[보안공시 해부] 샤오미 등 中 기업, 잇따른 개인정보 논란…개선은 태부족

[디지털데일리 옥송이 유채리 기자] 전자상거래 플랫폼부터 가전·전자 제품까지, 중국 기업들의 한국 시장 공략이 거세다. 저렴한 가격을 무기로 진출 분야와 제품 다각화를 이루면서 국내 유통 및 가전 시장에서 입지를 다지고 있다.

반면 국내 영업활동에 대한 각종 정보는 불투명한 한편, 논란이 지속돼 온 개인정보 처리 방침 관련 대책은 미흡한 것으로 나타났다.

10일 한국에 진출한 전자상거래플랫폼 알리·테무·쉬인과 가전 및 로봇청소기 제조사 로보락·샤오미·에코 백스·마이디어·TCL 등의 정보보호 공시 여부를 확인한 결과, 대부분의 중국 기업이 공시 대상에서 빠졌다. 한국 법인명 알리익스프레스코리아인 알리를 제외한 7개 중국 기업은 모두 정보보호 공시 대상에 해당하지 않는 것으로 나타났다.

과학기술정보통신부와 한국인터넷진흥원(KISA)은 디지털 전환 과정에서 발생하는 사이버 침해 사고 등이 기업에는 경제적 피해와 대내외적 신뢰도 저하를, 이용자에게는 각종 불편함을 야기한다는 점을 근거로 기업 정보보호 현황을 공개하도록 하고 있다.

다만 사업분야 및 매출액, 이용자 수 등에 따라 정보보호 공시 의무대상 여부가 갈린다. 그중 중국 기업 다수는 유가증권시장 및 코스닥시장 상장법인이 아닌 탓에, 정보보호 공시에서 빠진 것이다.

중국 기업들의 정보 불투명성은 비단 정보보호 공시에 그치지 않는다. 비상장사, 유한책임 또는 유한회사 형태를 택함으로써 국내 영업행위에 대한 각종 재무정보 확인도 불가하다.

실제로 C커머스 대표주자인 '알테쉬(알리·테무·쉬인)'의 경우 각각 알리익스프레스코리아, 웨일코코리아, 쉐인서비스코리아라는 국내 법인을 세우면서, 매출 및 세금 공시 의무가 없는 유한회사·유한책임회사를 택했다.

C가전 역시 마찬가지. 샤오미테크놀로지스코리아는 유한책임회사를, 마이디어코리아, 티씨엘일렉트로닉스코리아는 유한회사 형태다. 로보락코리아의 경우 주식회사 형태를 취했으나, 비상장사이기에 정보보호를 비롯 각종 정보 공개 의무에서 빠진다. 에코백스는 국내 법인을 설립하지 않았으며, 역시 비상장사다.

또 다른 문제점은 이와 같은 기업 형태를 운영하는 것이 국내에서 각종 보안 사고 발생 시 문제를 책임질 주체가 있느냐 여부와도 이어진다는 점이다. 정부는 해외사업자에 대한 국민의 개인정보 보호책임과 피해 구제를 위해 '국내 대리인' 제도를 도입한 바 있다.

국내 대리인 제도는 개인정보보호법과 정보통신망법에 명시된다. 다만, 개인정보보호법 기준으로 살폈을 때 국내 대리인 지정제도는 지정 의무만 있고 신고 의무가 없다. 일부 자율성이 인정되는 것이다. 또한 정보통신망법 기준으로는, 국내 영업소가 있을 경우 국내 대리인 지정 대상에서 제외된다.국내 법인을 설립한 중국 기업들은 영업소가 확인된다는 이유로 국내 대리인 지정 대상에서도 제외될 가능성이 크다는 의미다.

중국 가전 기업 가운데서는 로보락코리아만이 국내 법인을 설립한 동시에 국내 대리인까지 설립한 것으로 확인됐다. 같은 조건임에도 불구 샤오미테크놀로지코리아 등은 국내 대리인을 비롯, 국내 보안 담당 책임자 여부가 명확히 확인되지 않았다.

일각에서는 중국 기업들의 소비자 개인정보 수집 논란이 지속되는 가운데, 국내도 예외가 아니라는 우려가 인다. 특히 국내에서 문제 발생 시 문제를 책임질 주체가 불분명하다는 것이다.

일례로 올해 2월 유럽연합(EU) 내 비정부기구(NGO) 유럽디지털권리센터(NOYB)는 샤오미를 비롯한 중국기업 6개사를 EU 정보보호규정(GDPR) 위반 혐의로 그리스, 이탈리아, 벨기에, 네덜란드, 오스트리아 등 EU 회원국 관할 당국에 신고한 바 있다. NOYB에 따르면 이 중 4개 기업이 유럽 이용자의 개인 데이터를 중국으로 전송한 사실을 인정했고, 2개 기업은 공개되지 않은 '제3국'으로 데이터를 전송했다고 밝힌 것으로 알려졌다.

판매자의 개인정보 역시 마찬가지다. 테무는 최근 국내 판매자의 개인정보를 과도하게 수집한다는 비판을 받았다. 이에 개인정보 처리 방침을 개정했으나, '국외 이전을 거부할 경우, 서비스를 이용할 수 없다'는 조항을 유지하고 있다. 사실상 강제인 셈이다.

이러한 사례들은 국내 사용자의 데이터가 중국으로 반출될 수 있다는 의미로 해석될 수 있다. 보안 업계에서는 다수의 중국 기업들이 본국으로의 정보 반출을 피할 수 없을 것으로 본다. 중국 데이터 보안법이 가진 무제한 권한 때문이다.

염흥열 순천향대 정보보호학과 명예교수는 "개인정보보호법상 개인정보 항목에 대한 동의의 원칙이 있다. 정보처리방침에 정보보호 처리 목적을 비롯한 어떤 항목을 처리하는지 등을 모두 공지해야 한다"며, "국외 이전 및 제3자에 제공할 경우 모두 정보주체로부터 명백하게 동의받아야 한다"고 말했다.

이어 "만일 중국 기업의 데이터센터가 한국에 있으면, 별도 고지할 필요가 없다. 그러나 중국을 비롯 해외의 데이터센터를 이용한다면 고지해야 한다"면서 "다만 중국 당국은 데이터에 대한 통제권을 가지고 있기에, 어떤 지역에 데이터센터가 있든 무관하게 정보를 요청할 수 있다"고 설명했다.

- Copyright ⓒ 디지털데일리. 무단전재 및 재배포 금지 -