해외 AI API로 고객 데이터를 보낼 때 — 국외 이전 예외가 처리위탁·보관에만 열리는 자리

고객 문의 텍스트를 그대로 해외 AI API에 넘겨 답변 초안을 만드는 자동화는 이제 흔해요. 그런데 그 파이프라인을 켜는 순간, 법이 그 동작을 뭐라고 부르는지부터 정해져요.

결론부터 적을게요. 개인정보 보호법 제28조의8 제1항은 국외 제공과 처리위탁, 보관을 한 낱말로 묶어 이전이라고 불러요. 그런데 별도 동의 없이 열리는 통로 중 실무에서 가장 자주 쓰이는 제3호는 그 세 낱말 중 처리위탁과 보관만 적어요. 내가 보내는 그 데이터가 제공인지 처리위탁인지에 따라 필요한 절차가 갈리는 지점이 여기예요.

아래 내용은 2026년 8월 15일에 국가법령정보센터 공개 API로 원문을 직접 받아 확인한 것이에요. 개인정보 보호법(시행 2025년 10월 2일), 개인정보 보호법 시행령(시행 2026년 5월 19일), 그리고 개인정보보호위원회 고시 「개인정보 국외 이전 운영 등에 관한 규정」(발령·시행 2023년 10월 16일, 발령번호 제2023-11호) 세 편이에요. 응답의 행정규칙명과 소관부처, 시행일자를 눈으로 확인한 뒤에 인용했어요.

국외 이전에 조회되는 경우까지 들어가는 이유

제28조의8 제1항 본문부터 읽을게요.

개인정보처리자는 개인정보를 국외로 제공(조회되는 경우를 포함한다)ㆍ처리위탁ㆍ보관(이하 이 절에서 "이전"이라 한다)하여서는 아니 된다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보를 국외로 이전할 수 있다.

문장 하나에 장치가 세 개 들어 있어요.

첫째, 괄호예요. 제공 뒤에 조회되는 경우를 포함한다는 괄호가 붙어 있어요. 데이터를 물리적으로 옮기는 것만 이전이 아니라는 뜻이에요. 저장소가 국내에 있어도 해외에서 열어 보는 구조라면 이 조문의 사정거리 안에 들어와요.

둘째, 세 낱말을 한 낱말로 묶어요. 제공과 처리위탁과 보관을 나란히 적고 이하 이 절에서 이전이라 한다고 정의해요. 그래서 뒤에 나오는 조문들이 이전이라고만 적어도 세 갈래를 다 가리켜요.

셋째, 원칙이 금지예요. 본문은 하여서는 아니 된다로 끝나고, 다만으로 시작하는 단서가 예외를 엽니다. 그래서 국외 이전 문제는 "무엇을 하면 되나"가 아니라 "어느 호에 걸리나"의 문제로 설계돼 있어요.

같은 괄호가 고시에도 그대로 다시 나와요. 개인정보보호위원회 고시 제2조 제4호는 이렇게 적어요.

"이전대상국등"이란 법 제28조의8제1항제5호에 따라 개인정보가 제공(조회되는 경우를 포함한다)ㆍ처리위탁ㆍ보관(이하 '이전'이라 한다)되는 국가 또는 국제기구를 말한다.

법과 고시가 같은 괄호를 두 번 적었다는 것은, 이 괄호가 부수적인 설명이 아니라 정의의 일부라는 뜻으로 읽혀요.

출처: 개인정보 보호법 제28조의8 제1항(시행 2025년 10월 2일), 국가법령정보센터 공개 API 원문. 표의 예시 열은 조문 문언이 아니라 이해를 돕기 위한 설명이에요

별도 동의 말고 열려 있는 네 갈래

단서가 여는 통로는 다섯 개예요. 흔히 국외 이전이라고 하면 별도 동의부터 떠올리는데, 그건 다섯 개 중 첫 번째일 뿐이에요.

