한국 개인정보보호위원회가 주최한 전문가 포럼에서 개인정보의 해외 이전을 더 안전하고 편리하게 하기 위해 EU처럼 SCC(표준계약)와 BCR(구속력 있는 기업 내부규칙)을 국내에도 도입해야 한다는 주장이 제기됐습니다. SCC는 개인정보를 해외로 보낼 때 보호 의무를 담은 표준 계약서를 쓰는 방식이고, BCR은 다국적 기업이 당국의 승인을 받은 자체 보호 규칙을 마련해 계열사 간에 데이터를 이전하는 방식입니다. 현재 EU, 일본, 중국 등이 이미 유사 제도를 운영 중이며, 국내 도입 시 AI·바이오 분야 글로벌 공동연구의 법적 장벽이 낮아질 것으로 기대됩니다. 개인정보위 위원장은 정보주체의 권리를 지키면서도 국제 혁신 활동을 지원할 수 있도록 관련 정책을 마련하겠다고 밝혔습니다.
개인정보보호위원회 주관 '2026 개인정보 미래포럼'에서 SCC·BCR의 국내 도입 필요성이 공론화됐다.
국내 기업과 연구기관이 개인정보를 해외로 이전할 때 적용 가능한 법적 수단이 부족해 글로벌 협업과 공동연구에 제약이 발생하고 있다.
현행 국내 개인정보 국외이전 제도가 EU GDPR 수준의 표준계약·내부규칙 기반 이전 수단을 갖추지 못해, 기업들이 이전마다 개별 절차를 밟아야 하는 부담이 존재한다.
개인정보위는 SCC·BCR 도입을 포함한 국외이전 제도 개선 방향을 검토 중이며, 위원장은 안전한 국외이전 정책 마련을 공식 천명했다.
개인정보보호책임자(CPO) 및 컴플라이언스 담당자는 SCC·BCR 도입 논의 동향을 주시하고, 해외 데이터 이전 관련 내부 체계 정비를 선제적으로 준비해야 한다.
본문
"SCC와 BCR을 도입해 '보호수준이 보장되는 이전'을 신설해야 합니다."(김도엽 김앤장 변호사)
"SCC와 BCR을 채택하고 도입을 독려해야 합니다"(윤수영 한국CPO협의회 사무국장)
개인정보보호위원회(개인정보위)가 17일 서울 포스트타워에서 개최한 제4차 '2026 개인정보 미래포럼' 전체회의에서 국내도 EU처럼 SCC와 BCR을 도입해야 한다는 목소리가 나왔다.
올해 네 번째 열린 이번 미래포럼은 '개인정보 국외이전 제도 발전 방향'을 주제로 개최됐다. 개보위가 운영하는 미래포럼은 각계 전문가들이 개인정보 분야 중요 아젠다를 선제적으로 논의, 현장 의견을 수렴하는 '개인정보 정책 토론의 장'이다. 학계·법조계·산업계·시민사회 등 전문가 40명으로 구성됐다.
이날 김도엽 김앤장 변호사는 유럽연합(EU)의 일반개인정보보호법(GDPR)과 국내 개인정보 국외이전 제도를 분석, 국외이전 체계의 발전방향을 모색할 시점이라고 강조했다. 특히 김 변호사는 SCC(Standard Contract Clause, 표준계약조항)와 BCR(Binding Corporate Rules, 구속력 있는 기업 규칙)의 국내 도입 필요성을 강조했다.
송경희 개인정보보호위원회 위원장이 17일 서울 중구 포스트타워에서 열린 제4회 미래포럼에서 인사말을 하고 있다
SCC는 개인정보를 이전하는 사람과 받는 사람간 보호의무를 표준계약으로 규정한 것으로, 국외이전 양 당사자가 이를 바탕으로 계약을 체결해 개인정보를 이전하는 걸 말한다. BCR은 다국적 기업 등이 구속력 있는 사내 보호규칙을 마련, 당국(개인정보위)의 승인을 받아 이를 준수하는 기업군 내에서 개인정보를 이전하는 걸 말한다.
김 변호사는 일종의 '표준계약'인 SCC 장점에 대해 첫째, 개별 승인 절차 없이 바로 쓸 수 있고 둘째, 법무 인력이 부족한 기업의 부담이 줄어들며 셋째, AI와 바이오 분야의 글로벌 공동연구에 걸려있는 제약을 풀 수 있고 넷째, 정보주체에 대한 실질적인 권리 보장 가능 등을 꼽았다. 또 BCR의 장점으로 승인 과정에서 기업의 개인정보보호 체계를 함께 점검, 컴플라이언스 수준이 높아지는 것 등을 들었다. 김 변호사는 "두 수단 모두 보호수준을 낮추는 것이 아니라 보호의무를 계약과 내부규칙에 담아 이전을 허용하는 방식"이라고 전했다. 김 변호사는 개인정보위 국외이전전문위원회 위원으로 활동하고 있다.
현재 SCC와 BCR은 유럽연합(EU)이 이를 도입했고, 일본과 중국도 비슷한 제도를 두고 있다. 미국은 개인정보보호법 체계가 EU와 출발점이 달라 시행하지 않고 있다. 즉, 미국은 전통적으로 EU처럼 하나의 연방 차원의 포괄적 개인정보보호법을 두지 않고 의료, 금융, 통신 등 분야별, 주별 규제를 결합한 구조를 갖고 있다.
윤수영 한국개인정보보호책임자협의회 사무총장은 공공‧민간의 개인정보 보호책임자들이 국외이전 제도를 준수하는 과정에서 겪는 애로사항을 공유, 제도 개선의 필요성을 제기했다.
미래포럼 위원들은 인공지능(AI) 등 디지털 서비스 확산으로 국가 간 데이터 이동 수요가 증가하고 있는 상황에서, 기업의 글로벌 활동과 국제 공동연구 등을 위해 표준 계약(SCC), 승인된 기업 규칙(BCR) 등 안전한 국외이전 수단을 확대할 필요가 있다는 데 공감하며 다양한 의견을 나눴다.
송경희 개인정보위 위원장은 "정보주체 권리를 보호하면서도 국제 공동연구 등 필요한 분야에서 데이터를 활용할 수 있도록 제도를 정비하는 것이 중요하다"면서 "기업과 연구기관 등이 국제 무대에서 혁신 활동을 추진하는 데 불필요한 제약이 없도록 개인정보의 안전한 국외이전을 위한 정책을 마련하겠다"라고 밝혔다.
