한국-EU '데이터 국경' 해체…기업, 개인정보 자유이전 가능

한국 기업들이 앞으로 직원이나 고객 등의 개인정보를 유럽연합(EU)에 소재한 지사나 다른 기업 등에 이전하는 것이 본인 동의 등의 추가적 절차 없이도 가능해진다. 개인정보 이전 규제가 사실상 사라지면서 인공지능(AI)·바이오·자율주행 등 데이터 기반 산업의 글로벌 협력이 한층 가속화될 전망이다.

이번 합의는 16일 고학수 개인정보보호위원장과 EU 민주주의·사법·법치·소비자보호담당 마이클 맥그라스 집행위원(장관급)이 공동선언문을 발표하면서 공식화됐다. 한국에서 EU로 개인정보를 이전할 때 추가적인 법적 절차나 별도 동의 없이 전송이 가능해져 글로벌 기업과 연구기관의 규제 부담이 대폭 줄어들게 됐다.

EU는 2021년 12월 한국의 개인정보보호 수준이 일반개인정보보호법(GDPR)과 동등하다고 판단해 한국으로의 데이터 이전을 허용한 바 있다. 그러나 한국에는 역방향 제도가 없어 EU로 개인정보를 보낼 때는 까다로운 요건을 충족해야 했다. 이에 개인정보위는 2023년 개인정보보호법을 개정해 동등성 인정 제도를 도입했다. 동등성 인정 제도는 개인정보의 국경을 넘어선 흐름이 일상화된 AI·데이터 시대에 개인정보가 안전하면서도 자유롭게 다른 국가·지역으로 이동할 수 있도록 하기 위해 마련된 제도다.

이후 법률 전문가로 구성된 '동등성 태스크포스(TF)'와 산업계·시민단체가 참여한 '국외이전전문위원회', 관계부처로 구성된 '개인정보보호 정책협의회', 11차례의 '한-EU 실무회의' 등을 거쳐 이번 선언으로 절차를 마무리했다.

(본문 생략)

---

한-EU 안전하고 자유로운 개인정보 이전체계 구축완료!

- EU로의 국외이전 비용부담 대폭 줄고, 개인정보 침해사고 시 개인정보위와 EU당국도 함께 대응할 전망

  오는 9월 16일부터 국내 소재 기업이나 공공기관이 직원이나 고객 등의 개인정보를 유럽연합(EU)에 소재한 지사나 다른 기업 등에 이전하는 것이 본인 동의 등의 추가적 요건 없이도 가능해진다. 이들 개인정보 이전에는 ①제공하는 경우, ②조회가 가능하도록 하는 경우, ③처리를 위탁하는 경우, ④EU지역에 소재한 클라우드에 보관하는 경우 등이 모두 해당한다. 

  이는 개인정보보호위원회(위원장 고학수, 이하 ‘개인정보위’)가 EU의 개인정보 보호 수준이 우리나라와 실질적으로 같은 수준이라고 인정한, 이른바 ‘동등성 인정’을 한 결과로, ’23. 9월 개인정보 보호법을 개정해 동등성 인정 제도를 도입한 이후, EU가 그 첫 번째 인정 대상이 된 것이다. 이로써, 지난 2021년 12월 EU지역에서 우리나라로 개인정보의 자유로운 이전을 허용한 EU의 적정성 결정(Adequacy Decision)과 함께, 한-EU 양방향으로 개인정보가 자유롭게 이전될 수 있는 체계를 갖추게 되었다.

  ※ 참고 1 : EU 동등성 인정에 따른 변화

  고학수 개인정보위 위원장은 9월 16일(화) 글로벌 프라이버시 총회(GPA, 9.15~9.19.) 참석 차 방한 중인 EU 민주주의‧사법‧법치 및 소비자 보호 담당 마이클 맥그라스 집행위원(장관급)과 함께 이와 같은 내용을 담은 공동언론발표문을 공개하였다. 

  ※ 참고 2 : 한-EU 상호 동등성 인정 공동언론발표문(Joint Press Statement) 국‧영문

  동등성 인정 제도는 개인정보의 국경을 넘어선 흐름이 일상화된 인공지능(AI)·데이터 시대에 개인정보가 안전하면서도 자유롭게 국가·지역 간 오갈 수 있게 하도록 마련된 제도이다. EU의 적정성 결정과 같은 취지이다.

  제도 도입 이후 개인정보위는 법률 전문가 등으로 구성된 ‘동등성 태스크포스(TF)’, 전문가‧산업계‧시민단체 등으로 구성된 ‘국외이전전문위원회’, 관계 부처로 구성된 ‘개인정보보호 정책협의회’, 11차례의 ‘한-EU 실무회의’ 등을 거쳐, EU의 ▲개인정보 보호체계, ▲정보주체 권리보장 가능성, ▲감독체계, ▲피해구제 절차 등을 면밀하게 살펴보았다.

  그 결과, EU 회원국은 개인정보 보호법인 GDPR(General Data Protection Regulation)을 통해 개인정보 보호 원칙과 정보주체의 권리 등을 규정하고, 독립성이 보장된 감독기관을 통해 감독을 하는 한편, 정보주체 권리보장 체계를 갖추었음을 확인하였다. 아울러, EU 회원국에서 개인정보 침해가 발생한 경우 정보주체가 해당 회원국에 조사 및 처분을 요청할 수 있도록 하고, 해당 정보주체가 어려움을 겪는 경우에는 개인정보위가 유럽집행위원회(EC) 또는 유럽개인정보이사회(EDPB)의 도움을 받아 대신 요청하고 그 결과를 받을 수도 있도록 협의하였다.

 ※ EU에서 개인정보 침해 시 침해신고 방법 

     : 개인정보위 홈페이지(www.pipc.go.kr)-정책‧제도-글로벌정책-동등성 인정 침해신고개인정보 포털(www.privacy.go.kr) - 개인서비스 - 동등성 인정 침해신고

  이번 동등성 인정에 따라 민간‧공공의 개인정보처리자는 EU GDPR을 적용받는 EU 역내 국가 27개국 및 유럽경제지역(EEA)에 포함되는 3개국(노르웨이, 리히텐슈타인, 아이슬란드) 등 총 30개국에 추가적 요건없이 개인정보를 이전할 수 있다. 다만, 이번 동등성 인정은 주민등록번호와 개인신용정보의 이전에 관해서는 영향을 미치지 아니한다.

  ※ 참고 3 : EU 개인정보보호 체계 동등성 인정 공고 

  앞으로 개인정보위는 EU와 협력하여, EU 및 그 회원국의 제도변경에 따른 개인정보 보호 상황 등을 지속적으로 모니터링한다는 방침이다.

  이번 동등성 인정은 고시되는 9월 16일부터 3년이 되는 날인 2028년 9월 15일로부터 3개월 전에 재검토를 시작해 검토 결과 동등한 수준이 유지되지 않는다고 판단되면, 동등성 인정의 변경이나 취소가 가능하다. 또한, 이전된 개인정보가 적절하게 보호되지 않아 정보주체의 피해가 발생하거나 발생 우려가 현저한 경우에는 개인정보위가 개인정보 이전의 중지를 명할 수 있다.

  고학수 개인정보위 위원장은 “한국과 EU는 민간과 공공 전 영역에서 안전하고 자유로운 데이터 이전 체계가 갖추어진 만큼 앞으로 양측의 데이터 협력이 더욱 강화될 것을 기대한다.”라며, “앞으로도 개인정보위는 글로벌 맥락에서 개인정보가 포함된 데이터의 이전 질서 형성에 주도적 역할을 하겠다.”라고 밝혔다.