개인정보위, 내년 빅테크 '국내대리인' 제도 손본다

[아이뉴스24 김혜경 기자] 지난 6월 전기통신사업법 개정으로 국내대리인 제도가 강화되면서 외국계 기업들은 내년 5월까지 대리인을 현지 법인으로 변경해야 한다. 다만 해당 제도는 글로벌 기업의 국내 이용자 보호 책무를 강화하기 위해 마련됐지만 그동안 유명무실했다는 지적이 이어졌다.

개인정보 보호 당국도 국내대리인이 실질적으로 정보주체를 보호할 수 있도록 개인정보보호법 개정 등을 통해 실효성을 높인다는 방침이다.

29일 개인정보보호위원회에 따르면 지난 28일 발표한 '2023년 업무계획'에는 외국계 기업의 국내 대리인 제도 개선 내용이 포함됐다. 국내법인이 존재하는 글로벌 기업의 경우 해당 법인을 국내 대리인으로 지정하는 등 실질적으로 국내 이용자를 보호할 수 있도록 개선하겠다는 취지다.

국내 대리인 제도는 2019년 3월 정보통신망 이용촉진‧정보보호 등에 관한 법률(정보통신망법)상 도입됐다. 글로벌 사업자가 국내 이용자의 개인정보를 처리하는 경우가 많아지면서 이용자 보호 관련 책임이 필요하다는 취지에서 마련됐다. 그동안 정보통신망법상 규제기관이 해외 사업자에 자료 제출 등을 요구할 경우 명령 집행에 제약이 있었기 때문이다.

국내에 주소 또는 영업소가 없는 정보통신서비스 제공자 가운데 ▲전년도 매출액 1조원 이상 ▲정보통신 부문 매출액 100억원 이상 ▲전년도 말 기준 직전 3개월간 개인정보가 저장·관리되고 있는 이용자 수 일일 평균 100만명 이상 ▲정보통신망법 위반 혐의로 관련 물품과 서류를 제출하도록 요구받은 기업은 국내 대리인을 의무적으로 지정해야 한다. 지정 의무 대상자가 국내 대리인을 지정하지 않은 경우 2천만원 이하의 과태료를 부과한다.

해외 기업의 이용자 보호 책임을 강화하기 위해 마련됐지만 제도 도입 취지가 훼손되고 있다는 지적이 지속 제기됐다.

복수의 해외 사업자들이 지정한 국내대리인이 동일한 주소를 사용하거나 해당 주소에서 직원이 근무하는 모습이 확인되지 않는 등 정보주체 권리 보호와 책임을 회피하고 있다는 것. 사실상 페이퍼컴퍼니 형태로 운영되고 있다는 의혹이 주를 이뤘다.

2020년 2월부터 8월까지 개인정보위가 국내대리인을 지정해야 하는 34개 해외사업자를 대상으로 실태점검을 진행한 결과 이중 7개 해외사업자는 개인정보 처리 관련 민원을 제대로 처리하지 않거나 국내대리인의 성명·주소·연락처를 개인정보 처리방침에 포함하지 않아 개선 권고를 받은 바 있다.

국내대리인 제도의 법적 사각지대를 없애기 위해 국회도 나섰다. 지난 6월 전기통신사업법 개정안이 국회 본회의를 통과했는데 국내 법인이 존재하는 외국계 기업의 경우 해당 법인을 국내대리인으로 지정하도록 하는 내용이 핵심이다. 개정안에 해당되는 글로벌 기업들은 내년 5월 말까지 대리인을 국내 법인으로 변경해야 한다.

현재 국내대리인 제도는 정보통신망법을 비롯해 전기통신사업법, 개인정보보호법에서 규정하고 있다. 김영식 의원(국민의힘)이 대표 발의한 보호법 일부 개정안에도 국내대리인 개선 관련 내용이 포함된 바 있다.

김 의원 발의안에는 해외 사업자의 국내 법인 또는 임원 구성이나 사업운영 등에 대해 지배적인 영향력을 행사하는 국내 법인이 있는 경우 해당 법인을 국내대리인으로 지정하도록 하고 있다.

양청삼 개인정보위 조사조정국장은 앞서 열린 업무계획 사전 브리핑에서 "그동안 페이퍼컴퍼티 형태로 국내대리인을 지정하는 등 실질적인 이용자 개인정보 권리 보장이 제대로 이뤄지지 않고 있다는 지적이 많았다"며 "올해 국정감사에서도 국내대리인 지정 문제 개선을 요구하는 등 국회에서도 많은 관심을 보이고 있는 상황"이라고 말했다.

양 국장은 "국내대리인 업무 처리 범위가 상당히 넓은 것도 문제다. 이들이 정보주체 권리 보호에 집중할 수 있도록 역할을 재정립하는 작업도 필요하다"며 "현재는 대리인 지정을 하지 않은 경우에만 제재를 하고 있는데 좀 더 실효성을 높일 수 있도록 관련 규정 도입도 필요하다고 보고 있다"고 덧붙였다.

한국IT법학연구소장인 김진욱 변호사는 "실효성을 높인다는 측면에서 보자면 전기통신사업법 개정의 효과를 기대해볼 수 있을 것"이라며 "다만 국내대리인이 개인정보 보호 관련 업무를 제대로 수행하지 않을 경우 제재를 받을 수 있다는 시그널을 확실하게 줄 수 있도록 개선이 이뤄져야 한다"고 말했다.

김혜경 기자의 다른 기사 보기