국내대리인 지정 제도
국내대리인 지정 제도는 국내에 주소 또는 영업소가 없는 해외사업자 등이 국내 이용자 또는 정보주체와 관련된 법적 의무를 이행할 수 있도록 국내에 대리인을 지정하게 하는 제도이다. 개인정보보호 분야에서는 해외사업자의 개인정보 보호 책임을 실질화하고, 국내 정보주체의 권리 행사와 피해 구제를 원활하게 하기 위한 장치로 기능한다.
국내대리인 지정 제도는 국내에 물리적 사업장이 없거나 국내에서 직접 대응하기 어려운 해외사업자에게 국내 연락·대응 창구를 두도록 하는 제도이다.
개인정보보호 분야에서는 개인정보 보호법상 일정 요건에 해당하는 해외 개인정보처리자가 국내대리인을 지정해야 한다. 국내대리인은 정보주체의 권리 행사, 개인정보 관련 불만 처리, 피해 구제, 자료 제출 요구 대응 등에서 해외사업자를 대신하여 국내에서 대응하는 역할을 수행한다.
이 제도는 글로벌 온라인 서비스 이용이 확대되면서 해외사업자가 국내 이용자의 개인정보를 대규모로 처리하는 경우가 늘어난 데 따라 도입·강화되었다. 해외사업자가 국내에 주소나 영업소가 없더라도 국내 정보주체의 권리 보호와 규제 집행을 가능하게 하는 것이 핵심 취지이다.
국내대리인 지정 제도가 필요한 배경은 다음과 같다.
- 해외사업자가 국내 이용자의 개인정보를 대규모로 처리하는 경우 증가
- 해외사업자에 대한 국내 정보주체의 권리 행사 어려움
- 개인정보 침해 사고 발생 시 연락과 피해 구제의 어려움
- 국내 감독기관의 자료 제출 요구와 조사 집행의 어려움
- 형식적 국내 연락처만 두고 실질적 책임을 회피하는 문제
- 국내 이용자 보호와 해외사업자 규제 집행력 확보 필요성
개인정보보호 분야의 국내대리인 지정 제도는 주로 다음 법령과 관련된다.
- 개인정보 보호법 제31조의2(국내대리인의 지정)
- 개인정보 보호법 시행령 제32조의3(국내대리인 지정 대상자의 범위 등)
- 개인정보 보호법 제30조(개인정보 처리방침의 수립 및 공개)
- 개인정보 보호법 제31조(개인정보 보호책임자의 지정)
- 개인정보 보호법 제63조(자료제출 요구 및 검사)
- 개인정보 보호법 제75조(과태료)
개인정보 보호법상 국내대리인 지정 대상은 국내에 주소 또는 영업소가 없는 개인정보처리자 중 일정 요건에 해당하는 자이다.
시행령상 대표적인 기준은 다음과 같다.
| 구분 | 내용 |
|---|---|
| 매출액 기준 | 전년도 전체 매출액이 1조원 이상인 자 |
| 정보주체 수 기준 | 전년도 말 기준 직전 3개월 간 개인정보가 저장·관리되고 있는 국내 정보주체 수가 일일평균 100만명 이상인 자 |
| 보호위원회 판단 기준 | 자료 제출을 요구받은 자로서 국내대리인을 지정할 필요가 있다고 개인정보보호위원회가 심의·의결한 자 |
매출액 기준은 외국 통화로 산정된 경우 전년도 평균환율을 적용하여 원화로 환산한다.
국내대리인은 국내에 주소 또는 영업소가 있어야 한다.
개정된 개인정보 보호법 체계에서는 국내대리인 지정 대상 해외 개인정보처리자가 다음과 같은 국내 법인을 가지고 있는 경우, 그 법인 중에서 국내대리인을 지정해야 한다.
- 해당 개인정보처리자가 설립한 국내 법인
- 해당 개인정보처리자가 임원 구성이나 사업 운영 등에 지배적인 영향력을 행사하는 국내 법인
시행령상 지배적인 영향력을 행사하는 국내 법인의 예는 다음과 같다.
