PIPA

PIPA에 따른 처리의 법적 근거

PIPA는 개인정보의 모든 수집이나 이용에 동의를 요구하지 않습니다.

상황에 따라 다음과 같은 법적 근거에 의해 처리가 허용될 수 있습니다.

• 정보주체의 동의
• 계약의 체결 또는 이행을 위한 필요성
• 법령상 의무의 준수
• PIPA가 인정하는 일정한 정당한 이익을 위해 필요한 처리
• 생명, 신체 또는 재산과 관련된 긴급한 상황
• 그 밖에 법에서 특별히 허용하는 경우

PIPC는 계약 이행의 필요성과 같은 법적 근거가 적용되는 경우 조직이 해당 처리를 동의가 필요한 것처럼 부적절하게 표시해서는 안 된다는 점을 특히 강조해 왔습니다.

이러한 구분은 웹사이트 동의 화면을 설계할 때 중요합니다.

PIPA에 따른 동의

동의를 법적 근거로 사용하는 경우, 조직은 개인에게 처리에 관한 명확한 정보를 제공하고 PIPA의 요건에 따라 동의를 받아야 합니다.

동의 인터페이스는 서로 관련 없는 목적을 하나의 불명확한 선택으로 묶지 말고 관련 처리 활동을 구분해야 합니다.

조직은 다음을 보여 주는 증빙을 유지해야 합니다.

• 어떤 정보가 제시되었는지
• 처리 목적
• 제시된 동의 선택지
• 개인의 결정
• 동의 일시
• 관련 개인정보 처리방침 또는 고지의 버전
• 이후의 철회 또는 변경

ConsentX는 웹사이트 수준의 동의 활동에 대해 이러한 증빙을 유지하는 데 도움을 줄 수 있습니다.

별도 동의 요건

PIPA는 별도의 동의 또는 추가 동의가 필요한 경우를 규정합니다.

여기에는 다음과 관련된 처리가 포함될 수 있습니다.

• 민감정보
• 고유식별정보
• 일부 제3자 제공
• 일부 국외 이전

PIPC는 사업자가 국외 처리에 대한 동의를 받지 않았거나 이를 적절히 알리지 않은 경우 집행 조치를 취해 왔습니다.

민감정보

PIPA는 민감정보에 대해 강화된 보호를 규정합니다.

여기에는 다음과 같은 영역을 드러내거나 이와 관련된 정보가 포함됩니다.

• 사상
• 정치적 견해
• 신념
• 건강 및 의료 정보
• 성생활
• 그 밖에 법령에서 정하는 범주

민감정보의 처리는 제한되며, 적절한 법적 근거와 추가적인 안전조치가 필요합니다. 동의가 적용되는 근거인 경우 별도의 동의가 필요합니다.

조직은 다음에 대해 별도의 통제를 유지해야 합니다.

• 수집
• 목적의 명확화
• 접근
• 보관
• 제공
• 보유
• 보안
• 동의

고유식별정보

PIPA는 고유식별정보에 대해 추가적인 보호를 규정합니다.

일정한 식별번호와 같은 정보를 처리하는 조직은 특정 법적 요건을 준수해야 합니다.

동의가 필요한 경우, 조직은 일반적인 개인정보 동의가 고유식별정보의 처리까지 자동으로 포함한다고 가정해서는 안 됩니다.

해당되는 경우 동의 및 개인정보 워크플로는 이러한 처리를 명확히 구분해야 합니다.

아동의 개인정보

PIPA는 만 14세 미만 아동에 대해 추가적인 보호를 규정합니다.

필요한 경우 조직은 아동의 법정대리인으로부터 동의를 받아야 하며, 그 동의를 확인하고 기록하는 적절한 절차를 마련해야 합니다. PIPC의 해외 사업자 가이드라인은 만 14세 미만 아동에 대한 법정대리인 동의를 PIPA의 중요한 의무로 특별히 명시하고 있습니다.

따라서 아동에게 서비스를 제공하는 조직은 다음을 고려해야 합니다.

• 연령 확인
• 법정대리인 확인
• 법정대리인 동의
• 동의 기록
• 아동 전용 개인정보 처리방침
• 적절한 개인정보 최소화
• 삭제 및 보유 통제

PIPA에 따른 정보주체의 권리

PIPA는 개인에게 자신의 개인정보에 관한 중요한 권리를 부여합니다.

