국문 KR 영문 EN

한국에 별도 법인을 두지 않고 해외에서 직접 SaaS, 플랫폼, 이커머스, AI 서비스 등을 제공하더라도 한국 이용자의 개인정보를 처리한다면 국내 「개인정보 보호법」이 적용될 수 있습니다.

특히 일정한 기준에 해당하는 해외사업자는 국내대리인을 지정해야 합니다.

2025년 10월 2일부터는 해외사업자가 설립하거나 지배적인 영향력을 행사하는 일정한 국내 법인이 있는 경우 해당 법인 중에서 국내대리인을 지정해야 하고, 해외 본사에는 국내대리인에 대한 관리·감독 의무도 부과​됩니다.
 

1. 해외사업자도 한국 개인정보보호법을 적용받을 수 있나요?

해외사업자라도 한국 정보주체를 대상으로 서비스를 제공하거나 개인정보 처리가 한국 정보주체에게 영향을 미치는 경우 국내 「개인정보 보호법」이 적용될 수 있습니다.

따라서 한국 법인이 없거나 개인정보를 처리하는 서버가 해외에 있다는 이유만으로 국내 개인정보보호 규제에서 당연히 제외되는 것은 아닙니다.

해외 SaaS, 온라인 플랫폼, AI 서비스, 게임, 콘텐츠, 이커머스 사업자 등이 한국 이용자의 회원정보·결제정보·접속정보 등을 처리한다면 국내법 적용 여부를 함께 검토할 필요가 있습니다.

개인정보보호위원회도 해외사업자가 국내 서비스를 운영할 때 개인정보 유출 신고, 개인정보 처리방침, 정보주체 권리보장, 국내대리인 지정 등 국내 개인정보보호 규정을 확인하도록 안내하고 있습니다.

[개인정보보호위원회 해외사업자 개인정보 보호법 안내]
 

2. 어떤 해외사업자가 국내대리인을 지정해야 하나요?

모든 해외사업자가 국내대리인을 지정해야 하는 것은 아닙니다.

「개인정보 보호법」 제31조의2 및 같은 법 시행령 제32조의3에 따라 국내에 주소 또는 영업소가 없는 개인정보처리자 중 다음 어느 하나에 해당하는 경우 국내대리인을 지정해야 합니다.

🔹국내대리인 지정 대상

매출액 기준은 한국에서 발생한 매출액만을 의미하는 것이 아니라 해외사업자의 전년도 전체 매출액을 기준으로 합니다.

따라서 글로벌 사업자는 국내 매출 규모가 작다는 이유만으로 국내대리인 지정 대상이 아니라고 판단하기보다 전체 매출액과 국내 이용자 규모를 함께 확인해야 합니다.

[「개인정보 보호법」 제31조의2]

[「개인정보 보호법 시행령」 제32조의3]
 

3. 한국에 법인이 있으면 해당 법인을 국내대리인으로 지정해야 하나요?

국내대리인 지정 대상인 해외사업자에게 법에서 정한 국내 법인이 존재한다면 해당 법인 중에서 국내대리인을 지정해야 합니다.

2025년 10월 2일부터 시행된 개정 「개인정보 보호법」은 해외사업자가 설립한 국내 법인 또는 지배적인 영향력을 행사하는 국내 법인이 있는 경우 그 법인 중에서 국내대리인을 지정하도록 규정하고 있습니다.

시행령에서는 해외사업자가 다음과 같은 영향력을 행사하는 국내 법인을 그 대상으로 구체화하고 있습니다.

• 해외사업자가 설립한 국내 법인
• 해외사업자가 대표이사를 임면하는 국내 법인
• 해외사업자가 임원의 50% 이상을 선임하거나 선임할 수 있는 국내 법인
• 해외사업자가 발행주식총수 또는 출자총액의 30% 이상을 출자한 국내 법인

따라서 국내대리인 지정 대상인 해외사업자가 국내 자회사 또는 관계회사를 보유하고 있다면 기업 지배구조와 지분관계를 기준으로 어느 국내 법인을 지정해야 하는지 먼저 확인할 필요가 있습니다.

개정법 시행 당시 기존 국내대리인을 두고 있던 사업자에게 부여된 6개월의 경과기간도 현재는 종료된 상태입니다.

[「개인정보 보호법」 제31조의2]

 

4. 국내대리인은 어떤 업무를 담당하나요?

국내대리인은 해외사업자의 단순한 국내 연락처가 아니라 개인정보보호법에서 정한 업무를 실제 수행해야 합니다.

국내대리인은 다음 업무를 대리합니다.

• 개인정보 처리와 관련한 불만 처리 및 피해구제
• 개인정보 유출 등의 통지 및 신고
• 개인정보보호위원회의 물품·서류 등 자료제출 요구에 대한 대응

국내대리인을 지정한 경우에는 국내대리인의 명칭과 대표자 성명, 주소, 전화번호 및 전자우편 주소 등도 개인정보 처리방침에 포함해야 합니다.

개인정보보호위원회 역시 국내대리인 제도가 해외사업자의 국내 정보주체 피해구제와 개인정보 보호를 실질적으로 확보하기 위한 제도임을 강조하고 있습니다.

따라서 지정 문서만 작성해 두기보다 국내 이용자의 요청이나 개인정보보호위원회의 조사·자료제출 요구가 발생했을 때 실제 대응할 수 있는 업무체계를 갖춰야 합니다.
 

5. 해외 본사의 국내대리인 관리·감독도 필요한가요?

