티스토리 뷰
목차
뉴스 제목만 보고 "한국 개인정보 보호 수준 높다는 좋은 소식이구나" 했다가, 본문을 읽고 멈칫한 적 있으시지 않습니까. 저도 정확히 그랬습니다. EU 집행위원회가 한국에 대한 GDPR 적정성 결정을 유지하기로 했다는 소식인데, 찬찬히 들여다보니 한국 국민의 개인정보가 별도 동의 절차 없이 EU 기업과 오갈 수 있는 구조라는 이야기였습니다. 긍정적으로 읽힐 수도 있지만, 저는 솔직히 화가 먼저 났습니다.
개인정보 이전, 좋은 소식이라고요?
일반적으로 EU 적정성 결정을 받았다고 하면 "우리나라 개인정보 보호 수준이 국제적으로 인정받았다"는 긍정적인 맥락으로 받아들이는 분들이 많습니다. 저도 처음엔 그렇게 읽었습니다.
GDPR(General Data Protection Regulation), 즉 EU 일반개인정보보호법은 EU 시민의 개인정보를 역외로 이전할 때 엄격한 기준을 요구합니다. 쉽게 말해, EU는 자국민 데이터를 아무 나라에나 넘기지 않는다는 원칙을 법으로 못 박아 둔 것입니다. 이 기준을 통과한 나라에 부여하는 것이 바로 적정성 결정(Adequacy Decision)입니다. 여기서 적정성 결정이란, EU가 해당 국가의 개인정보 보호 수준이 자신들과 동등하다고 공식 인정하는 제도를 의미합니다.
2021년 12월 한국이 처음 이 결정을 받았고, 이번에 EU 집행위원회의 첫 번째 정기 재검토에서도 유지 판정을 받았습니다(출처: 대한민국 정책브리핑). 7월 기준 적정성 결정을 받은 국가·국제기구는 한국, 일본, 영국, 미국, 유럽특허기구 등 총 17곳입니다.
그런데 저는 이 소식을 읽으면서 이상한 감각을 느꼈습니다. "한국의 보호 수준이 높다"는 수식어가 앞에 붙어 있지만, 결국 실질적인 내용은 EU에서 한국으로, 한국에서 EU로 개인정보가 자유롭게 오갈 수 있는 체계가 공고해졌다는 것이었으니까요. 기업 입장에서는 SCCs(표준계약조항)나 BCRs(구속력 있는 기업 규칙) 같은 별도 계약 절차를 생략할 수 있는 이점이 생깁니다. 그런데 정작 그 데이터의 주인인 국민 입장에서는 무엇이 달라진 건지, 제 경험상 이 점은 기사 어디에서도 명확히 설명되지 않았습니다.
- 적정성 결정: EU가 제3국의 개인정보 보호 수준을 공식 인정하는 제도
- 결정이 유지되면 기업은 별도 계약 절차 없이 EU와 개인정보를 교환 가능
- 2021년 첫 결정 이후 이번이 첫 번째 재검토로, 4년 주기로 정기 심사가 진행됨
- 2024년 9월에는 한국→EU 방향의 개인정보 이전을 허용하는 동등성 인정도 완성됨
동등성 인정, 그런데 개인정보유출 사고는 누가 책임집니까
지난해 9월, 한국 개인정보보호위원회는 한국에서 EU로 개인정보를 이전하는 것을 허용하는 동등성 인정을 공식화했습니다. 여기서 동등성 인정이란, 한국이 EU 기업에 개인정보를 넘길 때도 별도의 보호 조치를 추가로 마련하지 않아도 된다고 쌍방이 합의한 체계입니다. 이번 적정성 결정 유지 확인으로 이 두 가지가 맞물려, 이제 한국과 EU 사이에는 사실상 개인정보 자유 이전 체계가 완성된 셈입니다(출처: 개인정보보호위원회).
이게 나쁜 일이라고 단정 짓기는 어렵습니다. 국내 스타트업이 유럽 시장에 진출할 때 걸리던 데이터 관련 계약 장벽이 낮아지고, 연구기관 간 협업도 빨라질 수 있습니다. 저도 이 부분만큼은 긍정적으로 봅니다.
그런데 솔직히 이건 예상 밖이었습니다. 이 체계가 만들어지는 동안, 정부가 국민에게 "당신의 개인정보가 이런 방식으로 활용됩니다"라고 명확히 고지한 적이 있었던가 하는 점입니다. 제가 기억하기론, 이 내용을 저는 뉴스 기사를 통해 처음 알았습니다. 알 권리를 개인이 뉴스를 찾아봐야 겨우 알 수 있다는 점이 저는 여전히 불편합니다.
더 불편한 건 이겁니다. 한국에서 대형 개인정보유출 사고가 터질 때마다 피해자가 받는 건 사과 문자, 팝업 공지, 그리고 할인 쿠폰입니다. 개인정보보호법상 과징금 제도가 있다고는 하지만, 실제 피해를 입은 개인이 회복하는 구조는 아직 약합니다. 그 수준의 사후 대응 체계를 갖고 있는 나라가, 이제는 EU 시민의 데이터까지 다루는 나라로 국제적으로 인정받은 것입니다. 제 경험상 이건 좀 다릅니다. "수준이 높다"는 평가와, 실제로 피해를 입었을 때 구제를 받을 수 있는가는 완전히 다른 이야기입니다.
