개인정보처리방침 영어로 만들기 — 번역본이면 되는 경우와 별개의 Privacy Policy가 필요한 경우

핵심 요약. 개인정보처리방침을 영어로 만들어야 할 때 먼저 정할 것은 누가 읽을 문서인가입니다. 한국 서비스를 쓰는 외국인 이용자를 위한 것이면 국문 처리방침을 그대로 옮긴 영문 번역본이 맞고, 공식 영문본은 이 문서를 privacy policy(personal information processing policy)라고 부릅니다. 반면 해외 이용자를 향한 영문 Privacy Policy를 국문 처리방침의 번역으로 대신하는 것은 권장되지 않습니다. 그 두 문서는 같은 문서의 두 언어 버전이 아니라, 서로 다른 법이 각자 요구하는 별개의 문서이기 때문입니다. 국문 처리방침은 개인정보 보호법 제30조 제1항 각 호가 기재사항을 정한 법정 문서로, 수립·공개하지 않으면 1천만 원 이하 과태료 대상입니다(제75조 제4항 제8호). 영문 Privacy Policy의 내용은 한국법이 아니라 이용자가 있는 법역의 법이 정하며, GDPR은 처리의 법적 근거, 보관 기간, 역외이전 안전장치, 감독기구 불만 제기 권리를 고지하도록 요구합니다. 그래서 국문을 그대로 번역하면 만 14세 미만 법정대리인 동의 같은 한국법 고유 항목이 해외 이용자에게 무의미하게 남고, GDPR이 요구하는 항목은 통째로 빠진 문서가 됩니다. 두 문서를 각각의 법에 맞춰 따로 완결시키되 수집 항목·위탁처·국외이전 현황 같은 사실관계는 일치시켜야 하며, 어긋나면 제30조 제3항에 따라 정보주체에게 유리한 쪽으로 효력이 정리됩니다.

해외 이용자를 받기 시작한 스타트업이 흔히 이렇게 처리합니다. 국문 개인정보처리방침을 번역기에 넣고, 나온 영문을 "Privacy Policy" 메뉴에 걸어 둡니다.

반대 경우도 있습니다. 글로벌 톤에 맞춰 영문 Privacy Policy를 먼저 만들고, 한국 사이트에는 그 번역본만 올려 둡니다.

둘 다 같은 함정에 빠져 있습니다. 개인정보처리방침과 Privacy Policy는 같은 문서의 두 언어 버전이 아니라, 서로 다른 법이 각자 요구하는 별개의 문서라는 점입니다.

개인정보처리방침을 영어로 만들어야 한다면, 어느 쪽입니까?

"개인정보처리방침을 영어로" 만들어 달라는 요청은 실무에서 두 가지 전혀 다른 일을 가리킵니다. 어느 쪽인지에 따라 문서의 내용을 정하는 법이 달라지므로, 번역기를 켜기 전에 이것부터 갈라야 합니다.

첫 번째 경우라면 이 글의 나머지는 크게 신경 쓰지 않아도 됩니다. 제30조 제1항 각 호를 빠짐없이 담은 국문 처리방침을 만들고, 그것을 정확히 옮기면 됩니다. 용어는 아래 표의 공식 영문본 표현을 쓰는 것이 본사 법무팀이나 해외 파트너가 조문과 대조할 때 혼선이 적습니다.

영문본에 버전이 세 가지 공존한다는 점은 따로 주의해야 합니다. 조문 번호가 판마다 달라서, 낡은 판을 보고 번역하면 번역본의 근거 조문이 현행과 어긋납니다. 어느 판이 현행인지 가리는 법은 영문 개인정보 보호법 세 버전 판별법에 정리했습니다.

두 번째 경우, 즉 해외 이용자를 향한 문서라면 번역으로는 끝나지 않습니다. 그 이유가 이 글의 나머지입니다.

개인정보처리방침에는 무엇을 반드시 담아야 하나?

한국 개인정보 보호법 제30조는 개인정보처리자에게 처리방침 수립·공개 의무를 부과하면서, 들어가야 할 내용을 법으로 정해 두었습니다: 처리 목적, 처리·보유 기간, 제3자 제공, 파기 절차·방법(법정 보존 시 보존 근거·항목 포함), 처리 위탁, 정보주체와 법정대리인의 권리·행사방법, 개인정보 보호책임자 연락처, 쿠키 등 자동 수집 장치의 설치·운영·거부에 관한 사항 등입니다(제30조 제1항 각 호).

