ISSN 2635-5981

2019년 4월 12일 Vol. 2 No. 10

EU 일반개인정보보호법(GDPR)에 대한 일본정부의 대응 및 평가

이정은 세계지역연구센터 선진경제실 일본·동아시아팀 연구원 (leeje@kiep.go.kr, Tel: 044-414-1236)

EU 일반개인정보보호법(GDPR)에 대한 일본정부의 대응 및 평가

KIEP 세계경제 포커스

2019.4.12

오늘의 세계경제 ㅣ 2011. 4.11

차  례

1. 개요

2. EU 일반개인정보보호법(GDPR)에 대한 일본정부의 대응

3. 평가 및 시사점

주요 내용

▶ 이 연구는 일본이 최종적으로 EU GDPR 적정성 인정을 받기까지 일본정부가 추진한 대응방안을 살펴보고 한국에 대한 시사점을 도출하고자 함.

▶ 2019년 1월 23일 일본 개인정보보호위원회와 유럽집행위원회는 일본의 개인정보보호 체계와 EU의 일반개인정보보호법(GDPR)이 서로 동등한 수준이라고 인정하는 상호 적정성 평가(adequacy decision)를 최종적으로 승인

- 기존 개인정보보호지침(Directive)보다 강화된 GDPR은 그 대상을 EU 역내 사업자뿐 아니라 EU 내 거주자의 개인정보를 처리하는 전 세계기업으로 확대 적용했으며, 위반 시 기업의 연간 매출의 4% 또는 최대 2,000만 유로의 과징금을 부과하도록 규정하여 EU 주민의 개인정보를 제3국으로 이전하는 것을 원칙적으로 금지했음.

- GDPR 적정성 평가는 EU 역외로 개인정보 이전을 허용하는 제도 중 하나로, 일·EU 상호 적정성 인정을 통해‘세계 최대의 데이터 유통 안전지대’가 형성되었으며, 양국 사업자는 개인데이터 이전에 대한 적법성을 확보하게 되어 부담이 큰 폭으로 경감되었음.

▶ 일본정부는 GDPR에 대응하여 「개인정보보호법」 개정을 포함한 법·제도정비와 EU 집행위와의 협상을 추진

- 민간 분야의 개인데이터 보호·활용을 규율하는 일반법 「개인정보보호법」을 개정(2015년 9월 개정, 2017년 5월 시행)함으로써 일·EU 양국의 데이터보호 수준 격차가 상당 부분 줄어들었으며, 이후에도 개정법에 근거한 구체적인 정령(政令), 시행 규칙, 가이드라인 등을 발표하며 데이터 보호 관련 제도정비를 추진

- 2014년부터 정부차원에서 EU GDPR 적정성 평가 승인 협상을 전개했으며, 일본 개인정보보호위원회는 수차례 유럽위원회의 실무·관리자 및 전문가를 방문하여 GDPR 적정성 인정 및 일본의 대응방안에 대한 의견 교환을 실시

- 개정개인정보보호법 개정 및 추가 정령·규칙 제정 이후에도 남아 있는 양국 보호체제의 간극을 좁히기 위해 일본정부는 보조규정(Supplementary Rules) 등 추가적인 보호장치를 도입하기로 EU와 합의

▶ 일·EU 간 상호 적정성 인정은 2019년 2월 1일부로 발효된 일·EU EPA(2018년 7월 17일 체결)의 TPP 3원칙을 보완·강화하는 역할을 수행할 것으로 예상

- 일·EU EPA와 개인정보보호 협상은 별개의 two-track으로 진행되었으나 일·EU EPA의 전자상거래, 서비스 무역 등과 같은 분야는 실질적으로 개인정보의 역외이전을 동반할 수밖에 없기 때문에 두 개의 협상은 서로 긴밀하게 연결되어 있다고 평가됨.

