외국 기업이 일본 시장에 진출하여 일본 국내에 거주하는 개인의 개인정보를 취급하는 경우, 일본의 ‘개인정보보호법(APPI)’이 적용될 가능성이 있습니다.

일본의 개인정보보호법은 일본 내 이용자로부터 직접 개인정보를 취득하는 경우뿐만 아니라, 일본 국내 개인을 대상으로 상품이나 서비스를 제공하는 과정에서 간접적으로 개인정보를 수집·처리하는 경우에도 유효하게 적용됩니다(역외 적용). 이에 따라 외국 기업이라 할지라도 개인데이터의 안전관리조치(보안 대책) 이행 의무를 지며, 일정 규모 이상의 개인정보 유출 사고가 발생했을 때는 일본 당국에 대한 보고 및 본인 통지 등의 법적 의무를 부담하게 됩니다.

또한, 일본 기업이 외국 기업(해외 본사 등)에 개인데이터를 제공하고자 할 때는 원칙적으로 사전에 정보주체(본인)의 동의를 받아야 합니다. 다만, 데이터를 이전받는 외국 기업이 EU(유럽연합)나 영국 등 일본 당국이 인정한 ‘적정성 조치(일정 수준 이상의 개인정보 보호 체계를 갖춘 국가)’를 받은 지역에 소재하고 있거나, 기업 간 계약 및 인증 취득을 통해 일본 법령과 동등한 수준의 보호 조치를 강구하고 있는 경우에는 이 요건이 완화될 수 있습니다.

따라서 일본 시장에 진출하는 외국 기업은 일본 개인정보보호법의 역외 적용 범위를 정확히 이해함과 동시에, 일본의 데이터 보호 규제를 철저히 준수하기 위하여 현지 기준에 부합하는 프라이버시 정책(개인정보처리방침)의 수립, 계약상 보호 조치의 마련, 그리고 고도화된 데이터 관리 체계를 정비하는 것이 매우 중요합니다.