공개 방법도 정해져 있고(제2항), 처리방침을 정하지 않거나 공개하지 않으면 1천만 원 이하의 과태료 대상입니다(제75조 제4항 제8호). 기재사항 전체 목록과 2023년 이후 추가된 항목은 개인정보처리방침 필수 기재사항 체크리스트에서 표로 정리했습니다. 그리고 눈여겨볼 조항이 하나 더 있습니다.

개인정보 보호법 제30조 ③ 개인정보 처리방침의 내용과 개인정보처리자와 정보주체 간에 체결한 계약의 내용이 다른 경우에는 정보주체에게 유리한 것을 적용한다.

처리방침은 회사 소개 페이지 같은 안내문이 아니라, 내용이 어긋나면 정보주체에게 유리한 쪽으로 효력이 정리되는 문서입니다. 국문 처리방침과 영문 Privacy Policy가 서로 다른 말을 하고 있다면, 그 불일치는 언젠가 회사에 불리한 방향으로 해석됩니다.

해외 이용자용 Privacy Policy를 국문 처리방침의 번역으로 대신해도 되나?

해외 이용자를 향한 영문 Privacy Policy의 내용을 결정하는 것은 한국법이 아니라 이용자가 있는 법역의 법입니다. 대표적으로 EU GDPR은 처리 목적별 법적 근거(legal basis), 보관 기간 또는 그 산정 기준, EU 밖으로의 이전 시 안전장치, 정보주체의 권리(열람·삭제·이동권 등), 감독기구에 대한 불만 제기 권리 등을 고지하도록 요구합니다. 미국 주법(캘리포니아 CCPA/CPRA 등)은 또 다른 항목(판매·공유 여부와 옵트아웃 방법 등)을 요구합니다.

국문 처리방침을 그대로 번역하면 어떻게 될까요. 만 14세 미만 법정대리인 동의(약관 한 줄로는 해결되지 않는 아동 개인정보 문제에서 따로 다뤘습니다), 주민등록번호 처리 제한 같은 한국법 고유 항목은 해외 이용자에게 무의미하게 남고, 정작 GDPR이 요구하는 법적 근거·감독기구 항목은 통째로 빠집니다. 그 법정대리인 동의조차 위치정보가 얽히면 하나로 끝나지 않습니다. 위치정보법 제25조에서는 본인 동의와 본인 통보가 법정대리인 동의로 갈음되지 않는데, 그 구조는 자녀 위치를 부모에게 보내는 앱의 동의 문제에서 다뤘습니다. 형식은 갖췄는데 양쪽 법 어디에서도 완결되지 않은 문서가 되는 것입니다. 반대 방향, 즉 EU 이용자의 데이터를 한국 서버로 가져오는 구조라면 문서 이전에 이전 자체의 적법 근거부터 확인해야 하는데, 이는 EU 고객 데이터를 한국 서버로 그냥 가져와도 되나요?에서 정리했습니다.

두 문서는 구체적으로 무엇이 다른가?

결론은 단순합니다. 한국 이용자를 향한 국문 처리방침과, 해외 이용자를 향한 영문 Privacy Policy를 각각의 법에 맞춰 따로 완결시키고, 두 문서가 사실관계(수집 항목·위탁처·이전 현황)에서는 일치하도록 관리하는 것입니다. 법적 프레임은 달라도, 회사가 실제로 데이터를 어떻게 다루는지에 대한 서술이 문서마다 다르면 안 됩니다.

해외 클라우드·SaaS를 쓰면 국외이전을 어떻게 적어야 하나?

글로벌 서비스가 되는 순간 거의 예외 없이 발생하는 것이 개인정보의 국외이전입니다. 해외 리전의 클라우드에 데이터를 저장하거나, 해외 본사의 분석 도구·CRM·고객지원 SaaS를 쓰는 순간 한국 이용자의 개인정보가 국경을 넘습니다.

개인정보 보호법은 국외이전을 원칙적으로 금지하고 동의, 법률 규정, 인증 등 법정 사유가 있을 때만 허용하며(제28조의8), 이전받는 자, 이전 국가, 이전 일시·방법, 이전 항목 등을 정보주체에게 알리도록 합니다. 실무적으로 이 내용은 처리방침에 국외이전 항목으로 정리됩니다. 영문 Privacy Policy 쪽에서도 GDPR의 역외이전 고지가 대칭적으로 요구되므로, 국외이전 현황표를 하나 만들어 두 문서가 공유하는 것이 관리 비용을 줄이는 방법입니다.

