클라우드 컴퓨팅법 및 개인정보 보호법의 개인정보 국외이전 규정의 검토 (Examining the Provisions for Overseas Transfers of Personal Data under the Cloud Computing Act and the Personal Information Protection Act)

서지정보

· 발행기관 : 법무부
· 수록지 정보 : 선진상사법률연구 / 98호 / 257 ~ 280페이지
· 저자명 : 노현숙

초록

클라우드 컴퓨팅은 4차산업혁명의 핵심기술이자 다른 기술의 근간이 되는 기술이다. 클라우드 컴퓨팅 방식에서는 데이터가 분산되고 가상화되어 저장된다. 이러한 클라우드 컴퓨팅의 특수성으로 인하여 클라우드 컴퓨팅 서비스를 기반으로 저장되는 정보가 국외에 저장되기도 하고 클라우드 컴퓨팅 서비스 제공자에 의하여 국외의 제3자에게 제공되기도 한다. 클라우드 컴퓨팅 서비스에서 개인정보가 국외에 저장되는 경우에 대하여 클라우드 컴퓨팅법 제26조에 의하면 이용자는 자신의 정보가 어느 국가에 저장되는지를 서비스 제공자에게 알려달라고 요구할 수 있다. 개인정보 보호법 제17조에 의하면 정보주체의 정보를 국외의 제3자에게 제공할 때에는 개인정보처리자는 개인정보 보호법에서 정하는 사항들을 정보주체에게 알려주고 정보주체의 동의를 받아야 한다. 개인정보 보호법 제39조의12에 의하면 개인정보를 국외에 제공하거나 이전하기 위해서는 정보통신 서비스 제공자는 개인정보가 이전되는 국가의 이름 등을 이용자에게 알려주고 이용자의 동의를 받아야 한다. 이러한 규정들은 서로 중복되기도 하고 다소 내용의 차이가 있다. 따라서 클라우드 컴퓨팅법과 개인정보 보호법 규정 간 내용의 조율이 필요하고 중복되는 규정은 하나로 통합하는 것이 명확하고 적절한 명시가 될 것으로 보인다. 현재의 클라우드 컴퓨팅법 제26조의 규정이 실효성을 가지기 위해서는 개인정보 보호법 제39조의12 제3항을 반영하여 이용자의 정보가 어느 국가에 저장되는지를 클라우드 컴퓨팅 서비스 제공자가 이용자에게 알려야 한다고 수정되고 위반 시 처벌 규정의 추가도 검토될 필요가 있다고 보인다. 또한, 개인정보 보호법 제39조의12 제3항의 내용을 제17조 제2항으로 통합하는 것이 적절할 것으로 보인다.

영어초록

Cloud computing is a critical technology in the era of the Forth Industrial Revolution and is a basis of other related technologies. Decentralized and virtualized cloud computing make personal data stored abroad or provided to third parties abroad. In this case, Article 26 of the Cloud Computing Act stipulates that a user may request to inform a service provider of which country their data is stored in. Also, Article 17 of the Personal Information Protection Act stipulates that a service provider shall obtain the consent of a data subject after notifying the data subject of several matters stipulated in the law, when providing the personal data to a third party overseas. Article 39-12 of the Personal Information Protection Act stipulates that a service provider shall notify a user of the name of the country where the personal data is provided to obtain consent. While these regulations seem to provide for overlapping matters, they are repeated but somewhat different. Therefore, I think that it is necessary to coordinate the contents of these regulations and it will be more appropriate to integrate the overlapping regulations into one regulation. In addition, for now the content of Article 26 of the Cloud Computing Act seems to be less effective, and it is considered that the provision needs to be amended as the provision the a service provider shall notify a user of the name of the country where the personal data is transferred, reflecting Article 39-12 of the Personal Information Protection Act. Additionally, it seems that there is a need to add a penalty provision to enhance the effectiveness of the provision.

참고자료

· 없음