핵심 요약 개인정보를 본사로 국외 이전한 뒤에도 개인정보 보호법 제5장(정보주체의 권리 보장)은 그대로 적용되고, 그 의무자는 이전받은 본사가 아니라 이전한 한국법인입니다. 열람·정정·삭제·처리정지 요구에 대한 통지 기한은 시행령이 정한 10일이며, 본사 글로벌 절차가 전제하는 GDPR의 1개월이 아닙니다. "본사 정책상 삭제할 수 없다"는 법이 열거한 거절 사유 어디에도 해당하지 않습니다.

한국법인 고객센터로 "본사 서버에 있는 제 데이터를 지워 달라"는 요구가 들어옵니다. 데이터는 본사가 운영하는 글로벌 시스템에 있으니 자연스럽게 본사 프라이버시 팀에 티켓을 넘기게 됩니다. 문제는 본사가 GDPR 기준으로 설계된 자기 절차의 시계로 움직인다는 점입니다.

한국법의 시계와 거절 사유 목록은 그것과 다릅니다. 본사 표준 산출물이 한국에서 어긋나는 지점을 지도로 그린 글에서 전체 지형을 정리했고, 이 글은 그중 정보주체 요구 대응 한 칸을 조문 단위로 확대합니다.

국외로 이전하고 나면 그다음은 그쪽 문제인가요?

아닙니다. 개인정보 보호법(법률 제20897호, 시행 2025. 10. 2.) 제28조의8 제4항은 적법하게 국외 이전을 했더라도 이전한 개인정보처리자가 계속 지켜야 할 것을 세 갈래로 정합니다. 국외 이전과 관련한 이 법의 다른 규정, 제17조부터 제19조까지의 규정, 그리고 제5장의 규정입니다.

제5장의 제목이 바로 「정보주체의 권리 보장」입니다. 제35조(열람)부터 제39조의2(법정손해배상)까지 여덟 개 조문이 여기 들어 있고, 제36조의 정정·삭제, 제37조의 처리정지, 제39조의 손해배상책임이 모두 그 안입니다.

이 조항은 제1항 단서의 다섯 가지 이전 근거 중 무엇을 택했든 적용됩니다. 국외이전 계약에 무엇을 반영해야 하는지 정리한 글이 이 조항의 계약 층을 다뤘고, 제5장은 그때 열어 둔 자리였습니다.

의무를 지는 것은 본사인가요, 우리인가요?

준용 조문을 보면 답이 나옵니다. 제28조의11은 이전받은 자가 개인정보를 제3국으로 다시 이전하는 경우에 관하여 제28조의8 및 제28조의9를 준용한다고 정하고, 이 경우 "개인정보처리자"를 "개인정보를 이전받은 자"로 본다고 합니다.

주목할 것은 이 준용 목록에 없는 것입니다. 이전받은 자에게 준용되는 것은 제28조의8과 제28조의9뿐이고, 제5장은 목록에 없습니다. 반면 제26조 제8항은 수탁자에게 제35조, 제35조의2, 제36조, 제37조, 제37조의2, 제38조를 명시적으로 준용시키면서 "개인정보처리자"를 "수탁자"로 본다고 정합니다.

즉 법은 제5장 의무를 다른 자에게 지우고 싶을 때 그렇게 쓴 전례가 있는데, 국외의 이전받은 자에 대해서는 그 문장을 두지 않았습니다. 제5장을 준수할 의무는 제28조의8 제4항에 따라 이전한 한국법인에게 남습니다.

며칠 안에 답해야 하나요?

개인정보 보호법 시행령(대통령령 제36340호, 2026. 5. 19.)이 정한 통지 기한은 다음과 같습니다.

