“우리 서비스는 AWS를 쓰는데, 그럼 무조건 국외이전 아닌가요?”
클라우드 도입이 보편화되면서 자주 나오는 궁금증입니다. 국외 사업자의 서비스를 쓰니 당연히 국외이전이라고 생각하기 쉽지만, 같은 AWS를 쓰더라도 어떤 구조로 쓰느냐에 따라 국외이전일 수도, 아닐 수도 있습니다. 이 글에서는 그 갈림길을 어디서 판단하는지, 그리고 무엇을 확인해야 하는지를 정리해 드리겠습니다.
Q. 국외이전이 무엇인가요?
제28조의8(개인정보의 국외 이전)
① 개인정보처리자는 개인정보를 국외로 제공(조회되는 경우를 포함한다)ㆍ처리위탁ㆍ보관(이하 이 절에서 “이전”이라 한다)하여서는 아니 된다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 그러하지 아니하다.
개인정보 보호법 제28조의8은 개인정보의 국외 이전을 규율합니다. 여기서 말하는 ‘이전’은 좁은 의미의 ‘제공’만이 아니라 더 넓습니다. 단순히 데이터를 '넘겨주는 것'만이 아닌, 해외 서버에 '보관'이나 해외에서 '조회'하는 것까지 이전으로 봅니다.
대표적인 케이스별로 국외이전 여부를 확인해 보겠습니다.
CASE A - 해외 리전 사용 · 글로벌 서비스 · 해외 CDN/DR
해외 리전에 데이터를 두거나, 글로벌 서비스 특성상 개인정보가 미국·EU 등으로 흘러가거나, 해외 CDN·재해복구(DR) 노드에 복제되는 구조입니다. 국내 이용자의 개인정보가 물리적으로 국경을 넘으므로 명백한 국외이전입니다.
▸ 국외이전 해당 → 적법요건 필수
CASE B - 서울 리전만 사용, 데이터는 국내에만 보관·처리
AWS 서울 리전에서 서비스 전반이 이뤄지고, 개인정보가 해외에서 처리·보관되지 않는 구조입니다. 데이터가 국내 리전에만 머무는 한 원칙적으로는 국외이전에 해당하지 않습니다.
다만 서울 리전을 쓰더라도 사업자 내부의 DR·백업 시스템에 의해 데이터가 해외에 저장될 가능성이 남아 있고, 글로벌 관리 콘솔·기술지원이 해외에서 접근하는 경우도 발생할 수 있습니다. 따라서 분쟁·점검 리스크를 예방하기 위해, 보수적으로 국외이전 항목을 처리방침에 미리 포함해 두는 것이 안전합니다.
▸ 원칙적 비해당이나 보수적 대응(사전 기재) 권장
Q. 국외이전에 해당된다면 어떻게 처리해야하나요?
개인정보보호법 제28조의8 제1항은 다음 중 하나에 해당해야 국외이전을 허용합니다.
제28조의8(개인정보의 국외 이전)
① (본문) … 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보를 국외로 이전할 수 있다.
1. 정보주체로부터 국외 이전에 관한 별도의 동의를 받은 경우
2. 법률, 대한민국을 당사자로 하는 조약 또는 그 밖의 국제협정에 개인정보의 국외 이전에 관한 특별한 규정이 있는 경우
3. 정보주체와의 계약의 체결 및 이행을 위하여 개인정보의 처리위탁ㆍ보관이 필요한 경우로서 다음 각 목의 어느 하나에 해당하는 경우
가. 제2항 각 호의 사항을 제30조에 따른 개인정보 처리방침에 공개한 경우
나. 전자우편 등 대통령령으로 정하는 방법에 따라 제2항 각 호의 사항을 정보주체에게 알린 경우
4. 개인정보를 이전받는 자가 제32조의2에 따른 개인정보 보호 인증 등 보호위원회가 정하여 고시하는 인증을 받은 경우로서 다음 각 목의 조치를 모두 한 경우
가. 개인정보 보호에 필요한 안전조치 및 정보주체 권리보장에 필요한 조치
나. 인증받은 사항을 개인정보가 이전되는 국가에서 이행하기 위하여 필요한 조치
5. 개인정보가 이전되는 국가 또는 국제기구의 개인정보 보호체계, 정보주체 권리보장 범위, 피해구제 절차 등이 이 법에 따른 개인정보 보호 수준과 실질적으로 동등한 수준을 갖추었다고 보호위원회가 인정하는 경우
대부분의 클라우드·SaaS 이용은 정보주체와의 계약 체결·이행에 필요한 경우(제3호)에 해당하므로, 이전에 관한 사항을 처리방침에 공개하거나 정보주체에게 통지하면 별도의 동의 없이 이전이 가능합니다.
