안녕하세요, 유유테이진 건강지킴이입니다.

의료 AI 앱이나 웨어러블 연동 서비스에 가입할 때 ‘개인정보 국외 이전’ 동의 화면을 빠르게 넘기기 쉽습니다. 하지만 클라우드 기반 서비스에서는 누가 정보를 처리하는지, 어느 나라에서 열람·저장하는지, 언제까지 보관하는지를 동의서와 개인정보 처리방침에서 각각 확인할 필요가 있습니다. 이 글은 서비스 가입이나 기기 연동 직전에 확인할 국외 이전 항목을 정리합니다.

TL;DR

• ‘국외 이전’은 해외 사업자에게 정보를 제공하는 경우뿐 아니라 해외에서 정보를 조회하거나, 해외 사업자에게 처리위탁 또는 보관을 맡기는 경우에도 해당할 수 있습니다.
• 별도 동의에 따라 국외 이전을 진행한다면 이전 항목, 국가·시기·방법, 이전받는 사업자와 연락처, 이용 목적·보유 기간, 거부 방법과 그 영향을 동의 전에 알려야 합니다.
• 동의 화면만 확인하지 말고 개인정보 처리방침에서 이전의 법적 근거, 사업자별 역할, 고충처리 창구를 함께 살펴보세요.
• 앱의 건강 관련 AI 결과는 의료진의 진단이나 처방을 대체하지 않습니다. 결과 해석과 대응은 의사 등 의료진과 상담해야 합니다.

먼저 구분할 점: ‘해외 클라우드 사용’과 국외 이전

개인정보보호위원회는 국내 개인정보처리자가 보유한 이용자 정보를 해외 사업자에게 제공하는 경우뿐 아니라, 해외에서 조회하게 하거나 해외 사업자에게 처리위탁 또는 보관을 맡기는 경우도 개인정보 보호법상 국외 이전에 포함될 수 있다고 안내합니다. 따라서 동의서에 단지 ‘클라우드 이용’이라고만 적혀 있다면 실제 처리 구조가 충분히 설명됐는지 확인할 필요가 있습니다.

가입 전에는 다음 사항을 나누어 살펴보는 것이 좋습니다.

• 해외 사업자가 내 정보를 열람하는지
• 해외 사업자가 정보를 처리하는지
• 해외 사업자가 정보를 저장하는지
• 해외 사업자가 서비스 운영을 맡은 수탁사인지, 별도 목적에 정보를 이용하는 제3자인지

특히 ‘제3자 제공’과 ‘처리위탁’은 같은 의미가 아닙니다. 동의 화면이나 처리방침에서 어떤 방식으로 설명하는지 확인하고, 역할이 불분명하다면 가입 전에 사업자의 공식 문의 창구를 통해 확인하는 편이 좋습니다.

별도 동의서에서 찾아야 할 5가지

개인정보 보호법 제28조의8에 따르면, 국외 이전을 별도 동의에 근거해 진행할 때 개인정보처리자는 동의 전에 일정 정보를 알려야 합니다. 의료 AI 앱의 국외 이전 동의서에서는 아래 항목이 구체적으로 적혀 있는지 확인하세요.

1. 이전되는 개인정보 항목

어떤 정보가 이전 대상인지 확인합니다. ‘서비스 이용정보’처럼 넓은 표현만 있는지, 실제 이전되는 항목이 구분돼 있는지 살펴보세요. 기기 연동을 시작하는 단계라면 연동 전과 후에 이전 항목이 달라지는지도 다시 확인할 필요가 있습니다.

2. 이전 국가·시기·방법

정보가 어느 국가로, 언제, 어떤 방식으로 이전되는지 확인합니다. 국가나 시기가 빠져 있거나 ‘필요 시’처럼 범위가 넓은 문구라면 실제 처리 흐름을 이해하기 어려울 수 있습니다.

3. 이전받는 사업자와 연락처

이전받는 자의 성명 또는 법인명, 연락처가 안내되는지 봅니다. 운영사 이름만 있고 실제로 정보를 받는 해외 사업자가 분명하지 않다면, 누가 어떤 역할을 하는지 추가 확인이 필요합니다.

4. 이용 목적과 보유·이용 기간

정보를 왜 이전하는지, 얼마나 보유·이용하는지 확인합니다. 서비스 제공 목적과 보관 기간을 나누어 읽으면 계정 탈퇴, 연동 해제, 동의 철회 뒤의 처리 방식에 관해 확인할 질문도 정리하기 쉽습니다.

5. 거부 방법·절차와 거부 효과

국외 이전을 거부할 수 있는 방법과 거부했을 때 이용하지 못하게 되는 기능 또는 서비스가 무엇인지 확인합니다. ‘필수’라는 표시만으로 판단하기보다 거부 효과가 구체적으로 설명되는지 살펴보세요.

