개인정보의 국외 이전
국외 이전은 서버 위치뿐 아니라 해외의 누가 어떤 정보를 조회·보관·처리하는지와 그 법적 근거를 함께 확인해야 합니다.
사례로 보는 문제
가상의 사례입니다. 국내 판매사를 통해 고객지원 서비스를 도입했지만 고객자료는 해외에 보관됐고, 해외 지원업체도 장애 대응 중 자료를 조회할 수 있었습니다. 국내에서 계약했다는 사실만으로 개인정보가 국내에서만 처리된다고 볼 수는 없습니다.
저장과 조회를 포함한 흐름을 확인합니다
개인정보 보호법의 국외 이전에는 국외의 제3자에게 제공하는 행위와 처리위탁·보관이 포함되며, 제공에는 조회되는 경우도 포함됩니다. 국내 리전을 사용하더라도 해외 지원·백업·재위탁 과정에서 별도의 이전이 발생하는지 확인해야 합니다.
해외 소재 기업의 서비스라는 이유만으로 국외 이전을 단정하는 것도 적절하지 않습니다. 계약 명칭보다 실제 저장 위치, 접근 주체와 국가, 처리 목적을 확인합니다. 해외 사업자가 정보주체로부터 직접 수집하는 상황과 국내 개인정보처리자가 보유 정보를 이전하는 상황도 구분합니다.
적용 근거의 요건을 확인합니다
별도 동의는 국외 이전의 근거 중 하나이며, 모든 이전에 유일하게 적용되는 방식은 아닙니다. 특히 정보주체와의 계약 체결·이행에 필요한 처리위탁·보관 근거를 적용할 때는 필요성과 법에서 정한 공개 또는 통지 요건을 함께 충족해야 합니다. 회사와 해외 업체 사이에 계약이 있다는 이유만으로 이 근거가 성립하거나 제3자 제공까지 허용되는 것은 아닙니다.
이전 근거에 따른 의무와 보호조치를 확인하고, 실제 운영이 안내 내용과 일치하도록 관리합니다. 처리방침에 기재하는 것만으로 모든 이전이 적법해지는 것은 아닙니다.
실무에서 확인할 사항
- 저장·백업·지원·조회가 이뤄지는 국가와 주체
- 제공·처리위탁·보관의 구분과 적용 근거
- 이전 항목·목적·시기·방법·보유기간 및 필요한 안내사항
- 안전성 확보, 고충처리와 분쟁해결 조치
- 재위탁·제3국 재이전 및 계약 종료 시 반환·삭제 관리
