오늘날 기업들이 해외에서 국경을 넘나들며 사업을 운영하는 것은 보편적인 일이 되었습니다. 이에 따라 기업들은 일상적인 업무 과정에서 개인정보의 국외 이전에 관한 이슈를 흔히 마주하고 있습니다. 영국의 데이터보호법은 개인정보가 영국 외부로 이전되는 경우에도 해당 개인정보가 적절한 수준으로 보호될 수 있도록 기업으로 하여금 필요한 조치를 취할 것을 요구하고 있습니다. 기업들이 개인정보의 국외 이전에 관한 적절한 보호조치를 마련하지 않는다면 관련 규정을 위반할 위험이 있으며 이는 상당한 과징금과 기업 평판에 대한 부정적 영향을 초래할 수 있습니다.
이번 뉴스레터에서는 개인정보의 국외 이전에 대한 개요 및 국외 이전 과정에서 기업들이 실무적으로 준수해야 할 사항들에 관하여 살펴보겠습니다.
개인정보의 제한적 국외 이전 (A restricted international transfer)
개인정보의 제한적 국외 이전은 영국의 GDPR(General Data Protection Regulation, 일반정보보호규정)의 보호를 받는 개인정보가 영국 외에 소재한 별도의 법인(Legal entity)에 전송되거나 해당 법인이 이에 접근할 수 있게 되는 경우를 의미합니다. 일례로, 모회사 또는 해외 자회사와 근로자 관련 정보를 공유하는 경우, 해외의 급여관리(payroll), 인사관리(HR) 또는 IT 서비스 제공업체를 이용하는 경우, 영국 외부에 호스팅된 클라우드 기반 시스템에 개인정보를 저장하는 경우 등이 있습니다. 주의해야 할 점은 개인정보가 다른 국가로 물리적으로 이전되었을 때 뿐만 아니라, 영국 외부에서의 원격 접속 역시 국외 이전에 해당할 수 있으므로 동일한 기준에 따라 검토 및 평가할 필요가 있다는 점입니다.
적정성(Adequacy)에 관한 새로운 접근 방식
개인정보의 국외 이전시 가장 간단하고도 적법한 방식은 영국 정부가 적정한 수준의 개인정보 보호를 제공한다고 인정한 국가로 개인정보를 이전하는 것입니다.
과거의 적정성 (Adequacy) 평가는 다른 국가의 법체계가 영국 및 유럽의 개인정보 보호 기준과 본질적으로 (essentially) 동일한지 여부에 중점을 두었습니다. 유럽 국가에서 유럽 외 국가로 개인정보를 이전하는 경우에는 여전히 이러한 기준이 적용되지만, 영국은 최근 2025데이터(사용 및 접근)법 (Data (Use and Access) Act 2025, “DUAA”)에 따라 적정성에 관한 기준을 변경하였습니다. 이에 따라 개인정보를 이전받는 국가의 개인정보 보호 수준이 영국의 보호 수준에 비해 실질적으로 낮지 않은 경우(not materially lower)에도 적정성 결정을 내릴 수 있게 되었습니다. 이러한 변경은 개인정보에 대한 보호 수준을 유지하면서도 개인정보의 국외 이전을 지원할 수 있도록 보다 유연하고 결과 중심적인 방식으로 적정성을 평가하기 위한 의도로 해석됩니다.
적절한 보호조치
개인정보를 이전받는 국가가 영국의 적정성 결정을 받지 못한 경우에는 정보를 이전하기 전에 적절한 보호조치를 마련하여야 합니다. 이 경우, 적절한 보호조치란 영국 외부로 개인정보를 이전하는 과정에서 관련 법규를 준수할 수 있도록 하는 제도적·계약적 수단을 의미합니다. 다음의 보호조치들이 가장 보편적으로 사용되고 있습니다.
- 개인정보 국외 이전에 관한 계약 (International Data Transfer Agreement, IDTA)
IDTA는 영국으로부터 적정성 지위를 인정받지 못한 국가로 개인정보를 이전하는 경우에 사용할 수 있도록 승인된 표준 계약 방식입니다. IDTA는 양 당사자에게 계약상 의무를 부과하며, 이전되는 개인정보가 수령 국가에서 적절한 수준으로 보호될 수 있도록 고안되었습니다.
