해외 클라우드 쓰면 개인정보 국외이전 동의가 필수인가

동의 외에도 계약이행·인증·동등성 등 법정 근거

이전 국가·기간·방법 공개와 안전조치는 별도 의무

14일 서울에서 국경 간 데이터 이전의 기업 책임과 감독공조를 논의한다. 개인정보 국외이전에는 동의와 법률·조약, 계약 이행에 필요한 처리, 인증, 동등한 보호수준 인정 등 다섯 가지 법정 근거가 있다. 사업자는 이전 국가와 목적·방법·보유기간을 알리고 안전조치를 해야 한다.

개인정보 국외이전은 동의 외에도 법률·조약, 계약이행을 위한 처리위탁·보관, 인증, 적정성 인정 등 법정 근거가 있을 수 있다.

국외이전에는 다섯 가지 법정 근거

개인정보 보호법은 국외이전 근거를 별도 동의 하나로만 두지 않는다. 법률·조약의 특별 규정, 계약 이행에 필요한 처리위탁·보관, 인증, 보호수준 동등성 인정 등도 근거가 될 수 있다. 서비스 구조에 따라 적용 근거가 달라진다.

계약 이행에 필요한 보관이라는 근거를 쓰려면 정말 서비스 제공에 필요한지 따져야 한다. 선택 기능이나 광고 분석까지 포괄해 국외로 보내는 것은 별도 판단이 필요할 수 있다. 목적이 바뀌면 처음의 이전 근거를 그대로 사용할 수 없다.

개인정보 국외이전은 서버가 해외에 있다는 사실만을 뜻하지 않는다. 국내 서버에 저장돼도 해외 본사의 직원이나 위탁업체가 원격으로 접근할 수 있다면 이전에 해당할 수 있다. 반대로 해외 클라우드를 쓴다고 언제나 별도 동의만이 유일한 근거는 아니다. 사업자는 어떤 법정 근거를 적용했는지, 서비스 계약 이행에 정말 필요한 범위인지 이용자가 이해할 수 있게 설명해야 한다.

동의가 없어도 끝나는 문제가 아니다

적법한 이전 근거가 있다고 안전조치 의무가 사라지지는 않는다. 이전 국가와 받는 자, 목적, 항목, 시기와 방법, 보유기간을 공개하고 침해 발생 때 고충처리와 분쟁해결이 가능해야 한다. 계약서에는 국내법에 어긋나는 내용을 둘 수 없다.

인증이나 동등성 인정은 해외 수신자의 책임을 없애는 면허가 아니다. 사고가 나면 통지와 조사, 삭제와 손해구제가 실제로 가능한지 계약과 기술조치로 보장해야 한다. 암호화 열쇠와 관리자 권한을 누가 갖는지도 중요하다.

동의 외의 근거를 쓰더라도 이전받는 자와 국가, 항목과 목적, 보유기간을 숨길 수 없다. 계약 수행에 필요한 위탁·보관이라는 이유로 광고분석이나 새로운 상품개발까지 포괄하면 목적 제한 원칙과 충돌할 수 있다. 이용자는 핵심 서비스를 받는 데 필요한 처리와 선택 기능에 필요한 처리를 구분해 볼 수 있어야 하며, 거부했을 때 생기는 제한도 구체적으로 안내받아야 한다.

국외이전이 중단되거나 보호수준이 낮다고 판단될 때 데이터를 국내로 되돌리는 절차도 필요하다. 계약 종료 뒤 해외 수신자가 복제본을 남기지 않았는지 확인하고 법적 보존 의무가 있다면 범위와 기간을 분명히 해야 한다. 서비스 연속성을 이유로 무기한 보관하는 관행은 목적 제한과 충돌할 수 있다.

재이전과 해외 클라우드의 책임

해외 사업자가 다시 제3국으로 정보를 보내는 재이전도 문제다. 최초 클라우드 사업자의 서버 위치만 확인해서는 전체 경로를 알 수 없다. 하위 처리자와 백업 위치, 접근권한, 삭제 절차까지 공급망으로 관리해야 한다.

기업은 데이터 흐름을 지도처럼 관리해야 한다. 본 서버, 백업, 고객지원과 분석업체가 어느 나라에서 접근하는지 모르면 처리방침도 정확히 쓸 수 없다. 서비스 공급자가 바뀔 때 하위 처리자 목록을 갱신하는 절차가 필요하다.

클라우드 공급망은 본계약 상대방 한 곳으로 끝나지 않는다. 백업과 고객지원, 보안분석을 맡은 하위 처리자가 다른 나라에서 접근할 수 있다. 사업자는 데이터 흐름을 계속 갱신하고 재이전 때 같은 보호수준이 유지되는지 확인해야 한다. 암호화와 접근기록, 삭제증명, 침해통지와 분쟁해결을 계약에 넣어야 법적 근거가 실제 보호로 이어진다.

이용자가 확인할 공개 항목

이용자는 개인정보 처리방침의 국외이전 항목을 확인할 수 있다. 동의를 거부할 수 있는지, 거부하면 서비스가 제한되는지, 문의와 삭제 요청은 어디에 하는지 살펴야 한다. 침해가 의심되면 118 상담과 분쟁조정 절차를 이용할 수 있다.

이용자는 동의 화면만 보지 말고 처리방침에서 국외이전 목적과 보유기간을 확인해야 한다. 계정 삭제 뒤 백업 데이터가 언제 지워지는지, 분쟁은 국내에서 해결할 수 있는지도 중요하다. 설명이 없으면 사업자에게 열람과 근거를 요구할 수 있다.

이용자는 처리방침에서 국외이전 항목과 문의창구를 확인할 수 있다. 계정을 지운 뒤 본 서버와 백업에서 언제 삭제되는지, 열람·정정·처리정지를 국내에서 요구할 수 있는지도 중요하다. 설명이 불명확하면 사업자에게 이전 근거와 수신자 목록을 요청하고, 권리 침해가 의심되면 개인정보 침해신고와 분쟁조정 절차를 이용할 수 있다.

기업은 개인정보 영향평가와 보안점검을 계약 전 한 번으로 끝내지 말아야 한다. 해외 법률과 수사기관의 접근권한, 수신자의 지배구조와 보안사고가 바뀌면 위험도 달라진다. 정기 점검과 감사권, 사고 때 국내 이용자에게 통지할 시간과 언어를 계약에 넣어야 권리가 국경에서 끊기지 않는다.