EU 일반개인정보보호법(GDPR) 발효와 대응과제

EU 일반개인정보보호법(GDPR) 발효와 대응과제

유럽연합(EU)이 4차 산업혁명 시대 데이터 혁신의 원료인 개인정보의 활용과 보호의 새로운 기준을 제시하는 일반개인정보보호법(General Data Protection Regulation: GDPR)을 2018년 05월 25일(현지시간) 발효시킴에 따라, 우리 기업은 개인정보 보호 강화 추세가 세계적으로 확산될 가능성에 대비하고 경쟁력 개선의 기회로 삼을 필요가 있는 것으로 나타났다.

동법은 높은 수준의 개인정보 보호 요건을 부과함에 따라 혁신과 무역투자에 장애요인으로 작용할 수 있다.

KOTRA는 ‘EU 일반데이터보호법(GDPR) 발효와 대응과제’ 보고서에서 GDPR의 내용과 향후 영향을 분석하고 기업의 대응과제를 제시하면서 이같이 밝혔다.

▷ (주요내용) EU 역내 투자기업은 물론, EU 시민을 대상으로 한 다양한 기업 활동에 영향

▷ (파급효과) 통합된 EU 디지털시장 창출에 기여하나 기업 활동에 부정적 영향 가능성

▷ (대응방안) 규제 요인이 아니라 규제 대응수준을 향상시키는 기회로 활용할 필요



▣ EU 일반개인정보보호법(GDPR) 발효와 대응과제 (요약)

□ EU는 2018년 5월 25일부터 개인정보 처리와 이동에 관한 “일반개인정보보호법(General Data Protection Regulation: 이하 GDPR)” 시행

□ GDPR은 기업 규제환경의 큰 변화를 초래하여, EU 역내 투자기업은 물론, EU 거주민을 대상으로 하는 다양한 기업 활동에 영향

□ GDPR은 통합된 EU 디지털시장을 창출하는 데 기여할 전망이나, 장벽요인으로 작용하여 기업 활동에 부정적 영향을 줄 가능성 내포

□ GDPR을 단순히 규제요인으로 인식할 것이 아니라, 개인정보보호 규제 컴플라이언스 수준을 높이는 기회로 활용할 필요

 ◦ 개인정보 보호역량 강화를 통해 기업 경쟁력 강화, 신뢰도 향상 (뉴딜코리아)

첨부파일 : EU 일반개인정보보호법(GDPR) 발효와 대응과제

EU 개인정보보호법제(GDPR) 분석

 뉴딜코리아 홈페이지
 

EU 개인정보보호법제(GDPR) 분석 및 개인정보보호법제 개선 입법수요

■ 연구의 내용

1) GDPR과 개인정보보호법 비교 분석

GDPR은 아동에 대한 특별한 보호의 필요성을 강조하고 투명성, 잊혀질 권리등 관련 여러 조항에 명시적으로 언급하고 있다.

둘째, 정보주체의 권리는 개인정보보호법에서 규정된 정보주체의 권리를 모두 포함할 뿐만 아니라, 자기정보 이전에 관한 권리, 반대권 등 개인정보보호법에서 다루고 있지 않는 권리를 다루고 있다.

셋째, 국내법상 개인정보 영향평가는 공공기관을 대상이 대규모 개인정보파일의 처리하는 경우 그 위험성을 제3자인 평가기관으로 하여금 평가하도록 하는 반면, GDPR은 개인정보처리 이전에 개인정보처리자로 하여금 그러한 처리에 대한 위험성을 자체적으로 평가하도록 규정하고 있다.
평가 대상을 선정함에 있어서 산술적 기준에 근거하는 개인정보보호법과 달리, GDPR은 평가 대상이 되는 개인정보 처리의 유형을 규정하고 있으며, 평가의 결과에 따라 해당 개인정보의 처리가 위험하다고 판단되는 경우, GDPR은 사전협의 과정에서 감독당국으로 하여금 처리의 금지를 포함한 구속력있는 제재를 가할 수 있도록 규정하고 있다는 점에서 개인정보보호법의 영향평가와 차이를 보인다.

넷째, GDPR에 따른 행동강령의 제정은 특정 업종에 종사하는 개인정보처리자의 개인정보처리가 특정 상황에서 어떻게 규율될 수 있는지에 대한 자율적인 가이드라인 역할을 할 것으로 기대된다.

