개인정보 국외이전
온라인 셀러 대응 체크리스트
해외 클라우드(AWS·구글·Azure 해외 리전), 해외 결제대행(PayPal·Stripe), 해외 물류·풀필먼트(FBA 등), 해외 광고·분석 툴(Google Analytics·Meta 픽셀)을 하나라도 쓰고 있다면 — 당신은 이미 개인정보를 국외로 이전하고 있을 가능성이 큽니다. 「개인정보 보호법」 제28조의8은 개인정보의 국외 이전을 원칙적으로 제한하고, 5가지 법정 근거 중 하나를 갖춘 경우에만 허용합니다. 이 글은 소규모 온라인 셀러가 "내가 국외이전에 해당하는지, 그렇다면 무엇을 갖춰야 하는지"를 비용 없이 점검하도록 정리했습니다.
국외이전이 허용되는 5가지 근거 (제28조의8 제1항)
국외 이전은 아래 다섯 가지 중 하나에 해당할 때만 적법합니다. 셀러가 실무에서 가장 많이 쓰는 것은 3호(계약 이행 목적의 위탁)입니다.
| 근거 | 요건 | 셀러 실무 |
|---|---|---|
| 1호 별도 동의 | 이전 항목·이전국가·시기·방법·수신자·이용목적·보유기간·거부방법을 사전 고지하고 동의 | 기존 수집 동의와 별개의 동의 |
| 2호 법률·조약 | 법률·조약·국제협정에 특별 규정 | 실무상 드묾 |
| 3호 계약 이행 위탁·보관 | 계약 이행에 필요 + 처리방침 공개 또는 고지 | 가장 흔함 동의 불요 |
| 4호 인증 | 이전받는 자가 개인정보위 고시 인증 보유·이행 | 업체 인증 여부 확인 |
| 5호 동등성 인정 | 개인정보위가 보호수준 동등으로 인정한 국가·기구 | 인정 국가 목록은 개인정보위 공시 확인 |
내 상황이 국외이전에 해당할까 — 유형별 정리
| 상황 | 국외이전 해당 | 실무 대응 경로 |
|---|---|---|
| 해외 클라우드·호스팅(AWS·GCP·Azure 해외 리전) | 해당 | 3호 위탁 → 처리방침에 국가·수신자·목적 공개 |
| 해외 결제대행(PayPal·Stripe 등) | 해당 | 3호 위탁 → 처리방침 공개(업체 4호 인증 있으면 이중 근거) |
| 해외 물류·풀필먼트(FBA·해외 3PL) | 해당 | 3호 위탁 → 수신자(물류사)·이전국가 명시 |
| 해외 광고·분석(Google Analytics·Meta 픽셀) | 해당 가능 | 제3자 제공 성격이 강해 별도 동의(1호) 또는 고지 검토 — 분쟁 소지 큼 |
| 해외 구매자 국제배송 | 해당 | 3호 → 운송사·이전국가 처리방침 공개 |
지금 점검할 체크리스트
대부분 비용이 들지 않고 처리방침 문서와 계약서만 손보면 됩니다.
① 내가 쓰는 해외 서비스 목록부터 만들기
- 호스팅·클라우드·결제·물류·이메일·CS·광고/분석 툴을 전부 적고, 각 서비스의 서버 소재국(리전)과 그리로 나가는 개인정보 항목을 표로 정리.
- "국내 업체"라도 실제 저장이 해외 리전이면 국외이전. 약관·DPA에서 데이터 저장 위치를 확인.
- 각 이전이 5가지 근거 중 어디에 해당하는지 매핑(대부분 3호 위탁).
② 개인정보 처리방침에 국외이전 항목 기재
- 3호(위탁) 경로라면 처리방침에 이전받는 자·이전국가·이전 항목·이용목적·보유기간을 명시(제28조의8 제2항 고지사항 기준).
- 1호(동의) 경로라면 위 항목에 더해 거부 방법·절차·효과를 고지하고 별도 동의를 받기.
- 스마트스토어·자사몰 하단에서 한 번의 클릭으로 접근되는지, 이미지가 아닌 텍스트인지 확인.
