신분증, 통장사본 등 민감한 금융·신원 정보를 국외로 이전할 때 별도 동의 없이 처리방침에 해외 수탁자 기재만으로 갈음할 수 있나요?
아니요, 처리방침에 해외 수탁자를 기재하는 것만으로는 별도 동의 요건을 갈음할 수 없습니다.
개인정보 보호법 제28조의8 제1항 제1호는 정보주체로부터 국외 이전에 관한 별도의 동의를 받은 경우에만 개인정보를 국외로 이전할 수 있다고 정하고 있습니다. 같은 조 제2항은 그 동의를 받을 때 이전되는 개인정보 항목, 이전 국가·시기·방법, 이전받는 자의 명칭·연락처, 이용목적 및 보유·이용 기간, 이전 거부 방법과 절차·효과 등을 미리 정보주체에게 알려야 한다고 규정합니다.
제28조의8 제1항 제3호 가목은 계약 체결·이행을 위한 처리위탁·보관의 경우 제2항 각 호의 사항을 개인정보 처리방침에 공개하거나, 나목처럼 전자우편 등 대통령령으로 정하는 방법으로 정보주체에게 알리는 방법을 별도로 허용하고 있습니다. 즉 처리방침 공개는 제1호의 별도 동의와는 다른 독립된 이전 근거이며, 처리방침 공개만으로 제1호의 별도 동의를 대신할 수는 없습니다.
또한 제28조의8 제4항은 국외 이전 시 이 법의 다른 규정, 제17조부터 제19조까지 및 제5장의 규정을 준수해야 하고 대통령령으로 정하는 보호조치를 하도록 정하고 있으며, 같은 법 시행령 제29조의10은 안전성 확보 조치, 개인정보 침해 고충처리 및 분쟁해결 조치, 그 밖에 필요한 보호조치를 하도록 하고, 제29조의10 제2항은 이전받는 자와 미리 협의하고 이를 계약내용 등에 반영하도록 하고 있습니다.
따라서 신분증, 통장사본처럼 민감할 수 있는 금융·신원 정보를 국외로 이전할 때는 원칙적으로 정보주체로부터 별도 동의를 받고 제2항 각 호 사항을 알려야 하며, 처리방침 공개는 그 별도 동의와 별개의 이전 경로로만 활용할 수 있습니다. 어떤 이전 근거에 따라 진행할지, 그리고 이전받는 자와의 협의·계약내용 반영과 보호조치까지 갖추었는지에 따라 적법 여부가 달라지므로, 실제 이전 구조와 이전받는 자의 지위를 기준으로 구체적으로 확인하시는 것이 좋습니다.
최신 개정 사항을 별도로 확인해 보시는 것을 권장드립니다.