출처: 개인정보 보호법 제28조의8 제1항 각 호(시행 2025년 10월 2일), 국가법령정보센터 공개 API 원문

제4호와 제5호는 내가 서류를 잘 써서 여는 통로가 아니에요. 둘 다 보호위원회가 정하는 목록에 실려야 열리는 구조거든요.

제4호 쪽은 고시가 목록을 갖고 있어요. 고시 제15조는 "제14조에 따라 보호위원회가 정하는 인증은 별표2와 같다"고 적고, 이번에 받은 고시 응답의 별표2에는 인증이 한 줄 실려 있어요. 인증명은 ISMS-P, 인증 유효기간은 해당 없음, 비고는 법 제32조의2에 따른 개인정보 보호 인증이에요. 고시 제17조는 그 인증의 보호 수준이 법 제32조의2에 따른 인증 수준에 미치지 못한다고 판단하는 경우 절차를 거쳐 별표2에서 제외할 수 있다고도 적어요. 목록이 고정된 게 아니라는 뜻이에요.

제5호 쪽은 고시가 절차만 적어요. 제18조는 국외이전전문위원회가 이전대상국등의 개인정보 보호 수준과 정보주체 권리 보호 적절성 등을 평가해 보호위원회에 제출하도록 하고, 제19조는 정책협의회를 열어 관계기관과 협의하도록 하고, 제20조는 그 내용을 종합해 보호위원회 심의·의결을 거쳐 인정 여부를 정한다고 적어요. 제21조는 인정 기간 만료 전 갱신 심의를 적고요.

여기서 조심할 자리가 있어요. 이번에 받은 고시 응답에 담긴 별표는 두 개예요. 별표1은 개인정보 국외 이전 인증 평가 기준(제11조부터 제14조까지 관련)이고 별표2는 개인정보 국외 이전 인증(제15조 관련)이에요. 인정된 국가나 국제기구의 목록을 담은 별표는 이 응답 안에 들어 있지 않았어요. 그건 "인정된 국가가 없다"는 뜻이 아니라 이 고시의 별표에는 그 목록이 실려 있지 않다는 뜻이에요. 제5호 경로를 쓰려면 보호위원회의 심의·의결 결과를 따로 확인해야 해요.

처리위탁·보관에만 걸린 예외와 제공이 빠진 자리

이 글의 축이 여기예요. 제3호 원문을 다시 볼게요.

정보주체와의 계약의 체결 및 이행을 위하여 개인정보의 처리위탁ㆍ보관이 필요한 경우로서 다음 각 목의 어느 하나에 해당하는 경우

제1항 본문은 제공ㆍ처리위탁ㆍ보관 세 낱말이었어요. 그런데 제3호는 처리위탁ㆍ보관 두 낱말이에요. 같은 조문 안에서, 같은 열거 방식으로 적히면서 하나가 빠져 있어요.

그래서 이런 구도가 나와요.

출처: 개인정보 보호법 제28조의8 제1항 제3호(시행 2025년 10월 2일), 국가법령정보센터 공개 API 원문

가목과 나목은 어느 하나만 갖추면 돼요.

가. 제2항 각 호의 사항을 제30조에 따른 개인정보 처리방침에 공개한 경우

나. 전자우편 등 대통령령으로 정하는 방법에 따라 제2항 각 호의 사항을 정보주체에게 알린 경우

나목의 "대통령령으로 정하는 방법"은 시행령이 두 단계로 정의해요. 시행령 제29조의7 전문이에요.

법 제28조의8제1항제3호나목에서 "전자우편 등 대통령령으로 정하는 방법"이란 서면등의 방법을 말한다.

그 서면등의 방법이 무엇인지는 같은 영 제17조 제5항이 정의해요. 서면, 전자우편, 팩스, 전화, 문자전송 또는 이에 상당하는 방법이에요. 이메일 하나로 좁혀진 목록이 아니라는 뜻이에요.

그리고 단서로 이전하는 경우에는 조문이 따로 얹는 의무가 있어요. 제28조의8 제4항이에요.