- 해당 개인정보처리자가 대표이사를 임면하거나 임원의 50% 이상을 선임하거나 선임할 수 있는 법인
- 해당 개인정보처리자가 발행주식총수 또는 출자총액의 30% 이상을 출자한 법인
이는 해외사업자가 국내 법인을 두고 있음에도 별도의 형식적 대리인을 지정하여 책임을 회피하는 문제를 줄이기 위한 취지이다.
국내대리인은 해외 개인정보처리자를 대신하여 개인정보 보호 관련 업무를 수행한다.
대표적인 역할은 다음과 같다.
- 개인정보 처리와 관련한 불만 처리
- 정보주체 피해 구제 지원
- 개인정보 보호 관련 문의 대응
- 개인정보 유출 통지·신고 등 대응 지원
- 감독기관의 자료 제출 요구 대응
- 개인정보 처리방침에 공개된 연락 창구 역할
- 해외 개인정보처리자와 국내 정보주체 또는 감독기관 사이의 연락 창구 역할
국내대리인을 지정한 경우 국내대리인에 관한 사항을 개인정보 처리방침에 포함해야 한다.
일반적으로 포함해야 하는 정보는 다음과 같다.
- 국내대리인의 성명
- 법인인 경우 법인의 명칭과 대표자 성명
- 국내대리인의 주소
- 전화번호
- 전자우편 주소
개인정보 처리방침에 국내대리인 정보를 명확히 공개해야 정보주체가 권리 행사나 문의를 할 수 있다.
국내대리인을 지정한 개인정보처리자는 국내대리인이 업무를 충실히 수행하도록 관리·감독해야 한다.
관리·감독 의무에는 다음과 같은 활동이 포함될 수 있다.
- 국내대리인의 업무 수행 현황 점검
- 국내대리인에 대한 교육
- 업무 수행 계획 수립 여부 확인
- 개인정보 관련 문의와 불만 처리 현황 확인
- 감독기관 요청 대응 현황 확인
- 미흡 사항에 대한 개선 조치 확인
이 의무는 국내대리인을 형식적으로만 지정하는 것을 방지하고, 실제 대응 기능을 수행하도록 하기 위한 것이다.
국내대리인 지정 절차는 일반적으로 다음과 같이 정리할 수 있다.
- 해외사업자가 국내대리인 지정 대상에 해당하는지 검토한다.
- 국내에 주소 또는 영업소가 있는 대리인 후보를 확인한다.
- 국내 법인 지정 의무가 있는 경우 해당 국내 법인 중에서 지정한다.
- 국내대리인의 역할과 책임을 문서로 정한다.
- 국내대리인 정보를 개인정보 처리방침에 반영한다.
- 국내대리인 업무 수행을 교육·점검한다.
- 정보주체 문의와 감독기관 요구에 대응할 수 있도록 운영한다.
국내대리인 지정 의무를 위반하거나 국내대리인 관련 사항을 개인정보 처리방침에 포함하지 않는 경우 과태료 부과 대상이 될 수 있다.
개인정보 보호법상 국내대리인 관련 제재는 다음과 같은 유형으로 정리할 수 있다.
| 위반 유형 | 제재 성격 |
|---|---|
| 국내대리인 지정 의무 위반 | 과태료 부과 대상 |
| 국내 법인 지정 의무 위반 | 과태료 부과 대상 |
| 국내대리인 관리·감독 의무 위반 | 과태료 부과 대상 |
| 개인정보 처리방침에 국내대리인 정보 미기재 | 과태료 부과 대상 |
국내대리인 지정 제도의 의의는 다음과 같다.
- 해외사업자의 개인정보 보호 책임 강화
- 국내 정보주체의 권리 행사 편의성 제고
- 개인정보 침해 사고 발생 시 신속한 연락 창구 확보
- 감독기관의 조사와 자료 제출 요구에 대한 집행력 강화
- 해외사업자의 형식적 대응 방지
- 국내 이용자 보호 수준 향상
국내대리인 지정 제도에는 다음과 같은 한계도 있다.
