국외 이전 동의 화면에서는 체크박스보다 데이터의 이동 경로를 먼저 보세요. 개인정보 보호법상 별도 동의를 근거로 이전한다면 이전 항목, 국가, 시기·방법, 받는 자의 명칭과 연락처, 이용 목적·보유기간, 거부 방법·절차·효과를 미리 알려야 합니다. 다만 해외 사업자가 이용자에게 직접 정보를 받는 경우와 국내 사업자가 해외 업체에 제공·위탁·보관하는 경우는 법적 구조가 다르므로 화면의 처리 주체부터 확인해야 합니다.
국외에 서버가 있다는 말만으로 구조를 알 수 없습니다
개인정보보호위원회는 국외 이전을 국내 개인정보처리자가 보유한 개인정보를 국외의 제3자에게 제공하거나, 국외에서 조회하게 하거나, 처리위탁·보관하는 경우로 설명합니다. 반면 국외 사업자가 한국 이용자에게서 직접 정보를 수집하는 행위는 이 설명에서 국외 이전과 구분됩니다. 두 경우 모두 개인정보 처리가 일어나지만 확인해야 할 주체와 근거가 다릅니다.
가입 화면 상단의 브랜드명만 보지 말고 개인정보처리방침에서 계약 상대방 법인과 개인정보처리자를 찾으세요. 국내 법인이 가입 정보를 받은 뒤 해외 본사나 클라우드에 보내는지, 해외 법인이 처음부터 직접 받는지, 여러 계열사가 단계적으로 받는지 이동 순서를 그려야 합니다. ‘글로벌 서비스’라는 문구는 이 경로를 대신 설명하지 못합니다.
국가 이름 하나보다 누가 누구에게 어떤 목적으로 보내는지가 먼저입니다.
JOBCOIN 편집 해설
그림은 이 주제의 공통 개념을 단순화한 설명입니다. 아래 항목에서 이 글의 구체적인 조건과 예외를 함께 읽어보세요.
- 국외에 서버가 있다는 말만으로 구조를 알 수 없습니다
개인정보보호위원회는 국외 이전을 국내 개인정보처리자가 보유한 개인정보를 국외의 제3자에게 제공하거나, 국외에서 조회하게 하거나, 처리위탁·보관하는 경우로 설명합니다.
- 별도 동의 화면의 여섯 항목을 대조합니다
개인정보 보호법 제28조의8은 국외 이전에 관한 별도 동의를 받을 때 미리 알려야 할 사항을 열거합니다.
- 동의가 유일한 이전 근거라고 단정하지 않습니다
개인정보위의 국외 이전 안내는 별도 동의 외에도 법률·조약의 특별 규정, 계약 체결·이행에 필요한 처리위탁·보관, 인증, 보호 수준 동등성 인정 등 법률이 정한 근거를 설명합니다.
AI로 제작한 개념도 · 실제 가격·거래 내역·통계가 아닙니다.
별도 동의 화면의 여섯 항목을 대조합니다
개인정보 보호법 제28조의8은 국외 이전에 관한 별도 동의를 받을 때 미리 알려야 할 사항을 열거합니다. 이전되는 개인정보 항목, 이전 국가와 시기·방법, 이전받는 자의 명칭과 연락처, 이용 목적과 보유·이용 기간, 거부 방법·절차 및 거부 효과입니다. 하나의 링크 속에 묻혀 있다면 해당 위치를 열어 실제 값이 있는지 확인합니다.
‘서비스 제공을 위해 필요’처럼 목적이 넓거나 ‘업무 종료 시까지’처럼 종료 기준이 불분명하면 구체적인 범위를 문의하세요. 받는 자가 여러 곳이면 역할별로 구분되어 있는지도 봅니다. 결제, 본인확인, 고객지원, 클라우드 보관은 같은 개인정보 묶음과 같은 보유기간을 쓴다고 가정할 수 없습니다.
| 확인 항목 | 동의 화면에서 찾을 값 | 모호할 때 질문 |
|---|---|---|
| 이전 정보 | 신분증, 연락처, 거래·접속정보 등 | 각 수령자에게 어떤 항목이 가는가 |
| 국가·시기·방법 | 수령 국가와 전송 시점·경로 | 상시 조회인지 일회 전송인지 |
| 이전받는 자 | 법인명과 연락처 | 계열사·재위탁자가 포함되는가 |
| 목적·기간 | 본인확인, 보관 등과 종료 조건 | 목적 달성일을 어떻게 판단하는가 |
| 거부 효과 | 거부 방법과 제한되는 기능 | 가입 전체가 막히는지 특정 기능만 제한되는지 |
동의가 유일한 이전 근거라고 단정하지 않습니다
개인정보위의 국외 이전 안내는 별도 동의 외에도 법률·조약의 특별 규정, 계약 체결·이행에 필요한 처리위탁·보관, 인증, 보호 수준 동등성 인정 등 법률이 정한 근거를 설명합니다. 따라서 화면에 국외 이전 체크박스가 보이지 않는다는 사실만으로 곧바로 이전이 없거나 위법하다고 결론 내릴 수 없습니다.
