요즘 작은 사이트 하나에도 해외 서비스가 여럿 붙습니다.
- 문의 폼 메일 발송 — Resend, SendGrid
- 데이터베이스 — Supabase, PlanetScale
- 호스팅 — Vercel, Netlify, Cloudflare
- 챗봇·요약 — OpenAI, Anthropic
- 결제 — Stripe, PayPal
- 분석 — Google Analytics
편하고 싸고 잘 돌아갑니다. 그런데 이 중 어디에라도 이용자의 이름·연락처·메일 주소가 들어가면, 그 순간 개인정보가 국외로 이전된 것입니다.
개인정보보호법은 국외 이전에 별도의 요건과 고지 의무를 두고 있습니다. 그리고 대부분의 소규모 사이트 처리방침에는 이 항목이 통째로 비어 있습니다.
무엇이 국외 이전인가#
한국 이용자의 개인정보가 해외에 있는 서버로 저장되거나 처리되면 국외 이전입니다.
여기서 자주 오해가 생기는 지점이 있습니다.
"우리는 해외에 안 보내는데요" — 서비스가 미국 회사라면 데이터도 대개 그쪽 서버에 있습니다. 계약을 한국 법인과 했더라도 실제 저장 위치가 해외면 이전입니다.
"우리가 보낸 게 아니라 그쪽이 받아 간 건데요" — 우리 사이트에 심어 둔 스크립트가 이용자 정보를 해외로 보내는 구조라면, 그 설계를 한 쪽이 책임집니다.
"이름은 안 보내는데요" — 이름이 없어도 개인을 알아볼 수 있으면 개인정보입니다. 메일 주소, 휴대폰 번호, 특정 개인을 식별할 수 있는 아이디가 모두 해당합니다.
반대로 정말 개인정보가 안 들어가는 경우도 있습니다. 이미지 파일만 올리는 CDN, 익명화된 접속 통계. 이런 건 이전 항목에 넣을 필요가 없습니다. 실제로 무엇이 나가는지부터 확인하는 게 순서입니다.
무엇을 적어야 하나#
처리방침에 다음 항목을 적으면 됩니다. 위탁·보관 목적의 이전이라면 처리방침에 공개하는 것으로 별도 동의를 대신할 수 있습니다.
- 이전받는 자의 성명(법인명)과 연락처
- 이전되는 국가
- 이전 일시와 방법
- 이전되는 개인정보 항목
- 이전받는 자의 이용 목적과 보유·이용 기간
표로 만들어 두는 게 가장 읽기 쉽습니다.
| 이전받는 자 | 국가 | 항목 | 목적 | 시기·방법 | 보유 기간 |
|---|---|---|---|---|---|
| Resend, Inc. (support@resend.com) | 미국 | 이름, 이메일, 문의 내용 | 문의 알림 메일 발송 | 문의 접수 시 네트워크 전송 | 발송 후 30일 |
| Supabase, Inc. (support@supabase.io) | 미국 | 이름, 연락처, 문의 내용 | 문의 데이터 보관 | 문의 접수 시 네트워크 전송 | 위탁 계약 종료 시까지 |
| Google LLC | 미국 | 쿠키 기반 접속 기록 | 방문 통계 분석 | 접속 시 자동 전송 | Google 정책에 따름 |
연락처를 적는 게 은근히 까다롭습니다. 해외 서비스는 대표 전화번호가 없는 경우가 많은데, 지원 메일 주소나 개인정보 보호 담당 연락처(privacy@…)를 적으면 됩니다. 각 서비스의 개인정보 처리방침 하단에 대개 나와 있습니다.
우리 사이트에서 무엇이 나가는지 찾는 법#
목록을 만들려면 실제로 뭐가 붙어 있는지 알아야 합니다.
① 개발자에게 물어보기 (가장 빠름)
"외부 서비스로 개인정보가 나가는 곳이 어디인가요? 서비스명·국가·나가는 항목으로 정리해 주실 수 있을까요?"
정상적인 개발자면 30분이면 정리해 줍니다. 서버 환경변수 목록을 보면 대부분 드러납니다.
② 직접 확인하기
크롬에서 F12 → Network 탭 → 문의 폼을 실제로 작성하고 전송 → 어떤 주소로 요청이 나가는지 확인. 우리 도메인이 아닌 곳으로 나가는 요청이 후보입니다.