다섯째, GDPR은 국외이전에 대하여 구체적이고 세부적인 규정을 두어 유럽연합의 보호수준에 미치지 못하는 제3국 또는 국제기구로의 개인정보 이전을 금지하고 있다.

여섯째, GDPR에서 감독당국은 독립성이 보장된 국가기관으로 그 임무가 방대하고 권한이 막강하다.
향후 우리기업이 EU 역내 기업과 동등한 지위로 활동하기 위해서는 EU 개인정보보호 적합성 평가의 통과가 필요한바, 이를 위해서는 GDPR에서 요구하는 감독기관의 독립성과 임무와 권한을 개인정보보호위원회에 부여하여야 한다.

2) 빅데이터 분석 등 개인정보보호 활용방안

GDPR은 개인정보의 가치를 극대화하는 동시에, 정보주체의 권리를 보호하기 위해 익명처리와 가명처리를 구분하고, 재식별 가능성을 필연적으로 수반하는 가명처리정보를 개인정보로서 GDPR의 적용범위에 포섭시키는 한편 공익을 위한 기록보존, 과학 및 역사 연구, 통계 목적으로 개인정보를 처리하는 경우 예외를 인정하고 있다.

이와 달리, 미국과 일본의 개인정보보호법제는 재식별 가능성이 희박한 비식별정보 및 익명가공정보를 더 이상 개인정보로 취급하지 않는 동시에, 해당 정보가 재식별되는 것을 방지하기 위하여 재시별 금지 규정 등을 포함한 여러 관련 규정을 도입하고 있다.

빅 데이터 분석을 포함한 개인정보의 활용을 보다 폭 넓게 허용하기 위하여 GDPR을 반영하는 경우, 개인정보보호법은 가명처리정보의 목적 외 이용·제공을 허용하는 방식으로 해석·개정될 수 있다. 이와 달리, 개인정보보호법이 미국 및 일본의 법제를 반영하는 경우 – 즉, 비식별 처리된 개인정보를 더 이상 개인정보로 취급하지 않는 경우 – 학술연구 또는 통계목적 뿐만 아니라, 다른 목적에 근거한 비식별 정보의 활용 역시 허용될 수 있다.

3) 프로파일링과 동의 관련 규정 검토


개인정보보호법과 달리, GDPR은 빅 데이터 분석과 불가분의 관계에 있는 프로파일링을 포함한 대규모 자동처리 방식에 따른 개인정보의 처리를 별도로 규율하고 있다.

이에 따라 프로파일링을 시행하는 개인정보처리자는 반드시 해당 처리의 위험성을 사전에 예측하기 위하여 개인정보 영향평가를 시행하여야만 하며, 정보주체는 인간의 개입이 전혀 존재하지 않는 자동화된 방식의 개인정보처리 결과에 종속되지 않을 권리를 가진다.

또한 동의와 관련하여, 일반적으로 정보주체의 동의는 개인정보 수집을 포함한 처리를 적법하게 만드는 기본적인 법적 근거이다.

그러나 정보주체의 동의는 개인정보 처리를 위한 다양한 법적 근거 중의 하나에 불과하며, 이러한 동의는 언제든지 철회될 수 있다는 점에서 가장 안전한 또는 안정된 법적 근거가 될 수 없다.

그럼에도 불구하고, 정보주체의 동의가 자신의 개인정보 처리를 통제하는데 가장 좋은 수단이라는 사실에는 이견이 있을 수 없다.

정보주체의 동의에 근거하여 그의 개인정보를 처리하는 개인정보처리자는 동의가 주어지는 방식과 관련 문서가 GDPR의 관련 규정에 비추어 적절한지 유의하여야 하며, 특히 동의가 주어진 사실에 대한 입증책임이 개인정보처리자가 있음을 유의하여야 할 것이다.

동의에 근거한 개인정보의 처리가 어려운 경우, 특히 사업자인 개인정보처리자는 GDPR 제6(1)(f)에 규정된 개인정보처리자 또는 제3자의 정당한 이익에 근거한 개인정보 처리에 보다 더 큰 관심을 가질 것으로 보인다.


■ 기대효과
본 연구 결과는 EU GDPR와 국내 법제를 비교 분석하고 우리 법제의 개선방향을 제시함으로써 빅데이터 등 기술 발전 대응 및 국제적 상호운용성을 갖추기 위한 자료로 활용할 수 있다.