구분한국 시행령 기한근거 조문
열람 요구에 대한 열람통지서 통지요구받은 날부터 10일 이내시행령 제41조 제4항·제5항
열람의 연기·거절 통지(사유와 이의제기방법 포함)요구받은 날부터 10일 이내시행령 제42조 제2항
정정·삭제 조치 결과 통지요구받은 날부터 10일 이내시행령 제43조 제3항
처리정지 조치 결과 통지요구받은 날부터 10일 이내시행령 제44조 제2항

GDPR Article 12(3)은 요구를 받은 날부터 1개월 이내에 조치 내용을 알리도록 하고, 요구의 복잡성과 건수를 고려해 2개월을 추가로 연장할 수 있게 합니다. 본사 글로벌 포털의 응답 시계는 대개 이 1개월에 맞춰져 있어, 한국의 10일과는 단위 자체가 다릅니다.

기간 내에 열람할 수 없는 정당한 사유가 있으면 사유를 알리고 연기할 수 있고(법 제35조 제3항), 정정·삭제는 지체 없이 조치하되 삭제 시에는 복구 또는 재생되지 아니하도록 하여야 합니다(법 제36조 제2항·제3항).

"본사 정책상 삭제할 수 없다"는 거절 사유가 되나요?

한국법의 거절 사유는 열거 방식입니다. 열람은 법 제35조 제4항이 세 가지를 듭니다. 법률에 따라 열람이 금지되거나 제한되는 경우, 다른 사람의 생명·신체를 해할 우려가 있거나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우, 그리고 공공기관의 특정 업무에 중대한 지장을 초래하는 경우인데, 세 번째는 공공기관에만 해당합니다.

삭제는 법 제36조 제1항 단서가 다른 법령에서 그 개인정보가 수집 대상으로 명시되어 있는 경우에만 요구를 막습니다. 처리정지는 법 제37조 제2항 단서가 네 가지를 열거하고, 계약 관련 사유도 개인정보를 처리하지 아니하면 계약의 이행이 곤란한 경우로서 정보주체가 그 계약의 해지 의사를 명확하게 밝히지 아니한 경우로 좁게 쓰여 있습니다.

이 목록 어디에도 "그룹 내부 정책상 보관해야 한다", "본사 보존기간 규정에 따른다", "데이터가 국외에 있어 이행할 수 없다"에 해당하는 호가 없습니다. GDPR Article 12(5)가 두는 manifestly unfounded or excessive라는 일반 거절 사유에 대응하는 조항도 제35조 제4항과 제37조 제2항에는 없습니다. 한편 제35조의2의 전송 요구는 절차가 별도로 설계되어 있으므로 전송 요구의 기한과 거절 사유를 정리한 글에서 따로 다뤘습니다.

요구를 받는 창구는 어디에 두어야 하나요?

법 제38조 제4항은 열람등요구의 방법과 절차를 마련하고 공개하되, 그 방법과 절차가 해당 개인정보의 수집 방법과 절차보다 어렵지 아니하도록 하라고 정합니다. 시행령 제41조 제2항은 쉽게 활용할 수 있는 방법으로 제공할 것, 최소한 수집한 창구 또는 방법과 동일하게 요구할 수 있게 할 것, 홈페이지에 방법과 절차를 공개할 것을 요구합니다. 이 기준은 정정·삭제, 처리정지, 자동화된 결정에 대한 요구에도 준용됩니다.

한국어 웹사이트로 가입을 받으면서 권리 행사는 본사의 영문 글로벌 프라이버시 포털로만 가능하게 두는 구조가 바로 이 지점에서 걸립니다. 수집은 쉬운데 권리 행사가 더 어려운 배치이기 때문입니다.

여기에 더해 거절 등 조치에 불복이 있는 경우 이의를 제기할 수 있도록 필요한 절차를 마련하고 안내하는 것도 법 제38조 제5항이 정한 의무입니다.

이행할 수 있게 하려면 계약에 무엇이 있어야 하나요?

기한이 10일인데 데이터는 본사 시스템에 있다면, 한국법인이 기한을 지킬 수 있는지는 본사가 얼마나 빨리 움직여 주는지에 달립니다. 시행령 제29조의10 제1항은 국외 이전 시 보호조치로 안전성 확보 조치와 함께 개인정보 침해에 대한 고충처리 및 분쟁해결에 관한 조치를 요구하고, 같은 조 제2항은 이를 이전받는 자와 미리 협의하고 계약내용 등에 반영하도록 정합니다.

