EU GDPR 내년 5월 시행 예정
유럽 상대로 사업 모든기업 대상
위반시 수백억대 '과징금 폭탄'
삼성·현대 등 일부 대기업 빼곤
중견·중기 대부분 대응준비 미흡
"시스템작업 지금 시작해도 빠듯"
유럽 상대로 사업 모든기업 대상
위반시 수백억대 '과징금 폭탄'
삼성·현대 등 일부 대기업 빼곤
중견·중기 대부분 대응준비 미흡
"시스템작업 지금 시작해도 빠듯"
유럽발 고강도 보안규제가 전 산업계에 위험요소로 부상하고 있지만, 일부 대기업을 제외하곤 이렇다 할 대응을 하지 않고 있어 피해가 우려된다. 유럽을 상대로 사업을 하는 모든 기업이 규제 대상이다. 위반 시 최소 수백억원의 과징금을 내야 하는데도 상당수 기업은 시스템 마련은커녕 법률분석조차 하지 않고 있다는 지적이다.
15일 정부와 업계에 따르면 유럽연합(EU)은 개인정보 보호 규정을 담은 유럽개인정보보호법(GDPR)을 내년 5월 시행, 위반 기업에 연 글로벌 매출의 4%와 2000만 유로(약 270억원) 중 더 큰 금액을 과징금으로 매길 예정이다. 그러나 시행 9개월이 남은 현재 EU에 지사나 직영공장을 뒀거나 상품을 수출 중인 기업 중 삼성전자, 현대자동차 등 일부 대기업만 내부 팀을 두고 국내외 로펌의 컨설팅을 받는 등 대응을 하고 있는 것으로 파악됐다. 반면 중견·중소기업과 스타트업을 포함한 대부분의 기업은 손을 놓고 있다.
GDPR은 EU의 개인정보 보호 강화규제로, EU에 사업장을 두지 않더라도 EU 거주자를 상대로 재화나 서비스를 제공하는 모든 기업이 지켜야 한다. 법안은 99개 조항에 걸쳐 개인정보 관리, 이동, 청구, 침해대응 등 준수사항을 규정하고 있다. 문제는 규제를 위반할 경우 거액의 과징금과 함께 EU 내 사업에 제동이 걸릴 수 있음에도 불구하고 국내 기업의 인식 및 대응수준이 크게 떨어진다는 점이다. EU 정부의 조치에 반발해 법정소송을 벌이더라도 현지 시장에서 심각한 피해를 입을 수밖에 없다.
이와 관련해 정희철 한국무역협회 유라시아실장은 "규제 발효 후 기업이 보유한 EU 회원국 국민의 개인정보가 침해될 경우 해당 기업은 바로 GDPR을 위반한 게 된다"며 "제대로 대응하지 못 하면 위험부담을 기업이 고스란히 지는 만큼 철저하게 대비를 해야 한다"고 말했다.
박경동 베리타스코리아 글로벌본부장은 "위반기업이 EU와 법정다툼을 벌이더라도 그 기간 기업 가치나 평판이 떨어지고 소송비용이 발생하는 등 큰 리스크를 질 수밖에 없다"고 밝혔다.
그러나 산업계는 심각성을 제대로 인지하지 못하고 있다. 현재 행정안전부가 한국인터넷진흥원, 한국무역협회 등과 공조해 기업 대상 세미나 개최, 안내서 발간 등을 통해 알리고 있지만 한계가 있다.
무역협회의 또 다른 관계자는 "삼성전자와 현대차는 그룹과 현지법인 차원에서 대응책을 세우고 있는 것으로 안다"며 "그러나 나머지 대부분 기업은 자체 대응은커녕 정보파악도 제대로 하지 않고 있는 것으로 파악됐다"고 말했다.
GDPR 관련 솔루션을 공급하는 한 IT업체 관계자는 "아시아지역 한 항공사가 GDPR 관련 솔루션을 도입하기 위해 문의를 해오는 등 일본, 싱가포르 등에선 기업들이 적극 대응을 하는데 국내만 너무 조용하다"고 밝혔다. 하루에도 수 테라바이트(TB)의 개인정보가 쌓이는 산업 현장에서 제대로 대응하려면 업무시스템을 GDPR 규정에 맞게 구축해야 하는데 남은 9개월은 길지 않은 기간이다. 시스템 구축에 앞서 규제를 파악하고 내부 업무시스템을 재정비하는 작업도 필수다. 이 같은 작업을 내년 5월 전에 끝내려면 지금 시작해도 쉽지 않다고 전문가들은 지적한다.
이런 상황에서 시장조사 업체 밴슨본이 올해 2~3월 EU와 거래 중인 기업 관계자 100명을 대상으로 실시한 설문조사 결과, 61%의 기업인이 내년 5월 내 GDPR 대비를 못 마칠 것이라고 응답했다. 특히 무려 40%의 기업인은 내부에 실시간 DB 관리도구가 없어서 DB 관리가 불가능한 상태라고 밝혔다.
박 본부장은 "GDPR에 맞춰 개인정보 데이터를 관리하지 않으면 혹시 모를 개인정보 삭제 요구 시 제때 지우는 것조차 어려울 수 있다"며 "아직 시작도 안 한 기업의 경우 규제로 인한 피해에서 자유롭기 힘들 것"이라고 말했다.
임성엽기자 starleaf@dt.co.kr
◇ 유럽 일반개인정보보호법(GDPR)= EU가 회원국 시민의 개인정보보호 권리 강화를 목적으로 한 유럽 일반개인정보보호법(General Data Protection Regluation, 이하 GDPR)이다. EU는 2016년 5월 GDPR을 제정한 뒤 2년간 예고 기간을 거쳐 2018년 5월25일부터 기존 EU의 1995년 개인정보보호 지침을 대체해 발효할 예정이다. GDPR 전문은 총173개조, 본문 총11장 및 99개조로 이루어져 있으며, 기존 개인정보보호 지침과 달리 그 자체로 EU 모든 회원국에게 직접적 법적 구속력을 가진다.
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
