해외 AI API를 쓰면 국외 이전인가

조회만 해도 이전입니다

개인정보 보호법 제28조의8 제1항은 국외 제공·처리위탁·보관을 묶어 '이전'이라고 부릅니다. 그리고 괄호에서 조회되는 경우를 포함한다고 명시합니다.

해외 서버에 데이터를 옮겨 두지 않더라도, 국내에 둔 데이터를 해외에서 조회하는 구조면 이전에 해당합니다. 해외 리전의 API를 호출하거나 해외 클라우드에 저장하는 것도 마찬가지입니다.

원칙은 금지이고, 아래 다섯 가지 중 하나에 해당해야 이전할 수 있습니다.

다섯 가지 예외

1. 정보주체로부터 국외 이전에 관한 별도의 동의를 받은 경우
2. 법률·조약·국제협정에 특별한 규정이 있는 경우
3. 정보주체와의 계약 체결 및 이행을 위해 처리위탁·보관이 필요한 경우로서, 아래 고지 요건을 갖춘 경우
4. 이전받는 자가 보호위원회가 고시한 인증을 받고 필요한 조치를 모두 한 경우
5. 이전되는 국가의 보호 수준이 우리 법과 실질적으로 동등하다고 보호위원회가 인정한 경우

3호가 현실적인 경로입니다

서비스 제공을 위해 해외 인프라를 쓰는 대부분의 경우가 3호에 해당합니다. 이 경로는 별도 동의를 받지 않아도 됩니다. 대신 조건이 붙습니다.

• 가목: 제2항 각 호의 사항을 개인정보 처리방침에 공개하거나
• 나목: 전자우편 등 대통령령이 정한 방법으로 정보주체에게 알리거나

둘 중 하나를 해야 합니다. 아무것도 하지 않으면 3호를 쓸 수 없습니다.

무엇을 적어야 하나

제2항이 열거하는 다섯 가지입니다. 동의를 받는 경우에는 미리 알려야 하고, 3호로 가는 경우에는 이 내용을 처리방침에 공개해야 합니다.

• 이전되는 개인정보 항목
• 개인정보가 이전되는 국가, 시기 및 방법
• 이전받는 자의 성명(법인이면 명칭과 연락처)
• 이전받는 자의 이용목적 및 보유·이용 기간
• 이전을 거부하는 방법, 절차 및 거부의 효과

"해외 클라우드를 이용합니다" 한 줄로는 부족합니다. 어느 회사가, 어느 나라에서, 무엇을, 얼마나 오래 다루는지가 다 들어가야 합니다.

바뀌면 다시 알려야 합니다

제2항의 사항이 변경되면 정보주체에게 알리고 동의를 받아야 합니다(제3항). 인프라 업체를 바꾸거나 리전을 옮기는 것은 기술 결정이 아니라 고지 의무를 다시 발생시키는 사건입니다.

계약으로 우회할 수 없습니다

제5항은 이 법을 위반하는 내용의 국외 이전 계약을 체결해서는 안 된다고 정합니다. 해외 업체의 표준 약관이 우리 법보다 느슨하더라도 그 약관이 기준이 되지는 않습니다.

또 국외 이전을 하더라도 제17조부터 제19조까지의 규정과 제5장(정보주체의 권리)은 그대로 지켜야 하고, 대통령령이 정한 보호조치를 해야 합니다(제4항).

주의

어떤 데이터가 개인정보에 해당하는지, 제공과 처리위탁 중 무엇인지에 따라 적용 조문이 달라집니다. 이전받는 자가 재차 다른 나라로 옮기는 구조라면 별도 검토가 필요합니다. 실제 구성은 개인정보 보호 전문 변호사와 확인하세요.