구글 애널리틱스·메타 픽셀·AWS를 쓰면 개인정보 국외 이전인가 — 처리방침에 적어야 하는 5가지

국외 이전인지 판단하는 순서 4단계

1. 개인정보가 국외로 가는가. 서버가 해외에 있거나(해외 리전), 서버는 국내여도 해외 본사·해외 직원이 조회할 수 있으면 해당합니다. 법 제28조의8 제1항은 국외로 '제공(조회되는 경우를 포함한다)·처리위탁·보관'하는 것을 이전으로 봅니다.
2. 넘어가는 정보가 개인정보인가. 이름·이메일·전화번호는 분명하고, 쿠키 ID·광고식별자·IP 주소·기기 정보는 다른 정보와 쉽게 결합해 개인을 알아볼 수 있는지로 판단합니다(법 제2조 제1호 나목). 회원 ID와 연결되는 분석 데이터는 개인정보로 보는 것이 안전합니다.
3. 위탁·보관인가, 제공인가. 해외 사업자가 우리 일(저장·발송·결제·측정)을 대신 해 주는 것이면 처리위탁·보관이고, 해외 사업자가 자기 사업을 위해 쓰는 것이면 제공입니다. 구별 기준은 대법원 2016도13263 판결의 '누구의 업무와 이익을 위한 이전인가'입니다.
4. 근거를 고른다. 계약 이행을 위한 처리위탁·보관이면 처리방침 공개(제1항 제3호 가목) 또는 서면 등 통지(나목, 시행령 제29조의7)로 충분합니다. 그 밖의 이전은 별도 동의(제1호), 국외 이전에 관한 특별한 규정이 있는 법률·조약(제2호), 보호위원회 고시 인증(제4호, 인증만으로는 부족하고 안전조치·권리보장 조치와 이전 국가에서 인증 내용을 이행하기 위한 조치가 모두 필요), 보호위원회가 동등한 보호 수준으로 인정한 국가(제5호) 중 하나가 있어야 합니다.

우리가 쓰는 해외 도구는 어디에 해당하나요?

동의를 받아야 하나요, 처리방침 공개로 충분한가요?

법 제28조의8 제1항은 국외 이전을 원칙적으로 금지하고 다섯 가지 예외를 둡니다. 그중 중소기업이 가장 많이 쓰는 길이 제3호입니다. 정보주체와의 계약을 체결하고 이행하기 위해 개인정보의 처리위탁·보관이 필요한 경우로서, 제2항 각 호의 사항을 처리방침에 공개하거나(가목) 서면 등으로 정보주체에게 알린 경우(나목)에는 별도 동의 없이 이전할 수 있습니다. 해외 클라우드에 회원 정보를 저장하고, 해외 발송 도구로 주문 확인 메일을 보내고, 해외 결제 서비스로 결제를 처리하는 것처럼 그 처리가 정보주체와의 서비스 계약을 이행하는 데 필요한 처리위탁·보관이라면 이 경로를 검토할 수 있습니다. 필요성은 도구마다 따로 확인해야 하고, 사업자의 편의나 계약과 무관한 분석 목적은 여기에 들어가지 않습니다.

이 길이 닫히는 경우가 두 가지 있습니다. 첫째, 이전의 성격이 위탁·보관이 아니라 제공일 때입니다. 해외 사업자가 자기 사업(광고 모델 학습, 자기 고객 모집)을 위해 쓰는 구조라면 처리방침 공개로는 부족하고 별도 동의(제1호) 같은 다른 근거가 필요합니다. 둘째, 계약 이행과 무관한 위탁일 때입니다. 계약과 관계없는 마케팅 분석을 위해 해외 도구에 회원 정보를 올리는 것은 제3호의 '계약의 체결 및 이행을 위하여' 요건을 채우기 어렵습니다.

어느 길을 쓰든 이전하는 쪽은 보호조치를 해야 합니다. 시행령 제29조의10은 안전성 확보 조치, 고충 처리·분쟁 해결 조치, 그 밖의 보호 조치를 이전받는 자와 미리 협의해 계약 내용 등에 반영하라고 합니다. 해외 서비스의 데이터 처리 부속서(DPA)를 받아 두고 처리 지역·보안 조치·문의 창구를 확인해 두는 것이 이 요건에 대응하는 실무입니다. 보호조치를 하지 않으면 3천만원 이하 과태료(법 제75조 제2항 제14호), 요건 없이 이전하면 전체 매출액 3% 이하의 과징금 대상입니다(법 제64조의2 제1항 제7호).

처리방침에는 무엇을 적어야 하나요? — 제28조의8 제2항의 5가지와 근거

• 이전되는 개인정보 항목: 예) 이메일 주소, 주문 내역, 서비스 이용 기록
• 이전되는 국가, 시기 및 방법: 예) 미국, 서비스 이용 시점에 네트워크를 통해 전송·저장
• 이전받는 자의 성명(법인은 명칭과 연락처): 예) ○○ Inc., privacy@example.com
• 이전받는 자의 이용 목적과 보유·이용 기간: 예) 이메일 발송 대행, 위탁 계약 종료 또는 회원 탈퇴 시까지
• 이전을 거부하는 방법, 절차 및 거부의 효과: 예) 문의 창구로 거부 의사를 알릴 수 있으며, 거부 시 해당 기능을 제공받을 수 없음
• 근거: 시행령 제31조 제1항 제2호는 '국외 이전의 근거'도 적으라고 합니다. 예) 법 제28조의8 제1항 제3호(계약 이행을 위한 처리위탁·보관). 별도 동의로 이전하는 도구는 그 사실을 따로 적습니다.

