EU, 5월부터 새 개인정보 보호법 시행...무방비 외국기업들 비상

유럽 소비자·직원 개인정보 역외 유출 시 거액 벌금

▲

대폭 강화된 유럽연합(EU)의 새 개인정보 보호법 시행을 앞두고 글로벌 기업들에 비상이 걸렸다.

새로운 개인정보 보호법의 명칭은 ‘일반 개인정보 보호법(GDPR)’으로 5월 25일부터 시행된다. 유럽에서 사업을 하거나 유럽 시민을 고용하는 등 유럽 시민의 개인정보를 사용하고자 하는 기업과 기관에 대해 보호체제 정비 등을 촉구하는 것으로 위반 시에는 최대 연간 글로벌 매출의 4%, 또는 2000만 유로(약 266억 원)라는 거액의 벌금을 물린다. 이메일 주소와 신용카드 정보 같은 개인정보를 역외에 있는 제3자에게 열람시키는 게 원칙적으로 금지되는데, 소정의 계약서를 작성하는 등 정해진 규칙에 따르면 제3자의 열람이 가능하다. EU에서 사업을 하는 모든 기업이 대상인 만큼 대응이 급선무이나 기업들은 거의 무방비 상태여서 이를 준수하기 위한 시스템 및 절차 준비 과정에서 어려움을 겪을 것으로 예상된다. 니혼게이자이신문은 데이터 패권을 둘러싼 공방이 새로운 국면을 맞았다고 평가했다.

신문에 따르면 EU 내에서 GDPR는 국적이나 거주지에 관계없이 대상이 된다. 유럽 시민을 상대로 사업을 하는 경우는 물론 출장이나 여행으로 EU 역내에 있는 본국 직원 개인정보, 유럽 직원의 인사 정보를 본국에서 관리하는 경우도 포함된다. 글로벌 기업이라면 대부분이 규제 대상이 되는 셈이다. 다루는 데이터 규모 등이 일정 조건에 해당되면 ‘데이터 보호 책임자’를 둬야 한다. 데이터 유출 등의 문제가 발생했을 때는 72시간 안에 당국에 보고해야 한다.

GDPR 시행이 임박해오면서 EU 현지에서 사업을 하는 기업들은 대응에 분주해졌다. 과거 담합 혐의로 EU 집행위원회에서 벌금을 부과 받았다는 한 일본 기업 관계자는 신문에 “최우선적으로 GDPR 대응에 임하고 있다“고 말했다.

유럽에 30개 이상의 거점을 둔 일본 생활용품 업체 가오는 2016년부터 GDPR 대응에 착수했다. 현재까지 파악한 대상 직원의 인사 정보만 수천 명 분에 달하며, 고객 데이터도 파악 중이다. 필요한 계약절차는 작년 여름까지 대략 마쳤으나 유출 여부를 최종 확인 중이라고 한다.

하지만 이는 어디까지나 일부 기업의 이야기다. 대부분의 기업은 GDPR 대응에 무방비 사태다. 관련 자문기관인 일본 인터넷 이니셔티브(IIJ)에 따르면 유럽에 거점을 둔 기업의 10% 정도만 GDPR 대응에 착수했다. 시행까지 3개월 정도 밖에 안남았지만 이제 검토를 막 시작한 단계인 회사가 대부분이다. 무방비 기업은 표적이 될 수밖에 없다.

인재 확보도 과제다. 국제 비영리단체인 국제 프라이버시 전문가 협회는 “새로운 규제가 요구하는 개인정보 보호 책임자는 일본 기업에서만 1700명이 필요할 것”이라고 추산했다.

EU가 이처럼 강력한 규제 강화의 칼을 빼든 건 구글 아마존닷컴 페이스북 애플 등 이른바 ‘GAFA’라는 미국 정보기술(IT) 거인들의 영향력때문이다. 이들 IT 거물은 이용자가 회원가입 시 ‘동의’ 버튼만 누르면 전 세계 개인정보를 흡수한다. EU 집행위원회의 클로드 모라에스 자유·사법·내무위원회 위원장은 “혁신을 저해할 생각은 없지만, 행동 이력 등을 마음대로 유통, 이용하는 것은 문제다”라고 지적했다.

앞서 2014년에는 EU 사법재판소가 구글에서의 검색 결과를 삭제할 수 있는 이른바 ‘잊혀질 권리’를 인정한 바 있다. 이것도 GDPR에 포함, 대기업에 대한 바람막이 역할을 하게 된다.회사에 제공한 자신의 개인정보를 되찾고 싶을 경우 기업이 반환해야 하는 ‘데이터 포터빌리티’ 구조다. 반환을 희망하는 개인이 늘면 기업은 보유 데이터가 줄어든다. 이에 대해 한 전문가는 “GDPR는 과도하게 비대해진 미국 IT 기업의 독점을 약화시키는 계기가 될 수도 있다”고 지적했다. 그러나 데이터가 별도 기업으로 옮겨지면 일부 기업이 독점하는 구도에는 달라지는 게 없다는 소리도 많다.

미국 IT 기업들은 규제 대응에 발빠르게 움직이고 있다. 페이스북은 전 세계 이용자가 자신의 개인정보를 관리할 수 있도록 하겠다고 발표했고, 구글 등도 새로운 규제에 대응하고 있다. 반대하기보다는 팽팽하게 긴장감을 형성하며 싸워나가는 길을 모색하는 중이다.

EU는 규제를 강화하는 한편, 충분한 보호 체제에 있다고 인정한 국가와 지역에는 데이터 반출을 허용한다는 입장이다. 데이터를 단순히 보호만 하는 것이 아니라 사업에 활용할 수 있는 길을 열어주겠다는 것이다.

니혼게이자이신문은 미국과 중국 등 주요 2국간에 데이터 쟁탈전이 격화하는 가운데, 규제를 어떻게 정비하는지가 국제적인 과제로 떠올랐다며 GDPR가 여러가지 의미에서 기준이 될 것이라고 예측했다. 아울러 기업들은 보호 뿐만 아니라 사업에 활용하는 공격적인 대응도 필요하다고 조언했다.