개인정보 국외 이전 — 한국에는 아직 SCC가 없다

현행 구조 — 개인정보보호법 제28조의8

개인정보처리자는 원칙적으로 개인정보를 국외로 제공 · 처리위탁 · 보관(= 이전)할 수 없으며, 법이 정한 예외 사유에 해당해야 한다.

주요 예외 사유는 다음과 같다:

• 인증 — 이전받는 자가 제32조의2에 따른 개인정보 보호 인증 등 보호위원회가 고시하는 인증을 받고, 안전조치 · 정보주체 권리보장 조치 및 인증사항을 이전 국가에서 이행하기 위한 조치를 모두 한 경우
• 적정성 인정 — 이전되는 국가 · 국제기구의 보호체계 · 권리보장 범위 · 피해구제 절차 등이 국내법과 실질적으로 동등한 수준이라고 보호위원회가 인정한 경우
• 정보주체의 별도 동의를 받은 경우
• 법률 · 조약에 근거가 있는 경우

재이전(Onward Transfer)

국외에서 이전받은 자가 이를 제3국으로 다시 이전하는 경우에도 국외이전 규정이 준용된다. (제28조의11)

실무적으로 놓치기 쉬운 지점이다. 미국 SaaS에 데이터를 보냈는데 그 업체가 인도 · 유럽 리전으로 다시 보내는 구조라면 재이전까지 확인해야 한다.

근거 고시와 2026년 시행령 개정

「개인정보 국외 이전 운영 등에 관한 규정」 (개인정보보호위원회고시 제2023-11호)이 2023년 10월 16일 제정 · 시행되어 세부 사항을 정하고 있다.

보호위원회는 인증 전문기관 평가, 국외이전전문위원회 평가, 정책협의회 협의를 종합 고려해 심의 · 의결로 고시 인증을 정하며, 해당 인증 목록은 별표2에 규정된다. 보호 수준이 국내 인증에 미치지 못한다고 판단되면 별표2에서 제외될 수 있다.

표준계약(SCC) 도입 논의는 어디까지 왔나

개인정보위는 국외 이전 개인정보의 안전조치가 미흡할 때 '중지' 명령이 긴급조치에 그쳐 실질적 대응에 한계가 있다는 지적에 따라 표준계약 도입을 검토해 왔다.

최근 논의에서는 두 가지가 함께 다뤄진다:

• 국외이전 개념에 단순 '조회(Access)'까지 포함된다는 해석
• SCC · BCR 등 글로벌 스탠다드에 맞춘 제도 도입 동향

다만 확정된 제도가 아니다. "이전 근거를 적정성 결정 국가 / 개인정보위 표준안 의무 사용 SCC / 인증기관 보증(CBPR 등) / BCR로 구분하고 기존 자체 계약서는 시행일부터 1년 유예기간 내 교체가 필요하다"는 설명이 돌고 있으나, 이는 비공식 해설이며 개인정보위 고시 원문 확인이 필요하다.

EU 적정성 — 한국의 지위

한국은 2021년 3월 EU 집행위로부터 적정성 결정 초기 긍정 평가를 받았고, 적정성 평가의 첫 정기 검토를 앞두고 있다. 이 검토 결과는 EU에서 한국으로의 데이터 이전 편의성에 직접 영향을 미친다.

실무 체크리스트

• ☐ 사용 중인 SaaS · 클라우드의 서버 소재지 전수 조사
• ☐ 각 서비스가 어느 예외 사유에 해당하는지 근거 정리 (동의 / 인증 / 적정성)
• ☐ 재이전 구조 확인 — 1차 수령자가 제3국으로 보내는지
• ☐ 개인정보위 별표2 인증 목록 확인 및 변동 모니터링 (제외될 수 있음)
• ☐ 처리방침 국외이전 항목에 이전받는 자 · 국가 · 목적 · 항목 · 보유기간 · 연락처 기재
• ☐ 국내 리전(서울 등) 사용 가능한 서비스는 국내 저장 우선 검토
• ☐ 표준계약 제도 도입 동향 모니터링 — 확정 시 계약 개정 필요