▶ 우리나라는 데이터경제 활성화 및 국제적인 개인정보 보호 패러다임에의 동참이라는 측면에서 보다 속도감 있게 법·제도 개선을 추진할 필요가 있으며, 그 과정에서 일본의 GDPR 대응 과정을 참고할 수 있을 것임.

- 한국은 2015년부터 GDPR 적정성 평가에 대응하기 시작했으며 2017년 초부터 방송통신위원회가 주도하여 EU와의 협상을 추진하였으나 아직까지 인정을 받지 못함.

1. 개요

EU 일반개인정보보호법(GDPR)에 대한 일본정부의 대응 및 평가

KIEP

세계경제  포커스

2019.4.12

■ 2019년 1월 23일 유럽집행위원회는 일본이 EU의 일반개인정보보호법(GDPR: General Data Protection Regulation)에 부합하는 수준의 개인정보보호 체제를 갖추고 있다고 인정하는 적정성 평가(adequacy decision)를 최종적으로 승인

European Commission(2019), “European Commission adopts adequacy decision on Japan, creating the world's largest area of safe data flows”(Jan. 23).

- 같은 날 일본 개인정보보호위원회는 EU 회원국을 포함한 유럽경제지역(EEA) 내 31개국이 일본과 동등한 수준의 개인정보보호를 갖췄다고 인정하고, 일·EU 간 자유로운 데이터 이전을 인정

개정개인정보보호법 제24조(외국에 있는 제3자에 대한 제공 제한)에 기초하여 결정[個人情報保護委員会(2019), 「日·EU間の相互の円滑な個人データ移転を図る枠組み発効」(１月23日)].

- 2016년 5월 EU는 기존의 개인정보보호지침(Directive)을 대체한 법적 효력이 강력하고 강도 높은 제재 규정을 가진 GDPR을 발표하여 유럽 회원국 국민의 개인정보를 제3국으로 이전하는 것을 원칙적으로 금지하였음.

◦	적정성 평가란 EU 역외로 개인데이터 이전을 허용하는 제도 중 하나로, EU 역외국가(제3국, 제3국 내 영토, 또는 특정 분야)가 EU GDPR에 상응하는 수준의(‘적정한’) 개인정보보호 체계를 갖추고 있는지 평가, 적정성을 인정받은 국가에 소재한 기업들은 별도의 조치 없이 EU 회원국으로부터 개인정보를 이전할 수 있도록 함.

■ EU의 일본에 대한 적정성 평가 승인은 2018년 9월 시작한 절차의 마지막 단계로, 1월 23일부로 일·EU 양국에서 개인정보가 자유롭게 유통 가능하게 되었음.

- 2017년 1월 10일 EU 집행위는 EU의 주요 무역파트너이며 데이터 관련 규정을 정비하고 있는 일본과 한국을 적정성 우선 평가 대상국으로 선정했으며 2018년 9월 5일 적정성 평가 초안(draft) 작성을 시작으로 평가 절차를 진행했음(표 1 참고).

European Commission(2017), “Communication from the Commission to the European Parliament and the Council-Exchanging and Protecting Personal Data in a Globalised World,” p. 8.

- 일·EU 간 상호 적정성 인정으로 ‘세계 최대의 데이터 유통 안전지대’가 형성되었으며, 양국 사업자는 개인데이터 이전에 대한 적법성을 확보하게 되어 부담이 큰 폭으로 경감되었음.

표 1. EU의 적정성 평가 절차

1단계	2단계	3단계	4단계	5단계	6단계
EU 집행위*의 초기결정	EU 집행위의 적정성 평가 초안 승인	유럽정보보호이사회 (EDPB)**의 의견 수렴	커미톨로지 절차 (comitology)***	LIBE****가 해당국에 대한 최신 정보 제공(데이터 보호 체계 및 집행 등)	EU 집행위원단의 적정성 인정 최종 승인

주: * EU 집행위원회(European Commissioners): 총 28명(EU 집행위원장 및 27명의 집행위원으로 구성)의 집행위원단(College of Comissioners)로 구성

** 유럽정보보호이사회(EDPB: European Data Protection Board): GDPR에 의해 설립된 법인격을 갖춘 EU의 독립기구로, GDPR의 일관적인 적용을 보장하는 역할을 수행.

*** 커미톨로지(comitology): 유럽연합의 의사결정 방식으로, EU의 각 회원국 대표 전원이 참석한 회의의 심의·승인을 얻는 절차.

**** 시민자유사법내무위원회(European Parliament Committee on Civil Liberties, Justice and Home Affairs, LIBE): 유럽의회의 22개 상임위원회 중 하나로 개인정보보호 분야를 담당.

