EU GDPR 적정성 결정 17일 발효…내년엔 영국도 추진

윤종인 개인정보보호위원회 위원장이 지난 16일 오후 서울정부청사에서 한국-유럽연합(EU) `개인정보보호 적정성 결정` 최종 채택 관련 브리핑을 하고 있다.(사진=개인정보보호위원회 제공)

[이데일리 이후섭 기자] 한국에 대한 유럽연합(EU)의 일반개인정보보호법(GDPR) 적정성 결정이 5년여 만에 최종 채택됐다. 이를 통해 네이버·SK텔레콤 등 EU에 진출한 기업들이 현지 고객정보를 가져오기 위한 시간과 비용을 줄일 수 있고, 앞으로 더욱 활성화될 데이터 시장에서 스타트업 등 우리 기업들이 글로벌로 확장할 수 있는 토대를 마련했다는 의미가 있다.

특히 이번 적정성 결정에는 공공 데이터도 포함돼 향후 EU에 속한 국가들과의 규제 협력 등 공공분야 협력도 강화될 것으로 기대되며, 개인정보보호위원회는 영국 등과의 적정성 결정도 추진할 방침이다.

◇5년여 만에 최종 채택…“국가 차원의 데이터 이전 인증”

개인정보위와 EU는 17일 한국에 대한 개인정보보호 적정성 결정이 채택됐다고 공동 발표했다. EU집행위가 우리나라의 국무회의 격인 `집행위원 전원회의`를 열고 적정성 결정을 채택하면서 이날 오후 6시부터 즉시 발효됐다.

지난 2017년 1월 EU와 적정성 협의를 시작한 개인정보위는 지난해 8월 독립 감독기구로 출범한 후 본격적으로 논의를 이어갔다. 그 과정에서 EU의 독립심의기구인 유럽정보보호이사회(EDPB)는 한-EU 법제 간 차이를 조정하기 위한 개인정보위의 고시 제·개정 등의 노력을 높이 평가했고, EU집행위의 회원국 승인절차에서 만장일치로 한국 적정성 결정을 승인했다.

윤종인 개인정보위 위원장은 “그동안 기업들이 개별적으로 받아왔던 개인정보 이전 관련 인증을 국가 차원에서 받은 것”이라며 “이번 결정을 계기로 한층 강화된 한-EU 간 협력을 통해 디지털 경제를 더욱 확산시킬 수 있을 것이다. 또 기술적으로 인공지능(AI) 등 분야에서 알고리즘을 발전시켜 나가는데 중요한 역할을 할 것”이라고 기대를 드러냈다.

GDPR 적정성 결정이 이뤄지면 국내 기업이 EU의 개인정보를 가져오는 데 필요한 시간과 비용을 줄인다. 그간 EU에 진출한 국내 기업들은 주로 표준계약조항(SCC)을 통해 개인정보를 국내로 이전했는데, LG·SK텔레콤·네이버 등은 GDPR에 대한 법률검토, 현지 실사, 행정절차로 인해 3개월에서 1년 정도의 기간과 프로젝트별 1억~2억 원의 비용을 내야 했다.

또 `최대 전 세계 매출 4%`라는 법 위반시 과징금 부담으로 위축됐던 기업들의 영업 활동도 적극적으로 바뀔 수 있고, 표준계약절차가 어려워 EU 진출을 포기했던 기업들에도 도움이 될 전망이다. EU 기업이 데이터 연구 및 마케팅 전략 수립을 위해 한국 데이터 전문기업과 제휴하는 것도 가능해져 국내 데이터 산업 활성화에도 도움이 된다.

◇일본과 달리 공공분야도 포함…“다양한 서비스 협력 기대”

지난 2018년 5월 GDPR이 시행된 이후 한국은 EU 회원국이었다가 탈퇴를 한 영국을 제외하면 일본에 이어 사실상 두 번째로 적정성 결정을 받게 됐다. 특히 일본은 민간 데이터 이전에 국한된 반면, 한국에 대한 이번 결정은 공공 데이터 이전에도 적용된다.

윤 위원장은 “공공 데이터를 적정성 결정을 통해 EU 이외 국가에게 전송하는 경우는 최초”라며 “예를 들면 EU 국민의 건강에 관한 통계적인 공공 데이터를 가져와 우리 기업이 새로운 서비스를 개발한다든지 다양한 기회가 열릴 수 있다. 앞으로 EU와의 협의를 통해 만들어 나갈 부분”이라고 설명했다.

개인정보위는 이번 결정을 바탕으로 향후 영국 등 비(非) EU권 국가들과의 적정성 결정도 계속 추진할 계획이다. EU GDPR이 개인정보 보호 관련 국제 규범적 역할을 담당하고 있는 만큼, 이와 동등한 수준으로 인정받은 한국의 개인정보보호 법체계를 믿고 다른 나라들도 데이터 흐름을 자유롭게 열어줄 것으로 기대된다.

윤 위원장은 “영국과의 적정성 결정을 추진하는 것이 다음번 목표인데, 실무적으로는 영국에서도 긍정적인 반응을 보이고 있다”며 “우리나라의 개인정보를 다른 나라로 이전할 수 있는 제도도 도입할 수 있도록 관련 내용을 담은 개인정보 보호법 개정안을 지난 9월 국회에 제출했다”고 말했다.