한국에 자회사가 있는데 국내대리인은 로펌입니다 — 재지정 기한은 2026년 4월에 이미 지났습니다

로펌이나 컨설팅사를 국내대리인으로 두고 있던 구조는 재지정 대상입니다. 개인정보 보호법 제31조의2 제2항이 2025년 10월 2일부터 국내에 설립한 법인이나 지배적 영향력을 행사하는 국내 법인이 있으면 그 법인 중에서 지정하도록 바꿨고, 부칙이 준 6개월은 2026년 4월 2일에 끝났습니다. 지정 대상 기준, 지배적 영향력의 범위, 새로 붙은 관리·감독 의무, 그리고 9월 11일부터 넓어진 대리 업무를 조문 단위로 정리했습니다.

본사 프라이버시 정책을 한국 법인에 그대로 옮겼습니다 — 9월 11일 전에 다시 봐야 할 아홉 지점

본사가 GDPR을 기준으로 만든 정책·절차서를 번역해 두면 한국법도 지켜진다고 보기 쉽지만, 깨지는 지점이 따로 있습니다. 그리고 그 지점들은 대개 문서 내용이 아니라 누가 결정하는지와 무엇을 밖에 알리는지에 걸립니다. 개인정보 보호책임자 지정에 이사회 의결이 들어오고(2026년 9월 11일), 국내 법인이 있으면 국내대리인을 그 법인 중에서 지정해야 하며(2025년 10월 2일 시행, 경과기간 만료), 수탁자 목록은 공개 대상입니다. 본사 산출물 아홉 개를 조문과 하나씩 대조했습니다.

영국 본사와 데이터를 주고받고 있습니다 — EU와 같은 근거를 쓸 수 있나

영국에서 한국으로 보내는 것과 한국에서 영국으로 보내는 것은 근거가 다릅니다. 영국의 적정성 규정은 EU 결정과 달리 보완규정 조건도 신용정보 제외도 두지 않는 반면, 한국의 동등성 인정 대상에는 영국이 들어 있지 않습니다. EU와 영국 데이터를 같은 절차로 관리하는 회사가 어느 쪽을 놓치고 있는지 방향별로 정리했습니다.

본사 인시던트 대응 플레이북을 한국에 그대로 적용할 수 있나 — GDPR 통지 기준이 한국법과 어긋나는 지점

본사 인시던트 대응 절차서는 대개 GDPR을 기준으로 쓰여 있고, 첫 분기점이 위험도 평가입니다. 그런데 한국 개인정보 보호법 제34조 제1항은 위험 정도를 요건으로 삼지 않고 유출등을 알게 된 것만으로 통지 의무를 지우며, 기한은 72시간입니다(시행령 제39조 제1항). GDPR과 달리 암호화에 따른 통지 면제도 없습니다. 통지는 전건 의무이고 신고가 오히려 요건 한정이라는 구조 차이와, 2026년 9월 11일 개정법 시행으로 간극이 어디서 더 벌어지는지를 조문 단위로 정리합니다.

EU 고객 데이터를 한국 서버로 그냥 가져와도 되나요? — 적정성 결정 첫 재검토(2026.7.23)가 바꾼 것과 바꾸지 않은 것

EU 집행위원회가 2026년 7월 23일 한국 적정성 결정에 대한 첫 정기 재검토를 마치고 결정을 유지했습니다. EU에서 한국으로 개인정보를 이전할 때 표준계약조항 같은 추가 조치가 필요 없다는 상태는 그대로입니다(COM(2026) 384 final). 다만 보완규정 3개 조항의 폐지와 재검토 주기 4년 전환이 예고됐고, '글로벌 CBPR 인증을 받으면 국외이전이 된다’는 실무의 오해에는 명시적으로 제동이 걸렸습니다. 반대 방향인 한국에서 EU로의 이전도 2025년 9월 16일 동등성 인정(공고 제2025-68호) 이후 별도 동의 없이 가능하되, 주민등록번호·개인신용정보는 빠지고 처리방침의 이전 근거 기재는 그대로 남습니다. 양방향 데이터 이전의 근거를 조문으로 정리합니다.

개인정보처리방침 필수 기재사항 — 2026년 기준 15개 항목과 2023년 이후 늘어난 것

개인정보처리방침에 무엇을 담아야 하는지는 개인정보 보호법 제30조 제1항과 시행령 제31조 제1항이 정하고 있고, 국내대리인 기재까지 더하면 현행 기준 15개 항목입니다. 그 목록이 2023년 이후 네 차례 늘어, 2023년 초에 만든 처리방침은 지금 기준으로 항목이 비어 있을 가능성이 높습니다. 필수 항목과 신설 시점, 공개 방법, 과태료와 처리방침 평가제를 정리합니다. AI로 심사·추천을 자동화했다면 15개 항목을 다 채워도 빠지는 것이 하나 더 있습니다. 법 제30조 목록 밖에 있는 자동화된 결정의 공개 의무(법 제37조의2 제4항, 시행령 제44조의4의 다섯 항목)로, 거부권이 없는 경우에도 공개 의무는 남습니다. 국외이전·생성형 AI처럼 회사 사정에 따라 갈리는 항목은 각각의 글로 넘깁니다.

개인정보처리방침 영어로 만들기 — 번역본이면 되는 경우와 별개의 Privacy Policy가 필요한 경우

개인정보처리방침을 영어로 만들 때 답은 독자가 누구인지로 갈립니다. 한국 안의 외국인 이용자를 위한 것이면 국문 처리방침의 영문 번역본이 맞고(공식 영문본의 명칭은 privacy policy, 제30조 제1항 각 호 그대로), 해외 이용자를 위한 것이면 GDPR 등 진출국 법이 요구하는 별개의 Privacy Policy가 필요합니다. 하나를 번역해서 둘을 대신하면 양쪽 모두에서 구멍이 납니다. 영문 용어 대응표와 두 문서를 관리하는 점검 항목을 정리했습니다.

웹사이트에 심은 광고 픽셀이 수집하는 행태정보도 개인정보인가 — 틱톡 과징금 103억 원이 확인한 것

개인정보위가 틱톡에 과징금 103억 원을 부과했습니다. 제재는 틱톡이 받았지만, 픽셀·SDK를 쓰는 기업은 7만여 곳입니다. 스타트업이 지금 점검해야 할 것들을 정리합니다.