개인정보처리자는 제1항 각 호 외의 부분 단서에 따라 개인정보를 국외로 이전하는 경우 국외 이전과 관련한 이 법의 다른 규정, 제17조부터 제19조까지의 규정 및 제5장의 규정을 준수하여야 하고, 대통령령으로 정하는 보호조치를 하여야 한다.

여기서 말하는 보호조치를 시행령 제29조의10 제1항이 세 가지로 적어요. 제30조 제1항에 따른 개인정보 보호를 위한 안전성 확보 조치, 개인정보 침해에 대한 고충처리 및 분쟁해결에 관한 조치, 그 밖에 정보주체의 개인정보 보호를 위하여 필요한 조치예요.

같은 조 제2항이 실무에서 가장 자주 걸리는 자리예요. 이전받는 자와 미리 협의하고 이를 계약내용 등에 반영해야 한다고 적혀 있어요. 즉 내 쪽 문서를 정비하는 것만으로 끝나지 않고 상대방 계약에 반영되어야 한다는 문장이에요.

제5항도 짧지만 분명해요. "개인정보처리자는 이 법을 위반하는 사항을 내용으로 하는 개인정보의 국외 이전에 관한 계약을 체결하여서는 아니 된다"예요. 계약 문구 자체가 검토 대상이라는 뜻이에요.

자동화 파이프라인에서 어떤 값이 실제로 밖으로 나가는지부터 좁히고 싶다면 자동화 흐름에서 개인정보와 프롬프트 주입을 막는 순서를 정리한 글이 먼저 볼 만해요. 조문 판단은 나가는 항목이 정해진 뒤에야 시작되거든요.

동의를 받기 전에 미리 알려야 하는 다섯 가지

제2항은 제1호 동의를 받을 때 미리 알려야 하는 항목을 다섯 개로 못박아요.

② 개인정보처리자는 제1항제1호에 따른 동의를 받을 때에는 미리 다음 각 호의 사항을 정보주체에게 알려야 한다.

출처: 개인정보 보호법 제28조의8 제2항 각 호(시행 2025년 10월 2일), 국가법령정보센터 공개 API 원문

이 표가 중요한 이유는 따로 있어요. 제3호 가목과 나목이 가리키는 것도 바로 이 다섯 항목이에요. 가목은 이걸 개인정보 처리방침에 공개하라고 하고, 나목은 이걸 서면등의 방법으로 알리라고 해요. 그러니까 동의를 받지 않는 경로를 택해도 알려야 할 내용은 줄어들지 않고, 전달 방식만 바뀌어요.

제3항은 유지 의무를 적어요. "제2항 각 호의 어느 하나에 해당하는 사항을 변경하는 경우에는 정보주체에게 알리고 동의를 받아야 한다"예요. 이전받는 자가 바뀌거나 처리 국가가 바뀌면 그 시점에 다시 밟아야 하는 절차가 생긴다는 뜻이에요.

위 표의 다섯 항목 중 제2항 제3호가 실무에서 가장 채우기 어려운 칸이기도 해요. 이 글이 줄곧 다뤄 온 제3호는 제1항 제3호(계약 이행을 위한 처리위탁·보관)였고, 여기서 말하는 제3호는 항이 다른 제2항 제3호예요. 조문은 이전받는 자의 성명, 법인이면 그 명칭과 연락처를 요구하는데, 해외 AI 서비스는 하위 수탁자를 여럿 두는 구조가 흔해요. 이 글은 특정 사업자의 법인명이나 소재 국가를 적지 않을게요. 그건 각자의 계약서와 그 회사가 공개하는 처리 조항에서 확인할 값이지, 이 조문에서 나오는 값이 아니에요.

