#실리콘밸리연대기 - ATTJ컴퍼니 #9 서버를 한국에 두면 되지 않겠느냐는 CTO의 말에, 변호사는 그 데이터를 미국에서 열어보는 사람이 누구인지부터 물었습니다. 두 번째 고객은 서울의 중견 유통회사였고, 첫 고객과 같은 제품을 같은 용도로 쓰려 했습니다. 다른 점은 데이터 안에 있었습니다. 송장에는 받는 사람의 이름과 주소와 전화번호가 있고, 한국 법에서 그것은 개인정보이며, 미국 서버로 올라가는 순간 "개인정보의 국외 이전"이 됩니다. 고객 법무팀의 첫 질문은 "귀사 서버를 한국에 둘 수 있습니까"였습니다. CTO는 한국 리전에 서버를 올리면 끝나는 줄 알았지만, 서울 변호사의 답은 그것만으로는 끝나지 않는다는 것이었습니다. 법이 말하는 국외 이전은 국외로 제공·처리위탁·보관하는 것인데, "제공" 뒤에 "조회되는 경우를 포함한다"는 괄호가 붙어 있어서, 서버가 서울에 있어도 팔로알토의 엔지니어가 그 데이터를 화면에 띄워 보면 이전입니다. 서버 위치는 답의 일부일 뿐 답 전체가 아니었습니다. 법은 국외 이전을 원칙적으로 금지하고 예외 다섯을 둡니다. 정보주체의 별도 동의, 법률·조약의 규정, 계약 이행을 위한 처리위탁·보관, 인증, 상대국 보호 수준 인정. 수만 명의 수하인에게 동의를 받는 것은 현실적이지 않고 미국은 인정국이 아니니 남는 길은 셋째였고, 유통회사가 처리방침에 "배송 기록 처리를 미국 ATTJ, Inc.에 위탁하며 수하인 정보가 미국으로 이전된다"는 내용과 법정 항목을 공개하면 동의 없이 됩니다. 유통회사 법무팀은 처리방침에 미국 회사 이름을 넣는 것이 처음이라 꺼렸고, 그해 9월부터 과징금 상한이 매출의 10%까지 오른 법 아래서 새 문장을 더하는 것이 부담스러웠습니다. 서울 변호사의 설명은, 수탁자 공개는 원래 해야 하는 일이고 국외 이전 항목은 거기에 한 단락을 보태는 일이며, 이 길을 쓰지 않으면 남는 것은 수만 명의 동의뿐이라는 것이었습니다. 그다음은 스타트업 쪽에 붙는 것들이었습니다. 한국 법에서 이 회사는 수탁자라서 위탁받은 범위를 넘어 쓰거나 제3자에게 넘길 수 없고, 다시 다른 곳에 맡기려면 위탁자의 동의가 필요합니다. 제품이 파운데이션 모델 API 위에 있으니 송장이 그 API로 가는 것은 재위탁이고, 계약서에 재수탁자로 모델 제공사 이름이 들어갑니다. 수탁자가 법을 위반해 손해가 생기면 손해배상에서는 수탁자를 위탁자의 소속 직원으로 본다는 조항도 있어서, 고객이 먼저 배상하고 수탁자에게 되묻는 구조입니다. 미국 쪽은, 캘리포니아 개인정보법이 연 매출 약 2,660만 달러나 주민 10만 명 같은 기준을 넘는 회사에 적용되는데 이 회사는 아직 한참 아래였습니다. 지금 이 회사를 묶는 것은 회사가 있는 나라가 아니라 고객이 있는 나라의 법이었습니다. 계약이 정리되는 데 5주. 유통회사 처리방침에 한 단락, 위탁 계약서에 재수탁자 이름, 한국 리전 저장 서버와 공개된 범위 안의 미국 조회. CTO가 변호사에게 설명하려고 그린 화살표 다섯 개짜리 데이터 흐름도를 보고 유통회사 법무팀이 말했습니다. "이걸 처음에 주셨으면 2주는 줄었을 겁니다." 그 그림은 그 뒤로 한국 고객 제안서의 두 번째 장이 됐습니다. https://www.attorneyjun.com/attj-09-korean-customer-data-cross-border/