핵심 요약 본사 법무팀이 2020년판 영문 개인정보 보호법을 읽으면 두 가지가 동시에 일어납니다. 국외이전에는 늘 개별 동의가 필요하다고 읽어 한국에만 동의 화면을 붙이는 과잉 준수, 그리고 2020년판에 존재하지 않는 의무(제28조의8 제4항의 보호조치, 제28조의11의 재이전 규정 등)가 본사 문서에서 통째로 빠지는 미준수입니다. 과징금 기준도 위반 관련 매출액 3%에서 전체 매출액 3%로 바뀌어 리스크 규모 감각이 어긋납니다. 현행은 법률 제20897호(2025년 10월 2일 시행)이고, 국가법령정보센터 영문본이 이를 반영합니다.
본사 글로벌 프라이버시 정책의 한국 항목에는 근거 조문 번호가 적혀 있습니다. 그 번호를 확인해 본 적이 있으신가요.
국외이전 근거가 Article 17로 적혀 있다면, 그 문서는 2020년판 영문본을 읽고 만들어진 것입니다. 현행 법에서 국외이전을 규율하는 조문은 제28조의8입니다. 조문 번호 하나의 차이가 아니라, 규율 구조 자체가 다릅니다.
이 간극이 국외이전에만 있는 것도 아닙니다. 본사 글로벌 정책을 한국에 적용할 때 어긋나는 지점은 항목별로 따로 정리해 두었습니다. 이 글은 그중 영문본 버전이라는 입구를 다룹니다.
본사가 읽는 영문 조문은 어느 버전입니까?
현행 개인정보 보호법은 법률 제20897호(2025년 4월 1일 공포, 2025년 10월 2일 시행)입니다. 국가법령정보센터(law.go.kr) 영문본은 이 버전을 반영하고 있고, 제28조의8·제28조의11·제35조의2·제37조의2·제64조의2가 모두 실려 있습니다.
문제는 한국법제연구원(elaw.klri.re.kr)입니다. 2026년 8월 2일 확인 기준, 주소의 hseq 값만 다른 세 개의 기록이 같은 법의 서로 다른 버전을 담고 있고, 페이지에는 어느 것이 현행인지 표시가 없습니다.
| 기록 | 마지막으로 반영된 법률 | Article 28-8 | Article 35-2 | Article 37-2 |
|---|---|---|---|---|
| hseq=53044 | Act No. 16930, Feb. 4, 2020 | 없음 | 없음 | 없음 |
| hseq=62389 | Act No. 19234, Mar. 14, 2023 | 있음 | 있음 | 있음 |
| hseq=71740 | Act No. 20897, Apr. 1, 2025 | 있음 | 있음 | 있음 |
검색과 AI 답변도 이 혼선을 그대로 반영합니다. 2026년 8월 2일 확인 기준, 영어로 한국의 국외이전 근거를 묻자 생성형 답변이 “Article 17 of PIPA"를 근거로 들며 2020년 개정판이 현행이라고 서술했습니다. 한국어로 현행 영문본을 묻자 현행을 제19234호로 답했고, 검색 결과에는 2020년판과 2023년판 주소가 나란히 노출됐습니다.
국외이전 근거가 통째로 다르면 무엇이 어긋납니까?
2020년판 Article 17 (3)은 국외 제3자 제공에 대해 정보주체에게 알리고 동의를 받으라는 구조입니다. 이것만 읽은 본사는 한국에서의 국외이전에 항상 개별 동의가 필요하다고 결론 내립니다. 그래서 다른 나라에는 없는 별도 동의 화면을 한국에만 붙입니다.
현행 제28조의8 제1항은 다릅니다. 국외 제공·처리위탁·보관을 원칙적으로 금지하되 다섯 가지 예외를 두고, 별도 동의는 그중 제1호일 뿐입니다. 정보주체와의 계약 체결·이행을 위한 처리위탁·보관이라면 제3호에 따라 개인정보 처리방침 공개 또는 통지로 갈 수 있는 경로가 있고, 보호위원회가 고시하는 인증(제4호)이나 이전받는 국가에 대한 동등성 인정(제5호)도 근거가 됩니다. 동등성 인정 구조는 EU 적정성 결정과 국외이전 근거에서 따로 다뤘습니다.
반대 방향의 문제가 더 조용합니다. 2020년판에 아예 없는 의무는 본사 문서에 들어갈 수가 없습니다. 이전 근거와 무관하게 안전성 확보 조치와 고충처리·분쟁해결 조치를 요구하는 제28조의8 제4항, 이전받은 자가 제3국으로 다시 이전할 때 같은 규율을 준용하는 제28조의11, 신설된 제35조의2와 제37조의2가 그렇습니다.
즉 낡은 영문본은 과잉 준수와 미준수를 동시에 만듭니다. 동의 중심으로 한국법을 읽는 습관은 처리 근거 전반에서도 반복되는데, 본사의 legitimate interest 근거가 한국에서 어디까지 통하는지도 같은 계열의 문제입니다.
과징금 규모 감각은 왜 어긋납니까?
2020년판 Article 39-15 (1)의 과징금은 정보통신서비스 제공자 등을 대상으로, 위반행위와 관련된 매출액(total revenues relating to the concerned violation)의 3%를 상한으로 합니다.
현행 Article 64-2 (1)은 두 가지가 다릅니다. 대상이 개인정보처리자 일반으로 넓어졌고, 기준이 전체 매출액(total sales)의 3%로 바뀌었습니다. 매출액이 없거나 산정이 곤란한 경우에는 대통령령으로 정하는 바에 따라 20억 원 이하의 과징금이 가능합니다.
