7월 24일 개인정보 보호위원회는 개인정보보호법상의 국외 이전과 관련한 규정 위반 등을 이유로 한국 정보주체의 개인정보를 처리하고 있는 Alibaba.com Singapore E-Commerce Private Limited(이하 ‘알리익스프레스’)에 과징금 19억 7,800만원과 과태료 780만원을 부과했습니다.

개인정보 보호법에서 규정하고 있는 국외 이전 절차를 위반하였다는 이유로 외국 사업자에게 과징금이 부과된 첫 번째 사례이며, 지난 2월부터 해외 전자상거래 업체들을 대상으로 개인정보 수집 및 이용 실태에 대해 조사해오고 있는 개인정보보호위원회가 다음달에는 중국 직구 플랫폼인 테무에 대한 조사결과를 발표할 것으로 예상되어  이목이 집중되고 있습니다. 또한, 개인정보 보호위원회가 개인정보를 국외로 이전하는 해외 전자상거래 업체에 대해 추가 조사를 실시할 계획을 밝힌 만큼 개인정보의 국외 이전 이슈가 업계의 화두로 떠오르고 있습니다. 

개인정보 보호법 제28조의8(개인정보의 국외 이전)은 원칙적으로 개인정보의 국외 이전(조회를 포함한 제공, 처리위탁, 보관)을 금지하면서도 예외를 두어 정보주체로부터 별도의 동의를 받은 경우 국외 이전을 할 수 있도록 하고 있으며, 이 경우 동 조 제2항에서 이전되는 개인정보 항목, 이전 국가, 시기 및 방법 등을 정보주체에게 알리도록 하고 있고, 동시에 시행령에서 명시하고 있는 안전성 확보 조치, 개인정보 침해에 대한 고충처리 및 분쟁해결에 관한 조치 등을 하도록 정하고 있습니다. 

개인정보 보호위원회는 알리익스프레스가 위와 같은 고지의무 및 보호조치 의무를 지키지 않은 것을 이유로 각각 과징금과 과태료를 부과했고, 추가로 이용자가 쉽게 권리행사를 할 수 있도록 조치할 것을 내용으로 하는 시정명령과 그 외 국내 이용자의 개인정보 보호 수준을 제고하기 위한 취지의 개선권고를 했습니다. 

개인정보 보호위원회는 이번 조사 및 처분에 관하여  해외 이커머스 사업자도 국내 이용자를 대상으로 서비스를 제공할 경우 개인정보보호법이 적용되며, 국내 사업자 수준으로 개인정보를 보호하고 관리해야 한다는 점을 명확히 하였습니다.
 

개인정보 보호법은 명시적으로 역외적용 규정을 두고 있지는 않지만 개인정보 보호위원회는 이전부터  ‘해외사업자 개인정보 보호법 적용 안내서’ 등을 통해 한국 정보주체의 개인정보를 처리하는 외국 사업자에게도 개인정보 보호법이 적용된다고 유권해석을 한 바 있습니다. 향후 개인정보 보호법 역외적용의 구체적인 범위, 이에 대한 외국 사업자의 대응을 주목할 필요가 있습니다.
 

* * *

법무법인 린 TMT팀은 개인정보보호, 핀테크, 블록체인 등 관련 분야예 대하여 종합적인 원스톱 법률서비스를 제공해 드리고 있습니다. 
법무법인 린의 뉴스레터에 게재된 내용 및 의견은 일반적인 정보제공만을 목적으로 발행된 것이며,
법무법인 린의 공식적인 견해나 법률적 의견이 아님을 알려드립니다.
상기 내용에 대해 문의사항이 있으시면 언제든지 법무법인 린 TMT팀(Tel. 02-3477-8695)에 문의해 주시기 바랍니다.