제조사, AS위해 고객정보 관리하면 GDPR 적용

프린트

세계시장 ㅣ 유럽 제조사, AS위해 고객정보 관리하면 GDPR 적용 EU ‘개인정보보호 지침’ 강화한 개인정보보호법 5월25일 시행

기사입력2018-04-30 10:20

조한무 기자 (chohm0113@junggi.co.kr) ㅣ다른기사보기

유럽연합(EU) 시민의 개인정보를 수집하는 기업은 다음달 25일부터 시행되는 개인정보보호법(GDPR)을 숙지해야 한다. 특히 제조업체가 유럽에 물건을 팔기만 하면 상관이 없지만, AS(사후관리서비스)를 제공하면서 고객정보를 관리한다면 GDPR 적용대상이기 때문에 유의해야 한다.

“GDPR만 준수하면 유럽시장 안정적 진출 가능해 기회요인”

한국인터넷진흥원 권현준 개인정보정책단장은 한국인터넷진흥원이 최근 주최한 ‘유럽일반 개인정보보호법(GDPR) 대응 세미나’에서 “유럽연합은 안정적인 단일시장을 구축하기 위해 개인정보보호와 관련한 단일법으로서 GDPR을 제정했다”며 “우리기업 입장에선 규정이 강화됐기 때문에 위험성이 가중되는 측면도 있지만, GDPR만 준수하면 유럽 전체시장에 안정적인 진출이 가능해 기회요인으로 작용할 수도 있다”고 강조했다.

GDPR은 기존 유럽연합 ‘개인정보보호 지침’을 대체한다. 지침과 달리 법적 구속력을 가지며 모든 회원국에 직접 적용된다. 전문 총 173개조, 본문 총 11장 및 99개조로 구성된 GDPR은 총 7장 및 34개조인 기존 지침에 비해 조문수가 대폭 늘었다. 규율하는 내용이 많아짐에 따라 유럽시장에 재화와 서비스를 제공하는 한국기업에도 상당한 영향을 미친다는게 전문가들의 분석이다.

<그래픽=조한무 기자> ©중기이코노미

GDPR 주요내용은 ▲개인의 데이터 통제권 강화 ▲데이터 처리의 투명성 강화 ▲데이터 처리에 대한 책임 강화 등이다.

◇개인의 데이터 통제권 강화=정보주체는 개인정보를 여러 다른 서비스에 걸쳐 재사용할 수 있도록 이동을 요구할 수 있다. 가령 네이버에 있는 개인정보를 다음으로 옮길 수 있는 것이다. 요구를 받은 기업은 무료로, 1개월 이내에 이행해야 한다. 다만, 요구가 복잡한 경우 등엔 예외적으로 2개월까지 연장 가능하다.

정보주체는 삭제요구권도 가진다. 본인에 관한 개인정보를 삭제할 것을 요구할 수 있다. 다만 기업은 공익적 기록보존, 과학 및 역사적 연구 또는 통계목적을 위한 정보인 경우 등에 한해 삭제요구를 거부할 수 있다.

◇데이터 처리의 투명성 강화=기업은 개인정보를 ‘합법적으로 공정하고 투명하게’ 처리하고, 관련정보를 투명하게 공개해야 한다. 가령 GDPR은 적법한 처리조건으로 ▲정보주체의 동의 ▲정보주체와의 계약 이행이나 계약 체결을 위해 필요한 처리 ▲법적의무 이행을 위해 필요한 처리 등을 규정했다. 기업은 개인정보를 처리함에 있어 합리적인 근거를 갖춰야 한다.

◇데이터 처리에 대한 책임 강화=기업은 GDPR 준수여부를 입증하는 체계를 갖추고, 제3자에게 전달되는 개인정보가 GDPR을 준수하면서 처리되는지 확인할 책임을 부담한다.

GDPR은 ‘컨트롤러’와 ‘프로세서’에게 적용된다. 컨트롤러는 개인정보 처리의 목적과 수단을 결정하는 주체이고, 프로세서란 컨트롤러를 대신해 개인정보를 처리하는 자를 말한다.

컨트롤러와 프로세서는 한국의 개인정보보호법령에서 정한 ‘위탁자’와 ‘수탁자’ 개념과는 차이가 있다. 국내법상 위탁자는 자신의 사무처리를 위해 직접 수집한 개인정보를 수탁자에게 제공하는 반면, 컨트롤러는 개인정보 처리의 목적과 수단을 규정하기만 하면 된다. 자신이 개인정보를 직접 수집해 프로세서에게 제공할 필요는 없다.

