|
29일 한국인터넷진흥원(KISA)에 따르면 KISA와 방송통신위원회 등 관계기관은 EU 집행위원회(European Committee) 담당자들과 고위급·실무급 회담을 통해 개인정보의 국외 이전을 보다 쉽고 자유롭게 하기 위한 적정성 평가 통과 작업을 진행 중이다.
◇GDPR 핵심 ‘국외이전’ 자유로워지는 가장 좋은 방안
GDPR은 EU 의회가 지난 2016년 4월 의결한 법률로, EU 거주자·시민권자의 개인정보를 함부로 이용하지 않도록 하기위해 제정했다. 구글, 페이스북, 아마존 등 미국 IT 대기업들이 개인정보를 멋대로 활용한다는 지적에 따라 개인정보 주체인 당사자의 권리를 강화하는데 초점을 맞춘 규제다.
개인정보 책임관리자(DPO) 지정을 비롯해 체계적인 개인정보보호 정책, 개인정보 주체에 대한 명시적인 동의 확보, 문제 발생시 사후 대응 등을 규정하고 있으며, 다음 달 25일부터 시행된다.
GDPR의 핵심 화두는 ‘개인정보의 국외이전 제한’ 부분이다. 원칙적으로 EU 거주자의 개인정보는 EU 역내에 있어야 한다는 개념이다. 이를 외부로 옮겨 저장할 경우 구체적인 동의를 비롯해 EU 당국의 적정성 승인을 받는 등 추가 조치가 필요한데 조항이 굉장히 까다롭다.
예를 들어 EU 현지에서 고용한 임직원의 개인정보에 대해서는 근로계약서 등에 국외이전을 명시했더라도 이를 명시적 동의로 인정하지 않는다. 고용주와 피고용인 사이에 동등한 관계가 성립할 수 없다고 전제하기 때문이다. 이런 문제에서 자유로워질 수 있는 가장 좋은 방안이 바로 적정성 평가 획득이다.
이 평가는 EU가 다른 국가를 대상으로 거주자의 개인정보를 이전해서 활용해도 안전하다고 볼 수 있는가 내부적으로 판단하기 위한 조치다. EU의 규제 수준을 충족하는지, 체계가 비슷한지 등을 자체적으로 평가하고 이에 부합하다고 판단하면 비교적 자유로운 이전·활용 절차를 간소화할 수 있다. GDPR 규정 중 가장 까다로운 부분에 대한 고민을 덜 수 있게 되는 셈이다.
◇고위급·실무급 면담 지속..올해 안 가시적 성과 기대
지난 2015년부터 당시 행정자치부(현 행정안전부) 중심으로 추진하다 지난해 5월부터 방송통신위원회가 주축이 됐다.
권현준 KISA 개인정보정책단장은 “EU의 적정성 평가는 EU가 자체적으로 진행하는 절차이지만, 우리나라에 대한 평가가 빠르게 진행될 수 있도록 움직여왔다”며 “KISA 실무자는 물론 방통위 고위급 인사의 방문과 협의를 통해 GDPR 시행 후 첫 번째 적정성 평가 인정을 받을 수 있을 거란 답을 받았다”고 말했다.
KISA 등 관계기관에서는 현재 EU가 일본, 인도와 함께 우리나라에 대한 평가를 계속 진행하고 있어 이르면 올해 말에는 적정성 인정을 받을 수 있을 것으로 기대하고 있다.
기업들은 당연히 적정성 평가 획득을 원하고 있다. 데이터 솔루션 업체 SAS의 조사에 따르면 세계적으로 93%의 기업이 이에 대한 대응을 완벽하게 갖추기 어렵다고 답했다. 과징금 최대금액이 글로벌 매출의 4% 내지는 2000만유로(약 260억원)에 달하지만, 세부 가이드라인은 아직 다 완성되지 않은 상황이라 기업들이 대응에 어려움을 호소하고 있다.
권 단장은 “가이드라인 수립 시 의견 수렴 과정이 있는데 여기에는 해외 기업도 참여할 수 있다며”며 “의견이 있으면 적극 활용할 필요가 있다”고 덧붙였다.
한편 KISA는 유럽 진출 기업을 위한 세미나 개최와 대응 지원을 위한 지원센터를 현지에 세워 운영할 계획이다. EU 본부가 위치한 벨기에 브뤼셀을 비롯한 주요 거점을 후보로 두고 예산 확보에 노력하고 있다.
