EU의 'GDPR 적정성결정을'을 위한 입법과제
A Study on the Legislative Proposal for EU GDPR Adequacy Decision
이경준, 김현경
초록
유럽 일반개인정보보호법(GDPR)은 자국민 데이터가 외국기업으로 아무런 제한 없이 이전되는 '개인정보 역외이전'을 원칙적으로 금지한다. 데이터 주권 상실 우려를 반영한 것이다. 다만 해당 기업이 GDPR이 요구하는 적절한 안전조치를 준수하거나 국가 차원에서 ‘적정성 결정’을 받을 경우 해당 국가의 기업들은 추가적인 조치 없이 개인정보를 이전할수 있다. 따라서 우리나라의 기업이 EU 시민 개인정보를 처리함에 있어가장 효율적인 방법은 국가 차원에서 ‘적정성 결정’을 득하는 것이다. 본연구에서는 최근 적정성 결정을 득한 일본의 사례를 검토하여 적정성 결정을 득하기 위해 반드시 필요한 사항을 도출하였다. 그 방안으로 현재 우리나라 개인정보 보호법상 ‘개인정보 감독기구의 독립성’, ‘개인정보 역외이전 제한’, ‘개인정보 보호법제의 통일성’ 확보를 위한 법 개정이 필요하며, 개정방안을 제안하였다. 현재 국회에 제출되어 있는 「개인정보 보호법 일부개정법률안」(인재근의원 대표발의)에 비추어 볼 때 개인정보 감독기구의 독립성 요건은 대체로 충족하고 있으나, 금융위원회 등 영역별 개인정보 감독기구와의 연계방안이 필요하다. 개인정보 역외이전 제한 부분은 법적 보완도 중요하시만 외국기업에 대한 실효성 있는 법집행이 더욱 중요하다. 특히 개인정보 보호에 관하여 개별법에 특별한 규정을 많이 두면 둘수록 「개인정보 보호법」의 존재의의는 그만큼 감소하게 될 것이고, 결과적으로 명목적인 지위만 지키게 되는 결과가 초래될 수도 있다. 따라서 명백히 예외적 사항을 반영하는 것이 아닌 한 신규 혹은 별도 개인정보 관련 입법은 지양되어야 하며, 「개인정보 보호법」을 중심으로 통합하여 규정하는 것이 타당하다.