스크 규모 감각이 어긋납니다.
목차
본사 글로벌 프라이버시 정책의 한국 항목에는 근거 조문 번호가 적혀 있습니다. 그 번호를 확인해 본 적이 있으신가요?
국외이전 근거가 Article 17로 적혀 있다면, 그 문서는 2020년판 영문본을 읽고 만들어진 것입니다. 현행 법에서 국외이전을 규율하는 조문은 제28조의8입니다. 조문 번호 하나의 차이가 아니라, 규율 구조 자체가 다릅니다.
이 간극이 국외이전에만 있는 것도 아닙니다. 본사 글로벌 정책을 한국에 적용할 때 어긋나는 지점은 항목별로 따로 정리해 두었습니다. 이 글은 그중 본사가 참고하는 영문본의 버전 문제를 다룹니다.
개인정보보호법 영문본은 어디에서 받습니까?
영문 조문 자체가 필요하다면 아래 두 곳이 출처입니다. 어느 쪽이든 무료이고 로그인이 필요 없습니다. 다만 한국법제연구원 쪽은 같은 법의 네 판이 별개 주소로 올라와 있어, 주소를 고를 때부터 판을 확인해야 합니다.
| 출처 | 주소 | 반영 법률 | 현행 여부 |
|---|---|---|---|
| 국가법령정보센터 영문법령 | law.go.kr 영문법령: Personal Information Protection Act | Act No. 21445, Mar. 10, 2026(시행 2026. 9. 11.) | 현행(2026. 10. 15. 확인) |
| 한국법제연구원 영문법령 | elaw.klri.re.kr hseq=75275 | Act No. 21445, Mar. 10, 2026 | 현행(2026. 10. 25. 확인) |
| 한국법제연구원 영문법령 | elaw.klri.re.kr hseq=71740 | Act No. 20897, Apr. 1, 2025 | 직전 판 |
| 한국법제연구원 영문법령 | elaw.klri.re.kr hseq=62389 | Act No. 19234, Mar. 14, 2023 | 구판 |
| 한국법제연구원 영문법령 | elaw.klri.re.kr hseq=53044 | Act No. 16930, Feb. 4, 2020 | 구판(국외이전 조문이 제17조 체계) |
받은 문서가 현행인지는 세 가지로 가립니다. 첫째, 문서 머리의 법률 번호가 Act No. 21445인지. 직전 판 Act No. 20897이라면 2026년 9월 11일 시행된 개정(대표자 책임 Article 30-3, 과징금 상한 10% 등)이 빠져 있습니다. 둘째, 목차에 Article 28-8(국외이전), Article 35-2(전송요구권), Article 37-2(자동화된 결정)가 있는지. 이 셋은 2023년 개정으로 들어온 조문이라 2020년판에는 없습니다. 셋째, 국외이전 근거가 Article 17이 아니라 Article 28-8로 적혀 있는지. 이 세 조문이 왜 판단 기준이 되는지는 아래에서 이어집니다.
시행령(대통령령)도 국가법령정보센터 영문법령에 조문 본문이 있고, 2026년 10월 15일 확인 기준 그 영문본은 현행 시행령인 대통령령 제36671호 판입니다. 다만 영문본에는 법적 효력이 없으므로 법률 조문이 대통령령에 위임한 세부(국외이전 통지 방법, 처리방침 기재사항의 세목 등)는 국문 시행령으로 최종 확인해야 합니다. 법률과 시행령을 서로 다른 출처에서 받았을 때의 문제는 아래 「시행령 영문본은 어느 판을 담고 있습니까?」 절에서 다룹니다.
영문 조문을 찾는 이유가 처리방침을 영어로 만들기 위해서라면, 조문보다 먼저 정할 것이 있습니다. 독자가 한국 안의 외국인 이용자인지 해외 이용자인지에 따라 번역본으로 충분한지가 달라집니다. 그 기준과 공식 영문본의 용어 대응표는 개인정보처리방침 영어로 만들기에 정리했습니다.
본사가 읽는 영문 조문은 어느 버전입니까?
현행 개인정보 보호법은 법률 제21445호(2026년 3월 10일 공포, 2026년 9월 11일 시행)입니다. 국가법령정보센터(law.go.kr) 영문본은 2026년 10월 15일 확인 기준 이 현행판을 반영하고 있고, 이번 개정으로 신설된 Article 30-3과 전체 매출액의 100분의 10을 정한 Article 64-2 (2)도 영어로 실려 있습니다. 다만 2026년 9월 8일 공포되어 2027년 3월 9일 시행되는 법률 제21910호(인공지능 개발 특례, Article 28-12부터 Article 28-15까지)는 같은 날 확인 기준 이 영문본에 아직 없습니다.