국민 알 권리, 정부는 어디까지 알려줄 의무가 있는가
이번 재검토 결과 발표를 보면서 가장 먼저 든 생각은 "이게 왜 보도자료 하나로 끝나는가"였습니다. EU 집행위원회가 한국의 개인정보 보호체계를 심사하면서 살펴본 항목들, 즉 법·제도, 감독체계, 공공기관의 개인정보 접근 방식 같은 내용들은 사실 국민이 가장 궁금해할 부분입니다. 그런데 발표 내용은 "높은 수준을 유지하고 있다"는 결론만 있고, 구체적으로 어떤 항목에서 어떤 평가를 받았는지는 나오지 않습니다.
일반적으로 정부 발표는 긍정적인 결과를 먼저 강조한다고 알려져 있지만, 제 경험상 이 경우는 도를 넘습니다. 국민의 개인정보를 국제 교류의 수단으로 활용하면서, 그 과정에서 어떤 보호 장치가 작동하는지, 만약 EU 기업이 한국인의 정보를 유출하면 어떤 절차로 피해를 구제받을 수 있는지에 대한 설명은 한 줄도 없습니다.
개인정보보호법 개정을 통해 한국과 EU의 보호체계가 더욱 조화를 이루게 됐다고 EU 집행위원회가 평가했다고 하는데, 그 개정의 구체적인 내용이 무엇인지도 국민은 알아서 찾아봐야 합니다. 이 부분은 정부가 먼저 친절하게 설명해 줘야 하는 부분이라고 생각합니다. 기업의 글로벌 데이터 활용을 지원하겠다는 말은 발표 말미에 등장하지만, 국민 개개인의 권리를 어떻게 보호하겠다는 말은 선언 수준에서 끝납니다.
저는 이번 뉴스에서 정부를 비판하고 싶은 게 아닙니다. 국제 협약이 기업에 이점을 준다는 사실 자체는 이해합니다. 다만, 국민의 알 권리는 개인이 기사를 찾아봐야 비로소 충족되는 것이 아니라, 정부가 먼저 나서서 설명해야 하는 의무라고 봅니다. 그 의무를 이번 발표는 충분히 이행했는가, 저는 아니라고 생각합니다.
자주 묻는 질문
Q. EU 적정성 결정을 받으면 내 개인정보가 자동으로 유럽에 넘어가는 건가요?
A. 자동으로 넘어가는 것은 아닙니다. 적정성 결정은 기업이 개인정보를 이전할 때 추가적인 계약 절차를 생략할 수 있다는 뜻이지, 모든 국민의 정보가 즉시 공유된다는 의미는 아닙니다. 다만 기업 입장에서 데이터를 이전하기가 훨씬 쉬워지는 건 사실이고, 그 과정에서 개인이 인지하지 못한 채 정보가 활용될 여지는 분명히 생깁니다.
Q. 동등성 인정과 적정성 결정은 뭐가 다른 건가요?
A. 방향이 다릅니다. 적정성 결정은 EU가 한국으로 개인정보를 이전할 때 적용되고, 동등성 인정은 한국이 EU로 개인정보를 이전할 때 적용됩니다. 쉽게 말해 두 제도가 합쳐지면서 한국과 EU 사이에 양방향 개인정보 자유 이전 체계가 완성된 셈입니다. 일반적으로 같은 제도로 혼동하는 분들이 많은데, 제 경험상 이 차이를 알면 뉴스가 완전히 다르게 읽힙니다.
Q. 한국 기업이 개인정보를 유출하면 EU 시민은 어떻게 되나요?
A. GDPR은 EU 시민에 대한 강력한 보호 조항을 갖고 있어, EU 시민의 정보를 다루는 한국 기업은 GDPR 위반 시 거액의 과징금을 부과받을 수 있습니다. 문제는 반대 방향, 즉 EU 기업이 한국인의 정보를 유출했을 때 한국 국민이 실질적으로 구제받을 수 있는 절차가 얼마나 작동하는지입니다. 이 부분은 아직 명확히 공개된 설명이 없어 저도 지켜보는 중입니다.
Q. 개인정보 이전에 동의한 적이 없는데 이게 합법인가요?
A. 국가 간 개인정보 이전 체계는 개별 이용자의 동의가 아니라 국가 차원의 법·제도 협약을 기반으로 합니다. 개별 기업이 서비스 가입 시 받는 동의와는 별개로, 국가가 국제 협약을 통해 데이터 이전 환경을 조성하는 방식입니다. 그렇기 때문에 저는 정부가 이 구조를 국민에게 보다 명확히 설명할 의무가 있다고 생각합니다.
결론
이번 EU 적정성 결정 유지 소식은 분명히 나쁜 뉴스가 아닙니다. 한국 기업이 유럽 시장에서 데이터를 활용하기 쉬워지고, 국제 연구 협업의 문턱도 낮아집니다. 그 점은 인정합니다.
그런데 저는 이 기사를 읽고 나서도 개운하지 않습니다. 정부가 "국민의 개인정보를 안전하게 보호하겠다"라고 선언하는 것과, 실제로 개인정보유출이 발생했을 때 할인 쿠폰 하나로 마무리되는 현실 사이의 간격이 너무 크기 때문입니다. 국제적 인정을 받은 나라의 국민으로서, 저는 이제 그 인정이 종이 위의 평가에 그치지 않도록 정부가 실질적인 예방책과 구제 절차를 구체적으로 공개해 줄 것을 요청하고 싶습니다. 이 뉴스를 읽으셨다면, 개인정보보호위원회 홈페이지에서 개인정보 국외 이전 관련 공지를 한 번 직접 확인해 보시길 권합니다.
참고: https://www.korea.kr/news/policyNewsView.do?newsId=148968751