본사 AI가 내린 결정을 한국 이용자가 거부했습니다 — 답할 의무는 한국법인에 있고, 시계는 30일입니다

핵심 요약 본사가 운영하는 자동화 시스템이 내린 결정이라도, 한국 이용자의 거부·설명 요구를 받아 처리할 의무자는 개인정보를 이전한 한국법인입니다. 국외 이전 후에도 정보주체 권리 보장에 관한 개인정보 보호법 제5장이 적용되고(제28조의8 제4항), 제37조의2에 따른 거부·설명 요구는 제38조 제1항의 열람등요구에 포함되기 때문입니다. 처리 기한은 열람의 10일이 아니라 30일이며 2회 연장할 수 있지만, 거절하려면 오히려 10일 안에 사유를 알려야 합니다(시행령 제44조의3 제5항, 보호위원회 고시 제8조). 외국계 한국법인의 법무·개인정보 책임자와 본사 DPO가 함께 확인할 내용입니다.

본사가 운영하는 채용 스크리닝, 부정거래 탐지, 이용계정 정지 시스템이 한국 이용자에게 불리한 결정을 내렸다고 해 봅시다. 이용자가 한국법인 창구로 요구를 보냅니다. 이 결정을 거부하니 사람이 다시 보고, 왜 이런 결정이 나왔는지 설명해 달라는 것입니다.

시스템도 데이터도 본사에 있으니 티켓은 자연스럽게 본사로 넘어갑니다. 그런데 한국법은 이 장면에서 한국법인을 의무자로 지목하고, 본사 기준과는 다른 시계를 겁니다. 글로벌 정책이 한국 조문과 어긋나는 지점들 중에서도 실무 부담이 큰 대목입니다.

한 가지 더 있습니다. 본사가 영문 법령본으로 한국법을 확인했다면, 2023년 3월 14일에 신설된 이 조문이 아예 보이지 않았을 수 있습니다. 영문 법령본의 시차 문제에서 다룬 그대로입니다.

본사 시스템이 내린 결정인데 왜 우리가 답해야 하나요?

법 제28조의8 제4항은 개인정보를 국외로 이전하는 경우에도 정보주체의 권리 보장에 관한 제5장을 준수하도록 정하고, 자동화된 결정을 다루는 제37조의2는 바로 그 제5장에 있습니다. 여기에 제38조 제1항이 거부·설명 등의 요구를 열람, 정정·삭제, 처리정지와 나란히 열람등요구에 포함시킵니다.

결정을 내린 시스템이 본사에 있어도, 요구를 접수하고 기한 안에 답할 쪽은 이전한 한국법인이라는 뜻입니다. 이 구조의 조문 근거는 국외 이전 뒤에도 남는 정보주체 권리와 10일 기한을 다룬 글에서 풀었으므로, 여기서는 결론만 씁니다.

우리 회사 시스템이 '자동화된 결정’에 해당하나요?

개인정보보호위원회 고시 「자동화된 결정에 대한 개인정보처리자의 조치 기준」은 해당 여부를 판단할 때 여섯 가지 사항과 별표의 예시를 모두 고려하라고 정합니다. 사람의 실질적이고 의미 있는 개입이 없었는지, 권리·의무에 영향을 미치는 최종적인 결정인지가 그 핵심입니다. 별표를 그대로 적용하면 이렇게 갈립니다.

자동 산출된 점수만 형식적으로 확인한 채용 불합격은 해당하고, 인사권자가 다른 평가요소까지 종합 검토해 최종 결정했다면 제외됩니다. 맞춤형 추천처럼 이용 여부를 정보주체가 결정하는 경우는 제외되지만, 부정행위 내역을 분석한 뒤 계약해지나 이용계정 삭제까지 시스템이 결정하면 해당합니다. 채용 시스템이라면 채용 AI 검증을 둘러싼 한국 규제의 공백도 함께 볼 문제입니다.

계약 이행에 필요한 시스템이라 거부권이 없다면 그것으로 끝인가요?

GDPR은 계약 이행이나 명시적 동의에 근거한 결정에 Article 22(1)의 권리를 적용하지 않는 대신, 22(3)에서 인적 개입, 의견 제시, 이의 제기를 최소한의 안전장치로 요구합니다. 한국법은 같은 국면, 즉 동의·법령상 의무·계약 이행(법 제15조 제1항 제1호·제2호·제4호)에 근거한 결정에서 거부권 자체를 배제합니다(제37조의2 제1항 단서). 그래서 적용하지 않는 조치나 인적 개입에 의한 재처리라는 두 갈래(시행령 제44조의3 제1항)는 이때 열리지 않습니다.

다만 남는 것이 있습니다. 제2항의 설명 요구권에는 중대한 영향 요건도 단서도 없고, 의견을 제출해 반영 여부의 검토를 요구할 권리(시행령 제44조의2 제2항 제2호)도 그대로 남습니다. 고시 제5조는 그 검토의 방법으로 개인정보를 추가·정정한 후의 재처리와 고려사항의 재검토를 듭니다.

두 법이 정반대인 것이 아닙니다. 인적 개입이 붙는 자리가 서로 다를 뿐입니다. 본사 절차가 계약 기반 결정에 요청 시 human review를 붙여 두었다면, 한국에서는 그 트리거가 없는 대신 설명과 검토가 걸립니다.

며칠 안에 답해야 하나요?

같은 열람등요구 안에서도 기한이 갈립니다.

응하겠다고 답할 때는 30일이지만, 거절하려면 정당한 사유가 없는 한 사유와 이의제기 방법·절차를 10일 안에 서면등으로 알려야 합니다. 거절이 더 빠른 시계를 탑니다.

거부에 응한다는 것은 무엇을 하는 것이고, 어디까지 거절할 수 있나요?