상황에 따라 개인은 다음과 같은 권리를 행사할 수 있습니다.

• 개인정보 열람
• 부정확한 정보의 정정
• 삭제
• 처리정지
• 전송 중지
• 그 밖에 법에서 정한 권리

PIPC는 개인이 열람, 정정, 삭제 및 처리정지를 요구할 수 있는 절차를 제공합니다.

조직은 다음에 관한 문서화된 워크플로를 유지해야 합니다.

1. 1요청 접수
2. 2요청자 확인
3. 3관련 개인정보 식별
4. 4요청 검토
5. 5법적 제한 또는 예외의 적용
6. 6요청된 조치의 완료
7. 7결과 통지
8. 8대응 증빙 유지

개인정보 처리방침

PIPA는 조직이 적절한 개인정보 처리방침을 수립하고 공개하도록 요구합니다.

처리방침은 관련 개인정보 처리에 관해 이해하기 쉬운 정보를 제공해야 하며, 다음과 같은 사항을 포함합니다.

• 수집하는 개인정보
• 처리 목적
• 보유 및 이용 기간
• 제3자 제공
• 처리위탁
• 국외 처리
• 정보주체의 권리
• 안전성 확보 조치
• 연락처 및 담당자
• 그 밖에 PIPA가 요구하는 정보

PIPC는 개인정보 처리방침 공개를 PIPA의 적용을 받는 해외 사업자의 의무로 특별히 강조하고 있습니다.

개인정보 최소화 및 목적 제한

조직은 정당하고 명확하게 정해진 처리 목적에 필요한 범위에서만 개인정보를 수집하고 이용해야 합니다.

사업자는 다음을 정기적으로 검토해야 합니다.

• 어떤 정보를 수집하는지
• 왜 수집하는지
• 각 항목이 계속 필요한지
• 정보를 얼마나 오래 보유하는지
• 어떤 제3자가 정보를 받는지
• 정보가 추가 목적으로 이용되는지

더 이상 필요하지 않은 데이터는 해당 PIPA 요건에 따라 파기해야 합니다.

데이터 보안 요건

PIPA는 조직이 개인정보를 다음으로부터 보호하기 위한 적절한 안전조치를 시행하도록 요구합니다.

• 분실
• 도난
• 유출
• 무단 접근
• 위조·변조
• 훼손
• 그 밖의 보안 사고

조직은 기술적 통제와 관리적 통제를 모두 마련해야 합니다.

여기에는 다음이 포함될 수 있습니다.

기술적 안전조치

• 접근 통제
• 인증
• 암호화
• 보안 모니터링
• 취약점 관리
• 네트워크 보호
• 접속 기록

관리적 안전조치

• 개인정보 보호 정책
• 직원 교육
• 접근 관리 절차
• 사고 대응 계획
• 공급업체 관리·감독
• 정기적인 보안 평가
• 개인정보 보호 책임의 지정

PIPC는 사고 발생 후의 집행에만 의존하기보다 예방적인 개인정보 보호 및 보안 관리를 점점 더 강조하고 있습니다.

개인정보 유출 통지

조직은 해당되는 개인정보 유출에 신속하게 대응해야 합니다.

현행 체계에서 사업자는 해당 통지 요건이 충족되는 경우 일반적으로 관계 기관과 영향을 받은 정보주체에게 지체 없이, 72시간 이내에 통지해야 합니다. PIPC는 한국 정보주체의 정보를 처리하는 해외 사업자에 대해서도 72시간 요건을 강조해 왔습니다.

유출 대응 프로그램에는 다음이 포함되어야 합니다.

• 사고 탐지
• 위험 평가
• 피해 확산 방지
• 규제 기관 신고
• 개인 통지
• 개선 조치
• 증거 보존
• 사고 후 검토

PIPC는 조직이 적절한 안전조치를 유지하지 않았거나 유출 통지를 지연한 경우 상당한 제재를 부과해 왔습니다.

개인정보의 국외 이전

PIPA는 개인정보를 대한민국 밖으로 이전하는 데 관한 구체적인 요건을 규정합니다.

상황과 적용되는 이전 수단에 따라 조직은 다음을 해야 할 수 있습니다.

