개인정보 보호법 - 제3장 개인정보의 처리_제4절 개인정보의 국외 이전 완벽정리

개인정보 보호법 - 제3장 개인정보의 처리_제4절 개인정보의 국외 이전.

 

개인정보 보호법 - 제3장 개인정보의 처리_제4절 개인정보의 국외 이전에 대해 본 글에서 살펴보려고 합니다.

개인정보 보호법 - 제3장 개인정보의 처리_제4절 개인정보의 국외 이전은 제28조의 8 ~ 제28조의 11로 이루어져 있습니다.

 

개인정보 보호법

---

제3장 개인정보의 처리
제4절 개인정보의 국외 이전 [신설 2023.03.14]

제28조의 8(개인정보의 국외 이전)

(1). 개인정보처리자는 개인정보를 국외로 제공(조회되는 경우를 포함한다)•처리 위탁•보관(이하 이 절에서 “이전”이라 한다) 하여서는 아니 된다.
다만, 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보를 국외로 이전할 수 있다.

1. 정보주체로부터 국외 이전에 관한 별도의 동의를 받은 경우
2. 법률, 대한민국을 당사자로 하는 조약 또는 그 밖의 국제협정에 개인정보의 국외 이전에 관한 특별한 규정이 있는 경우
3. 정보주체와의 계약의 체결 및 이행을 위하여 개인정보의 처리 위탁•보관이 필요한 경우로서 다음 각 목의 어느 하나에 해당하는 경우
   ㄱ. 제2항 각 호의 사항을 제30조에 따른 개인정보 처리 방침에 공개한 경우
   ㄴ. 전자우편 등 대통령령으로 정하는 방법에 따라 제2항 각 호의 사항을 정보주체에게 알린 경우
4. 개인정보를 이전 받는 자가 제32조의 2에 따른 개인정보 보호 인증 등 보호 위원회가 정하여 고시하는 인증을 받은 경우로서 다음 각 목의 조치를 모두 한 경우
   ㄱ. 개인정보 보호에 필요한 안전조치 및 정보주체 권리 보장에 필요한 조치
   ㄴ. 인증받은 사항을 개인정보가 이전되는 국가에서 이행하기 위하여 필요한 조치
5. 개인정보가 이전되는 국가 또는 국제기구의 개인정보 보호체계, 정보주체 권리 보장 범위, 피해 구제 절차 등이 이 법에 따른 개인정보 보호 수준과 실질적으로 동등한 수준을 갖추었다고 보호 위원회가 인정하는 경우

(2). 개인정보처리자는 제1항 제1호에 따른 동의를 받을 때에는 미리 다음 각 호의 사항을 정보주체에게 알려야 한다.

1. 이전되는 개인정보 항목
2. 개인정보가 이전되는 국가, 시기 및 방법
3. 개인정보를 이전 받는 자의 성명(법인인 경우에는 그 명칭과 연락처를 말한다)
4. 개인정보를 이전 받는 자의 개인정보 이용목적 및 보유•이용 기간
5. 개인정보의 이전을 거부하는 방법, 절차 및 거부의 효과

(3). 개인정보처리자는 제2항 각 호의 어느 하나에 해당하는 사항을 변경하는 경우에는 정보주체에게 알리고 동의를 받아야 한다.

(4). 개인정보처리자는 제1항 각 호 외의 부분 단서에 따라 개인정보를 국외로 이전하는 경우 국외 이전과 관련한 이 법의 다른 규정, 제17조부터 제19조까지의 규정 및 제5장의 규정을 준수하여야 하고, 대통령령으로 정하는 보호 조치를 하여야 한다.

(5). 개인정보처리자는 이 법을 위반하는 사항을 내용으로 하는 개인정보의 국외 이전에 관한 계약을 체결하여서는 아니 된다.

(6). 제1항부터 제5항까지에서 규정한 사항 외에 개인정보 국외 이전의 기준 및 절차 등에 필요한 사항은 대통령령으로 정한다.

[본 조 신설 2023.03.14]

 

<+위임 행정규칙>

• 개인정보 국외 이전 운영 등에 관한 규정(개인정보보호위원회고시 제2023 - 11호, 2023.10.16, 제정)

 

제28조의 9(개인정보의 국외 이전 중지 명령)

(1). 보호 위원회는 개인정보의 국외 이전이 계속되고 있거나 추가적인 국외 이전이 예상되는 경우로서 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보처리자에게 개인정보의 국외 이전을 중지할 것을 명할 수 있다.

1. 제28조의 8 제1항, 제4항 또는 제5항을 위반한 경우
2. 개인정보를 이전 받는 자나 개인정보가 이전되는 국가 또는 국제기구가 이 법에 따른 개인정보 보호 수준에 비하여 개인정보를 적정하게 보호하지 아니하여 정보주체에게 피해가 발생하거나 발생할 우려가 현저한 경우

(2). 개인정보처리자는 제1항에 따른 국외 이전 중지 명령을 받은 경우에는 명령을 받은 날부터 7일 이내에 보호 위원회에 이의를 제기할 수 있다.

(3). 제1항에 따른 개인정보 국외 이전 중지 명령의 기준, 제2항에 따른 불복 절차 등에 필요한 사항은 대통령령으로 정한다.

[본 조 신설 2023.03.14]

 

제28조의 10(상호주의)

제28조의 8에도 불구하고 개인정보의 국외 이전을 제한하는 국가의 개인정보처리자에 대해서는 해당 국가의 수준에 상응하는 제한을 할 수 있다. 다만, 조약 또는 그 밖의 국제협정의 이행에 필요한 경우에는 그러하지 아니하다.

[본 조 신설 2023.03.14]

 

제28조의 11(준용규정)

제28조의 8 제1항 각 호 외의 부분 단서에 따라 개인정보를 이전 받은 자가 해당 개인정보를 제3국으로 이전하는 경우에 관하여는 제28조의 8 및 제28조의 9를 준용한다.
이 경우 “개인정보처리자”는 “개인정보를 이전 받은 자”로, “개인정보를 이전 받는 자”는 “제3국에서 개인정보를 이전 받는 자”로 본다.

[본 조 신설 2023.03.14]

 

개인정보 보호법 더 보기

개인정보 보호법 - 제1장 총칙 완벽정리

개인정보 보호법 - 제2장 개인정보 보호정책의 수립 등 완벽정리

개인정보 보호법 - 제3장 개인정보의 처리_제1절 개인정보의 수집, 이용, 제공 등 완벽정리

개인정보 보호법 - 제3장 개인정보의 처리_제2절 개인정보의 처리 제한 완벽정리

개인정보 보호법 - 제3장 개인정보의 처리_제3절 가명정보의 처리에 관한 특례 완벽정리