본사 프라이버시 정책을 한국 법인에 그대로 옮겼습니다 — 9월 11일 전에 다시 봐야 할 아홉 지점

핵심 요약. 본사가 GDPR을 기준으로 만든 정책과 절차서를 번역해 한국 법인에 올려 두는 것으로는 채워지지 않는 지점이 있습니다. 그리고 그 지점들은 대개 문서에 무엇을 쓸 것인지가 아니라 누가 결정하고 무엇을 밖에 알릴 것인지에 걸립니다. 개인정보 처리방침은 법 제30조 제1항이 기재사항을 따로 정하고 있고, 수탁자는 정보주체가 언제든 확인할 수 있게 공개해야 하며(제26조 제2항), 국내에 자회사가 있으면 국내대리인을 그 법인 중에서 지정해야 하고(제31조의2 제2항, 2025년 10월 2일 시행), 2026년 9월 11일부터는 개인정보 보호책임자 지정에 이사회 의결과 보호위원회 신고가 들어옵니다(제31조 제3항 신설). 아래에 본사 산출물 아홉 개를 조문과 하나씩 대조해 두었습니다. 항목마다 근거 조문과 상세를 다룬 글을 걸었습니다.

외국계 한국법인의 법무 담당자와 이야기하다 보면 비슷한 지점에서 멈춥니다. 본사가 만든 글로벌 프라이버시 정책이 있고, DPA 템플릿이 있고, 인시던트 대응 플레이북이 있습니다. 잘 만들어진 문서들입니다.

그것을 번역해서 한국 사이트에 올렸습니다. 여기까지는 대개 문제가 없습니다.

문제는 한국법이 요구하는 것 중 상당수가 문서 안에 있지 않다는 데 있습니다. 누가 그 결정을 했는지, 그 결정을 어디에 신고했는지, 어떤 목록을 밖에 공개했는지를 묻습니다. 번역으로는 채워지지 않는 종류입니다.

아래 표가 이 글의 뼈대입니다. 본사가 실제로 가지고 있을 산출물을 왼쪽에 놓고, 한국에서 어디가 어긋나는지를 오른쪽에 적었습니다.

본사 산출물 아홉 개와 한국법의 접점

1. 처리방침은 Privacy Notice의 번역본이 아닙니다

법 제30조 제1항은 개인정보 처리방침에 들어갈 사항을 열거합니다. 처리 목적, 처리 및 보유 기간, 제3자 제공, 파기 절차와 방법, 민감정보의 공개 가능성과 비공개 선택 방법, 위탁, 가명정보 처리, 정보주체와 법정대리인의 권리·의무와 행사 방법, 개인정보 보호책임자의 성명 또는 담당 부서와 연락처, 자동 수집 장치의 설치·운영과 거부에 관한 사항입니다.

이 목록은 GDPR 제13조·제14조의 고지 항목과 겹치지만 같지 않습니다. 특히 파기 절차, 위탁, 자동 수집 장치 거부 방법은 본사 Notice에 대응 항목이 없는 경우가 많습니다.

두 문서를 어떻게 나누고 어디까지 맞출지는 국문 처리방침과 영문 Privacy Policy가 별개 문서인 이유에서, 기재사항 점검은 처리방침 필수 기재사항 체크리스트에서 다뤘습니다.

2. DPO를 CPO로 올려 둔 구조는 9월에 다시 걸립니다

두 가지가 겹칩니다.

먼저 누가 CPO가 될 수 있는가입니다. 본사 APAC DPO를 한국 개인정보 보호책임자로 지정해 둔 구조가 시행령이 정한 지정 대상 범위에 맞지 않을 수 있습니다. 이 부분은 2024년 3월부터 이미 시행 중이고, 본사 APAC DPO를 한국 CPO로 올려 두었다면에서 자격요건까지 정리했습니다.

여기에 2026년 9월 11일부터 절차가 더해집니다. 개정법 제31조 제3항이 신설되어, 대통령령으로 정하는 기준에 해당하는 개인정보처리자는 개인정보 보호책임자를 지정하거나 변경·해제할 때 이사회 의결을 거치고 그 사항을 보호위원회에 신고해야 합니다.

같은 조 제4항의 업무 목록도 바뀝니다. 신설된 제2호가 “개인정보 보호에 필요한 전문 인력의 관리 및 예산의 확보”, 제3호가 “사업주 또는 대표자 및 이사회에 대한 개인정보 보호 현황 및 주요 사항의 보고"입니다.

