핵심 요약. EU 집행위원회가 2026년 7월 23일 한국 적정성 결정에 대한 첫 정기 재검토를 마치고 결정을 유지했습니다(COM(2026) 384 final, EU 이사회 문서 12194/26). EU에서 한국의 개인정보 보호법 적용을 받는 수령자로 개인정보를 이전할 때 표준계약조항 같은 추가 도구가 필요 없다는 상태는 그대로입니다. 반대 방향인 한국 → EU 이전도 2025년 9월 16일 발효한 동등성 인정(법 제28조의8 제1항 제5호, 공고 제2025-68호)으로 동의 없이 가능하되, 주민등록번호와 개인신용정보는 그 대상에서 빠져 있습니다. 그 인정에는 만료일이 없는 대신 시행령 제29조의9 제4항·제5항의 점검·취소 권한이 남아 있고, 처리방침에 이전 근거를 적을 의무는 그대로입니다. 이번 재검토가 예고한 변화는 두 가지입니다. 보완규정 2.(국외 제3자 제공 제한)·4.(가명정보 특례 적용범위)·5.(시정조치 등) 전단의 폐지와 재검토 주기 3년 → 4년 전환인데, 둘 다 아직 이행 전입니다. 그리고 실무의 흔한 오해 하나에 제동이 걸렸습니다. 글로벌 CBPR 인증은 개인정보 보호법상 국외이전 근거가 아닙니다.
유럽에 고객이 생기면 개발팀에서 이런 질문이 올라옵니다. "유럽 사용자 데이터도 그냥 서울 리전에 같이 넣으면 되나요?" 반대로 법무 쪽에서는 이런 걱정을 합니다. "GDPR 이전 규정 때문에 SCC를 써야 하는 거 아닌가요?"
이 두 질문의 답은 2021년 12월에 이미 정해졌고, 2026년 7월 23일 처음으로 그 답이 유효한지 점검을 받았습니다. 결론은 "유지"입니다. 다만 유지됐다는 소식만 읽고 덮으면 함께 예고된 변화와, 실무에서 자주 어긋나 있는 지점 하나를 놓치게 됩니다.
EU에서 한국으로 데이터를 받아올 때, 무엇이 근거인가?
GDPR은 EU 역외로 개인정보를 이전할 때 적법 근거를 요구합니다. 그 근거 중 가장 단순한 것이 적정성 결정(adequacy decision)입니다. 집행위원회가 특정 국가의 보호 수준이 적정하다고 결정하면, 그 나라로의 이전은 별도의 이전 도구 없이 EU 역내 이전처럼 이루어집니다.
한국은 2021년 12월 17일 이 결정을 받았습니다(Commission Implementing Decision (EU) 2022/254, OJ L 44, 2022. 2. 24.). 재검토 보고서는 그 구조를 이렇게 설명합니다.
The Commission’s adequacy decision covers the Personal Information Protection Act ("PIPA") as complemented by the additional safeguards set out in Annex I to the adequacy decision ("Supplementary Rules").
출처: COM(2026) 384 final, 1면
여기가 중요합니다. 적정성 결정의 대상은 개인정보 보호법 그 자체가 아니라, 개인정보 보호법 + 보완규정입니다.
보완규정(Supplementary Rules)은 개인정보 보호법과 GDPR 사이의 차이를 메우기 위해 한국이 별도로 마련한 규칙으로, 개인정보위 고시 제2020-10호로 제정된 뒤 고시 제2021-5호(2021. 11. 16. 일부개정, 적정성 결정 발효와 같은 시점에 시행)로 지금의 내용이 확정돼 적정성 결정 부속서 I에 붙어 있습니다. EU에서 넘어온 개인정보에 대해서만 추가로 적용되는 층이라고 이해하면 됩니다.
보완규정이 다루는 것은 여섯 가지입니다. ① EU에서 이전된 개인정보에 목적 제한 원칙을 적용하는 방식, ② 그 개인정보를 국외의 제3자에게 다시 제공할 때의 제한, ③ 정보주체로부터 직접 수집하지 않은 경우의 통지 의무, ④ 가명정보 처리 특례의 적용 범위, ⑤ 개인정보위가 시정조치를 부과할 수 있는 요건, ⑥ 국가안보 목적 처리에 개인정보 보호법이 적용되는 방식. 보고서는 이 규칙이 "한국 내 개인정보처리자에 대해 법적 구속력이 있고 개인정보위와 법원이 모두 집행할 수 있다"고 확인합니다.
