국외이전

회사가 서버가 해외에 있는 생성형 AI에 업무 문서를 넣으면 그 안의 개인정보는 국외로 이전됩니다. 흔히 근거로 적는 개인정보 보호법 제28조의8 제1항 제3호는 「정보주체와의 계약의 체결 및 이행을 위하여」 필요한 처리위탁·보관을 요건으로 합니다. 소송 상대방 회사의 대표·담당자는 회사와 계약한 개인이 아니고, 회사가 자기 영업 분석에 쓰는 고객사의 고객 정보는 연결할 계약 이행을 찾기 어렵습니다. 개인정보위 실무는 계약한 이용자가 있는 서비스에서 제3호를 적용해 왔지만, 계약 당사자가 아닌 사람의 정보에도 이 호가 서는지를 직접 다룬 공식 문서는 확인 범위에서 찾지 못했습니다. 회사가 고객사의 수탁자로서 처리하는 경우는 따로 따져야 합니다.

주식 인수 실사에서는 사고 이력과 함께 파기·국외이전의 현재 상태, 기능별 동의 근거, 과징금 산정에 들어갈 매출연도를 확인해야 합니다. 업력 3년 이상 기업은 위반사업연도 직전 1년 매출과 직전 3년 평균 중 큰 금액을 기준으로 하므로 인수 후 매출이 곧바로 반영되는 것은 아닙니다. 재동의가 필요한 범위와 활용 가능한 데이터 모수를 사업계획에 반영하는 방법을 설명합니다.

생성형 AI 기능을 붙이면 처리방침에서 두 곳이 새로 채워져야 합니다. 이용자가 입력한 내용과 생성된 결과물이 수집·저장되는지(처리 항목), 그리고 그것이 어느 나라 어느 회사로 가는지(국외이전)입니다. 외부 LLM API를 호출하는 구조라면 프롬프트가 국경을 넘는 순간 국외이전이 되고, 이전의 근거와 법 제28조의8 제2항 각 호의 사항을 적어야 합니다. 딥시크 시정권고가 이 구조를 그대로 보여 줍니다.

국내에 주소나 영업소가 없는 인공지능사업자 중 시행령 제29조 제1항의 네 가지 기준 중 하나에 해당하면 국내대리인을 서면으로 지정하고 과기정통부장관에게 신고해야 합니다. 전년도 매출 1조 원, AI 서비스 부문 매출 100억 원, 국내 이용자 1일 평균 100만 명, 그리고 시정명령 불이행 과태료를 부과받은 사실입니다. 미지정 시 과태료는 2,000만 원이며 차수에 따른 가중이 없습니다. 개인정보 보호법상 국내대리인과는 근거도 대리 범위도 다릅니다.

2026년 9월 8일 공포된 개인정보 보호법 개정법(법률 제21910호, 2027년 3월 9일 시행)은 인공지능기술 개발을 위한 개인정보 처리의 특례를 신설했습니다. 요건 세 가지를 모두 갖추고 보호위원회의 심의·의결을 거치면 적법하게 수집한 개인정보를 당초 목적 외로 이용할 수 있습니다. 실무에서 중요한 것은 특례를 받으면 무엇이 걷히느냐인데, 적용 제외 목록을 정한 제28조의15는 국외 이전 조항을 '처리위탁하는 경우에 한정한다'고 묶었습니다. 본사에 데이터를 제공하거나 보관시키는 구조라면 특례를 받아도 국외이전 규율은 그대로 남습니다.

완전히 자동화된 결정에 대한 한국 이용자의 거부·설명 요구는 시스템이 본사에 있어도 한국법인이 처리해야 합니다. 개인정보를 이전한 쪽에 의무가 남기 때문입니다(개인정보 보호법 제28조의8 제4항, 제37조의2, 제38조 제1항). 조치 기한은 30일이지만 거절 통지는 10일로 더 짧습니다. 외국계 한국법인의 법무·개인정보 책임자와 본사 DPO를 위한 정리입니다.

개인정보를 본사로 국외 이전한 뒤에도 정보주체의 권리 보장 의무는 이전한 한국법인에 남습니다. 개인정보 보호법 제5장이 그대로 적용되는데 제28조의11의 준용 목록에 제5장이 없기 때문입니다. 열람·정정·삭제·처리정지의 통지 기한은 시행령이 정한 10일이며, GDPR의 1개월이 아닙니다. 외국계 한국법인 법무·CPO와 본사 DPO를 위한 정리입니다.

글로벌 DPA 서명만으로 국외이전 준비는 끝나지 않습니다. DPA의 processor 표기만으로 한국법상 지위와 의무가 정해지지는 않으며, 수탁자는 제26조 제8항에 따라 개인정보처리자의 의무 대부분을 그대로 부담합니다. 이전 근거(제28조의8 제1항)와 별개로, 같은 조 제4항과 시행령 제29조의10 제2항은 보호조치를 이전받는 자와 미리 협의해 계약에 반영하라고 요구합니다. 외국계 한국법인 법무·CPO와 본사 DPO를 위한 정리입니다.

개인정보 보호법 제28조의8 제1항 제4호는 인증을 국외이전 근거로 인정하지만 조건이 둘입니다. 보호위원회가 고시한 목록에 올라 있는 인증이어야 하고, 그 인증을 받아야 하는 쪽은 이전받는 자입니다. 고시 별표 2에 등재된 인증은 ISMS-P 하나이고 ISO 27701·BCR·CBPR은 없습니다.

유출 같은 사고형 위반과 달리 파기 미이행과 국외이전 근거 미비는 사건이 없어 밖에서 보이지 않습니다. 무엇을 받아 볼지는 법이 이미 정해 두었습니다. 개인정보 보호법 제30조 제1항 제3호의2의 처리방침 기재와 제28조의8 제1항의 이전 근거별 문서가 그것이고, 두 위반은 과태료와 전체 매출액 3% 과징금으로 무게가 갈립니다.