EU GDPR 대표자 지정 대상 기업은?

• EU 내 개인 데이터 처리하는 EU 외 기업 의무(제3조(2), 27 GDPR)
• 면제 대상: 공공기관, 일시적 · 비대규모 · 고위험 미해당 처리(제27조(2))
• 벌금 최대 1,000만 유로 또는 전 세계 매출 2%(제83조(4)(a))
• 대표자는 감독 당국 및 정보주체 연락 창구(제4조(17))
• 2026년 10월 기준 연간 가격: 290유로부터 1,000유로 이상
• 서비스 및 비용 다양: 추가 요청, 언어, 갱신 주의

업데이트됨 18 October 2026 · 6 출처 확인됨

비교된 제공자

가격은 18 October 2026에 각 제공자의 웹사이트에 게시된 가격으로, 명시되지 않는 한 VAT를 제외합니다. 각 행은 해당 출처에 링크됩니다.

법적 요구사항: GDPR 주요 조항

EU 내 대표자 지정 의무는 GDPR 제27조에 근거하며, EU 내에 소재하지 않으면서 EU 내 개인에게 상품 또는 서비스를 제공하거나 그들의 행동을 모니터링하는 모든 데이터 관리자 또는 처리자에게 적용됩니다(제3조(2) GDPR). 이는 B2C와 B2B 기업 모두에 해당하며, EU 내 개인 데이터 처리 시 의무입니다. 대표자란 GDPR 제4조(17)에서 정의한 바와 같이, 감독 당국과 정보주체의 연락 창구 역할을 하는 EU 내에 소재한 개인 또는 법인을 의미합니다.

특정 면제 조항(제27조(2))도 존재합니다: 공공기관, 일시적·비대규모·고위험 미해당 데이터 처리. 이 중 하나라도 충족되지 않으면 지정 의무가 적용됩니다.

지정하지 않을 경우 제83조(4)(a)에 따라 최대 1,000만 유로 또는 전 세계 매출의 2%까지 벌금이 부과됩니다. 실제 사례로 Locatefamily.com은 대표자 미지정으로 52만 5천 유로 벌금을 받았습니다.

대표자는 서면 위임장을 통해 공식 지정되어야 하며, 역할 수락이 명확해야 합니다. 단순히 주소만 공개하는 것은 부족합니다. 또한 대표자는 당국 요청 시 처리 활동 기록부(제30조 GDPR)를 제시할 수 있어야 합니다.

요약하면, EU 외 기업 중 대부분은 EU 내 개인 데이터 관련 업무를 수행할 경우 대표자 지정을 반드시 해야 하며, 예외는 극히 제한적입니다.

EU 대표자 선택법: 실용적 기준과 서비스 비교

EU GDPR 대표자 선택은 단순 가격 문제가 아닙니다. 서비스 포함 내용을 정확히 이해하는 것이 중요합니다. 공급자는 크게 세 가지 유형으로 나뉩니다:

• 1단계 – 주소 제공만: EU 내 우편 주소만 제공하며, 제27조 업무를 공식 수락하지 않고 기록도 유지하지 않으며 응답 시간도 보장하지 않습니다. 가장 저렴하지만 위험이 큽니다.
• 2단계 – 완전 지정: 서면 위임장 제공, 요청 데스크 운영, 제30조 기록 관리, 당국에 대한 확실한 응답 보장 등 GDPR 요구사항을 충족합니다.
• 3단계 – 법률 사무소: 대표자 역할 외에 법률 자문과 추가 서비스를 제공하지만 비용이 매우 높으며 대부분 기업에는 과도할 수 있습니다.

서비스 포함 비교표:

실용 팁: 구매 전 반드시 위임장 양식을 요청하고, 제30조 기록 보관 주체와 지원 언어를 확인하세요. 제27조 업무를 공식 수락하지 않는 저가 서비스는 큰 위험을 초래합니다.

가격에 포함된 내용과 숨겨진 비용 구분법

EU GDPR 대표자 가격은 2026년 10월 기준 연간 300유로 미만부터 2,000유로 이상까지 다양하지만, 차이는 포함 서비스에 있습니다. 확인할 사항은 다음과 같습니다:

• 요청별 수수료: 일부 공급자는 정보주체 또는 당국 요청 건당 25~90유로 추가 비용을 부과하지만, REP27(Standard 이상)은 무제한 요청 포함.
• 제30조 기록 관리: GDPR은 대표자가 처리 활동 기록을 유지하도록 요구합니다. 일부 기본 요금제는 미포함이거나 연 400유로까지 별도 비용 발생.
• 지원 언어: 기본 요금제는 주로 영어만 포함하며, 다국어 지원은 추가 비용 발생 가능.
• 온보딩/설정 비용: 일부 공급자는 최대 250유로의 초기 비용을 청구.
• 갱신 비용 상승: 2년차부터 가격 인상 가능. REP27은 1년차보다 낮은 갱신가 적용.

주요 숨겨진 비용 요약표:

팁: 요청 수, 언어, 갱신을 고려한 총 비용 시뮬레이션을 항상 요청하고, 한도 초과 시 처리 방안을 확인하세요.

