요즘 작은 사이트 하나에도 해외 서비스가 여럿 붙습니다.
- 문의 폼 메일 발송 — Resend, SendGrid
- 데이터베이스 — Supabase, PlanetScale
- 호스팅 — Vercel, Netlify, Cloudflare
- 챗봇·요약 — OpenAI, Anthropic
- 결제 — Stripe, PayPal
- 분석 — Google Analytics
편하고 싸고 잘 돌아갑니다. 그런데 이 중 어디에라도 이용자의 이름·연락처·메일 주소가 들어가면, 그 순간 개인정보가 국외로 이전된 것입니다.
개인정보보호법은 국외 이전에 별도의 요건과 고지 의무를 두고 있습니다. 그리고 대부분의 소규모 사이트 처리방침에는 이 항목이 통째로 비어 있습니다.
무엇이 국외 이전인가
한국 이용자의 개인정보가 해외에 있는 서버로 저장되거나 처리되면 국외 이전입니다.
여기서 자주 오해가 생기는 지점이 있습니다.
"우리는 해외에 안 보내는데요" — 서비스가 미국 회사라면 데이터도 대개 그쪽 서버에 있습니다. 계약을 한국 법인과 했더라도 실제 저장 위치가 해외면 이전입니다.
"우리가 보낸 게 아니라 그쪽이 받아 간 건데요" — 우리 사이트에 심어 둔 스크립트가 이용자 정보를 해외로 보내는 구조라면, 그 설계를 한 쪽이 책임집니다.
"이름은 안 보내는데요" — 이름이 없어도 개인을 알아볼 수 있으면 개인정보입니다. 메일 주소, 휴대폰 번호, 특정 개인을 식별할 수 있는 아이디가 모두 해당합니다.
반대로 정말 개인정보가 안 들어가는 경우도 있습니다. 이미지 파일만 올리는 CDN, 익명화된 접속 통계. 이런 건 이전 항목에 넣을 필요가 없습니다. 실제로 무엇이 나가는지부터 확인하는 게 순서입니다.
무엇을 적어야 하나
처리방침에 다음 항목을 적으면 됩니다. 위탁·보관 목적의 이전이라면 처리방침에 공개하는 것으로 별도 동의를 대신할 수 있습니다.
- 이전받는 자의 성명(법인명)과 연락처
- 이전되는 국가
- 이전 일시와 방법
- 이전되는 개인정보 항목
- 이전받는 자의 이용 목적과 보유·이용 기간
표로 만들어 두는 게 가장 읽기 쉽습니다.
| 이전받는 자 | 국가 | 항목 | 목적 | 시기·방법 | 보유 기간 |
|---|---|---|---|---|---|
| Resend, Inc. (support@resend.com) | 미국 | 이름, 이메일, 문의 내용 | 문의 알림 메일 발송 | 문의 접수 시 네트워크 전송 | 발송 후 30일 |
| Supabase, Inc. (support@supabase.io) | 미국 | 이름, 연락처, 문의 내용 | 문의 데이터 보관 | 문의 접수 시 네트워크 전송 | 위탁 계약 종료 시까지 |
| Google LLC | 미국 | 쿠키 기반 접속 기록 | 방문 통계 분석 | 접속 시 자동 전송 | Google 정책에 따름 |
연락처를 적는 게 은근히 까다롭습니다. 해외 서비스는 대표 전화번호가 없는 경우가 많은데, 지원 메일 주소나 개인정보 보호 담당 연락처(privacy@…)를 적으면 됩니다. 각 서비스의 개인정보 처리방침 하단에 대개 나와 있습니다.
우리 사이트에서 무엇이 나가는지 찾는 법
목록을 만들려면 실제로 뭐가 붙어 있는지 알아야 합니다.
① 개발자에게 물어보기 (가장 빠름)
"외부 서비스로 개인정보가 나가는 곳이 어디인가요? 서비스명·국가·나가는 항목으로 정리해 주실 수 있을까요?"
정상적인 개발자면 30분이면 정리해 줍니다. 서버 환경변수 목록을 보면 대부분 드러납니다.
② 직접 확인하기
크롬에서 F12 → Network 탭 → 문의 폼을 실제로 작성하고 전송 → 어떤 주소로 요청이 나가는지 확인. 우리 도메인이 아닌 곳으로 나가는 요청이 후보입니다.
