개인정보 유출 3분의 1 ‘외국기업’…국내 대리인 없어 책임 못 묻는다

기업 수 6.9%인데 건수는 ‘33.4%’
4600만건 중 쿠팡이 3322만여건
의무화·현황 조사 등 방지책 필요

최근 5년9개월간 유출된 개인정보 건수의 3분의 1이 외국 기업(본사를 해외에 둔 기업)에서 발생한 것으로 나타났다. 하지만 외국 기업 책임을 묻기 위한 국내 대리인 지정은 허술하게 관리되고 있어, 실효성을 높일 대책이 필요하다는 지적이 나온다. 5일 국회 정무위원회 손명수 더불어민주당 의원이 개인정보보호위원회에서 제출받은 자료를 보면, 2021년부터 지난달까지 5년9개월간 국내외 기업·기관 641곳에서 개인정보 1억3963만7474건이 유출됐다. 이 중 외국 기업은 기업 수로 따지면 6.9%(44곳)에 불과했지만 유출된 개인정보 건수로는 33.4%(4655만2341건)를 차지했다.

쿠팡 3322만2472건, 맥도날드 487만6106건, 루이비통 361만8001건, 크리스찬디올 194만7940건, SITA 164만4181건, 몽클레르 42만9718건, 캔바 23만6775건 등이다. 해당 기간 개인정보 유출로 국내외 기업·기관에 부과된 과징금 총 7566억1766만원 중 64.2%(4855억1715만원)가 외국 기업에 부과된 사례였다. 외국 기업 20곳은 법정 기한 내에 이용자나 정부에 개인정보 유출 사실을 알리지 않아 제재를 받았다.

외국 기업은 개인정보 유출이 발생해도 책임을 묻기 어렵다는 지적이 나오자 한국에 법인이 있는 경우 국내 법인을 반드시 ‘대리인’으로 지정토록 지난해 개인정보보호법이 개정됐다.

그러나 외국 기업이 국내 대리인 지정·변경 사실 등을 의무적으로 개보위에 신고하거나, 개보위가 정기적으로 지정 현황을 전수조사하는 제도는 마련돼 있지 않다. 특히 국내 대리인이 지정돼 있더라도 연락이 되는지 등 운영실태에 대한 점검 역시 제대로 이뤄지지 않고 있다.

이 때문에 개보위는 지난해 외국 기업 50곳을 점검해 16개 해외사업자가 국내 법인으로 대리인 변경이 필요한 것으로 확인하고 경과조치를 했다. 하지만 이후 기업들이 시정을 했는지, 어떻게 운영하고 있는지 추가 확인하지는 못한 것으로 전해졌다.

개보위는 “해당 경과조치가 만료돼 개인정보 처리실태 모니터링 사업의 일환으로 국내 대리인 지정 현황 현행화(현재 상태에 맞춤) 및 국내 대리인 운영실태 점검을 추진 중”이라고 밝혔다.

손 의원은 외국 기업의 국내 대리인이 지정·변경·종료 사실, 연락처 등을 개보위에 의무적으로 신고하고 개보위가 시정명령을 내릴 수 있도록 한 개인정보보호법 개정안을 지난달 21일 대표발의했다. 개정안에선 외국 기업이 신고의무를 어기거나 대리인 변경 명령에 불응하면 2000만원 이하 과태료도 부과할 수 있게 했다.

손 의원은 “해외 빅테크와 글로벌 기업에서 국민의 개인정보가 4600만건 넘게 유출되는 동안 국내 피해 구제의 창구인 대리인 제도는 정부조차 실시간 현황을 모르는 ‘깜깜이 창구’로 방치돼 있다”며 “외국 기업들이 ‘유령 대리인’ 뒤에 숨어 법적 책임을 회피하지 못하도록 실효성 있는 체계를 확립해야 한다”고 말했다.

이혜리 기자 lhr@kyunghyang.com