이효성 방통위원장 “GDPR 적정성 평가 위해 법 개정 시급”

[이뉴스투데이 김은지 기자] 방송통신위원회가 지난달 25일 발효된 유럽연합(EU)의 새 개인정보보호규정(GDPR, General Data Protection Regulation)과 관련 EU 개인정보 역외이전이 자유롭게 진행될 수 있도록 '적정성 평가'를 받는 데 전력을 기울이는 동시에 국회 차원의 법안 통과 필요성을 강조했다. 

이효성 방통위 위원장은 14일 정부 과천청사에서 기자들과 만나 "국가에서 '적정성 평가'를 받아 협약을 완료하면 개인이나 기업이 자유롭게 유럽에서 사업을 하고 유럽 내 개인정보를 한국으로 이전할 수 있게 된다"며 "그러나 우리는 정보통신망법에 '정보 이전' 조항이 없고, 현재 국회에서 계류 중인 정보통신망법 개정안이 통과할 시에는 '적정성 평가'의 조속한 통과에도 영향을 미칠 것으로 본다"고 밝혔다. 

GDPR은 기업들이 EU 가입국에서 발생하는 '거래(상행위 또는 트랜젝션)'에서 EU 국민들의 개인 데이터와 프라이버시를 보호할 것을 의무화하는 규정이다. 적용 항목이 매우 광범위 한데다 개인정보 관리에 대해 매우 강도 높은 규제 수준을 포함한다. 

이 규정은 개인 데이터의 EU 외부 유출과 관련된 내용을 다루고, 규정을 위반할 시 사안의 경중에 따라 최대 세계 매출액의 4% 또는 2000만 유로(약 260억) 중 높은 금액의 과징금을 부과한다. 비교적 대응체계를 잘 갖춘 대기업보다는 EU 시민에게 상품과 서비스를 제공하는 중소기업들에게 막대한 부담이 될 수밖에 없다.

다만 국가가 적정성 평가를 경우에는 역외이전에 관한 항목에서는 면제를 받는다. 적정성 평가는 EU 집행위원회가 제3국의 개인정보 보호수준이 EU와 본질적으로 동등한지 평가하는 제도이다. GDPR이 명시한 개인정보 국외 이전 조건에 따르면 EU가 상대국의 개인정보 보호 체제의 동등성을 평가하는 제도인 ‘적정성 평가’, 구속력 있는 기업 규칙(BCR), 표준계약 조항의 활용 등과 같이 GDPR이 정한 방법을 충족할 경우 개인정보의 EU 역외 이전이 가능하다.

한국이 적정성 결정을 받으면, EU 지역에 진출한 국내 기업이 현지 개인정보보호 규제에 따른 부담과 불이익을 당하지 않게 돼 영업활동에 큰 도움이 될 것으로 정부는 전망하고 있다. 현재 적정성평가는 12개국에서 통과했으며 우리나라는 일본과 함께 EU의 적정성 평가 우선 대상국에 지정돼 있다.

방통위 관계자는 "국내법을 EU의 GDPR 등 국제적 수준에 맞추기 위해 정보통신망법 내 실효성 확보를 하는 것과 더불어 적정성 평가를 연내 통과하는 것을 가장 중요하게 보고 있다"고 말했다.

일본의 경우 국내보다 GDPR 적정성 평가 대응 움직임이 1년여 정도 빨랐다. 실제 아베 총리가 지난해 3월과 7월 직접 벨기에 브리쉘에 위치한 EU 집행위를 방문하고 일-EU간 정상회담을 개최해 공동선언문을 발표한 바 있다. 올해까지 일본의 연내 EU 적정성 평과 통과를 진행키로 합의한다는 내용이 포함됐다. 

당시 한국에도 EU 측의 제안이 있었으나 대선, 방통위 인선 등의 영향으로 EU 사법총국 집행위원들과의 만남이 불발됐다. 이후 지난해 11월에야 이 위원장이 유럽연합 사법총국 담당 베라 요로바 집행위원과 EU 본부에서 만나 개인정보보호와 양측 간 정보유통에 대한 상호 협력 강화 방안을 논의하고 이를 위한 공동성명을 발표하는 등 대응을 시작했다. 

정치권에서는 앞서 일본 아베 총리가 직접 EU를 방문한 전력이 있는 점을 들어 우리나라에서도 연내 최고위급이 EU에 직접 방문해 회담을 개최하고, 우리나라의 GDPR 적정성 연내 통과 방안 협의를 마무리할 가능성이 있는 것으로 언급하고 있다. 

한편, 2016년 방송통신위원회는 정보통신망법을 위반해 국외이전 또는 재이전이 이루어져 이용자의 권리가 침해될 우려가 있으면 방통위가 국외(재)이전 중단 명령을 할 수 있도록 규정하는 '정보통신망 이용촉진 및 정보보호 등에 관한 법률' 개정안을 의결했다.

현행 규정은 국외이전의 경우에도 계약 이행을 위해 필요한 경우를 사전동의 예외로 규정하고 있다. 이를 보완해 법률 등에 특별한 규정이 있는 경우, 국외 이전받는 자가 방통위가 지정하는 인증을 받은 경우를 예외사유로 추가했다.

또 개정안은 부정한 수단 ·방법으로 개인정보를 수집한 경우에는 지금과 같이 형벌과 행정제재를 동시에 부과하되, 이 외의 경우에는 행정제재만 부과할 수 있도록 형벌 적용요건을 강화했다.