4년 만에 EU ‘적정성 평가’ 통과

유럽에서 사업을 하는 우리나라 기업들은 개인정보 보호를 제대로 한다는 것을 유럽 당국에 입증하기 위해 법률 검토와 현지 실사, 기타 행정절차까지 개별 기업 차원에서 해야 한다. 기간도 길면 1년이 걸리고 비용도 1억∼2억원이 들어가기 때문에 규모가 작은 중소기업은 아예 유럽 진출을 포기하는 사례도 있었다. 하지만 앞으로는 별도 절차 없이 유럽 시민들의 카드 결제 정보나 배송을 위한 주소 정보 등 다양한 개인정보를 사용하는 것이 가능해진다. 우리나라 개인정보 법체계가 유럽연합(EU)과 동등한 수준으로 인정받았기 때문이다.

윤종인 개인정보보호위원장은 30일 디디에 렝데르 EU 법무담당 집행위원과 공동으로 우리나라가 EU 일반개인정보보호법(GDPR) 적정성 평가에서 초기결정 단계를 통과했다고 발표했다. 양측이 2017년 논의를 시작한 지 4년여 만이다.

적정성 평가는 EU가 GDPR을 기준으로 역외 국가의 개인정보보호 수준을 평가하는 제도다. 특정 국가의 개인정보보호 조치가 EU와 동등한 수준임을 인정하는 적정성 결정을 내리면 해당국 기업은 EU 회원국처럼 자유롭게 EU 시민의 개인정보를 자국으로 이전해 처리하는 것이 가능해진다. 반면 적정성 결정을 받지 못하면 개별 기업마다 EU가 요구하는 개인정보보호 조치를 하겠다는 표준계약을 각각 체결해야 한다.

양측은 이날 공동발표문을 통해 “개인정보보호 분야에서 한국과 EU 사이에 높은 수준의 동등성, 특히 최근 시행된 한국의 개정 개인정보보호법에 따라 개인정보위의 권한이 강화돼 그러한 동등성이 한층 더 향상됐음을 확인했다”고 밝혔다. 발표문은 이어 “개인정보 교류상의 보호를 보장하는 동등성을 구축함으로써 적정성 확인은 EU로부터 한국으로의 자유롭고 안전한 정보의 흐름을 가능하게 할 것”이라며 “또한 한·EU 자유무역협정(FTA)을 보완해 EU와 한국 간 협력을 강화할 것”이라고 덧붙였다.

EU 집행위원회가 적정성을 확인하고 초기결정을 채택하면서 이제 남은 절차는 EU 정보보호이사회 의견 수렴과 EU 집행위원회 최종 의결만 남겨 놓게 됐다. 개인정보위는 적정성 결정 단계의 80∼90% 비중을 차지하는 초기결정이 마무리된 만큼 이르면 상반기, 늦어도 하반기 중에는 적정성 최종결정이 이뤄질 것으로 내다봤다. 윤 위원장은 브리핑에서 “이번 적정성 초기결정으로 한국의 위상이 높아지고 이를 기반으로 한국 기업들이 데이터 경제 시대의 주역으로 성장할 수 있는 기반을 마련했다”고 말했다.