이번 재검토에서 집행위원회는 무엇을 보고 유지 결론을 냈나?
GDPR 제45조 제3항은 적정성 결정을 최소 4년마다 정기적으로 검토하도록 요구합니다. 이번이 한국 결정에 대한 첫 검토였고, 2025년 10월 17일 양측 대표단 회의를 중심으로 진행됐습니다. 한국 측에서는 개인정보위와 한국인터넷진흥원(KISA)이, EU 측에서는 집행위원회와 유럽데이터보호이사회(EDPB) 대표 4인이 참여했습니다.
집행위원회가 긍정적으로 평가한 것은 크게 세 가지입니다.
첫째, 법이 그 사이 두 번 개정되면서 EU 체계와 더 가까워졌다는 점. 보고서는 개인정보 보호법이 2023년 3월과 2025년 4월 두 차례 개정됐고(각각 2023년 9월, 2025년 10월 시행) 그 결과 양측 체계가 더 수렴했다고 봤습니다. 구체적으로 처리 근거의 정비, 별도 동의가 필요한 경우의 명확화, 만 14세 미만 아동 개인정보에 대한 국가·지자체의 의무 강화, 국외 개인정보처리자의 국내대리인 지정 의무, 가명정보 처리 제한 강화와 불필요해진 가명정보의 파기 의무, 동의 철회권과 자동화 결정에 대한 안전장치, 전송요구권 도입을 들었습니다.
둘째, 개인정보위가 실제로 집행하고 있다는 점. 보고서는 구글과 메타에 대한 과징금 부과, 딥시크와 알리익스프레스의 국외이전에 대한 조사, 사이버보안·유출 관련 규정 집행을 명시적으로 언급했습니다. 적정성 결정은 법전의 문구가 아니라 감독기관이 그 법을 실제로 집행하는지를 봅니다.
셋째, 국외이전 규정 자체가 강화됐다는 점. 2023년 개정으로 들어온 제28조의8 이하의 체계(이전 근거의 유형화, 제28조의9의 이전 중지 명령, 제28조의11의 재이전 준용)가 "역외로 이전되는 개인정보에 더 강한 안전장치를 제공하는 더 견고한 틀"이라고 평가받았습니다.
결론 문장은 이렇습니다.
the Commission concludes that the Republic of Korea continues to ensure an adequate level of protection for personal data from the European Union to entities in the Republic of Korea subject to the PIPA, as complemented by the additional safeguards set out in the Supplementary Rules
출처: COM(2026) 384 final, 5면 (강조는 필자)
"개인정보 보호법의 적용을 받는 한국 내 주체"라는 한정에 주의할 필요가 있습니다. 적정성 결정은 한국이라는 지리적 영역이 아니라 개인정보 보호법이라는 규범의 적용 범위를 따라갑니다. 우리 회사가 그 범위 안에 있는지가 먼저입니다.
이번 재검토로 실제로 바뀌는 것이 있나?
두 가지가 예고됐습니다. 둘 다 아직 이행되지 않았다는 점이 실무에서는 더 중요합니다.
보완규정 세 조항이 폐지될 예정입니다
보고서는 보완규정 중 일부가 이제 개인정보 보호법 본문에 반영됐으므로 폐지될 것이라고 밝혔습니다.
Specifically, this will be the case for Supplementary Rule 2, which established a limitation for onward transfers of personal data, Supplementary Rule 4, which related to the scope of application of a special exemption for the processing of pseudonymised information, and the first part of Supplementary Rule 5, which concerned the possibility of the PIPC to adopt corrective measures. The other Supplementary Rules will remain in force.
출처: COM(2026) 384 final, 4면
폐지 이유가 규제 완화가 아니라는 점을 정확히 읽어야 합니다. 이 규칙들이 개인정보 보호법 본문에 들어가면서 "출처나 수집 지점과 무관하게 모든 개인정보에 일반적으로 적용"되게 됐기 때문에, EU발 데이터에만 따로 붙여 두던 층이 불필요해진 것입니다. 재이전 제한은 제28조의11로, 가명정보 특례의 적용 범위는 제28조의2 이하의 개정으로, 개인정보위의 시정조치 권한은 제64조로 흡수됐다고 보면 이해가 쉽습니다.