자료: European Commission(2018), “The European Union and Japan agreed to create the world's largest area of safe data flows” (July 17), Press Release.

■ 이 연구는 일본이 최종적으로 적정성 인정을 받기까지 일본정부가 추진한 대응방안을 살펴보고 한국에 대한 시사점을 도출하고자 함.

- 일본정부는 EU의 GDPR 시행에 적극적으로 대응해왔는데, 본고에서는 일본의 개인정보보호법 개정과 EU 집행위와의 협상을 중심으로 살펴보도록 하겠음.

2. EU 일반개인정보보호법(GDPR)에 대한 일본정부의 대응

가. 개인정보보호법 개정

■ 2015년 9월 일본정부는 민간 분야의 개인데이터 보호·활용을 규정하는 일반법 「개인정보보호법」을 약 10년 만에 개정하였으며, 이로써 일·EU 양국의 데이터보호 수준 격차가 상당 부분 줄어듦.

「個人情報の保護に関する法律及び行政手続における特定の個人を識別するための番号の利用等に関する法律の一部を改正する法律」(개인정보 보호에 대한 법률 및 행정절차에서 특정 개인을 식별하는 번호의 이용 등에 관한 법률 일부를 개정하는 법률).

- 개정 후 개인정보보호법 제1조 목적에 기존 ‘개인의 권리이익 확보’에 더하여 ‘개인정보의 적정하고 효과적인 활용으로 새로운 영역의 사업․서비스 창출’이 포함되었음.

- EU의 GDPR 제정으로 역외 데이터이전 규제가 엄격해짐에 따라 일본은 법 개정 시 GDPR 적정성 평가를 의식하여 그와 상응하는 수준으로 법 개정을 추진

関啓一郎(2015), ｢個人情報保護法とその10年ぶりの改正について｣, p. 9.

■ 법 개정으로 △ 개인정보의 정의 명확화 △ ‘익명가공정보’ 조항 신설 △ 추적가능성 등 보호조치 강화 △ 개인정보보호위원회 신설 △ ‘외국 제3자에 대한 데이터 제공 제한’에 대한 조항 신설 등이 이루어짐.

본 절은 経済産業省(2015), 「改正個人情報保護法の概要と中小企業の実務への影響」(9月), p. 5; 関啓一郎(2015), ｢個人情報保護法とその10年ぶりの改正について｣, pp. 9~21을 참고하여 작성.

- 개인정보 개념을 개인을 식별할 수 있는 ‘개인식별부호가 포함된 정보’로 명확히 규정하고 ‘요(要)배려 개인정보(EU의 민감정보)’라는 개념을 새롭게 도입하여 기존 법으로 규정하기 어려운 ‘회색지대’ 문제를 해소

- 개인을 특정할 수 없도록 처리한 ‘익명가공정보’의 가공방법과 취급 등의 조항을 신설하고 익명가공정보에 한하여 본인 동의 없이도 데이터 유통 및 거래를 가능하게 하여 정보은행이나 개인데이터 저장소(PDS)를 설립할 수 있는 법적 토대를 마련

- 개인정보를 제3자에게 제공하는 경우 제공자는 수령자의 성명, 데이터 취득 경위, 제공 날짜 등을 기록하고 일정 기간 동안 보관. 수령자도 제공자의 정보를 일정 기간 동안 보관하여 추적가능성(traceability)을 담보

