📋 취약점 개요
개인정보를 국외로 제공·위탁·보관하려면 이전받는 자, 이전 국가·일시·방법, 이전 항목, 이전받는 자의 이용 목적·보유기간, 거부 방법·절차를 알리고 동의를 받는 등 법 제28조의8의 요건을 갖춰야 합니다. 해외 클라우드·SaaS 사용도 국외 이전입니다.
🖥️ 상태 비교 시뮬레이션
privacy$ (취약)
# 해외 SaaS 도입
dev$ 해외 분석 SaaS에 이벤트 로그(이메일 포함) 전송
>> 국외 이전 고지·동의 없음 · 처리방침 미기재
>> 이전 국가·보유기간 파악 불가
→ 법 제28조의8 위반 · 이전 중지 명령 대상
🔧 조치 방법
- 클라우드·SaaS·해외 본사 전송을 포함해 국외 이전 현황을 전수 조사합니다.
- 이전받는 자·국가·일시·방법·항목·이용목적·보유기간과 거부 방법·절차를 고지하고 동의를 받습니다.
- 동의 외 근거(법령, 계약 이행에 필요한 경우로서 고지, 인증, 적정성 결정)를 사용할 때는 요건 충족 여부를 문서로 남깁니다.
- 국외 이전 사항을 개인정보 처리방침에 기재하고 변경 시 갱신합니다.
- 이전받는 자와의 계약에 보호조치·재이전 제한·감독 권한을 반영합니다.
✅ 점검 체크리스트
- 국외 이전 현황이 목록으로 관리됨
- 국외 이전 고지·동의(또는 대체 근거) 확보됨
- 처리방침에 국외 이전 사항 기재됨
근거: 개인정보 보호법 제28조의8 · PIA 5.7.4