핵심 요약: 개인정보 보호법 제28조의8 제1항 제4호는 인증을 국외 이전의 근거로 인정합니다. 다만 조건이 둘입니다. 첫째, 보호위원회가 정하여 고시하는 목록에 올라 있는 인증이어야 하고, 둘째, 그 인증을 받아야 하는 주체는 이전하는 한국법인이 아니라 개인정보를 이전받는 자입니다. 그런데 그 고시 목록인 별표 2에 등재된 인증은 2026년 8월 5일 확인 기준 ISMS-P 하나뿐입니다. 본사가 보유하는 ISO/IEC 27701, BCR, APEC CBPR은 이 목록에 없습니다. 목록에 없는 인증을 근거로 삼은 이전은 제4호의 요건을 충족하지 못하고, 근거 없는 이전은 제64조의2 제1항 제7호의 과징금 사유와 제28조의9의 이전 중지 명령이 걸리는 영역입니다.
이 글은 본사 글로벌 프라이버시 정책을 한국 법인에 그대로 적용했을 때 어긋나는 지점들을 항목별로 정리한 지도에서 국외이전 항목 하나를 따로 꺼내어 파고드는 글입니다. 그 글에서는 국외이전의 근거가 법에 열거되어 있다는 구조까지만 짚고 넘어갔는데, 여기서는 그 열거된 근거 가운데 인증 항목이 실제로 어떻게 작동하는지를 확인합니다.
제4호는 정확히 무엇을 근거로 인정하나요?
개인정보 보호법 제28조의8 제1항은 국외 이전을 원칙적으로 금지하면서, 단서의 다섯 개 호 중 하나에 해당할 때만 이전을 허용합니다. 그중 제4호의 문언은 다음과 같습니다.
개인정보를 이전받는 자가 제32조의2에 따른 개인정보 보호 인증 등 보호위원회가 정하여 고시하는 인증을 받은 경우로서 다음 각 목의 조치를 모두 한 경우 가. 개인정보 보호에 필요한 안전조치 및 정보주체 권리보장에 필요한 조치 나. 인증받은 사항을 개인정보가 이전되는 국가에서 이행하기 위하여 필요한 조치
요건은 셋으로 나뉩니다. ① 인증의 종류가 보호위원회가 고시한 것이어야 하고, ② 그 인증을 받은 주체가 개인정보를 이전받는 자여야 하며, ③ 가목과 나목의 조치를 모두 하여야 합니다.
특히 ②를 놓치기 쉽습니다. 한국법인이 국외 본사로 개인정보를 이전하는 구도라면, 조문이 인증을 요구하는 자리는 이전받는 쪽인 본사입니다. 한국법인이 ISMS-P를 받아 두었더라도 그것은 이전하는 쪽의 인증이라, 제4호 문언이 가리키는 자리와 다릅니다.
그 고시 목록에는 실제로 무엇이 올라 있나요?
어떤 인증이 제4호의 인증인지는 법률만 보아서는 알 수 없습니다. 시행령 제29조의8이 고시 절차를 정하고, 보호위원회 고시 「개인정보 국외 이전 운영 등에 관한 규정」(제2023-11호) 제14조와 제15조가 “보호위원회가 정하는 인증은 별표2와 같다"고 연결합니다.
그 별표 2의 내용 전부는 다음 한 행입니다.
| 인증명 | 인증 유효기간 | 비고 |
|---|---|---|
| ISMS-P | 해당 없음 | 법 제32조의2에 따른 개인정보 보호 인증 |
즉 목록에 있는 것은 법 제28조의8 제1항 제4호가 이미 조문 안에 예시로 적어 둔 바로 그 인증, ISMS-P 하나입니다. 조문의 “등"이라는 표현이 다른 인증이 들어올 자리를 열어 두고 있지만, 2026년 8월 5일 확인 기준 그 자리에 등재된 인증은 없습니다. 이 고시는 2023년 10월 16일 제정 이후 개정된 적이 없습니다.
본사가 가진 인증은 왜 그 자리에 들어가지 못하나요?
별표 2에 인증이 등재되려면 기업이 인증서를 제출하는 것으로는 되지 않습니다. 시행령 제29조의8 제1항은 개인정보 보호 인증 전문기관의 평가, 국외이전전문위원회의 평가, 정책협의회의 협의라는 세 단계를 모두 거치도록 정하고 있습니다. 그 위에 고시 제14조가 보호위원회의 심의·의결을 요구합니다.
