해외사업자 국내대리인 지정 의무, 개인정보보호법상 기준과 준비사항

[해외사업자도 한국에서 국내대리인을 반드시 지정해야 할까요?]

안녕하세요, 디센트 법률사무소 진현수 대표변호사입니다.

한국에 별도 법인을 두지 않고 해외에서 직접 SaaS, 플랫폼, 이커머스, AI 서비스 등을 제공하더라도 한국 이용자의 개인정보를 처리한다면 국내 「개인정보 보호법」이 적용될 수 있습니다.

특히 일정 규모 이상의 해외사업자는 국내대리인을 지정해야 하며, 2025년 10월 2일부터는 일정한 국내 법인이 있는 경우 해당 법인 중에서 국내대리인을 지정하도록 제도가 강화되었습니다.

🕒 바쁜 분들을 위한 3줄 요약

1. 지정 대상: 국내에 주소·영업소가 없는 사업자 중 일정한 매출액·국내 정보주체 수 등의 기준을 충족하면 국내대리인을 지정해야 합니다.

2. 국내법인: 일정한 국내 법인을 설립했거나 지배적인 영향력을 행사하는 경우 해당 법인 중에서 국내대리인을 지정해야 합니다.

3. 운영 의무: 지정으로 끝나는 것이 아니라 해외 본사가 국내대리인을 교육하고 업무수행 현황을 점검해야 합니다.

1. 해외사업자도 한국 개인정보보호법을 적용받을 수 있나요?

해외사업자라도 한국 정보주체를 대상으로 재화·서비스를 제공하거나 개인정보 처리가 한국 정보주체에게 영향을 미치는 경우 등에는 국내 「개인정보 보호법」이 적용될 수 있습니다.

개인정보보호위원회도 해외사업자가 국내 이용자를 대상으로 서비스를 제공하고 개인정보를 처리하는 경우 국내 개인정보 보호법의 적용 대상이 될 수 있다고 안내하고 있습니다.

따라서 한국 법인이 없거나 개인정보 처리 서버가 해외에 있다는 이유만으로 국내 개인정보보호 규제에서 당연히 제외되는 것은 아닙니다.

해외 SaaS, 온라인 플랫폼, AI 서비스, 게임, 콘텐츠, 이커머스 사업자 등이 한국 이용자의 회원정보·결제정보·접속정보 등을 처리한다면 국내 개인정보보호 체계를 함께 확인할 필요가 있습니다.

[개인정보보호위원회 해외사업자 개인정보 보호법 적용 안내]

2. 어떤 해외사업자가 국내대리인을 지정해야 하나요?

모든 해외사업자에게 국내대리인 지정 의무가 발생하는 것은 아닙니다.

「개인정보 보호법」 제31조의2와 같은 법 시행령 제32조의3에 따르면 국내에 주소 또는 영업소가 없는 개인정보처리자 중 다음 어느 하나에 해당하면 국내대리인을 지정해야 합니다.

🔹국내대리인 지정 대상

매출액 기준은 한국에서 발생한 매출만이 아니라 전년도 전체 매출액을 기준으로 합니다. 외화로 표시된 매출액은 전년도 평균환율을 적용해 원화로 환산합니다.

따라서 글로벌 서비스를 운영하는 해외기업이라면 한국 매출 규모만 보고 국내대리인 지정 대상이 아니라고 판단해서는 안 됩니다.

3. 한국에 법인이 있으면 해당 법인을 국내대리인으로 지정해야 하나요?

국내대리인 지정 대상인 해외사업자에게 법에서 정한 국내 법인이 있다면 해당 법인 중에서 국내대리인을 지정해야 합니다.

2025년 10월 2일부터 시행된 개정 「개인정보 보호법」은 해외사업자가 설립한 국내 법인이나 지배적인 영향력을 행사하는 국내 법인이 있는 경우 그 법인 중에서 국내대리인을 지정하도록 규정하고 있습니다.

구체적으로는 다음과 같습니다.

• 해외사업자가 설립한 국내 법인

• 해외사업자가 대표이사를 임면하는 국내 법인

• 해외사업자가 임원의 50% 이상을 선임하거나 선임할 수 있는 국내 법인

• 해외사업자가 발행주식총수 또는 출자총액의 30% 이상을 출자한 국내 법인

두 번째부터 네 번째 기준은 시행령에서 해외사업자가 ‘지배적인 영향력을 행사하는 국내 법인’의 범위로 구체화하고 있습니다.