문제는 한국법제연구원(elaw.klri.re.kr)입니다. 주소의 hseq 값만 다른 기록들이 같은 법의 서로 다른 버전을 담고 있고, 페이지에는 어느 것이 현행인지 표시가 없습니다. 2026년 8월 2일 확인 때는 기록이 세 개였습니다. 2026년 10월 25일 확인 기준으로는 현행 제21445호를 담은 hseq=75275가 더해져 네 개입니다. 새 판이 올라와도 옛 기록은 지워지지 않으므로, 검색에서 옛 주소로 들어가면 지금도 구판을 받게 됩니다.
| 기록 | 마지막으로 반영된 법률 | Article 28-8 | Article 35-2 | Article 37-2 |
|---|---|---|---|---|
| hseq=53044 | Act No. 16930, Feb. 4, 2020 | 없음 | 없음 | 없음 |
| hseq=62389 | Act No. 19234, Mar. 14, 2023 | 있음 | 있음 | 있음 |
| hseq=71740 | Act No. 20897, Apr. 1, 2025 | 있음 | 있음 | 있음 |
| hseq=75275 | Act No. 21445, Mar. 10, 2026 | 있음 | 있음 | 있음 |
검색과 AI 답변도 이 혼선을 그대로 반영합니다. 2026년 8월 2일 확인 기준, 영어로 한국의 국외이전 근거를 묻자 생성형 답변이 "Article 17 of PIPA"를 근거로 들며 2020년 개정판이 현행이라고 서술했습니다. 한국어로 현행 영문본을 묻자 현행을 제19234호로 답했고, 검색 결과에는 2020년판과 2023년판 주소가 나란히 노출됐습니다.
국외이전 근거가 통째로 다르면 무엇이 어긋납니까?
2020년판 Article 17 (3)은 국외 제3자 제공에 대해 정보주체에게 알리고 동의를 받으라는 구조입니다. 이것만 읽은 본사는 한국에서의 국외이전에 항상 개별 동의가 필요하다고 결론 내립니다. 그래서 다른 나라에는 없는 별도 동의 화면을 한국에만 붙입니다.
현행 제28조의8 제1항은 다릅니다. 국외 제공·처리위탁·보관을 원칙적으로 금지하되 다섯 가지 예외를 두고, 별도 동의는 그중 제1호일 뿐입니다. 정보주체와의 계약 체결·이행을 위한 처리위탁·보관이라면 제3호에 따라 개인정보 처리방침 공개 또는 통지로 갈 수 있는 경로가 있고, 보호위원회가 고시하는 인증(제4호)이나 이전받는 국가에 대한 동등성 인정(제5호)도 근거가 됩니다. 동등성 인정 구조는 EU 적정성 결정과 국외이전 근거에서 따로 다뤘습니다.
반대 방향의 문제는 잘 드러나지 않습니다. 2020년판에 아예 없는 의무는 본사 문서에 들어갈 수가 없습니다. 이전 근거와 무관하게 안전성 확보 조치와 고충처리·분쟁해결 조치를 요구하는 제28조의8 제4항, 이전받은 자가 제3국으로 다시 이전할 때 같은 규율을 준용하는 제28조의11, 신설된 제35조의2와 제37조의2가 그렇습니다.
즉 낡은 영문본은 과잉 준수와 미준수를 동시에 만듭니다. 동의 중심으로 한국법을 읽는 습관은 처리 근거 전반에서도 반복되는데, 본사의 legitimate interest 근거가 한국에서 어디까지 통하는지도 같은 계열의 문제입니다.
과징금 규모 감각은 왜 어긋납니까?
2020년판 Article 39-15 (1)의 과징금은 정보통신서비스 제공자 등을 대상으로, 위반행위와 관련된 매출액(total revenues relating to the concerned violation)의 3%를 상한으로 합니다.
현행 Article 64-2 (1)은 두 가지가 다릅니다. 대상이 개인정보처리자 일반으로 넓어졌고, 기준이 전체 매출액(total sales)의 3%로 바뀌었습니다. 매출액이 없거나 산정이 곤란한 경우에는 대통령령으로 정하는 바에 따라 20억 원 이하의 과징금이 가능합니다.
2020년판으로 리스크를 산정한 본사 문서는 대상과 기준 양쪽에서 다른 숫자를 보고 있는 셈입니다.
시행령 영문본은 어느 판을 담고 있습니까?
