해외 이용자를 받기 시작한 스타트업이 흔히 이렇게 처리합니다. 국문 개인정보처리방침을 번역기에 넣고, 나온 영문을 “Privacy Policy” 메뉴에 걸어 둡니다. 반대 경우도 있습니다. 글로벌 톤에 맞춰 영문 Privacy Policy를 먼저 만들고, 한국 사이트에는 그 번역본만 올려 둡니다.
둘 다 같은 함정에 빠져 있습니다. 개인정보처리방침과 Privacy Policy는 같은 문서의 두 언어 버전이 아니라, 서로 다른 법이 각자 요구하는 별개의 문서라는 점입니다.
처리방침은 ‘법정 문서’다
한국 개인정보 보호법 제30조는 개인정보처리자에게 처리방침 수립·공개 의무를 부과하면서, 들어가야 할 내용을 법으로 정해 두었습니다: 처리 목적, 처리·보유 기간, 제3자 제공, 파기 절차·방법(법정 보존 시 보존 근거·항목 포함), 처리 위탁, 정보주체와 법정대리인의 권리·행사방법, 개인정보 보호책임자 연락처, 쿠키 등 자동 수집 장치의 설치·운영·거부에 관한 사항 등입니다(제30조 제1항 각 호).
공개 방법도 정해져 있고(제2항), 처리방침을 정하지 않거나 공개하지 않으면 1천만 원 이하의 과태료 대상입니다(제75조 제4항 제8호). 그리고 눈여겨볼 조항이 하나 더 있습니다.
개인정보 보호법 제30조 ③ 개인정보 처리방침의 내용과 개인정보처리자와 정보주체 간에 체결한 계약의 내용이 다른 경우에는 정보주체에게 유리한 것을 적용한다.
처리방침은 회사 소개 페이지 같은 안내문이 아니라, 내용이 어긋나면 정보주체에게 유리한 쪽으로 효력이 정리되는 문서입니다. 국문 처리방침과 영문 Privacy Policy가 서로 다른 말을 하고 있다면, 그 불일치는 언젠가 회사에 불리한 방향으로 해석됩니다.
Privacy Policy는 ‘진출국 법’의 문서다
영문 Privacy Policy의 내용을 결정하는 것은 한국법이 아니라 이용자가 있는 법역의 법입니다. 대표적으로 EU GDPR은 처리 목적별 법적 근거(legal basis), 보관 기간 또는 그 산정 기준, EU 밖으로의 이전 시 안전장치, 정보주체의 권리(열람·삭제·이동권 등), 감독기구에 대한 불만 제기 권리 등을 고지하도록 요구합니다. 미국 주법(캘리포니아 CCPA/CPRA 등)은 또 다른 항목— 판매·공유 여부와 옵트아웃 방법 등 — 을 요구합니다.
국문 처리방침을 그대로 번역하면 어떻게 될까요. 만 14세 미만 법정대리인 동의, 주민등록번호 처리 제한 같은 한국법 고유 항목은 해외 이용자에게 무의미하게 남고, 정작 GDPR이 요구하는 법적 근거·감독기구 항목은 통째로 빠집니다. 형식은 갖췄는데 양쪽 법 어디에서도 완결되지 않은 문서가 되는 것입니다.
두 문서의 차이를 표로 보면
| 구분 | 개인정보처리방침 (국문) | Privacy Policy (영문) |
|---|---|---|
| 근거법 | 개인정보 보호법 제30조 | GDPR, CCPA/CPRA 등 이용자 소재 법역의 법 |
| 성격 | 기재사항이 법정된 의무 문서 | 진출국 법의 투명성 요구를 이행하는 문서 |
| 필수 기재의 예 | 처리 목적, 보유 기간, 파기 절차, 위탁, CPO 연락처, 자동수집장치(쿠키) | 처리의 법적 근거, 보관 기준, 역외이전 안전장치, 감독기구 불만 제기 권리 |
| 위반 시 | 미수립·미공개 시 1천만 원 이하 과태료 (제75조 제4항 제8호) | 법역별 제재 (GDPR은 고지 의무 위반도 과징금 사유) |
| 감독 방식 | 개인정보위 처리방침 평가제 (제30조의2) | 각국 감독기구 |
결론은 단순합니다. 한국 이용자를 향한 국문 처리방침과, 해외 이용자를 향한 영문 Privacy Policy를 각각의 법에 맞춰 따로 완결시키고, 두 문서가 사실관계(수집 항목·위탁처·이전 현황)에서는 일치하도록 관리하는 것입니다. 법적 프레임은 달라도, 회사가 실제로 데이터를 어떻게 다루는지에 대한 서술이 문서마다 다르면 안 됩니다.
