말레이시아 직원·고객 개인정보를 한국 본사에서 관리하고 있다면?

말레이시아 PDPA상 개인정보 국외 이전, 한국 기업이 확인해야 할 사항

말레이시아에 진출한 한국 기업은 현지 직원의 인사·급여정보나 고객의 개인정보를 한국 본사와 공유하거나, 그룹 차원의 통합 IT 시스템을 운영하기 위해 한국 소재 서버 또는 클라우드에 저장하는 경우가 많다.

한국 본사와 말레이시아 현지법인 간의 이러한 정보 공유는 기업 입장에서는 통상적인 그룹 업무 또는 IT 시스템 운영의 일부일 수 있다. 그러나 말레이시아에서 수집된 개인정보가 국외로 이전 처리되는 경우 말레이시아 개인정보보호법인 「Personal Data Protection Act 2010」(이하 “PDPA”)상 국외 이전 규제가 적용될 수 있다.

특히 2024년 개정된 「Personal Data Protection (Amendment) Act 2024」(이하 “PDPA 개정법”)에 따라 개인정보 국외 이전에 관한 규율 체계가 변경됐다. 개정법 시행에 따라 말레이시아 현지법인이 개인정보를 국외로 이전하는 경우, 수령국의 법·제도 및 개인정보 보호수준을 검토하고 해당 이전의 적합성과 적법성을 판단하는 것이 중요해졌다.

또한 2025년 4월 29일 발행된 「Guidelines on Cross Border Personal Data Transfer」(이하 “CBPDT 지침”)는 국외 이전의 적법성 판단을 위한 구체적인 평가요소와 적용 기준을 제시한다.

따라서 말레이시아 현지법인과 한국 본사 간 개인정보를 공유하거나 한국 소재 서버 또는 클라우드에 저장하는 기업은 다음 네 가지 사항을 순차적으로 점검할 필요가 있다.

① 현재의 데이터 처리 구조가 국외 이전에 해당하는지

② 적용 가능한 국외 이전 근거가 무엇인지

③ 필요한 계약·보안조치·고지 등을 갖추었는지

④ 관련 판단과 조치를 입증할 수 있도록 문서화했는지

1. 현재의 데이터 처리 구조가 국외 이전에 해당하는가

PDPA상 국외 이전은 개인정보를 말레이시아에서 한국으로 직접 전송하는 경우에만 한정되지 않는다.

한국 소재 서버 또는 클라우드에 개인정보를 저장하거나, 국외에서 개인정보에 원격으로 접근하여 처리하는 경우에도 국외 이전에 해당할 수 있다. 백업이나 재해복구를 목적으로 국외 서버에 개인정보를 저장하는 경우도 마찬가지다. (PDPA s.129; CBPDT 지침 para.3.2)

예를 들어 다음과 같은 경우를 생각해 볼 수 있다.

한국 본사의 HR 시스템을 사용하는 경우

말레이시아 현지법인이 직원의 이름, 주소, 급여, 휴가 및 인사정보를 한국 본사의 HR 시스템에 입력하고 해당 시스템이 한국에서 운영된다면, 말레이시아 직원의 개인정보가 국외에서 저장·처리되는 구조인지 확인할 필요가 있다.

한국 또는 해외 클라우드에 저장하는 경우

말레이시아 고객 또는 직원의 개인정보를 한국 소재 서버 또는 해외 클라우드에 저장하거나, 백업·재해복구 목적으로 말레이시아 밖의 서버에 저장하는 경우에도 국외 이전 여부를 검토해야 한다.

한국 본사가 원격으로 접근하는 경우

개인정보가 말레이시아 현지 시스템에 저장되어 있더라도 한국 본사의 직원이 원격으로 해당 개인정보에 접근하여 조회하거나 처리하는 경우에는 해당 데이터 처리 구조가 국외 이전에 해당하는지 확인할 필요가 있다.

