핵심 요약 — EU 집행위원회가 2026년 7월 23일 한국 적정성 결정에 대한 첫 정기 재검토를 마치고 결정을 유지했습니다(COM(2026) 384 final, EU 이사회 문서 12194/26). EU에서 한국의 개인정보 보호법 적용을 받는 수령자로 개인정보를 이전할 때 표준계약조항 같은 추가 도구가 필요 없다는 상태는 그대로입니다. 반대 방향인 한국 → EU 이전도 2025년 9월 16일 발효한 동등성 인정(법 제28조의8 제1항 제5호, 공고 제2025-68호)으로 동의 없이 가능하되, 주민등록번호와 개인신용정보는 그 대상에서 빠져 있습니다. 이번 재검토가 예고한 변화는 두 가지 — 보완규정 제2조·제4조·제5조 전단의 폐지와 재검토 주기 3년 → 4년 전환인데, 둘 다 아직 이행 전입니다. 그리고 실무의 흔한 오해 하나에 제동이 걸렸습니다. 글로벌 CBPR 인증은 개인정보 보호법상 국외이전 근거가 아닙니다.
유럽에 고객이 생기면 개발팀에서 이런 질문이 올라옵니다. “유럽 사용자 데이터도 그냥 서울 리전에 같이 넣으면 되나요?” 반대로 법무 쪽에서는 이런 걱정을 합니다. “GDPR 이전 규정 때문에 SCC를 써야 하는 거 아닌가요?”
이 두 질문의 답은 2021년 12월에 이미 정해졌고, 2026년 7월 23일 처음으로 그 답이 유효한지 점검을 받았습니다. 결론은 “유지"입니다. 다만 유지됐다는 소식만 읽고 덮으면 함께 예고된 변화와, 실무에서 자주 어긋나 있는 지점 하나를 놓치게 됩니다.
EU에서 한국으로 데이터를 받아올 때, 무엇이 근거인가?
GDPR은 EU 역외로 개인정보를 이전할 때 적법 근거를 요구합니다. 그 근거 중 가장 단순한 것이 적정성 결정(adequacy decision)입니다. 집행위원회가 특정 국가의 보호 수준이 적정하다고 결정하면, 그 나라로의 이전은 별도의 이전 도구 없이 EU 역내 이전처럼 이루어집니다.
한국은 2021년 12월 17일 이 결정을 받았습니다(Commission Implementing Decision (EU) 2022/254, OJ L 44, 2022. 2. 24.). 재검토 보고서는 그 구조를 이렇게 설명합니다.
The Commission’s adequacy decision covers the Personal Information Protection Act (“PIPA”) as complemented by the additional safeguards set out in Annex I to the adequacy decision (“Supplementary Rules”).
— COM(2026) 384 final, 1면
여기가 중요합니다. 적정성 결정의 대상은 개인정보 보호법 그 자체가 아니라, 개인정보 보호법 + 보완규정입니다. 보완규정(Supplementary Rules)은 개인정보 보호법과 GDPR 사이의 차이를 메우기 위해 한국이 별도로 마련한 규칙으로, 개인정보위 고시 제2021-5호로 제정돼 적정성 결정 부속서 I에 붙어 있습니다. EU에서 넘어온 개인정보에 대해서만 추가로 적용되는 층이라고 이해하면 됩니다.
보완규정이 다루는 것은 네 가지입니다. ① EU에서 이전된 개인정보에 목적 제한 원칙을 적용하는 방식, ② 정보주체로부터 직접 수집하지 않은 경우의 통지 의무, ③ 개인정보위가 시정조치를 부과할 수 있는 요건, ④ 국가안보 목적 처리에 개인정보 보호법이 적용되는 방식. 보고서는 이 규칙이 “한국 내 개인정보처리자에 대해 법적 구속력이 있고 개인정보위와 법원이 모두 집행할 수 있다"고 확인합니다.
