스타트업실무

외국계 한국법인이 본사 프라이버시 총괄을 한국 개인정보 보호책임자로 올려 둔 구조는 지정 대상 범위에 맞지 않을 수 있습니다. 기준은 시행령 제32조 제3항 제2호입니다. 지정 대상과 경력 자격요건은 2024년 3월부터 이미 시행 중이고, 2026년 9월 11일부터 여기에 과태료가 새로 붙었습니다. 기존 지정분의 처리는 법률 부칙이 아니라 2026년 9월 10일 공포된 시행령(대통령령 제36671호)의 부칙이 답합니다 — 시행일부터 6개월 안에 신고해야 하며, 신고 기한은 입법예고안의 1개월에서 6개월로 늘었습니다. 대상의 매출 기준도 1,500억 원 이상에서 1,800억 원 초과로 올라 대상이 좁아졌습니다. 형식적으로만 둔 CPO의 대가는 2026년 KT·롯데카드 제재가 보여 줍니다. 위원회는 과징금과 별도로 'CPO의 책임과 역할을 명확히 하는 거버넌스 체계 정비’를 시정명령으로 요구했고, 롯데카드 결정문에서는 CPO가 의사결정 기록을 설명하지 못한 점을 중대성 판단에 반영했습니다.

EU 집행위원회가 2026년 7월 23일 한국 적정성 결정에 대한 첫 정기 재검토를 마치고 결정을 유지했습니다. EU에서 한국으로 개인정보를 이전할 때 표준계약조항 같은 추가 조치가 필요 없다는 상태는 그대로입니다(COM(2026) 384 final). 다만 보완규정 3개 조항의 폐지와 재검토 주기 4년 전환이 예고됐고, '글로벌 CBPR 인증을 받으면 국외이전이 된다’는 실무의 오해에는 명시적으로 제동이 걸렸습니다. 반대 방향인 한국에서 EU로의 이전도 2025년 9월 16일 동등성 인정(공고 제2025-68호) 이후 별도 동의 없이 가능하되, 주민등록번호·개인신용정보는 빠지고 처리방침의 이전 근거 기재는 그대로 남습니다. 양방향 데이터 이전의 근거를 조문으로 정리합니다.

개정 정보통신망법이 2026년 7월 7일 시행됐습니다. 자율운영정책 수립과 6개월 1회 보고서 공표 의무는 '하루 평균 이용자 100만 명 이상’인 대규모 정보통신서비스 제공자에게만 적용되지만, 허위조작정보 유통 금지와 5배 징벌적 손해배상은 규모와 무관하게 적용됩니다. 우리 회사가 어느 쪽인지 가르는 기준을 조문으로 정리합니다.

외부 LLM API를 붙여 서비스를 만든 회사가 가장 자주 묻는 질문입니다. 학습 단계의 복제 책임은 원칙적으로 학습한 자에게 있지만, 파인튜닝을 하는 순간 도입 기업이 학습 주체가 되고, 출력물이 원작과 실질적으로 유사하면 그 출력물을 쓴 쪽이 침해 주체가 됩니다. 한국에는 TDM 면책 규정이 없어 공정이용(저작권법 제35조의5)이 유일한 통로이며, 문체부·저작권위원회가 2026년 2월 26일 그 판단 기준을 안내서로 내놨습니다.

AI기본법과 시행령은 2026년 1월 22일 함께 시행됐습니다. 모델을 직접 만들지 않고 외부 AI를 갖다 쓰는 회사도 '인공지능사업자’입니다(법 제2조 제7호). 이 글은 우리 회사가 의무 주체인지, 어느 조문이 걸리고 어느 조문은 애초에 해당하지 않는지를 한 장의 지도로 정리합니다. 투명성 고지, 고영향 인공지능 책무, 국내대리인, 계도기간과 과태료는 각각 별도의 글에서 자세히 다룹니다.

개인정보처리방침에 무엇을 담아야 하는지는 개인정보 보호법 제30조 제1항과 시행령 제31조 제1항이 정하고 있고, 국내대리인 기재까지 더하면 현행 기준 15개 항목입니다. 그 목록이 2023년 이후 네 차례 늘어, 2023년 초에 만든 처리방침은 지금 기준으로 항목이 비어 있을 가능성이 높습니다. 필수 항목과 신설 시점, 공개 방법, 과태료와 처리방침 평가제를 정리합니다. AI로 심사·추천을 자동화했다면 15개 항목을 다 채워도 빠지는 것이 하나 더 있습니다. 법 제30조 목록 밖에 있는 자동화된 결정의 공개 의무(법 제37조의2 제4항, 시행령 제44조의4의 다섯 항목)로, 거부권이 없는 경우에도 공개 의무는 남습니다. 국외이전·생성형 AI처럼 회사 사정에 따라 갈리는 항목은 각각의 글로 넘깁니다.

회원 탈퇴·거래 종료·직원 퇴사 후 개인정보는 지체 없이 파기하는 것이 원칙입니다. 근거는 개인정보 보호법 제21조입니다. 전자상거래법·근로기준법·세법이 정한 법정 보존기간은 그 예외입니다. 무엇을 언제까지 남기고, 남기는 동안 어떻게 관리해야 하는지 대표 보존기간표와 함께 정리합니다.

개인정보처리방침을 영어로 만들 때 답은 독자가 누구인지로 갈립니다. 한국 안의 외국인 이용자를 위한 것이면 국문 처리방침의 영문 번역본이 맞고(공식 영문본의 명칭은 privacy policy, 제30조 제1항 각 호 그대로), 해외 이용자를 위한 것이면 GDPR 등 진출국 법이 요구하는 별개의 Privacy Policy가 필요합니다. 하나를 번역해서 둘을 대신하면 양쪽 모두에서 구멍이 납니다. 영문 용어 대응표와 두 문서를 관리하는 점검 항목을 정리했습니다.

만 14세 미만 아동의 개인정보는 법정대리인의 동의를 받고 동의했는지 '확인’까지 해야 수집할 수 있으며, 아동 대상 서비스가 아니어도 아동 이용을 인식했다면 조치 의무가 생깁니다. 아동을 받지 않는 서비스라면 '만 14세 미만 이용 불가’를 가입 화면에 분명히 표시하고 이용자 본인이 이를 별도로 확인하게 해야 합니다. 자녀 위치 앱처럼 위치정보가 얽히면 위치정보법 제25조가 따로 적용되어 법정대리인 동의 외에 아동 본인의 동의와 매회 통보 의무가 추가됩니다. 동의 확인 방법 7가지, 제재 수위, 2023년 자녀안심 앱 5곳 처분까지 정리합니다.

9월 11일부터 중대·반복 위반에 매출액 최대 10% 과징금이 시행됐습니다. 개인정보위 하반기 업무계획은 여기에 '신속 신고 감경(은폐 가중)신고포상금’을 더해, 유출사고를 숨기는 쪽의 셈법을 바꾸고 있습니다. 스타트업이 지금 점검할 것을 정리합니다.