[EU 개인정보를 한국에서 처리할 때 확인해야 할 사항]
안녕하세요, 디센트 법률사무소 진현수 대표변호사입니다.
EU 기업과 계약하거나 유럽 이용자를 대상으로 서비스를 제공하는 국내 기업이라면 EU 개인정보를 한국에서 처리하는 경우가 있습니다.
한국은 2021년 GDPR 적정성 결정을 받았고, 2026년 7월 첫 정기 재검토에서도 적정성 지위가 유지되었습니다. 이에 따라 적용 범위에 해당하면 EU→한국 개인정보 이전은 원칙적으로 별도의 국제이전용 SCC 없이 가능합니다.
다만 DPA, GDPR상 컨트롤러(Controller)·프로세서(Processor) 관계, 해외 클라우드·AI 서비스 이용에 따른 재이전 등은 별도로 확인해야 합니다.
🕒 바쁜 분들을 위한 3줄 요약
한국 적정성 결정: 적용 범위에 해당하면 별도의 국제이전용 SCC 없이 EU 개인정보를 한국으로 이전할 수 있습니다.
계약상 의무: 적정성 결정과 별개로 DPA, 컨트롤러·프로세서 관계 등은 확인해야 합니다.
제3국 재이전: 한국에서 해외 클라우드·AI 서비스로 다시 이전한다면 재이전 구조를 별도로 검토해야 합니다.
1. GDPR 적정성 결정이란 무엇인가요?
GDPR 적정성 결정은 EU 집행위원회가 특정 국가의 개인정보 보호 수준이 EU와 실질적으로 동등한 수준이라고 인정하는 제도입니다.
GDPR 제45조에 따른 적정성 결정이 있는 국가로 개인정보를 이전하는 경우에는 SCC 등 별도의 추가적인 국제이전 수단을 마련하지 않고 개인정보를 이전할 수 있습니다.
EU 집행위원회는 2021년 12월 17일 한국에 대한 적정성 결정을 채택했습니다.
다만 모든 한국 수령자에게 일률적으로 적용되는 것은 아니며, 한국 「개인정보 보호법」의 적용을 받는 기관 등 적정성 결정의 적용 범위에 해당하는지 확인해야 합니다.
2. 2026년에도 한국의 적정성 결정은 유지되나요?
네. 2026년 첫 정기 재검토에서도 한국의 적정성 결정은 유지되었습니다.
EU 집행위원회는 2026년 7월 23일 첫 정기검토 결과, 한국이 EU에서 이전되는 개인정보에 대해 계속해서 적정한 보호 수준을 제공한다고 판단했습니다.
2021년 적정성 결정 이후 이루어진 한국의 개인정보 보호법 개정과 개인정보보호위원회의 감독·집행체계 등도 이번 검토에 반영되었습니다.
개인정보보호위원회 역시 2026년 7월 24일 적정성 결정이 유지됐다고 발표하면서, EU와 한국 사이의 자유롭고 안전한 개인정보 이전이 계속된다고 설명했습니다.
따라서 현재도 적정성 결정의 적용 범위에 해당한다면 EU에서 한국으로 개인정보를 이전하기 위해 별도의 국제이전용 SCC를 체결해야 하는 것은 아닙니다.
3. EU에서 한국으로 이전할 때 SCC와 DPA 모두 필요하지 않나요?
적정성 결정이 적용되는 EU→한국 이전에서는 원칙적으로 국제이전을 위한 SCC는 필요하지 않지만, DPA는 별개의 문제입니다.
국제이전용 SCC와 개인정보 처리위탁에 관한 DPA는 목적부터 다릅니다.
