#1
“기업책임 강화” 내일부터 시행
보호 범위·처벌 등 대폭 확대
벌금 최저 금액이 255억원 수준
#2
스마트TV·게임·AI 서비스 등
국내 기업 700여곳 대응에 분주
삼성은 200여명 규모 조직 꾸려
오는 25일, ‘인터넷 등장 이래 가장 강력한 온라인 프라이버시 보호법’이라고 불리는 유럽연합(EU)의 일반정보보호법(GDPR)이 시행된다. GDPR이 2016년 4월에 채택된 후 발효까지 2년의 준비 기간이 있었던 만큼, 유럽 시장에 진출한 국내 글로벌 기업들은 시행을 앞두고 최종점검에 한창이다.
GDPR은 1995년부터 운영되던 EU의 정보보호지침(DPD)을 시대 환경에 맞게 수정한 법안이다. 개인정보에 대한 권리를 개인에게 돌려주고 이를 이용하는 기업의 책임을 강화한다는 게 핵심이다. GDPR에 따르면 개인들은 자신의 개인정보가 언제, 어떤 방식으로, 그리고 어떤 목적과 용도로 수집ㆍ이용되는지 명확하게 고지받아야 한다. 기업이 법을 위반했을 때 처벌도 훨씬 강력해졌다. 해당 기업 연간 매출액의 4% 또는 2,000만 유로(약 255억원) 중 더 높은 금액을 과징금으로 부과한다. 이는 우리나라 개인정보보호법상 최대 벌금인 5,000만원의 500배 이상에 달하는 규모다.
국내에서 GDPR의 적용을 받는 대상 기업은 700여 곳 정도지만, 아직 일부 중소ㆍ벤처기업들은 준비에 분주하다. 법률적 해석의 어려움과 예산상 이유로 적절한 대비를 못 하고 있는 경우가 있기 때문이다. 정보보호책임자(DPO) 고용, 시스템 교체와 모니터링 작업 확대 등 GDPR 준수를 위해서는 적지 않은 비용이 든다. 일부 해외 게임 업체의 경우 GDPR 위반을 막기 위해 유럽 이용자들의 접속을 차단하려는 시도도 있었다. 윤재석 한국인터넷진흥원(KISA) 팀장은 “꾸준한 홍보로 대부분 GDPR에 대해 알고 있지만, 실무 적용에서 어려움을 겪는 기업들이 많다”면서 “과징금 폭탄을 피하기 위해서는 얼마나 진지하게 GDPR에 대비하려고 했는지 상시로 기록해 관련 노력을 입증할 필요가 있다”고 말했다.
대기업들은 현지 로펌까지 동원해 만반의 준비를 마쳤다. 이용자의 개인정보를 수집할 수밖에 없는 인공지능(AI)ㆍ사물인터넷(IoT) 탑재 제품을 파는 대기업이 대표적이다. 삼성전자는 내부에 200여명 규모의 개인정보보호사무국 조직을 두고 대응 방안을 마련했다. 삼성전자 관계자는 “스마트TV 등 IoT 기기에 대한 보안 우려가 이전부터 있었던 만큼 개인정보 수집ㆍ이용에 대한 본인 동의 절차가 마련돼 있었지만, 이를 더 확실히 하는 등 다양한 보완책을 세워 시행 중”이라고 설명했다. LG전자도 “유럽의 법인마다 개인정보보호팀을 구축해 GDPR 규제에 대응하고 있다”고 말했다.
유럽 이용자들이 많이 접속하는 만큼 게임업계도 만반의 준비를 하고 있다. GDPR을 통해 특히 아동 개인정보 보호가 강화됐기 때문에, 게임사는 이용자가 만 16세 미만일 경우 친권자에게 필수적으로 동의를 받아야 한다. 유럽 지역에 게임을 서비스하고 있는 게임업계 ‘빅3’는 물론 대부분 게임사들은 보안조직 내 별도 개인정보보호 전담 부서를 만들어 지난해부터 대응을 준비해왔다. 넥슨의 경우 GDPR 관련 예산을 5억원 책정하기도 했다.
정부는 KISA와 함께 막바지 대비를 하고 있다. 이윤숙 행정안전부 개인정보보호협력과장은 “한국의 개인정보보호법이 유럽 모델을 참고로 만들어진 만큼 국내 법률을 성실히 준수해온 기업이라면 GDPR에서 강화된 몇몇 규정을 중심으로 대비하면 큰 어려움이 없을 것”이라고 말했다.
곽주현 기자 zooh@hankookilbo.com
기사 URL이 복사되었습니다.
댓글0