[디지털데일리 이종현기자] 지난달 30일 유럽연합(EU) 일반개인정보보호법(GDPR) 적정성 초기 결정이 발표됐다. 2017년 1월 논의가 시작된 이래 5년 만의 진전으로, 연내 최종 적정성 결정이 날 것으로 기대를 모으고 있다.

적정성 결정은 EU 역외 국가가 GDPR이 요구하는 수준과 동등한 수준의 개인정보보호 조치가 있는지를 확인·승인하는 화이트리스트 제도다. EU는 GDPR에 의해 원칙적으로 개인정보 역외 이전을 금지하나 적정성 결정을 받으면 예외적으로 이를 허용한다.

적정성 결정을 받지 못한 국가 기업들은 EU 내에서 수집한 개인정보를 자국으로 가져오기 위해서는 표준계약(Standard Contractual Clauses) 등을 활용해야 한다. 하지만 표준계약조항을 통한 계약체결에는 비용·시간이 많이 드는 데다 지속적인 업데이트가 필요하다. GDPR 국외이전 조항 위반시 기업 전체 매출의 4%까지 과징금이 부과되기도 한다.

EU에 진출한 국내 기업 관계자에 따르면 표준계약체결을 위한 법률검토, 현지실사, 기타 행정절차 등으로 3개월~1년 정도의 시간과 프로젝트별 1억~2억원 상당의 비용이 든다고 전했다.

GDPR 준수는 국내 중소기업의 EU 진출을 막는 최대 난관으로 꼽혔다. 중소기업 입장에서는 감당하기 어려운 부담인데, GDPR 적정성 결정을 받은 국가의 기업이라면 이 과정을 생략할 수 있다. 비용 및 시간을 절감하고 법적 불확실성을 해소할 수 있어 산업계에서도 적정성 결정을 고대해 왔다.

2017년 적정성 결정 논의 시작 후 한국은 두 차례에 걸쳐 고배를 마셨다. 핵심 기준인 개인정보 감독기구의 독립성 요건 미충족으로 인한 것이다. 이제 정부는 개인정보보호 독립감독기구인 개인정보보호위원회(이하 개인정보위)를 통합 출범시키는 개인정보보호법을 개정했고, 지난 3월 30일 초기 결정을 이끌어 냈다.

EU 정보보호이사회의 의견수렴 과정을 거쳐 최종결정되는데, 초기결정 발표가 있었던 지난달 30일 EU 집행위원회 사법총국 디디에 레인더스 커미셔너(사법총국 장관)은 “가능한 빨리 적정성 결정을 채택하기 위해 바로 의사결정 절차를 진행할 것”이라고 밝혔다.

정수연 한국인터넷진흥원(KISA) 개인정보협력팀 책임은 “적정성 결정은 EU에서 수집한 개인정보를 한국에 이전할 수 있는 명확한 법적 근거가 생긴다는 데 의의가 있다”며 “표준계약을 위해서는 꽤 많은 비용, 시간, 인력이 투자돼야 했다. 계약서기 때문에 조건이 변경되면 이를 갱신·연장하는 절차도 필요했는데, 적정성 결정이 나면 개별 사업자의 어려움이 크게 해소될 것”이라고 말했다.

물론 적정성 결정이 난다고 하더라도 GDPR을 지키지 않아도 된다는 뜻은 아니다. 역외 이전에 대한 부담이 완화되는 것일 뿐 기업에게 주어지는 개인정보보호 의무는 여전하다.

GDPR은 위반시 부여되는 과징금도 국내에 비해 훨씬 크다. 2018년 GDPR이 발효된 후 부과된 과징금은 ▲구글 5000만유로 ▲H&M 3500만유로 ▲TIM 2780만유로 ▲영국항공 2200만유로 ▲메리어트 호텔 2045만유로 등이다.

또 GDPR 적정성 결정이 나더라도 모든 종류의 개인정보가 허용되는 것은 아니다. 정 책임은 “GDPR 적정성 결정이 적용되는 것은 개인정보보호법이 적용되는 민간·공공 분야에 한정된다”고 전했다.

개인정보보호법 외에 신용정보법, 전자상거래법, 위치정보보호법, 통신비밀보호법 등 개인정보와 관련되 특별법이 여럿 있는데, 이들은 개인정보위의 관리 감독 범위 바깥이다. 가령 금융권의 신용정보는 신용정보법의 영향을 받고 금융위원회의 관리·감독을 받는데, 이 경우 GDPR 적정성 결정이 나더라도 기존처럼 표준계약을 체결해야 한다.

KISA는 GDPR 준수를 위한 컨설팅, 수시법률상담, 온라인세미나(웨비나) 및 교육 등을 제공한다. 올해부터 기존 중소영세기업을 대상으로 지원하던 컨설팅을 중견기업까니 점위를 넓히고, 우리나라와 해외 주요 국가의 법제 비교표를 제작하는 등 지원을 획대할 계획이다.

<이종현 기자>bell@ddaily.co.kr