개인정보의 국경을 넘는 흐름이 일상화된 인공지능(AI) 및 데이터 시대에 맞춰, 한국과 유럽연합(EU) 간의 개인정보 이전 체계가 안전하고 자유롭게 구축되었다. 이는 국내 기업 및 공공기관이 직원이나 고객의 개인정보를 EU 소재 지사 또는 기업 등으로 이전할 때, 본인 동의와 같은 추가적인 요건 부담을 대폭 완화시킨다는 점에서 주목할 만하다. 오는 9월 16일부터 시행되는 이번 조치는 개인정보의 제공, 조회, 위탁 처리, 클라우드 보관 등 다양한 형태의 개인정보 이전 행위에 일괄 적용된다.
이러한 양방향 개인정보 이전 자유화는 개인정보보호위원회(개인정보위)가 EU의 개인정보 보호 수준을 한국과 실질적으로 동일하다고 인정한 ‘동등성 인정’의 결과이다. 개인정보보호법 개정을 통해 동등성 인정 제도를 도입한 지 첫 번째 사례로, 지난 2021년 12월 EU가 한국으로의 개인정보 이전을 허용한 적정성 결정과 더불어 한-EU 간 개인정보 이동의 물꼬를 튼 것이다. 동등성 인정 제도는 개인정보의 국가 간 흐름이 활발해지는 현대 사회에서 개인정보가 안전하게 보호되면서도 자유롭게 이동할 수 있도록 마련된 제도이다.
개인정보위는 법률 전문가, 산업계, 시민단체 등으로 구성된 전담기구들의 면밀한 검토를 거쳐 EU의 개인정보 보호체계, 정보주체의 권리 보장 가능성, 감독체계, 피해구제 절차 등을 종합적으로 평가했다. 그 결과, EU의 일반 개인정보 보호법(GDPR)이 규정하는 엄격한 개인정보 보호 원칙과 정보주체의 권리 보장, 그리고 독립적인 감독기관의 운영 등이 한국의 기준과 부합함을 확인했다. 또한, EU 회원국에서 개인정보 침해가 발생했을 경우, 한국의 정보주체도 해당 회원국에 조사를 요청할 수 있으며, 필요한 경우 개인정보위가 유럽집행위원회(EC)나 유럽개인정보이사회(EDPB)의 지원을 받아 공동으로 대응할 수 있도록 협의되었다.
이번 동등성 인정으로 한국 기업 및 공공기관은 EU GDPR의 적용을 받는 EU 27개국과 유럽경제지역(EEA) 내 3개국(노르웨이, 리히텐슈타인, 아이슬란드)을 포함한 총 30개국에 추가적인 법적 절차 없이 개인정보를 이전할 수 있게 되었다. 이는 데이터 기반의 새로운 비즈니스 모델 개발 및 글로벌 협력 강화에 긍정적인 영향을 미칠 것으로 기대된다. 다만, 주민등록번호와 개인신용정보의 이전에는 이번 동등성 인정이 직접적으로 적용되지 않는다.
개인정보위는 향후 EU 및 회원국의 제도 변경 상황을 지속적으로 모니터링하며 개인정보 보호 수준을 유지하고, 필요에 따라 동등성 인정의 변경이나 취소 절차를 진행할 방침이다. 또한, 개인정보가 부적절하게 보호되어 정보주체에게 피해가 발생하거나 우려될 경우, 개인정보 이전을 중지하도록 명령할 권한을 보유한다. 개인정보보호위원회 고학수 위원장은 “양측의 데이터 협력이 더욱 강화될 것으로 기대하며, 앞으로도 글로벌 맥락에서 개인정보 데이터 이전 질서 형성에 주도적인 역할을 수행하겠다”고 밝혔다.