따라서 기업은 단순히 “우리는 개인정보를 한국으로 보내지 않는다”고 판단해서는 안 된다.

실제 데이터가 어디에서 수집되고, 어디에 저장되며, 누가 접근하고, 어느 국가에서 처리되는지를 확인해야 한다.

이를 위해 다음 사항을 우선 파악할 필요가 있다.

• 개인정보는 어디에서 수집되는가
• 개인정보는 어느 국가의 서버에 저장되는가
• 누가 개인정보에 접근할 수 있는가
• 실제 개인정보를 처리하는 주체는 누구인가
• 한국 본사 또는 계열사가 개인정보에 원격으로 접근하는가
• 백업 또는 재해복구 시스템은 어느 국가에서 운영되는가
• 사용 중인 클라우드 서비스의 데이터 저장 위치는 어디인가

즉, 국외 이전 여부를 판단하기 위해서는 회사의 실제 데이터 처리 구조를 먼저 파악해야 한다.

2. 국외 이전에 해당한다면, 어떤 법적 근거로 이전하는지 확인해야 한다

PDPA 제129조에 따르면 개인정보의 국외 이전은 일정한 요건을 충족하는 경우 허용된다. 주요 이전근거는 다음과 같다.

(1) 수령국의 개인정보 보호수준에 근거한 이전

개인정보를 이전받는 국가에 PDPA와 실질적으로 유사한 법률이 시행되고 있거나, PDPA에 상응하는 적정한 보호수준이 확보된 경우다. (PDPA s.129(2)(a)–(b); CBPDT 지침 paras.5–6)

한국으로 개인정보를 이전하는 경우에는 한국의 개인정보보호법과 PDPA의 보호수준을 비교·검토하고 그 결과를 문서화할 필요가 있다.

CBPDT 지침은 정보주체의 권리, 개인정보 처리 관련 요건, 안전조치, 개인정보 유출 통지, 정보처리자에 대한 의무 및 감독기관의 권한 등을 주요 평가요소로 제시한다.

또한 이러한 평가를 위해 Transfer Impact Assessment(“TIA”)를 활용할 것을 권고한다. (CBPDT 지침 para.5.4)

따라서 한국 본사로 말레이시아 직원 또는 고객의 개인정보를 이전하는 기업은 다음과 같은 사항을 검토할 필요가 있다.

“한국의 개인정보 보호체계가 말레이시아 PDPA가 요구하는 수준의 보호를 제공한다고 판단한 근거가 있는가?”

그리고 이러한 판단을 뒷받침할 수 있는 자료를 보관하는 것이 중요하다.

(2) 정보주체의 명시적 동의에 근거한 이전

정보주체가 개인정보의 국외 이전에 동의한 경우에도 이전이 가능하다.

다만 이전에 앞서 개인정보 보호 고지(Privacy Notice)를 통해 국외 이전 사실, 개인정보를 이전받는 제3자의 범위 및 이전 목적 등을 알리고, 이후 동의를 받아 이를 기록·보관할 필요가 있다. (PDPA s.129(3)(a); CBPDT 지침 para.7)

따라서 기업은 현재 사용 중인 Privacy Notice와 동의서가 실제 개인정보의 이전·처리 구조를 제대로 반영하는지 확인해야 한다.

예를 들어 Privacy Notice에는 “개인정보를 계열사와 공유할 수 있다”고만 기재되어 있지만 실제로는 한국 본사가 말레이시아 직원의 급여 및 인사정보에 접근하고 있다면, 현재의 고지 내용이 실제 처리 구조를 충분히 반영하는지 다시 검토할 필요가 있다.

중요한 것은 Privacy Notice의 유무 자체가 아니라 그 내용이 실제 데이터 처리 방식과 일치하는지 여부다.

