개인정보를 해외에 보관한다고 해서 언제나 별도 동의만이 유일한 근거인 것은 아니다. 개인정보 보호법 제28조의8 제1항 제3호는 계약의 체결 · 이행에 처리위탁이나 보관이 필요하고 법정 사항을 공개하거나 알린 경우의 예외를 정한다. 단순히 해외 서버가 편리하다는 사정과는 다르다.
국외 이전의 유형과 근거를 나눈다
가령 이용한 서비스가 개인정보를 해외 서버에 보관한다고 안내했다고 하자. 설명용 가상 사례다. 제28조의8 제1항은 국외 제공과 처리위탁 · 보관을 이전으로 보며, 제공에는 조회되는 경우도 포함한다. 별도 동의, 법률 · 조약 등의 특별 규정, 법이 정한 인증이나 동등한 보호 수준 인정 등의 근거도 따로 정한다. 어느 근거를 제시하는지 확인하지 않고 모든 국외 이전을 하나로 판단해서는 안 된다.
계약에 필요한 위탁 · 보관의 조건
제1항 제3호는 정보주체와의 계약 체결 · 이행을 위해 처리위탁이나 보관이 필요하고, 법정 고지사항을 처리방침에 공개하거나 대통령령이 정한 방법으로 알려야 하는 경우다. 계약이 있다는 사실만으로 모든 국외 제공까지 이 예외에 포함할 수는 없다. 실제로 필요한 처리위탁 · 보관인지와 정보 공개 또는 통지가 이뤄졌는지를 나눈다. 이 글은 이 근거의 조건을 다루며 개별 서비스가 요건을 충족했다고 확정하지 않는다.
어디로 무엇이 넘어가는지 확인한다
제2항의 사항은 이전되는 정보 항목, 국가와 시기 · 방법, 받는 자의 성명 또는 법인 명칭과 연락처, 이용 목적과 보유 · 이용 기간, 거부 방법 · 절차와 효과다. 공개됐다는 말만 듣지 말고 실제 안내에서 이 내용을 확인한다. 제4항은 다른 관련 규정 준수와 대통령령의 보호조치도 요구한다. 처리방침과 국외 이전 안내, 계약에 필요한 이유에 관한 설명을 모아 어떤 이전을 어떤 근거로 하는지 대조한다. 이 글은 모든 해외 보관을 허용하거나 이용자의 거부 효과를 일률적으로 정하는 설명은 아니다.