③ 해외 수탁자와의 계약·안전조치
- 해외 업체와 개인정보 보호 조치를 담은 계약(표준계약조항 또는 자체 DPA) 체결. 제28조의8 제5항은 이 법을 위반하는 내용의 계약 체결을 금지합니다.
- 업체가 개인정보위 고시 인증(4호)을 보유하면 근거가 더 탄탄. 인증서·유효기간 확인.
- 더 이상 필요 없는 고객정보는 파기(보유기간 경과분) — 국외로 나가는 데이터 자체를 줄이는 것이 최선의 방어.
④ 중지 명령·제재 리스크 이해
- 개인정보위는 요건 위반 등에 대해 국외이전 중지 명령(제28조의9)을 내릴 수 있고, 받은 날부터 7일 이내 이의 제기가 가능합니다.
- 요건 없이 국외이전한 경우 전체 매출액의 3% 이내 과징금(제64조의2)이 부과될 수 있습니다.
- 2026-09-11 시행 개정으로 반복·대규모·시정명령 불이행 시 상한이 매출액 10% 이내로 강화됩니다(재위반 리스크 상승, 세부기준은 시행령 확인 필요).
국외이전, 셀러가 가장 많이 묻는 것
AWS 같은 해외 클라우드를 쓰면 고객마다 별도 동의를 받아야 하나요?
대개 아닙니다. 서비스 계약 이행에 필요한 처리위탁·보관(제28조의8 제1항 3호)에 해당하면, 별도 동의 대신 개인정보 처리방침에 이전 국가·수신자·항목·목적·보유기간을 공개하거나 이메일 등으로 고지하는 것으로 갈음할 수 있습니다. 다만 공개가 형식적이면 안 되고, 실제 운영과 일치해야 합니다.
Google Analytics·Meta 픽셀도 국외이전인가요?
수집된 쿠키·행태정보가 개인정보에 해당하면 국외이전 규율이 적용될 수 있습니다. 이 영역은 "처리위탁이냐 제3자 제공이냐"에 따라 근거 조항과 동의 요부가 달라져 사안별 판단이 필요합니다. 실무에서 분쟁 가능성이 가장 큰 영역이므로, 별도 동의 또는 명확한 고지를 검토하는 편이 안전합니다.
위반하면 처벌은 어떻게 되나요?
확인된 제재는 과징금(행정처분)으로, 요건 위반 국외이전 시 전체 매출액의 3% 이내(2026-09-11부터 반복·대규모·명령 불이행 시 10% 이내로 강화)입니다. 국외이전 중지 명령도 별도 행정처분으로 내려질 수 있습니다. 형사처벌 해당 여부는 사안·조항에 따라 다르므로 단정하기 어렵습니다.
동등성이 인정된 국가로 이전하면 아무 절차도 필요 없나요?
제5호(동등성 인정)는 개인정보보호위원회가 보호수준이 실질적으로 동등하다고 인정한 국가·국제기구에만 적용됩니다. 2026년 9월 현재 인정된 국가 목록은 고정적이지 않으니 개인정보보호위원회 공시를 직접 확인해야 하며, 인정되더라도 처리방침 기재 등 기본 의무는 유지됩니다.
내 처리방침에 국외이전 표현, 30초 점검
처리방침 전문을 붙여넣으면 국외이전·위탁 관련 표현과 포괄동의·모호한 보유기간·구법 용어 같은 부적정 표현을 개인정보 보호법 조항과 함께 짚어드립니다. 붙여넣기만 하면 됩니다. (입력값은 서버로 전송되지 않습니다.)
처리방침 무료 점검 → 전체 무료 도구 보기처리방침·국외이전 고지 템플릿이 필요하다면
개인정보 9·11 대응킷은 소상공인용 처리방침 템플릿, 국외이전 고지·위탁 조항 예시, 유출 대응 절차서, 자가점검표를 담은 실전 패키지입니다. 처음부터 쓰는 시간을 아껴 줍니다.
대응킷 살펴보기 →참고 출처(2026-09-07 재확인): 개인정보 보호법(국가법령정보센터) · 개인정보 국외이전 제도 안내(개인정보보호위원회) · 개인정보 국외 이전 운영 등에 관한 규정(고시 제2023-11호) · 개인정보보호위원회.