'개인정보보호법'(개보법) 개정안의 국회 통과가 차일피일 미뤄지면서 국내 업체가 천문학적 배상금을 지불해야 하는 상황을 맞을 수 있다는 지적이 제기됐다. 유럽개인정보보호법(GDPR) 기준에 맞는지를 평가하는 '적정성 평가'가 수차례 지연되면서 당장 게임과 인터넷 등 유럽에 진출한 주요 국내 기업이 타격을 받게 됐다. 가까운 일본을 비롯해 주요 나라들은 이미 GDPR 적정성 평가를 끝냈지만 우리는 국회에서 법안이 정쟁에 휘말리면서 업체 피해가 불가피해진 것이다.
지난해 발효된 GDPR는 개인정보의 역외 이전을 원천 금지한다. 다만 상대국 개인정보 보호 수준이 유럽연합(EU)과 동등하다고 판단되면 해당 국가로의 이전을 허용한다. GDPR 평가를 통과하지 못하면 천문학적인 과징금을 내야 한다. 이미 EU는 주요 외국 기업에 과징금을 부과하기 시작했다. 국내 기업도 언제 과징금이 떨어질지 전전긍긍하는 실정이다.
상황이 이런 데도 GDPR 평가 기준이 되는 개보법 개정안은 국회에서 낮잠을 자고 있다. 지난해 상반기에 심의를 통과했지만 시민단체의 반발로 국회 문턱을 넘지 못하고 있다. 개인정보 현안을 놓고 행정 부처별로 이견도 심한 데다 시민단체가 거세게 반대하기 때문이다. 우리는 이미 수차례 적정성 평가에서 불가 판정을 받아 상황도 녹록지 않다. 행정안전부는 2015년부터 개인정보 보호 분야 개인정보보호법 중심으로 전체 적정성 평가를 추진했다. 그 결과 2016년 10월 EU 집행위원회로부터 개인정보보호위원회 적격성이 미비하다는 이유로 불가 통보를 받았다. 이후 부분 적정성 평가를 추진했지만 이마저도 정보통신망법이 개인정보 보호를 모두 포괄하지 못한다는 이유로 무산됐다.
시간이 많지 않다. 법안이 통과되더라도 EU와 조문 하나하나를 확인하는 과정을 거쳐야 한다. 일본은 준비에서 통과까지 총 4년이 걸렸다. 개보법 개정안이 지연될수록 산업과 시장에 주는 타격이 너무 크다. 법 지연으로 국내 데이터 산업도 한 발짝도 나아가지 못하고 있다. 지금 당장 통과해도 너무 늦었다.