따라서 국내대리인 지정 대상인 해외사업자에게 이러한 국내 법인이 있다면 현재는 해당 법인 중에서 국내대리인을 지정해야 합니다.

개정법 시행 당시 기존 국내대리인을 두고 있던 사업자에게 부여된 6개월의 경과기간도 이미 종료된 상태입니다.

다만 한국에 별도 법인이 존재한다는 사실만으로 해외 본사 자체에 국내 주소 또는 영업소가 있다고 단정되는 것은 아닙니다. 국내 법인과 해외 본사의 법적·사업적 관계를 별도로 확인해야 합니다.

[「개인정보 보호법」 제31조의2]

4. 국내대리인은 어떤 업무를 담당하나요?

국내대리인은 단순히 해외사업자의 국내 연락처 역할을 하는 것이 아닙니다.

「개인정보 보호법」 제31조의2에 따라 국내대리인은 다음 업무를 대리합니다.

• 개인정보 처리와 관련한 불만 처리 및 피해구제

• 개인정보 유출 등의 통지 및 신고

• 개인정보보호위원회의 물품·서류 등 자료제출 요구에 대한 대응

또한 국내대리인을 지정한 경우에는 국내대리인의 명칭과 대표자 성명, 주소, 전화번호 및 전자우편 주소 등을 개인정보 처리방침에 포함해야 합니다.

개인정보보호위원회는 실제 해외사업자 평가 과정에서도 국내대리인을 지정했으나 개인정보 관련 민원이나 열람 서비스에 실질적으로 대응하지 못하는 사례를 지적한 바 있습니다.

따라서 국내대리인을 형식적으로 지정하는 데 그치지 않고 한국 이용자의 요청과 개인정보보호위원회의 요구에 실제 대응할 수 있는 체계를 갖춰야 합니다.

5. 해외 본사는 국내대리인을 어떻게 관리해야 하나요?

현재는 해외 본사에도 국내대리인에 대한 별도의 관리·감독 의무가 있습니다.

「개인정보 보호법 시행령」은 국내대리인을 지정한 개인정보처리자가 다음 조치를 하도록 규정하고 있습니다.

• 국내대리인에게 연 1회 이상 관련 업무 교육 실시

• 국내대리인의 업무수행 계획 수립 여부 점검

• 업무수행 계획의 실제 이행 여부 점검

• 점검 결과 개선이 필요한 사항의 개선 여부 확인

따라서 계약서 한 장으로 국내대리인을 지정해 두는 것만으로는 충분하지 않습니다.

해외 본사와 국내대리인 사이에서 개인정보 관련 문의를 어떤 방식으로 전달할지, 유출 사고 발생 시 누가 어떤 절차로 대응할지, 개인정보보호위원회의 자료제출 요구에 필요한 자료를 어떻게 확보할지 등을 사전에 정해둘 필요가 있습니다.

[「개인정보 보호법 시행령」 제32조의3]

6. 국내대리인 의무를 위반하면 어떤 제재를 받을 수 있나요?

국내대리인을 지정하지 않거나 법에서 정한 국내 법인 지정·관리 의무를 위반하면 과태료 대상이 될 수 있습니다.

🔹국내대리인 관련 주요 과태료

또한 국내대리인이 법에서 정한 대리 업무와 관련하여 「개인정보 보호법」을 위반한 경우에는 해외 개인정보처리자가 그 행위를 한 것으로 보고 있습니다.

따라서 국내대리인 업무를 국내 법인이나 외부 사업자에게 맡긴다고 해서 해외 본사의 개인정보보호 책임까지 분리되는 것은 아닙니다.

7. 국내대리인 지정 전 무엇을 확인해야 하나요?

해외사업자는 단순히 국내대리인 후보를 정하기 전에 먼저 국내대리인 지정 의무가 있는 사업자인지부터 확인해야 합니다.

다음 사항을 순서대로 검토할 수 있습니다.

