[개인정보] 유럽 미국 등 해외 개인정보 사용 시 DB(리전)이전은 필수인가?

 

개요

 

해외에 서비스하거나, 비슷한 일이 생기면 해당 국가나 지역에 DB 이전 또는 AWS 리전 이전이 필수인지 확인해야 할 필요가 있다. 이에 관련해 EU 연합국과 미국에 대해 DB 및 리전 이전이 필수인지 확인 해보자.

 

개인정보 이전에 대해선 주로 [국외이전], [역외이전], [제3국 이전] 등으로 불린다. 혹시 검색할 경우가 있으면 유용하게 사용하면 좋을 듯 하다.

 

---

EU연합국

2024년 기준 EU 연합국은 27개며 다음과 같다. 

• 그리스, 네덜란드, 덴마크, 독일, 라트비아, 루마니아, 룩셈부르크, 리투아니아, 몰타, 벨기에, 불가리아, 스웨덴, 스페인, 슬로베니아, 아일랜드, 에스토니아, 오스트리아, 이탈리아, 체코, 크로아티아, 키프로스, 포르투칼, 폴란드, 프랑스, 핀란드, 헝가리

EU 연합은 GDPR(일단 개인정보보호) 법안을 사용하고 있으며 이를 기준으로 개인정보 보호법이 적용된다.

한국과는 2021년 GDPR 적정성 평가를 통과하여 EU 회원국처럼 EU 시민의 개인정보를 별도의 인가 없이 한국으로 들여와 활용 가능하다.

 

 

 

 

참조 링크 : https://overseas.mofa.go.kr/de-frankfurt-ko/brd/m_9529/view.do?seq=1286287

한-EU GDPR(일반 개인정보보호) 적정성 논의 완료 상세보기|경제·통상정보 주프랑크푸르트 대한민

 

영국

영국의 경우 EU를 탈퇴한 뒤 UK GDPR(UK General Data Protection Regulation)인 영국 일반 개인정보보호법을 명명하고 있다.

• 영국은 데이터 적절성에 따라 한국을 개인정보의 국외 이전을 허용한다.

 

참조 : https://www.gov.uk/government/publications/uk-approach-to-international-data-transfers/international-data-transfers-building-trust-delivering-growth-and-firing-up-innovation#uk-adequacy

International data transfers: building trust, delivering growth and firing up innovation

 

 

터키

터키는 EU에 아직 포함되지 않은 국가이다.

터키는 개인정보에 대해 PPDL법규를 사용하는데 GDRP과 유사한 프레임워크를 적용하고 있다.

• PPDL에서 개인정보의 제3국 반출에 대해 [개인정보 주체의 동의가 있을 경우] 제3국으로 데이터 이전이 가능하도록 규정하고 있다.

 

 

이에 대한 자료는 KISA에서 다운받을 수 있다.

https://www.kisa.or.kr/201/form?postSeq=12050&lang_type=KO&page=1

KISA 한국인터넷진흥원

 

 

 

미국

미국은 결론부터 말하자면 미국 시민의 개인정보 국외 이전에 대해 [정보 주체의 동의]를 만족할 경우 가능하다.

미국은 CCPA(캘리포니아 소비자 프라이버시 보호법)외에 자국민 개인정보에 관한 특별한 법령을 확인하기 어렵다.

위의 KISA 자료 p.120을 확인하면 미국 시민의 개인정보 이전에 관한 해석을 확인할 수 있다.

 

 

요약하자면 다음과 같다.

(개인정보 국외이전 원칙) 조건부 허용
(개인정보 국외이전 조건) 정보주체의 동의
(개인정보 국외이전의 금지) 없음
(개인정보 국외이전 금지의 예외) 없음

 

CCPA(캘리포니아 소비자 프라이버시 보호법)를 비롯한 미국 법률에서도 별도의 규정을 두고 있지 않은 것으로 파악되며 CCPA와 일관되게 개인정보를 사용 및 공유된다는 전제하에 이전을 허용하고 있다.

• 미국은 우려 국가(중국, 러시아, 북한 등)에 대해서는 민감한 개인정보 이전 제한하고 있다

우려 국가에 대한 이전 제한은 아래 링크에서 확인할 수 있다.

참조 링크 : https://www.whitehouse.gov/briefing-room/presidential-actions/2024/02/28/executive-order-on-preventing-access-to-americans-bulk-sensitive-personal-data-and-united-states-government-related-data-by-countries-of-concern/

Executive Order on Preventing Access to Americans’ Bulk Sensitive Personal Data and United States Government-Related Data by C

 

 

 

결론

조건만 만족하면 리전을 이동하지 않고 국내에서 DB 및 리전 운영이 가능하다.