개인정보 처리방침에 적어야 하는 국외 이전 근거

처리방침에 적을 항목은 두 층으로 나뉘어 있어요. 법 제30조 제1항이 처리 목적, 처리 및 보유 기간, 제3자 제공, 파기 절차, 위탁, 권리 행사 방법, 개인정보 보호책임자 연락처, 자동 수집 장치의 설치·운영 같은 항목을 직접 적고, 그 마지막 제8호가 "그 밖에 개인정보의 처리에 관하여 대통령령으로 정한 사항"을 시행령에 넘겨요. 시행령 제31조 제1항은 바로 그 넘겨받은 자리예요. 조문 첫머리도 법 제30조 제1항 제8호에서 대통령령으로 정한 사항이란 다음 각 호의 사항을 말한다고 스스로 밝혀요. 국외 이전은 그 안의 제2호에 있어요.

법 제28조의8제1항 각 호에 따라 개인정보를 국외로 이전하는 경우 국외 이전의 근거와 같은 조 제2항 각 호의 사항

문장을 쪼개면 두 덩이예요. 국외 이전의 근거와 제2항 각 호의 사항이에요. 근거라는 말은 앞에서 본 다섯 개 호 중 어느 호로 이전하는지를 가리켜요. 처리방침에 "국외 이전을 합니다"라고만 적고 끝내면 앞쪽 덩이가 비어요.

같은 항의 다른 호도 함께 볼 만해요.

출처: 개인정보 보호법 시행령 제31조 제1항(시행 2026년 5월 19일), 국가법령정보센터 공개 API 원문

제4호는 방향이 반대인 항목이라 헷갈리기 쉬워요. 앞의 제2호가 국내에서 밖으로 내보내는 이야기라면, 제4호는 밖에서 국내 정보주체의 개인정보를 직접 수집해 처리하는 경우예요. 국내 이용자를 상대로 해외에서 서비스를 운영하는 구조라면 이쪽 칸이 따로 필요해요.

게재 방법도 정해져 있어요. 시행령 제31조 제2항은 수립하거나 변경한 개인정보 처리방침을 인터넷 홈페이지에 지속적으로 게재해야 한다고 적어요. 홈페이지에 게재할 수 없는 경우에는 제3항이 네 가지 방법을 열거해요. 사업장등의 보기 쉬운 장소에 게시하는 방법, 관보(개인정보처리자가 공공기관인 경우만 해당한다)나 사업장등이 있는 시·도 이상의 지역을 주된 보급지역으로 하는 일반일간신문·일반주간신문 또는 인터넷신문에 싣는 방법, 같은 제목으로 연 2회 이상 발행해 정보주체에게 배포하는 간행물·소식지·홍보지 또는 청구서 등에 지속적으로 싣는 방법, 계약서 등에 실어 정보주체에게 발급하는 방법이에요.

제2호는 괄호를 눈여겨볼 자리예요. 관보에는 공공기관인 경우만 해당한다는 괄호가 붙어 있어요. 해외 AI API를 쓰는 민간 사업자라면 이 호에서 열려 있는 통로는 관보가 아니라 신문 쪽이고, 그 신문도 사업장이 있는 시·도 이상을 주된 보급지역으로 하는 것이어야 해요.

국외 이전 중지 명령과 이의 제기 기한

제28조의9는 보호위원회의 조치와 그에 대한 절차를 적어요. 제1항 본문부터 읽을게요.

보호위원회는 개인정보의 국외 이전이 계속되고 있거나 추가적인 국외 이전이 예상되는 경우로서 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보처리자에게 개인정보의 국외 이전을 중지할 것을 명할 수 있다.

요건이 두 겹으로 얹혀 있어요. 먼저 국외 이전이 계속되고 있거나 추가적인 국외 이전이 예상되는 경우여야 하고, 그 위에 다음 두 호 중 하나에 걸려야 해요. 그리고 문장은 "명하여야 한다"가 아니라 "명할 수 있다"로 끝나요. 중지 명령은 요건이 채워지면 자동으로 나오는 것이 아니라 보호위원회가 할 수 있는 조치로 적혀 있어요.

