PDPL 개정안, 저장 위치를 비용 변수로 바꾸다
2026년 10월 사우디아라비아의 개인정보 규제 개정 논의는 중동 진출 기업의 손익계산서를 다시 쓰게 만들 수 있다. 데이터는 그동안 클라우드 리전, 보안 인증, 서비스 지연시간의 문제로 다뤄졌지만 이제는 법적 저장 위치와 벌금 위험의 문제가 됐다.
사우디아라비아 데이터 및 인공지능청(SDAIA)이 개인정보보호법(PDPL) 시행령 추가 개정안을 제안하면서 핵심 쟁점은 국경 간 이전 허용 여부가 아니라 사우디 거주자 개인정보를 어디에 보관하느냐로 이동했다. 필자는 이번 개정안이 단순한 개인정보 규정 보완보다 중동 디지털 시장의 진입 비용을 끌어올리는 산업 정책 신호에 가깝다고 판단한다. 한국 기업이 이 사안을 먼 나라 규제로 넘기기 어려운 이유는 적용 범위에 있다.
개인정보보호법(PDPL)은 사우디아라비아에 법인을 둔 기업만 겨냥하지 않는다. 사우디 거주자의 개인 데이터를 처리하는 해외 기업도 규율 대상으로 삼는다. 전자상거래, 게임, 핀테크, 모빌리티, 인공지능(AI) 기반 고객 분석 서비스를 운영하는 기업이라면 사우디 현지 법인이 없어도 규제 비용을 떠안을 수 있다는 뜻이다.
Womble Bond Dickinson이 2026년 10월 28일 공개한 보고서에 따르면 이번 개정안은 2025년 초기 협의를 거쳐 나왔고, 의견 제출 기한은 2026년 11월 5일이다. 최종안은 발표 60일 뒤 효력을 갖는 구조로 제시됐다. 기업 입장에서는 법안 확정 이후 시스템을 처음 설계할 시간이 넉넉하지 않다.
위반 시 최대 500만 사우디 리얄, 약 130만 달러의 벌금이 가능하고 반복 위반 때에는 그 두 배까지 올라갈 수 있다는 점도 리스크를 재무 항목으로 끌어올린다. 가장 큰 변화는 제23조 2항의 문구다. 개정안은 개인정보의 국경 간 이전을 허용하는 틀을 남기면서도 '개인정보처리자는 개인정보를 사우디아라비아 왕국 내에 저장해야 한다'는 의무를 포함한다.
광고
이 구조는 국외 이전 자체를 금지하는 방식과 다르다. 데이터를 해외로 분석하거나 처리할 수 있는 여지를 두더라도 원본 또는 일정 범위의 개인정보 저장 위치를 사우디 안으로 묶는다면, 기업의 클라우드 아키텍처와 백업 정책은 처음부터 다시 계산해야 한다. 본지 분석에 따르면 이 조항은 글로벌 플랫폼 기업보다 중견 디지털 기업에 더 거친 비용 압박으로 작용할 가능성이 크다.
대형 클라우드·플랫폼 사업자는 현지 리전, 파트너 데이터센터, 법무 조직을 활용할 여지가 상대적으로 크다. 반면 웹사이트와 모바일 앱으로 사우디 이용자를 직접 확보한 해외 컨트롤러는 사우디 밖에서 데이터를 수집했더라도 저장 의무를 피하기 어렵다. Womble Bond Dickinson 보고서도 이 점을 명시하며, 해외 컨트롤러가 데이터를 왕국 밖으로 '이전'하지 않는 경우에도 저장 위치 의무를 별도로 준수해야 한다고 지적했다.
고객관리(CRM), 결제 이력, 마케팅 동의, 앱 로그를 하나의 글로벌 데이터베이스에 쌓아 온 기업일수록 분리 저장과 접근권한 통제 비용이 빠르게 늘어난다.
