서버를 한국에 두면 되지 않겠느냐는 마커스의 말에, 변호사는 그 데이터를 미국에서 열어보는 사람이 누구인지부터 물었습니다

ATTJ컴퍼니 연대기 #9 · 읽기 약 6분

두 번째 고객은 제이가 데려왔습니다. 서울에 있는 중견 유통회사였는데, 제이가 전 직장에서 알고 지내던 임원이 그 회사로 옮겨 가 있었고, 노스게이트에 납품한 것과 같은 제품을 같은 용도로 쓰고 싶다고 했습니다. 주문과 배송 기록을 읽어서 분류하고 요약하는 일이니, 제품 쪽에서는 새로 만들 것이 거의 없었습니다.

다른 점은 그 기록 안에 들어 있는 내용이었습니다. 송장에는 물건을 받는 사람의 이름과 주소와 전화번호가 적혀 있고, 한국 법에서 그것은 개인정보이며, 그 송장이 ATTJ컴퍼니의 미국 서버로 올라가는 순간부터는 "개인정보의 국외 이전"이라는 이름이 붙습니다. 노스게이트 때는 없던 이름이었습니다.

그래서 유통회사 법무팀이 보낸 첫 질문도 제품이 아니라 서버에 관한 것이었습니다. "귀사의 서버를 한국에 둘 수 있습니까."

서버의 위치만으로는 끝나지 않는 이유

마커스는 그 질문을 어렵게 생각하지 않았습니다. 한국 리전에 서버를 하나 더 올리면 비용은 늘겠지만 못 할 일은 아니었고, 그렇게 하면 데이터가 국경을 넘지 않으니 문제도 사라지는 줄 알았습니다. 그런데 서울 변호사의 답은 그것만으로는 끝나지 않는다는 것이었습니다.

한국 개인정보 보호법이 말하는 국외 이전은 개인정보를 국외로 제공하거나, 처리를 위탁하거나, 보관하는 것인데, "제공" 뒤에 괄호가 하나 붙어 있어서 "조회되는 경우를 포함한다"고 적혀 있습니다. 그러니까 데이터가 서울의 서버에 얌전히 있더라도, 팔로알토에 앉은 마커스와 다니엘이 그 데이터를 화면에 띄워 보는 순간 그것은 이전입니다. 서버를 한국에 두는 것은 보관 문제를 풀어주지만, ATTJ컴퍼니의 엔지니어가 미국에 있는 한 조회 문제는 그대로 남고, 그래서 서버의 위치는 답의 일부일 뿐 답 전체가 아니었습니다.

그러면 어떻게 해야 하는가. 법은 국외 이전을 원칙적으로 금지해 두고 다섯 가지 예외를 열어 두었습니다. 정보주체에게 따로 동의를 받는 것, 법률이나 조약에 규정이 있는 것, 계약을 이행하기 위해 처리를 위탁하거나 보관하는 것, 보호위원회가 정한 인증을 받는 것, 그리고 상대 나라의 보호 수준을 보호위원회가 인정한 경우. 수만 명의 수하인에게 "귀하의 배송 정보가 미국으로 이전됩니다"라고 일일이 동의를 받는 것은 현실적이지 않았고, 미국은 보호위원회가 보호 수준을 인정한 나라도 아니었으므로, 남는 길은 세 번째였습니다.

세 번째 길

유통회사는 자기 고객에게 물건을 배송한다는 계약을 이행하기 위해 송장을 처리하고, 그 처리의 일부를 ATTJ컴퍼니에 맡기는 것이며, 그 위탁 때문에 데이터가 국외로 가게 되는 구조입니다. 법은 이런 경우라면 정보주체의 동의 대신, 어떤 항목이 어느 나라로 언제 어떤 방법으로 누구에게 무슨 목적으로 가서 얼마나 보관되는지를 개인정보 처리방침에 공개하거나 정보주체에게 알리는 것으로 충분하다고 정해 두었습니다.

