개인정보처리방침 영어로 만들기 — 번역본이면 되는 경우와 별개의 Privacy Policy가 필요한 경우

핵심 요약. 개인정보처리방침을 영어로 만들어야 할 때 먼저 정할 것은 누가 읽을 문서인가입니다. 한국 서비스를 쓰는 외국인 이용자를 위한 것이면 국문 처리방침을 그대로 옮긴 영문 번역본이 맞고, 공식 영문본은 이 문서를 privacy policy(personal information processing policy)라고 부릅니다. 반면 해외 이용자를 향한 영문 Privacy Policy를 국문 처리방침의 번역으로 대신하는 것은 권장되지 않습니다. 그 두 문서는 같은 문서의 두 언어 버전이 아니라, 서로 다른 법이 각자 요구하는 별개의 문서이기 때문입니다. 한국 이용자를 위한 처리방침은 개인정보 보호법 제30조 제1항 각 호가 기재사항을 정한 법정 문서로, 정하지 않거나 공개하지 않으면 1천만 원 이하 과태료 대상입니다(제75조 제4항 제8호). 법은 언어를 정하지 않지만 개인정보위 작성지침은 해외사업자도 이를 한국어로 작성하도록 안내합니다. 영문 Privacy Policy의 내용은 한국법이 아니라 이용자가 있는 법역의 법이 정하며, GDPR은 처리의 법적 근거, 보관 기간, 역외이전 안전장치, 감독기구 불만 제기 권리를 고지하도록 요구합니다. 그래서 국문을 그대로 번역하면 만 14세 미만 법정대리인 동의 같은 한국법 고유 항목이 해외 이용자에게 무의미하게 남고, GDPR이 요구하는 항목은 통째로 빠진 문서가 됩니다. 두 문서를 각각의 법에 맞춰 따로 완결시키되 수집 항목·위탁처·국외이전 현황 같은 사실관계는 일치시켜야 하며, 어긋나면 적어도 한쪽은 실제 처리와 다르다는 뜻이고, 영문 문서가 계약의 일부로 쓰이면 계약과 처리방침이 다를 때 정보주체에게 유리한 쪽을 적용하는 제30조 제3항도 걸릴 수 있습니다.

해외 이용자를 받기 시작한 스타트업이 흔히 이렇게 처리합니다. 국문 개인정보처리방침을 번역기에 넣고, 나온 영문을 "Privacy Policy" 메뉴에 걸어 둡니다.

반대 경우도 있습니다. 글로벌 톤에 맞춰 영문 Privacy Policy를 먼저 만들고, 한국 사이트에는 그 번역본만 올려 둡니다.

두 방식 모두 같은 함정에 빠져 있습니다. 두 방식이 놓친 것은 개인정보처리방침과 Privacy Policy가 같은 문서의 두 언어 버전이 아니라, 서로 다른 법이 각자 요구하는 별개의 문서라는 점입니다.

개인정보처리방침을 영어로 만들어야 한다면, 어느 쪽입니까?

"개인정보처리방침을 영어로" 만들어 달라는 요청은 실무에서 두 가지 전혀 다른 일을 가리킵니다. 어느 쪽인지에 따라 문서의 내용을 정하는 법이 달라지므로, 번역기를 켜기 전에 이것부터 갈라야 합니다.

첫 번째 경우라면 이 글의 나머지는 크게 신경 쓰지 않아도 됩니다. 제30조 제1항 각 호를 빠짐없이 담은 국문 처리방침을 만들고, 그것을 정확히 옮기면 됩니다. 용어는 아래 표의 공식 영문본 표현을 쓰면 본사 법무팀이나 해외 파트너가 조문과 대조할 때 혼선이 적습니다.

영문 번역본에 빠지면 안 되는 항목은 무엇입니까?

