해외 개인정보 이전 — 글로벌 서비스 운영 시 PIPA 준수 방법
AWS us-east-1에 서버를 운영하고 있다면, 한국 이용자의 개인정보가 해외로 이전되고 있는 겁니다. 개인정보보호법(PIPA)은 이에 대한 명확한 규정을 두고 있습니다. "우리는 그냥 클라우드 쓰는 거잖아요"는 면책 사유가 되지 않습니다.
해외 이전이란?
개인정보보호법 제28조의8은 개인정보를 국외로 이전하는 경우에 대해 규정합니다.
해외 이전에 해당하는 상황:
- AWS ap-southeast-1 (싱가포르), us-east-1 (미국) 등 해외 리전에 DB 운영
- Salesforce, HubSpot, Zendesk 등 해외 SaaS에 이용자 데이터 저장
- 해외 팀/파트너에게 이용자 데이터 전송
- Cloudflare, Fastly 등 글로벌 CDN 사용 시 캐시 데이터
해외 이전 시 의무 사항
방법 1: 이용자 동의 (가장 일반적)
이용자에게 아래 사항을 고지하고 동의를 받아야 합니다:
필수 고지 항목:
① 이전되는 개인정보 항목
② 개인정보가 이전되는 국가, 이전 일시 및 이전 방법
③ 개인정보를 이전받는 자의 성명(법인의 경우 명칭 및 연락처)
④ 개인정보를 이전받는 자의 개인정보 이용 목적 및 보유·이용 기간
실무 예시 (회원가입 동의 화면):
[선택] 개인정보 국외 이전 동의
귀하의 개인정보가 아래와 같이 해외로 이전됩니다.
이전 국가: 미국 (AWS us-east-1)
수신 업체: Amazon Web Services, Inc.
이전 항목: 이메일, 서비스 이용 기록
이용 목적: 서비스 인프라 운영
보유 기간: 회원 탈퇴 시까지
동의 □
방법 2: 표준 계약 조항 (SCC)
이용자 동의 없이 이전할 수 있는 방법입니다. 개인정보보호위원회가 고시한 표준 계약 조항을 수탁자와 체결하면 됩니다.
- 개인정보 이전 계약 체결 후 개인정보처리방침에 공개
- 이용자에게 별도 동의 불필요
- 계약 체결 사실을 처리방침에 명시해야 함
방법 3: 인증 기관 인정 (현재 제한적)
상호 인정받은 개인정보보호 인증을 취득한 경우 — 현재 실무적으로 활용 사례는 적습니다.
AWS 리전 선택과 PIPA
| AWS 리전 | 해당 국가 | 이전 의무 | |----------|----------|---------| | ap-northeast-2 (서울) | 한국 | 이전 아님 — 의무 없음 | | ap-northeast-1 (도쿄) | 일본 | 해외 이전 — 동의 또는 SCC 필요 | | us-east-1 (버지니아) | 미국 | 해외 이전 — 동의 또는 SCC 필요 | | ap-southeast-1 (싱가포르) | 싱가포르 | 해외 이전 — 동의 또는 SCC 필요 |
실무 팁: 한국 이용자가 주 타겟이라면 ap-northeast-2(서울) 리전 사용이 가장 간단합니다. PIPA 해외 이전 의무를 피하면서 레이턴시도 낮출 수 있습니다.
글로벌 SaaS 사용 시 체크리스트
✅ 해외 이전 체크리스트
□ 현재 해외 리전/SaaS에 한국 이용자 데이터가 저장되고 있는가?
□ 이전 대상 국가, 업체명, 이전 항목이 처리방침에 공개되어 있는가?
□ 이용자 동의 또는 표준 계약 조항 중 하나를 선택해 이행하고 있는가?
□ AWS DPA, Salesforce DPA 등 수탁자 계약이 체결되어 있는가?
□ 해외 수탁자가 한국 PIPA 수준의 보호 조치를 제공하는지 확인했는가?
위반 시 제재
| 위반 내용 | 제재 | |----------|------| | 동의 없이 해외 이전 | 과태료 최대 3,000만 원 | | 처리방침 미공개 | 과태료 최대 1,000만 원 | | 반복·중대 위반 | 과징금 (매출의 최대 3%) |
흔한 오해
"AWS는 글로벌 기업이라 알아서 컴플라이언트하지 않나요?"
AWS는 인프라를 제공할 뿐입니다. PIPA 준수 의무는 서비스 운영사(귀사)에 있습니다. AWS DPA를 체결하고 처리방침에 명시하는 건 귀사가 직접 해야 합니다.
"B2B 서비스라 이용자 동의를 받기 어렵습니다"
법인 담당자 정보도 개인정보에 해당할 수 있습니다. B2B라도 이름, 이메일, 전화번호를 수집한다면 동일하게 적용됩니다.
pipaguard로 해외 이전 현황 점검
개인정보처리방침에 해외 이전 관련 항목이 올바르게 기재되어 있는지 자동으로 검토해드립니다.