컨트롤러·프로세서 책임·의무 달라…어디 해당하는지 확인을

컨트롤러와 프로세서는 각각 책임과 의무가 달라, 자사가 어디에 해당하는지 확인하는게 중요하다. 컨트롤러는 개인정보 처리의 GDPR 준수를 보장하고, 이를 입증할 수 있는 적절한 기술적·조직적 조치를 이행해야 한다. 프로세서 의무부담은 비교적 가볍다. 컨트롤러가 정한 지시사항에 의해서만 개인정보를 처리하고, 개인정보 보호를 위해 컨트롤러가 수행하는 조치를 지원해야 할 것 등이 프로세서의 의무사항이다. 다만, 기존 지침에선 프로세서에게 법적 의무를 부과하지 않았다는 점에서 프로세서의 책임을 강화했다고 볼 수 있다.

예를들어 #1. A기업은 상품을 홍보하기 위해 마케팅전문 B기업에 고객 이메일 주소를 제공하고, 자사상품 홍보목적으로만 해당개인정보를 사용하도록 B기업과 계약을 체결했다. A기업은 B기업이 홍보과정에서 고객정보를 보호하는 활동을 수행하는지 관리·감독했다. 이때 A기업은 개인정보 처리목적과 방식을 결정하는 컨트롤러에 해당하며, B기업은 A기업으로부터 지시를 받아 개인정보를 처리하는 프로세서에 해당한다.

#2. C여행사는 여행상품 패키지를 구매한 고객정보를 D항공사와 E호텔에 각각 항공·호텔 예약을 위해 전달했다. D항공사와 E호텔은 요청받은 좌석 및 객실 예약을 완료하고, E여행사는 고객에게 여행상품과 관련한 안내서류와 예약확인증을 발급했다. C여행사와 D항공사 그리고 E호텔은 각기 다른 목적으로 개인정보를 처리하고, 책임을 부담하는 컨트롤러에 해당한다.

#3. 국내 소재 F병원은 한국을 방문해 여행 중인 유럽인을 치료하는 과정에서 개인정보를 수집했다. 한편, 유럽인 환자를 유치하는 G업체와 계약해 개인정보를 받고, 치료가능여부를 판단해 고객을 모집하기도 한다. 여행중인 유럽인을 치료하는 과정에서 수집한 개인정보는 GDPR 적용대상이 아니지만, 고객유치를 목적으로 G업체로부터 개인정보를 받는 경우엔 컨트롤러에 해당한다.

한국인터넷진흥원 권현준 개인정보정책단장은 “유럽시장을 명확하게 겨냥했을 경우에만 GDPR이 적용된다”며 “가령 네이버가 운영하는 한글 포털사이트에 유럽시민이 가입했을 경우엔 적용되지 않는다”고 설명했다.

“제조업체, AS 제공하면서 고객정보 관리하면 GDPR 적용대상”

또 법무법인 광장 박광배 변호사는 “제조업체가 유럽에 물건을 팔기만 하면 적용대상이 아니지만, AS를 제공하면서 고객정보를 관리한다면 적용대상에 포함된다”고 설명했다.

종업원이 250명 이상인 경우, 컨트롤러와 프로세서는 GDPR 준수를 입증하기 위해 개인정보 처리활동을 기록해야 한다. 다만 ▲정보주체의 권리와 자유에 위험을 초래할 가능성이 있는 개인정보 처리 ▲민감정보 처리 ▲범죄 경력 및 범죄행위에 관련된 개인정보 처리는 종업원 수와 무관하게 기록의무가 있다.

민감정보에는 인종·민족, 정치적 견해, 종교·철학적 신념, 노동조합의 가입여부, 유전자 또는 생체정보, 건강, 성생활 또는 성적 취향에 관한 정보 등이 포함된다.

권현준 단장은 “기록은 감독당국이 해당기업을 조사할 때 가장 중요한 근거자료가 된다”며 “개인정보를 보호하기 위해 어떤 노력을 기울였고, 어떤 근거로 개인정보를 처리했는지 체계적으로 기록을 남겨야 한다”고 강조했다.