국내 외국인 이용자를 위한 영문 번역본은 국문 정본에 적힌 항목을 빠짐없이 옮기면 됩니다. 법령이 정한 기재사항은 14개이고, 그중 일곱은 회사가 그 처리를 하는 경우에만 적습니다. 다만 본사의 Privacy Policy를 옮겨 와 고친 번역본에서는 아래 표에 「자주 비는 칸」이라고 적은 네 항목(파기 절차와 방법, 처리 위탁, 보호책임자 연락처, 안전성 확보 조치)은 본사 문서에 대응하는 제목이 없는 경우가 있어 빠지기 쉽습니다. 14개는 개인정보 보호법 제30조 제1항이 정한 10개와 같은 법 시행령 제31조 제1항이 정한 4개를 합한 것입니다.

표의 영문 제목 가운데 공식 영문본에 있는 표현은 위 용어 표를 따랐고, 그 밖의 제목은 실무에서 쓰는 제목 예시이며 공식 번역이 아닙니다. 번역 담당자는 국문 정본의 목차를 표의 왼쪽 열과 한 줄씩 대조한 다음, 영문본의 같은 자리에 대응하는 제목이 있는지, 그 아래 내용이 국문과 같은지를 확인하면 됩니다. 비고란에 「해당 시」 또는 조건을 적은 일곱 항목은 회사가 그 처리를 하는 경우에만 적는 항목입니다. 반대로 「자주 비는 칸」으로 적은 네 항목은 본사 문서에 대응하는 제목이 없는 경우가 있으므로, 번역 담당자가 국문 정본에서 직접 옮겨 와야 합니다(처리 위탁은 위탁이 있는 경우).

이 표는 항목의 대응만 보여 줍니다. 각 항목에 무엇을 어느 정도로 적어야 하는지는 개인정보처리방침 필수 기재사항 체크리스트에 정리했습니다.

영문본에 버전이 세 가지 공존한다는 점에도 따로 주의해야 합니다. 조문 번호가 판마다 달라서, 낡은 판을 보고 번역하면 번역본의 근거 조문이 현행과 어긋납니다. 어느 판이 현행인지 가리는 법은 영문 개인정보 보호법 세 버전 판별법에 정리했습니다.

두 번째 경우, 즉 해외 이용자를 향한 문서라면 번역으로는 끝나지 않습니다. 그 이유를 이 글의 나머지 부분에서 설명합니다.

개인정보처리방침에는 무엇을 반드시 담아야 하나?

한국 개인정보 보호법 제30조는 개인정보처리자에게 처리방침 수립·공개 의무를 부과하면서, 들어가야 할 내용을 법으로 정해 두었습니다: 처리 목적, 처리·보유 기간, 제3자 제공, 파기 절차·방법(법정 보존 시 보존 근거·항목 포함), 처리 위탁, 정보주체와 법정대리인의 권리·행사방법, 개인정보 보호책임자 연락처, 쿠키 등 자동 수집 장치의 설치·운영·거부에 관한 사항 등입니다(제30조 제1항 각 호).

공개 방법도 정해져 있고(제2항), 처리방침을 정하지 않거나 공개하지 않으면 1천만 원 이하의 과태료 대상입니다(제75조 제4항 제8호). 기재사항 전체 목록과 2023년 이후 추가된 항목은 개인정보처리방침 필수 기재사항 체크리스트에서 표로 정리했습니다. 그리고 눈여겨볼 조항이 하나 더 있습니다.

개인정보 보호법 제30조 ③ 개인정보 처리방침의 내용과 개인정보처리자와 정보주체 간에 체결한 계약의 내용이 다른 경우에는 정보주체에게 유리한 것을 적용한다.

처리방침은 회사 소개 페이지 같은 안내문이 아닙니다. 계약 내용과 어긋나면 정보주체에게 유리한 쪽이 적용되는 문서입니다(제30조 제3항). 국문 처리방침과 영문 Privacy Policy가 서로 다른 말을 하고 있다면, 영문 문서가 계약의 일부로 쓰이는 경우 이 조항이 걸릴 수 있고, 적어도 한쪽은 실제 처리와 다르다는 뜻이 됩니다.