국내대리인을 지정한 해외사업자는 국내대리인의 업무수행을 관리·감독해야 합니다.

「개인정보 보호법 시행령」은 다음과 같은 관리·감독 조치를 규정하고 있습니다.

• 국내대리인에 대한 연 1회 이상 관련 업무 교육
• 국내대리인의 업무수행 계획 수립 여부 점검
• 업무수행 계획의 이행 여부 점검
• 점검 결과 개선이 필요한 사항의 개선 여부 확인

따라서 국내대리인을 지정했다는 사실만으로 관련 의무가 모두 종료되는 것은 아닙니다.

해외 본사와 국내대리인 사이에서 개인정보 관련 민원 전달 절차, 개인정보 유출 발생 시 대응체계, 개인정보보호위원회 자료제출 요구에 필요한 자료 확보 절차 등을 사전에 정비할 필요가 있습니다.

[「개인정보 보호법 시행령」 제32조의3]
 

6. 국내대리인 지정 의무를 위반하면 어떤 제재가 있나요?

국내대리인을 지정하지 않거나 법에서 정한 지정·관리 의무를 이행하지 않으면 과태료가 부과될 수 있습니다.

🔹국내대리인 관련 주요 과태료

또한 국내대리인이 법에서 정한 대리 업무와 관련하여 「개인정보 보호법」을 위반한 경우에는 해외 개인정보처리자가 해당 행위를 한 것으로 봅니다.

따라서 국내 법인이나 외부 사업자를 국내대리인으로 지정했다고 해서 해외 본사의 개인정보보호법상 책임이 분리되는 것은 아닙니다.

「개인정보 보호법」 제75조 - 과태료
 

7. 해외사업자는 국내대리인 지정 전 무엇을 확인해야 하나요?

국내대리인 지정 여부를 판단할 때는 단순히 한국 법인의 존재 여부만 확인하기보다 해외 본사의 사업 구조와 국내 개인정보 처리 현황을 함께 검토해야 합니다.

우선 다음 사항을 확인할 수 있습니다.

• 한국 정보주체의 개인정보를 처리하고 있는지
• 해외 본사에 국내 주소 또는 영업소가 있다고 볼 수 있는지
• 전년도 전체 매출액이 지정 기준을 충족하는지
• 국내 정보주체의 개인정보 보유 규모가 어느 정도인지
• 해외 본사가 설립하거나 지배적인 영향력을 행사하는 국내 법인이 있는지
• 현재 국내대리인이 법에서 정한 업무를 수행할 수 있는지
• 개인정보 처리방침에 국내대리인 정보가 반영되어 있는지
• 본사와 국내대리인 사이의 교육·점검 체계가 마련되어 있는지

특히 여러 국내 계열회사를 보유한 글로벌 기업이라면 지분율뿐 아니라 대표이사 임면권과 임원 선임 구조까지 함께 확인해야 합니다.
 

8. 자주 묻는 질문(FAQ)

Q1. 한국 매출이 1조 원 미만이면 국내대리인을 지정하지 않아도 되나요?

반드시 그렇지는 않습니다.

매출액 기준 외에도 국내 정보주체의 개인정보를 일일평균 100만 명 이상 저장·관리하거나 개인정보보호위원회가 국내대리인 지정 필요성을 심의·의결한 경우 지정 대상이 될 수 있습니다.

Q2. 한국에 자회사가 있으면 무조건 국내대리인을 지정해야 하나요?

아닙니다.

먼저 해당 해외사업자가 「개인정보 보호법」상 국내대리인 지정 대상인지 판단해야 합니다. 지정 대상에 해당하면서 법에서 정한 국내 법인이 존재하는 경우 해당 법인 중에서 국내대리인을 지정해야 합니다.

Q3. 국내대리인을 외부 전문업체로 지정할 수 있나요?

법에서 정한 국내 법인이 없는 경우에는 국내에 주소 또는 영업소가 있는 자를 국내대리인으로 지정할 수 있습니다.

다만 해외사업자가 설립하거나 지배적인 영향력을 행사하는 국내 법인이 있다면 해당 국내 법인 중에서 지정해야 하므로 기업 구조를 먼저 확인해야 합니다.

Q4. 국내대리인을 지정하면 별도의 신고가 필요한가요?

「개인정보 보호법」은 국내대리인을 문서로 지정하고 국내대리인 관련 정보를 개인정보 처리방침에 포함하도록 규정하고 있습니다.

따라서 국내대리인 지정 문서뿐 아니라 개인정보 처리방침과 실제 업무 수행 체계를 함께 정비할 필요가 있습니다.
 

9. 해외사업자 국내대리인 지정 시 유의사항

해외사업자의 국내대리인 지정은 단순히 한국에 연락 담당자를 두는 절차로 보기 어렵습니다.

먼저 국내대리인 지정 대상인지 확인하고, 국내 자회사·관계회사가 있다면 어느 법인을 지정해야 하는지 검토해야 합니다. 지정 이후에도 개인정보 관련 민원, 유출 대응, 개인정보보호위원회 조사 등에 실제 대응할 수 있도록 본사와 국내대리인의 업무체계를 마련해야 합니다.

특히 2025년 10월 2일부터 국내법인 지정 및 관리·감독 의무가 강화된 만큼 기존에 국내대리인을 지정한 해외사업자도 현재의 지정·운영 구조가 현행 기준에 부합하는지 점검할 필요가 있습니다.