EU GDPR 적정성 결정 9부능선 넘었지만…금융정보 빠져 ‘반쪽’

윤종인 개인정보보호위원회 위원장이 29일 오전 정부서울청사 합동브리핑룸에서 유럽연합 일반 개인정보보호법(EU GDPR) 적정성 심사와 관련해 사전 브리핑을 하고 있다. 개인정보보호위원회 제공

한국의 ‘유럽연합 일반 개인정보보호법’(EU GDPR) 적정성 심사 최종 통과가 눈앞으로 다가왔다. 이에 유럽에서 사업을 하는 국내 기업은 조만간 유럽 시민의 개인 정보를 쉽게 들여올 수 있게 될 전망이다. 다만 유럽연합은 국내 금융감독체계가 신용정보 보호에 적절하지 않다고 지적하면서 금융정보는 적정성 심사에서 제외한 것으로 나타났다.

윤종인 개인정보보호위원장과 디디에 레인더스 유럽연합 집행위원회 사법총국 커미셔너(장관)는 30일 공동 언론발표문을 내어 “유럽연합과 한국 간 개인정보보호 관련 적정성 논의가 성공적으로 마무리됐다. 최근 시행된 한국의 개정 개인정보보호법에 따라 개인정보보호위원회의 권한이 강화되어 동등성이 한층 더 향상되었음을 확인했다”고 밝혔다.

적정성 심사는 2018년 5월부터 시행된 유럽연합의 지디피아르와 동등한 수준의 개인정보 보호 체계를 유럽연합에 속하지 않은 국가가 갖추고 있는지를 유럽연합이 확인·승인하는 제도다. 승인을 받은 국가의 기업과 기관은 별도 절차 없이 유럽연합 시민들의 개인정보를 자국으로 가져와 활용할 수 있다.

이번 결정은 적정성 심사의 3단계 중 1단계에 속한다. 앞으로 유럽연합 정보보호이사회(EDPB)의 의견수렴과 유럽연합 집행위원 전원회의 의결이 남았다. 정부는 모든 절차가 올해 안에 마무리될 것으로 보고 있다. 한국은 2017년 1월 유럽연합의 적정성 논의가 공식 개시된 뒤로 두 차례 고배를 마신 바 있다. 다만 이번 결정에도 금융회사는 개별적으로 유럽 시민의 정보 활용을 승인 받아야 한다. 적정성 심사에서 개인 신용정보는 포함하지 않았기 때문이다. 윤 위원장은 지난 29일 사전 브리핑에서 “개인 신용정보에 대한 관리 감독권을 갖고 있는 금융위원회가 금융정책과 산업진흥도 담당하고 있는 터라, 신용정보 감독기구로서의 위상이 부족하다는 유럽연합의 판단이 있었다”고 설명했다. 금융정책과 감독정책을 함께 맡고 있는 한국의 금융감독체계가 유럽이 요구하는 개인정보 보호 수준을 달성하기에는 구조적으로 한계가 있다고 유럽연합이 판단했다는 뜻이다.

오병일 진보네트워크센터 대표는 “금융위의 부처 이기주의로 데이터3법 개정 당시에도 개인정보 보호 법제가 충분히 일원화되지 못했다. 이 영향이 적정성 결정에도 미친 것”이라며 “금융위는 인터넷 쇼핑몰 거래 정보도 신용정보로 해석하는 등 신용정보법의 관할범위를 꾸준히 넓히려 하는데 기본법으로서 개인정보보호법을 형해화할 우려가 있다”고 말했다.

최민영 기자 [e-mail]