Skip to main content
Law4Kor
Personal Information Protection Act

개인정보 보호법

Article 28-8 (Transfer of Personal Information Abroad)

제28조의8 개인정보의 국외 이전

Ministry
개인정보보호위원회
In force
2025-10-02
Articles
124
Original (Korean)
①

개인정보처리자는 개인정보를 국외로 제공(조회되는 경우를 포함한다)ㆍ처리위탁ㆍ보관(이하 이 절에서 "이전"이라 한다)하여서는 아니 된다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보를 국외로 이전할 수 있다.

  1. 1. 정보주체로부터 국외 이전에 관한 별도의 동의를 받은 경우

  2. 2. 법률, 대한민국을 당사자로 하는 조약 또는 그 밖의 국제협정에 개인정보의 국외 이전에 관한 특별한 규정이 있는 경우

  3. 3. 정보주체와의 계약의 체결 및 이행을 위하여 개인정보의 처리위탁ㆍ보관이 필요한 경우로서 다음 각 목의 어느 하나에 해당하는 경우

    1. 가. 제2항 각 호의 사항을 제30조에 따른 개인정보 처리방침에 공개한 경우
    2. 나. 전자우편 등 대통령령으로 정하는 방법에 따라 제2항 각 호의 사항을 정보주체에게 알린 경우

  4. 4. 개인정보를 이전받는 자가 제32조의2에 따른 개인정보 보호 인증 등 보호위원회가 정하여 고시하는 인증을 받은 경우로서 다음 각 목의 조치를 모두 한 경우

    1. 가. 개인정보 보호에 필요한 안전조치 및 정보주체 권리보장에 필요한 조치
    2. 나. 인증받은 사항을 개인정보가 이전되는 국가에서 이행하기 위하여 필요한 조치

  5. 5. 개인정보가 이전되는 국가 또는 국제기구의 개인정보 보호체계, 정보주체 권리보장 범위, 피해구제 절차 등이 이 법에 따른 개인정보 보호 수준과 실질적으로 동등한 수준을 갖추었다고 보호위원회가 인정하는 경우

A personal information controller shall not transfer (including cases of being queried), entrust for processing, or store personal information abroad (hereinafter referred to as "transfer" in this Section). Provided, however, that personal information may be transferred abroad if any of the following applies: 1. The data subject has received separate consent regarding the transfer abroad. 2. There are special provisions regarding the transfer of personal information abroad in laws, treaties to which the Republic of Korea is a party, or other international agreements. 3. The entrustment for processing or storage of personal information is necessary for the conclusion and performance of a contract with the data subject, and any of the following applies: a. The matters specified in the subparagraphs of paragraph

②

개인정보처리자는 제1항제1호에 따른 동의를 받을 때에는 미리 다음 각 호의 사항을 정보주체에게 알려야 한다.

  1. 1. 이전되는 개인정보 항목

  2. 2. 개인정보가 이전되는 국가, 시기 및 방법

  3. 3. 개인정보를 이전받는 자의 성명(법인인 경우에는 그 명칭과 연락처를 말한다)

  4. 4. 개인정보를 이전받는 자의 개인정보 이용목적 및 보유ㆍ이용 기간

  5. 5. 개인정보의 이전을 거부하는 방법, 절차 및 거부의 효과

have been disclosed in the personal information processing policy pursuant to Article 30. b. The matters specified in the subparagraphs of paragraph ② have been notified to the data subject by a method prescribed by Presidential Decree, such as e-mail. 4. The recipient of the personal information has obtained personal information protection certification pursuant to Article 32-2 or other certifications prescribed and notified by the Personal Information Protection Commission, and has taken all of the following measures: a. Safety measures necessary for personal information protection and measures necessary for guaranteeing the rights of the data subject. b. Measures necessary for implementing the certified matters in the country to which the personal information is transferred. 5. The personal information protection system of the country or international organization to which the personal information is transferred, the scope of guarantee for the rights of the data subject, and the procedures for remedy of damages are recognized by the Personal Information Protection Commission as being substantially equivalent to the level of personal information protection under this Act. ② When obtaining consent pursuant to subparagraph 1 of paragraph ①, the personal information controller shall inform the data subject of the following matters in advance: 1. Items of personal information to be transferred. 2. The country, time, and method of transfer of personal information. 3. The name of the recipient of personal information (in the case of a corporation, its name and contact information). 4. The purpose of use of personal information by the recipient and the period of retention and use. 5. Methods, procedures, and effects of refusal of transfer of personal information.

③

개인정보처리자는 제2항 각 호의 어느 하나에 해당하는 사항을 변경하는 경우에는 정보주체에게 알리고 동의를 받아야 한다.

If the personal information controller changes any of the matters specified in the subparagraphs of paragraph ②, they shall notify the data subject and obtain consent.

④

개인정보처리자는 제1항 각 호 외의 부분 단서에 따라 개인정보를 국외로 이전하는 경우 국외 이전과 관련한 이 법의 다른 규정, 제17조부터 제19조까지의 규정 및 제5장의 규정을 준수하여야 하고, 대통령령으로 정하는 보호조치를 하여야 한다.

When a personal information controller transfers personal information abroad pursuant to the proviso of paragraph ①, they shall comply with other provisions of this Act related to transfer abroad, the provisions of Articles 17 through 19, and the provisions of Chapter 5, and shall take protective measures prescribed by Presidential Decree.

⑤

개인정보처리자는 이 법을 위반하는 사항을 내용으로 하는 개인정보의 국외 이전에 관한 계약을 체결하여서는 아니 된다.

A personal information controller shall not enter into a contract for the transfer of personal information abroad that contains provisions violating this Act.

⑥

제1항부터 제5항까지에서 규정한 사항 외에 개인정보 국외 이전의 기준 및 절차 등에 필요한 사항은 대통령령으로 정한다.

Matters necessary for the standards and procedures for the transfer of personal information abroad, other than those prescribed in paragraphs ① through ⑤, shall be prescribed by Presidential Decree.

Translation

Machine translation. The Korean text is authoritative.

Statute text is reproduced from 법제처 국가법령정보센터. This is information, not legal advice.

Personal Information Protection Act 제28조의8 — Article 28-8 (Transfer of Personal Information Abroad) · Law4Kor