(3) 계약 이행에 필요한 개인정보의 이전

정보주체와의 계약 이행을 위해 개인정보의 이전이 필요한 경우, 또는 정보주체의 요청이나 이익을 위해 제3자와의 계약을 체결하거나 이행하는 데 필요한 경우에도 국외 이전의 근거로 검토할 수 있다. (PDPA s.129(3)(b)–(c); CBPDT 지침 paras.8–9)

예를 들어 말레이시아 직원이 회사가 제공하는 임직원 복지 프로그램에 따라 한국 소재 제휴 서비스 제공업체의 서비스를 이용하는 경우, 해당 서비스 제공에 필요한 범위에서 직원의 개인정보를 한국으로 이전하는 것을 계약 이행을 위한 이전근거로 검토할 수 있다.

다만 단순히 “업무상 필요하다”거나 “그룹 차원에서 해당 시스템을 사용하고 있다”는 이유만으로 계약 이행을 위한 이전이라고 판단해서는 안 된다.

CBPDT 지침은 계약 이행을 위한 이전에 대해 해당 이전이 계약의 핵심 목적과 직접적으로 관련되는지 여부와 대체수단의 존재 여부 등을 구체적으로 고려하도록 한다. (CBPDT 지침 paras.8.1–8.5, 9.1–9.4)

따라서 계약상 필요성을 이전근거로 삼는 경우에는 해당 개인정보의 국외 이전이 실제로 계약 이행에 필요한지를 구체적으로 검토해야 한다.

(4) 법적 절차 또는 권리의 보호를 위한 이전

소송, 법률자문 또는 권리의 행사·보호를 위해 개인정보의 국외 이전이 필요한 경우에도 이전근거로 검토할 수 있다. (PDPA s.129(3)(d); CBPDT 지침 para.10)

예를 들어 말레이시아 현지법인과 관련된 분쟁이나 법적 절차를 위해 한국 본사 또는 해외 법률자문기관에 필요한 개인정보를 제공해야 하는 경우 등이 이에 해당할 수 있다.

다만 이 경우에도 해당 법적 목적을 달성하는 데 필요한 범위 내에서 개인정보가 이전되는지를 함께 확인하는 것이 바람직하다.

(5) 정보주체에 대한 불리한 조치의 방지 또는 완화를 위한 이전

정보주체에게 발생할 수 있는 불리한 조치를 방지하거나 완화하기 위해 개인정보의 국외 이전이 필요하고, 정보주체의 서면 동의를 받는 것이 현실적으로 어려우며, 동의를 받을 수 있었다면 정보주체가 동의했을 것으로 합리적으로 판단되는 경우에도 이전근거가 될 수 있다. (PDPA s.129(3)(e); CBPDT 지침 para.11)

CBPDT 지침은 이러한 사유가 정보주체가 의식불명 상태이거나 연락이 불가능한 경우, 또는 필요한 정보를 제공하고 동의를 받을 시간이 부족한 경우 등 예외적인 상황에 적용될 수 있음을 설명한다. (CBPDT 지침 para.11.2)

따라서 이 근거는 일반적인 그룹사 간 개인정보 이전보다는 예외적인 상황에서 적용되는 이전근거로 이해할 필요가 있다.

(6) 합리적인 예방조치와 주의의무를 다한 경우

PDPA에 위반되는 방식으로 개인정보가 처리되지 않도록 모든 합리적인 예방조치를 취하고 상당한 주의의무를 다한 경우에도 이를 국외 이전의 근거로 검토할 수 있다. (PDPA s.129(3)(f))

CBPDT 지침은 이러한 예방조치와 주의의무를 입증할 수 있는 수단으로 Binding Corporate Rules(BCR), Contractual Clauses 및 승인된 인증제도(Certification)를 제시한다. (CBPDT 지침 paras.12.1–12.3)

특히 한국 본사와 말레이시아 현지법인 간 개인정보가 지속적·반복적으로 이전되는 기업이라면, 개별 직원의 동의에 의존하기보다는 Intra-Group Data Transfer Agreement 또는 그룹 차원의 개인정보보호정책을 마련하는 것이 적절한지 검토할 필요가 있다.