- 국내대리인이 실제 의사결정 권한을 가지지 못할 수 있음
- 해외 본사의 협조가 부족하면 실효성이 낮아질 수 있음
- 형식적 연락 창구로 운영될 위험
- 다국적 기업의 지배 구조가 복잡한 경우 지정 대상 판단이 어려움
- 분야별 법령마다 국내대리인 제도의 요건과 역할이 다를 수 있음
개인정보 보호법상 국내대리인은 해외 개인정보처리자의 개인정보 보호 책임과 정보주체 권리 보호를 위해 지정된다.
핵심 목적은 다음과 같다.
- 개인정보 관련 불만 처리
- 피해 구제
- 감독기관 대응
- 국내 정보주체와의 연락 창구 확보
정보통신망법에도 국내대리인 관련 규정이 존재한다. 다만 개인정보 보호 분야의 일반 규율이 개인정보 보호법으로 통합·이관되면서, 각 법령상 국내대리인 제도의 적용 대상과 대리 업무는 구체적으로 구분해서 보아야 한다.
전기통신사업법에도 일정 기준에 해당하는 국외 부가통신사업자에 대한 국내대리인 지정 규정이 있다.
전기통신사업법상 국내대리인은 주로 부가통신사업자의 이용자 보호, 자료 제출, 불법촬영물 등 유통방지, 서비스 안정성 확보 등 통신서비스 규제 영역과 관련된다.
전자상거래 분야에서도 해외사업자에 대한 국내대리인 지정 제도가 논의·도입될 수 있다. 이 경우 소비자 보호, 자료 제출, 표시·광고, 분쟁 대응 등의 측면에서 국내대리인 제도가 활용될 수 있다.
| 구분 | 국내대리인 | 개인정보 보호책임자 |
|---|---|---|
| 위치 | 국내에 주소 또는 영업소가 있는 대리인 | 개인정보처리자 내부의 개인정보 보호 책임자 |
| 주요 역할 | 해외사업자를 대신하여 국내 대응 창구 역할 수행 | 개인정보 처리 업무 총괄 및 보호조치 관리 |
| 지정 취지 | 국내 정보주체 권리 보호와 감독기관 대응 | 개인정보처리자의 내부 책임체계 확보 |
| 적용 맥락 | 주로 국내 사업장이 없는 해외사업자 | 개인정보처리자 일반 |
| 구분 | 국내대리인 | 현지 법인 |
|---|---|---|
| 의미 | 법령상 국내 대응 업무를 수행하도록 지정된 자 | 해외사업자가 국내에 설립하거나 지배하는 법인 |
| 역할 | 정보주체 문의, 피해 구제, 자료 제출 대응 등 | 영업, 마케팅, 서비스 운영, 고객지원 등 다양 |
| 관계 | 일정 요건에서는 현지 법인 중에서 국내대리인을 지정해야 함 | 국내대리인 후보가 될 수 있음 |
| 구분 | 국내대리인 | 단순 연락처 |
|---|---|---|
| 법적 성격 | 법령상 지정 의무에 따른 대리인 | 문의 대응을 위한 일반 연락 창구 |
| 공개 의무 | 개인정보 처리방침 등에 공개 필요 | 법령상 국내대리인 정보가 아닐 수 있음 |
| 책임 수준 | 법령상 대리 업무 수행 | 단순 고객지원 또는 안내 기능 |
국내대리인 지정 여부를 검토할 때는 다음 사항을 확인한다.
