해외 기업 정보유출, 국내법으로 처벌한 근거와 사례
개인정보보호위원회가 디지털성범죄 피해자 정보 노출을 이유로 9월 7일 구글 조사에 착수했지만, 위반 여부와 처분은 아직 조사 단계에 있다. 개인정보보호법에 명시적 역외적용 조항은 없어도 한국 이용자를 대상으로 한 서비스면 법이 적용되며, 구글·메타는 이미 약 1000억원 과징금을 받고 2025년 법원에서도 처분이 적법하다는 판단이 나왔다. 이용자는 118 신고, 분쟁조정, 300만원 한도의 법정손해배상 등으로 직접 대응할 수 있다.
구글 조사, 무엇을 문제 삼나
개인정보보호위원회가 9월 7일 구글에 대한 조사에 착수했다고 11일 밝혔다. 구글에 접수된 디지털성범죄물 삭제 요청 정보가 외부 웹사이트에 노출됐다는 보도가 계기였다. 삭제를 요청한 사람은 성범죄 피해자이므로, 이 정보가 밖으로 드러나면 곧바로 2차 피해로 이어질 수 있는 민감정보다.
개인정보위가 들여다보는 핵심은 두 가지다. 구글이 이 정보를 제3자인 외부 웹사이트 운영기관에 넘길 때 적법한 처리 근거를 갖췄는지, 그리고 민감정보를 전달하면서 동의 절차를 지켰는지다. 조사 대상은 구글과 그 외부 운영기관 양쪽이다. 개인정보위는 급히 삭제·차단이 필요한 부분이 확인되면 즉시 시정을 요구하겠다고 했다.
여기서 짚을 점은, 이건 아직 '조사 착수' 단계라는 것이다. 위반 여부와 처분은 조사가 끝나야 나온다. 그럼에도 이용자가 궁금한 건 그 앞의 질문이다. 애초에 미국 회사인 구글에 한국 법을 들이댈 수 있느냐는 것이다.
해외 기업에 국내법이 적용되는 근거
Sarah Blocksidge
결론부터 말하면, 적용된다. 다만 그 근거는 생각보다 단순하지 않다.
개인정보보호법에는 유럽 GDPR 같은 명시적인 역외적용 조항이 없다. 공정거래법이나 옛 정보통신망법에는 국외 행위에도 법을 적용한다는 규정이 들어갔지만, 개인정보보호법은 그 조문을 두지 않았다. 그래서 적용 근거는 '국내 이용자를 대상으로 한 서비스인가'라는 실질에서 나온다.
개인정보위는 2024년 4월 해외사업자를 위한 법 적용 안내서를 내면서 기준을 제시했다. 한국어로 서비스를 제공하거나, 서비스 대상 국가에 한국을 명시하거나, 한국 이용자 전용 상담 창구를 두는 경우 등이 여기 해당한다. 국내에 주소나 영업소가 없어도 일정 규모 이상인 국외 사업자에게는 국내대리인을 지정하도록 의무를 지운다. 국내 이용자의 고충 처리와 규제 집행을 위한 장치다. 구글처럼 한국에서 한국어로 서비스하는 사업자는 이 틀 안에 들어온다.
실제 제재로 이어진 사례
근거만 있고 집행이 없으면 종이 규정이다. 하지만 국내법 적용은 이미 큰 액수의 처분과 법원 판결로 확인됐다.
| 대상 | 위반 내용 | 처분 |
|---|---|---|
| 구글 | 동의 없는 맞춤형 광고용 정보 수집 | 과징금 629억원 |
| 메타 | 동의 없는 맞춤형 광고용 정보 수집 | 과징금 308억원 |
| 페이스북·넷플릭스 등 | 얼굴정보 무단 수집 등 | 과징금 66억원대 |
개인정보위는 2022년 9월 구글과 메타에 합계 약 1000억원의 과징금과 시정명령을 내렸다. 두 회사는 처분을 취소해 달라며 행정소송을 냈지만, 서울행정법원은 2025년 1월 개인정보위의 처분이 적법하다고 판단했다. 행정기관의 제재를 사법부가 한 번 더 확인해 준 셈이다. 이번 구글 조사도 같은 법적 토대 위에 있다. 사안의 성격은 다르지만, 해외 기업이라는 이유로 조사와 처분을 피할 수 있는 구조가 아니라는 점은 분명하다.
이용자가 지금 할 수 있는 절차
내 정보가 유출됐다고 판단되면 이용자가 직접 밟을 수 있는 절차가 있다.
가장 먼저는 신고다. 개인정보침해신고센터(국번 없이 118)에서 상담과 신고를 받는다. 접수와 조사 지원은 한국인터넷진흥원(KISA)이 맡는다. 개인정보위의 조사와 별개로, 개인 차원의 문제 제기 창구다.
다음은 분쟁조정이다. 소송이 부담스러우면 개인정보 분쟁조정위원회에 조정을 신청할 수 있다. 2023년 법 개정으로 일정 규모 이상 기업은 이 조정 절차에 의무적으로 참여해야 한다. 상대가 대형 사업자라도 협상 테이블에 앉힐 수 있다는 뜻이다.
손해배상은 두 갈래다. 하나는 법정손해배상으로, 피해자가 구체적 손해액을 입증하지 못해도 법원이 300만원 한도 안에서 배상액을 정할 수 있다. 다른 하나는 일반 손해배상 청구 소송으로, 피해가 크고 입증이 가능하면 이 길로 간다. 정리하면 이렇다. 상황이 급하면 118 신고와 삭제 요청이 먼저이고, 배상을 원한다면 분쟁조정과 법정손해배상을 검토하는 순서가 현실적이다.