실무적으로는 EU에서 받은 데이터를 별도로 태깅해 "이건 보완규정도 적용되는 데이터"라고 관리하던 부담이 줄어드는 방향입니다. 다만 나머지 보완규정(목적 제한, 간접 수집 시 통지, 국가안보 관련 부분)은 그대로 남습니다.
그리고 폐지는 "will be revoked"라는 예고이지 이미 이루어진 일이 아닙니다. 고시 개정이 실제로 이루어질 때까지는 현행 보완규정이 유효합니다.
재검토 주기가 3년에서 4년으로 갑니다: 아직 확정 전입니다
the Commission considers that there is no need to maintain the three years-cycle for future reviews and therefore considers that it is appropriate to move to a four years-cycle pursuant to Article 45(3) of the GDPR. It will consult the Committee established under Article 93(1) of the GDPR on this point.
출처: COM(2026) 384 final, 5면 (강조는 필자)
집행위원회의 의견 표명이고, GDPR 제93조 제1항 위원회 협의가 남아 있습니다. "이미 4년 주기로 바뀌었다"고 쓴 요약이 돌아다니면 그건 앞서간 서술입니다.
집행위원회가 개인정보위에 낸 권고는 세 가지입니다. ① 보완규정 준수 여부에 대한 무작위 점검(random checks) 실시, ② 국외이전 가이드라인을 새로 내면서 CBPR 관련 사항을 명확히 할 것, ③ 개인정보위 홈페이지에 유효한 국외이전 수단을 국문과 영문 양쪽으로 분명히 게시할 것. 세 번째가 나왔다는 것은, 지금 실무자들이 어떤 도구가 유효한지 헷갈리고 있다는 뜻이기도 합니다.
EU에서 받은 데이터를 미국 클라우드로 다시 보내도 되나요?
이 질문이 실무에서 가장 자주 걸립니다. EU → 한국은 적정성 결정으로 해결됐는데, 한국에 들어온 그 데이터를 다시 미국 리전이나 미국 SaaS로 보내는 경우입니다.
개인정보 보호법은 이를 정면으로 다룹니다.
제28조의11(준용규정) 제28조의8제1항 각 호 외의 부분 단서에 따라 개인정보를 이전받은 자가 해당 개인정보를 제3국으로 이전하는 경우에 관하여는 제28조의8 및 제28조의9를 준용한다. 이 경우 "개인정보처리자"는 "개인정보를 이전받은 자"로, "개인정보를 이전받는 자"는 "제3국에서 개인정보를 이전받는 자"로 본다.
재이전에도 같은 다섯 가지 근거 중 하나가 있어야 하고, 개인정보위의 이전 중지 명령 대상도 됩니다. 미국은 현재 개인정보위의 동등성 인정 대상이 아니므로, 실무에서는 제3호(계약 이행에 필요한 처리위탁·보관 + 처리방침 공개 또는 정보주체 통지)나 제1호(별도 동의)를 근거로 삼게 됩니다.
제3호를 쓴다면 처리방침에 제28조의8 제2항 각 호의 사항(이전 항목, 이전되는 국가·시기·방법, 이전받는 자, 이용목적과 보유·이용 기간, 거부 방법과 절차·효과)이 실제로 적혀 있어야 합니다. 이 다섯 가지가 빠진 처리방침은 제3호의 요건을 충족하지 못합니다.
처리방침 기재사항 전반은 개인정보처리방침 필수 기재사항 체크리스트에서, 국내용 처리방침과 영문 Privacy Policy를 어떻게 나눌지는 처리방침 vs Privacy Policy에서 다뤘습니다.
"글로벌 CBPR 인증을 받았는데, 그럼 국외이전은 되는 것 아닌가요?"
아닙니다. 그리고 이번 재검토가 이 지점을 명시적으로 짚었습니다.
The Commission invites the PIPC to clarify that the APEC CBPR and CBPR (Cross-Border Privacy Rules) certification schemes are not recognised as a mechanism for transfers of personal data under PIPA rules.
