한국 정보주체를 대상으로 재화나 서비스를 제공하거나, 그 영향이 한국 이용자에게 미치는 경우 등은 개인정보보호법 적용 판단 대상이 됩니다.

개인정보보호위원회는 해외사업자에 대하여 국제법상 한국 법률이 적용되는 일반적인 원칙과 함께 1) 한국 정보주체 대상 재화 또는 서비스 제공 여부, 2) 한국인 또는 한국 정보주체에게 미치는 여향, 3) 한국 영도 내 사업장 존재 여부 등을 고려하여 개인정보보호법 적용 여부를 판단합니다.

개인정보 유출을 알게 되면 72시간 내 정보주체에게 알려야 하며, 아래와 같은 사항에 해당되는 경우에는 개인정보보호위원회 또는 한국인터넷진흥원(KISA)에 72시간 내 신고를 하여야 합니다.

1) 1천명 이상 유출

2) 민감정보/고유식별정보 유출

3) 외부 불법접근으로 인한 유출

유출 사실만 먼저 파악돼도 우선 통지·신고 후, 추가 확인 내용은 즉시 보완하여야 합니다.

※ 국가별로 시스템을 분리 운영하지 않는다면, 규모가 확정되지 않아도 한국 정보주체 유출 가능성만으로도 통지·신고 의무가 성립할 수 있습니다.

해외 사업자중 전년도 매출 1조원 이상 또는 직전 3개월 평균 국내 정보주체 100만명 이상 보유, 또는 개인정보보호위원회가 필요하다고 의결한 자는 국내대리인을 문서로 지정해야 합니다.

개인정보 처리의 투명성을 높이고 정보주체의 권리를 보장하기 위해서 개인정보 처리방침을 공개하여야 합니다. 또한, 정보주체의 권리 보장을 위해서 열람, 정정, 삭제, 처리정지 요구 절차는 수집 방법보다 어렵지 않게하여야 하며, 가급적 한국어로 앱/웹/이메일/전화 등 쉽게 행사 가능하다록 구성하여야 합니다. 요구 접수 후 10영업일 내에 처리하는것이 원칙입니다. 정정 삭제 요청을 받으면 지체없이 조사 조치하고, 결과 통지를 합니다. 10일내 조치 또는 거부 사유를 통지할 의무가 있습니다.

14세 미만 아동의 개인정보를 처리하는 경우, 법정대리인의 동의를 받도록 하고 있으며, 그 동의 여부를 확인하도록 규정하고 있습니다.

개인정보의 국외이전에 대해서는 개인정보보호법은 원칙적으로 금지하고 있지만, 국외이전 별도 동의를 받거나 법률 또는 조약 등 특별한 규정이 있는 경우, 계약 체결, 이행을 위해 위탁 보관이 필요한 경우, 개인정보보호 고시 인증을 취득하거나 개인정보보호위원회가 인정하는 동등 수준의 보호체계 국가로의 이전은 가능합니다.

실무상, 직원 개인정보처리 과정에서도 의도치 않은 국외 이전이 생길수 있으므로 데이터 흐름 점검이 중요합니다.

정보주체는 해외사업자가 개인정보보호법을 위반한 행위로 개인정보가 유출되는 등 손해를 입으면 해외 사업자에게 손해배상을 청구할 수 있습니다.

출처 : 개인정보보호위원회, 「해외사업자 개인정보 보호법 적용 안내서」 2024. 4.