개인정보 국외이전, 문 넓히되 감독은 촘촘히 [율촌 TMT 리포트]

로펌 리포트 개인정보 국외이전, 문 넓히되 감독은 촘촘히 [율촌 TMT 리포트] 법무법인 율촌 TMT센터 공동센터장 김선희 변호사 입력 : 2026.10.20 07:00 법무법인 율촌 TMT센터 공동센터장 김선희 변호사 인공지능과 클라우드가 기업 활동의 기본 인프라로 자리 잡으면서 개인정보의 국외이전은 더 이상 예외적인 일이 아니다. 고객 응대 업무를 위해 해외 AI 사업자의 AI 서비스를 활용하거나, 국외 계열사와 데이터를 통합 분석하거나, 글로벌 클라우드의 해외 리전에 데이터를 저장하는 과정에서 개인정보는 일상적으로 국경을 넘는다. 이런 흐름 속에서 개인정보보호위원회(개인정보위)가 국외이전의 법적 근거를 다양화하겠다는 방향을 제시한 것은 시의적절하다.동의·위탁에 갇힌 국외이전현행 개인정보 보호법 제28조의8 제1항은 정보주체의 별도 동의, 법률·조약상 특별한 규정, 계약의 체결·이행에 필요한 처리위탁·보관, 이전받는 자가 개인정보위가 고시한 인증을 받은 경우, 개인정보위가 개인정보 보호 수준이 동등하다고 인정한 국가·국제기구로의 이전을 국외이전의 근거로 규정한다. 현장에서 실제로 활용되는 근거는 ‘별도 동의’와 ‘처리위탁·보관’에 집중돼 있다. 그러나 이미 수집해 보유 중인 개인정보를 이전하려는 경우 정보주체 전원에게 새로 동의를 받기는 현실적으로 어렵다. 또한 동의 없이 국외 처리위탁·보관을 할 수 있는 경우도 ‘계약의 체결·이행에 필요한 경우’로 한정돼 있다.이러한 한계는 아래 두 가지 사례에서 잘 드러난다. 첫째, AI를 활용한 고객 상담 사례다. 고객 상담에 AI 서비스를 활용하는 기업은 단순한 민원 처리를 넘어 고객의 상담 이력과 고객 선호를 바탕으로 맞춤형 상담을 제공하고, 나아가 판매 촉진을 꾀하려는 순간 딜레마에 부딪힌다. 이런 부가적 활용은 ‘계약의 체결 및 이행을 위해’ 필요한 처리위탁으로 보기 어려울 수 있고, 결국 별도 동의 외에는 근거를 찾기 어려워 국외 AI 서비스 활용이 어려운 결과로 이어진다.내부 업무 효율화를 위한 에이전틱 AI 활용이나 판매 촉진 목적의 데이터 분석도 서비스 제공과의 직접적 관련성을 입증하기 어려워 이 근거를 원용하기 쉽지 않다. 제26조와의 정합성도 짚어볼 대목이다. 같은 업무를 국내 사업자에게 위탁하면 정보주체의 별도 동의가 필요 없지만, 수탁자가 국외에 있거나 국내 수탁자가 국외 업체에 재위탁하면 추가 요건이 따른다. 처리의 목적과 내용이 같아도 수탁자의...