개인정보의 국외이전
개념
- 개인정보의 국외이전 제공(조회 포함)·처리위탁·보관은 원칙적으로 금지이며, 법률에 규정된 경우에만 허용된다.
법령 참조
- 개인정보 보호법 제28조의8(국외이전), 제28조의9(국외이전 중지 명령)
주요내용
- 국외이전 가능 5가지 경우:
①정보주체 별도 동의
②법률·조약·국제협정에 특별 규정
③계약 체결·이행을 위한 처리위탁·보관 (처리방침 공개 또는 정보주체에게 고지)
④보호위원회 고시 국외이전 인증을 받은 경우
⑤보호위원회가 동등 수준으로 인정한 국가·국제기구 - 별도 동의 시 고지사항 5가지:
①이전 개인정보 항목
②이전 국가·시기·방법
③이전받는 자 성명(법인: 명칭·연락처)
④이전받는 자의 이용 목적·보유기간
⑤이전 거부 방법·절차·효과.
결함 사례
- 처리방침에 국외이전 관련 내용 없이 AWS(해외 클라우드)에 고객 정보를 저장한 경우.
- 국외이전 시 정보주체 별도 동의를 받으면서 이전 국가·방법을 고지하지 않은 경우.
참고
- ISMS-P 인증을 받은 해외기업은 별도 동의 없이 국외이전 가능
- 국외이전 중지 명령: 보호위원회가 위반 또는 피해 우려 현저 시 명령 가능. 이의신청: 7일 이내 / 처리결과 통보: 30일 이내.
정리
- 이전 유형(제공·조회·처리위탁·보관) 무관하게 국외이전의 법적 근거와 동의 시 고지사항을 개인정보 처리방침에 공개 의무.
- 해외에서 한국인의 공개된 개인정보를 수집하는 경우는 '이전' 행위로 볼 수 없으므로 국외이전에 해당하지 않음.
- CBPR: APEC 회원국 간 기업 개인정보 보호 체계 평가 글로벌 인증 제도(Global CBPR 포럼 출범)