처리방침에서 한 번 더 확인할 내용

국외 이전은 별도 동의만으로 이뤄지는 구조가 아닙니다. 개인정보 보호법 제28조의8은 법률 또는 조약 등의 특별 규정, 계약 체결·이행에 필요한 처리위탁 또는 보관, 개인정보보호위원회 고시 인증, 이전 국가 등의 보호수준 동등성 인정 등 다른 근거도 규정하고 있습니다.

개인정보보호위원회는 국외 이전의 근거를 개인정보 처리방침에 공개해야 하며, 동의에 따른 이전이라면 그 동의 내용도 처리방침에 공개해야 한다고 안내합니다. 다음 순서로 비교해 보세요.

1. 동의서의 이전 대상·국가·목적·기간을 확인합니다.
2. 처리방침의 ‘국외 이전’ 또는 유사 항목에서 같은 내용이 일치하는지 봅니다.
3. 해당 이전이 어떤 법적 근거에 따른다고 설명하는지 확인합니다.
4. 개인정보 침해 고충처리 및 분쟁 해결 문의 창구가 안내돼 있는지 확인합니다.

국외 이전 시에는 안전성 확보와 고충처리·분쟁 해결에 관한 보호조치가 필요합니다. 다만 화면에 보안 관련 표현이 있다고 해서 이용자가 모든 위험을 판단할 수 있는 것은 아닙니다. 불명확한 항목은 화면을 저장해 두고 사업자에게 공식 문의 채널로 질문하는 방법이 실용적입니다.

‘해외 사업자가 직접 수집’하는 앱이라면

개인정보보호위원회는 국내 개인정보처리자가 보유한 정보를 해외 제3자에게 제공·위탁·보관시키는 경우와, 해외 사업자가 이용자에게서 직접 정보를 수집하는 경우를 구분합니다. 해외 사업자가 이용자로부터 직접 정보를 수집하는 경우는 그 자체로는 개인정보 보호법상 국외 이전과 구분될 수 있습니다.

이는 국외 이전 항목이 없다고 해서 정보 처리 주체를 확인할 필요가 없어지는 것은 아니라는 뜻입니다. 앱 가입 화면과 처리방침에서 한국 내 운영사와 해외 AI·클라우드 사업자 가운데 누가 최초 수집자인지, 각각 어떤 역할을 맡는지 확인하세요.

가입 직전 체크리스트

• [ ] 이전되는 정보 항목이 구체적으로 적혀 있는가?
• [ ] 이전 국가, 시기, 방법을 확인했는가?
• [ ] 이전받는 사업자명과 연락처가 있는가?
• [ ] 이용 목적과 보유·이용 기간을 확인했는가?
• [ ] 이전 거부 방법과 거부 시 이용 제한을 이해했는가?
• [ ] 동의서와 개인정보 처리방침의 내용이 서로 일치하는가?
• [ ] 처리 주체와 문의·고충처리 창구가 명확한가?
• [ ] 계정 탈퇴 또는 동의 철회 후 정보 처리 방식을 확인했는가?

자주 묻는 질문

Q. 국외 이전 동의가 있으면 해외 사업자가 내 정보를 마음대로 이용할 수 있나요?

A. 동의서에는 이전되는 정보, 이전 국가·시기·방법, 이전받는 자와 연락처, 이용 목적 및 보유·이용 기간 등이 동의 전에 안내돼야 합니다. 실제 문구를 읽고 목적, 기간, 사업자 역할이 분명한지 확인해야 합니다.

Q. 국외 이전 항목이 없으면 해외에서 정보가 처리되지 않는다고 봐도 되나요?

A. 단정하기 어렵습니다. 해외 사업자가 이용자에게서 직접 정보를 수집하는 경우는 개인정보 보호법상 국외 이전과 구분될 수 있습니다. 최초 수집자가 누구인지와 각 사업자의 역할을 처리방침에서 확인하세요.

Q. 앱의 건강 관련 AI 결과가 걱정되면 어떻게 해야 하나요?

A. 앱 결과만으로 상태를 자가 진단하거나 치료를 결정하지 마세요. 증상, 검사, 치료와 관련한 판단은 전문의 또는 담당 의료진과 상담하고, 서비스의 개인정보 처리 조건은 해당 사업자의 공식 문의 창구에서 확인하는 것이 좋습니다.

본문에 언급된 타사 의료 AI 제품·서비스는 정보 제공 목적의 사례이며, 유유테이진의 판매·임대·상담 대상이 아닙니다. 제품·도입 문의는 해당 제조사·공식 판매처 또는 의료기관에 확인해 주세요.