이번 재검토에서 집행위원회는 무엇을 보고 유지 결론을 냈나?
GDPR 제45조 제3항은 적정성 결정을 최소 4년마다 정기적으로 검토하도록 요구합니다. 이번이 한국 결정에 대한 첫 검토였고, 2025년 10월 17일 양측 대표단 회의를 중심으로 진행됐습니다. 한국 측에서는 개인정보위와 한국인터넷진흥원(KISA)이, EU 측에서는 집행위원회와 유럽데이터보호이사회(EDPB) 대표 4인이 참여했습니다.
집행위원회가 긍정적으로 평가한 것은 크게 세 가지입니다.
첫째, 법이 그 사이 두 번 개정되면서 EU 체계와 더 가까워졌다는 점. 보고서는 개인정보 보호법이 2023년 3월과 2025년 4월 두 차례 개정됐고(각각 2023년 9월, 2025년 10월 시행) 그 결과 양측 체계가 더 수렴했다고 봤습니다. 구체적으로 처리 근거의 정비, 별도 동의가 필요한 경우의 명확화, 만 14세 미만 아동 개인정보에 대한 국가·지자체의 의무 강화, 국외 개인정보처리자의 국내대리인 지정 의무, 가명정보 처리 제한 강화와 불필요해진 가명정보의 파기 의무, 동의 철회권과 자동화 결정에 대한 안전장치, 전송요구권 도입을 들었습니다.
둘째, 개인정보위가 실제로 집행하고 있다는 점. 보고서는 구글과 메타에 대한 과징금 부과, 딥시크와 알리익스프레스의 국외이전에 대한 조사, 사이버보안·유출 관련 규정 집행을 명시적으로 언급했습니다. 적정성 결정은 법전의 문구가 아니라 감독기관이 그 법을 실제로 집행하는지를 봅니다.
셋째, 국외이전 규정 자체가 강화됐다는 점. 2023년 개정으로 들어온 제28조의8 이하의 체계 — 이전 근거의 유형화, 제28조의9의 이전 중지 명령, 제28조의11의 재이전 준용 — 가 “역외로 이전되는 개인정보에 더 강한 안전장치를 제공하는 더 견고한 틀"이라고 평가받았습니다.
결론 문장은 이렇습니다.
the Commission concludes that the Republic of Korea continues to ensure an adequate level of protection for personal data from the European Union to entities in the Republic of Korea subject to the PIPA, as complemented by the additional safeguards set out in the Supplementary Rules
— COM(2026) 384 final, 5면 (강조는 필자)
**“개인정보 보호법의 적용을 받는 한국 내 주체”**라는 한정에 주의할 필요가 있습니다. 적정성 결정은 한국이라는 지리적 영역이 아니라 개인정보 보호법이라는 규범의 적용 범위를 따라갑니다. 우리 회사가 그 범위 안에 있는지가 먼저입니다.
이번 재검토로 실제로 바뀌는 것이 있나?
두 가지가 예고됐습니다. 둘 다 아직 이행되지 않았다는 점이 실무에서는 더 중요합니다.
보완규정 세 조항이 폐지될 예정입니다
보고서는 보완규정 중 일부가 이제 개인정보 보호법 본문에 반영됐으므로 폐지될 것이라고 밝혔습니다.
Specifically, this will be the case for Supplementary Rule 2, which established a limitation for onward transfers of personal data, Supplementary Rule 4, which related to the scope of application of a special exemption for the processing of pseudonymised information, and the first part of Supplementary Rule 5, which concerned the possibility of the PIPC to adopt corrective measures. The other Supplementary Rules will remain in force.
