유럽에 있는 사람들의 개인 데이터를 수집한다면, 어디에 호스팅하는지와 어떻게 다루는지는 별개의 질문이며 답도 다릅니다. 이 가이드는 이를 쉬운 말로 정리합니다. 법률 자문이 아닌 일반 정보입니다.
GDPR은 서버가 아니라 사람을 따라감
EU의 General Data Protection Regulation은 사업체나 서버가 어디에 있든, EU에 있는 사람들에게 서비스를 제공하거나 그들의 행동을 모니터링할 때 적용됩니다. 서버를 다른 나라로 옮겨도 그 사용자들에 대한 의무가 사라지지 않습니다.
호스팅 위치가 실제로 바꾸는 것
- 어느 당국이 접근을 요청할 수 있는지. 한 국가에 저장된 데이터는 그 나라의 합법적 접근 규칙의 적용을 받습니다.
- 데이터 전송. 개인 데이터를 EU 밖으로 옮기려면 적정성 결정이나 표준 계약 조항 같은 법적 근거가 필요합니다.
- 실무상의 위험. 보존 관련 법률, 법원 절차, 집행 관행은 국가마다 다릅니다.
- 지연 시간과 비용. 가까울수록 빠르고, 어떤 위치는 비용이 더 적게 듭니다.
실제 위치별 사례
| 위치 | 체계 요약 |
|---|---|
| 독일, 네덜란드, 핀란드, 루마니아 | EU 회원국이므로 GDPR이 직접 적용되며 데이터가 EU 안에 머뭅니다. |
| 스위스 | 자체 연방 데이터 보호법이 있으며 EU가 적정하다고 인정합니다. |
| 미국 | 단일 연방 프라이버시 법이 없고 주 법률이 제각각이며, 전송에는 법적 근거가 필요합니다. |
| 파나마, 싱가포르, 세이셸, 몰도바 | 각각 범위가 다른 자체 데이터 보호법이 있습니다. 본인 사례에 맞는 최신 규정을 확인하세요. |
법률은 바뀌므로 어떤 요약이든 의존하기 전에 자격을 갖춘 전문가와 세부 사항을 확인하세요.
위치와 상관없이 해야 할 일
- 필요한 데이터만 수집하고, 더 이상 필요하지 않으면 삭제하세요.
- 가능한 경우 전송 중(HTTPS)과 저장 시 데이터를 암호화하세요.
- 명확한 개인정보 처리방침을 게시하고 열람 및 삭제 요청을 이행하세요.
- 소프트웨어를 최신 상태로 유지하고 로그인할 수 있는 사람을 제한하세요.
- 개인 데이터를 어디에 저장하고 누가 처리하는지 기록해 두세요.
오프쇼어는 법 밖을 의미하지 않음
해외 호스팅은 프라이버시, 복원력, 비용 면에서 적합할 수 있지만, 본인과 사용자에게 적용되는 법을 준수할 책임은 여전히 본인에게 있습니다. 오프쇼어 VPS란 무엇인가와 위치 선택 방법을 참고하세요.