평가 대상도 개별 기업이 아니라 인증 제도 자체입니다. 별표 1의 평가 기준은 합법적인 처리근거, 최소처리, 정보주체 권리, 투명성, 책임성, 안전성, 특별한 보호가 요구되는 개인정보 처리, 침해대책 및 대응, 국외 이전, 인증제도 운영의 열 개 구분으로 되어 있습니다. 등재되더라도 시행령 제29조의8 제2항에 따라 5년의 범위에서 유효기간이 붙을 수 있고, 고시 제17조는 보호 수준이 미달하면 별표 2에서 제외하는 절차까지 두고 있습니다.
이 절차를 통과해 등재된 국외 인증은 아직 없습니다. 본사가 보유한 ISO/IEC 27701, BCR, APEC CBPR, 글로벌 CBPR 모두 별표 2에 등재되어 있지 않습니다. 글로벌 CBPR 인증이 왜 국외이전 근거로 쓰이지 못하는지는 별도의 글에서 그 이유를 따로 정리해 두었습니다.
목록에 있는 인증을 받았다면 그것으로 끝나나요?
아닙니다. 제4호는 가목과 나목의 조치를 모두 할 것을 요구합니다. 나목은 인증받은 사항을 개인정보가 이전되는 국가에서 이행하기 위하여 필요한 조치이므로, 국내에서 받은 인증을 국외 이전 구간까지 연장하는 별도의 작업이 필요합니다.
여기에 제28조의8 제4항이 겹칩니다. 어느 호를 근거로 하든 시행령 제29조의10 제1항에 따라 안전성 확보 조치, 고충처리 및 분쟁해결에 관한 조치 등을 해야 합니다. 그리고 같은 조 제2항은 그 사항을 이전받는 자와 미리 협의하고 계약내용 등에 반영하도록 정하고 있어, 인증을 근거로 삼더라도 계약 작업은 남습니다.
인증 자체의 관리도 있습니다. 법 제32조의2 제2항에 따라 인증의 유효기간은 3년이고, 제4항에 따라 연 1회 이상 사후관리를 받습니다.
근거를 잘못 적어 두면 무엇이 걸리나요?
법 제64조의2 제1항 제7호는 제28조의8 제1항, 제4항 또는 제5항을 위반한 경우를 전체 매출액의 100분의 3을 초과하지 않는 범위의 과징금 부과 사유로 열거하고 있습니다. 별도로 제28조의9 제1항은 위반이 있거나 정보주체 피해 우려가 현저한 경우 국외 이전 중지를 명할 수 있도록 하고, 제2항은 명령을 받은 날부터 7일 이내의 이의제기를 정하고 있습니다. 제28조의8 제5항은 이 법을 위반하는 내용의 국외 이전 계약 체결 자체를 금지합니다.
유출 사고 등으로 조사가 시작되면, 처리방침과 내부 문서에 국외 이전의 근거를 무엇으로 적어 두었는지가 먼저 확인되는 자리가 됩니다. 유출을 인지한 직후에 무엇을 먼저 하고 무엇을 해서는 안 되는지는 초기 대응 절차를 시간순으로 정리한 글에서 확인하실 수 있습니다. 근거 조항이 문언과 맞지 않게 적혀 있으면 그 지점부터 문제가 커집니다.
그러면 무엇을 근거로 삼아야 하나요?
현재 실무에서 남는 경로는 제1호의 별도 동의, 그리고 계약 이행을 위한 처리위탁·보관에 대해 처리방침 공개 또는 정보주체 통지를 갖추는 제3호입니다. 제5호는 국가나 국제기구에 대한 보호위원회의 인정이므로 기업이 선택할 수 있는 항목이 아닙니다. 같은 제5호라도 상대 국가가 어디인지에 따라 열려 있는 방향과 막혀 있는 방향이 갈리는데, 이 점은 국가 간 이전 근거가 방향에 따라 어떻게 달라지는지 다룬 글에서 다루었습니다.
본사의 인증이 무가치하다는 뜻은 아닙니다. ISO 27701이나 BCR은 가목이 요구하는 안전조치와 정보주체 권리보장 조치를 입증하는 자료로는 의미가 있습니다. 다만 그 자체가 제4호의 이전 근거가 되는 것은 아니라는 점을 구분해야 합니다.
