한국 개인정보법, EU회원국과 동등수준 인정...기업에 '희소식'

기사승인 2021-03-31 09:42:43

[쿠키뉴스] 구현화 기자 = 우리나라가 유럽연합(EU)의 일반개인정보보호법(GDPR) 적정성 평가에서 초기결정 단계를 통과했다. 한국의 개인정보보호 법체계가 EU GDPR과 동등한 수준임을 확인받은 것이다.

이르면 상반기, 늦어도 하반기에 적정성 최종결정이 내려지면 한국은 EU의 개인정보를 국내로 이전할 때 EU 회원국에 준하는 지위를 부여받으며, EU 진출 한국기업들도 표준계약 등 기존에 거쳐야 했던 까다로운 절차를 면제받게 된다.

개인정보보호위원회는 30일 오후 윤종인 위원장과 디디에 렝데르 법무 담당 EU 집행위원이 한국과 EU 간의 GDPR 적정성 논의가 성공적으로 마무리됐음을 확인해 초기결정이 채택됐다고 밝혔다.

양측은 공동발표문을 통해 "개인정보보호 분야에서 한국과 유럽연합 간의 높은 수준의 동등성, 특히 최근 시행된 한국의 개정 개인정보보호법에 따라 개인정보위의 권한이 강화돼 그러한 동등성이 한층 더 향상됐음을 확인했다"고 말했다.

이어 "개인정보 교류 상의 보호를 보장하는 동등성을 구축함으로써, 적정성 확인은 EU로부터 한국으로의 자유롭고 안전한 정보의 흐름을 가능하게 할 것"이라며 "또한 한-EU 자유무역협정(FTA)을 보완해 EU와 한국 간 협력을 강화할 것"이라고 덧붙였다.

적정성 평가는 EU가 GDPR을 기준으로 역외 국가의 개인정보보호 수준을 평가하는 제도다.

특정 국가의 개인정보보호 조치가 EU와 동등한 수준임을 인정하는 적정성 결정이 내려지면 해당국 기업은 EU 회원국처럼 자유롭게 EU 시민의 개인정보를 자국 내로 이전해 처리하는 것이 허용된다. 반면 적정성 결정을 받지 못한 국가의 기업은 EU가 요구하는 개인정보보호 조치를 하겠다는 표준계약을 개별적으로 체결하는 등 부담을 지게 된다.

이번에 내려진 적정성 초기결정은 초기결정-의견수렴-최종결정으로 진행되는 적정성평가 절차 가운데 가장 큰 비중을 차지한다.

양국 법체계를 세밀하게 비교해 EU 집행위원회가 적정성을 확인하고 초기결정을 채택하면 EU 정보보호이사회(EDPB)가 초기 결정서를 넘겨받아 의견수렴 과정을 거친다. 이후 EU 집행위원회에서 의결하면 최종결정이 내려지게 된다.

개인정보위는 적정성 결정 단계의 80∼90% 비중을 차지하는 초기결정이 마무리된 만큼 이르면 상반기, 늦어도 하반기 중에는 적정성 최종결정이 이뤄질 것으로 내다봤다.

윤종인 개인정보보호위원장은 전날 사전브리핑에서 "초기결정이 내려진 뒤 최종결정까지 통상 6개월이 걸리지만 이를 2∼3개월로 단축 가능하다고 (EU와) 논의한 바 있다"고 설명했다.

적정성 최종 결정이 내려지면 EU에 진출하는 한국 기업들은 따로 표준계약을 할 필요 없이 EU 개인정보를 국내로 이전해 활용할 수 있게 된다.

그동안 한국 기업이 EU의 표준계약 절차를 밟으려면 법률검토와 현지실사, 기타 행정절차에 길면 1년이 걸리고 비용도 1억∼2억원이 들었는데 이런 부담이 해소된다.

이번 적정성 초기결정에는 특히 공공분야가 포함돼 향후 규제 협력 등 EU와 우리 정부 간 협력이 강화될 것으로 개인정보위는 기대했다. 지난 2019년 1월 채택된 일본의 GDPR 적정성 결정에는 공공분야가 포함돼있지 않았다.

다만 이번 초기결정에는 금융기관 등이 신용도 판단을 위해 유럽에서 수집한 개인정보는 제외됐다. 이에 따라 현재 EU에 진출해 있는 금융기관 9곳은 기존대로 표준계약을 이용해야 한다.

이는 해당 정보를 관할하는 금융위원회가 독립된 감독기관으로서 위상이 다소 부족하다고 EU에서 판단했기 때문으로 보인다고 개인정보위는 설명했다.

윤 위원장은 이와 관련 "금융기관도 신용정보가 아닌 개인정보는 개인정보보호법에 따라 국내로 이전 가능하다고 (EU와) 논의했다"며 "이번 적정성 초기결정으로 글로벌 선진국 수준의 개인정보보호 국가로서 한국의 위상이 높아지고, 이를 기반으로 한국기업들이 데이터 경제 시대의 주역으로 성장할 수 있는 기반을 마련했다"고 말했다.

kuh@kukinews.com