핵심 요약. 한국 개인정보 보호법에도 정당한 이익 근거가 있습니다(제15조 제1항 제6호). 다만 GDPR과 두 가지가 다릅니다. 첫째, 조문이 명백하게 정보주체의 권리보다 우선할 것과 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 않을 것을 함께 요구합니다. 둘째, 한국법은 근거 목록을 수집·이용(제15조)과 제3자 제공(제17조)으로 나눠 두었고 제공 쪽이 수집 쪽을 그대로 옮기지 않습니다. 제17조 제1항 제2호는 제15조 제1항 중 제2호·제3호·제5호부터 제7호까지만 인용하고 계약 이행을 정한 제4호를 빼 두었습니다. 목적을 벗어나는 이용·제공은 제18조가 원칙적으로 금지하고, 민간에 열린 예외는 좁습니다. 본사 LIA 문서를 그대로 근거로 옮겨 오기 전에 이 구조를 먼저 확인해야 합니다.
외국계 한국법인에서 개인정보 처리 근거를 정리하다 보면 본사에서 받은 문서가 하나 나옵니다. Legitimate Interests Assessment, 줄여서 LIA입니다.
목적을 적고, 필요성을 적고, 정보주체의 권리와 균형을 따진 문서입니다. GDPR 제6조 제1항 (f)를 근거로 처리하려면 남겨 두어야 하는 기록이라 잘 만들어져 있습니다.
여기서 나오는 질문이 “한국에도 이 근거가 있느냐"입니다. 있습니다. 그런데 있다는 답만으로는 부족합니다.
한국법은 근거 목록을 두 군데에 나눠 두었습니다
GDPR은 제6조에 처리 근거를 한 번 열거하고 그것을 처리(processing) 전반에 적용합니다. 수집이든 이용이든 제3자 공개든 같은 목록을 씁니다.
한국법은 다릅니다.
- 제15조 제1항. 수집·이용의 근거 일곱 가지
- 제17조 제1항. 제3자 제공의 근거 두 가지
- 제18조. 위 범위를 벗어나는 이용·제공의 금지와 예외
행위별로 목록이 따로 있고, 그 목록이 서로 완전히 겹치지 않는다는 점이 실무에서 문제가 됩니다.
정당한 이익 근거는 있습니다. 요건이 두 겹입니다
법 제15조 제1항 제6호가 그것입니다.
개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우. 이 경우 개인정보처리자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우에 한한다.
앞부분은 GDPR 제6조 제1항 (f)와 비슷하게 읽힙니다. 차이는 두 군데입니다.
하나는 “명백하게“입니다. GDPR은 정보주체의 이익이나 기본권이 컨트롤러의 이익에 우선하는 경우를 제외한다는 방식으로 쓰여 있어, 균형이 팽팽할 때 어느 쪽으로 기우는지가 문언상 다릅니다. 한국 조문은 처리자의 이익이 명백하게 우선할 것을 요구합니다.
다른 하나는 후단입니다. 상당한 관련성과 합리적 범위라는 조건이 따로 붙습니다. 균형 판단을 통과했다는 것만으로 끝나지 않고, 그 처리가 애초의 정당한 이익과 얼마나 붙어 있는지를 다시 봅니다.
본사 LIA가 이 두 겹을 이미 검토했다면 그대로 쓸 수 있는 부분이 많습니다. 다만 GDPR 균형 테스트만 기록돼 있다면 한국 조문의 후단에 대응하는 판단이 비어 있을 수 있습니다.
제3자 제공은 목록이 다릅니다
여기가 설계를 가장 자주 깨는 자리입니다.
법 제17조 제1항은 제공의 근거를 두 가지로 정합니다.
- 정보주체의 동의를 받은 경우
- 제15조 제1항 제2호, 제3호 및 제5호부터 제7호까지에 따라 개인정보를 수집한 목적 범위에서 개인정보를 제공하는 경우
제2호가 인용하는 범위를 펼쳐 보면 제15조 제1항의 제2호(법률 규정·법령상 의무), 제3호(공공기관 소관 업무), 제5호(급박한 생명·신체·재산), 제6호(정당한 이익), 제7호(공중위생 등 공공의 안전)입니다.
빠진 것이 제4호입니다. 정보주체와 체결한 계약을 이행하거나 계약 체결 과정에서 요청에 따른 조치를 하기 위해 필요한 경우, 즉 계약 이행 근거입니다.
GDPR에서는 계약 필요성(제6조 제1항 (b))이 제3자에 대한 공개까지 덮는 설계가 흔합니다. 결제 대행사에 카드 정보를 넘기거나 배송사에 주소를 넘기는 흐름을 계약 이행으로 설명하는 방식입니다. 한국법의 제공 목록은 그 경로를 열어 두지 않았습니다.
