[뉴스토마토 전연주 기자] 인공지능(AI)과 클라우드 서비스 확산으로 개인정보의 국경 간 이동이 일상화되면서, 현행 개인정보 국외이전 제도를 현실에 맞게 손질해야 한다는 목소리가 나왔습니다. 정보주체의 동의나 위탁 관계에 의존하기보다 표준계약조항(SCC) 등 안전장치를 전제로 기업이 활용할 수 있는 이전 수단을 다양화해야 한다는 제안입니다.
17일 개인정보보호위원회(개보위)는 서울 중구 포스트타워에서 제4차 '2026 개인정보 미래포럼'을 열고 개인정보 국외이전 제도의 발전 방향을 논의했습니다. 이번 포럼은 AI와 글로벌 서비스 이용, 국제 공동 연구 등이 늘면서 국가 간 데이터 이동 수요가 커진 데 따라 마련됐습니다.
송경희 개인정보보호위원회 위원장이 서울 중구 포스트타워에서 개최된 제4회 미래포럼에서 토론자들의 의견을 듣고 있다. (사진=개보위)
현장에서는 기업이 해외 서비스를 이용하는 것만으로도 개인정보가 여러 국가와 사업자를 거쳐 이동할 수 있다는 지적이 나왔습니다. 윤수영 한국개인정보보호책임자협의회(KCPO) 사무국장은 글로벌 서비스형 소프트웨어(SaaS)를 이용하면 해당 업체가 다시 해외 클라우드 인프라를 이용하는 경우가 많아 개인정보가 2·3차로 이전되는 구조가 나타나고 있다고 설명했습니다.
문제는 국내 기업이 이 과정을 모두 통제하기 어렵다는 점입니다. 국내 기업이 개인정보 처리 업무를 위탁하면 수탁자에 대한 관리·감독 의무가 발생하지만, 글로벌 기업은 세계 공통 계약과 업무 절차를 적용하는 경우가 많습니다. 국내 기업 한 곳의 요구에 맞춰 계약을 바꾸거나 별도의 점검을 받지 않는 경우가 많고, 추가적인 비용이 발생하기도 합니다.
게다가 AI 확산은 문제를 더 복잡하게 만들고 있습니다. 기업이 글로벌 AI·SaaS 서비스를 이용할 경우, 직원이 입력하는 데이터부터 해당 정보가 AI 학습에 재사용되는지 여부까지 국내 기업이 모든 과정을 확인하기 어렵기 때문입니다. 특히 협상력과 법무 인력이 부족한 스타트업이나 중견기업에는 법적 불확실성과 비용 부담이 더 크게 작용할 수 있다는 지적도 나왔습니다.
이를 위한 대안으로 SCC와 승인된 기업규칙(BCR) 등이 제시됐습니다. SCC는 개인정보를 보내는 기업과 받는 기업이 지켜야 할 보호 의무를 표준계약으로 정하는 방식입니다. BCR은 다국적 기업이 개인정보 보호를 위한 내부 규칙을 마련해 승인을 받아 계열사 간 개인정보를 이전할 수 있도록 하는 제도입니다.
김도엽 변호사는 유럽연합(EU)의 일반개인정보보호법(GDPR) 사례를 들어 SCC가 비교적 빠르고 적은 비용으로 활용할 수 있다는 점을 장점으로 꼽았습니다. 특히 별도의 법무 인력을 갖추기 어려운 스타트업 등에도 실질적인 선택지가 될 수 있다는 설명입니다. 아울러 개인정보가 해외로 넘어간 뒤에도 이용자가 자신의 권리를 행사할 수 있는 장치를 마련할 수 있다고 설명했습니다.
김 변호사는 국외이전 과정에서 이용자 동의에 의존하는 현행 방식도 다시 살펴볼 필요가 있다고 제안했습니다. 국외이전이 서비스 제공에 필수적인 경우 동의와 철회를 실질적으로 보장하기 어려울 수 있는 만큼, SCC·BCR 등 다양한 보호수단을 마련할 필요가 있다는 설명입니다.
송경희 개인정보위 위원장은 "정보주체의 권리를 보호하면서도 국제 공동연구 등 필요한 분야에서 데이터를 활용할 수 있도록 제도를 정비하는 것이 중요하다"며 "기업과 연구기관 등이 국제 무대에서 혁신 활동을 추진하는 데 불필요한 제약이 없도록, 개인정보의 안전한 국외이전을 위한 정책을 마련하겠다"고 밝혔습니다.
전연주 기자 kiteju1011@etomato.com
이 기사는 뉴스토마토 보도준칙 및 윤리강령에 따라 김기성 편집국장이 최종 확인·수정했습니다.
ⓒ 맛있는 뉴스토마토, 무단 전재 - 재배포 금지