- 독립된 제3자 데이터보호기관으로서 개인정보위원회가 출범(2016년 1월 설치)

◦	일본 개인정보보호위원회는 일본 내 개인정보보호 정책을 총괄하는 기관으로, 총리의 지휘감독을 받지 않고 독자적으로 권한을 행사할 수 있으며, 개인정보보호법의 규칙 제정, 감시·감독 및 집행권을 아우르는 강력한 권한을 보유

- 다음 조건을 하나 이상 만족하지 않는 경우에는 본인의 동의가 있어야 제3국으로 데이터 이전이 가능하다고 규정: ① 일본과 동등한 수준으로 개인정보를 보호하고 있다고 인정된 국가(EU GDPR의 적정성 인정과 동일) ② 일본의 개인정보 사업자와 같은 수준으로 개인정보보호 체제를 정비하고 있다고 인정되는 경우 ③ 생명·신체·재산보호 등 필요에 따라 국내법에서도 본인동의가 불필요한 경우

표 2. 일본 개인정보보호법의 주요 개정 내용

개인정보 개념 명확화	특정 데이터가 개인정보 혹은 요(要)배려 개인정보에 속하는지 여부를 명확화하여 회색지대를 없앰. ․ 개인정보 개념 명확화(개인의 신체적 특징을 데이터화한 정보, 운전면허증, 마이넘버 등 특정 개인을 식별가능한 정보(개인식별부호)가 포함된 정보) ․ 요(要)배려 개인정보*에 관한 규정 정비
데이터 활용 촉진을 위한 법ㆍ제도 구축	- 데이터 활용을 촉진하기 위해 일정한 법률하에서 원칙적으로 본인의 동의 없이도 데이터의 제3자 제공 및 목적 외 이용 허용 ․ 익명가공정보에 대한 가공처리 방법 및 취급 등 규정 정비 ․ 개인정보보호 지침의 작성 및 신고, 공표 등의 규정 정비
개인정보보호 강화	- 개인정보의 제3자 제공 관련 규정 정비 ․ 추적가능성(traceability) 확보** ․ 개인정보 데이터베이스 등을 부정 제공할 경우의 처벌규정 신설
개인정보위원회 신설 및 권한 부여	- 내각부 외국(外局)으로 개인정보보호위원회를 신설 ․ 기존 각 산업별로 13개 성/청, 27개 분야의 주무장관이 담당하고 있던 업무·권한을 일원화
개인정보 국외이전에 대한 대응	- 일본 국민의 개인정보 국외이전의 허용요건, 안전 관리규정 등 포함. 데이터가 국경을 넘는 경우, 국내외 기업에 동일하게 적용
그 외 개정 사항	- 개인정보 취급 시 정보주체의 권리보장을 위한 동의 및 고지 절차 제정(개인정보 취급 시 opt-out의 신고, 공표 등 엄격화) - 이용목적 변경이 가능하도록 규정 완화 - 취급 개인정보가 5,000명 이하인 소규모 사업자에게도 동 법 적용(적용 범위의 확대)
주: * 요(要)배려 개인정보(要配慮個人情報): ‘배려가 필요한 개인정보’로, 인종, 신념, 사회적 신분, 병력, 범죄경력, 범죄에 의해 피해를 입은 사실 및 기타 본인에 대한 부당한 차별, 편견 및 기타 불이익이 생기지 않도록 그 취급에 특히 주의를 요하는 정보. ** 추적가능성(traceability): 개인정보를 제3자에게 제공하는 경우, 정보 제공자의 성명 및 데이터 취급 경위 등을 확인하고, 일정 기간 그 내용을 보관하는 등 개인정보 제공자·제공처의 기록 작성 보존을 의무화. 자료: 経済産業省(2015), 「改正個人情報保護法の概要と中小企業の実務への影響」(9月), p. 5 참고하여 작성.

