사우디데이터인공지능청(SDAIA)이 데이터 규제 샌드박스(Data Regulatory Sandbox) 내 개인정보 보호 트랙(Personal Data Protection Track)의 등록을 개시했다고 2026년 10월 6일 월요일 발표했다. 등록 기간은 두 달간이다.
사우디 통신 SPA에 따르면 이 트랙은 개인정보 보호법(Personal Data Protection Law)과 시행령 준수를 지원하기 위한 것으로, 국가데이터거버넌스플랫폼(National Data Governance Platform)을 통해 운영된다.
등록 창구가 열린 첫날부터 사우디 국내 데이터 산업의 관심이 어디로 향하는지는 분명하다. 개인정보를 다루는 혁신 제품과 서비스를 보유한 민간 기업이 이 트랙의 직접 대상이다. 이들은 규제 당국의 감독 아래에서 자신의 제품이나 서비스를 시험할 수 있게 된다. 규제 샌드박스라는 이름이 붙은 이유도 여기에 있다. 시장에 나가기 전에, 규제의 틀 안에서 먼저 검증해 보라는 것이다.
그렇다면 이 트랙은 왜 개인정보 보호법과 시행령 준수에 초점을 맞추는가? SDAIA는 이 트랙이 기업이 개인정보 보호법과 시행령에 부합하도록 정렬하는 것을 지원한다고 밝혔다. 동시에 정보주체의 권리를 보호하고, 제품과 서비스 개발의 초기 단계부터 개인정보의 수집·처리·이용 전반에서 책임 있는 관행을 촉진한다는 목표를 제시했다. 사후 규제가 아니라 개발 초기부터의 정렬이라는 접근이다.
신청 자격은 명확하다. 신청자는 사우디아라비아 왕국에서 영업하는 면허를 보유한 민간 기업이어야 한다. 또한 그 제품이나 서비스가 개인정보 처리와 관련되어 있어야 한다. 여기에 더해 신청자는 국가데이터거버넌스플랫폼의 국가개인정보보호등록부(National Personal Data Protection Register)에 등록되어 있어야 한다. 세 가지 조건이 동시에 충족되어야 신청이 가능한 구조다.
왜 면허 보유 민간 기업으로 대상을 한정했을까? 규제 샌드박스는 규제 당국이 기업과 직접 상호작용하며 감독하는 제도다. 법적 책임 주체가 분명한 사업자와 함께해야 시험의 결과를 실제 규제 정비로 연결할 수 있다. 개인정보 처리라는 민감한 영역에서는 더욱 그렇다. 정보주체의 권리 보호라는 목표가 걸려 있기 때문이다.
국가개인정보보호등록부 등록이 선행 조건이라는 점도 눈여겨볼 부분이다. 등록부는 개인정보를 처리하는 주체를 파악하는 기본 인프라다. 샌드박스 참여를 원하는 기업은 먼저 이 기본 요건을 갖춰야 한다. 등록과 샌드박스 참여가 하나의 흐름으로 연결되는 셈이다.
SDAIA는 자격을 갖춘 기업들에게 등록 기간을 활용해 국가데이터거버넌스플랫폼을 통해 신청서를 제출할 것을 권고했다. 별도의 오프라인 절차가 언급되지 않은 점을 보면, 신청 창구는 플랫폼으로 일원화된 것으로 보인다.
두 달이라는 등록 기간은 짧지도 길지도 않다. 제품과 서비스를 준비 중인 기업이라면 자격 요건을 점검하고 등록부 등록 여부를 확인할 시간이 있다. 반대로 준비가 늦은 기업에게는 부담이 될 수 있는 기간이기도 하다. 등록 기간이 끝난 뒤 추가 접수나 연장이 있는지는 이번 발표에서 확인되지 않는다.
이번 트랙이 개인정보 보호라는 주제에 집중한다는 점은 사우디 데이터 규제 환경의 방향을 보여준다. 데이터 활용을 넓히는 동시에 개인정보 보호의 틀을 초기 단계부터 적용하려는 시도다. 혁신과 규제를 대립시키지 않고, 규제 감독 아래에서 혁신을 시험하게 하는 구조다.