우리 처리방침도 개인정보위 평가 대상인가?

처리방침은 이제 써 두면 끝나는 문서가 아닙니다. 2023년 개정법으로 도입된 처리방침 평가제(제30조의2)에 따라 개인정보위가 매년 분야를 정해 적정성(법정 기재사항을 제대로 담았는지)·가독성(알기 쉽게 썼는지)·접근성(쉽게 찾을 수 있는지)을 평가하고 개선을 권고합니다.

2026년 평가는 공공앱, 대학교, 채용플랫폼, 만남중개서비스, 해외명품브랜드, 팬덤플랫폼, 프랜차이즈 등 7대 분야 52개 서비스를 대상으로 6월 말부터 진행되고 있고, 올해는 산업별 특화지표와 개인정보 보호책임자 관리 수준 지표가 신설됐습니다. 평가 대상은 매년 7개 안팎의 분야를 새로 골라 지정하는 방식이어서 우리 업종이 언제 포함될지 미리 알기 어렵습니다. "우리 업종 차례가 오면" 손보겠다는 접근보다는 기준을 미리 맞춰 두는 편이 안전합니다.

작성 기준 자체도 최근 2년 연속 갱신됐습니다. 최신본은 개인정보위가 2026년 4월 24일 공개한 「2026 개인정보 처리방침 작성지침」이고, 생성형 AI 서비스에 관한 부록 신설을 비롯해 네 가지가 바뀌었습니다. 처리방침을 몇 년째 그대로 두었다면 이 개정과의 간극부터 점검할 필요가 있는데, 항목별 내용과 2023년 이후 늘어난 필수 기재사항 전체는 개인정보처리방침 필수 기재사항 체크리스트에 표로 정리해 두었으므로 여기서는 반복하지 않겠습니다.

국문·영문 두 문서를 관리할 때 무엇을 점검해야 하나?

1. 국문 처리방침이 제30조 제1항 각 호를 모두 담고 있는가. 특히 파기 절차(법정 보존 시 보존 근거), 자동수집장치(쿠키), CPO 연락처는 누락이 잦습니다.
2. 영문 문서가 누구를 위한 것인지 정해져 있는가. 국내 외국인 이용자용이면 제30조 항목의 정확한 번역본인지, 해외 이용자용이면 번역본이 아니라 대상 법역 기준으로 작성됐는지. GDPR 적용 가능성이 있다면 법적 근거, 보관 기준, 역외이전, 감독기구 항목이 있는지.
3. 두 문서의 사실관계가 일치하는가. 수집 항목, 위탁처, 국외이전 현황이 문서마다 다르면 제30조 제3항의 '유리한 쪽 적용’과 신뢰 양쪽에서 리스크가 됩니다. 개정 시 두 문서를 함께 갱신하는 프로세스가 있는지.
4. 국외이전 항목이 현실을 반영하는가. 해외 클라우드 리전, 글로벌 SaaS 도입·변경이 처리방침에 따라오고 있는지.
5. 공개 위치가 접근성 기준을 충족하는가. 웹 첫 화면 링크, 앱은 설정·메뉴 등 쉽게 닿는 위치에 있는지.
6. 작성지침 개정 사항을 반영했는가. 항목별 점검표는 필수 기재사항 체크리스트를 그대로 쓰시면 됩니다.

문서 두 장을 관리하는 일이 번거로워 보이지만, 순서를 잡으면 어렵지 않습니다. 회사의 실제 데이터 흐름(수집·이용·위탁·이전·파기)을 하나의 표로 정리하고, 그 표를 한국법의 틀(처리방침)과 진출국 법의 틀(Privacy Policy)에 각각 부어 넣는 것입니다. 데이터 흐름표가 정확하면 두 문서는 자연히 일치합니다.

두 문서가 서로 다른 말을 하고 있다는 사실이 드러나는 자리는 대개 평시가 아니라 유출 사고 뒤입니다. 그 첫 72시간에 해야 할 일은 개인정보 유출 인지 후 72시간 안에 해야 할 일과 하면 안 되는 일에 정리했습니다.

처리방침 외에 본사 문서가 한국법과 어긋나는 지점은 더 있습니다. CPO 지정, 국내대리인, 수탁자 공개를 포함한 아홉 개는 본사 정책을 한국 법인에 옮겼을 때 다시 봐야 할 아홉 지점에 모아 두었습니다.