그러니 먼저 할 일은 ATTJ컴퍼니가 아니라 유통회사 쪽에 있었습니다. 처리방침에 "배송 기록 처리 업무를 미국의 ATTJ, Inc.에 위탁하며 이를 위해 수하인 정보가 미국으로 이전된다"는 내용과 법이 정한 항목들을 적는 일인데, 유통회사 법무팀은 그 문장을 쓰는 것을 꺼렸습니다. 처리방침에 미국 회사 이름이 들어가는 것이 처음이기도 했고, 그해 9월부터 과징금 상한이 전체 매출의 10%까지 올라간 법 아래에서 처리방침에 새 문장을 하나 더하는 것 자체가 부담스러웠기 때문입니다.

서울 변호사가 유통회사 법무팀과 직접 통화한 것이 그 지점이었습니다. 처리방침에 수탁자를 공개하는 것은 국외 이전이 아니더라도 원래 해야 하는 일이고, 국외 이전 항목을 더하는 것은 그 공개에 한 단락을 보태는 일에 가까우며, 무엇보다 이 길을 쓰지 않는다면 남는 것은 수만 명의 동의뿐인데 그것은 유통회사가 더 원하지 않는 길이라는 설명이었습니다.

ATTJ컴퍼니 쪽에 붙는 의무

유통회사의 처리방침이 정리되고 나자, 이번에는 ATTJ컴퍼니 쪽에 붙는 것들이 나왔습니다.

한국 법에서 ATTJ컴퍼니는 수탁자이고, 수탁자는 위탁받은 범위를 넘어서 개인정보를 쓰거나 제3자에게 넘길 수 없으며, 위탁받은 일을 다시 다른 곳에 맡기려면 위탁자의 동의를 받아야 합니다. 변호사가 멈춘 곳은 그 "다시 다른 곳에 맡기는" 대목이었습니다. ATTJ컴퍼니의 제품은 파운데이션 모델 API 위에 올라가 있고, 송장은 그 API로 넘어가는데, 그것이 바로 재위탁입니다. 유통회사의 동의가 필요하고, 위탁 계약서에는 재수탁자로 모델 제공사의 이름이 들어가야 했습니다. 보안 질문지에서 "제3자 AI 서비스에 전송합니까"라는 항목에 "예"라고 답했던 그 사실이, 한국 법에서는 재위탁 동의라는 이름으로 다시 나타난 셈이었습니다.

그리고 한 가지가 더 있었습니다. 수탁자가 위탁받은 업무를 처리하다가 법을 위반해서 손해가 생기면, 그 손해배상 책임에 관해서는 수탁자를 위탁자의 소속 직원으로 본다는 조항입니다. 수하인에게 손해가 생기면 유통회사가 마치 자기 직원이 낸 사고처럼 먼저 배상하고, ATTJ컴퍼니에게는 계약에 따라 되묻는 구조이므로, 유통회사 입장에서는 위탁 계약서에 안전조치와 목적 외 처리 금지와 재위탁 조건을 꼼꼼히 적어 두어야 할 이유가 충분했고, 법도 그 계약서에 들어가야 할 내용을 정해 두고 있었습니다.

마커스가 물었습니다. 그러면 미국 쪽은 괜찮습니까. 변호사의 답은, 캘리포니아의 개인정보법은 연 매출이 대략 2,660만 달러를 넘거나, 캘리포니아 주민 10만 명 이상의 개인정보를 다루거나, 매출의 절반 이상이 개인정보를 팔거나 공유해서 나오는 회사에 적용되는데 ATTJ컴퍼니는 아직 그 어느 기준에도 한참 못 미친다는 것이었습니다. 지금 ATTJ컴퍼니를 묶고 있는 것은 회사가 있는 나라의 법이 아니라 고객이 있는 나라의 법이었습니다.