출처: COM(2026) 384 final, 5면 (권고 2)
조문으로 확인해 보면 이유가 분명합니다. 제28조의8 제1항 제4호가 근거로 삼는 것은 "제32조의2에 따른 개인정보 보호 인증 등 보호위원회가 정하여 고시하는 인증"입니다.
즉 아무 인증이나 되는 것이 아니라 개인정보위가 고시로 지정한 인증이어야 합니다. 그 고시 절차는 시행령이 정합니다.
시행령 제29조의8(개인정보의 국외 이전 인증) ① 보호위원회는 법 제28조의8제1항제4호 각 목 외의 부분에 따른 인증을 고시하려는 경우에는 다음 각 호의 순서에 따른 절차를 모두 거쳐야 한다.
- 제34조의6에 따른 개인정보 보호 인증 전문기관의 평가
- … 개인정보의 국외 이전 분야 전문위원회의 평가
- 정책협의회의 협의
② 보호위원회는 … 인증을 고시할 때에는 5년의 범위에서 유효 기간을 정하여 고시할 수 있다.
세 단계 평가·협의를 거쳐 유효기간까지 정해 고시해야 비로소 제4호의 인증이 됩니다. 그렇게 해서 실제로 고시에 등재된 인증이 무엇인지, 그리고 그 인증을 받아야 하는 쪽이 보내는 자인지 이전받는 자인지는 제4호의 인증 근거를 조문으로 따져본 글에 정리했습니다.
혼동이 생기는 지점은 개인정보위가 2026년 2월 3일 「국경 간 개인정보 보호 규칙 인증제도의 운영에 관한 지침」(고시 제2026-1호)을 제정했다는 사실입니다. 이 고시는 글로벌 CBPR 포럼의 인증 제도를 국내에서 운영하기 위한 절차(인증기관을 한국인터넷진흥원으로 정하고(제2조 제4호), 신청·심사·인증위원회·인증서 발급(유효기간 1년, 제14조 제3항)·취소를 규정)를 정한 것입니다. 국외이전 근거를 지정한 고시가 아닙니다.
정리하면 이렇습니다.
| 글로벌 CBPR 인증 | 동등성 인정(제5호) | |
|---|---|---|
| 근거 | 고시 제2026-1호(제도 운영) | 법 제28조의8 제1항 제5호, 공고 제2025-68호 |
| 성격 | 기업이 받는 인증 | 국가·국제기구에 대한 위원회의 인정 |
| 국외이전 근거가 되는가 | 되지 않음 | 됨 |
| 유효기간 | 인증서 1년 | EU 건은 공고에 인정 기간을 정하지 않음(시행령 §29의9④ 점검, ⑤ 취소·변경) |
글로벌 CBPR 인증에 가치가 없다는 뜻이 아닙니다. 해외 파트너에게 개인정보 보호 체계를 설명할 때 쓰는 신뢰 자산으로서는 의미가 있습니다.
다만 그것만으로 국외이전의 적법 근거가 생기지는 않습니다. 인증을 받았으니 이전은 해결됐다고 정리하고 처리방침 기재나 별도 동의를 빼 두면, 그 이전은 근거 없는 이전이 됩니다.
