GDPR은 개인정보의 주체인 '이용자' 권리를 확대하고 익명·가명정보 개념을 도입해 빅데이터 활용 가능성을 높이면서 기업의 책임성도 강화한 법이다. 특히 GDPR에서 개인정보에 기기, 애플리케이션, IP, 쿠키정보 등 다른정보와 결합해 개인을 '식별'할 수 있으면 이 역시 개인정보로 판단한다. EU가 개인정보의 수집 시 적극적 동의를 강조하고 있어 국내 기업은 기존 형식적인 정보제공 동의를 넘어선 적극적인 동의 방안을 찾아내야 하는 숙제가 생겼다.
■국내기업 유럽법인 없어도 GDPR대상
29일 한국인터넷진흥원에 따르면 유럽 시장을 타기팅하는 국내 사업자는 유럽 법인이 없더라도 GDPR 적용 대상이 된다. 특히 온·오프라인연계(O2O) 사업자, 구글플레이를 통해 유럽으로 서비스를 제공하는 모바일 기반의 스타트업도 GDPR 적용 대상이다.
예를 들어 전세계 호텔 사이트 정보를 비교해 최저가에 제공하는 '트리바고'는 GDPR 적용 대상에 포함된다. 또 구글플레이를 통해 유럽에 게임을 출시한 중·소형 규모의 게임사도 모두 GDPR을 준수해야 한다. 권현준 인터넷진흥원 개인정보정책단장은 "GDPR 위배 시 최대 과징금이 약 260억원 또는 세계 매출액의 4%에 달해 우리 기업이 적용대상이 되는지 많은 고민이 있다"면서 "특히 스타트업은 전세계를 타깃으로 사업 가능성이 있기 때문에 체계적인 준비가 필요하다"고 강조했다.
기업의 GDPR 준비는 해당 기업이 가진 데이터 현황을 파악하는 것부터 시작된다. 개인정보 이동, 삭제 등의 권리를 요구하거나 침해사고가 발생했을 때 정해진 기일 내에 완료할 수 있도록 GDPR 담당 조직을 정비하고 이를 매뉴얼화하는 것이 핵심이다.
또 기업의 핵심활동이 민감한 정보를 다루는 것이라면 DPO도 의무적으로 선임해야 한다. 민감정보는 인종·민족, 정치적 견해, 종교·철학적 신념, 노동조합 가입여부, 생체정보, 건강정보, 성적취향 등이다. 병원, 헬스케어 업종 등 생체정보와 건강정보를 다루는 기업은 국내 개인정보관리책임자(CPO)와 별도로 DPO를 선임해야 한다. 인터넷진흥원 관계자는 "CPO와 DPO를 겸임해도 상관은 없지만, 중요한 점은 DPO는 개인정보 유출 사고 등에 대한 책임을 지지 않는 독립적 지위"라면서 "GDPR의 실질적인 전문가로 경영진에게 직언도 할 수 있어야 한다"고 설명했다.
■ 한국 적정성 평가 가능성↑…이동권 '보장'
EU에서 수집한 개인정보를 EU 밖으로 옮기기 위해서 이용자 동의가 필수적이지만 한국이 EU 집행위원회의 적정성 평가를 받으면 개인정보의 자유로운 이동이 보장된다.
이를 위해 인터넷진흥원이 한국이 연내 적정성 평가를 받기 위해 뛰고 있고 가능성이 높은 것으로 알려졌다. 적정성 평가는 국가의 법체계(정보통신망법), 감독기구의 독립성, 판례 등 3가지를 종합해 EU 집행위원회가 결정한다. 조 단장은 "국가 전체가 적정성 평가를 받아 화이트 리스트에 올라가면 개인정보 이전의 경우엔 이용자 동의없이 가능하다"면서 "EU에서 한국과 일본을 우선적으로 검토하겠다고 밝혔다"고 전했다. 개별 기업도 구속력 있는 기업규칙(BCRs)을 준수하면 적정성 평가를 받을 수도 있다. 아마존이 BCRs를 준수해 적정성 평가를 받으면 아마존 그룹 내 정보 이전이 가능해지는 식이다.
gogosing@fnnews.com 박소현 기자
※ 저작권자 ⓒ 파이낸셜뉴스, 무단전재-재배포 금지