핵심 요약 본사가 보내온 글로벌 DPA에 서명하는 것만으로 한국법상 국외이전 준비는 끝나지 않습니다. 개인정보 보호법 제28조의8 제1항의 이전 근거를 갖추는 층과, 같은 조 제4항 및 시행령 제29조의10 제2항에 따라 보호조치를 이전받는 자와 미리 협의하고 계약내용 등에 반영하는 층은 별개이며, 후자는 다섯 가지 근거 중 무엇을 택했든 적용됩니다. 이 의무 위반은 과징금 각 호에는 없지만 국외 이전 중지 명령의 사유입니다. 한국법인에서 본사로 데이터가 흘러가는 외국계 그룹의 법무·프라이버시 조직이 점검할 지점입니다.

본사 법무팀이 글로벌 DPA와 SCC 부속서를 보내옵니다. 한국법인은 서명란을 채워 돌려보내고, 국외이전 별도 동의나 처리방침 공개 같은 이전 근거도 따로 갖춰 두었습니다. 여기까지 하면 한국 쪽 숙제는 끝난 것처럼 보입니다.

그런데 한국 개인정보 보호법은 이전의 근거와 별도로, 그 이전에 관한 계약에 무엇을 담을지를 따로 정해 두었습니다. 본사 표준 산출물이 한국에서 어긋나는 지점을 지도로 그린 글에서 다룬 공백 가운데, 실무에서 가장 자주 지나치는 자리가 바로 여기입니다.

이전 근거를 갖췄으면 계약은 본사 것을 그대로 써도 되나요?

법 제28조의8 제1항은 국외 이전을 원칙적으로 금지하면서, 단서 각 호에 다섯 가지 근거를 둡니다. 별도 동의(제1호), 법률·조약 등 특별한 규정(제2호), 계약 이행을 위한 처리위탁·보관(제3호), 고시된 인증(제4호), 보호위원회의 동등성 인정(제5호)입니다. 근거의 층 자체는 EU 동등성 인정과 이전 근거를 정리한 글에서 다뤘습니다.

이 글의 주제는 그 위에 얹히는 층입니다. 제4항은 “제1항 각 호 외의 부분 단서에 따라” 이전하는 경우 전체를 대상으로 하므로, 다섯 근거 중 무엇을 골랐든 걸립니다. 다섯 근거 가운데 인증(제1항 제4호)을 택하려는 경우 그 인증이 고시 목록에 있는지부터 갈라야 하는데, 그 판단은 한국 고시 목록에 올라 있는 인증은 하나뿐입니다에서 다뤘습니다.

제4항이 요구하는 것은 세 갈래입니다. 국외 이전과 관련한 이 법의 다른 규정, 제17조부터 제19조까지, 그리고 제5장(정보주체의 권리 보장)을 준수해야 하고, 여기에 대통령령으로 정하는 보호조치가 더해집니다.

계약에 무엇을 반영하라는 것인가요?

시행령 제29조의10 제1항은 보호조치를 세 가지로 적습니다. 시행령 제30조 제1항에 따른 안전성 확보 조치, 개인정보 침해에 대한 고충처리 및 분쟁해결에 관한 조치, 그 밖에 정보주체 보호에 필요한 조치입니다. 제30조 제1항에는 내부 관리계획, 접근 권한 제한과 인증수단, 암호화, 접속기록의 보관, 물리적 조치 같은 항목이 들어 있습니다.

핵심은 제2항입니다. 이 사항들을 이전받는 자와 미리 협의하고 계약내용 등에 반영하라고 합니다. 요구되는 것은 완성된 문서가 아니라 절차입니다.

본사가 서명을 마친 표준 문서를 받아 드는 구조라면, “미리 협의"라는 시점 요건은 이미 지나가 있습니다. 순서를 되짚어 볼 이유가 여기에 있습니다.

정해진 서식이 있는지도 확인해 봤습니다. 국외 이전에 관한 하위 고시(개인정보보호위원회고시 제2023-11호)는 국외이전전문위원회 운영, 인증, 이전대상국등 인정, 중지 명령의 절차만 정하고 있을 뿐, 제4항의 보호조치를 어떤 형식과 수준으로 계약에 적을지를 정한 조문은 없습니다. 무엇을 협의해 반영할지는 시행령까지 내려와 있지만 문언의 설계는 회사 몫으로 남아 있고, 뒤집어 말하면 기다릴 서식도 없다는 뜻입니다.

본사 표준 DPA에는 왜 그 자리가 없나요?