우리 회사가 오늘 확인할 것
| 확인 항목 | 근거 | 확인 결과가 "아니오"일 때 |
|---|---|---|
| EU에서 받아오는 데이터의 국내 수령 주체가 개인정보 보호법 적용 대상인가 | COM(2026) 384 final 결론부 | 적정성 결정의 보호를 전제로 설계한 이전 구조를 재검토 |
| EU발 데이터에 보완규정(고시 제2021-5호)을 적용하고 있는가 | 적정성 결정 부속서 I | 목적 제한·간접수집 통지 부분부터 점검. 2.(국외 제3자 제공 제한)·4.(가명정보 특례 적용범위)·5.(시정조치 등) 전단은 폐지 예정이나 아직 유효 |
| EU로 보내는 데이터에 주민등록번호·개인신용정보가 섞여 있는가 | 공고 제2025-68호 | 동등성 인정으로 커버되지 않음. 별도 근거 검토 |
| EU 쪽 수신자가 GDPR을 적용받는 컨트롤러·프로세서인가 | 공고 제2025-68호 「효과」 | 지역만 EU·EEA라고 제5호가 적용되지는 않음. 수신자 지위 확인 |
| 이전받는 자와 보호조치를 협의해 계약에 반영했는가 | 법 제28조의8 제4항, 시행령 제29조의10 | 근거가 무엇이든 필요. DPA·부속합의 정비 |
| 한국에서 제3국(미국 등)으로 재이전이 있는가 | 법 제28조의11 | 재이전 근거를 따로 세우고 처리방침 기재 확인 |
| 처리방침에 제28조의8 제2항 각 호가 모두 적혀 있는가 | 법 제28조의8 제1항 제3호 가목 | 제3호를 근거로 쓰고 있다면 요건 미충족 상태 |
| 글로벌 CBPR 인증을 국외이전 근거로 적어 두지 않았는가 | 법 제28조의8 제1항 제4호, 시행령 제29조의8 | 근거를 제1호·제3호·제5호 중에서 다시 특정 |
EU발 데이터가 섞인 유출이라면 국내 통지·신고 시간표부터 시작됩니다. 그 첫 72시간에 해야 할 일은 개인정보 유출 인지 후 72시간 안에 해야 할 일과 하면 안 되는 일에 정리했습니다.
적정성은 국외이전 근거의 문제이고, 본사 정책이 한국에서 걸리는 자리는 그 밖에도 있습니다. 산출물 단위로 모은 지도는 본사 정책을 한국 법인에 옮겼을 때 다시 봐야 할 아홉 지점에 정리했습니다.
반대 방향은 — 한국에서 EU로 보낼 때 별도 동의가 필요한가
이쪽은 이미 2025년에 정리됐습니다. 그런데 여전히 유럽 지사로 임직원 데이터를 보내면서 별도 동의를 받고 있는 회사가 있습니다. 받지 않아도 됩니다. 근거가 바뀌었기 때문입니다.
국외 이전은 원칙 금지에 예외가 열거된 구조입니다
개인정보 보호법 제28조의8 제1항은 국외 이전을 원칙적으로 금지하면서 다섯 가지 예외를 둡니다.
제28조의8(개인정보의 국외 이전) ① 개인정보처리자는 개인정보를 국외로 제공(조회되는 경우를 포함한다)·처리위탁·보관(이하 이 절에서 "이전"이라 한다)하여서는 아니 된다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보를 국외로 이전할 수 있다.
- 정보주체로부터 국외 이전에 관한 별도의 동의를 받은 경우
- 법률, 대한민국을 당사자로 하는 조약 또는 그 밖의 국제협정에 개인정보의 국외 이전에 관한 특별한 규정이 있는 경우
- 정보주체와의 계약의 체결 및 이행을 위하여 개인정보의 처리위탁·보관이 필요한 경우로서 … 가. 제2항 각 호의 사항을 제30조에 따른 개인정보 처리방침에 공개한 경우 나. … 정보주체에게 알린 경우
- 개인정보를 이전받는 자가 제32조의2에 따른 개인정보 보호 인증 등 보호위원회가 정하여 고시하는 인증을 받은 경우로서 …
- 개인정보가 이전되는 국가 또는 국제기구의 개인정보 보호체계, 정보주체 권리보장 범위, 피해구제 절차 등이 이 법에 따른 개인정보 보호 수준과 실질적으로 동등한 수준을 갖추었다고 보호위원회가 인정하는 경우
GDPR에 익숙한 담당자는 이 구조를 적정성 결정과 표준계약조항의 관계로 읽으려 합니다. 겹치는 부분이 있지만 같지 않습니다. 한국에는 표준계약조항에 해당하는 일반적 근거가 없고, 제3호는 "계약의 체결 및 이행을 위하여 처리위탁·보관이 필요한 경우"로 좁게 걸려 있습니다.
제5호 — EU는 2025년 9월 16일에 인정을 받았습니다
개인정보위는 2025년 9월 16일 EU에 대해 제5호의 동등성 인정을 하고 같은 날 관보(제21079호)에 공고했습니다(개인정보보호위원회공고 제2025-68호). 공고문의 「효과」 부분은 이렇게 적혀 있습니다.
