[보안공시 해부] “개인정보도 팝니다”?…‘C-웨이브’에 새는 개인정보

[디지털데일리 유채리 옥송이 기자] 중국산 소비재가 국내 시장을 잠식하고 있다. 이른바 ‘C-웨이브(WAVE)’다. 특히 커머스와 가전 분야가 두드러진다. 문제는 이들이 영향력을 키우고 있지만, 개인정보 보호와 관련된 책임은 그에 비례하지 않다는 점이다.

8일 업계에 따르면 ‘C커머스’의 국내 시장 점유율이 빠르게 늘고 있다. 먼저 커머스를 살펴보면 앱·리테일 분석 서비스 와이즈앱·리테일에 따르면 지난 1~4월 월평균 사용자 수를 추정한 결과, 알리익스프레스 895만명, 테무 821만명으로 분석됐다. 같은 기간 쉬인의 성장세도 가파르다. 쉬인은 전년 동기간 대비 평균 성장률이 52.0%로, 평균 사용자 109만명을 기록했다.

매출 역시 마찬가지다. 와이즈앱·리테일이 지난 2월 발표한 한국인의 알리익스프레스와 테무의 지난해 결제 추정 금액은 각각 3조6897억원, 6002억원으로 집계됐다. 총 4조2899억원으로, 직전 년도 2조3228억원과 비교하면 85% 늘어난 수치다.

가전 부분에서는 중국산 로봇 청소기의 공습이 두드러진다. 가전업계에 따르면 로보락은 지난해 한국 로봇청소기 시장에서 점유율 46%를 기록한 것으로 추산된다. 2위인 삼성(22%)와 두 배 가량 차이난다. 3위 LG전자(9%)를 제외한 4,5,6위는 모두 에코백스·드리미·나르왈로 모두 중국 기업이다. 특히 국내 로봇청소기 시장 점유율 1위를 고수하고 있는 로보락코리아의 한국 매출은 가파르게 상승하고 있다. 지난 2020년 한국 매출은 291억원이었으나, 지난해 2414억원으로 집계되며 10배나 상승했다.

이처럼 영향력이 커지고 있지만, 개인정보보호 보호에 대한 책임은 미흡한 수준에 머물고 있다. 중국 이커머스 플랫폼 테무는 지난 5월 개인정보보호위원회(개보위)로부터 13억6900만원의 과징금을 부과받았다. 중국과 싱가포르·일본 등 다수 사업자에게 국내 이용자의 개인정보 처리를 위탁하거나 보관하도록 했지만, 이를 개인정보처리방침(처리방침)에 공개하거나 이용자에게 알리지 않아서다.

알리익스프레스 역시 지난해 개보위로부터 과징금 19억7800만원과 780만원의 과태료 및 시정명령·개선권고를 부과받았다. 마찬가지로 국외 판매자에게 물품을 구입한 이용자의 정보를 제공(이전)하는 데, 이 과정에서 이용자에게 알리지 않아서다. 판매자 약관 등에 개인정보 보호에 필요한 조치도 반영하지 않은 것으로 밝혀졌다.

현행 개인정보보호법은 국내 사업자에게 개인정보 처리 위탁 또는 보관 등이 필요한 경우, 처리방침에 해당 사실을 공개하거나, 이용자에게 전자우편 등으로 알려야 한다고 규정하고 있다.

중국 가전업계도 상황은 비슷하다. 국내 로봇 청소기 시장 점유율 1위인 로보락은 올해 초 중국에 본사를 둔 사물인터넷(IoT) 기업과 사용자 데이터를 공유한다는 논란에 휩싸인 바 있다. 당시 로보락은 “2020년 이후 출시된 모델은 투야 등 다른 기업에 고객 정보를 제공하지 않는다”며 “정책에 대한 표현이나 문구를 해석함에 있어 차이가 있을 수 있다. 고객들은 우려할 필요가 없다고 자신있게 말하고 싶다”고 선을 그은 바 있다.