사업자가 어떤 근거를 사용하는지는 개인정보 처리방침과 국외 이전 공개 항목에서 확인합니다. 계약 이행에 필요한 위탁·보관을 근거로 든다면 어떤 서비스 기능에 필수인지, 거부할 경우 이용이 어떻게 달라지는지 봅니다. 제3자 광고 제공처럼 계약 이행과 관계가 약해 보이는 목적까지 같은 근거로 묶였는지는 별도로 질문할 필요가 있습니다.
가정 사례로 두 개의 데이터 경로를 분리합니다
해외 거래소 B의 한국어 앱에서 국내 본인확인업체가 신분증을 확인하고, 결과와 이미지를 싱가포르 법인에 보내며, 미국 클라우드가 이를 보관한다고 가정하겠습니다. 이는 설명을 위한 가상 구조입니다. ‘싱가포르 이전’ 한 줄만으로는 미국 보관과 각 업체가 받는 항목을 알 수 없습니다.
이용자는 국내 업체→싱가포르 법인, 싱가포르 법인→미국 클라우드의 두 경로를 나누어 수령자·항목·목적·기간을 적습니다. 미국 업체가 단순 저장 위탁자인지 독자 목적의 제3자인지도 확인합니다. 이후 제3국으로 다시 이전되는 경우에 관한 규정도 있으므로 재위탁 또는 후속 이전 안내를 찾아야 합니다.
동의 전에 남길 최소 기록
동의 화면은 앱 업데이트로 바뀔 수 있습니다. 동의일, 처리방침 버전, 이전받는 자 목록, 거부 효과가 보이는 화면과 링크를 보관하세요. 다만 신분증 이미지나 계정번호가 함께 보이는 스크린샷을 외부 클라우드에 무방비로 저장하면 새로운 노출 위험이 생기므로 민감정보는 가리고 안전한 위치에 둡니다.
처리방침에 ‘목록 보기’나 별도 표 링크가 있다면 본문과 함께 저장합니다. 연락처가 없거나 국가가 ‘전 세계’처럼만 적혀 있다면 사업자 개인정보 보호 담당자에게 정확한 법인명과 국가 목록을 요청하세요. 답변은 향후 개인정보 열람·삭제 요구를 할 때 어떤 수령자에게 자료가 남았는지 확인하는 근거가 됩니다.
- 계약 상대방과 최초 개인정보 수집 주체의 법인명을 확인합니다.
- 수령자별 이전 항목·국가·목적·기간을 한 행씩 기록합니다.
- 동의 또는 다른 법적 근거가 무엇인지 처리방침에서 찾습니다.
- 거부할 때 제한되는 기능을 가입 전체와 선택 기능으로 나눕니다.
- 재위탁·제3국 이전과 변경 통지 방법을 확인합니다.
거부 효과를 읽어야 선택 가능성을 판단할 수 있습니다
거부할 수 있다는 문구만으로 실질적인 선택권을 알 수는 없습니다. 고객확인 자료의 해외 처리가 서비스 제공에 반드시 필요한 구조라면 거부 시 가입이 불가능할 수 있습니다. 반면 광고 분석이나 맞춤 추천을 위한 이전이라면 해당 기능만 끌 수 있는지 살펴봐야 합니다. ‘필수’ 표시는 법적 근거 설명을 대신하지 않습니다.
동의 후 마음이 바뀌었다면 개인정보 처리방침의 철회·처리정지·삭제 경로를 확인하세요. 이미 이전된 자료가 즉시 모두 사라지는지, 법정 보존이나 분쟁 대응 때문에 일부가 남는지는 별도 답변이 필요합니다. 국내 거래소 개인정보 권리 행사 절차처럼 항목별 처리 결과와 제한 근거를 요청하면 범위를 구체화할 수 있습니다. EU GDPR의 지갑주소 권리와 비교할 때는 별도 EU 기준을 확인하고 한국 절차와 동일시하지 않습니다.
자주 묻는 질문
해외 거래소가 직접 정보를 받으면 국외 이전 동의가 아닌가요?
개인정보위 안내는 해외 사업자의 직접 수집과 국내 개인정보처리자의 국외 제공·위탁·보관을 구분합니다. 화면의 수집 주체와 이후 이동 경로를 확인해야 정확한 구조를 알 수 있습니다.
국가와 보유기간만 적혀 있으면 충분한가요?
별도 동의를 근거로 한다면 이전 정보, 국가·시기·방법, 수령자 명칭과 연락처, 목적·기간, 거부 방법·절차·효과를 함께 확인해야 합니다.
국외 이전에 동의하지 않으면 모든 서비스를 못 쓰나요?
목적과 서비스 구조에 따라 다릅니다. 거부 시 가입 전체가 제한되는지, 본인확인·광고 같은 특정 기능만 제한되는지 고지 문구와 사업자 답변을 확인하세요.
더 깊이 읽기
본문에서 다룬 개념과 확인 절차를 다음 글에서 이어서 살펴보세요.
