[단독]개인정보 유출 3분의 1이 외국기업인데…국내 대리인 지정은 허술

지난해 12월 3일 서울 송파구 쿠팡 본사 앞에서 참여연대 등 시민단체들이 쿠팡의 개인정보 유출 사태를 규탄하며 퍼포먼스를 하고 있다. 연합뉴스

최근 5년 9개월간 유출된 개인정보 건수의 3분의 1이 외국기업에서 발생한 것으로 나타났다. 하지만 외국기업 책임을 묻기 위한 국내 대리인 지정은 허술하게 관리되고 있어, 실효성을 높일 대책이 필요하다는 지적이 나온다.

5일 국회 정무위원회 소속 손명수 더불어민주당 의원이 개인정보보호위원회로부터 제출받은 자료를 보면, 2021년부터 지난달까지 5년 9개월간 국내외 기업·기관 641곳에서 개인정보 1억3963만7474건이 유출됐다. 이중 외국기업은 기업 수로 따지면 6.9%(44곳)에 불과했지만 유출된 개인정보 건수로 따지면 33.4%(4655만2341건)을 차지했다.

쿠팡 3322만2472건, 맥도날드 487만6106건, 루이비통 361만8001건, 크리스찬디올 194만7940건, SITA 164만4181건, 몽클레르 42만9718건, 캔바 23만6775건 등이다. 해당 기간 개인정보 유출로 국내외 기업·기관에 부과된 과징금 총 7566억1766만원 중 64.2%(4855억1715만원)이 외국기업에 부과된 사례였다. 외국기업 20곳은 법정 기한 내에 이용자나 정부에 개인정보 유출 사실을 알리지 않아 제재를 받았다.

외국기업의 경우 개인정보 유출 책임을 묻기 어렵다는 지적이 나오자 국내 법인이 있는 경우 국내 법인을 반드시 대리인으로 지정하도록 지난해 법이 개정됐다. 하지만 외국기업이 국내 대리인 지정·변경 사실 등을 의무적으로 개보위에 신고하거나, 개보위가 정기적으로 지정 현황을 전수조사하는 제도는 마련돼있지 않다. 특히 국내 대리인이 지정돼있더라도 연락이 되는지 등 운영실태에 대한 점검 역시 제대로 이뤄지지 않고 있다.

이 때문에 개보위는 지난해 외국기업 50곳을 점검해 구글·메타·마이크로소프트·오픈AI 등 16곳이 부적정 지정이라는 점을 밝혀내고 경과조치를 했다. 하지만 이후 기업들이 시정을 했는지, 어떻게 운영하고 있는지를 추가 확인하지는 못한 것으로 전해졌다. 개보위는 “해당 경과조치가 만료돼 개인정보 처리실태 모니터링 사업의 일환으로 국내 대리인 지정 현황 현행화(현재 상태에 맞춤) 및 국내 대리인 운영실태 점검을 추진 중에 있다”고 밝혔다. 개보위는 사업자별 매출액과 국내 법인 유무 등을 기준으로 국내 대리인 지정을 점검할 외국기업 200여곳을 추리고 있다.

손 의원은 외국기업의 국내 대리인이 지정·변경·종료 사실, 연락처 등을 개보위에 의무적으로 신고하고 개보위가 시정명령을 내릴 수 있도록 한 개인정보보호법 개정안을 지난달 21일 대표발의했다. 개정안에선 외국기업이 신고의무를 어기거나 대리인 변경 명령에 불응하면 2000만원 이하의 과태료도 부과할 수 있게 했다.

손 의원은 “해외 빅테크와 글로벌 기업에서 국민의 개인정보가 4600만건 넘게 유출되는 동안 국내 피해 구제 창구인 대리인 제도는 정부조차 실시간 현황을 모르는 ‘깜깜이 창구’로 방치돼있었다”며 “외국기업들이 ‘유령 대리인’ 뒤에 숨어 법적 책임을 회피하지 못하도록 실효성 있는 체계를 확립해야 한다”고 했다.