클라우드·플랫폼 기업의 중동 설계 재검토
이 변화는 클라우드 시장에도 직접적인 가격 신호를 보낸다. 기업이 사우디 내 저장을 선택하려면 현지 인프라를 쓰거나 현지 사업자와 계약해야 한다. 데이터 처리 흐름을 분리하면 운영비만 늘지 않는다.
장애 대응, 보안 모니터링, 백업, 데이터 삭제 요청 처리까지 지역별 프로세스로 나뉘면서 내부 개발 인력과 법무 인력의 업무량이 같이 증가한다. 중동 시장 매출이 아직 크지 않은 한국 소프트웨어 기업에는 진출 여부 자체를 다시 따져야 하는 문턱이 될 수 있다. 기존 규정 준수 경험도 안전판이 되지 않는다.
유럽 일반 개인정보보호 규정(GDPR)이나 미국 캘리포니아 소비자 개인정보보호법(CCPA)에 맞춰 동의 관리, 열람권, 삭제권, 국외 이전 계약을 갖춘 기업이라도 사우디식 저장 의무에는 별도 대응이 필요하다.
광고
GDPR 준수 체계는 데이터 주체 권리와 이전 적정성, 처리 근거에 초점을 맞춘다. Womble Bond Dickinson 보고서에 따르면 사우디 개정안이 제시한 저장 위치 의무는 같은 개인정보보호 범주에 속하지만 비용이 발생하는 지점이 법무 문서가 아니라 서버 배치와 데이터베이스 설계라는 점에서 성격이 다르다. 반론도 가능하다.
사우디 시장 매출이 제한적인 기업이라면 과도한 현지 투자가 비효율적이라고 판단할 수 있다. 법 시행 전 최종 문구가 바뀔 수 있고, 세부 예외나 이전 메커니즘이 추가로 제시될 여지도 있다. 그러나 이 반론은 데이터 주권 규제가 기업의 선택지가 아니라 시장 접근 조건으로 변하고 있다는 구조를 작게 본다.
의견 수렴이 2026년 11월 5일로 잡힌 만큼 기업은 최종안을 기다리는 동안에도 사우디 거주자 데이터 식별, 저장 위치 파악, 제3자 처리업체 계약 점검을 먼저 진행해야 한다. 본지 분석에 따르면 산업 생태계 관점에서 더 큰 수혜자는 현지 데이터센터, 관리형 보안 서비스, 법률·컴플라이언스 자문, 클라우드 마이그레이션 업체가 될 가능성이 있다.
개별 기업의 부담은 새로운 서비스 시장의 매출로 이동한다. 사우디가 디지털 전환을 추진하면서 데이터 보호에 대한 책임과 통제를 강화하려는 의지를 드러냈다는 점도 중요하다. 규제 강화는 해외 기업에 비용이지만, 현지 인프라 사업자와 합작 파트너에게는 고객 확보의 근거가 된다.
한국 기업, 현지 저장·파트너 전략 선점해야
본지 분석에 따르면 한국 기업의 대응은 세 단계로 좁혀진다. 먼저 사우디 거주자 개인정보가 어떤 경로로 들어오는지 확인해야 한다.
광고
다음으로 저장 위치, 백업 위치, 분석용 복제본의 존재를 구분해야 한다. 마지막으로 현지 저장이 필요할 때 직접 인프라를 둘지, 클라우드·호스팅 사업자와 계약할지, 현지 파트너를 통해 운영할지 비용과 통제권을 비교해야 한다.
이 작업을 법 시행 뒤에 시작하면 마케팅 캠페인 중단, 신규 가입 제한, 고객 데이터 이전 지연 같은 영업 차질로 이어질 수 있다. 이번 개정안은 중동 데이터 시장의 규칙이 저비용 원격 서비스에서 현지 책임 기반 서비스로 바뀌는 흐름을 보여준다. 사우디아라비아는 개인정보의 국경 간 이전을 완전히 닫지 않으면서도 저장 위치를 통해 기업의 물리적·계약적 발자국을 요구하려 한다.
