개인정보보호위원회는 2025. 9. 16. 개인정보 보호법 제28조의8 제1항 제5호에 따라 유럽연합(이하 “ EU ”)의 개인정보보호 체계가 개인정보 보호법에 따른 개인정보 보호 수준과 실질적으로 동등한 수준을 갖추었음을 인정하였다고 공고하였습니다. 이에 따라 개인정보처리자는 개인정보 국외 이전에 대한 정보주체의 별도 동의가 없는 경우에도 개인정보를 EU 역내 27개국 및 EEA 역내 3개국(노르웨이, 리히텐슈타인, 아이슬란드)에 제공(조회되는 경우 포함), 처리위탁 및 보관(이하 “ 이전 ”)이 가능해졌습니다. I. 동등성 인정 개요 EU의 GDPR (General Data Protection Regulation)은 EU 집행위원회(European Commission, 이하 “ EC ”)에서 제3국 등이 개인정보에 대한 충분한 수준의 보호(adequate level of protection)을 제공한다고 결정하는 경우에는 개인정보를 해당 국가로 이전할 수 있다고 규정하고 있습니다{Article 45(1)}. 이에 따라 EC는 2021. 12. 대한민국의 개인정보 보호 수준이 충분하다는 ‘적정성 결정(Adequacy Decision)’을 하였고, 해당 결정에 근거하여 국외 이전에 관한 정보주체의 동의 없이도 EU의 개인정보가 대한민국으로 이전될 수 있게 되었습니다. 그에 반해 2023. 3. 개정 전의 舊 개인정보 보호법은 개인정보처리자가 개인정보를 국외 제3자에게 제공하거나 정보통신서비스 제공자들이 이용자들의 개인정보를 국외로 이전하고자 하는 경우 원칙적으로 동의를 받도록 하면서 정보통신서비스 제공자의 개인정보 처리위탁 및 보관에 대해서만 특정한 조건 하에 예외를 두고 있었습니다(제17조 제3항, 제39조의12 제2항). 따라서 정보주체 동의 없이는, GDPR과 같이 특정 국가 등에 개인정보를 이전하는 것이 불가능한 상황이었습니다. 그런데 개인정보 보호법이 2023. 3. 개정되면서 국외 이전이 허용되는 경우가 정보주체의 별도 동의, 계약 체결 및 이행을 위한 개인정보 처리위탁 및 보관, 법률, 조약 또는 국제협정의 특별한 규정, 개인정보보호위원회가 고시하는 인증, 동등성 인정 등으로 다양화 되었습니다. 그중 동등성 인정 이란, 개인정보보호위원회가 개인정보가 이전되는 국가 또는 국제기구의 개인정보 보호체계 등이 개인정보 보호법에 따른 개인정보 보호 수준과 실질적으로 동등한 수준을 갖추었음을 인정하는 것으로, 이 경우 정보주체의 동의 없이도 해당 국가로 개인정보를 이전 할 수 있습니다(개인정보 보호법 제28조의8 제1항 제5호). EU에 대한 이번 동등성 인정은 개정 개인정보 보호법에 따른 개인정보보호위원회의 첫 번째 동등성 인정 사례 입니다. II. 동등성 인정의 효과 1. 정보주체의 동의 없는 개인정보 국외 이전 개인정보 보호법 제28조의8 제1항은 개인정보처리자가 개인정보를 국외로 이전할 수 있는 경우로, 정보주체로부터 국외 이전에 관한 별도의 동의를 받은 경우(제1호)와 병렬적으로, 동등성 인정이 있는 경우 (제5호, 개인정보가