— COM(2026) 384 final, 4면
폐지 이유가 규제 완화가 아니라는 점을 정확히 읽어야 합니다. 이 규칙들이 개인정보 보호법 본문에 들어가면서 “출처나 수집 지점과 무관하게 모든 개인정보에 일반적으로 적용"되게 됐기 때문에, EU발 데이터에만 따로 붙여 두던 층이 불필요해진 것입니다. 재이전 제한은 제28조의11로, 가명정보 특례의 적용 범위는 제28조의2 이하의 개정으로, 개인정보위의 시정조치 권한은 제64조로 흡수됐다고 보면 이해가 쉽습니다.
실무적으로는 EU에서 받은 데이터를 별도로 태깅해 “이건 보완규정도 적용되는 데이터"라고 관리하던 부담이 줄어드는 방향입니다. 다만 나머지 보완규정 — 목적 제한, 간접 수집 시 통지, 국가안보 관련 부분 — 은 그대로 남습니다. 그리고 폐지는 “will be revoked"라는 예고이지 이미 이루어진 일이 아닙니다. 고시 개정이 실제로 이루어질 때까지는 현행 보완규정이 유효합니다.
재검토 주기가 3년에서 4년으로 갑니다 — 아직 확정 전입니다
the Commission considers that there is no need to maintain the three years-cycle for future reviews and therefore considers that it is appropriate to move to a four years-cycle pursuant to Article 45(3) of the GDPR. It will consult the Committee established under Article 93(1) of the GDPR on this point.
— COM(2026) 384 final, 5면 (강조는 필자)
집행위원회의 의견 표명이고, GDPR 제93조 제1항 위원회 협의가 남아 있습니다. “이미 4년 주기로 바뀌었다"고 쓴 요약이 돌아다니면 그건 앞서간 서술입니다.
집행위원회가 개인정보위에 낸 권고는 세 가지입니다. ① 보완규정 준수 여부에 대한 무작위 점검(random checks) 실시, ② 국외이전 가이드라인을 새로 내면서 CBPR 관련 사항을 명확히 할 것, ③ 개인정보위 홈페이지에 유효한 국외이전 수단을 국문과 영문 양쪽으로 분명히 게시할 것. 세 번째가 나왔다는 것은, 지금 실무자들이 어떤 도구가 유효한지 헷갈리고 있다는 뜻이기도 합니다.
반대 방향 — 한국에서 EU로 보낼 때는?
이쪽은 이미 2025년에 정리됐고, 오히려 이 사실을 모르는 회사가 많습니다.
개인정보 보호법 제28조의8 제1항은 국외 이전을 원칙적으로 금지하면서 다섯 가지 예외를 둡니다.
제28조의8(개인정보의 국외 이전) ① 개인정보처리자는 개인정보를 국외로 제공(조회되는 경우를 포함한다)·처리위탁·보관(이하 이 절에서 “이전"이라 한다)하여서는 아니 된다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보를 국외로 이전할 수 있다.
- 정보주체로부터 국외 이전에 관한 별도의 동의를 받은 경우
- 법률, 대한민국을 당사자로 하는 조약 또는 그 밖의 국제협정에 개인정보의 국외 이전에 관한 특별한 규정이 있는 경우
- 정보주체와의 계약의 체결 및 이행을 위하여 개인정보의 처리위탁·보관이 필요한 경우로서 … 가. 제2항 각 호의 사항을 제30조에 따른 개인정보 처리방침에 공개한 경우 나. … 정보주체에게 알린 경우
- 개인정보를 이전받는 자가 제32조의2에 따른 개인정보 보호 인증 등 보호위원회가 정하여 고시하는 인증을 받은 경우로서 …
- 개인정보가 이전되는 국가 또는 국제기구의 개인정보 보호체계, 정보주체 권리보장 범위, 피해구제 절차 등이 이 법에 따른 개인정보 보호 수준과 실질적으로 동등한 수준을 갖추었다고 보호위원회가 인정하는 경우
제5호가 동등성 인정입니다. 개인정보위는 2025년 9월 16일 EU에 대해 이 인정을 하고 같은 날 관보(제21079호)에 공고했습니다(개인정보보호위원회공고 제2025-68호). 공고문의 「효과」 부분은 이렇게 적혀 있습니다.