광고 픽셀은 위탁인가요, 제3자 제공인가요?

이 질문은 법 조문이 바로 답하지 않는 영역이고, 도구의 설정에 따라 결론이 갈립니다. 판단 구조는 세 가지입니다. 첫째, 픽셀이 보내는 정보(방문 페이지, 구매 금액, 해시된 이메일, 광고식별자)가 광고 플랫폼 안에서 특정 개인과 결합되는가. 둘째, 그 데이터로 이익을 보는 쪽이 우리인가(우리 광고의 성과 측정), 플랫폼인가(플랫폼의 광고 모델 고도화와 다른 광고주 대상 타겟팅). 셋째, 우리가 플랫폼의 데이터 이용을 실질적으로 관리·감독할 수 있는가. 대법원 2016도13263 판결의 기준으로 보면 플랫폼이 자기 광고 사업을 위해 데이터를 쓰는 부분은 제공의 성격이 뚜렷하고, 그 부분은 처리방침 공개만으로 정당화되기 어렵습니다.

보호위원회는 2022년 9월 동의 없이 이용자의 타사 행태정보를 수집해 맞춤형 광고에 이용한 두 글로벌 플랫폼에 시정명령과 함께 합계 약 1,000억 원의 과징금을 의결했습니다(보도 기준). 이 사건은 플랫폼의 의무를 다룬 것이지만, 플랫폼에 행태정보를 보내는 사이트 운영자에게도 '우리 사이트에서 수집되는 행태정보가 어디로 가는지 정보주체에게 알리고 거부 수단을 주고 있는가'라는 질문을 남깁니다. 광고 픽셀을 쓰는 사이트라면 자동 수집 장치 항목에 픽셀의 존재와 차단 방법을 적고, 플랫폼의 자기 이용 부분에는 별도 동의와 거부 수단을 갖추는 보수적인 설계가 안전합니다.

사이트에 어떤 분석·광고 스크립트가 붙어 있는지는 담당자도 정확히 모르는 경우가 많습니다. 개인정보 처리방침 점검기에 사이트 주소를 넣으면 페이지가 불러오는 도구를 읽어 해외 사업자 여부를 표시하고 처리방침의 국외 이전 항목과 대조합니다. 이 결과는 도구의 존재를 확인해 주는 것이지 위탁·제공의 성격까지 판정하지는 않으므로, '검토 필요'로 나온 도구는 계약과 설정을 확인해야 합니다.

국내대리인은 우리도 지정해야 하나요?

국내 회사라면 아닙니다. 국내대리인 지정 의무는 국내에 주소나 영업소가 없는 개인정보처리자 가운데 전년도 전체 매출액이 1조원 이상이거나, 전년도 말 기준 직전 3개월간 국내 정보주체의 개인정보를 일일평균 100만명 이상 저장·관리하거나, 자료 제출 요구를 받아 보호위원회가 의결한 자에게만 있습니다(법 제31조의2 제1항, 시행령 제32조의3 제1항). 처리방침에 국내대리인의 성명·주소·전화번호·전자우편 주소를 적을 의무도 그 해외 사업자의 의무입니다(법 제31조의2 제4항).

따라서 우리가 할 일은 우리 처리방침에 국내대리인 항목을 만드는 것이 아니라, 우리가 쓰는 대형 해외 서비스의 처리방침에서 국내대리인 연락처를 찾아 두는 것입니다. 유출 사고가 났을 때 그 서비스에 통지·신고 협조를 요구할 창구가 되기 때문입니다. 국내대리인을 지정해야 하는 해외 사업자가 지정하지 않으면 2천만원 이하, 처리방침에 적지 않으면 1천만원 이하 과태료 대상입니다(법 제75조 제3항 제2호·제4항 제9호의2).

어기면 어떤 제재가 있나요?

함께 봐야 할 글

해외 수탁자는 위탁 항목에도 함께 적어야 하므로 위탁과 제3자 제공의 차이를 먼저 보면 도구별 성격을 가르기 쉽습니다. 처리방침 전체 법정 항목은 처리방침 필수 항목 점검표에, 위반별 과태료·과징금 전체는 과태료·과징금 금액표에 정리했습니다.

참고 자료

• 개인정보 보호법 제28조의8(개인정보의 국외 이전)
• 개인정보 보호법 시행령 제29조의7(국외 처리위탁·보관 시 정보주체에게 알리는 방법)
• 개인정보 보호법 시행령 제29조의10(국외 이전 시 보호조치 등)
• 개인정보 보호법 시행령 제31조(개인정보 처리방침의 내용 및 공개방법 등)
• 개인정보 보호법 제31조의2(국내대리인의 지정)
• 개인정보 보호법 시행령 제32조의3(국내대리인 지정 대상자의 범위 등)
• 개인정보 보호법 제2조(정의)
• 대법원 2017. 4. 7. 선고 2016도13263 판결(제3자 제공과 처리위탁의 구별 기준)
• 개인정보 보호법 제64조의2(과징금의 부과)
• 개인정보 보호법 제75조(과태료)
• 개인정보보호위원회 2022. 9. 14. 의결 보도(전자신문: 구글·메타 과징금)
• 개인정보보호위원회 2026. 4. 24. 보도자료(개인정보 처리방침 작성지침 개정)