개인정보보호법 개정 시행(‘25.10.2.)을 앞두고 해외 사업자들의 국내 개인정보 보호 의무 준수 여부가 본격적으로 점검되고 있다. 이는 국내 이용자들의 개인정보 자기결정권을 실질적으로 보장하고, 침해 사고 발생 시 신속한 조사 및 협조 체계를 구축하려는 정부의 움직임과 맥을 같이 한다. 최근 개인정보보호위원회(이하 개인정보위)가 진행한 해외사업자 국내대리인 지정 현황 점검은 이러한 거시적인 흐름 속에서 개별 기업의 책임 강화 필요성을 시사한다.
이번 개인정보위의 점검은 개정된 개인정보 보호법에 따라 해외 사업자가 국내 법인을 국내대리인으로 지정하도록 의무화하는 내용을 골자로 한다. 기존의 국내대리인 제도는 정보통신망법에 따라 2019년 3월 도입되었으며, 국내에 주소나 영업소가 없는 일정 규모 이상의 해외 사업자를 대상으로 했다. 그러나 이번 개정은 특히 국내 설립 법인이 있는 경우 해당 법인을 대리인으로 지정하도록 요건을 구체화하고, 대리인의 업무 범위를 불만 처리 및 피해 구제로 명확히 했으며, 본사의 관리·감독 의무를 신설했다는 점에서 큰 의미를 지닌다. 또한, 지정 요건 미준수 및 관리·감독 소홀 시 과태료 부과 규정을 신설함으로써 법규 준수력 강화에 대한 의지를 분명히 하고 있다.
점검 결과, 알리익스프레스, 테무, 에어비엔비, 비와이디(BYD), 오라클 등 일부 해외 사업자들은 이미 설립된 국내 법인을 국내대리인으로 지정하여 법적 요건을 충족하고 있는 것으로 확인되었다. 이는 해당 기업들이 국내 시장에서의 사업 확장과 더불어 법규 준수의 중요성을 인지하고 적극적으로 대응하고 있음을 보여준다. 하지만 구글, 메타, 오픈AI, 로보락, 쉬인 등 16개 사업자는 국내 법인이 존재함에도 불구하고 법무법인이나 별도 법인을 국내대리인으로 지정하여, 향후 6개월 이내인 2025년 10월 2일 이후부터 국내 법인으로의 변경이 필요한 상황이다. 개인정보위는 이들 사업자에 대한 변경 안내 및 조치 결과를 확인할 예정이며, 국내 법인이 있음에도 아직 국내대리인을 지정하지 않은 사업자에 대한 지속적인 확인과 지정을 유도할 방침이다.
이번 개인정보위의 조치는 강화되는 글로벌 개인정보보호 규제 환경 속에서 국내 이용자의 권익 보호를 더욱 실질화하려는 노력의 일환이다. 국내 주소나 영업소가 없는 해외 사업자로 인해 발생할 수 있는 이용자 불만 처리 및 피해 구제의 어려움을 해소하고, 정보통신망법 시행 초기보다 한층 강화된 법적 의무를 부과함으로써 해외 사업자들 또한 국내 이용자의 개인정보 보호 권리를 충실히 지키도록 유도하는 데 목적이 있다. 이러한 동향은 점차 강화될 개인정보보호 규제에 대한 업계 전반의 경각심을 높이고, 글로벌 사업자들의 책임 있는 개인정보 관리 및 데이터 거버넌스 구축을 촉진하는 계기가 될 것으로 전망된다.