■ 첨부파일
GDPR(번역문) 포함

개인정보 실태점검 및 교육 수행

뉴딜코리아 컨설팅 사업부 / 070-7867-3721, ismsbok@gmail.com

정보통신망 이용촉진 및 정보보호 등에 관한 법률 개정안 의결(방통위, 2016.12.06)

 뉴딜코리아 홈페이지 | 뉴딜코리아
http://cafe.naver.com/rapid7/2697

 

방통위, 정보통신망법 개정안 의결

  

방송통신위원회(위원장 최성준)는 사물인터넷, 클라우드 컴퓨팅 등 정보통신기술(ICT) 발전에 따라 개인·위치정보를 활용하는 다양한 서비스가 증가하고 있는 상황에서, 개인정보가 실질적으로 보호되면서도 안전하게 활용될 수 있도록 개인정보보호 관련 법체계간 정합성을 맞추고 글로벌 스탠더드(global standard)를 고려하는 한편, 보호에 미비했던 사항을 보완하여 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(이하 ‘정보통신망법’), 「위치정보의 보호 및 이용 등에 관한 법률」(이하 ‘위치정보법’) 및 위치정보법 시행령 개정안을 의결하였다고 밝혔다.

이번에 의결된 개정안은 지난 9월 21일 위원회 보고 후, 9월 23일부터 11월 2일까지 진행된 입법예고 기간 중 제출된 시민단체, 업계 및 정부기관의 의견을 종합적으로 고려하여 개인정보 보호는 강화하면서도 규제를 합리화하기 위하여 마련된 수정안이다.


① 정보통신망법 개정안 주요 내용

 우선, 이번 정보통신망법 개정안에는 이용자의 개인정보 보호를 강화하기 위한 조치들이 다수 포함되었다.

현행법은 이용자가 제3자 제공에 동의만 하면 유상판매도 가능하다는 문제가 있어, 이용자가 유상판매 여부를 인지하여 제3자 제공 동의를 선택할 수 있도록 ‘개인정보를 유상으로 판매하는 사실’에 대해 이용자에게 고지하도록 규정하였다.

또한 현행법은 개인정보 수집ㆍ이용 및 제공 등의 ‘동의 철회권’만 규정하고 있으므로 ‘처리정지 요구권’을 추가로 신설하여 예외적으로 동의없이 개인정보를 수집？이용？제공하는 경우에도 이용자가 사후에 처리정지를 요구할 수 있도록 개인정보 자기결정권 보장을 강화하였다.

글로벌 비즈니스의 확대로 한번 국외이전된 개인정보가 다시 제3국으로 재이전되는 사례가 늘어남에 따라 재이전될 때에도 개인정보 보호에 문제가 생기지 않도록 원칙적으로 동의를 받고, 기술적·관리적 보호조치를 취하도록 하였으며, 정보통신망법을 위반하여 국외이전 또는 재이전이 이루어져 이용자의 권리가 침해될 우려가 있을 경우 방송통신위원회가 국외(재)이전 중단 명령을 할 수 있도록 규정하였다.

한편, 다른 개인정보보호 관련 법체계 및 국제적 수준 등을 고려하여 합리적으로 개선 및 보완하기도 하였다.

현행 정보통신망법에서는 개인정보 수집·이용 등이 이뤄지지 않으면 계약의 체결 및 이행이 불가능한 경우에 대해서도 제한적으로 동의 예외를 규정하고 있어 이를 보완하였으며, ‘기존 서비스와 밀접한 관련성이 있다고 합리적으로 인정되는 기능 추가 등 서비스 개선’은 추가적인 동의가 필요한 목적변경으로 보지 않도록 규정하였다.

또한 국외이전의 경우에도 계약 이행을 위하여 필요한 경우를 사전동의 예외로 규정하고 있는 현행 규정을 보완하여 법률 등에 특별한 규정이 있는 경우, 국외이전받는 자가 방송통신위원회가 지정하는 인증을 받은 경우를 예외사유에 추가하였다.

그동안 동의를 받지 않고 개인정보를 수집한 경우에는 그 수단·방법 등에 관계없이 무조건 정보통신망법에 따라 형벌과 행정제재(과징금·시정명령)의 대상이 되어 과도한 규정이라는 비판이 지속적으로 제기되었다.