3. 한국 본사가 개인정보를 처리한다면, 본사와 현지법인의 역할과 책임도 확인해야 한다

개인정보 국외 이전 문제는 단순히 “한국으로 데이터를 보내도 되는가?”에서 끝나지 않는다.

한국 본사가 말레이시아 직원이나 고객의 개인정보를 실제로 처리하고 있다면 한국 본사의 역할과 책임도 함께 검토해야 한다.

PDPA 개정법에 따라 보안원칙(Security Principle)은 데이터 처리에도 직접 적용된다. 따라서 한국 본사가 말레이시아 개인정보를 처리하는 경우에는 보안조치와 관련된 의무 및 책임을 별도로 검토할 필요가 있다. (PDPA 개정법 s.9)

특히 한국 본사와 말레이시아 현지법인 간 개인정보 처리위탁계약 또는 그룹 내부 개인정보보호정책에는 다음 사항을 명확히 규정할 필요가 있다.

• 개인정보에 대한 접근권한 및 접근통제
• 기술적관리적 보안조치
• 개인정보의 목적 외 이용 제한
• 개인정보 유출 발생 시 통지 및 대응절차
• 개인정보의 보관 및 삭제 기준
• 재위탁 및 제3자 제공에 관한 사항
• 한국 본사와 말레이시아 현지법인의 역할과 책임

특히 그룹 차원의 ERP, HR, CRM 또는 클라우드 시스템을 이용하는 경우에는 실제 시스템 운영 방식과 계약서 및 내부정책의 내용이 일치하는지 확인하는 것이 중요하다.

4. “Privacy Notice가 있으니 괜찮다”는 것은 아니다

개인정보 국외 이전과 관련해 실무에서 자주 발생하는 문제는 Privacy Notice는 존재하지만 실제 데이터 처리 구조가 그 내용과 일치하지 않는 경우다.

예를 들어 말레이시아 현지법인의 Privacy Notice에 “회사는 개인정보를 계열사와 공유할 수 있다”고 기재되어 있지만 실제로는 한국 본사가 말레이시아 직원의 HR·급여정보를 상시적으로 열람하고 있을 수 있다.

이 경우 다음 사항을 다시 확인할 필요가 있다.

• 어떤 개인정보가 이전되는가
• 어느 국가로 이전되는가
• 누구에게 이전되는가
• 어떤 목적으로 이전되는가
• 얼마나 오래 보관되는가
• 한국 본사 또는 계열사가 어떤 방식으로 접근하는가

따라서 기업은 단순히 **“Privacy Notice가 있다”**는 것에 그치지 않고, 실제 개인정보 처리 구조를 먼저 파악한 후 그에 맞게 Privacy Notice, 동의서, 계약서 및 내부정책을 정비해야 한다.

5. 한국 기업이 지금 확인해야 할 4가지

말레이시아 현지법인과 한국 본사 간 개인정보가 이전되고 있다면 다음 네 가지 사항을 순서대로 확인하는 것이 좋다.

① 실제 데이터 흐름 파악

말레이시아 직원 및 고객의 개인정보가 어디에서 수집되고, 어디에 저장되며, 누가 접근하고, 어느 국가에서 처리되는지 확인한다.

단순히 데이터를 직접 전송하는지 여부만 볼 것이 아니라 저장 위치, 접근 위치, 처리 주체 및 재위탁 구조까지 함께 확인해야 한다.

② 국외 이전에 해당하는지 판단

직접적인 데이터 전송뿐만 아니라 서버·클라우드 저장, 원격 접근, 백업 및 재해복구 등 현재의 데이터 처리 구조를 종합적으로 검토한다.

③ 적용 가능한 이전근거 확인

국외 이전에 해당한다면 PDPA 제129조에 따라 어떤 이전근거를 적용할 수 있는지 검토한다.

