요즘 글로벌 클라우드 서비스 (AWS, Azure, Google Cloud 등)나 해외 본사를 둔 플래폼(메타, 구글, 틱톡 등)을 사용하다 보면 개인정보가 국경을 넘어 저장, 처리됩니다. 이 과정에서 우리나라 법 테두리 밖으로 나가 버리기 때문에 정보주체 권리 보호가 어려워질 수 있습니다.

우리나라의 개인정보보호법 제28조의8은 개인정보의 국외 이전을 명확히 규율하고 있습니다.

동의 원칙 : 이용자가 동의 없이는 국외 이전 불가

고지사항 : 개인정보 항목, 이전받는 자, 이전 국가, 이전 일시 및 방법, 이용 목적 및 보유, 이용기간, 이전 거부 절차 등을 개인정보처리방침에 투명하게 알려야 함

안전조치 : 해외 수탁자가 우리나라 수준에 맞는 보호조치를 취하도록 계약 등 제도 마련

개인정보의 국외 이전은 국내 기업이 해외 서버에 데이터를 저장하거나, 한국 지사가 글로벌 본사에 고객정보를 전달하는 경우 또는 해외 콜센터, 개발업체 등에 고객 데이터를 위탁하는 경우가 있을 수 있습니다.

국내 온라인 쇼핑몰이 해외 물류센터에서 직접 배송을 처리하기 위해 고객 주소, 연락처를 전달하거나, 게임사가 해외 서버를 통해 글로벌 매칭 서비스를 운영하거나 병원이 해외 연구소와 협력하여 임상시험 데이터를 공유하는 사례가 있습니다.

일부 예외적으로 법령에 근거하거나 정보주체와 계약을 이행하기 위해 불가피할 때는 동의없이도 가능하지만, 원칙적으로는 정보주체의 동의를 받아야 합니다. 예를 들어, 해외 항공권 예약하려고 할때 해당 항공사 본사로 예약정보를 전달하는 경우가 있을수 있습니다.

기업은 이전받으려는 국가와 수탁자의 개인정보 보호 수준을 평가하여야 하고, 계약서에 재애용, 재제공 금지와 안전조치 의무를 포함하여야 합니다. 이용자에게 명확히 알리고 동의를 받아야 하며, 재식별 방지와 암호화 등 기술적 조치를 적용하여야 합니다.

개인정보의 국외 이전은 편리한 글로벌 서비스 이용과 정보주체 권리 보호 사이의 균형이 핵심입니다. 기업은 안전한 절차를 마련해야 하고, 이용자는 내 정보가 어디로 가는지 꼼꼼히 확인하는 습관이 필요합니다.

가명정보를 국외 이전하는것은 가능할까 ?

가명정보의 국외 이전도 가능하다고 볼 수 있습니다. 가명정보도 개인정보의 한 유형이므로 개인정보의 국외 이전에 관한 규정에 따라 동일하게 적용됩니다. 이것은 가명처리 되었다고 할때, 개인정보의 국외 이전 규정과 상관없이 가명처리 되었으므로 정보주체의 동의없이 해외로 보내도 된다는것은 아닙니다.

개인정보의 국외 이전 규정에 따라 가명정보를 이용하는것이며, 가명정보 가이드라인에 따라 개인을 식별할 수 없도록 처리하고, 안전한 보호조치가 되었다는것을 적정성 검토를 통해 제공하는 가명정보와 이용환경에 대해서 검토한 경우에 개인정보 국외 이전 규정에 따라 가능하다는 것입니다.

물론, 이용기간이 도래하거나 이용 목적을 달성한 경우 가명정보를 파기하여야 하며, 이용자가 가명처리된 가명정보의 재식별이 되는 경우 그 즉시 파기하여야 하는 등 가명정보의 보호조치를 하여야 합니다.