다만 이 두 가지를 9월에 새로 생기는 의무로 읽으면 준비 시점을 잘못 잡게 됩니다. 실질은 이미 걸려 있습니다.

시행령 제32조 제6항은 2024년 3월 12일 신설되어, 사업주나 대표자가 직접 개인정보 보호책임자가 되는 경우를 빼고는 개인정보처리자가 독립성 보장을 위해 세 가지를 준수하도록 정하고 있습니다. 개인정보 처리 관련 정보에 대한 접근 보장, 정기적으로 대표자 또는 이사회에 직접 보고할 수 있는 체계의 구축, 그리고 업무 수행에 적합한 조직체계 마련과 인적·물적 자원의 제공입니다.

개정법 제31조 제4항 제2호·제3호는 이 내용을 시행령에서 법률 본문의 업무로 끌어올린 것에 가깝습니다. 즉 이사회 보고 체계와 자원 제공은 2024년 3월부터 이미 의무였고, 9월 11일에 새로 더해지는 것은 지정 절차 쪽의 이사회 의결과 신고입니다.

외국계에서 실제로 걸리는 자리가 여기입니다. 예산 권한이 본사에 있고 보고 라인도 본사 프라이버시 조직으로만 나 있는 구조라면, 한국 법인의 대표나 이사회에 직접 보고할 수 있는 체계가 있다고 설명하기 어렵습니다. 그리고 그 설명을 요구받는 시점은 9월이 아니라 지금입니다.

3. 국내대리인을 로펌으로 지정해 두었다면

이 항목이 가장 자주 놓치는 자리입니다.

법 제31조의2 제1항은 국내에 주소 또는 영업소가 없는 개인정보처리자 중 대통령령으로 정하는 자에게 국내대리인 지정 의무를 지웁니다. 대리하는 업무는 불만 처리와 피해 구제, 유출 통지·신고, 그리고 보호위원회의 자료 제출 요구 대응입니다.

지정 대상은 시행령 제32조의3 제1항이 정합니다. 전년도 전체 매출액 1조 원 이상이거나, 전년도 말 기준 직전 3개월간 국내 정보주체 수가 일일평균 100만 명 이상이거나, 법 제63조 제1항에 따라 자료 제출을 요구받은 자로서 보호위원회가 심의·의결한 경우입니다. 매출액은 전년도 평균환율로 환산합니다.

바뀐 것은 누구를 대리인으로 세울 수 있는가입니다. 2025년 4월 1일 개정으로 제2항에 후단이 붙어, 다음 법인이 있으면 그 법인 중에서 국내대리인을 지정해야 합니다.

• 해당 개인정보처리자가 설립한 국내 법인
• 임원 구성, 사업 운영 등에 지배적인 영향력을 행사하는 국내 법인으로서 대통령령으로 정하는 법인

시행령 제32조의3 제3항이 뒤쪽을 구체화했습니다. 대표이사를 임면하거나 임원의 100분의 50 이상을 선임하거나 선임할 수 있는 법인, 또는 발행주식총수나 출자총액의 100분의 30 이상을 출자한 법인입니다.

한국에 자회사를 두고도 국내대리인은 로펌이나 컨설팅사로 지정해 둔 구조가 여기에 걸립니다. 이 개정은 2025년 10월 2일 시행됐고, 부칙이 준 재지정 기간 6개월은 2026년 4월 2일에 이미 끝났습니다.

제3항도 신설됐습니다. 국내대리인을 지정한 개인정보처리자는 국내대리인이 업무를 충실히 수행하도록 관리·감독해야 하고, 시행령 제32조의3 제4항은 그 내용을 연 1회 이상 교육과 업무 점검으로 정했습니다.

과태료가 각각 붙어 있습니다. 지정하지 않은 경우, 제2항을 위반해 지정한 경우, 관리·감독하지 않은 경우가 법 제75조 제3항 제2호부터 제4호까지에 있고, 국내대리인의 성명·주소·전화번호·전자우편 주소를 처리방침에 넣지 않은 경우가 같은 조 제4항 제9호의2에 있습니다.

마지막 항도 봐 둘 만합니다. 제31조의2 제5항은 국내대리인이 제1항 각 호와 관련해 이 법을 위반하면 개인정보처리자가 그 행위를 한 것으로 본다고 정합니다.

지정 대상 판단, 재지정 기한, 관리·감독의 구체적 내용, 그리고 9월 11일부터 대리 업무가 넓어지는 부분은 국내대리인 재지정에 따로 정리했습니다.

