개인정보 국외 이전 — 해외 리전, 해외 SaaS를 쓸 때

한 문장 결론

개인정보를 해외 리전에 저장하거나 해외 SaaS·API로 보내면 제28조의8의 “국외 이전”(제공·처리위탁·보관) 에 해당할 수 있고, 계약 이행에 필요한 처리위탁·보관이라면 이전 국가, 항목, 이전받는 자 등 5개 사항을 처리방침에 공개하는 방식(제1항제3호가목)이 가장 흔한 근거가 됩니다. 어떤 연동이 국외 이전에 해당하는지, 어떤 호를 근거로 쓸지는 계약 구조에 따라 달라 법무 확인이 필요합니다(review-required).

적용 조건과 예외

제28조의8제1항 단서의 이전 근거:

호	근거	개발 현장 예시	주의
1호	국외 이전에 관한 별도 동의	해외 제휴사로 회원 정보 제공	제2항 5개 사항을 미리 고지. 변경 시 재동의(제3항)
2호	법률·조약·국제협정의 특별한 규정	드묾	근거 규정 확인 필요
3호	계약 체결·이행을 위한 처리위탁·보관 + 처리방침 공개(가목) 또는 서면등 고지(나목)	해외 리전 클라우드, 해외 메일 발송·고객지원 SaaS	“제공”은 3호 대상이 아님. 처리위탁·보관에 한정
4호	이전받는 자가 보호위원회 고시 인증을 받고 안전조치·국외 이행 조치를 한 경우	인증을 받은 수신자	인증 목록·유효기간 확인 (시행령 제29조의8)
5호	이전 국가·국제기구의 보호 수준을 보호위원회가 동등하다고 인정	인정 국가로의 이전	인정 범위·조건이 국가별로 다를 수 있음 (시행령 제29조의9제3항)

경계:

• “조회되는 경우를 포함”: 데이터가 국내에 있어도 해외 인력·시스템이 조회할 수 있으면 국외 제공에 포함됩니다(제1항 괄호). 해외 개발팀의 운영 DB 조회, 해외 지원팀의 CS 도구 접근도 점검 대상입니다.
• 제17조~제19조는 그대로 적용: 국외 이전 근거를 갖춰도 제3자 제공이라면 제17조 근거도 필요합니다(제4항). → 제공과 위탁
• 인증 관련 시행 예정 규정: 개정법 부칙 제1조 단서에 따라 제32조의2제1항 단서(개인정보 보호 인증 의무)는 2027-07-01 시행 예정입니다. 4호의 인증 요건과는 별개이며, 현재 의무로 다루지 않습니다.
• 해외 클라우드에서 사업자가 데이터에 접근하지 않는 순수 인프라 보관이 “보관”에 해당하는지, 어떻게 공개하는지는 행정기관 해석 확인이 필요합니다(review-required).