국외이전 — 두 문서를 잇는 연결고리
글로벌 서비스가 되는 순간 거의 예외 없이 발생하는 것이 개인정보의 국외이전입니다. 해외 리전의 클라우드에 데이터를 저장하거나, 해외 본사의 분석 도구·CRM·고객지원 SaaS를 쓰는 순간 한국 이용자의 개인정보가 국경을 넘습니다.
개인정보 보호법은 국외이전을 원칙적으로 금지하고 동의, 법률 규정, 인증 등 법정 사유가 있을 때만 허용하며(제28조의8), 이전받는 자, 이전 국가, 이전 일시·방법, 이전 항목 등을 정보주체에게 알리도록 합니다. 실무적으로 이 내용은 처리방침에 국외이전 항목으로 정리됩니다. 영문 Privacy Policy 쪽에서도 GDPR의 역외이전 고지가 대칭적으로 요구되므로, 국외이전 현황표를 하나 만들어 두 문서가 공유하는 것이 관리 비용을 줄이는 방법입니다.
올해부터는 ‘평가받는 문서’이기도 합니다
처리방침은 이제 써 두면 끝나는 문서가 아닙니다. 2023년 개정법으로 도입된 처리방침 평가제(제30조의2)에 따라 개인정보위가 매년 분야를 정해 적정성(법정 기재사항을 제대로 담았는지)·가독성(알기 쉽게 썼는지)·접근성(쉽게 찾을 수 있는지)을 평가하고 개선을 권고합니다.
2026년 평가는 공공앱, 대학교, 채용플랫폼, 만남중개서비스, 해외명품브랜드, 팬덤플랫폼, 프랜차이즈 등 7대 분야 52개 서비스를 대상으로 6월 말부터 진행되고 있고, 올해는 산업별 특화지표와 개인정보 보호책임자 관리 수준 지표가 신설됐습니다. 평가 대상 분야가 해마다 바뀌며 넓어지고 있으므로, “우리 업종 차례가 오면” 손보겠다는 접근보다는 기준을 미리 맞춰 두는 편이 안전합니다.
작성 기준 자체도 최근에 갱신됐습니다. 개인정보위는 2025년 4월 개인정보 처리방침 작성지침 개정본을 공개했는데, 동의 없이 처리 가능한 항목과 동의가 필요한 항목의 구분 표시, 모바일 앱에서의 공개 위치(첫 화면 외에 설정·메뉴 영역 허용), 자동화된 결정에 관한 기재 등이 보강됐습니다. 처리방침을 몇 년째 그대로 두었다면 이 지침과의 간극부터 점검할 필요가 있습니다.
체크리스트
- 국문 처리방침이 제30조 제1항 각 호를 모두 담고 있는가 — 특히 파기 절차(법정 보존 시 보존 근거), 자동수집장치(쿠키), CPO 연락처는 누락이 잦습니다.
- 영문 Privacy Policy가 번역본이 아니라 대상 법역 기준으로 작성됐는가 — GDPR 적용 가능성이 있다면 법적 근거, 보관 기준, 역외이전, 감독기구 항목이 있는지.
- 두 문서의 사실관계가 일치하는가 — 수집 항목, 위탁처, 국외이전 현황이 문서마다 다르면 제30조 제3항의 ‘유리한 쪽 적용’과 신뢰 양쪽에서 리스크가 됩니다. 개정 시 두 문서를 함께 갱신하는 프로세스가 있는지.
- 국외이전 항목이 현실을 반영하는가 — 해외 클라우드 리전, 글로벌 SaaS 도입·변경이 처리방침에 따라오고 있는지.
- 공개 위치가 접근성 기준을 충족하는가 — 웹 첫 화면 링크, 앱은 설정·메뉴 등 쉽게 닿는 위치에 있는지.
- 2025. 4. 작성지침 개정 사항을 반영했는가 — 동의/비동의 항목 구분, 자동화된 결정 기재 등.
문서 두 장을 관리하는 일이 번거로워 보이지만, 순서를 잡으면 어렵지 않습니다. 회사의 실제 데이터 흐름(수집–이용–위탁–이전–파기)을 하나의 표로 정리하고, 그 표를 한국법의 틀(처리방침)과 진출국 법의 틀(Privacy Policy)에 각각 부어 넣는 것입니다. 데이터 흐름표가 정확하면 두 문서는 자연히 일치합니다.
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
참고 자료
- 개인정보 보호법 제30조(개인정보 처리방침의 수립 및 공개), 제30조의2(처리방침 평가), 제28조의8(국외이전), 제75조 제4항 제8호(과태료)
- 개인정보보호위원회, 개인정보 처리방침 작성지침 (2025. 4. 개정)
- 개인정보보호위원회, 2026년도 개인정보 처리방침 평가계획 (7대 분야 52개 서비스, 2026. 6. 말 평가 개시)
- EU GDPR 제13조·제14조 (정보 제공 의무)