정당한 이익은 반대로 들어 있습니다. 제6호가 인용 범위 안에 있으므로, 정당한 이익으로 수집한 정보를 수집한 목적 범위 안에서 제공하는 것은 가능합니다. 다만 그 범위를 벗어나면 다음 조문으로 넘어갑니다.
⚠️ 여기서 먼저 구분할 것이 있습니다. 처리를 남에게 맡기는 것은 제공이 아니라 위탁일 수 있습니다. 클라우드나 결제 대행처럼 우리 목적을 위해 대신 처리하게 하는 구조는 제26조의 위탁 트랙이고 요건이 다릅니다. 제공인지 위탁인지를 먼저 가른 다음 근거를 찾는 순서여야 합니다. 위탁 쪽 요건은 수탁사 직원의 실수로 개인정보가 유출됐을 때에서 다뤘습니다.
목적을 벗어나면 원칙이 금지입니다
법 제18조 제1항은 제15조 제1항의 범위를 초과해 이용하거나 제17조 제1항·제28조의8 제1항의 범위를 초과해 제3자에게 제공해서는 안 된다고 정합니다.
제2항이 예외를 열거하는데, 민간 기업에 열린 것은 앞쪽 세 개 정도입니다. 별도의 동의를 받은 경우, 다른 법률에 특별한 규정이 있는 경우, 명백히 정보주체나 제3자의 급박한 생명·신체·재산의 이익을 위하여 필요하다고 인정되는 경우입니다. 제5호부터 제9호까지는 공공기관으로 한정한다는 단서가 붙어 있습니다.
그리고 예외에 해당하더라도 “정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때"는 제외됩니다.
GDPR에는 목적 제한(제5조 제1항 (b))이 원칙으로 있고 양립가능성 판단(제6조 제4항)이 뒤따르는데, 한국법은 그 자리를 금지 조문과 열거된 예외로 채웠습니다. 판단의 여지가 그만큼 좁습니다.
추가적인 이용·제공이라는 좁은 통로
동의 없이 목적을 조금 넓힐 수 있는 경로가 하나 있습니다.
제15조 제3항은 당초 수집 목적과 합리적으로 관련된 범위에서 정보주체에게 불이익이 발생하는지, 암호화 등 안전성 확보 조치를 했는지를 고려해 동의 없이 이용할 수 있게 하고, 제17조 제4항이 제공에 대해 같은 구조를 둡니다.
시행령 제14조의2 제1항이 고려 사항 네 가지를 정합니다.
- 당초 수집 목적과 관련성이 있는지
- 수집한 정황이나 처리 관행에 비추어 추가적인 이용·제공에 대한 예측 가능성이 있는지
- 정보주체의 이익을 부당하게 침해하는지
- 가명처리 또는 암호화 등 안전성 확보에 필요한 조치를 하였는지
GDPR 제6조 제4항의 양립가능성 판단과 겹치는 부분이 있어, 본사가 그 판단을 문서로 남겨 두었다면 재사용할 수 있는 재료입니다. 다만 네 번째 항목처럼 안전조치 이행 여부를 근거의 요소로 삼는 구성은 한국 쪽 특징이므로 그에 맞춘 기록이 필요합니다.
지금 확인할 것
행위를 먼저 나눕니다. 하나의 데이터 흐름을 수집·이용, 제3자 제공, 위탁, 국외이전으로 갈라 놓고 각각의 근거를 찾습니다. 한국법은 목록이 행위별로 따로 있으므로 흐름 단위로 “이건 legitimate interest"라고 붙여 두면 어느 지점에서 근거가 비는지 보이지 않습니다.
계약 근거로 제3자에게 넘기는 흐름이 있는지 봅니다. 제17조 제1항 제2호가 제15조 제1항 제4호를 인용하지 않으므로, 계약 이행만으로 제공을 설명하고 있었다면 동의를 받거나 위탁 구조로 정리하거나 제18조 제2항을 검토해야 합니다.
LIA 문서에 후단 요건을 더합니다. 상당한 관련성과 합리적 범위에 대한 판단이 본사 문서에 없다면 한국용으로 보완합니다.
목적 외 이용이 관행으로 굳어진 항목을 찾습니다. 마케팅 분석이나 신규 서비스 개발처럼 처음 수집 목적과 거리가 있는 이용이 있으면, 제15조 제3항의 통로에 들어가는지 아니면 별도 동의가 필요한지를 판단해 기록으로 남깁니다.
본사 정책이 한국에서 어긋나는 지점 전체는 본사 정책을 한국 법인에 옮겼을 때 다시 봐야 할 아홉 지점에 모아 두었습니다.