실제 법적 근거

• 「개인정보 보호법」 제28조의8
  • 제1항: 개인정보를 국외로 제공(조회되는 경우를 포함)·처리위탁·보관(이하 “이전”)해서는 안 됩니다. 다만 위 표의 1호~5호 중 하나에 해당하면 이전할 수 있습니다.
  • 제2항: 별도 동의를 받을 때 미리 알릴 사항 — ① 이전되는 개인정보 항목 ② 이전되는 국가, 시기 및 방법 ③ 이전받는 자의 성명(법인은 명칭과 연락처) ④ 이전받는 자의 이용목적 및 보유·이용 기간 ⑤ 이전을 거부하는 방법, 절차 및 거부의 효과.
  • 제3항: 제2항 사항을 변경하면 알리고 동의를 받습니다.
  • 제4항: 이전 시 이 법의 다른 규정, 제17조~제19조, 제5장(정보주체 권리)을 준수하고 대통령령으로 정하는 보호조치를 합니다.
  • 제5항: 이 법을 위반하는 내용의 국외 이전 계약을 체결해서는 안 됩니다.
• 같은 법 제28조의9: 보호위원회는 ① 제28조의8제1항·제4항·제5항 위반, ② 이전받는 자나 이전 국가가 개인정보를 적정하게 보호하지 않아 피해가 발생하거나 발생할 우려가 현저한 경우 국외 이전 중지를 명할 수 있고(제1항), 처리자는 명령을 받은 날부터 7일 이내에 이의를 제기할 수 있습니다(제2항).
• 같은 법 제28조의10(상호주의), 제28조의11: 이전받은 자가 제3국으로 재이전하면 제28조의8·제28조의9를 준용합니다.
• 시행령
  • 제29조의7: 제1항제3호나목의 “전자우편 등 대통령령으로 정하는 방법”은 서면등의 방법(시행령 제17조제5항: 서면, 전자우편, 팩스, 전화, 문자전송 또는 이에 상당하는 방법)입니다.
  • 제29조의8: 4호 인증의 고시 절차, 5년 범위의 유효 기간.
  • 제29조의9: 5호 동등성 인정 시 고려사항과 절차, 이전대상국별 조건 설정, 인정의 취소·변경.
  • 제29조의10: 이전 시 ① 시행령 제30조제1항에 따른 안전성 확보 조치 ② 고충처리·분쟁해결 조치 ③ 그 밖에 필요한 조치를 하고(제1항), 이를 이전받는 자와 미리 협의해 계약내용 등에 반영합니다(제2항).
  • 제29조의11: 중지 명령 시 고려사항(유형·규모, 위반 중대성, 피해의 중대성, 대체 수단 등)과 문서 통지.
  • 제29조의12: 이의 제기는 7일 이내 이의신청서 제출, 보호위원회는 30일 이내 결과 통지.
  • 제31조제1항제2호·제4호: 처리방침에 국외 이전의 근거와 제28조의8제2항 각 호의 사항, 국외에서 국내 정보주체의 개인정보를 직접 수집·처리하는 경우 처리 국가명을 적습니다.

(법률 제21445호, 시행령 대통령령 제36671호 기준. 2026-10-23 원문 대조.)

개발자용 실무 해설

1. “국외 이전 인벤토리”를 인프라 코드에서 뽑습니다. Terraform·CDK의 리전 설정, 외부 API 호스트, SDK 목록에서 국외 엔드포인트를 추출해 데이터 흐름 레지스트리와 대조하세요.
2. 처리방침 표의 5개 칸을 데이터로 관리합니다. 항목, 국가, 시기·방법(예: “서비스 이용 시 네트워크를 통해 수시 전송”), 이전받는 자(명칭·연락처), 이용목적·보유기간, 거부 방법·효과를 레지스트리에 두고 처리방침을 생성합니다. → 처리방침
3. 리전 고정을 기본값으로 둡니다. 국내 리전으로 충분하면 국내에 두고, 백업·DR·로그·CDN 캐시가 다른 리전으로 복제되는지 확인합니다. 로그 수집 SaaS가 해외에 있으면 로그 속 개인정보도 이전됩니다. → 로그 마스킹
4. “보관”만이 아니라 “조회”도 봅니다. 해외 법인·외주 인력의 관리 콘솔 접근을 접근 권한 정책에 국가 속성으로 표시해 두면 국외 조회를 추적할 수 있습니다.
5. 계약에 보호조치를 반영합니다. 시행령 제29조의10제2항에 따라 안전성 확보 조치, 고충처리·분쟁해결 조치를 이전받는 자와 미리 협의해 계약 등에 넣어야 합니다. DPA 템플릿에 해당 조항이 있는지 확인하세요.
6. 중지 명령에 대비한 전환 경로를 둡니다. 제28조의9 중지 명령이 오면 이전을 멈춰야 합니다. 특정 벤더·리전 전송을 기능 플래그로 끌 수 있게 하는 것은 프로젝트 권장사항입니다.