「개인정보 보호법」 제28조의8 제1항 제5호에 따라 개인정보처리자는 EU 일반 개인정보 보호법(GDPR)을 적용받는 EU 역내 국가 27개국 및 유럽경제지역(EEA)에 포함되는 3개국(노르웨이, 리히텐슈타인, 아이슬란드)의 컨트롤러 또는 프로세서에게 개인정보를 이전할 수 있음
출처: 개인정보보호위원회공고 제2025-68호(2025. 9. 16.)
이로써 국내 회사가 유럽 지사·파트너사·클라우드로 임직원이나 고객의 개인정보를 보낼 때 제1호의 별도 동의를 받지 않아도 됩니다. 2025년 9월 16일부로 한·EU 양방향 자유 이전 체계가 완성된 셈입니다. 다만 공고문에서 두 겹의 한정을 읽어야 합니다.
첫째, 지역이 한정됩니다. EU 27개국과 EEA 3개국입니다. 스위스나 영국은 여기 들어 있지 않고, 영국과의 이전은 별도로 봐야 합니다. → 영국 본사와 데이터를 주고받고 있습니다
둘째, 상대방의 지위가 한정됩니다. 이전받는 상대가 "GDPR을 적용받는 컨트롤러 또는 프로세서"여야 합니다. 실무에서 이 두 번째가 걸리는 자리는 EU에 법인은 있지만 그 처리 활동이 GDPR의 적용 범위 밖에 있는 경우, 또는 계약 상대는 EU 법인인데 실제 데이터 처리가 제3국에서 이루어지는 경우입니다. 서브프로세서 목록을 확인해야 판단이 섭니다.
인정은 어떻게 이루어지나
시행령 제29조의9가 절차와 기준을 정합니다. 우리가 신청해서 받는 제도가 아니라 국가 단위로 개인정보위가 인정하는 구조여서, 회사 입장에서는 "이미 인정된 나라인가"만 확인하면 됩니다. 같은 조 제1항은 여섯 가지를 종합적으로 고려하도록 합니다.
- 이전대상국등의 개인정보 보호체계가 법 제3조의 보호 원칙에 부합하고 제4조의 정보주체 권리를 충분히 보장하는지
- 보호체계를 보장하고 집행할 책임이 있는 독립적 감독기관이 존재하는지
- 그 나라 공공기관이 법률에 따라 개인정보를 처리하는지, 그에 대한 피해구제 절차 등 보호수단이 존재하고 실질적으로 보장되는지
- 정보주체가 쉽게 접근할 수 있는 피해구제 절차가 존재하고 효과적으로 작동하는지
- 그 나라 감독기관이 개인정보위와 원활히 상호 협력할 수 있는지
- 그 밖에 보호위원회가 고시로 정하는 사항
절차는 국외이전전문위원회의 평가와 정책협의회의 협의를 거치도록 정해져 있습니다(같은 조 제2항). 3호를 눈여겨보면 이 제도의 성격이 드러납니다. 민간 기업의 처리 수준만이 아니라 그 나라 공공기관의 접근에 대한 통제까지 본다는 뜻이고, 국가 단위 인정이 왜 오래 걸리는지가 여기서 설명됩니다.
남는 예외 둘과 의무 하나
동등성 인정이 모든 것을 덮지는 않습니다.
주민등록번호와 개인신용정보에는 효력이 미치지 않습니다. 핀테크나 금융 연계 서비스라면 이 부분이 사실상 핵심이고, 신용정보법 영역의 이전은 따로 검토해야 합니다.
인정은 확정적이지 않습니다. 다만 만료일이 있는 것도 아닙니다. 시행령 제29조의9 제3항은 개인정보위가 인정을 할 때 이전되는 개인정보의 범위, 이전받는 개인정보처리자의 범위, 인정 기간, 국외 이전의 조건을 국가별로 달리 정할 수 있게 하는데, 공고 제2025-68호에는 인정 기간이 정해져 있지 않습니다. 즉 EU 건은 "몇 년 뒤 만료"되는 구조가 아닙니다. 대신 같은 조 제4항의 점검 의무(인정 기간 동안 보호 수준이 유지되는지 점검)와 제5항의 취소·변경 권한(보호체계·권리보장 범위·피해구제 절차의 수준이 변경되면 해당 국가의 의견을 듣고 인정을 취소하거나 내용을 변경)이 안전장치로 작동합니다. 취소·변경은 관보 고시와 개인정보위 홈페이지 게재로 공개됩니다(제6항). "언제까지 유효한가"가 아니라 "EU 쪽 제도가 바뀌면 우리 이전 근거도 흔들릴 수 있다"는 형태의 리스크로 관리하는 편이 맞습니다.