해외 이용자용 Privacy Policy를 국문 처리방침의 번역으로 대신해도 되나?

해외 이용자를 향한 영문 Privacy Policy의 내용을 결정하는 것은 한국법이 아니라 이용자가 있는 법역의 법입니다. 대표적으로 EU GDPR은 처리 목적별 법적 근거(legal basis), 보관 기간 또는 그 산정 기준, EU 밖으로의 이전 시 안전장치, 정보주체의 권리(열람·삭제·이동권 등), 감독기구에 대한 불만 제기 권리 등을 고지하도록 요구합니다. 미국 주법(캘리포니아 CCPA/CPRA 등)은 또 다른 항목(판매·공유 여부와 옵트아웃 방법 등)을 요구합니다.

개인정보위도 같은 입장입니다. 해외사업자의 처리방침은 한국어로 작성하되, 다른 국가 법률을 전제로 수립한 처리방침을 단순히 번역하지 말고 보호법이 정한 내용에 따라 작성하라고 안내합니다(「해외사업자의 개인정보 보호법 적용 안내서」, 2024. 4.).

국문 처리방침을 그대로 번역하면 어떻게 될까요. 만 14세 미만 법정대리인 동의, 주민등록번호 처리 제한 같은 한국법 고유 항목은 해외 이용자에게 무의미하게 남고, 정작 GDPR이 요구하는 법적 근거·감독기구 항목은 통째로 빠집니다. 형식은 갖췄는데 양쪽 법 어디에서도 완결되지 않은 문서가 되는 것입니다. 그 법정대리인 동의조차 위치정보가 얽히면 법정대리인 동의 하나로 끝나지 않습니다. 위치정보법 제25조에서는 본인 동의와 본인 통보가 법정대리인 동의로 갈음되지 않는데, 그 구조는 자녀 위치를 부모에게 보내는 앱의 동의 문제에서 다뤘습니다. 반대 방향, 즉 EU 이용자의 데이터를 한국 서버로 가져오는 구조라면 문서 이전에 이전 자체의 적법 근거부터 확인해야 합니다. 이 문제는 EU 고객 데이터를 한국 서버로 그냥 가져와도 되나요?에서 정리했습니다.

두 문서는 구체적으로 무엇이 다른가?

표의 「국문」은 문서가 따르는 법(한국법)을 가리킵니다. 한국어 작성은 법 조문이 아니라 개인정보위 작성지침·안내서와 결정례에서 나온 기준입니다.

결론은 단순합니다. 한국 이용자를 향한 국문 처리방침과, 해외 이용자를 향한 영문 Privacy Policy를 각각의 법에 맞춰 따로 완결시키고, 두 문서가 사실관계(수집 항목·위탁처·이전 현황)에서는 일치하도록 관리하는 것입니다. 법적 프레임은 달라도, 회사가 실제로 데이터를 어떻게 다루는지에 대한 서술이 문서마다 다르면 안 됩니다.

해외 클라우드·SaaS를 쓰면 국외이전을 어떻게 적어야 하나?

글로벌 서비스로 확장하면 거의 예외 없이 발생하는 것이 개인정보의 국외이전입니다. 해외 리전의 클라우드에 데이터를 저장하거나, 해외 본사의 분석 도구·CRM·고객지원 SaaS를 쓰는 순간 한국 이용자의 개인정보가 국경을 넘습니다.

개인정보 보호법은 국외이전을 원칙적으로 금지하고 동의, 법률 규정, 인증 등 법정 사유가 있을 때만 허용합니다(제28조의8). 동의를 받을 때는 이전 항목, 이전 국가·시기·방법, 이전받는 자 등을 알려야 하고(제2항), 처리방침에는 국외이전의 근거와 그 사항을 적어야 합니다(시행령 제31조 제1항 제2호). 계약 이행을 위한 처리위탁·보관이라면 그 사항을 처리방침에 공개하는 것이 이전 근거의 요건 중 하나이기도 합니다(제28조의8 제1항 제3호 가목). 실무적으로 이 내용은 처리방침에 국외이전 항목으로 정리됩니다. 영문 Privacy Policy 쪽에서도 GDPR의 역외이전 고지가 대칭적으로 요구되므로, 국외이전 현황표를 하나 만들어 두 문서가 공유하는 것이 관리 비용을 줄이는 방법입니다.