권장 설계

data-flows/helpdesk.yaml

recipient: { name: "Helpdesk Inc.", contact: "privacy@helpdesk.example" }
classification: outsourcing
cross_border:
  basis: "pipa-28-8-1-3-ga"          # 계약 이행 처리위탁 + 처리방침 공개
  country: "미국"
  timing_method: "문의 접수 시 네트워크를 통한 전송"
  fields: [name, email, inquiry_text]
  purpose_retention: "고객 문의 처리 / 위탁 계약 종료 시까지"
  refusal: "문의 시 이메일 채널 선택 가능, 거부 시 해당 채널 이용 불가"
  safeguards_in_contract: true         # 시행령 제29조의10제2항
  kill_switch: "flags.helpdesk_export"

• 처리방침 생성기가 cross_border가 있는 흐름만 모아 국외 이전 표를 만듭니다.
• 필드 목록은 실제 전송 코드의 허용 필드와 같은 원천을 씁니다.
• 별도 동의(1호)가 근거인 흐름은 동의 레코드가 있는 사용자만 전송합니다.

위험한 설계

• “글로벌 SaaS라서 어디 저장되는지 모름” 상태로 연동
• 처리방침에 “해외 클라우드 이용” 한 줄만 있고 국가·항목·이전받는 자가 없음
• 해외 제휴사 제공을 3호(처리위탁·보관 공개)로 처리
• 국내 리전 DB의 백업이 기본 설정으로 해외 리전에 복제
• 해외 오류 추적 서비스로 요청 본문 전체(주민등록번호, 연락처 포함) 전송
• DPA에 안전조치·고충처리 조항이 없음

Python/TypeScript 구현 예제

# 국외 이전 게이트: 등록되지 않은 국외 호스트로의 개인정보 전송을 차단한다
from urllib.parse import urlparse

CROSS_BORDER = {
    "api.helpdesk.example": {"country": "미국", "basis": "pipa-28-8-1-3-ga",
                             "fields": {"name", "email", "inquiry_text"}},
}
DOMESTIC_HOSTS = {"api.internal.example.kr"}

def guard_outbound(url: str, payload: dict) -> dict:
    host = urlparse(url).hostname or ""
    if host in DOMESTIC_HOSTS:
        return payload
    entry = CROSS_BORDER.get(host)
    if entry is None:
        raise PermissionError(f"국외 이전 레지스트리에 없는 호스트: {host}")
    extra = set(payload) - entry["fields"]
    if extra:
        raise PermissionError(f"공개되지 않은 항목 전송 시도: {sorted(extra)}")
    return payload

// 처리방침 국외 이전 표 생성 (제28조의8제2항 각 호, 시행령 제31조제1항제2호)
type CrossBorder = {
  fields: string[]; country: string; timingMethod: string;
  recipient: { name: string; contact: string };
  purposeRetention: string; refusal: string; basis: string;
};

export function renderCrossBorderRow(c: CrossBorder): string {
  return `| ${c.fields.join(', ')} | ${c.country} / ${c.timingMethod} | ${c.recipient.name} (${c.recipient.contact}) | ${c.purposeRetention} | ${c.refusal} | ${c.basis} |`;
}

전체 실행 가능한 예제와 테스트는 구현 예제를 참고하세요.

개발 체크리스트

• 국외 리전·국외 SaaS·국외 API·국외 인력 조회 경로가 인벤토리에 모두 있다
• 흐름마다 제28조의8제1항 몇 호가 근거인지 정했고 법무 확인을 받았다 (review-required)
• 3호 근거는 처리위탁·보관에만 쓰이고, 제공에는 쓰이지 않는다
• 처리방침에 항목, 국가·시기·방법, 이전받는 자(명칭·연락처), 이용목적·보유기간, 거부 방법·효과가 있다
• 별도 동의가 근거인 흐름은 5개 사항을 미리 고지하고 변경 시 재동의한다
• 계약에 안전성 확보 조치와 고충처리·분쟁해결 조치가 반영되어 있다
• 백업·로그·CDN·오류 추적의 리전을 확인했다
• 수신자의 제3국 재이전(하위 처리자) 여부를 확인했다
• 중지 명령 시 전송을 멈출 수 있는 스위치가 있다

공식 원문 링크와 확인일

아래 “근거 구분표”와 “공식 원문 링크”를 참고하세요. 법률 제28조의8제28조의11과 시행령 제29조의7제29조의12, 제31조는 2026-10-23 원문과 대조했습니다. 처리방침 작성지침의 기재 예시와 해외 클라우드 해당 여부에 대한 해석은 review-required입니다.