EU GDPR 적정성 승인 최종 관문 넘나…개인정보위 '박차'

[아이뉴스24 최은정 기자] 개인정보보호위원회가 유럽연합(EU) 개인정보보호 규정(GDPR) 적정성 결정 승인에 속도를 내고 있다.

19일 업계에 따르면 개인정보위가 최근 EU GDPR 적정성 결정을 고려해 '한국으로 이전된 개인정보의 처리와 관련한 개인정보보호법의 해석과 적용을 위한 보완규정' 고시 개정안을 의결하면서, 적정성 승인에 가속이 붙었다.

이번 개정안에는 '가명정보의 처리목적 달성 후 익명처리' 조항이 신설됐다. 해당 내용은 GDPR 적정성 승인에 필요한 결정서의 별첨 문서인 부속서에 포함된다. 이같은 조치는 EU의 추가 보강 요청에 따른 조치로 향후 적정성 승인에 긍정적 영향을 끼칠 것으로 주목된다.

고시 내용으로는 가명정보가 사용 목적을 달성한 후에 익명정보로 전환해야 한다는 조항이 담겼다. 현행법상 가명정보는 사전동의 없이 통계 작성, 과학적 연구, 공익적 기록 보존 등을 위해 활용할 수 있다. 가명정보에 비식별화 등 방법을 이용해 익명정보화할 수 있다.

염흥열 개인정보위 비상임위원(순천향대 정보보호학과 교수)는 "EU 측이 현행법상 가명정보의 목적 달성 후 파기 조항이 없다는 점을 들어, 목적 달성 후 익명정보로 변화해야 한다는 해석 조항을 넣으라고 요청했다"며 이번 고시 개정 배경을 설명했다.

지난 2018년 5월부터 GDPR을 시행 중인 EU는 적정성 승인을 받은 국가에 한해 예외적으로 개인정보의 역외 이전을 허용하고 있다. EU 집행위원회(EC)가 제3국의 법령·법제 운영 현황을 종합적으로 검토, 대상 국가를 결정한다. EC로부터 적정성 승인을 받으면 해당 국가의 기업은 규제 없이 EU에서 자유로운 영업활동이 가능하다.

반대로 승인 받지 못할 경우 EU 회원국 개인정보를 처리하려면 별도의 계약을 체결하고 감독기구의 규제 심사 등 까다로운 절차를 거쳐야 한다.

우리나라는 GDPR 시행 전인 2017년 일본과 함께 적정성 결정 우선 협상국으로 지정됐으나, 아직까지 승인을 받지 못한 상황이다. 일본의 경우 2년 뒤인 2019년 1월 EU-일본 상호 적정성 결정 최종 승인을 받아 규제 부담을 덜 수 있게 됐다.

앞서 우리나라는 행정안전부, 방송통신위원회에서 각각 GDPR 적정성 결정 승인을 시도했지만 두 번 모두 고배를 마신 바 있다.

개인정보위 관계자는 "EC에 개정안의 내용과 추진 과정을 알리는 등 협상을 진행할 것"이라며 "GDPR 적정성 결정 승인 절차의 막바지에 접어들었다"고 말했다.