EU 개인정보보호법 도입 1년…韓 관련 법 국회 계류

최광희 KISA 개인정보정책단장이 10일 EU의 GDPR 시행 1년간의 성과와 국내 준비 형황 등을 설명하고 있다/사진=KISA

강화된 개인정보보호를 내세운 유럽의 개인정보보호법(GDPR)이 시행된 지 1년이 지났지만, 국내에선 여전히 관련법 개정안이 공회전을 하고 있다는 지적이 나왔다. 관련법이 정립되지 않아 우리나라에 대한 EU의 GDPR 적정성 평가 승인이 지연되고 있어서다.

12일 한국인터넷진흥원(KISA)에 따르면, 우리나라는 2017년 1월 일본과 적정성 평가 우선 협상국으로 선정됐다. 그러나 일본이 올해 1월 평가를 완료한 반면, 우리나라는 아직까지 GDPR 적정성 평가 기준 마련을 담은 개정안이 국회를 통과하지 못해 심사도 진행되지 못한 상태다.


최광희 KISA 개인정보정책단장은 "적정성 평가 승인이 지연되는 사이 EU 집행위가 인도 등 다른 나라와 협상을 개시한다면 한국이 우선순위에서 밀려날 수 있다"고 말했다. 이어 "우리나라는 국회에 발의된 개정안을 가지고 EU 실무진과 커뮤니케이션하고 있다"고 덧붙였다.

GDPR은 기존보다 강화된 개인정보보호법으로 적용 대상이 EU 내 사업자뿐만 아니라 EU 내 거주자 개인정보를 처리하는 전 세계 기업으로 확대됐다. GDPR 적정성 평가는 EU 밖으로 개인정보 이전을 허용하는 제도다. EU로부터 적정성 평가 최종 승인을 받으면 해당 국가 사업자는 EU 개인정보 이전에 대한 적법성을 얻게 된다.

GDPR 위반 과징금은 1000만유로(약 124억원)으로 높다. 심각한 위반 사항이 발견됐을 땐 2000만유로(약 248억원)의 과징금을 낼 수도 있다. 이 때문에 GDPR은 유럽 진출을 준비하는 기업들에게 최대 리스크로 꼽힌다. 국가 차원에서도 GDPR 적정성 평가를 서둘러야 하는 이유다.


EU 적정성 결정 속행을 위한 선결과제로는 국회의 개인정보보호법 개정안 통과가 꼽힌다. 현재 국회에 발의된 개인정보보호법 개정안 만 총 46건이다. 주요 내용은 개인정보보호위원회의 독립성 강화, 가명정보 개념 도입 등이다.

GDPR 시행 이후 올해 1월 기준 EU 역내 감독기구 관련 민원은 9만5000건 이상 접수됐다. 프랑스와 독일, 포르투갈, 폴란드, 덴마크 등의 기업에서 과징금 부과 사례도 나왔다. 구글은 플아스에서 GDPR 위반으로 벌금 5000만 유로(약 653억원)을 부과받았다. 일반적이고 모호한 설명으로 명확한 정보를 제공하지 않았다는 점에서 '투명성' 위반과 불충분한 정보 제공으로 개인 맞춤형 광고에 요구되는 '유효한 동의'를 받지 않았다는 이유에서다.

포르투갈의 의료기관은 의사 이외 직원들에게 환자의 개인정보 접근권한을 부여하는 등의 위반 사례가 적발돼 벌금 5억원을 부과받았다. 덴마크 택시사업자는 보유 기간이 넘은 고객의 승차정보를 보관해 벌금 2억원을 내야 했다. 승객의 승차이력 데이터 보존을 위해 전화번호만 보관하고 승객 이름을 삭제해 개인정보를 익명화했다고 주장했지만, 전화번호로 개인 식별이 가능한 점에서 개인정보 최소화 원칙을 위반했다고 결론이 났다.

국내에선 GDPR 전담 상담 창구를 개설해 운영 중이다. 지난해 말 기준으로 상담건수는 230여건에 달했다. 기업 실무자의 GDPR 이해를 돕는 가이드북 등 콘텐츠를 개발해 배포하고 있고, 홈페이지를 개설해 관련 정보를 제공한다.