■ 개인정보보호법 개정 이후 일본은 EU GDPR에 대응하여 개정법에 근거한 구체적인 정령(政令), 시행 규칙, 가이드라인 등을 발표하며 데이터 보호 관련 제도정비를 추진

정령(政令): 내각에 의한 명령, Cabinet Order. 우리나라의 대통령령에 해당.

- 일본의 데이터 보호 관련 법률은 ① 개정 개인정보보호법 ② 이에 기반한 시행규정(Implementing Rules) ③ 보조규정(Supplementary Rules) ④ 가이드라인 등으로 구성

European Commission(2019), “Commission Implementing Decision of 23.1.2019”(Jan. 23), pp. 3-4.

◦	개인정보보호위원회는 2016년 10월 개인정보보호법에 근거하여 법적 구속력이 있는 정령(政令) 및 시행규칙을 발표했으며, 개인정보보호법 시행 관련 정부의 정책 방향을 포함한 ‘기본방침’도 발표

「個人情報の保護に関する法律施行令」(2016. 10. 5), 「個人情報の保護に関する法律施行規則」.

「個人情報の保護に関する基本方針」(2016. 10. 28); 2018년 6월 이를 일부 수정한 문서 발표. 「個人情報の保護に関する基本方針の一部変更」(2018. 6. 12).

◦	그 외에도 데이터 역외 이전(외국의 제3자 제공), 확인기록 의무(추적가능성 관련), 익명가공정보, 개인정보 누설 시 대응방안 등에 대한 가이드라인을 수차례 발표

https://www.ppc.go.jp/personalinfo/legal/, 「ガイドライン・Q&A等」.

나. EU와의 협상과 보조규정(Supplementary Rules) 도입

■ 일본은 2014년부터 정부차원에서 EU 집행위와 적정성 평가 승인 협상을 추진

- 일본 개인정보보호위원회(PPC)는 수차례 EU 집행위의 실무·관리자 및 전문가를 방문하여 GDPR 적정성 인정 및 일본의 대응방안에 대한 의견 교환을 실시(표 3 참고)

◦	특히 개정개인정보보호법이 시행된 2017년 5월을 전후로 유럽 각국의 데이터보호기관(DPA)을 방문, 개정개인정보보호법 및 시행령·규칙 등에 대하여 설명하고 방문국의 개인정보보호 조직 등에 대한 의견을 청취함.

개인정보보호위원회는 2017년 1월~6월 사이 유럽 12개국의 정보보호기관을 방문하였음. 個人情報保護委員会(2017), 「ＥＵ加盟国のデータ保護機関との対話・調査結果について」, 第40回 個人情報保護委員会 회의 배포자료.

◦	이를 바탕으로 2018년 6월 GDPR과의 간극을 좁히기 위해 보조규정을 도입하였음(표 4 참고).

- 2017년 3월·5월 및 7월에는 아베 총리가 EU 이사회 의장 및 집행위 의장을 만나 양국의 상호 데이터 이전 및 EU GDPR 인정성에 협조를 구하는 등 정상 차원의 논의도 병행

外務省 홈페이지, https://www.mofa.go.jp/mofaj/erp/ep/page1_000312.html; https://www.mofa.go.jp/mofaj/erp/ep/page4_00301
9.html; https://www.mofa.go.jp/mofaj/erp/ep/page1_000351.html.

- 2018년 7월 17일 일·EU 양국은 양국의 개인정보보호 제도가 동등하다는 인식을 바탕으로 상호 적정성 인정에 합의, 추후 각국의 내부 절차를 거쳐 최종적으로 적정성 인정을 승인할 것을 결정