그리고 처리방침 기재 의무는 그대로 남습니다. 시행령 제31조 제1항 제2호는 국외로 이전하는 경우 이전의 근거와 법 제28조의8 제2항 각 호의 사항을 처리방침에 적도록 합니다. 근거가 제1호에서 제5호로 바뀌었을 뿐 적어야 한다는 사실은 달라지지 않습니다. 실제로 자주 발견되는 상태는 처리방침에는 근거를 "정보주체의 별도 동의"로 적어 두고 실무에서는 동의를 받지 않는 경우입니다. 근거가 바뀌었으면 문서도 바뀌어야 합니다.
한국에서 EU로 보내는 쪽에서 지금 확인할 것은 다섯 가지입니다.
- EU·EEA로 개인정보를 보내면서 아직 제1호의 별도 동의를 받고 있지는 않은가
- 이전받는 상대가 GDPR을 적용받는 컨트롤러 또는 프로세서인가. 서브프로세서까지 확인했는가
- 이전 대상 국가가 EU 27개국·EEA 3개국 안에 있는가(영국·스위스는 별도 검토)
- 처리방침의 국외이전 근거가 제5호로 갱신되어 있고, 법 제28조의8 제2항 각 호의 사항(이전 항목·국가·시기·방법, 수령자, 이용목적과 보유기간, 거부 방법과 효과)이 모두 적혀 있는가
- 관보와 개인정보위 홈페이지에서 인정 취소·변경 고시를 확인하는 절차를 두었는가
제4호 인증을 근거로 삼을 수 있는지는 본사는 인증을 받았으니 국외이전 근거가 있다고 합니다에, 본사가 보내온 DPA로 근거가 되는지는 본사가 보내온 글로벌 DPA에 서명했습니다에 있습니다.
자주 묻는 질문
Q. EU에 있는 고객이나 지사로부터 개인정보를 한국으로 받아올 때 표준계약조항(SCC)을 체결해야 하나요?
받는 쪽이 한국의 개인정보 보호법 적용을 받는 개인정보처리자라면 필요하지 않습니다. EU 집행위원회는 2021년 12월 17일 GDPR 제45조에 따라 한국에 대한 적정성 결정(Commission Implementing Decision (EU) 2022/254, OJ L 44, 2022.2.24)을 채택했고, 2026년 7월 23일 첫 정기 재검토 보고서(COM(2026) 384 final)에서 '한국이 개인정보 보호법의 적용을 받는 한국 내 수령자에 대해 계속 적정한 수준의 보호를 보장한다’고 결론지었습니다. 적정성 결정이 유지되므로 EU에서 한국으로의 이전은 별도 이전 도구 없이 이루어질 수 있습니다. 다만 적정성 결정은 개인정보 보호법과 그 부속 안전장치인 보완규정(고시 제2021-5호)을 전제로 한 것이므로, 보완규정 준수 의무는 그대로 남습니다.
Q. 반대로 한국에서 EU로 개인정보를 보낼 때는 정보주체 동의를 받아야 하나요?
2025년 9월 16일부터는 원칙적으로 필요하지 않습니다. 개인정보보호위원회가 개인정보 보호법 제28조의8 제1항 제5호에 따라 EU에 대한 동등성 인정을 하고 같은 날 관보 제21079호에 공고했습니다(개인정보보호위원회공고 제2025-68호). 대상은 EU 역내 27개국과 EEA 3개국(노르웨이·리히텐슈타인·아이슬란드)이고, 이전받는 상대는 GDPR을 적용받는 컨트롤러 또는 프로세서여야 합니다. 다만 주민등록번호(주민등록법 제7조의2)와 개인신용정보(신용정보의 이용 및 보호에 관한 법률 제2조 제2호)의 이전에는 이 인정이 영향을 미치지 않으므로, 그 두 가지는 여전히 다른 근거를 따로 검토해야 합니다. 또한 동등성 인정을 근거로 이전하더라도 법 제28조의8 제4항과 시행령 제29조의10에 따른 보호조치(안전성 확보 조치, 고충처리·분쟁해결 조치)는 이행해야 합니다.