「개인정보 보호법」 제28조의8 제1항 제5호에 따라 개인정보처리자는 EU 일반 개인정보 보호법(GDPR)을 적용받는 EU 역내 국가 27개국 및 유럽경제지역(EEA)에 포함되는 3개국(노르웨이, 리히텐슈타인, 아이슬란드)의 컨트롤러 또는 프로세서에게 개인정보를 이전할 수 있음
— 개인정보보호위원회공고 제2025-68호(2025. 9. 16.)
여기서 두 겹의 한정을 읽어야 합니다. 첫째, 대상 지역은 EU 27개국과 EEA 3개국입니다. 둘째, 이전받는 상대가 “GDPR을 적용받는 컨트롤러 또는 프로세서"여야 합니다. 지역만 맞으면 되는 것이 아니라 상대방이 GDPR의 적용을 받는 지위에 있어야 한다는 뜻입니다. 집행위원회 보고서는 이 인정이 “한국이 채택한 최초의 동등성 인정"이며 “공공·민간 부문을 모두 포괄하고 EEA 전역에 미친다"고 기록했습니다.
즉 2025년 9월 16일부로 한·EU 양방향 자유 이전 체계가 완성됐습니다. 국내 회사가 유럽 지사·파트너사·클라우드로 임직원이나 고객의 개인정보를 보낼 때, 제1호의 별도 동의를 받지 않아도 됩니다.
다만 두 가지 예외와 한 가지 의무가 남습니다.
- 주민등록번호와 개인신용정보에는 동등성 인정의 효력이 미치지 않습니다. 핀테크나 금융 연계 서비스라면 이 부분이 사실상 핵심입니다. 신용정보법 영역의 이전은 따로 검토해야 합니다.
- 인정은 확정적이지 않습니다. 다만 만료일이 있는 것도 아닙니다. 시행령 제29조의9 제3항은 개인정보위가 인정을 할 때 이전되는 개인정보의 범위·이전받는 자의 범위·인정 기간·이전 조건을 국가별로 달리 정할 수 있게 합니다. 그런데 공고 제2025-68호에는 인정 기간이 정해져 있지 않습니다. 즉 EU 건은 “몇 년 뒤 만료"되는 구조가 아니라, 같은 조 제4항의 점검 의무(인정 기간 동안 보호 수준이 유지되는지 점검)와 제5항의 취소·변경 권한(보호체계·권리보장 범위·피해구제 절차의 수준이 변경되면 해당 국가의 의견을 듣고 인정을 취소하거나 내용을 변경)이 안전장치로 작동하는 구조입니다. 취소·변경은 관보 고시와 개인정보위 홈페이지 게재로 공개됩니다(제6항). “언제까지 유효한가"가 아니라 “EU 쪽 제도가 바뀌면 우리 이전 근거도 흔들릴 수 있다"는 형태의 리스크로 관리하는 편이 맞습니다.
- 보호조치 의무는 근거와 무관하게 남습니다. 제28조의8 제4항과 시행령 제29조의10은 어느 호를 근거로 이전하든 안전성 확보 조치, 고충처리·분쟁해결 조치를 하고, 이를 이전받는 자와 미리 협의해 계약 내용에 반영하도록 요구합니다. 동등성 인정은 “동의를 면제"하는 것이지 “계약과 보안을 면제"하는 것이 아닙니다.
EU에서 받은 데이터를 미국 클라우드로 다시 보내도 되나요?
이 질문이 실무에서 가장 자주 걸립니다. EU → 한국은 적정성 결정으로 해결됐는데, 한국에 들어온 그 데이터를 다시 미국 리전이나 미국 SaaS로 보내는 경우입니다.
개인정보 보호법은 이를 정면으로 다룹니다.