대표자 지정 절차: 단계별 가이드 및 체크리스트

EU GDPR 대표자 지정은 다음 절차를 따릅니다:

1. 의무 확인: 귀사 제품/서비스가 EU 내 개인 대상인지, 또는 행동 모니터링 여부 확인(제3조(2), 27 GDPR).
2. 공급자 선택: 가격, 포함 서비스, 언어, 숨겨진 비용 검토. 위임장 양식 요청 필수.
3. 온보딩 완료: 기업 정보 및 공급자 요청 자료 제출. REP27은 제30조 기록 작성 요구(Standard부터).
4. 문서 수령: 양측 서명 위임장, QR 인증서, 개인정보처리방침 안내서 수령.
5. 정보 공개: 개인정보처리방침에 대표자 이름, 주소, 이메일 기재(제13/14조 GDPR).
6. 운영 시작: 공급자가 요청 접수 후 지정된 기간 내(예: REP27은 2영업일 내, 당국 요청은 당일) 대응.

운영 체크리스트:

1. 제3조(2) 및 27조 의무 확인
2. 위임장 템플릿 요청 및 검토
3. 제30조 기록 보관자 확인
4. 응답 시간 보장 확인
5. 총 비용 산정(요청 수, 언어, 갱신 포함)
6. 개인정보처리방침 공개 적합성 확인

주의: 대표자 지정은 서면 수락과 양측 서명이 있어야 유효합니다.

위반 시 위험과 제재

필요 시 EU 대표자를 지정하지 않는 것은 GDPR 독립 위반 사항(제83조(4)(a))입니다. 감독 당국은 최대 1,000만 유로 또는 전 세계 매출의 2%까지 벌금을 부과할 수 있으며, 이는 다른 GDPR 준수 여부와 무관하게 적용됩니다.

실제 사례: Locatefamily.com은 대표자 미지정으로 네덜란드 당국에 의해 52만 5천 유로 벌금을 받았습니다. 또한 당국은 데이터 처리 중지 또는 위반 사실 공개 명령을 내릴 수 있습니다.

기타 위험:

• 불완전한 위임장(주소만 제공)은 제재 면책 불가
• 당국에 대한 지연 응답은 제재 강화 요인
• 대표자 지정 시에도 최종 책임은 데이터 관리자/처리자에게 있음(제27조(5))

결론: 최저가만 보고 제27조 업무 수락 및 제30조 기록 보관 여부를 확인하지 않으면 법적·평판 위험이 큽니다.

공급자가 자주 숨기는 사항: 한계, 제외, 갱신 조건

• 기본 요금제는 주소 제공만: 공식 업무 수락, 기록 유지, 당국 응답 보장 미포함.
• 요청별 비용이 연간 요금 초과 가능: 요청이 많으면 비용 급증 위험.
• 다국어 지원 드묾: 대부분 영어만 포함, REP27은 Standard부터 8개 언어 지원.
• 갱신 시 요금 인상 빈번: 첫 해 프로모션 후 인상 많음, REP27은 갱신가 할인 제공.
• 법적 책임은 항상 고객에게: 대표자는 위반 책임 부담 안 함(제27조(5)).
• 자주 제외되는 데이터 유형: 민감정보(제9조), 사법정보(제10조), 미성년자 대상, 도박, 제약, 무기, 암호화폐 관련 서비스.

팁: 포함/제외 항목과 갱신·해지 조건을 서면으로 반드시 확인하세요.

결정 매트릭스: 누가 대표자 지정해야 하나? (B2B, B2C, 마켓플레이스, 규모)

실제로 대부분 EU 외 기업은 EU 내 고객, 사용자, 수신자가 있으면 B2B, B2C, 자체 사이트 또는 마켓플레이스 여부에 관계없이 대표자 지정 의무가 있습니다.

실제 사례 3가지: 적용 의무 및 적합한 솔루션

1. 미국 SaaS, EU 고객 대상: 미국 SaaS 공급자가 EU 기업 또는 사용자에게 구독 서비스를 제공하면 EU 대표자 지정, 개인정보처리방침 공개, 제30조 기록 유지가 필요합니다. 권장 솔루션: REP27 Standard 플랜(무제한 요청, 기록 관리, 다국어 데스크 포함).
2. 중국 Amazon 판매자: 중국 기업이 Amazon을 통해 EU 소비자에게 제품 판매 시 대표자 지정 의무가 있습니다. 스위스 판매 시 nFADP 의무도 검토 필요. 권장 솔루션: REP27 Multi 플랜(스위스 평가 무료 포함).
3. 영국 B2B 전용 쇼핑몰: EU 개인 데이터 미처리 시 면제 가능하지만, 관리자/사용자 데이터 수집 시 의무 발생. 사례별 평가 필요하며, 의심 시 지정 권장.

이 사례들은 고객 유형(B2B/B2C), 처리 데이터 종류, 모니터링 여부를 기준으로 평가해야 함을 보여줍니다.