- 국내에 주소 또는 영업소가 없는 개인정보처리자인가
- 국내 정보주체의 개인정보를 처리하는가
- 전년도 전체 매출액 기준을 충족하는가
- 국내 정보주체 수 기준을 충족하는가
- 개인정보보호위원회의 심의·의결 대상인가
- 국내에 설립한 법인이 있는가
- 국내에 지배적인 영향력을 행사하는 법인이 있는가
- 지정한 국내대리인이 실제 업무 수행 능력을 갖추었는가
- 개인정보 처리방침에 국내대리인 정보가 포함되어 있는가
- 국내대리인 교육과 점검이 이루어지고 있는가
- 정보주체 문의와 피해 구제 절차가 운영되고 있는가
- 감독기관의 자료 제출 요구에 대응할 체계가 있는가
국내대리인 지정 제도는 해외사업자의 국내 개인정보보호 컴플라이언스 체계에서 중요한 항목이다.
특히 다음 영역과 함께 검토해야 한다.
예를 들어 해외 온라인 플랫폼 사업자가 국내 이용자에게 한국어 서비스를 제공하고, 국내 이용자 개인정보를 대규모로 처리한다고 하자. 이 사업자가 국내에 주소나 영업소가 없고 시행령상 매출액 또는 국내 정보주체 수 기준을 충족한다면 국내대리인 지정 대상이 될 수 있다.
이 경우 해당 사업자가 국내 자회사를 설립했거나 국내 법인에 지배적인 영향력을 행사하고 있다면, 그 국내 법인 중에서 국내대리인을 지정해야 할 수 있다.
국내대리인 지정 제도는 단순히 대리인을 하나 두는 절차가 아니라, 해외사업자의 국내 법적 책임을 실질화하기 위한 제도라는 점이 중요하다.
학습할 때는 다음을 구분해야 한다.
- 국내대리인 지정 대상자
- 국내대리인의 자격
- 국내 법인 중 지정해야 하는 경우
- 국내대리인의 대리 업무
- 개인정보 처리방침 공개 의무
- 관리·감독 의무
- 위반 시 제재
- 개인정보 보호법상 제도와 다른 법령상 제도의 차이
- 국내대리인 지정 제도는 국내에 주소 또는 영업소가 없는 해외사업자의 국내 대응 창구를 확보하기 위한 제도이다.
- 개인정보보호 분야에서는 국내 정보주체의 권리 행사와 피해 구제를 실질화하는 것이 핵심 취지이다.
- 개인정보 보호법상 일정 기준에 해당하는 해외 개인정보처리자는 국내대리인을 지정해야 한다.
- 국내대리인은 국내에 주소 또는 영업소가 있어야 한다.
- 국내 법인이 있는 경우에는 일정 요건에 따라 해당 국내 법인 중에서 국내대리인을 지정해야 한다.
- 국내대리인 정보는 개인정보 처리방침에 포함되어야 한다.
- 국내대리인을 지정한 개인정보처리자는 국내대리인을 교육·점검하는 등 관리·감독해야 한다.
- 국내대리인 지정 의무 위반, 관리·감독 의무 위반, 처리방침 미기재는 과태료 부과 대상이 될 수 있다.
- 국내대리인 제도는 개인정보 보호법, 정보통신망법, 전기통신사업법 등 분야별 법령에서 각각 다른 맥락으로 규정될 수 있다.
- 개인정보 보호법
- 개인정보 보호법 시행령
- 개인정보처리자
- 개인정보 보호책임자
- 개인정보 처리방침
- 개인정보 국외이전
- 정보주체 권리
- 개인정보 유출 통지
- 개인정보보호위원회
- 정보통신망법
- 전기통신사업법
- 컴플라이언스
- 정보보호
- 「개인정보 보호법」 제31조의2(국내대리인의 지정)
- 「개인정보 보호법 시행령」 제32조의3(국내대리인 지정 대상자의 범위 등)
- 개인정보보호위원회, 해외사업자의 국내대리인 제도를 강화하는 개인정보 보호법 개정 관련 보도자료.
- 개인정보보호위원회, 해외사업자의 개인정보 보호법 적용 안내서.
- 개인정보보호위원회, 국내대리인 지정제도 안내서.