정보주체 요구가 접수되면 본사가 며칠 안에 조회·삭제·정지를 실행하고 결과를 확인해 주는지를 그룹 내 계약에 기한과 함께 적어 두는 것이 이 조항이 예정한 이행 방식입니다. 글로벌 계약서의 1개월 기준을 그대로 받아쓰면 한국의 10일 기한과 맞지 않게 됩니다.

이행하지 못하면 무엇이 문제되나요?

먼저 국외 이전 자체가 흔들릴 수 있습니다. 법 제28조의9 제1항은 제28조의8 제1항, 제4항 또는 제5항을 위반한 경우로서 국외 이전이 계속되고 있거나 추가 이전이 예상되면 보호위원회가 국외 이전의 중지를 명할 수 있다고 정합니다. 제5장 준수 의무는 제28조의8 제4항의 내용이므로 이 경로에 연결되어 있습니다. 중지 명령을 받으면 7일 이내에 이의를 제기할 수 있습니다(제28조의9 제2항).

다음으로 제5장 안에는 손해배상 조문이 함께 들어 있습니다. 제39조 제1항은 개인정보처리자가 고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다고 정하고, 제39조의2 제1항은 300만원 이하의 범위에서 상당한 금액을 손해액으로 하는 법정손해배상을 둡니다. 실제 결과는 개별 사안의 판단에 따르며, 여기서는 조문이 그렇게 정하고 있다는 사실만 적습니다.

9월 11일 개정으로 이 부분이 바뀌나요?

이 글의 뼈대는 바뀌지 않습니다. 2026년 9월 11일 시행된 개정법(법률 제21445호)에서 제35조, 제36조, 제37조, 제37조의2, 제38조, 제28조의8은 문언이 그대로이고, 바뀐 것은 제5장 안의 손해배상 조문입니다. 같은 제5장에 있는 제37조의2, 즉 본사 시스템이 내린 자동화된 결정을 한국 이용자가 거부했을 때 누가 며칠 안에 답해야 하는지는 본사 AI가 내린 결정을 한국 이용자가 거부했습니다에서 따로 다뤘습니다. 제39조 제3항과 제39조의2 제1항의 대상 사유가 현행 "분실·도난·유출·위조·변조 또는 훼손"에서 "유출등"으로 바뀌며, 개정 제39조 제3항은 고의 또는 중대한 과실인 경우 법원이 손해액의 5배를 넘지 아니하는 범위에서 배상액을 정할 수 있되 고의 또는 중대한 과실이 없음을 증명하면 그러하지 아니하다고 정합니다.

실무 체크리스트

  • 한국에서 수집한 창구 또는 방법과 동일한 수준의 권리 행사 경로가 있는지, 홈페이지에 방법과 절차가 공개되어 있는지 점검합니다(법 제38조 제4항, 시행령 제41조 제2항).
  • 열람·정정·삭제·처리정지 요구의 접수일 기준 10일 통지 기한을 내부 처리 절차에 명시합니다(시행령 제41조 제4항·제5항, 제42조 제2항, 제43조 제3항, 제44조 제2항).
  • 본사 이관 티켓의 처리 기준이 한국의 10일 기한 안에 조회·삭제·정지 실행과 결과 회신까지 끝나도록 설계되어 있는지 확인합니다(법 제28조의8 제4항, 시행령 제29조의10 제2항).
  • 거절·연기 시 사유와 이의제기방법을 함께 통지하는 서식과 이의제기 절차를 마련해 둡니다(법 제38조 제5항, 시행령 제42조 제2항·제43조 제3항·제44조 제2항).
  • 본인·대리인 확인부터 삭제 시 복구·재생 방지 조치까지 각 단계의 실행 기록을 남기고, 거절 판단은 법이 열거한 사유에만 근거한다는 기준을 문서화합니다(시행령 제46조 제1항, 법 제36조 제3항, 제35조 제4항, 제37조 제2항).

