EU의회, "개인정보 처리 명시적·사전 동의 의무화"

EU의회는 한달여전 세계에서 가장 강력한 개인정보 보호안을 발표했다.

지난 1월에 나온 이 보호안은 보호대상, 적용대상, 처벌정도 면에서 지난해 발표된 집행위원회 개혁안보다 규제를 강화한 것으로 평가된다.

비록 EU차원의 규제라 하더라도, IT관련 대다수 글로벌 기업이 법 적용대상이 된다는 점에서 한국 기업 내 개인정보보호정책에도 적지 않은 영향을 줄 것으로 예상된다.

상세히 그 내용을 알아본다.

◇ EU 개인정보보호정책 개요

EU는 1995년, 유럽 기본권 헌장 8호(기본권으로서의 개인정보 보호 규정), 리스본 조약 제 16조(개인데이터 보호권리 보장을 위한 유럽 의회 및 이사회에 법령제정권한 규정)에 근거해 개인정보보호지침을 제정했다.

아울러 2000년, EU차원의 개인정보 보호를 위해 5년 임기의 유럽데이터감독관(European Data Protection Supervisor)을 설치했다.

인터넷 디지털 시대로 접어들면서 빈번한 개인정보 누출 방지, EU회원국 간 개인정보법 집행의 일원화 도모에 대한 요구가 커졌다.

이에 2012년 EU집행위원회는 개인정보보호 패키지 규제 개혁안(이하 집행위안) 을 발표했고, 그로부터 1년 뒤인 2013년 1월 25일 유럽 의회는 집행위 개혁안에 대한 개정안(이하 개정안)을 발표했다

◇ 개정안 주요 내용 

◆ 이용자 권리의 강화

개정안은 이용자 권리를 강화하기 위해 △기업들에 익명의 데이터 사용 권장 △데이터 처리 시 이용자들에게 이해하기 쉽고 명확한 언어로 명시적 동의를 구하도록 하는 구체적 규정 △민감한 데이터, 위치데이터, 나이 등 신상데이터 및 개인에게 불리한 영향을 끼칠 데이터 등의 처리는 어떠한 경우에도 사전 동의 필요 △ 사전 동의가 있더라도 시장에서 지배적 지위에 있는 사업자의 경우 개인정보 처리에 추가적인 근거 요구 △신원정보 수집 원칙적 금지(개인동의 전제 예외 상황만 허용) △수집된 정보 관련, 프로필 존재, 수집방법 등에 대해 통지의무 부과 등을 규정했다.

◆ 잊혀질 권리의 적용 제한 및 용어변경

개정안에는 집행위안의 주요개념인 ‘잊혀질 권리(right to be forgotten: 기업이 개인자료를 보유할 정당한 사유가 없는 한, 개인에게 자신의 데이터를 삭제할 수 있는 권리를 보장한다)’를 ‘삭제 후 잊혀질 권리(right to erasure and to be forgotten)’로 변경했다.

이미 데이터가 이용됐다면, 이후 다양한 형태로 통합되거나 파생되기 때문에 상관관계를 모두 파악해 삭제하는 것은 불가능하며, 삭제 주체가 모호하다는 지적을 받아들인 것으로 보인다.

◆ 기업 책임 강화

△개인데이터를 직접처리하지 않는 하드웨어와 소프트웨어 제조업자에도 프라이버시에 어긋나지 않게 제품을 고안할 의무 △대용량의 개인정보를 처리하는 기업에 대해 영향평가 수행 의무를 규정했다. 규정 위반 시, 집행위안의 경우 해당기업 연매출액의 0.5~1%선에서 과징금이 부과됐으나, 이번 의회개정안에선 최대 2%까지 과징금 비율을 높였다.

다만, 데이터 유출의 경우 기업은 규제당국에 신고를 72시간내 하도록 완화했으며(집행위 안은 24시간이내)하고, 개인에 대한 정보유출 통지의무 사항도 개인정보보호나 프라이버시에 불리하게 영향을 미치는 경우(예: 아이디 도난, 금전적 손실, 이미지 손상 등)로 축소했다.

◆ 데이터 보호 담당관 임명의무화 대상의 확대

개정안이 기업의 크기가 아니라 처리량 기준으로 데이터보호 담당관 지명 의무화 대상을 지정한다는 점도 인상적이다.

집행위안은 250인 이상의 근로자를 고용한 데이터보유회사 또는 처리회사를 대상으로 하지만, 개정안은 1년에 500명 이상의 개인데이터를 처리하는 법인으로 대상을 확대했다. 이에 해당되는 해외기업들은 EU기반 데이터 관리자를 두어야 한다.

◆ 유럽 외 국가로의 데이터 이전 금지

집행위안은 다른 서비스 업자로의 데이터 이전을 허용했지만, 개정안은 법 시행 2년 후 현행의 모든 표준계약조항들의 효력을 종료시키는 등 데이터의 유럽지역 외 이전을 제한한다.

◆ 역외적용 범위의 확대

개정안은 집행위안에서 더 나아가 ‘무상으로’ 유럽시민에게 재화나 용역을 제공을 ‘목표로 하는’ 경우까지 포함시키는 한편, 역외 사업자에 의해 유럽시민의 행태를 인터넷 트레킹 등을 통해 모니터하거나 유럽 시민들의 데이터를 수집 처리하는 행위도 규제대상에 포함한다.

◇ 향후 전망

위 개정안은 내년에 확정, 2016년부터 시행될 예정이다. EU는 이를 법적 구속력이 있는 `규제(regulation)` 수준으로 격상시키기로 했다. 데이터 규제에 대한 국제 표준으로 세우려는 의도인 만큼 여파도 만만치 않을 것으로 예상된다.

법안 적용시 제재 가능성이 높아진 미국의 Facebook, 구글, 마이크로 소프트 등 글로벌 IT기업은 강하게 반발하는 한편 로비로 무마하려는 움직임을 보이고있다.

이와 관련 비비안 레딩(Vivian Reding) 법무담당 집행위원은 구글, 페이스북의 로비 시도에 강력히 맞설것임을 밝혔다.

그러나 법안 확정까지는 1년 가량의 시간이 있고, 다수 조항에서 논란 및 충돌을 빚고있는 만큼 상당부분 변화할 가능성도 있다.