스타트업실무

본사 APAC DPO를 한국 CPO로 올려 두었습니다 — 9월 11일부터 그대로 둬도 되나

외국계 한국법인이 본사 프라이버시 총괄을 한국 개인정보 보호책임자로 올려 두는 구조는 시행령 제32조 제3항 제2호의 지정 대상 범위에 맞지 않을 수 있습니다. 지정 대상과 경력 자격요건은 2024년 3월부터 이미 시행 중이고, 2026년 9월 11일부터는 여기에 과태료가 새로 붙습니다. 기존 지정분을 다시 이사회 의결에 올려야 하는지는 부칙이 답하지 않습니다.

EU 고객 데이터를 한국 서버로 그냥 가져와도 되나요? — 적정성 결정 첫 재검토(2026.7.23)가 바꾼 것과 바꾸지 않은 것

EU 집행위원회가 2026년 7월 23일 한국 적정성 결정에 대한 첫 정기 재검토를 마치고 결정을 유지했습니다(COM(2026) 384 final). EU에서 한국으로 개인정보를 이전할 때 표준계약조항 같은 추가 조치가 필요 없다는 상태는 그대로입니다. 다만 보완규정 3개 조항의 폐지와 재검토 주기 4년 전환이 예고됐고, ‘글로벌 CBPR 인증을 받으면 국외이전이 된다’는 실무의 오해에는 명시적으로 제동이 걸렸습니다. 양방향 데이터 이전의 근거를 조문으로 정리합니다.

"우리 서비스도 허위조작정보 규제 대상인가요?" — 7월 7일 시행 정보통신망법, 100만 명 기준과 그 바깥

개정 정보통신망법이 2026년 7월 7일 시행됐습니다. 자율운영정책 수립과 6개월 1회 보고서 공표 의무는 ‘하루 평균 이용자 100만 명 이상’인 대규모 정보통신서비스 제공자에게만 적용되지만, 허위조작정보 유통 금지와 5배 징벌적 손해배상은 규모와 무관하게 적용됩니다. 우리 회사가 어느 쪽인지 가르는 기준을 조문으로 정리합니다.

우리가 도입한 AI가 무단 학습을 했다면 책임은 누구에게 있나 — AI 도입 기업의 저작권 리스크

외부 LLM API를 붙여 서비스를 만든 회사가 가장 자주 묻는 질문입니다. 학습 단계의 복제 책임은 원칙적으로 학습한 자에게 있지만, 파인튜닝을 하는 순간 도입 기업이 학습 주체가 되고, 출력물이 원작과 실질적으로 유사하면 그 출력물을 쓴 쪽이 침해 주체가 됩니다. 한국에는 TDM 면책 규정이 없어 공정이용(저작권법 제35조의5)이 유일한 통로이며, 문체부·저작권위원회가 2026년 2월 26일 그 판단 기준을 안내서로 내놨습니다.

AI기본법 시행 6개월 — 계도기간이 끝나기 전에 우리 회사가 확인할 의무들

AI기본법과 시행령이 2026년 1월 22일 함께 시행됐고, 7월 21일 개정분은 진흥 조항 중심이어서 의무 조항은 그대로입니다. 정부는 최소 1년의 계도기간을 두어 사실조사·과태료를 유예하고 있지만, 의무 자체는 2026년 1월 22일부터 이미 발생했습니다. 모델을 직접 만들지 않고 외부 AI를 갖다 쓰는 회사도 ‘인공지능사업자’입니다. 투명성 고지, 안전성 확보, 고영향 AI 책무, 국내대리인까지, 시행령이 확정된 지금 기준으로 정리합니다.

개인정보처리방침 필수 기재사항 체크리스트 — 2023년에 만든 방침에서 빠져 있는 것들

개인정보처리방침에 무엇을 담아야 하는지는 개인정보 보호법 제30조 제1항과 시행령 제31조 제1항이 정합니다. 그런데 이 목록은 2023년 9월과 2024년 3월에 늘어났고, 국내대리인 기재 누락은 2025년 10월부터 과태료 대상이 됐으며, 작성지침도 2026년 4월판이 최신입니다. 2023년 무렵 만들어 그대로 둔 처리방침을 현행 기준으로 다시 맞추는 항목별 체크리스트입니다.

회원이 탈퇴하면 개인정보를 바로 지워야 하나요: 파기 의무와 법정 보존기간이 충돌할 때

회원 탈퇴·거래 종료·직원 퇴사 후 개인정보는 지체 없이 파기하는 것이 원칙이지만(개인정보 보호법 제21조), 전자상거래법·근로기준법·세법이 정한 법정 보존기간은 예외입니다. 무엇을 언제까지 남기고, 남기는 동안 어떻게 관리해야 하는지 대표 보존기간표와 함께 정리합니다.

국문 개인정보처리방침을 번역해서 영문 Privacy Policy로 써도 되나 — 서로 다른 법이 요구하는 별개 문서입니다

한국법상 개인정보처리방침은 기재사항이 법으로 정해진 법정 문서이고, 영문 Privacy Policy는 GDPR 등 진출국 법제가 요구하는 별개의 문서입니다. 하나를 번역해서 둘을 대신하면 양쪽 모두에서 구멍이 납니다. 올해 개인정보위 처리방침 평가가 7대 분야 52개 서비스를 대상으로 진행 중인 지금, 글로벌 서비스가 문서를 이중화하는 법을 정리합니다.

"우리 앱, 14세 미만도 가입되나요?" — 약관 한 줄로는 해결되지 않는 아동 개인정보 문제

만 14세 미만 아동의 개인정보는 법정대리인 동의를 받고, 동의했는지 ‘확인’까지 해야 수집할 수 있습니다. 아동 대상 서비스가 아니어도 아동 이용을 인식했다면 조치 의무가 생기고, 받지 않는 서비스라면 ‘만 14세 미만 이용 불가’를 분명히 표시하고 이용자 본인이 이를 구체적으로 확인하게 해야 합니다. 법정대리인 동의 방법 7가지, 제재 수위, 다가오는 규제 강화까지 정리합니다.

2026년 9월 개인정보보호법 개정으로 과징금 상한이 어떻게 바뀌나 — 매출액 3%에서 10%로, 그리고 '조용히 수습'의 가격

9월 11일부터 중대·반복 위반에 매출액 최대 10% 과징금이 시행됩니다. 개인정보위 하반기 업무계획은 여기에 ‘신속 신고 감경(은폐 가중)신고포상금’을 더해, 유출사고를 숨기는 쪽의 셈법을 바꾸고 있습니다. 스타트업이 지금 점검할 것을 정리합니다.