③ 자주 놓치는 것들
- 채팅 상담 위젯 — 대화 내용과 방문자 정보가 통째로 나갑니다
- 뉴스레터 도구 — 메일 주소 목록이 그쪽에 저장됩니다
- 예약·설문 임베드 — 폼 응답이 해당 서비스에 쌓입니다
- 광고 픽셀 — 전환 데이터에 식별자가 포함될 수 있습니다
- AI 요약·번역 기능 — 원문에 개인정보가 있으면 함께 나갑니다
AI 서비스를 붙였다면#
챗봇이나 자동 응답을 붙인 경우가 늘고 있는데, 여기가 특히 흐릿합니다.
확인할 것은 두 가지입니다.
① 무엇이 전송되는가
문의 내용만 보내는지, 이름·연락처까지 함께 보내는지. 설계에 따라 다릅니다. 개인정보를 제거하고 본문만 보내도록 만들어 두면 이전 항목이 크게 줄어듭니다. 애초에 안 보내는 게 가장 깔끔합니다.
② 학습에 쓰이는가
주요 사업자들은 API로 들어온 데이터를 기본적으로 모델 학습에 쓰지 않는다고 밝히고 있습니다. 다만 요금제와 설정에 따라 다를 수 있으니, 쓰고 있는 서비스의 약관에서 이 항목을 확인하고 처리방침의 이용 목적에 정확히 반영하세요.
회사 자료를 AI에 넣어도 되는지에 대한 판단 기준은 회사 자료를 AI에 올려도 되나에 별도로 정리해 두었습니다.
위탁과 국외 이전은 다른 항목이다#
처리방침에서 자주 섞이는 부분입니다.
- 처리 위탁 — 개인정보 처리 업무를 남에게 맡기는 것. 국내든 국외든 해당
- 국외 이전 — 개인정보가 국외로 나가는 것
해외 서비스에 위탁하면 둘 다 해당합니다. 처리방침에도 두 항목을 각각 두는 게 맞습니다. 하나로 합쳐 놓으면 어느 쪽 요건도 온전히 충족하지 못하는 모양이 됩니다.
이전을 줄이는 선택지#
의무를 지키는 것과 별개로, 애초에 안 나가게 하는 방법도 있습니다.
- 국내 리전 쓰기 — 클라우드 서비스 중에는 서울 리전을 제공하는 곳이 많습니다. 설정만 바꾸면 이전 자체가 없어지는 경우가 있습니다
- 국내 대체 서비스 — 메일 발송·문자·결제는 국내 서비스로 충분히 대체됩니다
- 개인정보를 빼고 보내기 — AI나 분석 도구에는 식별 정보를 제거하고 보내도록 설계
특히 첫 번째가 효율이 좋습니다. 리전 설정 하나로 처리방침 한 줄이 사라지고, 응답 속도도 빨라집니다. 새로 만드는 중이라면 착수 전에 요청해 두세요.
발주할 때 요청할 문장#
개인정보가 전송되는 외부 서비스의 목록을 서비스명·소재 국가·전송 항목·이용 목적·보유 기간으로 정리해 인수인계 문서에 포함해 주세요. 가능한 경우 국내 리전을 사용해 주세요.
이 요청은 나중에 처리방침을 쓸 때 그대로 재료가 됩니다. 만들고 나서 물으면 개발자가 다시 코드를 뒤져야 하고, 그 시간이 청구됩니다.
정리#
- 해외 서비스 하나만 붙어도 국외 이전이 생깁니다. 요즘 사이트는 대부분 해당합니다.
- 처리방침에 이전받는 자·국가·항목·목적·기간을 표로 적으세요.
- 채팅 위젯·뉴스레터·AI 기능이 자주 누락됩니다.
- 위탁과 국외 이전은 각각 별도 항목입니다.
- 국내 리전으로 바꾸면 항목 자체가 사라지는 경우가 있습니다.
이 글은 실무 정리이고 법률 자문이 아닙니다. 취급하는 개인정보의 양이 많거나 민감정보가 포함된다면 전문가 검토를 받는 게 안전합니다.
문의 폼 하나를 두는 데 필요한 것부터 보려면 문의 폼 하나 두는 데 필요한 개인정보 처리를, 쿠키 안내까지 포함한 최소 정합은 개인 사이트 쿠키·개인정보 안내를 보세요.