표 3. 일·EU 상호 적정성 인정을 위한 협상 및 논의의 주요 경과

일시	회담 내용
2014년 3월	유럽 데이터 보호 관리자(EDPS: European Data Protection Supervisor) 등이 특정개인정보보호위원회*를 방문, 유럽 및 미국의 데이터보호 제도에 대하여 논의
2015년 9월	일본 개인정보보호법 개정
2016년 1월	일본 개정개인정보보호법에 근거하여 개인정보보호위원회(PPC) 출범(1월 1일)
2016년 4월	PPC와 방일한 EU 집행위 사법총국 간 협력 대화 진행: PPC의 설립 취지 및 개정개인정보보호법의 전면 시행을 위한 검토상황 설명과 EU GDPR 제정상황에 대하여 의견 교환
2016년 5월	EU GDPR 제정(5월 24일)
2016년 9월	PPC가 EU 집행위를 방문, 사법총국 간 협력 대화 진행: 개정개인정보보호법 전면 시행을 위한 준비사항을 설명하고 EU GDPR에 대한 상세한 설명 청취
표 3. 계속
일시	회담 내용
2016년 11월	PPC는 총무성 간부들과 함께 브뤼셀에서 개최된 제22회 일·EU ICT 정책대화(日총무성과 EU 집행위 참여) 및 제4회 일·EU ICT 전략 워크숍(정책대화에 민간 사업자도 참여한 민관 워크숍)에 참석하고, 이후 EU 집행위 사법총국장 방문
2017년 1월	EU 집행위가 일본과 한국을 적정성 인정 우선 대상국으로 선정(1월 10일)
2017년 1월	PPC가 EU 집행위 사법총국장 및 EDPS 총재를 방문, 데이터보호 관련 의견교환을 실시
2017년 3월	PPC·EU 집행위는 일·EU 간 개인정보 이전 및 개인정보의 국제 유통에 관하여 논의, 당일 세코 경제산업성 장관 및 오타 총무장관 보좌관과 데이터 경제 협력 강화에 대한 회담도 실시
2017년 3월	아베 총리는 브뤼셀을 방문, 유럽이사회 터스크 의장과 EU 집행위 융커 위원장과 정상회담을 진행, 일·EU EPA 타결 및 개인정보의 월경이전 상호 인정에 대한 양국의 의지를 확인(3월 21일)
2017년 5월	일본 개정개인정보보호법 시행(5월 30일)
2017년 7월	PPC·EU 집행위는 상호 데이터보호 제도의 조화(convergence)를 높이기 위한 방안을 모색하고, 2018년 초 상호 적정성 인정을 타결하는 것을 공동 목표로 확인(7월 3일)
2017년 7월	벨기에에서 개최된 제24회 일·EU 정상회담에서 일·EU EPA 및 전략적 파트너십협정(SPA)에 대한 기본합의(agreement in principle)가 이뤄졌으며, ‘개인데이터 국경이전에 관한 정치선언’을 발표(7월 6일)
2017년 12월	일·EU EPA 협상 최종 타결 발표(12월 8일)
2017년 12월	PPC·EU 집행위 간 회담 :공동보도 발표(12월 14일)
2018년 5월	PPC와 EU 집행위는 가능한 조기에 일·EU 상호 적정성 인정 절차를 완료하기 위한 작업을 가속화하기로 합의(5월 31일)
2018년 5월	EU GDPR 시행(5월 25일)
2018년 6월	보조규정을 도입하기로 합의(6월 15일)
2018년 7월	PPC와 EU 집행위 간 ‘일·EU 간 상호 원활한 개인데이터 이전을 위한 구조 구축’에 관한 최종 합의를 발표하고, 2018년 가을까지 적정성 인정 최종 승인을 위한 국내 절차를 완료하기로 합의(7월 17일)
2018년 7월	제25회 일·EU 정상회담에서 일·EU EPA의 공식 서명을 완료하고, 개인정보의 월경이전에 관한 공동성명을 발표(7월 17일)
2018년 9월	EU 집행위, 적정성 인정 절차를 공식적으로 시작하기로 의결(9월 5일)
2018년 9월	PPC, 「개인정보보호법에 관한 EU 역내에서 적정성 인정을 통해 이전받은 개인정보 취급에 관한 보완적 규칙」(보조규정) 발표(9월 7일)
2019년 1월	일·EU 간 상호 원활한 개인데이터 이전에 대한 적정성 인정 발효(1월 23일)
2019년 2월	일·EU EPA 발효(2월 1일)
주: 음영표시는 일·EU 데이터 협상 관련 주요 일지. * 특정개인정보보호위원회: 2014년 설치된 개인정보보호위원회(2016년 1월 설치)의 전신. 자료: 個人情報保護委員会, ⌜欧州各国との対話実績⌟, https://www.ppc.go.jp/enforcement/cooperation/cooperation/; European Commission Press Release 참고하여 저자 작성.