자주 묻는 질문

Q. 국문 개인정보처리방침을 영어로 번역해서 Privacy Policy로 써도 되나요?

독자가 누구인지에 따라 다릅니다. 한국 서비스를 쓰는 외국인 이용자를 위한 것이면 번역본이 맞습니다. 국문 처리방침이 개인정보 보호법 제30조 제1항 각 호를 담고 있으면 그것을 정확히 옮기고 국문이 정본임을 적어 두면 됩니다. 해외 이용자를 향한 Privacy Policy라면 권장되지 않습니다. 그 문서의 내용은 이용자가 있는 법역의 법(GDPR, 캘리포니아 CCPA/CPRA 등)이 정하므로, 번역만 하면 만 14세 미만 법정대리인 동의처럼 한국법 고유 항목이 해외 이용자에게 무의미하게 남고, GDPR이 요구하는 처리의 법적 근거·감독기구 불만 제기 권리 항목은 통째로 빠집니다.

Q. 국문 처리방침과 영문 Privacy Policy의 내용이 다르면 어떤 문제가 생기나요?

개인정보 보호법 제30조 제3항은 처리방침의 내용과 정보주체와 체결한 계약의 내용이 다르면 정보주체에게 유리한 것을 적용하도록 정합니다. 두 문서가 수집 항목·위탁처·국외이전 현황에서 어긋나면 그 불일치는 회사에 불리한 방향으로 해석될 수 있으므로, 법적 프레임은 달라도 사실관계 서술은 일치시켜야 합니다.

Q. 영문 Privacy Policy만 두고 국문 처리방침을 따로 만들지 않아도 되나요?

안 됩니다. 개인정보 보호법 제30조 제1항의 처리방침 수립·공개 의무는 개인정보처리자에게 적용되고, 정하지 않거나 공개하지 않으면 1천만 원 이하의 과태료 대상입니다(법 제75조 제4항 제8호). 영문 Privacy Policy는 GDPR 등 진출국 법제가 요구하는 별개의 문서여서 제30조 제1항 각 호를 담고 있지 않은 경우가 대부분이므로, 영문 문서 하나로 국문 처리방침 의무가 이행되지 않습니다. 두 문서를 각각 완결시키되 수집 항목·위탁처·국외이전 현황 같은 사실관계는 일치시켜야 합니다.

Q. 개인정보처리방침은 영어로 뭐라고 하나요?

개인정보 보호법 공식 영문본(법률 제20897호 영역)은 제30조의 제목을 Establishment and disclosure of Privacy Policy로 옮기고, 본문에서 personal information processing policy를 정의한 뒤 이를 privacy policy로 줄여 부릅니다. 함께 쓰이는 용어는 개인정보처리자 personal information controller, 정보주체 data subject, 개인정보 보호책임자 privacy officer, 처리 위탁 entrustment of work, 국외이전 cross-border transfer of personal information입니다. 본사나 해외 파트너가 조문과 대조할 문서라면 이 표현을 그대로 쓰는 편이 혼선이 적습니다.

Q. 국외이전을 하면 처리방침에 무엇을 더 적어야 하나요?

시행령 제31조 제1항 제2호는 국외 이전의 근거와 함께 법 제28조의8 제2항 각 호의 사항을 적도록 정합니다. 그 다섯 가지는 이전되는 개인정보 항목, 개인정보가 이전되는 국가·시기 및 방법, 이전받는 자의 성명(법인인 경우 명칭과 연락처), 이전받는 자의 이용목적과 보유·이용 기간, 그리고 이전을 거부하는 방법·절차와 거부의 효과입니다.

이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.

참고 자료

• 개인정보 보호법 제30조(개인정보 처리방침의 수립 및 공개), 제30조의2(처리방침 평가), 제28조의8(국외이전), 제75조 제4항 제8호(과태료) — 국가법령정보센터
• 개인정보 보호법 시행령 — 국가법령정보센터
• Personal Information Protection Act(법률 제20897호 영문본) — 한국법제연구원 영문법령(2026. 8. 24. 확인). 용어 대응표의 영문 표현은 이 판의 조문 제목·정의 규정에서 옮겼습니다
• 개인정보 처리방침 작성지침(2026. 4. 개정) — 개인정보보호위원회 안내서
• 개인정보 처리방침 평가, 국민 눈높이에서 더 꼼꼼히 본다(2026년도 평가계획) — 개인정보보호위원회 보도자료
• EU 일반 개인정보 보호 규정(GDPR, Regulation (EU) 2016/679) 제13조·제14조(정보 제공 의무) — EUR-Lex