한 장짜리 그림

계약이 정리되기까지 5주가 걸렸습니다. 유통회사의 처리방침에 한 단락이 추가되었고, 위탁 계약서에 재수탁자 이름이 들어갔으며, ATTJ컴퍼니는 한국 리전에 저장 서버를 두되 미국에서의 조회는 처리방침에 공개된 범위 안에서만 하기로 했습니다.

마커스는 그 과정에서 그림을 하나 그렸습니다. 서울의 고객에서 출발한 데이터가 어디를 거쳐 어디에 저장되고 누가 어디에서 열어보는지를 화살표 다섯 개로 그린 한 장짜리 그림이었는데, 원래는 변호사에게 설명하려고 그린 것이었지만 유통회사 법무팀이 그것을 보고는 "이걸 처음에 주셨으면 2주는 줄었을 겁니다"라고 했습니다. 그 그림은 그 뒤로 한국 고객에게 보내는 제안서의 두 번째 장이 되었습니다.

제이는 한국에서 일하던 시절에 데이터가 국경을 넘는다는 것을 법적인 사건으로 생각해 본 적이 없었습니다. 서버도 고객도 늘 한국에 있었으니까요. 미국에 회사를 세우고 한국 고객을 받는다는 것은, 제품이 같더라도 데이터가 매일 국경을 넘는다는 뜻이었고, 그 국경에는 법이 서 있었습니다.

실제로는 이렇게 나타납니다

한국 개인정보 보호법 제28조의8 제1항은 개인정보를 국외로 제공(조회되는 경우를 포함)·처리위탁·보관하는 것을 원칙적으로 금지하면서, 정보주체의 별도 동의, 법률·조약의 규정, 계약 이행을 위한 처리위탁·보관으로서 처리방침 공개 또는 정보주체 통지, 보호위원회가 고시하는 인증, 이전국의 보호 수준 인정이라는 다섯 가지 예외를 둡니다. 제26조는 처리 업무의 위탁을 문서로 하도록 하고, 수탁자의 범위 초과 처리 금지(제5항), 재위탁 시 위탁자의 동의(제6항), 수탁자가 위탁 업무와 관련해 법을 위반하여 발생한 손해배상책임에 대해 수탁자를 개인정보처리자의 소속 직원으로 보는 규정(제7항)을 두며, 제8항에 따라 안전조치 등 다수 조항이 수탁자에게 준용됩니다.

2026년 2월 국회를 통과한 개정법은 같은 해 9월 11일부터 고의·중과실의 반복 위반이나 대규모 정보주체에게 영향을 주는 위반에 대해 전체 매출액의 10%까지 과징금을 부과할 수 있게 했습니다. 캘리포니아 CCPA/CPRA는 연 매출 26,625,000달러 초과, 캘리포니아 거주자 10만 명 이상의 개인정보 매매·공유, 연 매출의 50% 이상을 개인정보 판매·공유에서 얻는 경우 중 하나에 해당하는 영리 사업자에게 적용됩니다.

더 깊이 보려면

• CCPA/CPRA와 한국 개인정보보호법: 데이터 프라이버시의 이중 적용 — 양쪽 법의 적용 기준, 동의 모델의 차이, 국외 이전 요건, 2026년 개정 과징금

다음 화는 텀시트입니다. 노스게이트와 서울의 두 고객으로 연 매출 20만 달러가 보이기 시작한 달에 Jun Ventures가 보낸 네 장짜리 문서가 도착했고, 세 창업자는 그 문서의 첫 줄에 적힌 숫자보다 셋째 장에 적힌 조항 앞에서 더 오래 멈췄습니다.

이 연재의 회사·펀드·인물은 가상이며, 실존 회사·인물·사건과 무관합니다.

본 시리즈는 개별 사안에 대한 법률 자문을 대체할 수 없습니다.

구체적인 법률 문제는 Venture Pacific Law Group(info@ventureplg.com)으로
문의 주시기 바랍니다.