🔹SCC와 DPA의 차이
구분 | 국제이전용 SCC | DPA |
|---|---|---|
목적 | 제3국 이전 시 개인정보 보호수단 마련 | Controller와 Processor 사이의 처리 조건 규율 |
주요 근거 | GDPR 제46조 | GDPR 제28조 |
한국 적정성 결정의 영향 | 적용 범위 내 EU→한국 이전에서는 원칙적으로 불필요 | 적정성 결정으로 면제되지 않음 |
주요 내용 | 국제이전과 보호조치 | 처리 목적·기간, 보안, 재위탁, 삭제·반환 등 |
예를 들어 EU 기업이 한국 SaaS 기업에 고객정보의 저장·처리를 맡기는 경우, EU→한국 이전 자체를 위해 SCC가 필요하지 않을 수 있습니다.
그러나 한국 기업이 EU 고객사의 지시에 따라 개인정보를 처리하는 Processor라면 GDPR 제28조에 따른 계약관계는 별도로 확인해야 합니다.
GDPR 제28조는 Processor가 개인정보를 처리하는 경우 처리 대상과 기간, 처리 목적, 개인정보 유형, 당사자의 의무 등을 계약 등으로 정하도록 하고 있습니다.
따라서 “한국은 적정성 국가이므로 별도의 개인정보 계약도 필요 없다”는 의미로 이해해서는 안 됩니다.
4. 한국 기업은 어떤 사항을 추가로 확인해야 하나요?
적정성 결정이 있더라도 EU 개인정보를 실제로 처리하는 구조에 따라 별도의 GDPR 검토가 필요할 수 있습니다.
특히 다음 사항을 확인하는 것이 좋습니다.
한국 기업이 Controller인지 Processor인지
개인정보의 처리 목적과 범위
DPA 체결 및 처리 조건
Sub-processor 이용 여부
개인정보 침해사고 발생 시 대응 절차
계약 종료 후 데이터 삭제·반환 방식
해외 클라우드·AI 서비스 이용 여부
특히 Processor가 다시 다른 Processor를 이용하는 경우 GDPR 제28조에 따라 Controller의 사전 특정 또는 일반적인 서면 승인이 문제될 수 있습니다.
따라서 계약서에 적힌 서버 위치만 확인하기보다 실제로 어떤 사업자가 개인정보 처리에 관여하는지까지 확인할 필요가 있습니다.
5. 한국에서 미국 등 제3국으로 다시 이전하면 어떻게 되나요?
EU에서 한국으로 적법하게 이전된 개인정보라도 한국에서 다시 다른 국가로 이전한다면 재이전 구조를 별도로 확인해야 합니다.
예를 들어 한국 기업이 다음과 같은 해외 서비스를 이용하는 경우입니다.
미국 소재 클라우드 서비스
해외 AI API 또는 LLM 서비스
해외 CRM·분석 솔루션
해외 데이터 백업 서버
EU→한국 이전과 한국→제3국 재이전은 서로 구분해서 봐야 합니다.
한국 「개인정보 보호법」 제28조의8은 개인정보를 국외로 제공·처리위탁·보관하는 경우의 요건과 보호조치를 규정하고 있습니다.
또한 제28조의11은 국외에서 개인정보를 이전받은 자가 다시 제3국으로 개인정보를 이전하는 경우에도 관련 국외이전 규정을 준용하도록 하고 있습니다.
따라서 EU 개인정보를 한국에서 받았다는 이유만으로 이후의 해외 이전까지 자동으로 허용되는 것은 아닙니다.
특히 클라우드나 AI 서비스를 이용한다면 서버 소재지, 해외 사업자의 접근 가능 여부, Sub-processor, 데이터 저장·학습 여부 등을 함께 확인해야 합니다.
6. EU 개인정보를 처리하는 한국 기업의 체크포인트
EU 고객사와 계약하거나 EU 개인정보를 국내에서 처리할 예정이라면 먼저 실제 데이터 흐름을 정리하는 것이 중요합니다.
🔹 개인정보 이동경로 확인
EU 고객사 → 한국 기업 → 클라우드·AI API → Sub-processor와 같이 실제 개인정보가 이동하거나 접근되는 구조를 확인합니다.
🔹 Controller·Processor 관계 확인
누가 개인정보 처리 목적과 방법을 결정하는지에 따라 각 당사자의 GDPR상 지위와 계약상 의무가 달라질 수 있습니다.
