EU→韓 개인정보 자유롭게 가져온다…“개인정보법, EU 수준”

중앙일보

입력

업데이트

베라 요로바 EU 집행위원회 집행위원이 지난해 11월 브뤼셀에서 열린 유럽 의회 전체회의에서 연설하고 있다. [AP=연합뉴스]

너무 까다로웠던 EU→韓 데이터 이전

#프랑스 파리에 지사를 두고 있는 국내 맞춤형 쇼핑 대행업체 A사는 프랑스 현지에서 얻은 고객 정보를 국내 본사로 보내 분석을 의뢰해 왔다. 고객이 선호할 것으로 예상하는 제품을 분석해 선정하기 위해서였다. 그러나 한 가지 문제가 있었다. 프랑스 고객의 개인정보를 한국으로 보내려면 그때마다 프랑스 개인정보감독기관(CNIL)과 계약을 맺고 비용을 부담해야 했다.

#LG, SKT, 네이버 등 유럽연합(EU)에 진출한 대기업 사정도 마찬가지였다. EU의 표준계약조항(SCCㆍStandard Contractual Clauses)에 근거해 개인정보 이전 계약을 체결하는 데만 3개월에서 1년여가 걸렸다. 프로젝트별 계약 비용도 1억~2억원이 소요됐다. 한국이 EU 수준의 개인정보보호 체계를 갖추고 있지 못하다는 EU의 판단 때문이었다.

EU, “韓 개인정보보호 법체계 유럽 수준”

그래픽=김주원 기자 zoom@joongang.co.kr

올해부터는 이 같은 불편이 상당 부분 해소될 것으로 기대된다. 한국과 EU의 개인정보보호 제도가 비슷한 수준임이 인정됐기 때문이다. 개인정보위원회와 EU 집행위원회 사법총국은 30일 공동 발표문을 통해 “EU와 한국 간 ‘적정성 논의’가 성공적으로 마무리됐다”며 “한국의 개인정보보호 법체계가 EU의 일반개인정보보호법(GDPR)과 동등한 수준”이라는 점을 확인했다.

한국이 EU 회원국에 준하는 개인정보보호 지위를 인정받게 되면서 EU에 진출한 한국 기업에도 파란불이 켜졌다. 별도 계약 없이도 자유롭게 데이터를 국내로 이전·처리하는 게 가능해졌기 때문이다. 그간 국내 기업이 EU GDPR 규정을 위반할 경우 전 세계 시장에서 발생한 매출의 4%를 과징금으로 내야 하는 등 부담을 안고 있었는데 이 같은 우려도 상당 부분 해소될 것으로 전망된다.

세계 매출 4% 과징금 부담 덜어…EU도 이득

윤종인 개인정보보호위원회 위원장이 29일 오전 서울 종로구 정부청사 합동브리핑룸에서 GDPR 관련 사전 브리핑을 하고 있다. [개인정보보호위원회]

이는 EU 기업에도 유리하게 작용할 수 있다는 게 정부의 판단이다. 실제로 독일 소재 B사는 마케팅 전략 수립을 위해 그간 국내 전문기업 C사에 데이터 처리를 맡기려 했지만, 이 역시 까다로운 절차를 거쳐야 해 제한적인 수준의 연구만 해왔다. 그러나 이번 결정으로 B사→C사로의 개인정보 이전이 편해져 과거보다 시간·비용을 절감하고 제휴를 맺기도 쉬워졌다.

EU에서 한국으로 이전할 수 있는 데이터에는 EU 공공기관의 정보도 포함된다. 일본의 경우 한국보다 앞선 지난 2019년 1월 EU로부터 GDPR 적정성을 인정받았으나 공공분야 정보는 포함되지 않았다.

“하반기 3단계 절차 완료…신용정보는 예외”

EU GDPR 적정성 논의 절차는 총 3단계로 진행된다. [자료=개인정보보호위원회]

그러나 해당 논의가 완전히 끝난 건 아니다. EU집행위는 총 3단계(초기결정→EU정보보호 이사회 의견수렴→EU집행위 전원의결)에 걸쳐 인증 절차를 완료하는데 이제 갓 1단계 절차를 끝낸 상태다. 개인정보위는 늦어도 하반기까지는 전체 인증 절차가 끝날 것으로 보고 있다. 한계점도 있다. 금융기관의 경우는 이번 적정성 결정에서 빠졌다. 기존처럼 표준계약을 이용해야 한다는 의미다.

윤 위원장은 “이번 적정성 결정으로 한국이 글로벌 선진국 수준의 개인정보보호 국가로서 위상이 높아진 것”이라며 “이런 신뢰를 기반으로 한국 기업이 데이터 경제 시대의 주역으로 성장할 수 있는 기반을 마련하게 됐다”고 평가했다.

허정원 기자 heo.jeongwon@joongang.co.kr