1. 제28조의8제1항, 제4항 또는 제5항을 위반한 경우

2. 개인정보를 이전받는 자나 개인정보가 이전되는 국가 또는 국제기구가 이 법에 따른 개인정보 보호 수준에 비하여 개인정보를 적정하게 보호하지 아니하여 정보주체에게 피해가 발생하거나 발생할 우려가 현저한 경우

두 번째 호가 눈에 걸려요. 내 잘못이 아니라 이전받는 쪽이나 그 국가의 상태를 사유 칸에 적고 있어요. 계약을 잘 써 두어도 상대 쪽 사정이 그 칸에 들어올 수 있다는 뜻이에요. 다만 이 호에 걸리는 것만으로 곧바로 명령이 되지는 않아요. 앞의 본문 요건, 곧 이전이 계속되거나 추가 이전이 예상되는 상황이 함께 있어야 해요.

이어지는 기한은 이렇게 나뉘어요.

출처: 개인정보 보호법 제28조의9(시행 2025년 10월 2일), 개인정보보호위원회 고시 「개인정보 국외 이전 운영 등에 관한 규정」 제26조 및 별지 제2호 서식. 2026년 8월 15일 조회

7일이라는 숫자가 짧다는 점은 그대로 적어 둘게요. 조문은 명령을 받은 날부터 세라고 적고, 서식은 처리기간을 30일로 인쇄해 두었어요. 이 글은 조문과 서식이 적은 기한과 절차까지만 다루고, 그 밖의 결과는 이 글에서 다루지 않아요.

내 파이프라인은 어느 호에 서 있나, 순서대로 좁히기

조문에 적힌 것만으로 갈릴 수 있는 만큼만 순서로 만들어 볼게요.

1. 밖으로 나가는 항목을 먼저 적어 보세요. 제2항 제1호가 요구하는 값이 이거예요. 무엇이 나가는지 모르면 나머지 칸을 채울 수 없어요.
2. 그 데이터가 제공인지 처리위탁인지 계약서에서 확인하세요. 제3호가 열리는지 아닌지가 여기서 갈려요.
3. 처리위탁이나 보관이라면 가목과 나목 중 하나를 고르세요. 처리방침 공개인지 개별 통지인지 선택이에요.
4. 통지를 고른다면 방식이 서면등의 방법 안에 있는지 보세요. 서면, 전자우편, 팩스, 전화, 문자전송 또는 이에 상당하는 방법이에요.
5. 제4항의 보호조치를 상대방 계약에 반영했는지 보세요. 시행령 제29조의10 제2항이 미리 협의하고 계약내용 등에 반영하라고 적어요.
6. 처리방침에 근거와 다섯 항목이 다 들어 있는지 보세요. 시행령 제31조 제1항 제2호가 근거를 따로 요구해요.
7. 제2항 항목이 바뀌었는지 정기적으로 보세요. 제3항이 변경 시 알리고 동의를 받으라고 적어요.
8. 제5호 경로를 기대하고 있다면 보호위원회의 인정 결과를 확인하세요. 고시의 별표에는 그 목록이 실려 있지 않아요.

각 줄에서 막히면 그 줄이 곧 원인이 사는 자리예요.

이 글에서 확인하지 못한 것

솔직하게 남길게요.

첫째, 특정 AI 사업자의 지위예요. 어떤 회사가 수탁자인지 제3자인지, 이전받는 자의 명칭과 연락처가 무엇인지는 이 글이 적지 않아요. 그 값은 조문이 아니라 각자의 계약서와 그 회사가 공개하는 처리 조항에서 나와요. 이번 회차에 특정 사업자의 하위 수탁자 목록 페이지는 열지 못했어요.

둘째, 제5호로 인정된 국가나 국제기구의 목록이에요. 이번에 받은 고시 응답의 별표는 별표1 평가 기준과 별표2 인증 두 개였고, 인정 결과 목록을 담은 별표는 그 안에 없었어요. 그래서 이 글은 절차 조문(제18조부터 제21조까지)이 있다는 사실까지만 적었어요.

셋째, 실제 사례에서 제공과 처리위탁이 어떻게 갈렸는지예요. 이 글은 조문 문언만 읽었어요. 개별 사안의 판단은 조문 밖의 자료가 필요해요.

