30일 개인정보보호위원회에 따르면 한국은 개인정보보호에 있어 EU 회원국에 준하는 지위를 부여받아 EU로부터 한국으로의 자유롭고 안전한 정보의 흐름이 가능하게 됐다.
윤종인 개인정보보호위원회 위원장은 "그동안 EU 진출 기업들은 주로 표준계약조항 등을 통해 EU 시민의 개인정보를 국내에 이전해 왔는데, 상당한 시간과 비용 투자해 왔음에도 관련 규정 위반에 대한 과징금 부과 등의 부담이 존재했다"면서 "이번 적적성 결정으로 표준계약조항 등 기존의 까다로운 절차가 면제돼 한국 기업들의 EU 진출이 늘어나고 시간과 비용이 절감될 것으로 기대된다"고 말했다.
그동안 EU 진출 한국 주요기업들은 주로 표준계약조항 등을 통해 EU 개인정보를 국내로 이전해 왔다.
표준계약조항은 EU 집행위 또는 회원국 감독기구가 승인한 개인정보보호원칙, 내부규율, 피해보상 등 필수적인 조항을 계약서 형식으로 표준화한 것이다. 이같은 적정성 결정을 받지 못한 국가는 표준계약조항을 통해 EU 개인정보를 활용했으나 많은 시간과 비용이 필요했다.
실제 EU가 지난 2018년 일반 개인정보보호법(GDPR)을 시행하면서 국내 주요 기업들은 EU에서의 사업에서 어려움을 겪었다.
삼성전자, LG전자, 현대차, SK텔레콤, 네이버 등 EU 진출기업은 표준계약조항을 이용한 계약 체결을 위해 GDPR과 해당 회원국의 법제에 대한 면밀한 법률 검토, 현지 실사, 기타 행정절차를 밟아야 했다. 이로 인해 3개월에서 1년 정도의 시간과 프로젝트별로 약 1억~2억원의 비용이 소요됐다. 그럼에도 GDPR 관련 규정 위반에 따른 과징금(최대 전세계 매출 4%) 부과 등 위험 요인이 있었다. 특히 중소기업들은 표준계약 자체가 어려워 EU 진출을 포기하고 있는 일도 많았다.
당시 이해진 네이버 창업자 겸 글로벌투자책임자(GIO)도 GDPR 시행으로 인한 어려움을 호소하기도 했다.
이해진 GIO는 지난 2018년 진행된 국회 과학기술정보방송통신위원회 국정감사에서 "GDPR이라고 해서 유럽은 자국 데이터를 보호하고 있다"면서 "미국 등은 EU와 협정을 맺는 등 대응하고 있지만 우리는 체결이 안돼 있어 프랑스 사업을 하는데 어려움을 겪을 수 밖에 없다"고 했다.
이번 합의까지 4년이 걸렸다. 우리나라와 EU는 지난 2017년 적정선 논의를 시작했다. 그러나 독립적인 개인정보 감독기구가 없는 상황이어서 핵심기준을 충족하지 못했다. 양측간 협의도 두차례 중단됐다. 지난해 데이터3법 개정에 따라 개인정보위가 독립감독기구로 확대 출범하면서 협상은 급진전했다.
한국이 개인정보 국외이전에 있어 EU회원국에 준하는 지위를 부여받으면서 EU 진출 기업들은 EU 개인정보를 한국 본사로 보내는 과정이 간소화됐다. 이에 따라 표준계약조항을 이용하지 않아도 돼 비용, 시간, 법적리스크가 감소해 적극적인 영업 활동이 가능할 것으로 보인다. 특히 EU에 본사를 둔 기업이 고객 개인정보를 활용해 사업을 진행하는 과정에서 한국의 전문성 있는 데이터 연구 기업과의 제휴도 한층 쉬워질 것으로 예상된다.
윤 위원장은 "이번 적정성 결정은 글로벌 선진국 수준의 개인정보보호 국가로서 한국의 위상을 확인한 것이다. 한국 기업들이 데이터 경제 시대의 주역으로 성장할 수 있는 기반을 마련했다는 데 의미가 있다"고 말했다.
한편, GDPR이 시행된 뒤 프랑스 개인정보 감독기구(CNIL)는 구글에 GDPR 위반으로 5000만유로의 과징금을 부과한 바 있으며, 독일 개인정보 감독기구(BfDI)는 H&M에 3526만유로, 이탈리아 개인정보 감독기구(Grante)는 이통사 TIM에 2780만유로의 과징금을 부과하는 등 위반 사례가 잇따라 적발됐다. syj@fnnews.com 서영준 기자
※ 저작권자 ⓒ 파이낸셜뉴스, 무단전재-재배포 금지