우리 처리방침도 개인정보위 평가 대상인가?

처리방침은 이제 써 두면 끝나는 문서가 아닙니다. 2023년 개정법으로 도입된 처리방침 평가제(제30조의2)에 따라 개인정보위가 매년 분야를 정해 적정성(법정 기재사항을 제대로 담았는지)·가독성(알기 쉽게 썼는지)·접근성(쉽게 찾을 수 있는지)을 평가하고 개선을 권고합니다.

2026년 평가는 공공앱, 대학교, 채용플랫폼, 만남중개서비스, 해외명품브랜드, 팬덤플랫폼, 프랜차이즈 등 7대 분야 52개 서비스를 대상으로 6월 말부터 진행됐고(2026년 10월 16일 기준 결과 발표는 확인되지 않습니다), 올해는 산업별 특화지표와 개인정보 보호책임자 관리 수준 지표가 신설됐습니다. 개인정보위가 매년 7개 안팎의 분야를 새로 골라 평가 대상을 지정하므로 우리 업종이 언제 포함될지 미리 알기 어렵습니다. "우리 업종 차례가 오면" 손보겠다는 접근보다는 기준을 미리 맞춰 두는 편이 안전합니다.

작성 기준 자체도 최근 2년 연속 갱신됐습니다. 최신본은 개인정보위가 2026년 4월 24일 공개한 「2026 개인정보 처리방침 작성지침」이고, 생성형 AI 서비스에 관한 부록 신설을 비롯해 네 가지가 바뀌었습니다. 처리방침을 몇 년째 그대로 두었다면 이 개정과의 간극부터 점검할 필요가 있습니다. 항목별 내용과 2023년 이후 늘어난 필수 기재사항 전체는 개인정보처리방침 필수 기재사항 체크리스트에 표로 정리해 두었으므로 여기서는 반복하지 않겠습니다.

국문·영문 두 문서를 관리할 때 무엇을 점검해야 하나?

1. 국문 처리방침이 제30조 제1항 각 호를 모두 담고 있는가. 특히 파기 절차(법정 보존 시 보존 근거), 자동수집장치(쿠키), CPO 연락처는 누락이 잦습니다.
2. 영문 문서가 누구를 위한 것인지 정해져 있는가. 국내 외국인 이용자용이면 제30조 항목의 정확한 번역본인지, 해외 이용자용이면 번역본이 아니라 대상 법역 기준으로 작성됐는지. GDPR 적용 가능성이 있다면 법적 근거, 보관 기준, 역외이전, 감독기구 항목이 있는지.
3. 두 문서의 사실관계가 일치하는가. 수집 항목, 위탁처, 국외이전 현황이 문서마다 다르면 적어도 한쪽은 실제 처리와 다르고, 영문 문서가 계약의 일부로 쓰이면 제30조 제3항(계약과 다르면 정보주체에게 유리한 쪽 적용)도 걸릴 수 있습니다. 개정 시 두 문서를 함께 갱신하는 프로세스가 있는지.
4. 국외이전 항목이 현실을 반영하는가. 해외 클라우드 리전, 글로벌 SaaS 도입·변경이 처리방침에 따라오고 있는지.
5. 공개 위치가 접근성 기준을 충족하는가. 웹 첫 화면 링크, 앱은 설정·메뉴 등 쉽게 닿는 위치에 있는지.
6. 작성지침 개정 사항을 반영했는가. 항목별 점검표는 필수 기재사항 체크리스트를 그대로 쓰시면 됩니다.