한국 기업이 이를 규제 부담으로만 읽으면 중동 사업은 비용 항목으로 남는다. 반대로 저장·보안·운영 체계를 사업 설계의 앞단에 놓는 기업은 규제를 진입 장벽이자 신뢰 인프라로 활용할 수 있다. 사우디 데이터 장벽 앞에서 한국 기업에 남은 현실적 선택지는 규제 준수를 제품 경쟁력의 일부로 내재화하는 것이다.
※ 이 기사는 Womble Bond Dickinson의 2026년 10월 28일자 보고서(사우디아라비아 개인정보보호법 시행령 추가 개정안 관련 보도)를 참조하여 작성했다.
FAQ
Q. 사우디에 법인이 없는 한국 기업도 개인정보보호법(PDPL) 적용 대상이 될 수 있나
A. 적용 대상이 될 수 있다. Womble Bond Dickinson의 2026년 10월 28일 보고서에 따르면 개인정보보호법(PDPL)은 사우디아라비아에 설립된 기업과 함께 사우디 거주자의 개인 데이터를 처리하는 해외 기업에도 적용된다. 웹사이트, 모바일 앱, 글로벌 고객 플랫폼으로 사우디 이용자의 계정 정보나 거래 정보를 받는 기업은 현지 법인 유무만으로 위험을 판단해서는 안 된다. 기업은 우선 가입 국가, 배송지, 결제 정보, 마케팅 동의 기록을 기준으로 사우디 거주자 데이터를 식별하는 내부 점검을 진행해야 한다. 위반 시 최대 500만 사우디 리얄(약 130만 달러), 반복 위반 시 최대 1,000만 사우디 리얄의 벌금이 부과될 수 있다는 점도 재무 리스크로 명확히 인식해야 한다.
Q. 유럽 일반 개인정보보호 규정(GDPR)을 이미 준수하면 추가 대응이 필요 없나
A. 추가 대응이 필요하다. 유럽 일반 개인정보보호 규정(GDPR)이나 캘리포니아 소비자 개인정보보호법(CCPA) 준수 체계는 동의, 권리 행사, 처리 근거, 국외 이전 절차를 상당 부분 다루지만 사우디 개정안의 핵심은 저장 위치 의무다. 개정안 제23조 2항이 최종안에 유지되면 서버 위치, 백업 정책, 데이터 복제 구조를 별도로 검토해야 한다. 기존 컴플라이언스 문서만 점검하지 말고 클라우드 구성도와 데이터 흐름도를 함께 확인해야 한다. GDPR 체계는 법무 문서 중심이지만 사우디 의무는 서버 배치와 데이터베이스 설계 비용을 직접 발생시키는 구조적 차이가 있다.
Q. 기업은 최종안 발표 전 무엇을 먼저 준비해야 하나
A. 최종 문구가 확정되지 않았더라도 지금 준비할 수 있는 항목은 분명하다. 사우디 거주자 개인정보의 수집 경로, 저장 장소, 접근 권한, 제3자 처리업체를 표로 정리하는 작업이 출발점이다. 이후 현지 저장이 필요할 경우 직접 인프라 구축, 클라우드 리전 활용, 현지 파트너 계약 중 어떤 방식이 비용과 통제권 측면에서 적합한지 비교해야 한다. 의견 제출 기한이 2026년 11월 5일이고 최종안 발표 후 60일 뒤 효력이 발생하는 구조인 만큼, 중동 매출 비중이 있는 기업은 법무팀과 정보보호팀, 클라우드 운영팀이 같은 기준으로 대응 일정을 잡아야 한다.
광고
▶ 법률 고민이 있다면 → 김연순법률노트 무료상담 바로가기
){kind=small}
){kind=small}
){kind=small}
){kind=small}