③ 자주 놓치는 것들
- 채팅 상담 위젯 — 대화 내용과 방문자 정보가 통째로 나갑니다
- 뉴스레터 도구 — 메일 주소 목록이 그쪽에 저장됩니다
- 예약·설문 임베드 — 폼 응답이 해당 서비스에 쌓입니다
- 광고 픽셀 — 전환 데이터에 식별자가 포함될 수 있습니다
- AI 요약·번역 기능 — 원문에 개인정보가 있으면 함께 나갑니다
AI 서비스를 붙였다면
챗봇이나 자동 응답을 붙인 경우가 늘고 있는데, 여기가 특히 흐릿합니다.
확인할 것은 두 가지입니다.
① 무엇이 전송되는가
문의 내용만 보내는지, 이름·연락처까지 함께 보내는지. 설계에 따라 다릅니다. 개인정보를 제거하고 본문만 보내도록 만들어 두면 이전 항목이 크게 줄어듭니다. 애초에 안 보내는 게 가장 깔끔합니다.
② 학습에 쓰이는가
주요 사업자들은 API로 들어온 데이터를 기본적으로 모델 학습에 쓰지 않는다고 밝히고 있습니다. 다만 요금제와 설정에 따라 다를 수 있으니, 쓰고 있는 서비스의 약관에서 이 항목을 확인하고 처리방침의 이용 목적에 정확히 반영하세요.
회사 자료를 AI에 넣어도 되는지에 대한 판단 기준은 회사 자료를 AI에 올려도 되나에 별도로 정리해 두었습니다.
위탁과 국외 이전은 다른 항목이다
처리방침에서 자주 섞이는 부분입니다.
- 처리 위탁 — 개인정보 처리 업무를 남에게 맡기는 것. 국내든 국외든 해당
- 국외 이전 — 개인정보가 국외로 나가는 것
해외 서비스에 위탁하면 둘 다 해당합니다. 처리방침에도 두 항목을 각각 두는 게 맞습니다. 하나로 합쳐 놓으면 어느 쪽 요건도 온전히 충족하지 못하는 모양이 됩니다.
이전을 줄이는 선택지
의무를 지키는 것과 별개로, 애초에 안 나가게 하는 방법도 있습니다.
- 국내 리전 쓰기 — 클라우드 서비스 중에는 서울 리전을 제공하는 곳이 많습니다. 설정만 바꾸면 이전 자체가 없어지는 경우가 있습니다
- 국내 대체 서비스 — 메일 발송·문자·결제는 국내 서비스로 충분히 대체됩니다
- 개인정보를 빼고 보내기 — AI나 분석 도구에는 식별 정보를 제거하고 보내도록 설계
특히 첫 번째가 효율이 좋습니다. 리전 설정 하나로 처리방침 한 줄이 사라지고, 응답 속도도 빨라집니다. 새로 만드는 중이라면 착수 전에 요청해 두세요.
발주할 때 요청할 문장
개인정보가 전송되는 외부 서비스의 목록을 서비스명·소재 국가·전송 항목·이용 목적·보유 기간으로 정리해 인수인계 문서에 포함해 주세요. 가능한 경우 국내 리전을 사용해 주세요.
이 요청은 나중에 처리방침을 쓸 때 그대로 재료가 됩니다. 만들고 나서 물으면 개발자가 다시 코드를 뒤져야 하고, 그 시간이 청구됩니다.
정리
- 해외 서비스 하나만 붙어도 국외 이전이 생깁니다. 요즘 사이트는 대부분 해당합니다.
- 처리방침에 이전받는 자·국가·항목·목적·기간을 표로 적으세요.
- 채팅 위젯·뉴스레터·AI 기능이 자주 누락됩니다.
- 위탁과 국외 이전은 각각 별도 항목입니다.
- 국내 리전으로 바꾸면 항목 자체가 사라지는 경우가 있습니다.
이 글은 실무 정리이고 법률 자문이 아닙니다. 취급하는 개인정보의 양이 많거나 민감정보가 포함된다면 전문가 검토를 받는 게 안전합니다.
문의 폼 하나를 두는 데 필요한 것부터 보려면 문의 폼 하나 두는 데 필요한 개인정보 처리를, 쿠키 안내까지 포함한 최소 정합은 개인 사이트 쿠키·개인정보 안내를 보세요.