개인정보 국외이전, 언제 동의가 필요한가 — 클라우드 쓴다면 꼭 확인

 

개인정보 국외이전, 언제 동의가 필요한가 — 클라우드 쓴다면 꼭 확인

해외 클라우드를 쓰거나, 해외 본사에 데이터를 보내거나, 외국 업체에 업무를 맡긴다면 개인정보 국외 이전에 해당할 수 있습니다.

문제는 본인도 모르는 사이에 국외 이전이 일어나는 경우가 많다는 점입니다. 협업 도구 하나 도입했을 뿐인데 데이터가 해외 서버에 저장되고 있는 식입니다.

목차

1. 무엇이 국외 이전인가

2. 이 다섯 가지만 가능합니다

3. 동의를 받을 때 알려야 할 것

4. 클라우드를 쓴다면

5. 처리방침에도 공개해야 합니다

6. 점검 체크리스트

7. 자주 하는 실수

무엇이 국외 이전인가

개인정보를 국외의 제3자에게 제공하거나, 국외에서 처리하도록 위탁·보관하는 것을 말합니다.

유형	예시
국외 제공	해외 제휴사에 회원정보 제공
국외 위탁	해외 콜센터, 해외 개발사에 처리 위탁
국외 보관	해외 리전 클라우드에 데이터 저장
그룹사 이전	해외 본사 시스템으로 인사·고객 데이터 전송

“데이터가 물리적으로 어디에 있는가”가 기준입니다. 계약 상대가 국내 법인이어도 인프라가 해외라면 국외 이전 문제가 생길 수 있습니다.

이 다섯 가지만 가능합니다

국외 이전이 허용되는 다섯 가지 경우  |  업로드 파일 : n1.png

번호	근거	실무 적용
①	정보주체의 별도 동의	가장 일반적인 방법
②	법률·조약의 특별 규정	드묾
③	계약 체결·이행에 필요한 위탁·보관으로서 일정 사항을 공개하거나 통지	클라우드 이용 시 활용
④	보호위원회가 고시하는 인증을 받은 경우	해당 인증 확인 필요
⑤	이전받는 국가·국제기구가 동등한 보호 수준이라고 인정받은 경우	인정 목록 확인

실무에서는 ①번(별도 동의) 또는 ③번(계약 이행 목적 위탁·보관)을 주로 검토하게 됩니다.

③번은 “계약의 체결 및 이행을 위하여 필요한 경우”라는 요건이 있습니다. 마케팅 목적이나 부가 서비스까지 이 근거로 처리하기는 어렵습니다. 적용 범위를 넓게 해석하지 마십시오.

동의를 받을 때 알려야 할 것

국외 이전 동의 시 고지 사항  |  업로드 파일 : n2.png

항목	작성 예
이전되는 개인정보 항목	이름, 이메일, 접속 로그
이전받는 국가·시기·방법	미국 / 서비스 이용 시 수시 / 암호화 전송
이전받는 자	○○ Inc. (담당 연락처)
이용 목적과 보유·이용 기간	서비스 제공 / 회원 탈퇴 시까지
거부 방법·절차·효과	거부 시 해당 서비스 이용이 제한될 수 있음

‘별도’ 동의라는 점이 핵심입니다. 회원가입 동의서 안에 한 줄로 끼워 넣으면 별도 동의로 인정받기 어렵습니다. 항목을 분리해 따로 체크하도록 구성하십시오.

클라우드를 쓴다면

가장 흔하면서도 가장 놓치기 쉬운 상황입니다. 다음을 확인하십시오.

확인 사항	왜 필요한가
서비스 리전이 어디인가	해외 리전이면 국외 이전
백업은 어디에 저장되는가	운영은 국내인데 백업이 해외인 경우
재해복구 사이트는 어디인가	DR 리전이 해외인 경우
하위 처리자(sub-processor)는 누구인가	클라우드 사업자가 다시 쓰는 업체
기술지원이 해외에서 이뤄지는가	지원 과정에서 접근이 발생

수탁사가 해외 인프라를 쓰는 경우도 확인 대상입니다. 국내 업체에 위탁했는데 그 업체가 해외 클라우드를 쓴다면, 결과적으로 데이터는 해외에 있습니다. 위탁 계약 단계에서 물어보십시오.

처리방침에도 공개해야 합니다

동의를 받았다고 끝이 아닙니다. 개인정보 처리방침에 국외 이전 사항을 공개해야 합니다. 앞서 다룬 처리방침 글의 필수 항목 중 하나입니다.

또한 법령을 위반한 국외 이전에 대해서는 이전 중지를 명할 수 있는 제도가 마련돼 있습니다. 위반 시 이전 자체가 막힐 수 있다는 뜻입니다.

점검 체크리스트

항목	확인
국외로 나가는 개인정보를 전수 파악했는가	☐
각 건별로 근거(①~⑤)를 확정했는가	☐
동의를 받는 경우 별도 항목으로 분리했는가	☐
고지 5개 항목을 모두 안내했는가	☐
클라우드 리전·백업·DR 위치를 확인했는가	☐
수탁사의 해외 인프라 사용 여부를 확인했는가	☐
처리방침에 국외 이전 사항을 공개했는가	☐
이전받는 자의 보호 수준을 확인했는가	☐

자주 하는 실수

실수	문제
회원가입 동의서에 끼워 넣음	별도 동의로 인정받기 어려움
클라우드 리전만 보고 백업은 미확인	백업이 해외인 경우 누락
국내 업체에 위탁했으니 안심	해당 업체가 해외 인프라를 쓸 수 있음
③번 근거를 넓게 적용	계약 이행에 필요한 범위를 벗어나면 부적합
처리방침 미갱신	공개 의무 미이행

마치며

국외 이전은 몰라서 위반하는 대표적인 영역입니다. 도구 하나 도입할 때마다 “이 데이터가 어디에 저장되는가”를 물어보는 습관이 가장 확실한 예방책입니다.

앞서 다룬 정보자산 목록에서 서비스와 인프라 위치를 함께 기록해 두시면, 이 점검이 훨씬 쉬워집니다.

이 글은 공개된 법령·고시와 실무 경험을 바탕으로 정리한 일반 정보이며, 법률자문이 아닙니다. 기준과 수치는 개정될 수 있으므로 국가법령정보센터와 개인정보보호위원회·KISA의 최신 자료를 확인하시고, 중요한 사안은 전문가 자문을 받으시기 바랍니다.

태그
#개인정보국외이전 #국외이전동의 #클라우드 #제28조의8 #개인정보보호법 #CPO #보안실무 #컴플라이언스