• 별도의 동의 받기
• 필요한 이전 관련 정보 제공
• 적절한 계약 체결
• 법적으로 인정되는 다른 이전 수단 활용
• 필요한 평가 수행
• 적절한 안전조치 유지

PIPC는 해당 요건을 충족하지 않고 한국 이용자의 정보를 해외로 이전한 기업에 대해 이러한 규정을 적극적으로 집행해 왔습니다.

해외 공급업체의 국외 처리

조직은 다음을 구분해야 합니다.

처리위탁

해외 서비스 제공자가 해당 위탁 계약에 따라 조직을 대신하여 개인정보를 처리하는 경우입니다.

제3자 제공

수령자가 통상적인 처리위탁의 범위를 벗어나는 방식으로 정보를 독자적으로 받거나 처리하는 경우입니다.

적용되는 법적 근거, 투명성, 계약상 의무 및 이전 요건이 달라질 수 있으므로 이 구분이 중요합니다.

PIPC는 모든 외부 이전을 단순히 "공유" 또는 "위탁"으로 설명하는 것만으로는 충분하지 않으며, 조직이 관계를 정확하게 규정해야 한다는 점을 특히 강조해 왔습니다.

해외 사업자의 국내대리인

PIPA의 적용을 받는 일부 해외 사업자는 한국에 국내대리인을 지정해야 할 수 있습니다.

국내대리인은 개인정보 관련 소통, 규제 사안 및 정보주체의 권리에 관한 중요한 연락 창구 역할을 할 수 있습니다.

해외 조직은 자사의 사업 활동과 처리 규모가 해당 국내대리인 지정 요건에 해당하는지 검토해야 합니다.

개인정보 보호책임자와 개인정보 보호 거버넌스

PIPA는 조직의 책임성을 크게 강조합니다.

조직은 해당되는 경우 개인정보 보호책임자(CPO)의 역할을 포함하여 개인정보 보호에 대한 명확한 책임을 정해야 합니다.

2026년 개정은 대량의 개인정보나 민감정보를 처리하는 조직과 관련된 조치를 포함하여 경영진의 책임성과 개인정보 보호책임자의 역할을 더욱 강화합니다.

개인정보 보호 거버넌스는 다음을 포괄해야 합니다.

• 내부 개인정보 보호 정책
• 데이터 처리 감독
• 위험 관리
• 보안 협력
• 직원 교육
• 유출 대응
• 공급업체 관리
• 컴플라이언스 검토
• 경영진 보고

개인정보 영향평가

PIPA의 평가 요건이 적용되는 상황에서 개인정보를 처리하는 조직은 개인정보 영향평가(PIA)를 수행해야 할 수 있습니다.

PIA는 조직이 다음을 식별하는 데 도움이 될 수 있습니다.

• 처리 위험
• 보안 취약점
• 과도한 수집
• 개인에 대한 프라이버시 위험
• 적절한 위험 완화 조치

조직은 자사의 처리 활동이 의무적 PIA 요건에 해당하는지 검토해야 합니다.

PIPA에 따른 쿠키 및 온라인 추적

PIPA는 쿠키 동의만을 다루는 법률이 아닙니다.

다만 쿠키, 픽셀, 광고 식별자, 분석 도구, 기기 식별자 및 그 밖의 추적 기술은 사용 방식에 따라 개인정보 또는 개인정보와 관련된 처리를 수반할 수 있습니다.

따라서 조직은 다음을 검토해야 합니다.

• 트래커가 어떤 정보를 수집하는지
• 해당 정보가 개인정보에 해당하는지
• 식별 가능한 개인과 연결될 수 있는지
• 처리 목적
• 법적 근거
• 정보가 제3자에게 제공되는지
• 정보가 한국 밖으로 이전되는지
• 별도의 동의가 필요한지

웹사이트의 경우 조직은 모든 쿠키가 PIPA에 따라 자동으로 동의를 필요로 한다고 가정해서는 안 됩니다. 대신 구체적인 처리 활동과 적용되는 법적 근거를 검토해야 합니다.

온라인 광고와 개인정보

광고 및 분석 생태계는 PIPA 준수와 관련된 추가적인 고려 사항을 발생시킬 수 있습니다.

조직은 다음을 검토해야 합니다.