현행 시행령은 대통령령 제36671호(2026년 9월 10일 공포, 2026년 9월 11일 시행)입니다. 2026년 10월 15일 확인 기준 국가법령정보센터 영문법령의 시행령 영문본은 이 현행판을 반영하고 있고, Article 16, Article 29-7, Article 29-9, Article 29-10, Article 29-12, Article 42-2부터 Article 42-6까지, Article 60-2가 영문으로 올라와 있습니다. 2026년 9월 23일 확인 때만 해도 그 영문본은 대통령령 제35343호(2025년 2월 25일 공포) 판이었고, 그 뒤 대통령령 제35811호(타법개정)·제35780호·제36340호·제36121호·제36671호로 이어진 다섯 번의 개정이 반영되지 않은 상태였습니다.
다만 판이 현행과 맞는다고 해서 영문 시행령을 근거로 삼을 수 있는 것은 아닙니다. 모든 영문 번역에는 법적 효력이나 공식적 효력이 없고 최신 개정을 반영하지 않을 수 있다는 안내가 붙어 있으므로, 현행 국외이전 조문의 세부(예컨대 제3호의 통지 방법)처럼 대통령령에 위임된 내용은 국문 시행령으로 확인해야 합니다. 한편 법률 영문본을 한국법제연구원의 옛 기록(예컨대 제20897호를 담은 hseq=71740)에서 받았다면, 국가법령정보센터의 현행 시행령 영문본과 나란히 읽을 때 법률과 시행령의 판이 서로 어긋납니다. 따라서 본사 법무팀이 법률과 시행령을 서로 다른 출처에서 받았다면 두 문서 머리의 번호를 각각 확인할 필요가 있습니다.
사고나 조사가 벌어지면 이 간극은 어떻게 드러납니까?
유출 사고나 조사가 시작되면, 회사가 실제로 따르고 있던 문서가 무엇이었는지가 드러납니다. 본사 글로벌 정책이 한국법인에 그대로 적용되어 온 경우, 그 문서에 적힌 조문 번호와 판단 근거가 곧 회사의 내부 기준으로 취급됩니다.
이 시점에는 근거를 문서로 세워 둔 회사와 그렇지 않은 회사의 처지가 달라집니다. 국외이전의 근거 조문, 선택한 예외, 그에 따른 조치를 현행법 기준으로 적어 둔 문서와, 2020년판 조문을 인용한 문서는 같은 취급을 받기 어렵습니다. 유출 인지 후의 시간표는 유출을 인지한 뒤 72시간의 대응에서 정리했습니다.
For your headquarters
The Personal Information Protection Act of Korea currently in force is Act No. 21445, effective September 11, 2026. As confirmed on October 15, 2026, the English translation on the Korea Law Information Center (law.go.kr) has been updated to that version, including the new Article 30-3 and Article 64-2(2) (10/100 of total sales). It does not yet include Act No. 21910 (promulgated September 8, 2026, effective March 9, 2027), which adds Articles 28-12 to 28-15 on AI development. The Korea Legislation Research Institute site (elaw.klri.re.kr) hosts four English versions of the same Act at separate URLs, with no indication of which is current. As confirmed on October 25, 2026, the most recent of them (hseq=75275) reflects Act No. 21445, but the 2020 version (Act No. 16930) remains online; it still relies on Article 17 and contains no Article 28-8. Under the 2020 text, overseas provision reads as a consent-based regime. Under current Article 28-8, cross-border transfer is prohibited in principle with five lawful bases, and separate consent is only one of them. For outsourcing or storage necessary to perform a contract with the data subject, disclosure in the privacy policy or individual notice can serve as the basis. Article 28-8(4) requires safeguards and complaint-handling and dispute-resolution measures regardless of the transfer basis, and Article 28-11 extends these rules to onward transfers to third countries. The penalty surcharge provision also changed: from 3% of revenues relating to the violation, applicable to information and communications service providers, to 3% of total sales, applicable to personal information controllers in general, with a surcharge of up to two billion won available where there are no sales or sales cannot be calculated. The Enforcement Decree currently in force is Presidential Decree No. 36671 (promulgated September 10, 2026, in force September 11, 2026). As confirmed on October 15, 2026, the English translation of the Enforcement Decree on law.go.kr reflects that version. All English translations carry a notice that they have no legal authority and may not reflect the most recent amendments, so details delegated to the Enforcement Decree should be checked against the Korean text. Before relying on any English text, please verify which Act number the header carries. As of October 25, 2026, the law.go.kr text and the most recent Korea Legislation Research Institute record both carry No. 21445, the version in force; the Institute's older records carry earlier numbers.
The English translation on law.go.kr does not yet include Act No. 21910. That Act, and every article changed since Act No. 20897, are set out in Korean with an unofficial English translation at Korea's PIPA: 2027 changes and the AI exception (unofficial translation), so that the changes can be read in one place.
More English summaries of Korean data protection law: English index.
자주 묻는 질문
국가법령정보센터와 한국법제연구원의 영문본 중 어느 쪽을 봐야 하나요?
