구글도 떠는 저승사자 “개인정보 보호 못하면 EU서 사업 곤란”

중앙일보

입력

베라 요로바 유럽연합(EU) 사법총국 집행위원이 지난 1일 서울 남대문로 주한EU대표부에서 인터뷰를 하며 지난달 25일 시행된 일반개인정보보호규정(GDPR)에 대해 설명하고 있다. [김상선 기자]

베라 요로바(54) 유럽연합(EU) 사법·소비자·성평등 집행위원은 전 세계에서 가장 바쁜 인사 중 한 명이다. 그뿐만 아니다. 구글이나 페이스북 등 미국 정보기술(IT)업계에는 ‘저승사자’에 비견된다. 지난달 25일 시행된 EU의 일반개인정보보호규정(GDPR)을 담당하는 총책임자이기 때문이다.

베라 요로바 EU 사법집행위원 #한국, EU수준 정보보호 인정되면 #28개 회원국 개인동의 안 받아도 돼 #EU 규제가 ‘미국 견제용’ 의심엔 #“데이터는 혁신동력이자 돈되는 것 #특정기업 이익만 위해 쓰여선 안 돼”

GDPR은 기업의 개인정보 활용에 대한 강화된 규제다. 기업이 개인정보를 처리하기 전 당사자(정보 주체)의 동의를 받아야 한다. 정보 주체가 자신의 개인정보에 대한 열람을 청구하거나 삭제를 요청할 수 있다. 개인정보의 이동도 요구할 수 있다.

기업이 이 규정을 위반하면 과징금 폭탄을 맞는다. 전 세계 매출의 4% 또는 2000만 유로(약 251억원) 중 더 많은 금액을 내야 한다. EU에 법인이나 지점이 있는 외국 기업뿐만 아니라 EU 밖에서 전자상거래 등을 통해 EU 시민에게 제품을 팔거나 서비스를 제공하는 외국 기업에도 적용된다. GDPR을 지키기 않으면 5억 명의 인구가 있는 거대 유럽 시장에서의 사업이 힘들어진다.

전 세계 기업이 요로바 집행위원의 일거수일투족에 관심을 갖는 이유다. 방송통신위원회와 GDPR 적정성 평가 등에 관한 논의를 위해 방한한 그를 지난 1일 만났다.

방통위와 논의하고 있는 적정성 평가는 무엇인가.: “EU 내 개인 정보 데이터를 옮겨가도 될 만큼 안전한 곳인지를 따지는 것이다. 한국의 법체계가 EU와 동일한 수준의 데이터 보호를 보장하면 자유롭게 개인정보를 가져갈 수 있다. 그런 측면에서 나는 ‘경호원(보디가드)’이다. (개인 정보를) 옮겨갈 장소가 안전한지 EU 시민을 대신해 먼저 확인하는 일을 하기 때문이다.”

현재 EU 시장에서 사업을 하는 국내 기업이 EU 시민의 정보를 국내로 옮겨오려면 당사자의 동의를 일일이 받아야 한다. 적정성 평가를 받으면 이런 절차 없이 정보를 이전해 올 수 있다.

현재 캐나다와 스위스 등 11개국이 이 평가를 통과했다. 적정성 평가를 통과하면 국내 기업의 부담은 한결 완화될 전망이다. 그는 “아직 논의해야 할 것은 많지만 한국의 정보보호 수준이면 올해 안에 협상을 마무리할 수 있을 것”이라고 말했다.

EU의 일반개인정보보호규제

적정성 평가를 받아도 부담스러운 것 투성이다. GDPR이 시행된 당일 구글과 페이스북은 이미 제소를 당했다. 민원과 문제 제기가 빗발칠 텐데.: “구글과 페이스북 관련한 사안은 제소는 아니고 불만 혹은 문제 제기 수준이다. 민원이 제기되면 회원국 내 개별 정보보호기구(DPA)에서 조사를 통해 결정을 내리게 된다. 조사나 심사는 사안별로 한다.”

역외 기업에 대해 과연 GDPR이 법적 구속력이 있을까.: “개별 DPA가 중재나 기타 법적 조치를 활용하게 된다. 우선 EU 시민의 데이터를 활용하는 기업 중 EU 내에 사업장을 둔 곳에 더 집중하게 될 것이다.”

제도의 단계적인 도입과 적용 방침에도 기업은 몸을 사리고 있다. GDPR의 첫 희생자가 되지 않기 위해서다. LA타임스 등 일부 미국 언론은 유럽에서 접속하는 IP 등을 차단했다.

GDPR이 개인의 정보접속권을 제한하고 유럽 시장의 기업 활동도 막을 수 있다. 4차 산업혁명에서 앞서가는 미국을 견제하려는 ‘디지털 제국주의’라는 지적도 있다.: “GDPR을 도입하자고 할 때 디지털 광고에 기반한 기업을 망하게 하려는 것 아니냐는 질문을 정말 많이 받았다. 물론 아니다. 기업 활동은 중요하다. 그렇지만 데이터는 혁신의 동력이고 오늘날에는 돈이 된다. 그래서 특정 기업의 이익만을 위해 쓰여서는 안 된다. 개인정보 보호를 기본권으로 해 균형을 잡아야 하는 이유다.”

그는 오히려 GDPR이 기업을 돕기 위한 제도라고 강조했다.

GDPR의 어떤 부분이 기업에 유리한가.: “그동안 EU 역내에서 사업을 하는 기업은 개인 정보 관리와 보호를 위해 28개 회원국마다 다른 규제와 법안을 맞추기 위해 해당 조직을 갖추고 비용과 시간을 들여야 했다. 그렇지만 모든 회원국에 동일하게 적용되는 GDPR이 시행되면서 기업은 개인정보 보호와 관련해 한 규제기관에 집중하면 된다. 그만큼 시간과 비용을 절약할 수 있다.”

일반인에게 GDPR은 어떤 도움이 되나. GDPR 시행된 지난달 25일 유럽 일대에서는 오히려 개인정보 활용 동의를 위한 e메일과 팝업 폭탄에 시달려야 했다.: “일단 기업들이 내 e메일 주소를 어떻게 알았는지 생각해봐야 한다. 그동안 개인 정보를 기업에 제공하기는 쉬웠지만 되찾아오기는 어려웠다. GDPR 시행으로 개인 정보를 되돌려받을 수 있는 권리가 생겼다. 기업이 나의 정보를 어떤 목적으로 어떻게 활용하려는지 확인해야 한다.”

기업이 개인 정보를 제멋대로 쓸 수 있게 놔둔다면 더 큰 위험이 생길 수 있다고 그는 경고했다. 그 예로 든 것이 미국 대선 당시 사용자 정보가 유출된 페이스북 사태다. 그는 “작은 실수 하나로 8700만 명에 달하는 사람이 피해를 봤다. 이런 일이 다시는 일어나면 안 된다고 생각한다”며 “개인의 신상 정보가 단지 광고 수익을 올리거나 잘못된 목적으로 사용된다면 개개인이 자신의 권리를 주장해야 한다”고 말했다.

◆베라 요로바

1964년생. 체코 카렐대를 졸업하고 체코 트레빅 지방정부의 대변인 등으로 일한 뒤 체코 지역개발부 차관과 장관, 국회의원 등을 역임했다. 2014년부터 장 클로드 융커가 이끄는 유럽연합(EU)위원회에 체코 정부 대표로 참여해 사법·소비자·성평등 집행위원(장관급)으로 일하며 일반개인정보보호규정(GDPR) 등의 시행을 주도해왔다.

하현옥 기자 hyunock@joongang.co.kr