넷째, 고시 이후의 변경분이에요. 이 고시는 발령·시행 2023년 10월 16일자이고 응답의 현행여부 필드는 Y로 적혀 있었어요. 다만 현행이라는 표시가 지금 이 순간의 모든 관련 결정을 반영한다는 뜻은 아니에요.

정리

• 제28조의8 제1항은 국외 제공(조회되는 경우 포함)ㆍ처리위탁ㆍ보관을 묶어 이전이라 불러요. 저장 위치만으로 판단하지 않는 구조예요.
• 원칙은 금지이고 단서가 다섯 개 통로를 열어요. 별도 동의는 그중 제1호일 뿐이에요.
• 제3호는 처리위탁과 보관만 적어요. 제1항 본문에 있던 제공이 이 호에는 들어 있지 않아요.
• 제3호는 가목(처리방침 공개)과 나목(서면등의 방법으로 통지) 중 어느 하나를 요구해요. 두 목이 가리키는 내용은 똑같이 제2항 각 호예요.
• 서면등의 방법은 시행령 제17조 제5항이 정의해요. 서면, 전자우편, 팩스, 전화, 문자전송 또는 이에 상당하는 방법이에요.
• 단서로 이전하면 제4항이 보호조치를 얹고, 시행령 제29조의10 제2항이 이전받는 자와 미리 협의하고 계약내용 등에 반영하라고 적어요.
• 처리방침 항목은 법 제30조 제1항이 직접 적고, 그 제8호가 넘긴 자리가 시행령 제31조 제1항이에요. 국외 이전은 그 제2호에서 국외 이전의 근거와 제2항 각 호의 다섯 항목을 요구해요.
• 제4호 인증은 고시 별표2가 목록이에요. 이번 응답의 별표2에는 ISMS-P 한 줄이 실려 있었어요.
• 제5호 인정 국가 목록은 이 고시의 별표에 실려 있지 않아요. 없다는 뜻이 아니라 이 문서에 없다는 뜻이에요.
• 중지 명령은 이전이 계속되거나 추가 이전이 예상되는 경우로서 제28조의9 제1항 두 호 중 하나에 걸릴 때 보호위원회가 명할 수 있는 조치예요. 두 요건이 겹쳐야 해요.
• 중지 명령에는 7일 이내 이의 제기, 그에 대해 30일 이내 해제 여부 결정이라는 기한이 각각 법과 고시에 적혀 있어요.

지금 할 수 있는 가장 짧은 확인은 두 가지예요. 지금 쓰는 해외 AI 도구의 계약서를 열어 데이터 처리 조항이 위탁으로 쓰여 있는지 보는 것, 그리고 내 개인정보 처리방침에 국외 이전 근거가 몇 호인지 적혀 있는지 보는 것이에요. 이 두 칸만 채워도 남은 절차가 어느 갈래인지 정해져요.

함께 보면 좋은 글

• 자동화 흐름에서 개인정보와 프롬프트 주입을 막는 순서 — 무엇이 밖으로 나가는지부터 좁히는 축이에요.
• 클로드 API를 자동화에 붙이는 5단계 — API로 데이터를 넘기는 연결 자체를 다뤄요.
• SNS 사진의 AI 학습 사용을 막을 수 있는 범위 — 정보주체 쪽에서 무엇을 요구할 수 있는지 짚어요.

확인한 자료: 국가법령정보센터 공개 API로 받은 개인정보 보호법(시행 2025년 10월 2일, 공포번호 제20897호), 개인정보 보호법 시행령(시행 2026년 5월 19일), 개인정보보호위원회 고시 「개인정보 국외 이전 운영 등에 관한 규정」(발령·시행 2023년 10월 16일, 발령번호 제2023-11호) 본문과 별표·별지 서식. 세 문서 모두 2026년 8월 15일에 직접 받아 조문을 확인했고, 고시는 응답의 행정규칙명과 소관부처, 종류, 시행일자를 눈으로 대조했어요.