개인정보보호법

개인정보 보호법상 과징금은 유출 인원수가 아니라 '전체 매출액 × 중대성 × 조정’의 4단계 공식으로 정해집니다. 2026년 공개된 결정문 세 건(롯데카드·KS한국고용정보·듀오정보)을 보면 관련 없는 매출액 제외, 이득 없음(−30%), 중기업 해당(합산 −55%), 자진시정·협조·인증(−20~40%)이 실제로 금액을 깎았습니다. 다만 2026년 5월 19일부터 '매우 중대한 위반’에는 감경을 제한할 수 있는 규정이 신설됐고, 9월 11일부터는 전체 매출액 10% 상한의 가중 트랙과 예방투자에 대한 의무적 감경 규정이 시행되고, 2026년 9월 10일 공포된 시행령이 그 감경을 기준금액의 40% 이내 독립 단계로 두었습니다. 조사 단계에서 무엇을 다투고 무엇을 입증할지가 결과를 크게 좌우하는 구조입니다.

대상회사가 데이터 자산이라고 내미는 것은 세 층으로 갈라서 보아야 합니다. 첫째는 수집 경로입니다. 2026년 8월 20일 시행된 개인정보 보호법 시행령 제42조의6은 앞으로의 유입에는 사전협의(제3항 제1호 나목)를, 이미 쌓인 축적분에는 저장 금지(제5항)를 걸어 두었으므로 한 줄짜리 답으로 둘을 설명할 수 없습니다. 둘째는 학습데이터의 저작권입니다. 서울중앙지방법원 2026년 7월 24일 선고 2025나6032 판결은 권리처리 없는 전자책 말뭉치의 손해액을 '정가의 70% × 5부 × 지분율’로 산정했고, 8월 11일 시행된 저작권법 제125조 제4항은 고의 침해에 그 5배까지 허용합니다. 셋째는 개인정보의 적법근거입니다. AI 개발 특례(제28조의12)는 2026년 9월 8일 공포됐지만 시행일이 2027년 3월 9일이라 오늘의 근거가 되지 못하고, 시행 뒤에도 승인은 다섯 사유로 처리 전부가 제한될 수 있는 상태입니다. 세 질문은 경로, 권리, 근거의 순서로 묻고, 답은 각각 따로 받습니다.

생성 도구나 템플릿으로 만든 개인정보 처리방침의 위험은 문서의 품질이 아니라 회사의 실제 처리와의 불일치에 있습니다. 처리방침은 개인정보 보호법 제30조 제1항이 정한 실제 처리 내역의 공개 의무이므로, 실제와 다른 문서는 실사에서 데이터 흐름과 한 번 대조하는 것만으로 드러나고, 조사에서는 회사가 스스로 적어낸 진술로 읽힙니다. 실제보다 후하게 적힌 약속은 제30조 제3항에 따라 회사를 구속하는 방향으로 작동합니다.

대상회사의 과거 개인정보 과징금 이력은 2026년 9월 11일 이후에도 대부분 10% 가중의 방아쇠가 되지 않습니다. 개정법 부칙 제3조 제1항이 시행 이후 발생한 위반행위로 받은 과징금 부과처분부터 재위반 가중을 적용하기 때문입니다. 반면 피해 규모 1천만 명 조항은 시행 당시 종료되지 않은 위반행위에도 적용됩니다. 그래서 실사에서는 처분의 유무가 아니라 처분의 종류와 근거 호, 날짜, 그리고 지금도 이어지는 위반 상태를 확인해야 합니다.

실사에서 개인정보 지적이 나오면 그다음은 계약 조항 배치의 문제가 됩니다. 갈림은 지적의 중요도가 아니라 클로징 전에 완료 상태를 만들 수 있는지입니다. 위탁 문서 체결이나 손해배상책임 보험 가입은 선행조건으로 잡히지만, 동의 없이 이미 제공되거나 국외로 나간 데이터는 소급해 적법하게 만들 수 없어 확약으로 밀립니다. 확약은 장래의 이행을 약속하는 것이지 과거를 지우지 않습니다.

완전히 자동화된 결정에 대한 한국 이용자의 거부·설명 요구는 시스템이 본사에 있어도 한국법인이 처리해야 합니다. 개인정보를 이전한 쪽에 의무가 남기 때문입니다(개인정보 보호법 제28조의8 제4항, 제37조의2, 제38조 제1항). 조치 기한은 30일이지만 거절 통지는 10일로 더 짧습니다. 외국계 한국법인의 법무·개인정보 책임자와 본사 DPO를 위한 정리입니다.

인수 거래에서 고객 개인정보는 실사 단계와 클로징 단계에서 한 번씩 건너갑니다. 두 시점의 법적 근거가 다릅니다. 거래가 성사되기 전 데이터룸에 올리는 자료는 영업양도 조항(제27조)의 적용 국면이 아니라 제17조 제1항의 제3자 제공이고, 동의나 계약 이행으로 모은 회원 정보에는 수집 목적 범위 제공을 쓸 수 없어 실무상 남는 경로가 좁습니다. 클로징으로 개인정보가 실제로 이전되면 제27조가 붙는데, 통지 의무는 파는 쪽과 사는 쪽에 각각 따로 걸리고 사는 쪽 의무는 파는 쪽이 먼저 알려야 사라집니다. 개인정보보호위원회는 같은 병원 거래의 양도인과 양수인에게 같은 날 각각 과태료 100만 원을 부과했습니다(2022. 11. 16. 제18회 전체회의 의결).

개인정보를 본사로 국외 이전한 뒤에도 정보주체의 권리 보장 의무는 이전한 한국법인에 남습니다. 개인정보 보호법 제5장이 그대로 적용되는데 제28조의11의 준용 목록에 제5장이 없기 때문입니다. 열람·정정·삭제·처리정지의 통지 기한은 시행령이 정한 10일이며, GDPR의 1개월이 아닙니다. 외국계 한국법인 법무·CPO와 본사 DPO를 위한 정리입니다.

글로벌 DPA 서명만으로 국외이전 준비는 끝나지 않습니다. DPA 역할표가 한국 법인을 processor로 적어 왔더라도 개인정보 보호법 공식 영문본에 그 지위는 없고, 수탁자는 제26조 제8항에 따라 개인정보처리자의 의무 대부분을 그대로 부담합니다. 이전 근거(제28조의8 제1항)와 별개로, 같은 조 제4항과 시행령 제29조의10 제2항은 보호조치를 이전받는 자와 미리 협의해 계약에 반영하라고 요구합니다. 외국계 한국법인 법무·CPO와 본사 DPO를 위한 정리입니다.

개인정보 보호법 제28조의8 제1항 제4호는 인증을 국외이전 근거로 인정하지만 조건이 둘입니다. 보호위원회가 고시한 목록에 올라 있는 인증이어야 하고, 그 인증을 받아야 하는 쪽은 이전받는 자입니다. 고시 별표 2에 등재된 인증은 ISMS-P 하나이고 ISO 27701·BCR·CBPR은 없습니다.