실사에서 개인정보를 볼 때 무엇을 요청해야 하나 — 파기 미이행과 국외이전 근거 미비를 찾는 자료

유출 같은 사고형 위반과 달리 파기 미이행과 국외이전 근거 미비는 사건이 없어 밖에서 보이지 않습니다. 무엇을 받아 볼지는 법이 이미 정해 두었습니다. 개인정보 보호법 제30조 제1항 제3호의2의 처리방침 기재와 제28조의8 제1항의 이전 근거별 문서가 그것이고, 두 위반은 과태료와 전체 매출액 3% 과징금으로 무게가 갈립니다.

과태료가 더 많은 쪽은 공표되지 않았습니다 — 개인정보위 결과 공표는 무엇으로 결정되는가

2026년 7월 8일 개인정보보호위원회 제2소위원회는 같은 날 세 건을 의결했습니다. 과태료 900만 원이 부과된 회사는 공표되지 않았고, 420만 원이 부과된 회사는 위원회 홈페이지에 1년간 공표됐습니다. 결과 공표는 과태료의 부속 처분이 아니라 법 제66조 제1항에 따른 별개의 재량 판단이고, 어느 공표 요건이 적용되는지는 위반행위가 2023년 9월 15일 전에 끝났는지로 갈립니다. 공표를 다투는 길도 따로 있습니다. 위원회 단계의 제66조 제2항 공표명령 면제와 법원 단계의 공표명령만 떼어낸 집행정지(서울행정법원 2024아12120)가 그것인데, 집행정지는 유예일 뿐 본안에서 지면 공표는 이루어집니다.

본사가 채용 AI의 편향을 민감정보로 점검하고 있습니다 — 한국 법인도 같은 점검을 할 수 있나

EU AI Act 제10조 제5항은 고위험 AI의 편향 탐지·시정을 위한 특별범주 개인정보 처리를 조건부로 허용합니다. 한국 개인정보 보호법 제23조 제1항에는 그런 예외가 없습니다. AI기본법은 채용·대출 심사 AI에 위험관리를 요구하면서도 그 점검에 필요한 민감정보 처리를 허용하는 문언을 두지 않았습니다.

처리방침에 SDK를 모두 '위탁'으로 적어 두었습니다 — 광고 픽셀도 같은 칸인가

국외이전의 근거를 처리방침에 적을 때 도구마다 적을 수 있는 근거가 다릅니다. 법 제28조의8 제1항 제3호는 '처리위탁·보관’만 대상으로 하고 '제공’은 빠져 있기 때문입니다. 광고 플랫폼 픽셀을 위탁 표에 올려 두었다면 근거가 비어 있을 수 있습니다. 위탁으로 정리된 구글 애널리틱스류 분석 도구도 제3호의 '계약 이행에 필요한’이 벤더가 아니라 정보주체와의 계약을 가리키므로, 서비스 개선 목적의 행동 분석은 제1호의 별도 동의가 필요할 수 있습니다.

개인정보보호법 영문본은 어디서 받나 — 현행(법률 제21445호)과 영문본이 반영한 판 구별법

개인정보보호법 영문본은 국가법령정보센터(law.go.kr) 영문법령과 한국법제연구원(elaw.klri.re.kr)에서 무료로 받을 수 있고, 현행은 2026년 9월 11일 시행된 법률 제21445호이고, 영문본은 2026-09-11 확인 기준 아직 제20897호 판을 반영합니다. 한국법제연구원에는 2020년판·2023년판·2025년판이 어느 것이 현행인지 표시 없이 공존하고, 본사가 2020년판을 읽으면 국외이전 동의의 과잉 준수와 신설 의무의 미준수가 동시에 생깁니다. 버전 판별법과 조문 대비를 정리했습니다.

본사는 legitimate interest로 처리하고 있습니다 — 한국에서 같은 근거가 어디까지 통하나

한국 개인정보 보호법에도 정당한 이익 근거가 있습니다(제15조 제1항 제6호). 다만 GDPR과 구조가 다릅니다. 한국법은 근거 목록을 수집·이용(제15조)과 제3자 제공(제17조)으로 나눠 두었고, 제공 쪽 목록은 수집 쪽 목록을 그대로 옮기지 않습니다. 계약 이행을 근거로 수집한 정보를 같은 근거로 제3자에게 제공하는 경로는 제17조 제1항에 없습니다. 본사 LIA 문서를 옮겨 오기 전에 확인해야 할 지점을 조문 단위로 정리했습니다.

한국에 자회사가 있는데 국내대리인은 로펌입니다 — 재지정 기한은 2026년 4월에 이미 지났습니다

로펌이나 컨설팅사를 국내대리인으로 두고 있던 구조는 재지정 대상입니다. 개인정보 보호법 제31조의2 제2항이 2025년 10월 2일부터 국내에 설립한 법인이나 지배적 영향력을 행사하는 국내 법인이 있으면 그 법인 중에서 지정하도록 바꿨고, 부칙이 준 6개월은 2026년 4월 2일에 끝났습니다. 지정 대상 기준, 지배적 영향력의 범위, 새로 붙은 관리·감독 의무, 그리고 9월 11일부터 넓어진 대리 업무를 조문 단위로 정리했습니다.

본사 프라이버시 정책을 한국 법인에 그대로 옮겼습니다 — 9월 11일 전에 다시 봐야 할 아홉 지점

본사가 GDPR을 기준으로 만든 정책·절차서를 번역해 두면 한국법도 지켜진다고 보기 쉽지만, 깨지는 지점이 따로 있습니다. 그리고 그 지점들은 대개 문서 내용이 아니라 누가 결정하는지와 무엇을 밖에 알리는지에 걸립니다. 개인정보 보호책임자 지정에 이사회 의결이 들어오고(2026년 9월 11일), 국내 법인이 있으면 국내대리인을 그 법인 중에서 지정해야 하며(2025년 10월 2일 시행, 경과기간 만료), 수탁자 목록은 공개 대상입니다. 본사 산출물 아홉 개를 조문과 하나씩 대조했습니다.

(가칭)아동·청소년 개인정보 보호법은 어떻게 됐나 — 입법이 멈춘 자리에 사전 실태점검이 왔습니다

(가칭)아동·청소년 개인정보 보호법은 2026년 8월 현재 없습니다. 2022년 관계부처 합동 「아동·청소년 개인정보 보호 기본계획」은 보호 연령을 18세 미만으로 넓히고 맞춤형 광고를 제한하는 이 법을 2024년에 제정하겠다고 했습니다. 개인정보 보호법 제22조의2의 기준선은 여전히 만 14세 미만입니다. 그 사이 정책 문서에서 이 법의 자리는 계속 줄었고, 실제로 아동 정보를 들여다보기 시작한 것은 입법이 아니라 법 제63조의2의 사전 실태점검입니다.

우리 앱은 아동용이 아닙니다 — 그런데 왜 아동 개인정보로 과징금 9억 2천만 원이 나왔나

㈜비케이알(버거킹)이 만 14세 미만 아동의 법정대리인 동의 위반으로 과징금 9억 2,400만 원을 받았습니다. 유출 사고가 없었는데도 나온 처분입니다. 개인정보보호위원회가 2026년 2월 11일 식음료 10개사 실태조사 결과를 의결하면서 부과했습니다. 같은 조사에서 8개사는 과태료에 그쳤는데, 그 차이는 개인정보 보호법 제64조의2 제1항이 과징금 대상을 열거해 둔 구조에서 나옵니다. 아동 조문은 유출이 없어도 과징금이 나오는 몇 안 되는 경로입니다.