4. Legitimate interest에 대응하는 근거는 있지만 좁습니다

한국법에 정당한 이익 근거가 없다고 설명되는 경우가 있는데, 정확하지 않습니다. 법 제15조 제1항 제6호가 “개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우"를 두고 있습니다.

다만 조건이 붙습니다. 같은 호 후단은 “개인정보처리자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우에 한한다"고 정합니다. 명백하게 우선할 것과 합리적 범위를 초과하지 않을 것을 함께 요구하는 구조라, GDPR 제6조 제1항 (f)의 균형 판단보다 좁게 쓰입니다.

본사 LIA 문서를 그대로 근거로 옮겨 오기 전에, 그 판단이 이 문언을 충족하는지 따로 봐야 하는 이유입니다. 여기에 더해 한국법은 제3자 제공의 근거 목록을 제17조 제1항에 따로 두고 있는데 그 목록이 수집 쪽과 다릅니다. 어긋나는 지점은 처리 근거가 갈리는 자리에서 조문 단위로 비교했습니다.

5. 인시던트 플레이북의 첫 분기가 한국에는 없습니다

본사 절차서는 대개 위험도 평가로 시작해 통지 여부를 가릅니다. 한국법 제34조 제1항은 위험 정도를 요건으로 삼지 않고 유출등을 알게 된 것만으로 통지 의무를 지웁니다.

이 간극과 신고·통지의 선후, 72시간 예외, 암호화 항변이 어디까지 통하는지는 본사 플레이북과 한국 통지 의무가 어긋나는 지점에서 조문 단위로 비교했습니다. 사고 인지부터 조사·처분·분쟁까지의 전체 흐름은 유출 대응 단계별 지도에 있습니다.

6. 국외이전은 원칙 금지에 예외가 열거된 구조입니다

법 제28조의8 제1항은 개인정보를 국외로 제공·처리위탁·보관해서는 안 된다고 먼저 정하고, 단서에 예외를 답니다. 별도 동의, 법률이나 조약의 특별 규정, 계약 이행에 필요한 처리위탁·보관, 보호위원회가 고시하는 인증, 그리고 보호위원회가 실질적으로 동등한 수준으로 인정하는 국가·국제기구입니다.

본사 표준계약조항(SCC)이 이 목록에 그대로 대응하지 않는다는 점이 출발점입니다. 방향과 상대국에 따라 근거가 갈리는 문제는 EU 적정성 결정 첫 재검토와 영국 본사와 데이터를 주고받을 때에서 각각 다뤘습니다.

7. 수탁자는 관리 대상이면서 공개 대상입니다

GDPR에서 processor 관리는 주로 계약의 문제입니다. 한국법은 여기에 공개를 더합니다.

법 제26조 제2항은 위탁하는 업무의 내용과 수탁자를 정보주체가 언제든지 쉽게 확인할 수 있도록 공개하라고 정합니다. 재위탁받은 제3자도 수탁자에 포함됩니다. 글로벌 벤더 목록을 계약서 부속서에만 두고 있었다면 공개 쪽을 따로 맞춰야 합니다.

제4항은 위탁자에게 수탁자 교육과 처리 현황 점검 등 감독 의무를 지우고, 제7항은 수탁자가 위탁받은 업무와 관련해 이 법을 위반해 발생한 손해배상책임에서 수탁자를 개인정보처리자의 소속 직원으로 본다고 정합니다.

수탁사에서 사고가 났을 때 책임이 어떻게 갈리는지는 수탁사 직원의 실수로 개인정보가 유출됐을 때에서 다뤘습니다.

8. 보존기간이 남은 데이터는 지우지 않되 분리합니다

법 제21조 제1항은 보유기간이 지나거나 처리 목적을 달성해 불필요해지면 지체 없이 파기하라고 하면서, 다른 법령에 따라 보존해야 하는 경우를 단서로 뺍니다.

여기서 본사 Retention Schedule과 어긋나기 쉬운 것이 제3항입니다. 단서에 따라 파기하지 않고 보존하는 개인정보는 다른 개인정보와 분리하여 저장·관리해야 합니다. 삭제 대신 보존한다는 결정만으로는 부족하고 저장 구조가 따라와야 한다는 뜻입니다.

파기 의무와 법정 보존기간이 충돌하는 지점은 탈퇴 회원의 정보를 언제까지 두어야 하는지에 정리했습니다.