문서 두 장을 관리하는 일이 번거로워 보이지만, 순서를 잡으면 어렵지 않습니다. 회사의 실제 데이터 흐름(수집·이용·위탁·이전·파기)을 하나의 표로 정리하고, 그 표를 한국법의 틀(처리방침)과 진출국 법의 틀(Privacy Policy)에 각각 옮겨 적는 것입니다. 데이터 흐름표가 정확하면 두 문서는 자연히 일치합니다.

두 문서가 서로 다른 말을 하고 있다는 사실이 드러나는 시점은 대개 평시가 아니라 유출 사고 뒤입니다. 그 첫 72시간에 해야 할 일은 개인정보 유출 인지 후 72시간 안에 해야 할 일과 하면 안 되는 일에 정리했습니다.

처리방침 외에 본사 문서가 한국법과 어긋나는 지점은 더 있습니다. CPO 지정, 국내대리인, 수탁자 공개를 포함한 아홉 개는 본사 정책을 한국 법인에 옮겼을 때 다시 봐야 할 아홉 지점에 모아 두었습니다.

자주 묻는 질문

Q. 국문 개인정보처리방침을 영어로 번역해서 Privacy Policy로 써도 되나요?

독자가 누구인지에 따라 다릅니다. 한국 서비스를 쓰는 외국인 이용자를 위한 것이면 번역본이 맞습니다. 국문 처리방침이 개인정보 보호법 제30조 제1항 각 호를 담고 있으면 그것을 정확히 옮기고 국문이 정본임을 적어 두면 됩니다. 해외 이용자를 향한 Privacy Policy라면 권장되지 않습니다. 그 문서의 내용은 이용자가 있는 법역의 법(GDPR, 캘리포니아 CCPA/CPRA 등)이 정하므로, 번역만 하면 만 14세 미만 법정대리인 동의처럼 한국법 고유 항목이 해외 이용자에게 무의미하게 남고, GDPR이 요구하는 처리의 법적 근거·감독기구 불만 제기 권리 항목은 통째로 빠집니다.

Q. 국문 처리방침과 영문 Privacy Policy의 내용이 다르면 어떤 문제가 생기나요?

국문 처리방침과 영문 Privacy Policy 사이의 불일치를 직접 정한 조문은 없습니다. 다만 개인정보 보호법 제30조 제3항은 처리방침의 내용과 정보주체와 체결한 계약의 내용이 다르면 정보주체에게 유리한 것을 적용하도록 정하므로, 영문 문서가 약관 등 계약의 일부로 쓰이는 경우에는 이 조항이 걸릴 수 있습니다. 또 어느 한쪽이 실제 처리와 다르면 처리방침의 공개 내용이 사실과 다른 문제가 됩니다. 법적 프레임은 달라도 수집 항목·위탁처·국외이전 현황 같은 사실관계 서술은 일치시켜야 합니다.

Q. 영문 Privacy Policy만 두고 국문 처리방침을 따로 만들지 않아도 되나요?

영문 문서 하나로 두는 것은 어렵다고 보는 편이 안전합니다. 개인정보 보호법 제30조는 처리방침의 언어를 정하지 않지만, 제2항은 정보주체가 쉽게 확인할 수 있도록 공개하라고 정합니다. 개인정보위는 「개인정보 처리방침 작성지침」(2026. 4.)과 「해외사업자의 개인정보 보호법 적용 안내서」(2024. 4.)에서 보호법이 적용되는 해외사업자는 처리방침을 한국어로 작성해야 한다고 안내합니다. 딥시크 사전 실태점검 건(제2025-009-026호)에서는 한국어 처리방침을 공개하지 않은 것과 일부 기재사항이 빠진 것을 함께 제30조 제1항·제2항 위반으로 보았고, 조치는 과태료가 아니라 시정권고였습니다. 게다가 GDPR 기준으로 만든 Privacy Policy는 제30조 제1항 각 호를 담지 않은 경우가 많습니다. 한국 이용자를 위한 한국어 처리방침을 따로 두고, 수집 항목·위탁처·국외이전 현황 같은 사실관계는 영문 문서와 일치시켜야 합니다.