• 광고 식별자
• 행태 분석
• 리타기팅
• 오디언스 세분화
• 제3자 픽셀
• SDKs
• 국외 분석 서비스 제공자
• 광고 플랫폼과의 데이터 공유

제3자가 개인정보를 독자적으로 처리하거나 이용하는 경우, 조직은 해당 약정이 처리위탁인지 제3자 제공인지 검토하고 적용되는 법적 요건을 파악해야 합니다.

자동화된 결정

PIPA는 자동화된 결정에 관한 보호 규정을 포함합니다.

자동화된 시스템을 사용하여 개인에게 영향을 미치는 결정을 내리는 조직은 투명성, 설명, 거부 및 그 밖의 해당 요건을 검토해야 합니다.

이 영역은 특히 다음과 관련이 있습니다.

• AI 시스템
• 신용 또는 위험 평가
• 추천 시스템
• 채용 시스템
• 맞춤형 광고
• 자동화된 자격 판단

조직은 자동화된 처리가 어떻게 작동하는지 문서화하고 적용되는 권리와 안전조치를 파악해야 합니다.

AI와 PIPA

대한민국의 개인정보 보호 규제기관은 AI 개발 및 서비스에서의 개인정보 이용을 다루는 가이드라인을 점점 더 많이 마련해 왔습니다.

PIPC는 목적의 정당성, 필요성, 이익과 정보주체 권리 간의 형량 등 법적 요건이 충족되는 경우, 공개된 데이터의 일부 AI 관련 처리에 대한 잠재적 법적 근거로 정당한 이익을 인정했습니다.

따라서 AI에 개인정보를 이용하는 조직은 다음을 평가해야 합니다.

• 학습 데이터의 출처
• 법적 근거
• 필요성
• 개인정보 최소화
• 프라이버시 위험
• 보안 통제
• 정보주체의 권리
• 비식별화
• 모델 및 출력에 대한 안전조치
• 해당되는 경우 개인정보 영향평가

2026년 PIPA 개정

2026년 9월 11일부터 시행된 PIPA 개정은 대한민국의 개인정보 보호 집행 및 거버넌스 체계에 중대한 변화를 가져옵니다.

주요 내용은 다음과 같습니다.

중대하고 반복적인 유출에 대한 제재 강화

개정된 체계는 특정한 반복적이고 중대한 개인정보 유출 상황에 대해 연간 매출액의 최대 10%에 이르는 징벌적 제재를 도입합니다.

경영진 책임성 강화

개정 사항은 개인정보 보호에 대한 CEO와 개인정보 보호책임자의 책임을 강화합니다.

ISMS-P 관련 변화

개정된 체계는 감독과 예방을 위한 추가 장치를 포함하여 개인정보 보호와 ISMS-P 인증 간의 연계를 강화합니다.

AI 관련 개정

2026년 8월 국회는 공익 목적의 AI 개발을 위한 개인정보의 적법한 이용을 다루는 추가 PIPA 개정안도 통과시켰으며, 여기에는 추가적인 개인정보 보호 안전조치와 PIPC의 감독 장치가 함께 포함되어 있습니다. 조직은 이 개정의 시행일과 세부 이행 요건을 지켜봐야 합니다.

개인정보의 보유 및 파기

조직은 해당 처리 목적에 필요한 기간 동안 또는 법령에서 달리 요구하는 기간 동안에만 개인정보를 보유해야 합니다.

보유 프로그램은 다음을 정해야 합니다.

• 보유 기간
• 계속 보유하는 목적
• 데이터 범주
• 법적 보유 요건
• 삭제 기준
• 안전한 파기 방법
• 파기 기록

PIPC는 잠재적 유출의 영향을 최소화하기 위해 더 이상 필요하지 않은 개인정보를 파기하는 것이 중요하다고 강조해 왔습니다.

제3자 수탁자

공급업체를 통해 개인정보를 처리하는 조직은 적절한 관리·감독을 유지해야 합니다.

여기에는 다음이 포함됩니다.

• 공급업체 실사
• 처리 계약
• 보안 요건
• 비밀유지
• 재수탁자 통제
• 유출 통지 요건
• 데이터 삭제
• 접근 통제
• 국외 이전 평가
• 컴플라이언스 모니터링

해외 공급업체가 한국의 개인정보를 처리하는 경우, 조직은 PIPA의 국외 이전 요건을 별도로 평가해야 합니다.