특히 한국으로 개인정보를 이전하는 경우에는 한국의 개인정보 보호수준에 대한 검토, TIA의 필요성, 정보주체의 동의 또는 계약상 필요성 등을 실제 이전 구조에 따라 판단할 필요가 있다.

④ 계약·정책·고지 및 관련 기록 정비

한국 본사와 현지법인 또는 계열사 간 개인정보 이전·처리를 규율하는 계약이 있는지 확인하고, 필요한 경우 Intra-Group Data Transfer Agreement 및 그룹 내부 개인정보보호정책을 마련한다.

또한 Privacy Notice 및 동의서가 실제 데이터 처리 구조를 반영하는지 확인하고, TIA, 동의기록, 계약서 및 기타 관련 검토자료를 체계적으로 보관할 필요가 있다.

결국 중요한 것은 “법적으로 문제가 없다”고 판단하는 것뿐만 아니라, 왜 해당 개인정보 이전이 적법한지 설명하고 이를 뒷받침할 수 있는 자료를 갖추는 것이다.

‍

한국 기업을 위한 PDPA 국외 이전 체크리스트

다음 항목 중 하나라도 해당한다면 현재의 개인정보 국외 이전 구조를 점검할 필요가 있다.

□ 한국 본사가 말레이시아 직원의 인사·급여정보를 관리하고 있다.

□ 한국 본사의 ERP·HR·CRM 시스템에 말레이시아 개인정보가 입력되고 있다.

□ 말레이시아 개인정보가 한국 또는 해외 서버·클라우드에 저장되고 있다.

□ 한국 본사 직원이 말레이시아 개인정보에 원격으로 접근하고 있다.

□ 한국 본사 또는 계열사와 개인정보를 정기적으로 공유하고 있다.

□ 개인정보 국외 이전에 관한 별도의 계약이나 그룹 내부정책이 마련되어 있지 않다.

□ 현재 Privacy Notice에 실제 국외 이전 구조가 충분히 반영되어 있는지 확실하지 않다.

□ 개인정보 국외 이전에 대한 TIA 또는 이에 준하는 검토를 실시한 적이 없다.

□ 개인정보 유출 발생 시 한국 본사와 말레이시아 현지법인의 역할과 대응절차가 명확하지 않다.

□ 글로벌 IT 시스템 또는 클라우드 서비스의 실제 데이터 저장 위치를 정확히 파악하지 못하고 있다.

하나라도 해당한다면 현재의 데이터 처리 구조와 PDPA상 국외 이전 요건을 함께 점검하는 것이 바람직하다.

법률자문이 필요한 경우

개인정보 국외 이전 컴플라이언스는 단순히 Privacy Notice를 수정하거나 계약서 하나를 작성하는 것으로 해결되지 않는 경우가 많다.

실제 데이터 흐름을 파악하고, 그에 맞는 법적 근거와 계약·정책·보안조치를 종합적으로 검토하는 것이 중요하다.

저희 아큐브로펌은 말레이시아에서 사업을 영위하는 한국 기업을 대상으로 지원가능 업무는

1. PDPA 전반의 컴플라이언스 점검

말레이시아 현지법인의 개인정보 수집·이용·보관 및 국외 이전 구조를 중심으로 전반적인 PDPA 준수 현황을 점검하고 개선이 필요한 사항을 제시한다.

2. 개인정보 국외 이전 구조 및 법적 근거 검토

한국 본사, 계열사, IT 시스템 및 외부 서비스 제공업체로의 개인정보 이전 구조를 파악하고, PDPA 제129조에 따른 적절한 이전근거를 검토한다.

3. TIA 등 개인정보 국외 이전 관련 검토 지원

한국의 개인정보 보호 법제와 실제 데이터 처리 구조를 고려해 국외 이전과 관련된 주요 위험요소를 검토하고, 필요한 경우 TIA 등 관련 검토자료의 작성·정비를 지원한다.

