KISA "개인정보보호법 시행령 이달 31일 입법예고 예정"

한국-EU GDPR 적정성 결정 진행경과/사진제공=KISA

정부가 개인정보보호법 시행령의 입법예고를 이르면 오는 31일 추진할 계획이다. 개인정보보호법 시행령이 마련되면 그간 EU(유럽연합)에 진출한 기업들에 사실상 '비관세장벽'으로 존재하던 EU 일반 개인정보보호법(GDPR) 적정성 심사도 속도를 낼 가능성이 높다.


29일 한국인터넷진흥원(KISA)에 따르면 오는 31일 개인정보보호법 시행령이 입법예고될 예정이며 다음달 말에서 5월초에 시행령 고시 행정예고가 진행될 예정이다. 지난달 4일 공포된 개정법은 6개월의 유예기간을 두고 오는 8월5일부터 시행된다.

오용석 KISA 개인정보보호정책단장은 "보호위원의 겸직 금지, 가명정보 결합·반출 기준, 관리·감독 기준 등의 내용이 담긴 시행령이 이르면 31일 입법예고될 것"이라며 "데이터 결합의 세부절차 등을 담은 고시 등의 행정규칙은 4월말에서 5월초 사이 추진될 예정"이라고 설명했다. 또 의료, 복지, 금융, 고용, 교육 등 분야별 총 42개 개인정보 처리 가이드라인의 통폐합 등도 추진하고 있다. 새롭게 도입된 개념이나 내용에 대해 구체적인 예시 및 사례를 통해 이해를 도와주는 해설서도 8월 개정법 시행 전에 마련할 계획이다.

EU 일반 개인정보보호법 개요/사진제공=KISA

아울러 KISA는 지난 1월 데이터3법(개인정보보호법·신용정보법·정보통신망법) 개정으로 EU GDPR 적정성 심사가 이르면 상반기 내 완료될 것으로 예상했으나 이번 코로나19 사태로 다소 늦춰질 것으로 전망했다.


적정성 평가는 EU가 GDPR를 기준으로 상대국의 개인정보보호 수준을 평가하는 제도다. 평가를 통과해 적정성 결정이 내려지면 해당국 기업은 EU에서 수집한 개인정보를 역외로 이전하는 것이 허용되나 그렇지 못한 국가는 기업이 개별적으로 표준계약을 체결하는 등 행정 부담을 지게 된다.

그동안 우리나라는 개인정보보호 감독기관의 독립성 부족을 이유로 적정성 승인이 두 차례 불발됐다가 이번 데이터3법 국회 통과로 적정성 결정이 통과될 것으로 예상된다.

오 단장은 "실무적인 상황뿐만 아니라 정치적 상황도 고려해야하지만 코로나19 사태만 진정되면 3개월 이내 결정될 것으로 본다"면서 "코로나가 가장 관건"이라고 말했다.

또 "GDPR 가입절차는 EU 집행위원회 실무자가 개인정보보호 규제 수준을 GDPR과 맞는지 살펴보는 초기 결정 외에도 몇가지 단계를 거쳐야 한다"면서 "개인정보 감독기구, EU 각국 대표와 외교·법 관련 실무부서 검토, EU 의회 최종승인을 거쳐야 한다는 것을 감안하면 상반기 내 결정이 이뤄지는 것이 힘들 수 있다"고 덧붙였다.

지난 1월에 데이터3법 개정안이 통과되기까지는 EU GDPR이 '개인정보의 국외이전'을 엄격하게 통제하고 있다는 부분이 상당한 영향을 미쳤다. 오 단장은 "한국이 EU GDPR의 적정성 결정을 받지 못하면 개별 기업이 EU 규제 당국과 협의를 해야한다"며 "이 경우 개인정보보호 관련 조항을 하나 만드는데만 약 1억원 정도의 비용이 든다"고 설명했다.

이어 "여러 항목에 대한 컨설팅을 받을 경우 최대 40억원까지도 비용이 지출되는 것으로 알고 있다"며 "EU에 진출해서 사업하는 개별기업의 부담을 덜기 위해선 적정성 심사 통과가 필요하다"고 강조했다.