"개인정보책임자라며? 통화가 안되네"…부실한 국내 대리인 제도 손본다

현행 국내 대리인 제도 개선한 개인정보보호법 상임위 통과
해외 사업자의 형식적 국내 대리인 운영 차단…개인정보보호법 개정 추진
국내 대리인 지정 의무가 있는 사업자, 국내 법인 대리인으로 우선 지정

개인정보보호위원회 로고. (사진-개인정보위 제공) *재판매 및 DB 금지

[서울=뉴시스]송혜리 기자 = 해외 사업자의 형식적인 국내 개인정보 보호 대리인 운영 관행을 개선하기 위한 개인정보보호법 개정안이 국회 상임위원회 문턱을 넘었다.

이번 개정안의 핵심은 국내 대리인 제도의 실효성을 높이는 것이다. 해외 사업자가 00코리아와 같은 국내 사업장을 설립·운영 중이면서도 이를 국내 대리인으로 지정하지 않는 관행을 바로잡아 해당 사업장을 대리인으로 우선 지정하도록 의무화하는 것이 골자다.

현행법상 해외 사업자는 국내 이용자의 개인정보 보호를 위해 국내 대리인을 지정해야 하며, 이들은 이용자 민원 대응·개인정보 보호 업무 수행 등 개인정보보호책임자의 역할을 맡아야 한다. 그러나 일부 다국적 기업들이 실체 없는 페이퍼컴퍼니나 법무법인 등을 대리인으로 지정해 법적 의무를 형식적으로 이행하는 사례가 확인되면서, 이에 대한 개선이 필요하다는 목소리가 커져 왔다.

국내 대리인의 실효성 강화

국회 정무위원회는 지난 24일 전체회의를 통해 강민국·김태호 국민의힘 의원이 각각 발의한 '개인정보 보호법 일부개정법률안' 2건을 심의한 결과를 발표하고, 이들 내용을 통합 조정한 대안을 위원회 안으로 제시했다.

정무위 법안심사 제1소위원장인 강준현 더불어민주당 의원은 "해외 사업자가 국내 법인을 설립하거나 지배적 영향을 행사하는 국내법인을 두고 있는 경우, 해당 법인으로 국내 대리인으로 지정하도록 의무화하고, 해외 사업자에게 국내 대리인에 대한 관리감독 의무를 부과하는 방향으로 위원회 대안을 제안하기로 했다"고 밝혔다.

개정안에는 국내 법인 우선 지정, 관리·감독 강화, 정보 공개 의무 명확화 등의 내용이 포함됐다.

구체적으로 해외 사업자가 국내 법인을 운영 중이라면 해당 법인을 국내 대리인으로 우선 지정하도록 의무화한다. 동시에 개인정보처리자가 국내대리인 관리·감독을 소홀히 하거나 지정 요건에 따라 국내대리인을 지정하지 않는 경우 과태료를 부과한다. 또 국내 대리인의 성명·주소·전화번호 등을 개인정보처리방침에 반드시 포함하도록 하고, 누락 시 제재 수단을 마련토록 한다.

개인정보위 관계자는 "글로벌 기업들이 국내 00코리아 형태로 지점을 가지고 있으면서도, 실제 개인정보 처리자는 해외 본사로 하면서 페이퍼컴퍼니 혹은 로펌 등을 국내 대리인으로 지정하고 있다"면서 "따라서 이런 형태를 개선해 이러한 00코리아를 국내 대리인으로 지정토록 의무화 하려는 것"이라고 설명했다.

상임위를 통과한 해당 개정안은 법제사법위원회 심사와 국회 본회의 상정 및 표결을 거친 뒤 정부 이송·대통령 재가를 통해 공포·시행 될 예정이다.

다수의 해외 사업자가 동일한 주소지에서 형식적으로 국내 대리인 운영

국내 대리인 제도는 2019년 3월 도입됐다.

글로벌 사업자가 국내 이용자의 개인정보를 수집·처리하는 사례가 증가함에 따라, 이용자 보호를 강화하기 위해 마련된 제도다. 이에 따라 일정 규모 이상의 매출 또는 개인정보 보유량을 가진 해외 개인정보처리자는 국내에 대리인을 지정해야 한다. 국내 대리인은 개인정보 보호책임자의 업무를 대리하고, 개인정보 유출 통지 및 신고 등의 역할을 수행한다.

그러나 법적 미비점으로 인해 국내 대리인 제도가 형식적으로 운영되는 사례가 많다는 지적이 지속적으로 제기됐다.

게다가 국내 대리인의 지정 요건이 명확하지 않아 다수의 해외 사업자가 동일한 주소지에서 형식적으로 국내 대리인을 운영하는 문제가 발생했고, 국내 대리인이 관리·감독 의무를 소홀히 하거나 개인정보처리방침에 필수 정보를 기재하지 않아도 실질적인 제재가 어려운 상황이었다.

이러한 지적에 따라 개인정보위는 지난 2023년 5월부터 7월까지 33개 글로벌 사업자의 국내 대리인 운영 실태를 점검했다. 그 결과, 텐센트클라우드, 힐튼, 하얏트 등 15개 사업자가 '국내 대리인 운영 미흡'으로 적발돼 제재를 받은 바 있다. 이들 사업자는 국내 대리인 정보를 개인정보처리방침에 제대로 기재하지 않거나, 민원 응대를 ARS 시스템에 맡기는 등 이용자 보호 의무를 다하지 않은 것으로 확인됐다.


☞공감언론 뉴시스 chewoo@newsis.com