🔹 DPA 및 개인정보 조항 검토
처리 목적과 기간, 보안조치, 재위탁, 사고 통지, 데이터 삭제·반환 등 GDPR 제28조에 필요한 사항이 계약에 반영되어 있는지 확인합니다.
🔹 제3국 재이전 여부 확인
한국에서 해외 클라우드나 AI 서비스를 사용한다면 최초 EU→한국 이전과 별도로 이후 데이터 이동 구조를 검토해야 합니다.
결국 적정성 결정 여부만 확인하기보다 계약상 개인정보 처리 구조와 실제 데이터 이동경로가 일치하는지 확인하는 것이 핵심입니다.
7. 자주 묻는 질문
Q1. EU 고객사가 한국 기업에 개인정보를 보내면 모두 적정성 결정이 적용되나요?
아닙니다.
한국에 대한 적정성 결정에는 적용 범위가 있으므로 개인정보를 이전받는 한국 기업 등이 해당 범위에 포함되는지 먼저 확인해야 합니다.
Q2. EU 고객사가 SCC 체결을 요구하면 필요 없는 계약인가요?
반드시 그렇지는 않습니다.
적정성 결정이 적용되는 EU→한국 이전 자체에는 국제이전용 SCC가 원칙적으로 필요하지 않지만, 상대방의 글로벌 계약정책에 따라 관련 조항을 요구하는 경우가 있습니다.
또한 국제이전용 SCC와 GDPR 제28조상 개인정보 처리계약을 구분해서 확인해야 합니다.
Q3. EU 개인정보를 해외 AI 서비스에 입력해도 되나요?
서비스의 데이터 처리구조에 따라 달라집니다.
입력정보가 어느 국가에서 처리·저장되는지, 모델 학습이나 개선에 이용되는지, 어떤 Sub-processor가 관여하는지 등을 확인해야 합니다.
Q4. 한국 기업이 EU 이용자에게 직접 서비스를 제공하는 경우에도 적정성 결정만 확인하면 되나요?
아닙니다.
적정성 결정은 EU에서 한국으로 이루어지는 개인정보 이전에 관한 제도입니다.
한국 기업이 EU 이용자를 직접 대상으로 서비스를 제공한다면 GDPR의 역외적용 여부, 개인정보 처리 근거와 정보제공 의무 등은 별도로 검토해야 합니다.
8. EU 개인정보 이전, 실제 데이터 흐름까지 확인해야 합니다
한국은 2026년 정기 재검토 이후에도 EU의 GDPR 적정성 국가 지위를 유지하고 있습니다.
다만 적정성 결정은 EU→한국 개인정보 이전을 위한 추가적인 이전수단이 원칙적으로 필요하지 않다는 의미이지, 개인정보 처리와 관련한 모든 계약·규제 검토를 대신하는 것은 아닙니다.
EU 고객사의 개인정보를 처리한다면 DPA, Controller·Processor 관계, Sub-processor, 해외 클라우드·AI 서비스 이용 및 제3국 재이전 구조를 함께 확인하는 것이 중요합니다.
[디센트 법률사무소 – 국제 개인정보 자문]
디센트 법률사무소는 국내 기업이 해외 기업과 서비스를 제공하거나 데이터를 이전하는 과정에서 발생하는 개인정보 보호 및 국제 데이터 이전 관련 법률문제를 검토합니다.
🔸 EU 기업과의 DPA 및 개인정보 관련 계약 검토
🔸 GDPR상 Controller·Processor 구조 검토
🔸 EU→한국 개인정보 이전 구조 검토
🔸 해외 클라우드·AI API 이용에 따른 재이전 검토
🔸 Sub-processor 및 개인정보 처리위탁 구조 검토
🔸 개인정보 처리방침 및 국외이전 관련 문서 정비
📌 디센트 법률사무소 상담 안내
[유선 문의] 02-6951-5248
[이메일] admin@decentlaw.io
[주소] 06233 서울특별시 강남구 테헤란로4길 5 (역삼동, 해암빌딩), 7층