Q. 글로벌 CBPR 인증을 받으면 개인정보를 국외로 이전할 수 있나요?
그렇게 볼 수 없습니다. 개인정보 보호법 제28조의8 제1항 제4호가 인정하는 것은 '제32조의2에 따른 개인정보 보호 인증 등 보호위원회가 정하여 고시하는 인증’이고, 시행령 제29조의8은 그 고시에 개인정보 보호 인증 전문기관의 평가, 국외이전 분야 전문위원회의 평가, 정책협의회의 협의를 모두 거치도록 요구합니다. 개인정보위가 2026년 2월 3일 제정한 「국경 간 개인정보 보호 규칙 인증제도의 운영에 관한 지침」(고시 제2026-1호)은 글로벌 CBPR 포럼의 인증 제도를 국내에서 운영하기 위한 절차를 정한 것이지, 그 인증을 국외이전 근거로 지정한 고시가 아닙니다. EU 집행위원회도 이번 재검토 보고서에서 개인정보위에 'APEC CBPR과 CBPR 인증 제도는 개인정보 보호법상 개인정보 이전 수단으로 인정되지 않는다’는 점을 명확히 해 달라고 요청했습니다.
Q. 동등성 인정은 언제 만료되나요?
EU 건에는 만료일이 없습니다. 시행령 제29조의9 제3항은 개인정보위가 인정을 할 때 이전되는 개인정보의 범위, 이전받는 자의 범위, 인정 기간, 이전 조건을 국가별로 달리 정할 수 있게 하는데, 공고 제2025-68호에는 인정 기간이 정해져 있지 않습니다. 대신 같은 조 제4항의 점검 의무와 제5항의 취소·변경 권한이 안전장치로 작동합니다. '언제까지 유효한가’가 아니라 'EU 쪽 제도가 바뀌면 우리 이전 근거도 흔들릴 수 있다’는 형태의 리스크로 관리하는 편이 맞습니다.
Q. 동등성 인정을 받았으면 처리방침에 아무것도 안 적어도 되나요?
적어야 합니다. 시행령 제31조 제1항 제2호는 국외로 이전하는 경우 이전의 근거와 법 제28조의8 제2항 각 호의 사항을 처리방침에 적도록 하고 있고, 근거가 제5호(동등성 인정)로 바뀌었을 뿐 기재 의무가 사라지는 것은 아닙니다. 오히려 근거를 제1호(별도 동의)로 적어 둔 채 실제로는 동의를 받지 않고 있다면 처리방침과 실제가 어긋나는 상태가 됩니다.
이 글은 일반적인 정보 제공을 목적으로 한 것으로 법률자문이 아닙니다. 국외이전의 적법 근거는 데이터의 종류, 이전 구조, 계약 관계에 따라 달라지므로 구체적인 사안은 개별 검토가 필요합니다.
참고 자료
- Commission Implementing Decision (EU) 2022/254 — 한국 적정성 결정 원문 — EUR-Lex
- COM(2026) 384 final — 한국 적정성 결정 첫 재검토 보고서(EU 이사회 문서 12194/26) — Council of the European Union
- Commission finds that Republic of Korea continues to provide an adequate level of protection of personal data(2026. 7. 23.) — European Commission
- GDPR — Regulation (EU) 2016/679 원문 — EUR-Lex
- 개인정보 보호법 제28조의8(개인정보의 국외 이전), 제28조의11(준용규정), 제30조(개인정보 처리방침의 수립 및 공개) — 국가법령정보센터. 법률 제20897호(2025. 10. 2. 시행)
- 개인정보 보호법 시행령 제29조의8(개인정보의 국외 이전 인증), 제29조의9(국가 등에 대한 개인정보 보호 수준 인정), 제31조(개인정보 처리방침의 내용 및 공개방법 등) 제1항 제2호 — 국가법령정보센터. 대통령령 제36121호(2026. 8. 20. 시행)
- 개인정보보호위원회공고 제2025-68호(2025. 9. 16.) — 관보 제21079호. EU 27개국 및 EEA 3개국에 대한 개인정보 보호 수준 인정과 그 효과
