데이터 3법으로 EU 요구사항 만족…코로나19 종료 후 3개월 내 결정 가능
[데이터넷] 코로나19가 EU GDPR 적정성 결정 시기까지 영향을 미치고 있다. EU GDPR은 유럽 시민의 개인정보를 보호하기 위한 규제이며, 적정성 결정은 EU가 상대국 개인정보보호 법제 보호 수준이 GDPR과 동일한 수준인지 여부를 판단하는 것이다.
적정성 결정이 되면, 우리나라 개인정보보호법을 준수하는 개인정보 보호 방안이 마련되면 EU 시민 개인정보 역외이전이 가능하게 된다. 그렇지 않으면 역외이전 시 개별 기업과 기관이 EU와 각각 협상해야 해 시간과 비용 부담이 크다.
적정성 결정 대상 국가는 전 세계 13개국이며 지난해 일본이 적정성 결정을 받았다. 우리나라는 개인정보 보호 정책을 총괄하는 독립된 기구가 미비하다는 등의 이유로 적정성 결정이 미뤄졌다. 우리 정부는 지난 1월 데이터3법이 통과되며 개인정보호 보호위원회가 정책을 총괄하는 독립기구로 격상되면서 적정성 결정 기준을 충족하게 된 것으로 판단했다.
우리 정부는 이변이 없는 한 상반기 중 적정성 결정이 될 것으로 기대하고 있었으나 코로나19가 유럽에서 심각한 상황으로 진화하고 있어 향후 전망이 불투명한 상황이다.
오용석 한국인터넷진흥원 개인정보정책단장은 “개별 기업이 EU와 개인정보 역외이전 협의 시, 컨설팅 및 제반비용에 1억원 이상 소요돼 상당한 부담이된다. 적정성 결정이 완료되면 이러한 부담을 줄일 수 있어 우리 기업의 EU 시장 개척에 도움이 될 것으로 기대된다”며 “그코로나19가 종식되면 3개월 내 적정성 결정이 될 것으로 예상하고 있다”고 말했다.
KISA는 우리 기업의 GDPR 준수를 지원하기 위해 실태조사와 맞춤형 컨설팅, 실무 맞춤형 GDPR 교육, 자가진단 지원 등을 진행하고 있다. 또한 EU 현지에 연락사무소를 개설해 현지에 진출한 우리 기업을 지원한다.
KISA, 개정 개인정보보호법 준수 지원
지난 1월 국회 본회의를 통과한 데이터 3법은 개인정보보호법, 정보통신망법, 신용정보법 등 개인정보와 관련된 법 조항을 개인정보보호법으로 통합해 중복되거나 충돌하는 규제를 개선하고, 개인정보보호위원회(이하 위원회), 행정안전부, 과학기술정보통신부, 방송통신위원회 등에 분산된 개인정보 보호 정책 권한을 위원회로 일원화하고 위원회를 국무총리 산하 행정기관으로 격상하며 독립된 행정권한을 행사하도록 한 것이다.
더불어 개인정보의 개념을 명확화하고 특정 개인을 알아볼 수 없도록 조치한 가명정보는 통계작성, 과학적 연구, 공익적 기록 보존 등에 사용하도록 했다. 더불어 가명정보를 결합해서 사용할 수 있지만, 결합된 가명정보가 특정 개인을 식별할 수 있다면 사용하지 못하도록 했다.
또한 전문기관의 승인을 거쳐 재식별 가능성이 없다는 것을 인정 받은 후 사용할 수 있게 해 가명정보의 안전한 활용을 보장했다. 위반시 4억원 이하 또는 전체 매출의 3% 이하 과징금, 5년 이하의 징역 또는 5000만원 이하의 벌금을 부과하도록 했다.
개정된 개인정보보호법은 8월 5일 시행될 예정이며, 관계기관은 법률 구체화를 위한 행정입법에 착수, 4월 중 시행령 입법예고, 5월 중 행정규칙에 대한 행정예고를 추진한다. 더불어 의료, 복지, 금융, 고용 등 정보특성 고려한 분야별 개인정보 처리 가이드라인을 마련하며, 총 42개 개인정보 관련 가이드라인 제·개정을 추진한다. 이와 함께 법 개정으로 새롭게 도입된 개념이나 내용이 구체적 예시나 사례 통해 이해될 수 있도록 해설서를 개정할 계획이다.
오용석 단장은 “그동안 시민단체 등에서 지적해 온 가명정보 활용에 대한 법적 근거를 마련하고 과징금 수준을 높였으며, 전문기관의 검증 등의 대책을 마련하는 등 개인정보처리자의 책임성을 강화했다. 또한 중복·충돌되거나 비현실적인 규제를 개선해 데이터 경제 활성화를 위한 기반을 마련할 수 있도록 했다”며 “데이터 경제 활성화를 위해 앞으로도 적극 지원할 것”이라고 말했다.