제28조의11(준용규정) 제28조의8제1항 각 호 외의 부분 단서에 따라 개인정보를 이전받은 자가 해당 개인정보를 제3국으로 이전하는 경우에 관하여는 제28조의8 및 제28조의9를 준용한다.
재이전에도 같은 다섯 가지 근거 중 하나가 있어야 하고, 개인정보위의 이전 중지 명령 대상도 됩니다. 미국은 현재 개인정보위의 동등성 인정 대상이 아니므로, 실무에서는 제3호(계약 이행에 필요한 처리위탁·보관 + 처리방침 공개 또는 정보주체 통지)나 제1호(별도 동의)를 근거로 삼게 됩니다. 제3호를 쓴다면 처리방침에 제28조의8 제2항 각 호의 사항 — 이전 항목, 이전되는 국가·시기·방법, 이전받는 자, 이용목적과 보유·이용 기간, 거부 방법과 절차·효과 — 이 실제로 적혀 있어야 합니다. 이 다섯 가지가 빠진 처리방침은 제3호의 요건을 충족하지 못합니다.
처리방침 기재사항 전반은 개인정보처리방침 필수 기재사항 체크리스트에서, 국내용 처리방침과 영문 Privacy Policy를 어떻게 나눌지는 처리방침 vs Privacy Policy에서 다뤘습니다.
“글로벌 CBPR 인증을 받았는데, 그럼 국외이전은 되는 것 아닌가요?”
아닙니다. 그리고 이번 재검토가 이 지점을 명시적으로 짚었습니다.
The Commission invites the PIPC to clarify that the APEC CBPR and CBPR (Cross-Border Privacy Rules) certification schemes are not recognised as a mechanism for transfers of personal data under PIPA rules.
— COM(2026) 384 final, 5면 (권고 2)
조문으로 확인해 보면 이유가 분명합니다. 제28조의8 제1항 제4호가 근거로 삼는 것은 “제32조의2에 따른 개인정보 보호 인증 등 보호위원회가 정하여 고시하는 인증“입니다. 즉 아무 인증이나 되는 것이 아니라 개인정보위가 고시로 지정한 인증이어야 합니다. 그 고시 절차는 시행령이 정합니다.
시행령 제29조의8(개인정보의 국외 이전 인증) ① 보호위원회는 법 제28조의8제1항제4호 각 목 외의 부분에 따른 인증을 고시하려는 경우에는 다음 각 호의 순서에 따른 절차를 모두 거쳐야 한다.
- 제34조의6에 따른 개인정보 보호 인증 전문기관의 평가
- … 개인정보의 국외 이전 분야 전문위원회의 평가
- 정책협의회의 협의
② 보호위원회는 … 인증을 고시할 때에는 5년의 범위에서 유효 기간을 정하여 고시할 수 있다.
세 단계 평가·협의를 거쳐 유효기간까지 정해 고시해야 비로소 제4호의 인증이 됩니다.
혼동이 생기는 지점은 개인정보위가 2026년 2월 3일 「국경 간 개인정보 보호 규칙 인증제도의 운영에 관한 지침」(고시 제2026-1호)을 제정했다는 사실입니다. 이 고시는 글로벌 CBPR 포럼의 인증 제도를 국내에서 운영하기 위한 절차 — 인증기관을 한국인터넷진흥원으로 정하고(제2조 제4호), 신청·심사·인증위원회·인증서 발급(유효기간 1년, 제14조 제3항)·취소를 규정 — 를 정한 것입니다. 국외이전 근거를 지정한 고시가 아닙니다.