• 한국 정보주체의 개인정보를 실제로 처리하고 있는지

• 해외 본사에 국내 주소 또는 영업소가 있다고 볼 수 있는지

• 전년도 전체 매출액이 지정 기준을 충족하는지

• 국내 정보주체의 개인정보 보유 규모가 어느 정도인지

• 해외 본사가 설립하거나 지배적인 영향력을 행사하는 국내 법인이 있는지

• 현재 국내대리인이 법에서 정한 업무를 실제 수행할 수 있는지

• 개인정보 처리방침에 국내대리인 정보가 정확하게 반영되어 있는지

• 본사와 국내대리인 사이의 교육·점검 체계가 마련되어 있는지

특히 글로벌 그룹 내부에 여러 국내 계열회사가 존재한다면 지분관계와 임원 선임 구조를 기준으로 어느 법인을 국내대리인으로 지정해야 하는지를 먼저 확인할 필요가 있습니다.

8. 자주 묻는 질문(FAQ)

Q1. 한국 매출이 1조 원 미만이면 국내대리인을 지정하지 않아도 되나요?

반드시 그렇지는 않습니다.

매출액 기준 외에도 국내 정보주체의 개인정보를 일일평균 100만 명 이상 저장·관리하거나 개인정보보호위원회가 국내대리인 지정 필요성을 심의·의결한 경우에는 지정 대상이 될 수 있습니다.

Q2. 한국에 자회사가 있으면 모든 해외사업자가 국내대리인을 지정해야 하나요?

아닙니다.

먼저 해당 해외사업자가 「개인정보 보호법」상 국내대리인 지정 대상인지 판단해야 합니다. 지정 대상에 해당하면서 법에서 정한 국내 법인이 존재하는 경우 해당 법인 중에서 국내대리인을 지정해야 합니다.

Q3. 국내대리인 업무를 외부 전문업체에 맡길 수 있나요?

법에서 정한 국내 법인이 없는 경우에는 국내에 주소 또는 영업소가 있는 자를 국내대리인으로 지정할 수 있습니다.

다만 해외사업자가 설립했거나 법에서 정한 수준의 지배력을 행사하는 국내 법인이 있다면 해당 국내 법인 중에서 지정해야 하므로 기업 구조를 먼저 확인해야 합니다.

Q4. 국내대리인을 지정한 뒤 별도로 신고해야 하나요?

「개인정보 보호법」은 국내대리인을 문서로 지정하고 국내대리인의 관련 정보를 개인정보 처리방침에 포함하도록 규정하고 있습니다.

따라서 지정 문서 작성뿐 아니라 개인정보 처리방침 반영과 실제 업무 수행 체계를 함께 정비해야 합니다.

9. 해외사업자 국내대리인 지정, 기업 구조부터 확인해야 합니다

해외사업자의 국내대리인 문제는 단순히 한국에 연락 담당자를 두는 절차가 아닙니다.

먼저 국내대리인 지정 대상인지 판단하고, 국내 자회사·관계회사 구조가 있다면 어느 법인을 국내대리인으로 지정해야 하는지 확인해야 합니다.

이후에도 개인정보 관련 민원, 유출 대응, 개인정보보호위원회 자료제출 등에 실제 대응할 수 있도록 본사와 국내대리인 사이의 업무체계를 갖춰야 합니다.

특히 2025년 10월 2일부터 국내법인 지정 및 관리·감독 규정이 강화된 만큼 기존에 국내대리인을 지정했던 해외사업자도 현재 운영 구조가 개정된 기준에 부합하는지 점검할 필요가 있습니다.

[디센트 법률사무소 – 해외사업자 국내대리인 관련 법률검토]

디센트 법률사무소는 해외사업자의 국내 서비스 구조와 개인정보 처리 현황을 기준으로 국내대리인 지정 의무와 국내 「개인정보 보호법」상 컴플라이언스를 검토합니다.

🔸 해외사업자 국내대리인 지정 대상 검토

🔸 국내 자회사·관계회사 국내대리인 지정 구조 검토

🔸 국내대리인 지정 문서 및 업무체계 검토

🔸 개인정보 처리방침 및 국내대리인 기재사항 검토

🔸 개인정보 유출 및 개인정보보호위원회 조사 대응

🔸 해외사업자의 국내 개인정보보호법 컴플라이언스 자문

📌 디센트 법률사무소 상담 안내

[유선 문의] 02-6951-5248

[이메일] admin@decentlaw.io

[주소] 06233 서울특별시 강남구 테헤란로4길 5 (역삼동, 해암빌딩), 7층