강력한 제재를 담은 유럽연합(EU)의 새 개인정보보호규정(GDPR)이 지난 25일(현지시간) 발효됐다.
GDPR은 기업의 개인정보보보호 의무를 대폭 강화한 조치로 ▷개인의 열람권, 정정권 등 권리 확대 ▷정보보안책임자(DPO) 의무 임명 등이 주 내용이다. 위반 시 직전 회계연도 전 세계 매출액의 4% 또는 2000만유로 중 더 큰 금액을 과징금으로 부과하는 강력한 제재 방안을 담고 있다.
EU는 GDPR이 개인정보 보호에 있어 국제사회의 새 기준으로 자리매김할 것으로 기대하고 있다. 베라 요우로바 EU 법무담당 집행위원은 "오늘날 사람들은 벌거벗고 있는 것과 같다"며 "GDPR은 유럽인이 자신의 정보를 스스로 통제할 수 있는 계기로 작용할 것"이라고 말했다.
페북·구글 등 GDPR 발효 첫날부터 피소
2년 유예기간을 거친 GDPR이 본격 발효되자마자 후폭풍이 거세게 일고 있다. 시행 첫날 구글과 페이스북 등 거대 정보기술(IT) 기업들이 제소를 당했고, 미국 일부 언론사들은 요건을 총족하지 못해 사이트를 유럽에서 일시 폐쇄했다. EU의 강력한 정보 규제가 글로벌 IT 기업들을 공포로 몰아가는 분위기다.
지난 25일 개인정보보호단체 Noyb는 프랑스·독일·오스트리아·벨기에 등 국가에서 구글과 페이스북 등을 제소했다. 이 단체는 2017년 개인정보보호 등 디지털 권리 보장을 위해 오스트리아에 설립된 비영리단체다.
noyb 측은 성명을 통해 "GDPR은 서비스 이용시 수집해야하는 개인정보 데이터를 엄격하게 필요한 수준으로 제한하고 있다"며 "해당 기업들이 광고활용을 위해 이용자들의 개인정보를 사실상 강제하고 있다"고 밝혔다.
같은 날 유럽 국가에서 LA타임스와 시카고트리뷴 등 미국 주요 언론사 홈페이지 접속이 중단되는 혼란도 발생했다. 접속이 중단된 언론사들은 "유감스럽게도 새 규정에 대응하지 못해 대부분의 유럽 국가에서 현재 사이트를 이용할 수 없다"며 "EU 시장에 웹서비스를 지원하기 위한 대책 마련에 최선을 다하고 있다"는 공지를 띄웠다.
잘 지키면 규제비용 줄고 시장 확대 기회
GDPR은 기존의 개인정보보호 지침과 달리 EU 전체 회원국을 직접 구속하는 통합 규정이다. 정보 주체의 권리 강화, 기업의 책임 강화, 피해 구제와 집행 강화를 특징으로 조항만 99개에 달할 정도로 적용 범위와 내용이 광범위하다.
또 고객의 동의가 있을 때만 기업이 데이터 처리를 할 수 있는 것이 원칙으로, 기업은 데이터를 필요 이상으로 오래 저장할 수 없고 데이터 삭제를 원하는 고객의 요청에도 응해야 한다. 기업이 개인정보를 침해한 경우에는 72시간 이내에 감독 기구와 정보 주체에 알려야 한다.
반면, GDPR을 선제적으로 잘 대비한 기업의 경우 규제 비용을 줄이고 글로벌 시장에 진출할 수 있어 기회라는 반응도 나오고 있다. 기업들이 EU 28개국에 일괄 적용되는 GDPR에 대한 대응 시스템을 완비해놓는다면 해외진출이 이전보다 훨씬 용이해질 수 있다는 분석이다. 즉, 하나의 개인정보보호 규제를 지키면 되는 것으로 규제비용이 28분의 1로 줄고, 시장은 28개국으로 확대된다는 의미다.
국내·외 전문가들은 빅데이터, 5G 시대에 중국, 러시아 등이 개인정보보호 강화 추세로 가고 있어 GDPR 시스템만 구축해도 글로벌 규제 비용은 크게 줄일 수 있다고 판단하고 있다.
한국도 GDPR 예외 아냐
GDPR이 유럽에서 시행된다고 해서 국내에 영향이 전혀 없는 것은 아니다. GDPR의 적용 대상은 EU 회원국에 본사 또는 지사 등 사업장을 두고 운영하고 있는 기업, 해당 지역에 진출하지 않았더라도 EU 회원국 국민들의 재화나 서비스를 제공하고 개인정보를 취급하는 기업 모두에 해당된다.
한국은 지난해부터 한국인터넷진흥원(KISA)을 중심으로 GDPR 설명회를 개최하고, 안내서를 발간하는 등 기업들의 인식 제고에 나서고 있다. 특히, EU와 연내 '적정성 평가' 통과를 위한 협의를 진행 중이다. 적정성 평가는 제3국의 개인정보 보호수준이 적정한지 평가하는 제도다. 인정받은 국가의 기업들은 별도 규제 없이 개인정보를 EU로부터 역외 이전이 가능하다.
현재 기업들은 매번 개별적으로 EU 회원국의 승인절차를 거쳐 한국으로 개인정보를 이전해오고 있다. 시간과 비용 소모가 막대하다. 한국이 EU로부터 적정성 평가를 받게 되면 까다로운 개별 절차를 거치지 않고 EU에서 한국으로 개인정보를 이전할 수 있게 된다.
업계 관계자는 "개인정보 보호는 기업들이 따라야 할 정책이지만 아직은 기업경영에 부담이 되는 만큼 GDPR의 시행은 기업들의 개인정보보호 대책을 위한 시작점이 될 것으로 보인다"고 평가했다.
최지웅 기자 jway0910@dailysmart.co.kr