기업 입장에서 샌드박스 참여의 실익은 무엇인가? SDAIA가 제시한 내용에 따르면 규제 감독 아래에서 제품과 서비스를 시험할 수 있고, 개인정보 보호법과 시행령에 대한 정렬을 지원받을 수 있다. 출시 이후 적발과 제재로 이어질 수 있는 위험을 사전에 줄이는 효과를 기대할 수 있는 대목이다. 다만 구체적인 지원 내용이나 혜택의 범위는 이번 발표에 담기지 않았다.
정보주체의 권리 보호라는 표현도 주목된다. 개인정보 처리의 초기 단계부터 책임 있는 관행을 촉진한다는 것은, 결국 데이터를 제공하는 개인의 신뢰를 확보하는 문제와 연결된다. 서비스가 개인정보를 어떻게 수집하고 처리하고 이용하는지가 초기 설계에서 결정된다면, 그 이후의 운영 단계에서 발생할 수 있는 문제도 줄어든다.
사우디 국내에서 활동하는 민간 기업에게 이번 등록 개시는 하나의 선택지가 새로 생겼다는 의미다. 개인정보 기반 제품이나 서비스를 준비하는 기업이라면, 규제 당국의 감독 아래에서 시험할 기회를 두 달간 신청할 수 있다. 조건은 면허, 개인정보 처리 관련성, 국가개인정보보호등록부 등록이다.
이번 SPA 발표에는 트랙에 참여할 수 있는 기업 수의 상한, 선정 기준, 심사 절차, 시험 기간, 참여 비용, 지원 범위 등이 명시되지 않았다. 등록 기간이 두 달이라는 점과 신청 경로가 국가데이터거버넌스플랫폼이라는 점, 자격 요건 세 가지가 확인된 내용의 전부다. 후속 발표가 나오는지 여부도 이번 보도에서는 언급되지 않았다.
데이터 규제 샌드박스라는 제도 자체가 규제와 혁신 사이의 접점을 만들려는 시도라면, 개인정보 보호 트랙은 그중에서도 가장 민감한 영역을 다룬다. 개인정보는 활용 가치가 큰 동시에 보호 요구가 강한 데이터다. 이 두 가지를 동시에 만족시키는 방법을 기업이 규제 당국과 함께 찾아보게 하는 것이 이 트랙의 구조다.
SDAIA가 월요일 발표에서 등록 개시를 알리고 적격 기업에 신청을 권고했다는 사실은, 제도가 선언 단계를 지나 운영 단계로 들어섰다는 신호로 읽힌다. 두 달의 등록 기간 동안 어떤 기업들이 어떤 제품과 서비스로 참여를 신청하는지가 이 트랙의 실제 성격을 보여줄 것으로 보인다.
개인정보 보호법과 시행령이라는 규범이 있고, 그 준수를 지원하는 샌드박스 트랙이 있고, 그 창구가 국가데이터거버넌스플랫폼으로 열려 있다. 사우디에서 개인정보를 다루는 민간 기업이 지금 확인해야 할 것은 자신이 이 세 가지 조건에 해당하는지 여부다.
등록 기간은 얼마나 되는가? SDAIA는 2026년 10월 6일 월요일 등록 개시를 발표했으며 등록 기간은 두 달간이다. 신청은 국가데이터거버넌스플랫폼을 통해 이뤄진다.
누가 신청할 수 있는가? 사우디아라비아 왕국에서 영업하는 면허 보유 민간 기업이어야 하며, 제품이나 서비스가 개인정보 처리와 관련되어야 한다. 또한 국가데이터거버넌스플랫폼의 국가개인정보보호등록부에 등록되어 있어야 한다.
이 트랙의 목적은 무엇인가? 개인정보 보호법과 시행령 준수를 지원하고, 기업이 규제 감독 아래에서 제품과 서비스를 시험하도록 하는 것이다. 정보주체의 권리 보호와 초기 단계부터의 책임 있는 개인정보 수집·처리·이용 관행 촉진을 목표로 한다.
어떤 기업이 대상인가? 개인정보 처리에 기반한 혁신 제품이나 서비스를 보유한 민간 기업이 대상이다. SDAIA는 자격을 갖춘 기업에 등록 기간을 활용해 플랫폼을 통해 신청서를 제출하도록 권고했다.
발표에 포함되지 않은 내용은? 참여 기업 수 상한, 선정 기준, 심사 절차, 시험 기간, 참여 비용, 지원 범위 등은 이번 SPA 발표에 명시되지 않았다. 등록 기간과 신청 경로, 자격 요건이 확인된 내용이다.