9. 쿠키 배너를 옮겨 오기 전에

본사 CMP는 GDPR과 ePrivacy를 전제로 설계돼 있습니다. 한국에서 행태정보 수집이 어떤 근거를 요구하는지, 광고·분석 SDK가 수집하는 값이 개인정보로 다뤄지는 지점은 광고 픽셀이 수집하는 행태정보에서 실제 제재 사례와 함께 다뤘습니다.

지금 확인할 것

9월 11일까지 남은 시간을 감안하면 순서가 있습니다. 본사 승인이 필요한 항목이 먼저입니다.

이사회 일정을 먼저 잡습니다. 개정법 제31조 제3항이 요구하는 것은 문서가 아니라 의결입니다. 대통령령 기준에 해당한다면 9월 11일 이후의 지정·변경·해제부터 의결과 신고가 필요하고, 이사회는 대개 정기 일정으로 돌아갑니다.

국내대리인 지정 문서를 꺼내 봅니다. 한국 자회사가 있는데 제3자가 대리인으로 되어 있으면 재지정 대상이고, 경과기간은 이미 지났습니다. 지정은 문서로 해야 하고(제31조의2 제1항 후단), 처리방침에도 반영해야 합니다.

수탁자 목록의 공개 상태를 확인합니다. 계약 부속서에만 있고 처리방침이나 웹사이트에 없으면 제26조 제2항을 충족하지 못합니다.

보존 데이터의 저장 위치를 봅니다. 법령상 보존분이 일반 회원 데이터와 같은 테이블에 남아 있다면 제21조 제3항이 요구하는 분리 저장을 아직 못 한 상태입니다.

본사에 설명할 문서를 준비합니다. 위 항목 중 이사회 의결, 국내대리인 재지정, 수탁자 공개는 한국 법인이 단독으로 처리하기 어렵고 본사 승인이 필요합니다. 아래 영문 요약을 그대로 전달하실 수 있게 두었습니다.

자주 묻는 질문

Q. GDPR을 지키고 있으면 한국 개인정보 보호법도 대체로 지켜지는 것 아닌가요?

겹치는 부분은 큽니다. 다만 한국법에만 있는 요구가 있고, 그 상당수는 문서의 내용이 아니라 지배구조와 공개 의무에 걸립니다. 개인정보 처리방침은 법 제30조 제1항이 기재사항을 따로 정하고 있어 본사 Privacy Notice의 번역본으로 갈음하기 어렵고, 수탁자는 정보주체가 언제든 확인할 수 있도록 공개해야 하며(제26조 제2항), 2026년 9월 11일부터는 대통령령 기준에 해당하는 개인정보처리자가 개인정보 보호책임자를 지정·변경·해제할 때 이사회 의결을 거치고 보호위원회에 신고해야 합니다(제31조 제3항 신설).

Q. 국내대리인을 로펌으로 지정해 두었는데 그대로 둬도 되나요?

한국에 자회사가 있다면 다시 봐야 합니다. 법 제31조의2 제2항은 개인정보처리자가 설립한 국내 법인이나 임원 구성·사업 운영 등에 지배적인 영향력을 행사하는 국내 법인이 있으면 그 법인 중에서 국내대리인을 지정하도록 정합니다(2025년 4월 1일 개정, 같은 해 10월 2일 시행). 시행령 제32조의3 제3항은 지배적 영향력을 대표이사를 임면하거나 임원의 50% 이상을 선임할 수 있는 법인, 또는 발행주식총수·출자총액의 30% 이상을 출자한 법인으로 구체화했습니다. 부칙이 준 재지정 기간 6개월은 2026년 4월 2일에 끝났고, 제2항을 위반해 지정한 경우는 과태료 대상입니다(제75조 제3항 제3호).

Q. 본사 DPO에게만 보고하는 라인을 유지해도 되나요?

2026년 9월 11일 개정법은 개인정보 보호책임자의 업무에 “개인정보 보호에 필요한 전문 인력의 관리 및 예산의 확보"와 “사업주 또는 대표자 및 이사회에 대한 개인정보 보호 현황 및 주요 사항의 보고"를 넣었습니다(제31조 제4항 제2호·제3호). 본사 라인으로만 보고하고 한국 법인의 대표나 이사회에는 보고하지 않는 구조, 그리고 예산 권한이 전혀 없는 구조는 이 두 호를 충족한다고 설명하기 어려워집니다. 다만 이 둘은 실질이 새로운 것은 아닙니다. 시행령 제32조 제6항이 2024년 3월 12일부터 이미 대표자 또는 이사회에 직접 보고할 수 있는 체계의 구축과 인적·물적 자원의 제공을 독립성 보장 항목으로 요구하고 있고, 개정은 이를 법률 본문의 업무로 올린 것에 가깝습니다.

