EU 거주민 개인정보 대규모로 자동화 처리하는 금융·전자 분야 큰 영향
GDPR 확대 가능성 고려해 개인정보보호 생태계 구축 등 체계적 대응책 마련해야

[보안뉴스 김경애 기자] 유럽 일반 개인정보보호법 GDPR이 본격 시행됐다. 새로운 법인 GDPR이 앞으로 어떤 영향을 미칠지 관심이 집중되고 있다. 특히, 개인정보보호 패러다임의 변화와 함께 산업에 미칠 파급효과를 두고 갑론을박이 거세다. 경제적 측면에서는 비용 절감이라는 긍정적 시각과 무역장벽으로 작용한다는 부정적 시각이 함께 제기되고 있다. 이에 본지는 현재 유럽 진출 산업 분야와 투자 분야, 그리고 GDPR이 적용되는 수출입 기업이 준비해야 할 사항에 대해 살펴보고자 한다.


[이미지=iclickart]

우선 GDPR에 대한 긍정적 시각으로 EU 회원국간 법·제도의 통일성으로 인해 절감되는 행정비용이 연간 23억 달러로 추산되고 있다는 점이다. 이에 따라 EU 시장 확대 효과가 있다는 것.

반면, 역외 기업의 수출 감소와 역내 기업의 경쟁력 약화에 따른 무역장벽이 발생할 것이라는 우려의 시각도 있다. GDPR 시행에 따라 역내 중견·중소기업의 적응비용이 연간 최대 7,200유로로 예측되고 있으며, 역외 기업의 경우 해당 비용이 더 클 것으로 예상되고 있다.

GDPR 적용대상: 금융, 전자, 미디어, EU 수출 및 투자 품목 등 해당
그렇다면 GDPR이 적용되는 국내 산업분야는 과연 어디일까? 먼저 EU 거주민의 개인정보를 대규모로 처리하는 분야로 △금융, 보험, 소매, 의료, 여행 등 개별 소비자에게 서비스를 제공하는 기업 △미디어, 정보통신업 분야의 클라우드 기반 서비스, 플랫폼 기반 서비스, 데이터분석, 마케팅 등 △자동차, 가전 등의 마케팅, 비즈니스, 프로세싱, 시스템 지원 서비스 기업 등이 해당된다.

우리 기업의 EU 수출 및 투자 분야도 적용대상이다. 수출 호조로 투자가 활성화되고 있는 데이터 혁신, 플랫폼 비즈니스 연계 분야로, 구체적으로 살펴보면 △상품으로는 전자, 전기, 기계류, 소비재, 식품이며 △서비스는 IPR 사용료, 통신, 컴퓨터, 정보, 기타 서비스가 해당된다. △투자는 전문서비스업, 통신, 출판, 정보서비스업 등이, △스타트업 진출 분야는 전문·과학·기술, 출판·영상·정보통신, 교육 서비스 등이 해당된다. 현재 한국 창업기업의 유럽 진출 비중은 8.1%(창업진흥원, 2017)로 추산되고 있다.


[표=한국무역협회 수출입통계]

특히, 한국무역협회 수출입통계가 발표한 2016년, 2017년 기준으로 전년 대비 2년 연속 EU 수출 증가 품목이 주요 적용대상이다. 전자, 전기 품목군은 TV카메라 및 수상기, 보조기억장치, 계측기, 의료용전자기기, 센서, 에어컨, 기타가정용전자제품 등 34개, 기계 품목군은 승용차, 의료용기기 등 22개, 소비재군은 면류, 음료 등 농수산식품군 32개, 위생용품 등 생활용품군 9개, 의약품, 화장품 화학제품군 2개 등으로 집계되고 있다.

1. GDPR, 확산 가능성 고려해 대응해야
그렇다면 유럽으로 수출입하는 기업들은 어떻게 해야 할까? 이와 관련 대한무역투자진흥공사(KOTRA) 시장조사팀 김정곤 전문위원은 △GDPR 확산 가능성 고려 △개인정보보호 생태계 구축 △전문가 및 정부·유관기관과의 네트워크 구축이 필요하다고 강조했다.