개인정보처리방침 국외이전 항목에 기재할 사항 (제28조의8 제2항)
| 구분 | 기재 내용 |
| 이전되는 개인정보 항목 | 실제 해외로 이전되는 항목 |
| 이전되는 국가·시기·방법 | 서비스 이용 시점에 네트워크를 통한 전송 |
| 이전받는 자 | 성명(법인명)과 연락처 |
| 이용 목적·보유이용 기간 | 이전받는 자의 이용 목적 및 보유·이용 기간 |
| 이전 거부 방법·절차·효과 | 정보주체가 이전을 거부할 수 있는 방법, 절차, 거부 시 효과 |
다만 단순 위탁·보관을 넘어 '제공'에 해당하는 구조(받는 자가 자신의 목적으로 이용)라면, 개인정보처리방침 공개·통지가 아니라 정보주체의 별도 동의가 필요합니다.
국외이전 여부는 '사업자가 외국 회사인지'가 아니라, '개인정보가 물리적으로 국외에 저장·처리·조회되는지'로 판단합니다.
그래서 처음 질문 "AWS를 쓰면 무조건 국외이전인가요?"의 답도 "쓰는 방식에 따라 다르다"가 됩니다. 사업자의 국적이 아니라 데이터의 위치, 이 한 가지만 기억하시면 됩니다.
 송민석 | sms@cela.kr |
“우리 서비스는 AWS를 쓰는데, 그럼 무조건 국외이전 아닌가요?”
클라우드 도입이 보편화되면서 자주 나오는 궁금증입니다. 국외 사업자의 서비스를 쓰니 당연히 국외이전이라고 생각하기 쉽지만, 같은 AWS를 쓰더라도 어떤 구조로 쓰느냐에 따라 국외이전일 수도, 아닐 수도 있습니다. 이 글에서는 그 갈림길을 어디서 판단하는지, 그리고 무엇을 확인해야 하는지를 정리해 드리겠습니다.
Q. 국외이전이 무엇인가요?
개인정보 보호법 제28조의8은 개인정보의 국외 이전을 규율합니다. 여기서 말하는 ‘이전’은 좁은 의미의 ‘제공’만이 아니라 더 넓습니다. 단순히 데이터를 '넘겨주는 것'만이 아닌, 해외 서버에 '보관'이나 해외에서 '조회'하는 것까지 이전으로 봅니다.
대표적인 케이스별로 국외이전 여부를 확인해 보겠습니다.
CASE A - 해외 리전 사용 · 글로벌 서비스 · 해외 CDN/DR
해외 리전에 데이터를 두거나, 글로벌 서비스 특성상 개인정보가 미국·EU 등으로 흘러가거나, 해외 CDN·재해복구(DR) 노드에 복제되는 구조입니다. 국내 이용자의 개인정보가 물리적으로 국경을 넘으므로 명백한 국외이전입니다.
▸ 국외이전 해당 → 적법요건 필수AWS 서울 리전에서 서비스 전반이 이뤄지고, 개인정보가 해외에서 처리·보관되지 않는 구조입니다. 데이터가 국내 리전에만 머무는 한 원칙적으로는 국외이전에 해당하지 않습니다.
다만 서울 리전을 쓰더라도 사업자 내부의 DR·백업 시스템에 의해 데이터가 해외에 저장될 가능성이 남아 있고, 글로벌 관리 콘솔·기술지원이 해외에서 접근하는 경우도 발생할 수 있습니다. 따라서 분쟁·점검 리스크를 예방하기 위해, 보수적으로 국외이전 항목을 처리방침에 미리 포함해 두는 것이 안전합니다.
▸ 원칙적 비해당이나 보수적 대응(사전 기재) 권장Q. 국외이전에 해당된다면 어떻게 처리해야하나요?
개인정보보호법 제28조의8 제1항은 다음 중 하나에 해당해야 국외이전을 허용합니다.
대부분의 클라우드·SaaS 이용은 정보주체와의 계약 체결·이행에 필요한 경우(제3호)에 해당하므로, 이전에 관한 사항을 처리방침에 공개하거나 정보주체에게 통지하면 별도의 동의 없이 이전이 가능합니다.
개인정보처리방침 국외이전 항목에 기재할 사항 (제28조의8 제2항)
국외이전 여부는 '사업자가 외국 회사인지'가 아니라, '개인정보가 물리적으로 국외에 저장·처리·조회되는지'로 판단합니다.
그래서 처음 질문 "AWS를 쓰면 무조건 국외이전인가요?"의 답도 "쓰는 방식에 따라 다르다"가 됩니다. 사업자의 국적이 아니라 데이터의 위치, 이 한 가지만 기억하시면 됩니다.
송민석 | sms@cela.kr