For your global headquarters — English summary

아래 요약을 본사 법무·DPO에게 그대로 전달하실 수 있도록 붙여 둡니다.

Translating a global privacy programme into Korean does not, by itself, satisfy the Korean Personal Information Protection Act (“PIPA”). Several Korean requirements attach not to the content of a document but to who decides and what is published. Nine checkpoints:

1. Privacy policy (PIPA art. 30(1)). Korea prescribes a statutory list of items. A translated global notice frequently omits destruction procedures, processor disclosure, and opt-out for automatic collection tools.
2. Chief Privacy Officer (art. 31). From 11 September 2026, processors meeting Presidential Decree thresholds must obtain board approval for appointing, changing or removing the CPO, and notify the Commission (art. 31(3), newly inserted). The CPO’s statutory duties will also include securing budget and specialist headcount and reporting to the representative and the board (art. 31(4)(2)-(3)). Note that these two are not new in substance: Decree art. 32(6), in force since 12 March 2024, already requires a structure enabling the CPO to report directly to the representative or the board, plus provision of adequate human and material resources. A reporting line running solely to headquarters is already difficult to reconcile with that.
3. Domestic representative (art. 31의2). Applies to processors with no address or place of business in Korea that meet Decree thresholds (annual revenue ≥ KRW 1 trillion, or ≥ 1 million Korean data subjects on a daily average over three months, or designated by Commission resolution). Since 2 October 2025, if the processor has a Korean subsidiary — one whose representative director it appoints, or where it can appoint ≥ 50% of officers, or in which it holds ≥ 30% of shares or capital (Decree art. 32의3(3)) — the representative must be chosen from among those Korean entities. The six-month transition expired on 2 April 2026. Appointing an outside law firm instead is subject to an administrative fine (art. 75(3)(3)). The processor must also train and monitor the representative at least annually (Decree art. 32의3(4)), and acts of the representative are deemed acts of the processor (art. 31의2(5)).
4. Lawful basis (art. 15(1)(6)). A legitimate interest basis exists but is narrower: the interest must manifestly override the data subject’s rights, be substantially related, and not exceed a reasonable scope. A GDPR LIA does not transfer automatically.
5. Incident response (art. 34). Notification is triggered by awareness of a breach, not by a risk threshold. A risk-assessment gate in a global playbook has no Korean counterpart.
6. Cross-border transfers (art. 28의8(1)). Structured as a prohibition with enumerated exceptions. Standard contractual clauses used under GDPR do not map onto these exceptions automatically.
7. Processors (art. 26). Beyond contract: the scope of work and the identity of processors (including sub-processors) must be publicly disclosed (art. 26(2)); the controller must train and audit them (art. 26(4)); and for damages purposes a processor is deemed an employee of the controller (art. 26(7)).
8. Retention (art. 21). Data retained under other statutes must not merely be flagged; it must be stored separately from other personal data (art. 21(3)).
9. Consent / cookies (arts. 15, 22). Behavioural data collection follows Korean consent rules, which differ from the GDPR/ePrivacy model your CMP assumes.

This summary is general information, not legal advice. Korean-language statutes prevail; English renderings of PIPA are unofficial and versions in circulation are frequently out of date.

이 글은 일반적인 정보 제공 목적으로 작성됐으며 법률자문이 아닙니다. 구체적인 사안은 개별 검토가 필요합니다.

참고 자료

• 개인정보 보호법 제15조, 제21조, 제26조, 제28조의8, 제30조, 제31조, 제31조의2, 제34조, 제75조 — 국가법령정보센터(현행 법률 제20897호, 2025. 10. 2. 시행)
• 개인정보 보호법 시행령 제32조 제6항(2024. 3. 12. 신설), 제32조의3 — 국가법령정보센터(대통령령 제36340호). 제32조의3 제3항·제4항은 2025. 9. 23. 신설
• 개정 개인정보 보호법(법률 제21445호, 2026. 9. 11. 시행) 원문 — 국가법령정보센터 시행예정 법령
• 개정 전후 조문 대조는 신구조문 대조표 참조
• ⚠️ 제31조 제3항의 이사회 의결·신고 대상을 정하는 시행령은 2026년 8월 1일 기준 미공포입니다. 대상 기준과 신고 방법·절차가 확정되면 이 글을 갱신합니다