경우에 따라 다릅니다. 계약 이행을 위해 해외 클라우드에 보관하거나 처리를 맡기는 것은 이전 항목·국가·이전받는 자 등을 처리방침에 공개하거나 알리면 동의 없이 할 수 있습니다. 해외 본사가 자기 목적으로 조회하는 제공은 별도 동의가 필요하고, 근거 없는 이전은 전체 매출액 3% 이하 과징금 대상입니다.
이전 전에
해외 서버로 옮기거나 해외 본사에 넘기기 전에 이전 근거를 정하고, 동의를 받는다면 다섯 가지 사항을 미리 알립니다. 개인정보보호위원회의 국외 이전 중지 명령을 받으면 받은 날부터 7일 안에 이의를 제기할 수 있습니다.
개인정보가 해외로 나간다고 언제나 동의가 필요한 것은 아닙니다. 고객과의 계약을 이행하려고 해외 클라우드에 보관하거나 처리를 맡기는 경우에는 처리방침 공개나 개별 통지로 갈음할 수 있습니다. 반면 해외 본사나 계열사가 자기 목적으로 쓰도록 넘기는 제공은 원칙적으로 별도 동의가 필요합니다. 어떤 유형인지부터 구분하면 할 일이 정해집니다. 이전이 이미 시작됐다면 지금이라도 근거를 갖추고, 그 전 기간에 위반이 있었는지는 따로 따져 봅니다.
이런 상담이 많습니다
G사는 외국계 화장품 회사의 국내 법인으로 온라인몰 회원 8만명을 관리합니다. 2026. 9. 본사가 회원 구매 이력을 글로벌 마케팅에 쓰겠다며 본사 시스템에서 조회할 수 있게 해 달라고 요청했습니다. 같은 시기에 회원 데이터베이스를 해외 클라우드로 옮기는 계약도 맺었고, 이전은 다음 달 1일에 시작할 예정이었습니다. G사 개인정보 담당자는 두 경우 모두 회원 동의를 다시 받아야 하는지, 어기면 어떤 제재가 있는지 물으셨습니다. (상담 사례를 바탕으로 날짜와 금액을 바꿔 재구성한 예시입니다.)
해외 서버에 보관만 해도 국외 이전인가요?
국외 이전입니다. 법은 개인정보를 국외로 제공하는 것(국외에서 조회되는 경우 포함), 처리를 위탁하는 것, 보관하는 것을 모두 이전으로 보고 원칙적으로 금지합니다. 해외 클라우드에 저장하는 것도, 해외 본사가 국내 서버의 회원 정보를 들여다보는 것도 여기에 들어갑니다.
이전이 허용되는 근거는 다섯 가지입니다. 정보주체의 별도 동의, 법률이나 조약의 특별한 규정, 계약 이행을 위한 처리위탁·보관으로서 필요한 사항을 공개하거나 알린 경우, 이전받는 자가 보호위원회가 고시한 인증을 받고 필요한 조치를 한 경우, 보호위원회가 보호 수준이 실질적으로 동등하다고 인정한 국가나 국제기구로 옮기는 경우입니다.
어느 근거로 이전하든 처리방침에 국외 이전의 근거와 이전 사항을 적어야 합니다. 국내 법인 없이 해외에서 국내 회원의 개인정보를 직접 수집하는 사업자라면 처리하는 국가명도 처리방침에 넣습니다.
해외 클라우드 보관에도 동의를 받아야 하나요?
회원에게 서비스를 제공하는 계약을 이행하려고 해외 클라우드에 보관하거나 처리를 맡기는 것이라면 동의 없이 할 수 있습니다. 다만 이전되는 항목, 국가·시기·방법, 이전받는 자의 명칭과 연락처, 이용목적과 보유기간, 거부 방법·절차·효과를 처리방침에 공개하거나 서면등의 방법으로 알려야 합니다. 사례의 클라우드 이전은 시작하기 전에 이 공개를 마쳐야 합니다.
해외 클라우드 보관과 해외 본사 제공 비교
해외 클라우드 보관·처리위탁
(유리)공개·통지로 가능
계약 이행에 필요한 경우
처리방침 공개 또는 서면등 통지
알릴 사항은 동의 시와 같은 다섯 가지
보호조치 계약 반영 필요
해외 본사 자기 목적 제공
(불리)별도 동의 필요
조회만 해도 제공에 해당
다섯 가지를 미리 알리고 동의
인증·동등성 인정 시 예외
제3자 제공 요건도 갖춤
출처 - 개인정보 보호법 제28조의8 제1항·제2항, 같은 법 시행령 제29조의7
이 예외는 처리위탁·보관에만 적용됩니다. 해외 업체가 맡은 업무를 넘어 자기 목적으로 정보를 쓴다면 위탁이 아니라 제공으로 볼 수 있으므로, 계약서에 이용 범위를 분명히 적습니다.
