사실상 제한없던 한국인 개인정보 국외이전, 이제 달라지나

임종철 디자이너 /사진=임종철 디자이너

개인정보의 국경간 이전에 최소한의 관리 시스템과 법적 보호장치를 적용하기 위한 움직임이 글로벌 차원에서 본격화되고 있다.

유사한 법적 보호장치를 갖춘 나라들의 기업들이 일정 기준을 충족했다고 판단되면 개인정보 이전을 용이하게 하도록 하자는 취지에서다. 사실상 거의 제한 없이 반출되던 한국인들의 개인정보도 보다 보호받을 수 있을 것이라는 기대도 커진다.


21일 KISA(한국인터넷진흥원) 등에 따르면 현재 CBPR(Cross Border Privacy Rules, 국경간 프라이버시 규칙)에 가입한 나라는 한국을 비롯해 미국 싱가포르 대만 일본 캐나다 호주 멕시코 필리핀 등 9개국이 있다.

CBPR은 APEC(아시아·태평양 경제협력기구) 회원국들이 APEC 프라이버시 9개 원칙을 근거로 공동으로 개발한 개인정보보호 인증체계다. 개인정보 수집·처리 과정에서의 사전 고지, 개인정보 목적 내 이용 여부, 피해구제 시스템, 정보주체의 열람·정정 권한 보장 여부 등 요건을 충족하면 부여하는 인증이다.

현재는 한국에서 사업을 영위하는 다국적 기업들이 한국인들의 개인정보를 수집·처리해 해외로 반출해가는 과정에서 개인 이용자의 동의만 받으면 된다. 현재 개인정보보호법 등 법령에서 규정한 의무는 '이용자 동의'만 있기 때문이다. 현재 이용자 다수가 '동의'를 형식적으로 남발하는 경향이 있다는 점을 감안할 때 기업들은 사실상 아무런 제한 없이 국외로 개인정보를 이전시킬 수 있다는 얘기다.


개인정보보호위원회가 지난해 발의한 개인정보보호법 개정안은 '이용자 동의' 외에도 △개인정보가 이전되는 국가의 개인정보 보호체계, 정보주체 권리보장 범위, 피해구제 절차 등이 국내 개인정보 보호 수준과 실질적으로 동일한 경우 △개인정보위가 인정하는 인증을 받은 경우에 국외로 개인정보를 이전할 수 있다는 규정을 뒀다. 그러나 이 법은 아직 1년 이상 국회에 계류돼 있어 언제 통과될지 미지수다.

정보통신망법·개인정보보호법에 따라 일정 규모 이상인 외국기업도 ISMS-P(정보보호 및 개인정보보호 관리체계 인증)를 의무적으로 획득해야 하는 경우도 있지만 다수 외국기업은 자율 판단에 따라 인증을 받거나 아예 안받는 경우도 있다. 개인정보의 국외이전 관련 구멍은 여전한 셈이다.

이같은 상황에서 APEC 회원국 중 9개국이 CBPR 인증 확대를 위한 움직임을 본격화하고 있는 것이다. 이달 초 서울에서 열린 '글로벌 CBPR 포럼 워크숍'에서는 한국을 비롯한 APEC 내 CBPR 회원국 9개국 외에도 영국, 브라질, 칠레 등 국가들까지 참가했다. 그만큼 개인정보 보호는 물론이고 개인정보의 국가간 이전을 통한 관심이 높다는 것을 방증한다.

CBPR(국경간 프라이버시 규칙) 개요 / 자료=KISA

CBPR 인증을 받은 나라들은 CBPR을 집행할 수 있는 관련 법령과 법 집행 체계가 구축됐다는 점에서 공통점이 있다. 해외 기업에 대해서도 간접적으로나마 개인정보 침해 등에 대해 법 집행을 할 수 있다는 점, 국가간 데이터 이전에 따른 교역 활성화 효과를 기대할 수 있다는 점 등 긍정적인 효과도 기대된다.

기업 입장에서도 CBPR 인증 취득으로 글로벌 수준의 개인정보보호 관리체계를 갖췄음을 증명할 수 있다. CBPR 참여국에서의 사업을 영위하는 기업들이 자국으로 개인정보를 이전하는 절차도 한층 용이해질 것으로 보인다. 미국은 IBM, 시스코, 애플 등 41개사가 CBPR 인증을 받았다. 일본과 싱가포르에서도 각각 4개사, 6개사가 인증을 받았다. 아직까지 국내에서는 CBPR 인증을 받은 기업들이 없다.

국내에서는 개인정보보호법에 의해 개인정보위가 법 집행기관으로, KISA가 CBPR 인증기관으로 지정돼 있으나 본격 CBPR 인증접수는 올해부터 개시됐기 때문이다. KISA 관계자는 "인터넷·게임업종을 비롯한 IT기업들이 인증신청을 접수했다"며 "1~2개월 준비기간을 포함해 6개월 정도 인증심사가 진행되는 걸 감안할 때 연내에는 1곳 이상의 기업이 CBPR 인증을 받을 것"이라고 했다.

CBPR 확산이 얼마나 이뤄질지에 대해 의구심을 표하는 이들도 있다. 국내 한 IT업계 관계자는 "B2C(개인대상 비즈니스) 등 개인정보를 취급하는 기업이 CBPR을 인정하는 나라에서 해외사업을 전개하고자 할 때 CBPR이 도움이 될 수는 있다"면서도 "CBPR은 자율 인증제도이기 때문에 인증이 없어도 해당 국가에서 해외사업을 하는 데는 아무런 문제가 없기 때문에 얼마나 많은 기업들이 선제적으로 가입할지는 의문"이라고 했다.