한국기업, EU 개인정보규정 준수…정부 나서야

프린트

Live 중기 ㅣ 산업뉴스 한국기업, EU 개인정보규정 준수…정부 나서야 EU의 적정성 결정을 얻어내기 위한 관련 법 개정 시급

기사입력2019-07-15 07:30

이창호 기자 (xg139@junggi.co.kr) ㅣ다른기사보기

김현경 서울과기대 IT정책전문대학원 교수는 EU의 개인정보 보호규정을 충족시키기 위한 한국의 개인정보법 개정이 시급하다고 말했다. ©중기이코노미

구글과 페이스북이 지난해 EU로부터 제소당하면서, EU의 개인정보보호규정(GDPR)에 대한 관심이 높아졌다. 지난해 5월 발효된 GDPR은 EU 시민의 개인정보를 EU 역외로 이전하는 것을 원칙적으로 금지했기 때문이다. 구글은 이 규정을 위반해 올해 초 600억원대 과징금을 부과받았다.

글로벌 플랫폼 기업들과 달리 한국기업이 GDPR 발효에 직접적인 영향을 받았다는 소식은 아직 들리지 않는다. 그러나 한국기업 역시 영향을 받을 것으로 예상하기 때문에, 이에 대한 대비를 시작한 상황이다.

서버를 한국에 둔 한국기업도 GDPR 영향받아

김현경 서울과기대 IT정책전문대학원 교수는 유성엽·정인화 의원과 개인정보보호법학회, 스타트업얼라이언스가 지난 12일 공동으로 개최한 ‘GDPR 적정성 결정을 위한 개인정보법 개정 토론회’에서 “EU 시민의 개인정보를 EU 영역 밖에서 처리하는 경우에도 EU 역내법을 적용하겠다는 것”이라고 설명했다. 서버를 한국에 둔 한국기업 역시 EU 시민의 개인정보를 처리하는 GDPR에 영향을 받는다는 의미다.

GDPR은 EU 시민의 개인정보를 역외이전해 처리할 수 있는 예외를 세가지로 규정했다. 먼저, 표준계약이나 구속력있는 기업규칙 등 규정에 따라 적절한 안전조치를 하면 예외로 인정한다. 또 해당 개인정보를 역외에서 처리해도 된다는 명시적 동의를 받았다면, 역시 개인정보 역외이전을 허용한다.

이 두 가지 방법은 기업들이 개별적으로 대응할 수 있는 수단이지만, EU로부터 인정받기 위해 상당한 비용을 들여야 한다는 문제가 있다.

세 번째 예외는, 특정 국가의 개인정보 보호수준이 EU에 상응한다고 결정한 경우다. 이 ‘적정성 결정’을 얻는 경우, 해당국가 기업들은 EU시민의 개인정보를 자유롭게 이용할 수 있다.

일본, GDPR 적정성 평가를 통과한 최초·유일 국가

현재 13개 국가가 적정성 평가를 통과했다. 그러나 이들 국가 중 12개국은 GDPR 시행에 앞서 종전 규정에 따라 적정성 결정을 받은 것이 승계된 경우다. 처음부터 GDPR에 따라 적정성 평가가 이뤄져 결정된 사례는 일본이 최초라고 김현경 교수는 설명했다.

유성엽·정인화 의원과 개인정보보호법학회, 스타트업얼라이언스가 지난 12일 공동으로 개최한 ‘GDPR 적정성 결정을 위한 개인정보법 개정 토론회’에서 참석자들은 EU의 적정성 결정을 위한 개인정보법 개정 방안에 대해 논의했다. ©중기이코노미

일본은 2015년 개인정보보호법을 개정해 EU의 적정성 결정을 얻어냈다. 개인정보에 관해 여러 법률에 산재된 조항들을 하나로 묶고, 일본으로 이전된 EU시민의 개인정보를 재이전하지 못하도록 금지했다.

또 개인정보 감독기구를 일원화하고, 개인정보 중에서도 특별한 보호가 요구되는 민감정보에 대해서는 별도의 보호규정을 갖추고, 개인정보 이용목적을 구체화하며 목적에 맞지 않는 이용은 제한했다.

김현경 교수는 일본의 사례 분석을 통해, EU로부터 적정성 결정을 얻기 위해 “GDPR과 국내법이 완전히 일치할 필요는 없다”면서, 개인정보 처리를 감독하고 필요시 EU와 협의할 창구의 신뢰성을 확인시키는 것이 핵심이라고 말했다.

국회 계류 중인 개인정보보호법 개정안…보완 필요

한국 역시 지난해 11월 더불어민주당 인재근 의원 대표발의로 개인정보보호법 개정안을 국회에 제출한 상태다. EU의 기준에 맞춰 독립적인 감독기구를 설립해 개인정보 관리를 관할하고, 개인정보 이전을 금지하는 등의 내용을 담았다.

김 교수는 개정안이 통과되더라도 금융회사의 개인정보는 여전히 금융위 소관이라는 점, 위치정보 관련 내용 역시 개정안에 제대로 반영되지 못했다는 점 등을 지적하며 개선이 필요하다고 말했다.

법의 완비 못지않게 집행력 또한 중요하다고 강조했다. “구글이나 페이스북 등 해외기업이 대한민국 이용자의 개인정보를 처리함에 있어, 우리나라 규정을 준수하지 않았는데도 법집행이 굉장히 미흡한 사례가 있다”며 EU 역시 해외기업에 대한 집행력에 의문을 제기할 수 있어 대응책이 필요하다고 지적했다.

김 교수는 “우리나라 시장 상황에 비춰봤을 때 유럽시장 진출이 중요하지 않다면, 이건 고민할 필요가 없다. 하지만 중요하다면, 이건 국가가 나서야 할 문제”라고 말했다. 또 미국이나 중국과 달리 한국은 “빅데이터와 4차 산업혁명을 위해서는 데이터의 양적 확보가 필요한 나라”이며 EU시장은 간접적으로 아프리카시장까지 연결된다는 점을 고려할 때, EU 적정성 결정을 얻어내기 위한 관련 법 개정이 시급하다고 강조했다. 중기이코노미 이창호 기자