데이터 및 개인정보 보호 — South Korea (2026)

PIPA는 공공기관과 민간 조직 모두의 개인정보 수집, 이용, 처리 및 이전을 규율하는 부문 간 통합 법률입니다. 2020년 1월 전면 개정(2020년 8월 발효)을 통해 법적 체계가 통합되었으며, 2023년 9월 15일에는 또 다른 주요 개정안이 발효되었습니다.

개인정보보호위원회(PIPC)는 총리에게 직속된 독립적인 장관급 중앙행정기관으로, 9명의 위원으로 구성되어 있으며, 정책 수립, 위반 행위 조사, 처분 결정, 민원 처리 및 분쟁 조정, 그리고 전국적인 개인정보보호법(PIPA) 집행 업무를 담당한다.

PIPA는 개인 데이터에 대한 접근, 정정, 삭제 및 처리 중단 권리, 그리고 동의 철회 권리를 부여하며, 2023년 개정안을 통해 데이터 이동권(2025년부터 단계적으로 시행)과 AI 기반 처리를 포함한 완전 자동화된 결정에 대해 이의를 제기하거나 설명을 요구할 수 있는 권리가 추가되었습니다.

일반적으로 개인정보 처리에 있어서는 명시적이고 정보에 입각한 동의가 필요하며, 법에서 정한 제한적인 예외 사항만 인정됩니다. 개정된 PIPA는 해외 개인정보 이전의 법적 근거(조약, PIPC 인증, 또는 PIPC가 적절한 보호 조치를 갖추고 있다고 인정하는 관할권으로의 이전)를 확대하고, PIPC가 규정을 준수하지 않는 국경 간 개인정보 이전을 중단시킬 수 있는 권한을 부여했습니다.

2021년 12월 17일, 유럽연합 집행위원회는 한국에 대한 적정성 결정을 채택하여, 추가적인 보호 조치 없이도 EU/EEA에서 한국으로의 개인정보 이전을 허용했다. 단, 금융위원회가 감독하는 신용 정보와 종교 단체 또는 정당으로 이전되는 정보는 제외된다.

PIPC는 행정 과태료 및 시정 명령을 부과할 수 있습니다. 2025년 개혁안에 따라 한국 사용자를 대상으로 하는 외국 기업은 현지 대리인을 지정해야 하며(2025년 10월 발효), 2026년 2월 개정안에서는 중대한 위반 시 총 매출액의 최대 10%에 달하는 과태료를 부과하고 CEO 수준의 책임을 부과하며, 주요 조항은 9월부터 시행될 예정입니다.