이후 이들은 지난 3월 홈페이지에 게시한 ‘온라인 숍 개인정보 처리방침’에 “당사는 귀하에게 서비를 제공하기 위해 개인정보를 중국에서 수집해 처리하고 있다”고 수정해 다시 한 번 논란에 휩싸였다. 이에 대해 로보락코리아는 “당사가 개인정보처리자로서 개인정보 수집 등 처리 업무를 총괄하는 위치에 있다는 의미일 뿐, 한국 이용자 개인정보가 중국에 반출되거나 중국에 저장된다는 건 아니다. 한국 이용자 개인정보를 실제로 미국에 위치한 아마존 웹 서비스 데이터센터에 저장된다”고 반박했다.

에코백스에서는 해외에서 로봇청소기가 해킹을 당해 이용자에게 욕설 및 인종차별 발언을 퍼붓는 사건이 발생한 바 있다. 샤오미는 인도 정부로부터 ‘긴급 보안 경고’가 발령됐을 정도다. 샤오미 스마트 기기기 앱인 ‘미 커넥트’ 앱에서 취약점이 발견된 게 발단이다. 이에 인도 인터넷침해대응센터가 공식 권고문을 통해 사용자들에게 즉각적인 업데이트 또는 삭제 조치를 권고했다. 샤오미는 해당 문제를 인지하고, 최신 버전에서 보안 패치를 제공 중인 것으로 알려졌다.

이처럼 국내에 진출한 중국 기업들의 정보보안 문제가 잇따르는 가운데, 국내에서 보안 문제가 발생할 경우 책임질 소재가 불명확하다는 점이 문제점으로 지적된다. 중국 가전 제조사 가운데 한국 법인과 국내 대리인이 모두 있는 곳은 로보락코리아 뿐이다. 샤오미테크놀로지코리아는 한국 법인은 있으나, 국내 대리인 및 국내 보안 문제 책임자 여부는 불분명하다. 드리미와 에코백스, 마이디어도 마찬가지다.

국내 대리인은 해외사업자에 대한 국민의 개인정보 보호 책임과 피해구제를 위해 도입된 제도다. 정보통신망법과 개인정보보호법 등에 명시돼 있다. 다만, 개인정보보호법을 기준으로 살폈을 때 국내 대리인 제도는 지정 의무는 있으나 신고 의무는 없다.

보안 업계 관계자는 “국내 대리인 제도는 법적 기준에 따라 지정해야 할 의무는 있으나, 정부부처에 신고할지는 자율에 맡기는 것으로 안다. 중국 기업들은 이를 악용하는 측면이 큰 것으로 보인다”고 지적했다.

이에 김장겸 국민의힘 의원은 C커머스의 국내 대리인 지정 책임을 강조하는 전자상거래 등에서의 소비자 보호에 관한 법률 일부개정법률안(전자상거래법 개정안)을 대표발의한 바 있다. 앞서 공정거래위원회가 C커머스 등 해외 유통 플랫폼 기업의 국내 대리인 지정 의무를 부여한 전자상거래법 개정안을 발의했다. 해당 법안은 지난해 국무회의를 통과해 현재 상임위원회인 정무위원회에 계류돼 있다.

법안 논의는 현재 ‘시계 제로’ 상태다. 내각 인선 등으로 여야 간 견제가 심화되며, 법안 처리가 지연될 가능성이 크다. 그 사이 정보보호 체계는 사실상 공백 상태에 놓였다.

김대종 세종대 경영학과 교수는 기본 신뢰 문제는 물론, 정보 주권이 위협받을 수 있다고 경고했다. 그는 “소비자와 관계를 맺는 만큼 개인정보를 보호하는 건 가장 기본적인 신뢰와 경영 책임의 영역”이라고 강조했다. 이어 그는 “중국 기업의 개인정보처리 방침을 정확히 파악할 수 없는 상황에서는 정보주권마저 흔들릴 수 있다”고 지적했다.

- Copyright ⓒ 디지털데일리. 무단전재 및 재배포 금지 -