특정 회사의 DPA에 무엇이 빠져 있는지는 문서를 보기 전에는 알 수 없습니다. 확인할 수 있는 것은 한국 조문이 요구하는 항목이고, 그 목록으로 자기 계약서를 대조해 보는 것이 순서입니다.

대조 포인트는 세 개입니다. 첫째, 시행령 제29조의10 제1항 제2호의 고충처리·분쟁해결 조치가 계약 어디에 있는지. 둘째, 협의가 계약 체결 전에 있었다는 사실을 무엇으로 보일 수 있는지.

셋째, 법 제28조의8 제5항은 이 법을 위반하는 사항을 내용으로 하는 국외이전 계약의 체결 자체를 금지합니다. 서명하는 행위에 조문이 걸리는 구조입니다. 본사 DPA의 controller·processor 역할 배분이 한국법상 지위와 어긋나는 지점을 짚은 글과 함께 대조하면 빠르게 확인됩니다.

본사가 다시 제3국 벤더로 넘기는 구간은 어떻게 되나요?

법 제28조의11은 이전받은 자가 그 개인정보를 제3국으로 이전하는 경우 제28조의8과 제28조의9를 준용합니다. 이때 “개인정보처리자"는 “개인정보를 이전받은 자"로 치환됩니다. 본사가 제3국 클라우드나 벤더로 넘기는 구간에도 같은 틀이 적용되므로, 본사 DPA의 서브프로세서 조항이 한국 조문과 만나는 자리가 됩니다.

반영하지 않으면 무엇이 문제되나요?

제재 경로가 독특합니다. 법 제64조의2 제1항 제7호가 과징금 대상으로 삼는 것은 제28조의8 제1항 위반이고, 제4항·제5항 위반은 각 호에 열거되어 있지 않습니다. 제75조의 과태료 각 호에도 관련 조항이 없습니다.

그렇다고 공백은 아닙니다. 제28조의9 제1항 제1호는 제1항·제4항·제5항 위반을 나란히 국외 이전 중지 명령의 사유로 들고, 명령을 따르지 않으면 그때 제64조의2 제1항 제8호로 전체 매출액 3% 한도의 과징금이 붙습니다.

이 처분의 무게는 금액이 아니라 데이터 흐름이 멈춘다는 데 있습니다. 다투는 기간도 짧습니다. 이의 제기는 명령을 받은 날부터 7일 이내이고, 보호위원회는 이의신청서를 받은 날부터 30일 이내에 처리결과를 문서로 통지합니다(법 제28조의9 제2항, 시행령 제29조의12).

서류와 실제 흐름이 어긋나면 어떻게 되나요?

개인정보보호위원회는 2026년 6월 24일 제12회 전체회의에서 빗썸에 과징금 2억 1,000만 원과 시정명령을 의결했습니다(보도자료는 6월 25일자). 문제된 기간은 2025년 9월부터 11월까지로, 빗썸은 테더(USDT) 마켓에서 해외 거래소와 오더북(Order Book)을 공유했습니다.

이 과정에서 정보주체에게는 스텔라 거래소(Stellar exchange)로 국외이전한다는 내용으로 별도 동의를 받았으나, 실제 회원번호와 주문정보는 다른 거래소가 운영하는 시스템(bingx.com)으로 이전된 사실이 확인됐습니다. 문서가 실제 데이터 흐름을 따라가지 못하면, 갖춰 둔 근거가 그 이전을 덮지 못합니다.

균형 있게 볼 부분도 있습니다. 개인정보위는 자금세탁방지 목적의 개인정보 제공 필요성 자체는 인정하면서도, 국외이전은 정보주체의 자기결정권과 밀접하므로 요건과 절차를 면밀히 준수해야 한다고 판단했습니다. 목적이 정당해도 요건과 절차는 따로 본다는 뜻입니다.

시정명령의 내용도 눈여겨볼 만합니다. 적법한 요건을 갖추고 그 사실을 개인정보 처리방침으로 명확히 안내하라는 것이었습니다. 2026년 상반기 개인정보위 제재 흐름을 통계로 정리한 글에서 이 사건의 위치를 확인할 수 있습니다.

9월 11일 개정으로 이 부분이 바뀌나요?

2026년 9월 11일 시행되는 개정법(법률 제21445호)에서 제28조의8·제28조의9·제28조의11의 문언은 바뀌지 않습니다. 바뀌는 것은 제64조의2입니다. 제2항이 신설되어, 과징금 처분일부터 3년 내 같은 호의 반복 위반(고의·중과실 한정), 고의·중과실 위반으로 피해 정보주체 1천만 명 이상, 시정조치 명령 불이행에 따른 위반의 세 경우에 전체 매출액 10% 한도의 과징금 구간이 생기고, 현행 제2항은 제3항으로 밀립니다.