거부에 응한다는 것은 해당 결정을 적용하지 않는 조치 또는 인적 개입에 의한 재처리 중 하나를 하고 그 결과를 알리는 것입니다. 고시는 재처리를 하고 결과를 알렸다면 적용 정지까지는 요구하지 않습니다(고시 제3조 제1항).

거절의 정당한 사유는 정보주체가 입게 될 불이익과 처리자 또는 제3자의 이익을 비교·형량하여 개별적으로 판단합니다. 고시가 드는 고려사항에는 결정을 적용하지 않으면 계약 이행이 곤란한데 정보주체가 해지 의사를 명확하게 밝히지 않은 경우, 설명이 처리자의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우, 동일한 내용의 검토 요구가 반복된 경우가 있습니다. 어느 쪽이든 거절에는 이의제기 절차의 안내가 따라야 합니다(법 제38조 제5항).

지키지 못하면 무엇이 문제되나요?

제37조의2 위반은 과징금 사안이 아닙니다. 법 제64조의2 제1항의 과징금 목록에 이 조문이 없기 때문입니다. 대신 정당한 사유 없이 요구에 따르지 않은 경우를 제75조 제2항 제24호가 3천만원 이하의 과태료 대상으로 정합니다.

기준·절차의 공개 의무(제4항)에는 대응하는 과태료 호가 없는데, 공개 항목 자체는 처리방침에 담을 공개 항목을 정리한 글로 넘깁니다.

9월 11일 개정으로 이 부분이 바뀌나요?

바뀌지 않습니다. 2026년 9월 11일 시행된 개정법(법률 제21445호)에서 제37조의2, 제38조, 제75조 제2항 제24호의 문언은 그대로입니다. 지금 절차를 맞춰 두면 그대로 갑니다.

실무 체크리스트

• 한국 이용자를 상대로 최종 결정을 내리는 본사 시스템을 목록화하고, 고시 제6조와 별표로 해당·제외를 분류합니다.
• 거부·설명·검토 요구의 접수 창구를 개인정보를 수집한 창구와 같은 수준으로 열어 둡니다. 열람등요구는 수집보다 어렵지 않아야 합니다(법 제38조 제4항).
• 본사 에스컬레이션 절차에 30일, 2회 연장, 거절 시 10일의 시계를 심고 담당을 정합니다.
• 계약 이행 기반 시스템에는 거부가 아니라 설명·검토 요구에 대응하는 절차를 따로 설계합니다.
• 유출 대응처럼 시계가 짧은 의무는 절차를 미리 만들어야 지켜집니다. 요구가 온 뒤에 설계하면 늦습니다.

For your headquarters

Under the Personal Information Protection Act of Korea, a Korean subsidiary that transfers personal data abroad remains bound by the data subject rights chapter, including the provisions on fully automated decisions (Article 37-2(1), Article 28-8(4)). The obligated party for receiving and handling refusal or explanation requests is the Korean entity, even where the decision-making system is operated at headquarters. The response period is 30 days, extendable twice by up to 30 days each, but a refusal must be notified within 10 days together with the reasons and an appeal procedure (Enforcement Decree Article 44-3(5); PIPC Notice on Measures for Automated Decisions, issued 26 September 2024). Where a decision rests on consent, a legal obligation, or contract performance, the right to refuse does not apply, yet the right to request an explanation and a review of the data subject’s input remains. This differs from the GDPR Article 22 structure, in which contract-based decisions trigger safeguards including human intervention upon request. We suggest mapping your existing Article 22 procedures against these provisions rather than assuming equivalence. This summary is unofficial; the Korean original text prevails.

More English summaries of Korean data protection law: English index.

자주 묻는 질문

시스템이 본사에 있고 한국법인은 접수만 하는데도 우리가 답해야 하나요?

네. 개인정보를 국외로 이전한 경우에도 개인정보 보호법 제28조의8 제4항에 따라 정보주체의 권리 보장에 관한 제5장이 적용되고, 제37조의2에 따른 거부·설명 등의 요구는 제38조 제1항의 열람등요구에 포함됩니다. 요구를 받아 처리할 의무자는 개인정보를 이전한 한국법인입니다.

자동화된 결정에 대한 요구는 며칠 안에 처리해야 하나요?

요구를 받은 날부터 30일 이내에 처리하고 서면등의 방법으로 알려야 하며, 정당한 사유가 있으면 2회에 한정하여 각각 30일의 범위에서 연장할 수 있습니다. 다만 거절하려는 경우에는 정당한 사유가 없는 한 그 사유와 이의제기 방법·절차를 10일 이내에 알려야 합니다.

계약 이행에 필요한 결정이라 거부권이 없으면 아무 조치도 필요 없나요?

아닙니다. 제37조의2 제2항의 설명 요구권에는 중대한 영향 요건도 단서도 없고, 의견을 제출해 반영 여부의 검토를 요구할 권리도 남습니다. 이 요구들에도 30일의 처리 기한이 그대로 적용됩니다.

이 글은 일반적인 정보 제공을 위한 것이며, 구체적인 사안에 대한 판단은 개별 사실관계에 따른 별도의 검토가 필요합니다.

이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.

참고 자료

• 개인정보 보호법(법률 제20897호, 시행 2025. 10. 2.) 제15조, 제28조의8, 제37조의2, 제38조, 제64조의2, 제75조
• 개인정보 보호법 시행령(대통령령 제36340호) 제41조, 제42조, 제43조, 제44조, 제44조의2부터 제44조의4까지
• 개인정보보호위원회 고시 「자동화된 결정에 대한 개인정보처리자의 조치 기준」(2024. 9. 26. 발령·시행) 및 별표(국가법령정보센터 행정규칙)
• GDPR Article 22