4. 그룹사 간 개인정보 이전계약 및 내부정책 작성·개정

필요한 경우 한국 본사와 말레이시아 현지법인 또는 계열사 간 Intra-Group Data Transfer Agreement, 개인정보 처리 관련 계약 및 그룹 내부 개인정보보호정책을 작성하거나 개정한다.

5. Privacy Notice 및 동의서 정비

실제 개인정보 수집·이용 및 국외 이전 구조를 반영해 Privacy Notice와 동의서를 검토하고 필요한 경우 개정한다.

6. 데이터 처리 구조에 대한 종합적인 법률자문

ERP, HR, CRM, 클라우드 등 그룹 차원의 IT 시스템을 이용하는 경우, 단순한 문서 검토를 넘어 실제 데이터 흐름, 각 법인의 역할, 계약관계 및 보안조치를 종합적으로 검토해 실무적으로 적용 가능한 PDPA 컴플라이언스 방안을 제시한다.

맺음말

한국 본사와 말레이시아 현지법인 간 개인정보 공유는 많은 기업에서 일상적으로 이루어지는 업무다. 그러나 일상적인 그룹 업무라는 이유만으로 개인정보 국외 이전에 관한 PDPA 검토가 필요하지 않은 것은 아니다.

특히 한국 본사가 말레이시아 직원·고객의 개인정보를 직접 관리하거나, 한국 또는 해외 서버·클라우드에 개인정보를 저장하거나, 한국에서 말레이시아 개인정보에 원격으로 접근하는 경우에는 현재의 데이터 처리 구조를 다시 한번 확인할 필요가 있다.

결국 말레이시아 개인정보의 한국 이전과 관련한 PDPA 컴플라이언스의 핵심은 복잡한 법률 규정을 단순히 암기하는 데 있지 않다.

우리 회사의 개인정보가 실제로 어디로 이동하고, 누가 처리하며, 어떤 법적 근거로 이전되고 있는지를 정확하게 파악하는 것.

그리고 그 결과에 따라 적절한 이전근거와 계약·정책·개인정보 보호 고지 및 보안조치를 마련하고, 그 적법성을 입증할 수 있는 관련 기록을 갖추는 것이 중요하다.

말레이시아 현지법인과 한국 본사 간 개인정보 이전·공유 구조 또는 PDPA 컴플라이언스와 관련해 검토가 필요한 경우, 저희 아큐브 법무법인으로 문의해주시기 바랍니다.

• 담당자: 이유진 부장 (eugene.lee@aqranvijandran.com)

본 뉴스레터에 수록된 내용은 일반적인 법률정보의 제공을 목적으로 작성된 것으로, 특정 사안에 대한 법률적 의견이나 자문으로 사용될 수 없음을 알려드립니다.

저자

Prof. Dr. Harald Sippel, MBA

오스트리아 변호사 자격(Rechtsanwalt)을 보유한 변호사로, 현재 쿠알라룸푸르 소재 Aqran Vijandran에서 Senior Foreign Advisor로 활동하며 유럽과 한국 기업을 비롯한 외국 기업을 대상으로 말레이시아 법률 전반에 관한 자문을 제공하고 있다.

말레이시아 변호사들과 함께 법무법인 아큐브를 설립하기 전에는 미국과 한국의 주요 글로벌 로펌에서 근무하며 국제적인 법률 실무 경험을 쌓았다. 현재는 기업 고객을 대상으로 정기적으로 자문하고 있다.

Charmaine Lai

한국과 유럽의 주요 대기업 법무팀에서 10년 이상의 실무 경험을 쌓은 법률 전문가이다. 연세대학교 법학과를 졸업한 후 영국 변호사 자격(Bar of England and Wales)을 취득했으며, 현재 말레이시아 변호사 자격 취득 절차를 밟고 있다.

그동안 다양한 법률 사안을 담당해 왔으며, 특히 기업의 말레이시아 내 법률 및 컴플라이언스 이슈에 관한 실무적 자문을 제공해 왔다.

‍