한-EU 상호 동등성 인정
EU로 국외이전 비용 부담 감소...개인정보 침해사고에 개인정보위-EU 공동 대응

[보안뉴스 강현주 기자] 앞으로 국내 기업 및 공공기관이 직원이나 고객 개인정보를 유럽연합(EU) 역내로 옮길 때 본인 동의 등 추가 요건을 거치지 않아도 된다.

개인정보보호위원회가 EU의 개인정보 보호 수준이 우리와 같은 수준이라고 인정하는 ‘동등성 인정’을 한 결과다.

고학수 개인정보보호위원회 위원장과 마이클 맥그라스 EU 민주주의·사법·법치·소비자 보호 담당 집행위원은 16일 서울에서 열린 글로벌 프라이버시 총회(GPA)에서 공동 언론발표문을 내고, 우리나라가 EU에 ┖동등성 인정┖을 부여했다고 밝혔다.


▲고학수 개인정보보호위원회 위원장이 16일 열린 글로벌 프라이버시 총회에서 개회사를 하고 있다. [자료: 연합]

지난해 9월 개인정보보호법 개정으로 동등성 인정 제도가 도입된 뒤 EU가 첫 대상이 됐다. EU는 2021년 EU 이외의 국가가 동등한 수준의 개인정보 보호 조치를 갖추고 있는지 평가하는 일반개인정보보호법(GDPR)의 적정성 결정 제도를 통해 한국으로 개인정보 이전을 허용한 바 있다.

당시 한국에 상응하는 제도가 없어 EU에서 한국으로 이전만 가능했지만, 이번에 한국이 EU를 상대로 동등성을 인정하며 양측 간 개인정보가 자유롭게 오갈 수 있는 체계가 완성됐다.

이번 동등성 인정은 개인정보 제공, 조회 가능, 위탁 처리, EU 지역 클라우드 보관 등 다양한 형태의 이전이 모두 해당된다. 다만 주민등록번호와 개인신용정보 이전에는 적용되지 않는다.

국내 개인정보처리자는 EU GDPR을 적용받는 EU 27개 회원국과 노르웨이·리히텐슈타인·아이슬란드 등 유럽경제지역(EEA) 소속 3개 국가 등 총 30개국에 개인정보를 추가 요건 없이 이전할 수 있게 됐다. 국외이전 비용 부담도 대폭 줄어들 전망이다.


[자료: 개인정보보호위원회]

한국인터넷진흥원(KISA)은 앞서 보고서를 통해 EU에 대한 동등성 인정으로 무역 규모가 최대 329억 달러(약 45조원) 증가할 수 있다고 전망하기도 했다. 중장기적으로 최대 0.326%의 생산효과와 최대 0.274%의 후생효과가 나타날 수 있다고 봤다.

개인정보위는 법률·산업계 전문가, 시민단체 등이 참여한 동등성 태스크포스(TF)와 국외이전전문위원회, 11차례의 한-EU 실무회의 등을 통해 EU의 개인정보 보호 체계, 정보주체 권리 보장 가능성, 감독 시스템, 피해구제 절차 등을 검토했다.

그 결과 EU가 GDPR을 통해 독립적 감독기관 운영과 권리보장 체계를 갖추고 있음을 확인했다고 설명했다.

또 EU에서 개인정보 침해가 발생했을 경우 정보주체가 회원국에 직접 조사와 처분을 요청할 수 있으며, 필요한 경우 개인정보위가 유럽집행위원회(EC)나 유럽개인정보보호이사회(EDPB)에 도움을 요청해 대신 처리할 수 있도록 협의했다.

이번 동등성 인정은 16일 효력이 발생하며, 2028년 9월 15일로부터 3개월 전 재검토를 시작한다.

검토 결과 보호 수준이 유지되지 않는다고 판단되면 인정이 변경되거나 취소될 수 있다. 이전된 개인정보가 적절히 보호되지 않아 피해가 발생하거나 우려가 크다고 인정되면 개인정보위가 이전 중지를 명할 수도 있다.

고 위원장은 “한국과 EU가 민간과 공공 전 영역에서 안전하고 자유로운 데이터 이전 체계를 마련한 만큼 앞으로 데이터 협력이 더욱 강화될 것”이라고 말했다.

[강현주 기자(jjoo@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>