2026년 10월 25일 확인 기준으로는 국가법령정보센터(law.go.kr)의 영문본과 한국법제연구원(elaw.klri.re.kr)의 가장 새로운 기록(hseq=75275)이 모두 현행 법률 제21445호(2026년 9월 11일 시행) 판입니다. 차이는 한국법제연구원 쪽에 옛 판이 함께 남아 있다는 점입니다. 그곳에는 2020년판·2023년판·2025년판·2026년판이 별개 주소로 공존하고, 어느 것이 현행인지 표시가 없습니다. 검색으로 들어가면 옛 주소에 닿을 수 있으므로, 어느 쪽을 보든 헤더의 법률 번호가 Act No. 21445인지부터 확인해야 합니다.
본사 문서가 낡은 영문본을 인용하는지 어떻게 확인하나요?
국외이전 항목의 근거 조문 번호를 보면 됩니다. 근거가 Article 17이면 2020년판(법률 제16930호)을 읽고 만든 문서입니다. 현행 체계에서 국외이전 근거는 Article 28-8이고, 재이전은 Article 28-11이 규율합니다.
영문본만으로 한국 컴플라이언스 문서를 만들어도 되나요?
영문본에는 법적 효력이나 공식적 효력이 없고 최신 개정을 반영하지 않을 수 있다는 안내가 붙어 있습니다. 국가법령정보센터의 시행령 영문본은 2026년 10월 15일 확인 기준 현행 대통령령 제36671호 판으로 갱신되었지만, 영문본은 어디까지나 참고용이므로 대통령령에 위임된 세부를 포함한 최종 확인은 한국어 원문으로 해야 합니다.
본사가 어느 판을 읽고 있든 9월 11일에 실제로 바뀐 내용은 2026년 개정 개인정보 보호법 — 9월 11일부터 무엇이 달라졌나에 조문 단위로 적어 두었습니다.
참고 자료
- 개인정보 보호법 — 현행은 법률 제21445호(2026. 3. 10. 공포, 2026. 9. 11. 시행). 국가법령정보센터 영문본이 반영한 판도 법률 제21445호(2026. 10. 15. 확인)
- 국가법령정보센터 영문법령: PERSONAL INFORMATION PROTECTION ACT [Enforcement Date 11. Sep, 2026.] [Act No.21445, 10. Mar, 2026., Partial Amendment] (2026. 10. 15. 확인. 2026. 10. 2. 확인 때는 Act No.20897 판)
- 한국법제연구원 영문법령(elaw.klri.re.kr): Personal Information Protection Act 기록 4건 — 한국법제연구원 영문본 hseq=53044 · 한국법제연구원 영문본 hseq=62389 · 한국법제연구원 영문본 hseq=71740 · 한국법제연구원 영문본 hseq=75275 (2026. 8. 2. 확인. 2026. 10. 25. 네 기록의 머리를 다시 확인 — 각각 Act No. 16930·19234·20897·21445)
- 개인정보 보호법 시행령(대통령령 제36671호, 2026. 9. 10. 공포, 2026. 9. 11. 시행)
- 국가법령정보센터 영문 시행령 ENFORCEMENT DECREE OF THE PERSONAL INFORMATION PROTECTION ACT [Presidential Decree No.36671, 10. Sep, 2026., Partial Amendment] (2026. 10. 15. 확인. 2026. 9. 23. 확인 때는 대통령령 제35343호 판)
- 영어·한국어 검색 및 생성형 AI 답변 실측(2026. 8. 2. 확인)
이 글은 일반적인 정보 제공을 위한 것이며 개별 사안에 대한 법률자문이 아닙니다.
2026년 10월 15일 수정: 국가법령정보센터 영문법령의 개인정보 보호법 영문본이 현행 법률 제21445호 판으로, 시행령 영문본이 현행 대통령령 제36671호 판으로 갱신되었습니다. 2026년 9월 23일과 10월 2일 확인 기준으로 「영문본은 아직 제20897호·제35343호 판」이라고 적었던 서술을 새 확인 결과에 맞춰 고쳤습니다. 한국법제연구원의 가장 새로운 기록(hseq=71740)은 같은 날 확인 기준 여전히 제20897호 판이어서, 받은 영문본의 판을 먼저 구별해야 한다는 이 글의 결론은 달라지지 않았습니다.
2026년 10월 25일 수정: 한국법제연구원 영문법령에 현행 법률 제21445호 판(hseq=75275)이 올라온 것을 확인해, 「한국법제연구원의 가장 새로운 기록은 아직 직전 판」이라고 적었던 서술과 표를 고쳤습니다. 옛 판 세 건도 그대로 남아 있고 어느 것이 현행인지 표시가 없으므로, 받은 영문본의 판을 먼저 확인해야 한다는 이 글의 결론은 달라지지 않았습니다.