EU 개인정보법, “과징금 맞고 대응하면 늦어”

프린트

세계시장 ㅣ 유럽 EU 개인정보법, “과징금 맞고 대응하면 늦어” 인터넷진흥원, 자가진단 등 중소기업 GDPR 대응 지원체계 구축

기사입력2019-12-23 17:00

지난 1월 구글은 EU로부터 5000만유로, 약 640억원 규모의 과징금을 부과받았다. EU가 2018년부터 시행하고 있는 개인정보보호법(GDPR)을 위반했다는 이유에서다. 7월에는 영국항공과 메리어트 그룹이 각각 2700억원, 1500억원 규모의 과징금을 부과받아 화제가 되기도 했다. 고객의 개인정보를 보호하지 못했다는 등의 이유로 당해연도 매출의 1.5~3% 규모의 과징금을 부과받은 것이다.

23일 한국인터넷진흥원이 개최한 GDPR 준수 지원사업 설명회에서, 개인정보협력팀 김영준 책임은 “아직 한국기업이 과징금을 맞은 사례가 없다”면서도, “과징금을 맞게 되면 어마어마한 규모를 맞게 된다”고 주의를 당부했다.

GDPR은 이전 EU의 개인정보 처리 권고지침과 달리 의무규정으로 적용이 강제다. 개인정보에 대한 기업의 책임은 강화됐고, 정보주체의 권한은 확대됐다. 기업 입장에서는 개인정보 처리를 하기 전에 반드시 적법한 처리 근거를 확보할 필요성이 생겼다. 또 인종이나 종교, 노동조합 가입 여부 등과 건강정보 등은 ‘민감 정보’로 분류돼 처리가 원칙적으로 금지됐다.

문제는, GDPR은 한국기업에도 적용될 수 있으나 기업들이 이를 모른다는 점이다. 인터넷진흥원에 들어오는 GDPR 관련 문의 중 가장 많은 내용이 “우리 회사에 GDPR이 적용되느냐 마느냐”라고 한다.

GDPR에 대해 잘 모르거나, 알더라도 설마 우리 회사가 과징금을 맞을까 하는 생각에 대응을 늦추는 기업들도 많다. 하지만 GDPR의 적용 범위가 점차 넓어져 최근에는 개인에게까지 확대되는 추세이기 때문에, “언제 한국기업이 과징금을 맞게 되는 사례가 나올지 모른다”고 김영진 책임은 우려를 표했다.

한국인터넷진흥원 개인정보협력팀 김영준 책임은, EU의 개인정보보호법(GDPR)으로 인해 “언제 한국 기업이 과징금을 맞게 되는 사례가 나올지 모른다”고 우려했다. ©중기이코노미

◇세계로 확산, 개인정보보호 이미 대세=EU에 사업장을 운영하는 기업의 경우 기본적으로 GDPR 적용대상이다. 지점이나 영업소, 판매소 등이 있으면 GDPR이 적용된다고 볼 수 있다.

EU 지역에 사업장은 없더라도, 인터넷 홈페이지를 통해 EU에 거주하는 주민에게 물건을 팔거나 서비스를 제공하는 기업 역시 GDPR의 적용대상이다. 특히 현지어로 마케팅 활동을 하거나 현지 통화로 결제하는 경우면 주의해야 한다.

개인정보의 EU역외 이전도 까다로워졌다. 개인정보를 자유로이 EU의 역외로 이전하고자 한다면 EU가 인정하는 적정수준의 보호조치를 해야 한다.

인터넷진흥원은 설명회와 실무교육, 컨설팅 등을 통해 기업들의 GDPR 대응을 지원하고 있다. 내년에는 GDPR 관련 정보를 담은 홈페이지를 개통하고, 인터넷 상에서 GDPR 준수 여부를 확인할 수 있는 자가진단 도구를 게시할 예정이다.

◇수집·활용·폐기 과정 일체를 점검해야=컨설팅은 주로 중소기업을 대상으로 하고 있다. 코트라에 등록된 기업 중 EU에서 사업을 하는 중소기업 180곳에 대한 홍보도 진행 중이다.

문제는 기업들의 대응 역량이다. 컨설팅을 받더라도, 대응을 하는 것은 기업 자신이다. 전담인력을 배치하고, 전사적으로 개인정보의 수집·활용·폐기 과정 일체를 모두 점검해야 한다. 규모가 작은 중소기업에는 쉽지가 않은 일이지만, EU 지역을 대상으로 사업을 진행하고 있다면 GDPR은 피할 수 있는 요인이 아니다.

GDPR과 같은 법들이 EU 외 다른 지역에서 만들어지고 있다는 점도 유의할 사항이다. 미국의 캘리포니아 주에서는 2020년 1월부터 개인정보 보호법(CCPA)이 발효될 예정이다. 마찬가지로 기업에게 높은 수준의 책임을 요하기 때문에, 기업들은 개인정보 보호에 대해 더욱 속도를 낼 필요가 커졌다.

김영준 책임은 개인정보 보호가 “리소스를 굉장히 많이 투입해야 하는” 문제이기 때문에 “경영진이 마인드가 없다면 진행이 거의 불가능한 상황”이라고 지적했다. 또 “막상 현실이 되면 그때 가서 준비하기엔 너무 늦게 된다”며, 아직 한국기업의 처벌 사례가 없을 때 미리 대응방안을 준비해야 한다고 강조했다. 중기이코노미 이창호 기자