정리하면 이렇습니다.
| 글로벌 CBPR 인증 | 동등성 인정(제5호) | |
|---|---|---|
| 근거 | 고시 제2026-1호(제도 운영) | 법 제28조의8 제1항 제5호, 공고 제2025-68호 |
| 성격 | 기업이 받는 인증 | 국가·국제기구에 대한 위원회의 인정 |
| 국외이전 근거가 되는가 | 되지 않음 | 됨 |
| 유효기간 | 인증서 1년 | EU 건은 공고에 인정 기간을 정하지 않음(시행령 §29의9④ 점검, ⑤ 취소·변경) |
글로벌 CBPR 인증에 가치가 없다는 뜻이 아닙니다. 해외 파트너에게 개인정보 보호 체계를 설명할 때 쓰는 신뢰 자산으로서는 의미가 있습니다. 다만 그것만으로 국외이전의 적법 근거가 생기지는 않습니다. 인증을 받았으니 이전은 해결됐다고 정리하고 처리방침 기재나 별도 동의를 빼 두면, 그 이전은 근거 없는 이전이 됩니다.
우리 회사가 오늘 확인할 것
| 확인 항목 | 근거 | 확인 결과가 “아니오"일 때 |
|---|---|---|
| EU에서 받아오는 데이터의 국내 수령 주체가 개인정보 보호법 적용 대상인가 | COM(2026) 384 final 결론부 | 적정성 결정의 보호를 전제로 설계한 이전 구조를 재검토 |
| EU발 데이터에 보완규정(고시 제2021-5호)을 적용하고 있는가 | 적정성 결정 부속서 I | 목적 제한·간접수집 통지 부분부터 점검. 제2조·제4조·제5조 전단은 폐지 예정이나 아직 유효 |
| EU로 보내는 데이터에 주민등록번호·개인신용정보가 섞여 있는가 | 공고 제2025-68호 | 동등성 인정으로 커버되지 않음. 별도 근거 검토 |
| EU 쪽 수신자가 GDPR을 적용받는 컨트롤러·프로세서인가 | 공고 제2025-68호 「효과」 | 지역만 EU·EEA라고 제5호가 적용되지는 않음. 수신자 지위 확인 |
| 이전받는 자와 보호조치를 협의해 계약에 반영했는가 | 법 제28조의8 제4항, 시행령 제29조의10 | 근거가 무엇이든 필요. DPA·부속합의 정비 |
| 한국에서 제3국(미국 등)으로 재이전이 있는가 | 법 제28조의11 | 재이전 근거를 따로 세우고 처리방침 기재 확인 |
| 처리방침에 제28조의8 제2항 각 호가 모두 적혀 있는가 | 법 제28조의8 제1항 제3호 가목 | 제3호를 근거로 쓰고 있다면 요건 미충족 상태 |
| 글로벌 CBPR 인증을 국외이전 근거로 적어 두지 않았는가 | 법 제28조의8 제1항 제4호, 시행령 제29조의8 | 근거를 제1호·제3호·제5호 중에서 다시 특정 |
자주 묻는 질문
Q. EU에 있는 고객이나 지사로부터 개인정보를 한국으로 받아올 때 표준계약조항(SCC)을 체결해야 하나요?
받는 쪽이 한국의 개인정보 보호법 적용을 받는 개인정보처리자라면 필요하지 않습니다. EU 집행위원회는 2021년 12월 17일 GDPR 제45조에 따라 한국에 대한 적정성 결정(Commission Implementing Decision (EU) 2022/254, OJ L 44, 2022. 2. 24.)을 채택했고, 2026년 7월 23일 첫 정기 재검토 보고서(COM(2026) 384 final)에서 “한국이 개인정보 보호법의 적용을 받는 한국 내 수령자에 대해 계속 적정한 수준의 보호를 보장한다"고 결론지었습니다. 적정성 결정이 유지되므로 EU에서 한국으로의 이전은 별도 이전 도구 없이 이루어질 수 있습니다. 다만 적정성 결정은 개인정보 보호법과 그 부속 안전장치인 보완규정(고시 제2021-5호)을 전제로 한 것이므로, 보완규정 준수 의무는 그대로 남습니다.
