3.3.4 개인정보의 국외 이전

3. 개인정보 처리 단계별 요구사항 (22개)

[두음] 수이제파권

3.3 개인정보 제공 시 보호조치	3.3.1 개인정보 제3자 제공
	3.3.2 업무 위탁에 따른 정보주체 고지
	3.3.3 영업의 양수 등에 따른 개인정보의 이전
	3.3.4 개인정보의 국외 이전

---

---

목항기거불자, 목항기 국일방자, 안고분보

국외 이전(제3자 제공) 동의, 관련 사항 공개

국외 개인정보 처리위탁 · 보관 시 이용자 고지

 

핵심 키워드 & 내용

 

국외 제3자 제공 시 동의
국외 처리위탁 또는 보관 고지로 동의절차 생략
국외 이전에 관한 계약 체결
국외 이전 시 개인정보 보호 조치 이행

 

연관 두음

 

▶ 개인정보처리자 개인정보 국외 이전 동의 시 고지사항

[두음] 목항기거불자
목적, 항목, 기간, 거부, 불이익, (제공받는) 자

---

▶ 정보통신서비스 제공자 개인정보 국외 이전 동의 시 고지사항

[두음] 목항기 국일방자
목적, 항목, 기간, 국가, 일시, 방법, (이전받는) 자

---

▶ 개인정보 국외 이전 시 적용하여야 하는 보호조치

 

[두음] 안고분보

안전성 확보, 고충처리, 분쟁해결, 개인정보 보호

 

---

 

인증기준

 

개인정보를 국외로 이전하는 경우 국외 이전에 대한 동의, 관련 사항에 대한 공개 등
적절한 보호조치를 수립 · 이행하여야 한다.

 

주요 확인사항

 

* 개인정보를 국외의 제3자에게 제공하는 경우
  정보주체(이용자)에게 필요한 사항을 모두 알리고 동의를 받고 있는가?

★
* 정보통신서비스 제공자 등이 국외에 개인정보를 처리위탁 또는 보관 시
  이전되는 개인정보의 항목, 이전되는 국가 등 필요한 사항을 모두 이용자에게 알리고 있는가?

[두음] 목항기 국일방자

* 개인정보 보호 관련 법령 준수 및 개인정보 보호 등에 관한 사항을 포함하여
  국외 이전에 관한 계약을 체결하고 있는가?

* 개인정보를 국외로 이전하는 경우 개인정보 보호를 위하여 필요한 조치를 취하고 있는가?

 

관련 법규 

 

□ 개인정보 보호법 제17조(개인정보의 제공), 제39조의12(국외 이전 개인정보의 보호)

 

세부 설명

 

□ 개인정보를 국외의 제3자에게 제공하는 경우

   정보주체(이용자)에게 필요한 사항을 모두 알리고 동의를 받아야 한다.

 

▶ 개인정보처리자 개인정보 국외 이전 동의 시 고지사항

 

[두음] 목항기거불자

목적, 항목, 기간, 거부, 불이익, (제공받는) 자

 

▶ 정보통신서비스 제공자 개인정보 국외 이전 동의 시 고지사항

 

[두음] 목항기 국일방자

목적, 항목, 기간, 국가, 일시, 방법, (이전받는) 자

 

□ 정보통신서비스 제공자 등이 국외에 개인정보를 처리위탁 또는 보관 시

   이전되는 개인정보의 항목, 이전되는 국가 등 필요한 사항을 모두 이용자에게 알려야 한다.

 

▶ 이용자에게 알리는 방법

 

1. 개인정보 처리방침에 공개

2. 전자우편, 서면 등

 

▶ 이용자에게 알려야 할 사항

 

1. 이전되는 개인정보 항목

2. 개인정보가 이전되는 국가, 이전일시 및 이전방법

3. 개인정보를 이전받는 자의 이름(법인인 경우 그 명칭 및 정보관리책임자의 연락처)

4. 개인정보를 이전받는 자의 개인정보 이용목적 및 보유·이용 기간

 

□ 개인정보 보호 관련 법령 준수 및 개인정보 보호 등에 관한 사항을 포함하여

   국외 이전에 관한 계약을 체결하여야 한다.

 

□ 정보주체(이용자)의 개인정보를 국외로 이전하는 경우 개인정보 보호를 위하여 필요한 조치를 취하여야 한다.

 

▶ 개인정보 국외 이전 시 적용하여야 하는 보호조치

 

[두음] 안고분보

안전성 확보, 고충처리, 분쟁해결, 개인정보 보호

 

1. 개인정보 보호를 위한 안전성 확보 조치

2. 개인정보 침해에 대한 고충처리 및 분쟁해결에 관한 조치

3. 그 밖에 이용자의 개인정보 보호를 위하여 필요한 조치

 

결함사례

 

사례 1 :
개인정보를 처리하는 과정에서 국외 사업자에게 개인정보 제3자 제공이 발생하였으나,
개인 정보 국외 이전에 대한 동의를 받지 않은 경우

사례 2 :
정보통신서비스 제공자가 서비스 제공을 위하여 국외 클라우드 서비스를 이용하여
개인정보 처리위탁 및 보관을 하면서
이전되는 국가, 이전 방법 등 관련 사항을 홈페이지에 공개하거나 이용자에게 알리지 않은 경우

[두음] 목항기 국일방자

사례 3 :
정보통신서비스 제공자가 개인정보 국외 이전에 대한 동의를 받으면서
이전받는 자의 명칭 (업체명)만 고지하고 이전되는 국가 등에 대하여 알리지 않은 경우

[두음] 목항기 국일방자

 

참고 자료

 

ISMS-P 인증기준 안내서(2022.4.22)