이에 부정한 수단·방법으로 개인정보를 수집한 경우에는 지금과 같이 형벌과 행정제재를 병과하되, 이 외의 경우에는 행정제재만 부과할 수 있도록 형벌 적용요건을 강화하였다.

한편 부정한 방법으로 개인정보가 수집된 사정을 알면서도 영리 또는 부정한 목적으로 제공받는 자에 대한 벌칙을 신설하였다.

정보통신망법 주요 내용 (2016.3.22. 공포)

카페 > 뉴딜코리아 홈페이지 | 뉴딜코리아
http://cafe.naver.com/rapid7/2315

정보통신망법 개정(’16.3.22 공포) 주요 내용

【1】스마트폰 접근권한에 대한 이용자 동의권 강화(법 제22조의2 신설)  o 스마트폰에 대한 접근권한 필요시 필수적 권한과 선택적 권한을 구분하여 이용자의 동의를 받도록 함
- 선택적 권한에 대해서는 이용자가 동의를 하지 않더라도 서비스 제공거부 금지

【2】법률 간 유사용어 조정(법 제24조의2제3항 등)  o ‘취급’을 ‘처리’로, ‘누출’을 ‘유출’로, ‘개인정보 관리책임자’를 ‘개인정보 보호책임자’로 변경하는 등 개인정보 보호법과의 용어를 통일

【3】개인정보 처리위탁제 개선(법 제25조제4항, 제6항 및 제7항 신설)  o 개인정보 처리위탁 시, 위탁자에게 수탁자에 대한 교육의무 부여
  o 개인정보 처리위탁을 하는 경우 문서에 의하도록 하고, 수탁자는 위탁자의 동의를 받은 경우에 한하여 위탁받은 업무를 제3자에게 재위탁 가능

【4】기업의 임원에 대한 책임 강화(법 제27조제4항 및 제69조의2제2항 신설)
  o 기업의 개인정보보호 책임자는 법 위반 사항 발견 시 개선조치 후 사업주 등 대표자에게 보고
  o 방통위는 정보통신망법을 위반한 기업의 임원에게 징계 권고 가능

【5】노출된 개인정보 삭제 차단 조치 강화(법 제32조의3 신설)
   o 정보통신망을 통하여 개인정보가 노출된 경우 방통위 또는 KISA는 해당 정보의 삭제 차단을 정보통신서비스 제공자등에게 요청 가능

【6】텔레마케팅 시 개인정보 수집출처 고지 의무화(법 제50조제1항제2호)  o 전화권유판매자가 수신자에게 개인정보의 수집출처를 고지해야만 수신자의 명시적인 사전 동의 없이 텔레마케팅을 할 수 있도록 함

【7】사기성 정보를 받은 이용자에 대한 통지 조치 근거 마련(법 제49조의2제3항제3호 및 제4항 신설)
  o 속이는 행위로 개인정보를 수집하는 등의 위반행위가 확인된 경우 정보통신서비스 제공자로 하여금 다른 사람을 속이거나 위해를 줄 수 있는 정보를 받은 이용자에게 알리도록 하는 조치의 근거를 마련

【8】개인정보 국외이전 유형 구체화 등(법 제63조제2항)

  o 개인정보 국외 이전의 유형을 ‘제공(조회되는 경우를 포함), 처리위탁, 보관’으로 명시하고, 원칙적으로 이용자의 동의를 받도록 함

   - 정보통신서비스의 제공에 관한 계약을 이행하고 이용자 편의 증진 등을 위하여 필요한 경우로서 개인정보 처리방침 등에 공개한 경우 에는 처리위탁, 보관에 따른 동의 불요

【9】개인정보 관련 범죄에 대한 몰수·추징 도입(법 제75조의2 신설)

  o 개인정보 관련 범죄로 인한 이익을 환수하기 위해 몰수하거나 그 가액을 추징

【10】징벌적 손해배상제 도입(법 제32조제2항·제3항)

  o 고의 또는 중과실로 개인정보를 유출한 경우 가중된 책임을 물어피해액의 3배까지 배상액을 중과

※ 시행시기: 【1】은 공포 1년 경과 후

             【2】～ 【9】는 공포 6개월 경과 후

             【10】은 ’16.7.25

※ 자세한 사항은 국가법령정보센터(http://www.law.go.kr)에서 확인 가능

개인정보보호법 및 정보통신망법 자문 지원

- 뉴딜코리아 컨설팅사업부 (070-7867-3721, ismsbok@gmail.com)