Q. 반대로 한국에서 EU로 개인정보를 보낼 때는 정보주체 동의를 받아야 하나요?
2025년 9월 16일부터는 원칙적으로 필요하지 않습니다. 개인정보보호위원회가 개인정보 보호법 제28조의8 제1항 제5호에 따라 EU에 대한 동등성 인정을 하고 같은 날 관보 제21079호에 공고했습니다(개인정보보호위원회공고 제2025-68호). 대상은 EU 역내 27개국과 EEA 3개국(노르웨이·리히텐슈타인·아이슬란드)이고, 이전받는 상대는 GDPR을 적용받는 컨트롤러 또는 프로세서여야 합니다. 다만 주민등록번호(주민등록법 제7조의2)와 개인신용정보(신용정보의 이용 및 보호에 관한 법률 제2조 제2호)의 이전에는 이 인정이 영향을 미치지 않으므로, 그 두 가지는 여전히 다른 근거를 따로 검토해야 합니다. 또한 동등성 인정을 근거로 이전하더라도 법 제28조의8 제4항과 시행령 제29조의10에 따른 보호조치(안전성 확보 조치, 고충처리·분쟁해결 조치)는 이행해야 합니다.
Q. 글로벌 CBPR 인증을 받으면 개인정보를 국외로 이전할 수 있나요?
그렇게 볼 수 없습니다. 개인정보 보호법 제28조의8 제1항 제4호가 인정하는 것은 “제32조의2에 따른 개인정보 보호 인증 등 보호위원회가 정하여 고시하는 인증"이고, 시행령 제29조의8은 그 고시에 개인정보 보호 인증 전문기관의 평가, 국외이전 분야 전문위원회의 평가, 정책협의회의 협의를 모두 거치도록 요구합니다. 개인정보위가 2026년 2월 3일 제정한 「국경 간 개인정보 보호 규칙 인증제도의 운영에 관한 지침」(고시 제2026-1호)은 글로벌 CBPR 포럼의 인증 제도를 국내에서 운영하기 위한 절차를 정한 것이지, 그 인증을 국외이전 근거로 지정한 고시가 아닙니다. EU 집행위원회도 이번 재검토 보고서에서 개인정보위에 “APEC CBPR과 CBPR 인증 제도는 개인정보 보호법상 개인정보 이전 수단으로 인정되지 않는다"는 점을 명확히 해 달라고 요청했습니다.
참고자료
- REPORT FROM THE COMMISSION TO THE EUROPEAN PARLIAMENT AND THE COUNCIL on the first review of the functioning of the adequacy decision for the Republic of Korea, COM(2026) 384 final, 2026. 7. 23. (EU 이사회 문서 12194/26, 2026. 7. 24. 배포) — 부속 SWD(2026) 231 final
- Commission Implementing Decision (EU) 2022/254 of 17 December 2021, OJ L 44, 2022. 2. 24.
- 개인정보 보호법(법률 제20897호, 2025. 10. 2. 시행) 제28조의8, 제28조의9, 제28조의10, 제28조의11
- 개인정보 보호법 시행령(대통령령 제36340호, 2026. 5. 19. 시행) 제29조의7 내지 제29조의12
- 개인정보보호위원회공고 제2025-68호 「유럽연합(EU) 개인정보보호 체계 동등성 인정 공고」(2025. 9. 16., 관보 제21079호)
- 개인정보보호위원회 고시 제2026-1호 「국경 간 개인정보 보호 규칙 인증제도의 운영에 관한 지침」(2026. 2. 3. 제정·시행)
- 개인정보보호위원회 보도자료 「유럽연합, 한국 개인정보 보호 수준 재확인… 적정성 결정 유지」(2026. 7. 24.)
이 글은 일반적인 정보 제공을 목적으로 한 것으로 법률자문이 아닙니다. 국외이전의 적법 근거는 데이터의 종류, 이전 구조, 계약 관계에 따라 달라지므로 구체적인 사안은 개별 검토가 필요합니다.