실무 체크리스트

  • 이전 근거(제1항 각 호 중 어느 것인지)와 계약 반영(제4항)을 별개 항목으로 점검했는가 (법 제28조의8 제1항·제4항)
  • 시행령 제30조 제1항의 안전성 확보 조치가 계약 또는 부속서에 반영되어 있는가 (시행령 제29조의10 제1항 제1호)
  • 고충처리·분쟁해결에 관한 조치 조항이 계약에 있는가 (시행령 제29조의10 제1항 제2호)
  • 계약 체결 전에 보호조치를 협의한 기록이 남아 있는가 (시행령 제29조의10 제2항)
  • 본사에서 제3국 벤더로 가는 재이전 구간에 같은 점검을 했는가 (법 제28조의11)
  • 동의서·처리방침의 기재가 실제 데이터 흐름과 일치하는가 (법 제28조의8 제2항)

투자나 M&A 실사에서도 이 계약서는 요청 목록에 오릅니다. 실사에서 국외이전 계약서를 어떤 자료 목록으로 확인하는지 정리한 글의 항목과 겹쳐 보면 준비 상태가 드러납니다. 유출 사고가 나면 이 계약서가 조사에서 다시 꺼내지므로, 유출 후 72시간 안의 신고와 대응 절차를 정리한 글과 함께 관리해 두시기 바랍니다.

For your headquarters

Signing the group-wide DPA does not by itself complete cross-border transfer compliance under Korean law. Korea’s Personal Information Protection Act (PIPA) separates two layers: the legal basis for an outbound transfer under Article 28-8(1), and additional obligations under Article 28-8(4) that apply whichever of the five bases is used. Article 28-8(4) requires compliance with other PIPA provisions on cross-border transfers, Articles 17 through 19, and Chapter 5 on data subjects’ rights, plus protective measures prescribed by the Enforcement Decree. Under Enforcement Decree Article 29-10(2), those measures, including security safeguards and a mechanism for handling grievances and dispute resolution, must be discussed with the overseas recipient in advance and reflected in the contract. A pre-signed template sent down from headquarters may leave no evidence of that prior consultation. Article 28-8(5) separately prohibits entering into a transfer contract whose terms violate PIPA. Violations of Article 28-8(4) or (5) are not listed under the penalty surcharge provision of Article 64-2(1)7, but they are grounds for a transfer suspension order under Article 28-9, and failure to comply with such an order triggers a surcharge of up to 3 percent of total revenue under Article 64-2(1)8. An objection to a suspension order must be filed within 7 days. Onward transfers from headquarters to third-country vendors are covered mutatis mutandis under Article 28-11. This English summary is unofficial and provided for convenience; the Korean statutory text and the Korean version of this note prevail.

자주 묻는 질문

본사 표준 DPA에 서명하면 한국법상 국외이전 요건은 충족되나요?

이전 근거와 계약 반영은 별개의 층입니다. 개인정보 보호법 제28조의8 제1항의 근거를 갖췄더라도, 같은 조 제4항과 시행령 제29조의10 제2항에 따라 보호조치를 이전받는 자와 미리 협의하고 계약내용 등에 반영해야 합니다.

계약 반영 의무를 위반하면 과징금이 부과되나요?

제64조의2 제1항 각 호 가운데 국외이전 관련으로 열거된 것은 제28조의8 제1항 위반(제7호)이고, 제4항·제5항 위반은 과징금 각 호에도 제75조의 과태료에도 열거되어 있지 않습니다. 다만 제4항·제5항 위반은 제28조의9 제1항 제1호가 정한 국외 이전 중지 명령의 사유입니다. 명령을 따르지 않으면 제64조의2 제1항 제8호로 전체 매출액 3% 한도의 과징금 대상이 됩니다.

2026년 9월 11일 시행 개정법으로 국외이전 조문이 바뀌나요?

제28조의8·제28조의9·제28조의11의 문언은 바뀌지 않습니다. 제64조의2에 제2항이 신설되어 반복 위반 등 세 가지 경우에 전체 매출액 10% 한도의 가중 과징금 구간이 생기고, 현행 제2항은 제3항으로 밀립니다.

참고 자료

이 글은 조문과 공개 자료에 근거한 일반론이며, 구체적인 사안에는 개별 검토가 필요합니다.