- EU 표준계약조항 (Standard Contractual Clauses, SCCs)에 대한 영국의 부속 합의서 (UK Addendum)
많은 다국적 기업은 유럽 국가에서 유럽 외 국가로 개인정보를 이전할 때 유럽연합 집행위원회(European Commission)의 표준계약조항을 사용합니다. 영국의 부속 합의서는 브렉시트로 인해 영국이 EU에서 탈퇴한 이후에도 영국 외부로 개인정보를 이전하는데 SCCs를 계속 사용할 수 있도록 하기 위하여 마련되었습니다. 특히, 하나의 계약 체계 안에서 영국의 GDPR과 유럽연합(EU)의 GDPR의 요건을 모두 충족해야 하는 경우에 유용합니다.
- 구속력 있는 기업 규칙 (Binding Corporate Rules, BCRs)
다국적 대기업은 개인정보를 각기 다른 국가에 소재한 계열사 간에 내부적으로 이전할 목적으로 BCRs를 도입할 수 있습니다. BCRs는 계열사 간 개인정보 국외 이전에 관하여 적절한 수준의 보호를 전제로 합니다. BCRs의 승인을 받는 과정에는 상당한 시간과 금원이 소요될 수 있으나, 광범위하게 해외 사업을 운영하는 기업에게는 장기적인 관점에서 효과적인 해결책이 될 수 있습니다.
개인정보 이전에 관한 위험 평가(Transfer Risk Assessment, TRA)
또한, 기업은 개인정보를 국외로 이전할 경우 해당 개인정보에 대한 보호 수준이 실질적으로 낮아지지 않는지를 확인하기 위해 개인정보 이전에 관한 위험 평가를 실시해야 합니다. 최근까지 기업은 개인정보를 이전받는 국가의 개인정보 보호 수준이 영국의 보호 수준과 본질적으로 동등하다는 점을 평가해야 했습니다. 그러나 2025데이터(사용 및 접근)법에 따라 해당 평가에 대한 기준 역시 변경되었습니다. 이에 따라 이제는 개인정보를 이전받는 국가의 개인정보 보호 수준이 영국의 보호 수준보다 실질적으로 낮지 않다는 점을 해당 평가를 통해 확인하면 됩니다. 이러한 기준 변경으로 인하여 개인정보의 제한적 국외 이전에 대해 보다 유연한 접근이 가능해질 것으로 예상됩니다. 다만, 개인정보 이전에 관한 위험을 평가한 결과 개인정보 수령국의 보호 수준이 영국보다 실질적으로 낮은 것으로 판단되는 경우에는 해당 개인정보 이전을 진행할 수 없습니다.
기업을 위한 실무적 고려사항
적정성 결정 및 개인정보 이전에 관한 위험 평가에 관하여 변경된 기준을 고려하여 개인정보 보호 및 관리체계에 관한 문서 및 표준 양식을 검토하고 변경 요부에 관하여 점검할 필요가 있습니다. 영국과 EU 모두에서 사업을 운영하는 기업이라면 영국의GDPR과 EU의 GDPR 하에서 개인정보 국외 이전에 관한 요건이 유사하지만, 동일하지는 않다는 점에도 유의해야 합니다. 즉, 한 관할권에서 적법한 개인정보 국외 이전 방식이 다른 관할권에서도 반드시 적법한 것은 아닐 수 있습니다.
3CS가 도와드립니다
기업이 여러 국가에서 사업을 운영하거나 다수의 외부 위탁업체를 이용하는 경우 개인정보를 적법하게 국외로 이전하기 위하여 복잡한 사항들을 검토하여야 합니다. 저희 로펌은 UK GDPR 및 EU GDPR에 기한 개인정보 이전에 관한 위험 평가의 수행, 개인정보 국외 이전에 관한 계약서 작성 및 검토, 표준계약조항(SCCs)의 도입 및 적용, 개인정보 국외 이전 관련 컴플라이언스에 대한 자문을 제공합니다. 또한, 기업의 개인정보 보호에 관한 준법 감시, 임직원 교육, 개인정보 보호 체계에 대한 전반적인 점검을 수행합니다.
저희 로펌은 기업 내 계열사 간에 임직원의 개인정보를 공유하는 경우, 새로운 해외 위탁업체를 선정하는 경우 또는 개인정보 보호 및 처리에 관하여 전반적으로 검토하는 경우 등과 같이 귀사의 각 상황에 맞추어 적법하고, 시행 가능한 해결방안을 마련할 수 있도록 지원합니다. 이에 관한 법률적 자문이 필요하신 경우, 문의 부탁드립니다.