해외 본사에 넘기려면 무엇을 해야 하나요?
해외 본사가 자기 마케팅에 쓰도록 조회하게 하는 것은 처리위탁이 아니라 제공이므로, 인증이나 동등성 인정 같은 다른 근거가 없다면 국외 이전에 관한 별도 동의를 받아야 합니다. 동의를 받을 때는 다섯 가지 사항을 미리 알리고, 그중 하나라도 바뀌면 다시 알리고 동의를 받습니다. 국외 이전 동의와 별개로 제3자 제공 요건도 갖추어야 합니다.
국외 이전 동의 전에 알릴 사항
알릴 사항
예시(사례)
이전되는 개인정보 항목
이름, 연락처, 구매 이력
이전 국가, 시기와 방법
본사 소재국, 동의 후 시스템 조회
이전받는 자의 명칭과 연락처
본사 법인명, 개인정보 담당 부서
이전받는 자의 이용목적과 보유기간
글로벌 마케팅, 회원 탈퇴 시까지
거부 방법·절차와 거부의 효과 (핵심 행)
동의 화면에서 거부, 서비스 이용 영향
다섯 가지 중 하나라도 바뀌면 정보주체에게 다시 알리고 동의를 받아야 합니다.
출처 - 개인정보 보호법 제28조의8 제2항·제3항
어느 근거로 옮기든 안전성 확보 조치, 고충처리와 분쟁해결에 관한 조치를 이전받는 자와 미리 협의해 계약에 넣어야 합니다. 법을 위반하는 내용의 국외 이전 계약은 맺을 수 없습니다.
이전한 뒤에도 국내법의 정보주체 권리 규정은 그대로 지켜야 합니다. 회원이 열람·정정·삭제나 처리정지를 요구하면 해외에 있는 정보에도 응할 수 있도록, 요청을 받으면 일정 기간 안에 처리하고 결과를 알려 준다는 협조 조항을 계약에 둡니다.
요건을 어기면 어떤 제재를 받나요?
근거 없이 국외로 이전하면 전체 매출액의 100분의 3 이하 과징금 대상이 됩니다. 이때도 위반행위와 관련 없는 매출은 빼고 계산하므로, 해외 이전과 무관한 사업 매출을 구분하는 자료가 금액을 좌우합니다. 계약에 보호조치를 반영하지 않는 등 보호조치를 하지 않으면 3천만원 이하 과태료 대상이고, 시행령 기준 금액은 1회 900만원, 2회 1,800만원, 3회 이상 3,000만원입니다.
이전이 계속되고 있고 요건을 어겼거나 이전받는 국가에서 정보가 적정하게 보호되지 않아 피해 우려가 현저하면, 보호위원회는 이전 중지를 명할 수 있습니다. 명령은 문서로 통지되며, 받은 날부터 7일 안에 이의를 제기할 수 있고, 따르지 않으면 다시 과징금 대상이 됩니다.
개인정보 국외 이전 대응 순서
흐름 파악 - 어떤 정보가 어느 나라의 누구에게 어떤 목적으로 가는지 표로 정리합니다.
유형 구분 - 계약 이행을 위한 위탁·보관인지, 상대방 목적의 제공인지 가립니다.
근거 확보 - 위탁·보관은 처리방침 공개나 서면 통지를, 제공은 별도 동의를 갖춥니다.
계약 정비 - 안전성 확보 조치와 고충처리·분쟁해결 조항을 이전 계약에 넣습니다.
명령 대응 - 중지 명령을 받으면 7일 안에 이의 제기를 검토합니다.
여기까지는 일반 기준이고, 해외 상대방이 맡은 업무만 하는지 자기 목적으로 쓰는지에 따라 동의가 필요한지와 제재 위험이 달라집니다. 법무법인 윤성은 개인정보 국외 이전 구조 검토와 계약 정비, 보호위원회 조사 대응을 수행합니다.
스스로 점검해 보기
해당하는 문항이 있으면 그 할 일부터 챙겨 두세요. 혼자 하기 어려우면 변호사에게 맡기세요.
