[개인정보보호법] 제 3장 개인정보의 처리 (제 28조의 8 ~ 11 & 요약)

🔐개인정보보호법 개인정보 국외이전 파트 관련 개념 정리

🪶 국외 이전의 종류 🪶

• 제 3자 제공
• 개인정보 처리위탁
• 보관

 

---

 

🪶 국외 이전이 가능한 경우 🪶

① 정보 주체의 별도 동의

② 처리위탁 및 보관

※ (1) 정보주체와의 계약 체결 및 이행을 위해 필요한 경우로서
(2-1) 개인정보처리 방침에 공개하거나
(2-2) 개별 통지한 경우

 

③ 법률, 조약, 국제 협정에 개인정보 이전에 관한 내용이 있는 경우

④ 개인정보를 이전받는 자가 ISMS-P 인증을 받고 (1) 개인정보 안전조치 (2) 정보주체 권리보장에 필요한 조치를 수행하는 경우

⑤ 개인정보가 이전되는 국가 또는 국제기구의 개인정보보호 수준이 우리나라와 동등 수준을 갖추었다고 개인정보위가 인정하는 경우

 

---

 

🪶 국외 이전 동의를 받는 경우 정보 주체에 알려야 하는 사항 🪶

① 이전되는 개인정보 항목

② 개인정보가 이전되는 국가, 시기 및 방법

③ 개인정보를 이전받는 자의 성명

※ 이전받는 대상이 법인일 경우 그 명칭과 연락처를 알려야 함

 

④ 개인정보를 이전받는 대상의 개인정보 이용목적 및 보유·이용 기간

⑤ 개인정보의 이전 거부 방법, 절차 및 거부의 효과

 

---

 

🔐 제 28조의 8 개인정보의 국외 이전

 

ⓛ 개인정보처리자는 개인정보를 국외로 제공(조회되는 경우 포함)·처리위탁·보관(이하 이 절에서는 "이전"이라 한다.)하여서는 아니 된다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보를 국외로 이전할 수 있다.

1. 정보주체로부터 국외 이전에 관한 별도의 동의를 받은 경우

2. 법률, 대한민국을 당사자로 하는 조약 또는 그 밖의 국제 협정에 개인정보의 국외 이전에 관한 특별한 규정이 있는 경우

3. 정보주체와의 계약의 체결 및 이행을 위하여 개인정보의 처리위탁 및 보관이 필요한 경우로서 다음 각 목의 어느 하나에 해당하는 경우         가. 제 2항 각 호의 사항을 제 30조에 따른 개인정보 처리방침에 공개한 경우         나. 전자우편 등 대통령령으로 정하는 방법에 따라 제 2항 각 호의 사항을 정보주체에게 알린 경우 4. 개인정보를 이전받는 자가 개인정보보호 인증(법 제 32조의 2) 등 보호위원회가 정하여 고시하는 인증을 받은 경우로서 다음 각 목의 조치를 모두 한 경우     가. 개인정보보호에 필요한 안전조치 및 정보주체 권리보장에 필요한 조치     나. 인증받은 사항을 개인정보가 이전되는 국가에서 이행하기 위하여 필요한 조치 5. 개인정보가 이전되는 국가 또는 국제기구의 개인정보 보호체계, 정보주체 권리보장 범위, 피해구제 절차 등이 이 법(개인정보보호법)에 따른 개인정보 보호 수준과 실질적으로 동등한 수준을 갖추었다고 보호위원회가 인정하는 경우

 

 

② 개인정보처리자는 제 1항 제 1호에 따른 동의를 받을 때에는 미리 다음 각 호의 사항을 정보 주체에게 알려야 한다.

1. 이전되는 개인정보 항목
2. 개인정보가 이전되는 국가, 시기, 방법
3. 개인정보를 이전받는 자의 성명
4. 개인정보를 이전받는 자의 개인정보 이용목적 및 보유·이용 기간
5. 개인정보의 이전을 거부하는 방법, 절차 및 거부의 효과

 

 

③ 개인정보처리자는 제 2항 각 호의 어느 하나에 해당하는 사항을 변경하는 경우 정보주체에게 알리고 동의를 새로 받아야 함

 

 

④ 개인정보처리자는 제 1항 각 호 외의 부분 단서에 따라 개인정보를 국외로 이전하는 경우 국외 이전과 관련한 이 법의 다른 규정, 제 17조부터 제 19조까지의 규정 및 제 5장의 규정을 준수하여야 하고, 대통령령으로 정하는 보호조치를 하여야 한다.

 

 

⑤ 개인정보처리자는 이 법을 위반하는 사항을 내용으로 하는 개인정보의 국외 이전에 관한 계약을 체결하여서는 아니 된다.

 

 

⑥ 제 1항부터 제 5항까지에서 규정한 사항 외에 개인정보 국외 이전의 기준 및 절차 등에 필요한 사항을 대통령령으로 정한다.

 

---

 

🔐 제 28조의 9 개인정보의 국외 이전 중지 명령

ⓛ 보호위원회는 개인정보의 국외 이전이 계속되고 있거나 추가적인 국외 이전이 예상되는 경우로서 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보처리자에게 개인정보의 국외 이전을 중지할 것을 명령할 수 있다.

1. 제 28조의 8 제 1항, 제 4항 또는 제 5항을 위반한 경우

2. 개인정보를 이전받는 자나 개인정보가 이전되는 국가 또는 국제기구가 이 법에 따른 개인정보 보호 수준에 비하여 개인정보를 적정하게 보호하기 아니하여 정보주체에게 피해가 발생하거나 발생할 우려가 현저한 경우

 

 

② 개인정보처리자는 제 1항에 따른 국외 이전 중지 명령을 받은 경우에는 명령을 받은 날로부터 7일 이내에 보호위원회에 이의를 제기할 수 있다.

 

 

③ 제 1항에 따른 개인정보 국외 이전 중지 명령의 기준, 제 2항에 따른 불복 절차 등에 필요한 사항은 대통령령으로 정한다.

 

---

 

🔐 제 28조의 10 상호주의

: 제 28조의 8에도 불구하고 개인정보의 국외 이전을 제한하는 국가의 개인정보처리자에 대해서는 해당 국가의 수준에 상응하는 제한을 할 수 있다. 다만, 조약 또는 그 밖의 국제 협정의 이행에 필요한 경우에는 그러하지 아니한다.

 

---

 

🔐 제 28조의 11 준용규정

: 제 28조의 8 제 1항 각 호 외의 부분 단서에 따라 개인정보를 이전받은 자가 해당 개인정보를 제 3국으로 이전하는 경우에 관하여는 제 28조의 8 및 제 28조의 9를 준용한다. 이 경우 "개인정보처리자"는 "개인정보를 이전받은 자"로, "개인정보를 이전받는 자"는 "제 3국에서 개인정보를 이전받는 자"로 본다.

 

---

 

🎓 개인정보보호법 요약

🧑‍⚖️ 개인정보 국외 이전의 종류

• 제 3자 제공
• 개인정보 업무 처리위탁
• 보관

 

🧑‍⚖️ 개인정보 국외 이전은 일반적으로 금지

• 정보주체의 동의가 있을 때 국외 이전이 가능한 요건과 정보주체의 동의가 없더라도 이전 가능한 요건을 합해 총 5가지의 예외 요건이 존재함

 

🧑‍⚖️ 개인정보 국외 이전 중지 명령

• 사전 예방 조치가 아니라 국외 이전이 진행되고 있거나 이전이 완료된 후, 추가 이전이 예상되는 경우에 적용
• 개인정보위가 중지 명령을 내릴 수 있는 요건이 있음