개인정보를 처리하는 호스팅 서버가 해외에 있고 한국에서 서비스를 제공하는 경우, 개인정보 국외 이전 시 별도 동의를 받아야 하나요?

호스팅 서버가 해외에 있다는 사실만으로 개인정보 국외 이전 의무가 바로 사라지는 것은 아닙니다. 핵심은 서버의 물리적 위치가 아니라 개인정보를 국외로 이전하는지 여부입니다. 서버가 해외에 있더라도 한국 서비스 이용자가 입력한 개인정보를 그 해외 서버에서 처리·보관한다면, 이는 개인정보 보호법 제28조의8에서 말하는 국외 이전에 해당할 수 있습니다.

이 경우 원칙적으로 정보주체로부터 국외 이전에 관한 별도의 동의를 받아야 하고, 동의받을 때 이전되는 개인정보 항목, 이전 국가·시기·방법, 이전받는 자의 명칭·연락처, 이용목적 및 보유·이용 기간, 이전 거부 방법과 절차·효과 등을 미리 알려야 합니다. 다만 계약 체결·이행을 위해 처리위탁·보관이 필요한 경우에는 별도 동의 대신 개인정보 처리방침에 제2항 각 호 사항을 공개하거나 전자우편 등 대통령령으로 정하는 방법으로 알리는 방식으로 이전할 수 있습니다.

서버가 해외에 있다는 이유만으로 처리방침 기재만으로 충분하다고 볼 수는 없고, 어떤 이전 근거에 해당하는지, 이전받는 자와 미리 협의해 계약내용 등에 반영했는지, 안전성 확보 조치와 고충처리·분쟁해결 조치 같은 보호조치를 갖추었는지가 함께 검토되어야 합니다. 또한 이전받는 자가 제3국으로 다시 이전하는 경우에는 제28조의8과 제28조의9가 준용되므로, 해외 수탁자를 통한 재이전 구조도 함께 확인해야 합니다.

정리하면, 호스팅 서버가 해외에 있고 한국에서 서비스를 제공하는 경우에는 서버 위치보다 개인정보 국외 이전 여부와 그 근거(동의 또는 처리방침 공개·고지 등)를 기준으로 판단해야 하며, 처리방침에 해외 수탁자를 적는 것만으로는 별도 동의 요건을 대체할 수 없습니다.