GDPR 확산 가능성 고려와 관련해 김정곤 전문위원은 “EU GDPR은 이제 막 시작된 것으로, 향후 더 넓은 지리적 적용 범위와 유사한 형태의 법제로 확산될 가능성이 높다”며 “소비자와 접점을 가진 모든 산업 분야에 광범위하게 적용될 가능성이 높아 이를 염두에 두고 대응해야 한다”고 전망했다.

또한, 개인정보보호와 활용 사이에 균형을 유지하는 것이 기업과 정부의 과제가 되고, 데이터 혁신을 통해 B2C 접점이 더욱 늘 것으로 전망하면서 개인정보보호 강화 추세를 비용 요인으로만 접근하기는 어려운 상황이라고 설명했다.

이번 GDPR 시행을 개인정보보호 규제 컴플라이언스 수준을 높이는 기회로 삼아 개인정보 수집·이용의 투명성과 일관성을 담보함으로써 기업과 소비자간 신뢰를 구축하고, 지속적인 기업 성장의 발판을 마련해야 한다고 덧붙였다.

김 위원은 “개인정보 유출사고 발생시 EU 집행기관의 GDPR 집행 수준이 어느 정도 될지, 그리고 정보주체의 권리행사는 어떻게 진행될지 예상이 어렵기 때문에 이 부분에 주목해서 준비해야 한다”며 “특히, 중소기업이나 위험도가 낮은 데이터를 다루는 기업의 경우 정보주체가 제기하는 컴플레인 리스크가 클 수 있어 유럽 정보주체의 요구에 대응할 준비에 신경써야 한다”고 당부했다.

2. 해외 협력업체의 정보보안 역량 관건, 상호계약 중요
개인정보보호 생태계 구축과 관련해서는 해외 협력업체의 정보보안 역량이 해당 기업의 정보보호 수준에 영향을 미칠 것이라고 언급했다. 무엇보다 공급자, 외주업체, 대리점 등과 네트워크가 구축된 기업은 해당 네트워크와 시스템을 악용한 해커의 공격이 빈번하게 발생할 수 있기 때문에 보안조치에 대한 상호계약 합의 등이 필요하다고 강조했다.

마지막 세 번째로 전문가 및 정부·유관기관과의 네트워크를 구축해야 한다는 김 위원은 GDPR의 실제 적용에 있어서는 시행착오를 동반할 것으로 전망하면서 이 과정에서 사물인터넷, 클라우드, 블록체인 등 신기술을 도입한 기업의 의견이 더욱 중요해질 것이라고 말했다. 이와 함께 기업과 정부, 유관기관이 협력해 산업·업종별 개인정보 활용 가이드라인(Code of Conduct)을 준비해야 한다고 설명했다.

이외에도 △국내외 인증제도 활용 △개인정보보호 적용 설계(Privacy by design and by default) 도입 △개인정보보호 영향평가(DPIA)의 선제적 도입 △데이터보호책임자(DPO) 역량 강화 등이 요구된다고 밝혔다.

한편, GDPR이 본격 시행되고 있는 가운데 시행 행정안전부, 방송통신위원회, 개인정보보호위원회가 공동 주최하고, PIS FAIR 2018 조직위원회와 한국인터넷진흥원이 공동으로 주관하는 국내 최대의 개인정보보호 행사 개인정보보호페어(PIS FAIR 2018)가 5월 31일부터 6월 1일까지 코엑스 그랜드볼룸에서 개최될 예정이다. PIS FAIR 2018에서는 EU 사법총국 담당 베라 요로바 집행위원이 내한해 GDPR 관련해서 강연하고, 국내 기업 CPO들과 간담회도 진행할 계획이다.
[김경애 기자(boan3@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>