토스가 해외 진출에 대비해 유럽연합(EU) 일반개인정보보호법(GDPR)에 맞춘 개인정보 관리체계 구축에 나선다. 개인정보 보호체계를 국내 규제 준수를 넘어 글로벌 규제에 대응할 수 있는 구조로 고도화할 방침이다.
본지 취재를 종합하면 토스는 최근 GDPR의 '정당한 이익'을 개인정보 처리의 법적 근거로 활용하기 위한 내부 평가체계 구축을 추진하고 있다. 호주에 진출한 토스가 장기적으로 유럽 진출까지 염두에 두고 글로벌 개인정보 보호체계를 선제적으로 구축하는 것이다. 해외 사업 확대 과정에서 국가별 개인정보보호 규제에 대응할 수 있는 관리체계를 선제적으로 마련하는 것이다.
GDPR은 이용자의 별도 동의가 없더라도 기업이 사업상 필요가 있고 이용자의 권리를 과도하게 침해하지 않는 경우 개인정보를 처리할 수 있다. 이를 개인정보 처리의 법적 근거인 '정당한 이익'이라고 한다.
다만 기업이 정당한 이익을 자의적으로 적용할 수 있는 것은 아니다. 기업이 추구하는 이익이 적법하고 구체적인지, 개인정보 처리가 이를 위해 필요한지, 기업의 이익과 정보주체의 권리 사이에 균형이 이뤄지는지를 단계적으로 판단한다.
토스는 이에 맞춰 개인정보 처리의 적정성을 △목적의 정당성 △처리의 필요성 △이익 간 형량 등 3단계로 판단하는 자체 평가체계를 마련하고 있다. 각 단계별 판단 기준과 사례를 구체화해 향후 GDPR이 적용되는 해외 서비스에서 정당한 이익을 개인정보 처리 근거로 활용할 수 있도록 내부 기준을 마련할 계획이다.
해외 진출 확대에 맞춰 개인정보 보호체계도 국내 규제 준수를 넘어 글로벌 규제에 대응할 수 있는 구조로 전환하는 것이다.
이번 작업은 국내에서 운영 중인 개인정보 처리체계를 변경하는 것이 아니라 해외 사업에 필요한 개인정보 처리 기준을 추가로 구축하는 데 초점이 맞춰져 있다. 국내 서비스는 현행 개인정보보호법 등 국내 규제에 따른 기존 개인정보 처리체계를 유지한다.
토스 관계자는 “개인정보를 안전하게 보호하는 것을 최우선 가치로 두고, 국내 개인정보보호법을 비롯한 관련 규제를 철저히 준수하며 서비스를 운영해왔다”며 “이와 함께 글로벌 스탠더드에 부합하는 개인정보 보호 역량을 강화하기 위해 노력하고 있다”고 말했다.
박두호 기자 walnut_park@etnews.com