국외이전의 근거를 무엇으로 잡아 두었는지는 투자나 인수 실사에서 자료로 요청되는 항목이기도 한데, 실사에서 개인정보 관련 자료가 어떤 목록으로 요청되는지 정리한 글에서 그 맥락을 보실 수 있습니다.
자주 묻는 질문
우리 한국법인이 ISMS-P 인증을 받았습니다. 본사로 개인정보를 보내는 근거가 되나요?
제4호의 문언은 “개인정보를 이전받는 자가” 인증을 받은 경우를 요건으로 합니다. 한국법인이 본사로 이전하는 구도에서 이전받는 자는 본사이므로, 한국법인의 ISMS-P는 조문이 요구하는 자리의 인증이 아닙니다. 이 경우 제1호의 별도 동의나 제3호의 처리위탁·보관 경로 등 다른 근거를 검토해야 합니다.
본사가 ISO 27701이나 BCR 인증을 받았다면 제4호를 쓸 수 있나요?
제4호의 인증은 보호위원회가 고시한 인증이어야 합니다. 고시 별표 2에 등재된 인증은 2026년 8월 5일 확인 기준 ISMS-P 하나이고, ISO/IEC 27701, BCR, APEC CBPR, 글로벌 CBPR은 등재되어 있지 않습니다. 따라서 현재로서는 이들 인증을 제4호의 근거로 쓸 수 없습니다. 다만 가목의 안전조치와 권리보장 조치를 입증하는 자료로는 활용할 수 있습니다.
인증을 근거로 이전하면 계약서는 따로 준비하지 않아도 되나요?
준비해야 합니다. 법 제28조의8 제4항과 시행령 제29조의10은 어느 근거로 이전하든 안전성 확보 조치, 고충처리 및 분쟁해결에 관한 조치 등을 요구합니다. 시행령 제29조의10 제2항은 그 사항을 이전받는 자와 미리 협의하고 계약내용 등에 반영하도록 명시하고 있습니다. 또한 법 제28조의8 제5항은 이 법을 위반하는 내용의 이전 계약 체결을 금지합니다. 계약에 무엇을 어떻게 반영해야 하는지는 본사가 보내온 글로벌 DPA에 서명했습니다에서 따로 다뤘습니다.
For your headquarters
Article 28-8(1)(iv) of the Korean Personal Information Protection Act (PIPA) recognises a certification-based ground for cross-border transfers, but with two conditions. The certification must be one designated and published by the Personal Information Protection Commission (PIPC), and it must be held by the recipient of the data, not by the Korean exporting entity. The published list, Annex 2 to PIPC Notice No. 2023-11, currently contains a single entry, ISMS-P, as confirmed on 5 August 2026. ISO/IEC 27701, Binding Corporate Rules and CBPR certifications are not on that list. Adding a certification requires an evaluation of the certification scheme itself by an accredited certification body, a review by the PIPC’s cross-border transfer subcommittee, and an inter-agency consultation, followed by a PIPC resolution. Even a listed certification does not complete the analysis: the transferor must take both measures under items (a) and (b) of subparagraph (iv), and must implement the safeguards required by Article 28-8(4) and Article 29-10 of the Enforcement Decree, which must be agreed with the recipient in advance and reflected in the contract. Transfers without a valid ground are listed as grounds for administrative surcharges under Article 64-2(1)(vii) and may trigger a transfer suspension order under Article 28-9. The Korean text of the statute governs; English renderings, including this summary, are unofficial.
참고 자료
- 개인정보 보호법(법률 제20897호, 2025. 10. 2. 시행) 제28조의8, 제28조의9, 제32조의2, 제64조의2 제1항 제7호
- 개인정보 보호법 시행령(대통령령 제36340호, 2026. 5. 19. 시행) 제29조의8, 제29조의10, 제34조의6 제1항
- 개인정보보호위원회 고시 「개인정보 국외 이전 운영 등에 관한 규정」(고시 제2023-11호, 2023. 10. 16. 제정·시행) 제14조, 제15조, 제16조, 제17조, 별표 1, 별표 2
이 글은 일반적인 정보 제공을 목적으로 하며, 개별 사안에 대한 법률자문이 아닙니다.