개인정보 국외 이전
IT 위키
더 많은 작업
개인정보처리자가 개인정보를 국외로 제공(조회되는 경우를 포함한다)·처리위탁·보관하는 것을 말한다. 근거: 개인정보 보호법 제28조의8(개인정보의 국외 이전), 개인정보 보호법 제28조의9(개인정보의 국외 이전 중지 명령)
- 2023년 3월 14일 개정으로 국외 이전에 관한 규정이 개인정보 보호법 제28조의8로 일원화되었다. 종전 정보통신서비스 제공자 등에 대한 특례 규정은 삭제되었다.
개인정보처리자는 개인정보를 국외로 이전하여서는 아니 된다. 다만 다음 어느 하나에 해당하면 이전할 수 있다.
- 정보주체로부터 국외 이전에 관한 별도의 동의를 받은 경우
- 법률, 대한민국을 당사자로 하는 조약 또는 그 밖의 국제협정에 특별한 규정이 있는 경우
- 정보주체와의 계약의 체결 및 이행을 위하여 처리위탁·보관이 필요한 경우로서, 고지사항을 개인정보 처리방침에 공개하거나 전자우편 등 대통령령으로 정하는 방법으로 정보주체에게 알린 경우
- 개인정보를 이전받는 자가 개인정보 보호 인증 등 보호위원회가 정하여 고시하는 인증을 받은 경우로서 필요한 조치를 모두 한 경우
- 이전되는 국가 또는 국제기구의 개인정보 보호체계 등이 이 법에 따른 보호 수준과 실질적으로 동등하다고 보호위원회가 인정하는 경우
별도의 동의를 받을 때에는 미리 다음 사항을 정보주체에게 알려야 한다.
- 이전되는 개인정보 항목
- 개인정보가 이전되는 국가, 시기 및 방법
- 개인정보를 이전받는 자의 성명(법인인 경우에는 그 명칭과 연락처)
- 개인정보를 이전받는 자의 개인정보 이용목적 및 보유·이용 기간
- 개인정보의 이전을 거부하는 방법, 절차 및 거부의 효과
위 사항을 변경하는 경우에는 정보주체에게 알리고 다시 동의를 받아야 한다.
- 국외 이전과 관련한 이 법의 다른 규정, 제17조부터 제19조까지의 규정 및 제5장의 규정을 준수하여야 하고, 대통령령으로 정하는 보호조치를 하여야 한다.
- 이 법을 위반하는 사항을 내용으로 하는 국외 이전에 관한 계약을 체결하여서는 아니 된다.
보호위원회는 국외 이전이 계속되고 있거나 추가 이전이 예상되는 경우로서 다음에 해당하면 국외 이전 중지를 명할 수 있다(개인정보 보호법 제28조의9).
- 개인정보 보호법 제28조의8 제1항·제4항 또는 제5항을 위반한 경우
- 이전받는 자나 이전되는 국가·국제기구가 이 법에 따른 보호 수준에 비하여 개인정보를 적정하게 보호하지 아니하여 정보주체에게 피해가 발생하거나 발생할 우려가 현저한 경우
중지 명령을 받은 개인정보처리자는 명령을 받은 날부터 7일 이내에 보호위원회에 이의를 제기할 수 있다.