개인정보위, 뤼튼·테슬라 등 5개사에 처리방침 개선 권고… "정보주체 권리보장 미흡"

---

개인정보보호위원회가 AI 서비스 기업 뤼튼과 글로벌 자동차 기업 테슬라 등 5개 사업자에 대해 개인정보 처리방침 개선을 권고했다. 정보주체의 권리행사 창구 부재와 국내대리인의 민원처리 기능 미비가 주요 지적 사항으로, 국내외 기업 모두 개인정보보호법상 의무 이행에 허점을 드러냈다.

---

평가 배경 및 경과

개인정보보호위원회는 2025년 개인정보 처리방침 평가에서 미흡 판정을 받은 기업들을 대상으로 후속 이행점검을 실시했다. 이번 점검은 단순 형식적 기재 여부를 넘어, 실제 정보주체가 자신의 권리를 행사할 수 있는 실효적 체계가 갖춰져 있는지를 중점 확인했다.

점검 결과, 뤼튼·테슬라를 포함한 5개 사업자가 개선권고 대상에 올랐다. 개선권고는 행정처분인 시정명령이나 과태료 부과의 전 단계로, 자율적 시정 기회를 부여하는 조치다.

---

주요 지적 사항 분석

1. 정보주체 권리행사 창구 미흡

지적받은 기업들은 개인정보 열람·정정·삭제·처리정지 등 정보주체의 권리행사를 위한 접수 창구가 명확하지 않거나, 실제 작동하지 않는 것으로 확인됐다. 개인정보보호법 제38조는 정보주체가 권리를 쉽게 행사할 수 있도록 방법과 절차를 마련할 의무를 규정하고 있다.

2. 국내대리인 민원처리 기능 부재

테슬라 등 해외 사업자의 경우, 국내대리인을 지정하고도 실질적인 민원처리 기능이 작동하지 않는 문제가 드러났다. 개인정보보호법 제39조의11에 따르면, 국내에 주소 또는 영업소가 없는 정보통신서비스 제공자는 국내대리인을 지정해야 하며, 이 대리인은 정보주체의 민원을 실제로 처리할 수 있어야 한다.

---

공통 패턴: '형식적 준수'의 함정

이번 사례들에서 공통적으로 발견되는 문제는 '형식적 준수'와 '실질적 이행' 간의 괴리다. 처리방침을 공개하고 국내대리인을 지정하는 등 외형적 요건은 충족했으나, 정보주체가 실제 권리를 행사하려 할 때 막히는 구조였다.

특히 AI 서비스와 글로벌 플랫폼 기업의 경우, 빠른 서비스 확장 속도에 비해 개인정보보호 체계 정비가 뒤처지는 경향이 반복적으로 나타나고 있다.

---

기업·기관 대응 방안

첫째, 개인정보 처리방침 내 권리행사 절차를 구체적으로 명시하고, 실제 접수·처리가 가능한 전담 창구(이메일, 전화, 온라인 양식 등)를 운영해야 한다.

둘째, 해외 사업자는 국내대리인 지정 시 민원 접수·회신·처리까지 전 과정을 위임하고, 응답 기한(통상 10일 이내) 준수 여부를 모니터링해야 한다.

셋째, 정기적인 처리방침 자체 평가를 통해 법령 개정사항을 반영하고, 평가 기준에 맞춰 선제적으로 개선하는 체계를 구축할 필요가 있다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

[국내대리인 지정 의무 (개인정보보호법 제39조의11)]

>

- 대상: 국내에 주소·영업소가 없는 정보통신서비스 제공자로서 이용자 수, 매출액 등이 대통령령 기준 이상인 자

- 핵심 기능: 개인정보 보호책임자의 업무를 대리 수행하며, 정보주체 민원의 실질적 처리가 가능해야 함

- 출제 포인트: 국내대리인의 자격요건, 지정·변경 신고 절차, 민원처리 의무 범위를 구분하여 숙지할 것

---

백남정 기자 | 개인정보보호 전문