자주 묻는 질문
Q. 한국에는 legitimate interest에 해당하는 처리 근거가 없나요?
있습니다. 개인정보 보호법 제15조 제1항 제6호가 “개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우"를 두고 있습니다. 다만 같은 호 후단이 “개인정보처리자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우에 한한다"는 조건을 덧붙입니다. 명백하게 우선할 것과 합리적 범위를 넘지 않을 것을 함께 요구하는 구조라, GDPR 제6조 제1항 (f)의 균형 판단을 그대로 옮겨 쓰기는 어렵습니다.
Q. 정당한 이익으로 수집한 개인정보를 제휴사에 제공해도 되나요?
제3자 제공은 목록을 따로 봐야 합니다. 법 제17조 제1항은 제공의 근거를 두 가지로 정하는데, 제1호가 정보주체의 동의이고 제2호가 “제15조 제1항 제2호, 제3호 및 제5호부터 제7호까지에 따라 개인정보를 수집한 목적 범위에서 제공하는 경우"입니다. 정당한 이익(제15조 제1항 제6호)은 제2호가 인용하는 범위에 들어 있으므로, 그 근거로 수집한 정보를 수집 목적 범위 안에서 제공하는 것은 가능합니다. 다만 “수집한 목적 범위"를 벗어나면 제18조의 목적 외 제공 문제로 넘어갑니다.
Q. 계약 이행을 근거로 수집한 정보는 제3자에게 줄 수 있나요?
그 근거만으로는 어렵습니다. 제17조 제1항 제2호가 인용하는 것은 제15조 제1항 제2호·제3호·제5호부터 제7호까지이고, 계약 이행을 정한 제4호는 빠져 있습니다. GDPR에서는 계약 필요성이 제3자에 대한 공개까지 덮는 설계가 흔하지만 한국법의 제공 목록은 그렇게 되어 있지 않습니다. 동의를 받거나 제18조 제2항의 예외에 해당하는지를 따로 봐야 하고, 처리를 남에게 맡기는 것이라면 제공이 아니라 위탁(제26조) 트랙인지부터 구분해야 합니다.
For your global headquarters — English summary
본사 법무·DPO에 그대로 전달하실 수 있도록 붙여 둡니다.
Korea: your GDPR lawful-basis mapping does not transfer one-for-one.
1. Legitimate interest exists, with an added limb. PIPA art. 15(1)(6) permits processing where necessary for the controller’s legitimate interests and where those interests manifestly override the data subject’s rights. A second sentence adds that the processing must be substantially related to those interests and must not exceed a reasonable scope. A GDPR balancing test alone may not evidence the second limb.
2. Korea splits the basis lists by activity. Art. 15(1) lists seven bases for collection and use. Art. 17(1) lists only two for provision to third parties: consent, or provision within the original purpose where collection relied on art. 15(1) items 2, 3, and 5 through 7.
3. Contract necessity is absent from the third-party list. Art. 15(1)(4) — performance of a contract — is not among the items cross-referenced by art. 17(1)(2). Designs that rely on GDPR art. 6(1)(b) to justify disclosure to third parties have no direct Korean equivalent. Consider consent, the art. 18(2) exceptions, or whether the arrangement is in fact entrustment under art. 26 rather than provision.
4. Purpose-incompatible use is prohibited, not balanced. Art. 18(1) prohibits use or provision beyond the art. 15(1) / art. 17(1) scope. Art. 18(2) sets out exceptions, but items 5 through 9 are limited to public institutions; private controllers realistically have separate consent, another statute, or urgent vital interests. Any exception is unavailable where it would unfairly infringe the interests of the data subject or a third party.
5. There is a narrow “further use” route. Arts. 15(3) and 17(4) allow use or provision without consent within a scope reasonably related to the original purpose. Enforcement Decree art. 14의2(1) lists four factors: relatedness to the original purpose; foreseeability given the collection context and processing practice; whether the data subject’s interests are unfairly infringed; and whether safeguards such as pseudonymisation or encryption were applied.
This summary is general information, not legal advice. The Korean text of the statute prevails.
이 글은 일반적인 정보 제공 목적으로 작성됐으며 법률자문이 아닙니다. 구체적인 사안은 개별 검토가 필요합니다.
참고 자료
- 개인정보 보호법 제15조, 제17조, 제18조, 제26조 — 국가법령정보센터(현행 법률 제20897호). 제15조·제17조·제18조는 2026년 9월 11일 개정법(법률 제21445호)에서도 문언 변경 없음을 조문 대조로 확인
- 개인정보 보호법 시행령 제14조의2 — 국가법령정보센터(대통령령 제36340호)
- GDPR 제5조 제1항 (b), 제6조 제1항 (b)·(f), 제6조 제4항 — 대조 목적으로만 인용했으며 원문 해석은 다루지 않았습니다