사고가 나면 이 창구와 기록이 조사에서 함께 확인되므로, 유출 사고 후 72시간 대응을 정리한 글과 같은 위기 국면의 준비이기도 합니다.

For your headquarters

Under Korea’s Personal Information Protection Act, transferring personal data to headquarters does not shift data subject rights obligations abroad. Article 28-8(4) requires the transferring Korean entity to continue complying with Chapter 5 (Guarantee of Rights of Data Subjects) even after a lawful cross-border transfer, regardless of which transfer basis was used. The mutatis mutandis provision for overseas recipients, Article 28-11, applies only Articles 28-8 and 28-9 to the recipient; it does not extend Chapter 5 to headquarters. The legal obligor for access, correction, deletion, and suspension requests therefore remains the Korean subsidiary. The response timelines are materially shorter than under the GDPR: the Enforcement Decree sets a 10-day period for notifying the data subject of access arrangements, of deferral or refusal with reasons and appeal methods, and of the results of correction, deletion, or suspension measures (Enforcement Decree Articles 41(4), 41(5), 42(2), 43(3), 44(2)), compared with the one-month period, extendable by two further months, under GDPR Article 12(3). Grounds for refusal are exhaustively enumerated, and there is no equivalent to the "manifestly unfounded or excessive" ground in GDPR Article 12(5); group retention policies or the offshore location of data are not listed grounds. Article 28-9 empowers the Commission to order suspension of cross-border transfers where Article 28-8(4) is violated. This English summary is unofficial and provided for convenience; the Korean statutory text and the Korean version of this note prevail.

More English summaries of Korean data protection law: English index.

자주 묻는 질문

본사 서버에 있는 데이터에 대한 삭제 요구도 우리가 처리해야 하나요?

그렇습니다. 법 제28조의8 제4항은 국외로 이전한 뒤에도 이전한 개인정보처리자가 제5장을 준수하도록 정하고, 삭제 요구를 다루는 제36조는 제5장에 들어 있습니다. 제28조의11의 준용 목록에는 제5장이 없으므로 이 의무가 본사로 넘어가지 않습니다. 데이터의 물리적 위치와 무관하게 요구를 접수하고 기한 내에 결과를 통지할 의무자는 한국법인입니다.

열람 요구에 답해야 하는 기한이 며칠인가요?

시행령 제41조 제4항·제5항에 따라 요구를 받은 날부터 10일 이내에 열람통지서로 알려야 하고, 즉시 열람하게 하는 경우에는 통지서 발급을 생략할 수 있습니다. 연기하거나 거절하는 경우에도 같은 10일 안에 사유와 이의제기방법을 알려야 합니다(시행령 제42조 제2항). 기간 내에 열람할 수 없는 정당한 사유가 있으면 사유를 알리고 연기할 수 있으나, 사유가 소멸하면 지체 없이 열람하게 하여야 합니다(법 제35조 제3항). GDPR의 1개월 기한을 전제로 짠 절차라면 이 기한에 맞지 않습니다.

그룹 보존정책을 이유로 거절할 수 있나요?

법이 열거한 거절 사유에 해당하지 않습니다. 삭제 요구는 다른 법령에서 그 개인정보가 수집 대상으로 명시되어 있는 경우에만 막을 수 있고(법 제36조 제1항 단서), 열람과 처리정지의 거절 사유 목록에도 내부 정책이나 본사 규정에 해당하는 호가 없습니다. 그룹 정책이 아니라 한국의 법령을 기준으로 거절 가능 여부를 판단해야 합니다. 다른 법령상 보존 의무가 실제로 있다면 그 법령을 특정해 사유와 이의제기방법과 함께 통지하는 방식이 조문이 예정한 경로입니다.

이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.

참고 자료

이 글은 조문과 공개 자료에 근거한 일반론이며, 구체적인 사안에는 개별 검토가 필요합니다.