- 정부 추진 적정성 평가 2~12년 소요 - 국내 기업 ‘보호막’ 없이 혼란 불가피 - DPO선임 등 중소형사 비용 부담↑ [헤럴드경제=박세정 기자] 유럽연합(EU)의 개인정보보호법(GDPR) 시행이 보름 앞으로 다가오면서 국내 기업들의 준비에도 비상이 걸렸다.

정부가 추진 중인 EU 개인정보보호 적정성평가에 상당한 시일이 예상되는데다, GDPR 법 적용 기준도 애매모호해 시행초기 국내 기업의 적지않은 혼란이 불가피할 것으로 보인다.

GDPR은 개인정보보호 의무를 대폭 강화해 ▷개인의 열람권, 정정권 등 권리 확대 ▷정보보안책임자(DPO, Data Protection Officer) 의무 임명 ▷유전정보, 바이오정보 등 개인정보 정의 확대 등이 핵심이다.

EU에 진출한 기업은 물론 역외에서 EU 내에 서비스를 제공하는 국내 기업도 법 적용 대상이 된다.

규정 위반 시, 최대 직전 회계연도 전 세계 매출액의 4% 또는 2000만유로 중 더 큰 금액을 과징금으로 부과하는 강력한 제재 방안을 담고 있다.

당장, 정부가 추진 중인 적정성 평가에 상당한 시일이 소요될 것으로 보여, 국내 기업들의 ‘보호막’이 시급한 상황이다.

적정성 평가는 EU 역외 국가가 EU와 동등한 수준의 개인정보보호 조치를 취하고 있는지를 평가하는 것이다.

EU 적정성 결정을 받은 국가의 기업들은 EU 기업과 동일하게 EU 시민의 개인정보를 국외로 이전해 사용할 수 있다.

현재 EU의 적정성 결정을 받은 국가는 뉴질랜드, 우루과이, 이스라엘, 캐나다, 아르헨티나, 스위스 등 6개국 정도다.

한국은 2015년 12월 적정성 심사를 받았으나 통과하지 못했다. 이어 작년 1월 일본과 함께 적정성 우선평가국으로 선정돼, 정부는 연내 적정성 결정을 받는 것을 목표로 하고 있다.

적정성 결정을 받게 되면 국내 기업들은 그동안 개별적으로 적정성 평가를 받아야했던 번거로운 절차와 비용을 줄이고 특별한 인가없이 EU 개인정보를 역외로 이전해 사용할 수 있게 된다.

하지만 당장 보름 뒤부터 GDPR이 본격 시행되는 상황에서, 최소 연내 한국이 적정성 결정을 받는다 하더라도 반 년이상 국내 기업들은 보호막 없이 더욱 엄격해진 법 의 적용을 받아야 하는 처지에 놓이게 됐다. 적정성 평가가 최소 2년에서 최대 12년까지 소요될 수 있어 국내 기업들의 비용 부담 등이 가중되는 상황이 더 길어질 여지도 높다.

애매모호한 법 적용 기준 때문에 혼란을 겪는 국내 기업들도 상당수다.

유럽에 정식 진출하지 않았지만, EU 거주자가 온라인 홈페이지 등을 통해 국내 기업의 서비스를 이용할 경우 적용 대상이 될 수 있는지가 애매한 기준으로 꼽힌다.

김선희 율촌 법무법인 변호사는 “EU 일반인이 본인이 스스로 찾아와 한국 서비스를 이용하는 경우는 GDPR 대상이 되지 않는다”며 “유럽을 타깃으로 한 명확한 서비스 제공이 있을 때 GDPR에 해당된다고 판단된다”고 설명했다.

이외에도 이미 정보보호최고책임자(CISO)를 보유한 기업도 GDPR에서 요구하는 정보보안책임자(DPO)를 별도로 지정해야 한다.

DPO는 EU의 법률 전문지식, 정보 기술 및 보안에 대한 이해 등의 자질을 갖춘 인물로 선정하도록 하고 있다.

윤재석 한국인터넷진흥원(KISA) 개인정보협력팀장은 “해당 자질을 가진 인력들이 많지 않고 비용도 만만치 않아 중소형 기업들의 부담이 우려된다”고 말했다.