EU 가입국서 발생하는 거래시
개인 데이터·프라이버시 보호
최대 264억원 과징금 맞을수도
정보통신망법 조속 통과 필요
개인 데이터·프라이버시 보호
최대 264억원 과징금 맞을수도
정보통신망법 조속 통과 필요
개인정보 관리 등을 의무화 하는 EU(유럽연합)의 개인정보보호규정(GDPR, General Data Protection Regulation)이 지난해부터 시행되고 있지만, 한국은 1년이 넘도록 거의 무방비인 실정이다. 오는 25일자로 GDPR 시행 1년을 맞지만, 한국은 EU로부터 '적정성 결정'을 받지 못해 유럽에 진출한 국내 기업들이 자칫 과징금 폭탄을 받을 수 있다는 지적이다. 현재 국회에서 계류 중인 정보통신망법 개정안의 조속한 통과가 시급해 보인다.
GDPR은 기업들이 EU 가입국에서 발생하는 '거래(상행위 또는 트랜잭션)'에서 EU 국민들의 개인 데이터와 프라이버시를 보호할 것을 의무화하는 규정이다. 적용 항목이 매우 광범위 한데다 개인정보 관리에 대해 매우 강도 높은 규제 수준을 포함하고 있다. 규정을 위반할 경우, 사안의 경중에 따라 세계 매출액의 4% 또는 최대 2000만유로(한화 약 264억)의 과징금을 부과받을 수 있다는 점에서 EU 진출 기업의 큰 부담이 되고 있다. 특히 비교적 대응체계를 잘 갖춘 대기업보다는 대응이 미비한 EU 진출 중소기업들에 큰 타격이 될 수 있다는 지적이다. 국내 기업중 현재 EU에 진출한 기업 수는 700여개에 달한다.
KISA(한국인터넷진흥원)에 따르면 현재까지 13개 국가가 GDPR 시행 전에 적정성 결정을 받았으며, 특히 일본은 빠른 대비를 통해 GDPR 시행 후 적정성 결정을 받은 국가에 처음으로 이름을 올렸다. 반면, 일본과 함께 적정성 결정 우선 대상국에 이름을 올렸던 한국은 아직 기약이 없는 실정이다. 적정성 결정은 EU 집행위원회가 제3국의 개인정보 보호수준이 EU와 본질적으로 동등한지 평가하는 제도다.
KISA는 GDPR이 시행된 지 1년을 맞아 전 세계적으로 관련 민원 접수와 유출통지 접수가 늘고 있어, 앞으로 과징금 부과 사례가 늘 것으로 예상했다. 대표적으로 프랑스 정부는 지난 1월, 구글이 데이터 처리 목적 및 저장 기간에 대한 정보를 한곳에서 제공하지 않고 5~6회 클릭하도록 한 점, 불충분한 정보 제공으로 개인 맞춤형 광고에 요구되는 유효한 동의 획득 위반 등으로 약 653억원의 과징금을 부과 한 바 있다. 포루투갈도 지난해 11월, 의료기간들이 의사 이외의 직원들에 환자의 개인정보 접근 권한 부여, 개인정보의 불법적 접근 방지를 위한 기술관리 조치 미적용 등으로 5억원의 과징금을 부과 한 바 있다. 또한 덴마크의 운수사업자 Taxa 4x35는 보유 기간이 경과한 고객의 승차정보를 보관해 2억원의 과징금을 부과 받았다.
한국은 국회에 발의된 정보통신망법 개정안을 앞세워 EU 실무진과 협상을 전개하고 있지만, 제도정비 미비로 어려움을 겪고 있는 실정이다. 현재 국회에는 인재근 더불어민주당 의원이 대표발의한 '개인정보 보호법 개정안'이 계류 중이다. 지난해 11월 발의된 개정안은 데이터 활용을 위한 가명정보 제도화와 개인정보보호 추진체계 효율화 등의 내용을 담고 있지만, 국회의원들의 관심부족과 공정사태 등으로 아직 처리되지 못하고 있다.
최광희 KISA 개인정보정책단장은 "적정성 결정을 받지 못하는 상태가 지속되면 국내에서도 벌금 사례가 나올 수 있고, 적정성 검토 우선순위를 상실할 가능성도 크다"면서 "다른 국가로 순서가 넘어갈 수도 있어 정보통신망법 등 관련 법안의 조속한 처리가 필요한 실정"이라고 우려를 나타냈다.
김은지기자 kej@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