2020년판으로 리스크를 산정한 본사 문서는 대상과 기준 양쪽에서 다른 숫자를 보고 있는 셈입니다.
시행령은 영문이 없는데 무엇을 근거로 합니까?
현행 시행령은 대통령령 제36340호(2026년 5월 19일 공포·시행)입니다. law.go.kr 영문 페이지에 이 시행령의 기록과 헤더는 있지만, 조문 본문이 제공되지 않습니다. 페이지에서 추출되는 텍스트는 안내 문구와 헤더뿐입니다.
그런데 현행 국외이전 조문의 세부, 예컨대 제3호의 통지 방법은 대통령령에 위임되어 있습니다. 본사가 영문만으로 확인할 수 있는 층위가 법률에서 끊긴다는 뜻입니다. 게다가 모든 영문 번역에는 법적 효력이나 공식적 효력이 없고 최신 개정을 반영하지 않을 수 있다는 안내가 붙어 있습니다.
사고나 조사가 벌어지면 이 간극은 어떻게 드러납니까?
유출 사고나 조사가 시작되면, 회사가 실제로 따르고 있던 문서가 무엇이었는지가 드러납니다. 본사 글로벌 정책이 한국법인에 그대로 적용되어 온 경우, 그 문서에 적힌 조문 번호와 판단 근거가 곧 회사의 내부 기준으로 취급됩니다.
이 시점에 갈리는 것은 근거를 문서로 세워 둔 쪽과 그렇지 않은 쪽입니다. 국외이전의 근거 조문, 선택한 예외, 그에 따른 조치를 현행법 기준으로 적어 둔 문서와, 2020년판 조문을 인용한 문서는 같은 취급을 받기 어렵습니다. 유출 인지 후의 시간표는 유출을 인지한 뒤 72시간의 대응에서 정리했습니다.
For your headquarters The Personal Information Protection Act of Korea currently in force is Act No. 20897, promulgated on April 1, 2025 and effective from October 2, 2025. The English translation on the Korea Law Information Center (law.go.kr) reflects this version, including Articles 28-8, 28-11, 35-2, 37-2 and 64-2. The Korea Legislation Research Institute site (elaw.klri.re.kr) hosts three English versions of the same Act at separate URLs, with no indication of which is current; the 2020 version (Act No. 16930) still relies on Article 17 and contains no Article 28-8. Under the 2020 text, overseas provision reads as a consent-based regime. Under current Article 28-8, cross-border transfer is prohibited in principle with five lawful bases, and separate consent is only one of them. For outsourcing or storage necessary to perform a contract with the data subject, disclosure in the privacy policy or individual notice can serve as the basis. Article 28-8(4) requires safeguards and complaint-handling and dispute-resolution measures regardless of the transfer basis, and Article 28-11 extends these rules to onward transfers to third countries. The penalty surcharge provision also changed: from 3% of revenues relating to the violation, applicable to information and communications service providers, to 3% of total sales, applicable to personal information controllers in general, with a surcharge of up to two billion won available where there are no sales or sales cannot be calculated. The Enforcement Decree currently in force is Presidential Decree No. 36340 (May 19, 2026), and its English text is not provided on law.go.kr. All English translations carry a notice that they have no legal authority and may not reflect the most recent amendments. Before relying on any English text, please verify that the Act number in the header is No. 20897.
자주 묻는 질문
국가법령정보센터와 한국법제연구원의 영문본 중 어느 쪽을 봐야 하나요?
국가법령정보센터(law.go.kr)의 영문본은 현행인 법률 제20897호(시행 2025년 10월 2일)를 반영하고 있습니다. 한국법제연구원(elaw.klri.re.kr)에는 2020년판·2023년판·2025년판이 별개 주소로 공존하고 어느 것이 현행인지 표시가 없으므로, 어느 쪽을 보든 헤더의 법률 번호가 제20897호인지 먼저 확인해야 합니다.
본사 문서가 낡은 영문본을 인용하는지 어떻게 확인하나요?
국외이전 항목의 근거 조문 번호를 보면 됩니다. 근거가 Article 17이면 2020년판(법률 제16930호)을 읽고 만든 문서입니다. 현행 체계에서 국외이전 근거는 Article 28-8이고, 재이전은 Article 28-11이 규율합니다.
영문본만으로 한국 컴플라이언스 문서를 만들어도 되나요?
영문본에는 법적 효력이나 공식적 효력이 없고 최신 개정을 반영하지 않을 수 있다는 안내가 붙어 있습니다. 특히 현행 시행령(대통령령 제36340호)은 영문 조문 자체가 제공되지 않으므로, 최종 확인은 한국어 원문으로 해야 합니다.
참고자료
- 개인정보 보호법(법률 제20897호, 2025. 4. 1. 공포, 2025. 10. 2. 시행)
- 국가법령정보센터(law.go.kr) 영문법령: PERSONAL INFORMATION PROTECTION ACT [Enforcement Date 02. Oct, 2025.] [Act No.20897, 01. Apr, 2025., Partial Amendment]
- 한국법제연구원 영문법령(elaw.klri.re.kr): Personal Information Protection Act 기록 3건(hseq=53044, hseq=62389, hseq=71740, 2026. 8. 2. 확인)
- 개인정보 보호법 시행령(대통령령 제36340호, 2026. 5. 19. 공포·시행) 및 law.go.kr 영문 페이지(2026. 8. 2. 확인)
- 영어·한국어 검색 및 생성형 AI 답변 실측(2026. 8. 2. 확인)
이 글은 일반적인 정보 제공을 위한 것이며 개별 사안에 대한 법률자문이 아닙니다.