Q. 개인정보처리방침은 영어로 뭐라고 하나요?

개인정보 보호법 공식 영문본(법률 제20897호 영역)은 제30조의 제목을 Establishment and disclosure of Privacy Policy로 옮기고, 본문에서 personal information processing policy를 정의한 뒤 이를 privacy policy로 줄여 부릅니다. 함께 쓰이는 용어는 개인정보처리자 personal information controller, 정보주체 data subject, 개인정보 보호책임자 privacy officer, 처리 위탁 entrustment of work, 국외이전 cross-border transfer of personal information입니다. 본사나 해외 파트너가 조문과 대조할 문서라면 이 표현을 그대로 쓰는 편이 혼선이 적습니다.

Q. 국외이전을 하면 처리방침에 무엇을 더 적어야 하나요?

시행령 제31조 제1항 제2호는 국외 이전의 근거와 함께 법 제28조의8 제2항 각 호의 사항을 적도록 정합니다. 그 다섯 가지는 이전되는 개인정보 항목, 개인정보가 이전되는 국가·시기 및 방법, 이전받는 자의 성명(법인인 경우 명칭과 연락처), 이전받는 자의 이용목적과 보유·이용 기간, 그리고 이전을 거부하는 방법·절차와 거부의 효과입니다.

Q. 영문 번역본에는 국문 처리방침의 어떤 항목을 옮겨야 하나요?

국문 정본에 적힌 항목을 빠짐없이 옮기면 됩니다. 기재사항은 개인정보 보호법 제30조 제1항이 정한 10개와 같은 법 시행령 제31조 제1항이 정한 4개이고, 제3자 제공이나 처리 위탁처럼 회사가 그 처리를 하는 경우에만 적는 항목이 섞여 있습니다. 본사의 Privacy Policy를 옮겨 와 고친 번역본에서는 파기 절차와 방법, 처리 위탁, 보호책임자 연락처, 안전성 확보 조치가 자주 빠지므로 이 네 항목은 국문 정본과 따로 대조하는 편이 안전합니다.

이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.

참고 자료

• 개인정보 보호법 제30조(개인정보 처리방침의 수립 및 공개), 제30조의2(처리방침 평가), 제28조의8(국외이전), 제75조 제4항 제8호(과태료) — 국가법령정보센터
• 개인정보 보호법 시행령 — 국가법령정보센터
• Personal Information Protection Act(법률 제20897호 영문본) — 한국법제연구원 영문법령(2026. 8. 24. 확인). 용어 대응표의 영문 표현은 이 판의 조문 제목·정의 규정에서 옮겼습니다
• 개인정보 처리방침 작성지침(2026. 4. 개정) — 개인정보보호위원회 안내서
• 개인정보 처리방침 평가, 국민 눈높이에서 더 꼼꼼히 본다(2026년도 평가계획) — 개인정보보호위원회 보도자료
• 「해외사업자의 개인정보 보호법 적용 안내서」(2024. 4.) — 개인정보보호위원회. 처리방침의 한국어 작성·단순 번역 금지 안내
• 딥시크 사전 실태점검 결과(제2025-009-026호) — 개인정보보호위원회. 한국어 처리방침 미공개·기재 누락을 제30조 제1항·제2항 위반으로 판단, 시정권고
• EU 일반 개인정보 보호 규정(GDPR, Regulation (EU) 2016/679) 제13조·제14조(정보 제공 의무) — EUR-Lex

2026년 10월 12일 수정: 「영문 번역본에 빠지면 안 되는 항목은 무엇입니까?」 소절과 자주 묻는 질문 1문항을 추가했습니다. 개인정보 보호법 제30조 제1항과 같은 법 시행령 제31조 제1항이 정한 기재사항 14개를 영문본 제목 예시와 나란히 놓은 표이며, 이 글의 결론은 달라지지 않았습니다.