■  개정개인정보보호법 개정 및 추가 정령(政令)·규칙 제정 이후에도 양국간 보호체제의 간극을 좁히기 위해 일본정부는 보조규정(Supplementary Rules) 등 추가 장치를 도입하기로 EU와 합의

- 2018년 2월 개인정보보호위원회 회의에서 보조규정의 방향성 및 EU로부터 적정성을 인정받기 위해 필요한 5가지 대응에 대한 논의가 진행되었으며, 4~5월 의견모집을 거쳐 2018년 6월 15일 보조규정을 채택

第53回 個人情報保護委員会(2018. 2. 9) 및 第54回 個人情報保護委員会(2018. 2. 14) 등.

◦	상기 5가지 대응은 다음과 같음: 요(要)배려 개인정보의 범위, 보유개인데이터의 범위, 이용목적의 제한, 제3국으로 데이터 재이전 시 규정, 익명가공정보(표 4 참고)

◦	EU로부터 개인정보를 이전하는 일본기업은 개인정보보호법뿐 아니라 보조규정에 준하여 개인정보를 취급해야 함.

* 보조규정은 적정성 인정에 의해 EU에서 이전되는 개인데이터에 대해서만 적용됨.

- 일본정부는 보조규정 외에도 EU의 적정성 인정 획득을 위하여 정부기관의 개인정보 접근제한과 보호장치를 도입함.

◦	형법 집행 및 국가안보보장과 같은 목적으로 정부기관이 개인정보에 접근할 경우 목적제한 등을 포함한 보호장치를 도입했으며, 이를 위반할 경우의 불만처리 메커니즘(complaint-handling mechanism)을 설치(개인정보보호위원회가 관리·감독)

일본정부의 이 같은 의지는 유럽집행위 적정성 인정 문서의 부록(Annex II)으로 발표됨.  European Commission(2019), “Commission Implementing Decision of 23.1.2019”(Jan. 23).

표 4. EU 협상 이후 일본정부가 도입한 추가 보호조치: 보조규정(supplementary rules)

항목	개정개인정보 보호법	수정 내용
요(要)배려 개인정보	2조 3항	요(要)배려 개인정보(민감정보)의 범위 확대
		- GDPR에서 특별한 유형의 개인정보(Special Categories of Personal Data)로 정의한 성적취향, 노동조합 등에 대한 정보도 요(要)배려 개인정보 취급
보유개인데이터 보유개인데이터: 보유개인데이터는 개인정보취급사업자가 ‘보유’하고 있는 ‘개인데이터’로, 사업자가 공개, 내용의 수정, 추가, 삭제, 이용의 중지 및 제3자에게 제공 중지 등을 할 수 있는 권한을 갖고 있는 개인데이터를 뜻함. 사업자는 개인으로부터의 공개 및 정정 요청 등에 응할 의무(자기정보통제권)가 있음. 개인정보보호법 개정 전에는 다음에 해당하는 경우를 제외하고 보유개인데이터로 인정하였음. ① 해당 데이터의 존재 여부가 밝혀질 경우 공익 또는 기타 이익이 침해될 우려가 있는 데이터 ② 6개월 이내에 삭제되는 데이터의 경우	2조 7항	보유개인데이터 범위 확대(기간한정 예외조항 삭제)
		- EU에서 이전된 개인데이터에 대해서는 각주16)의 ①의 경우에 해당하지 않는 한 기간에 관계없이 보유개인데이터로 취급(기존에는 6개월 이내에 삭제 예정인 개인데이터는 보유개인데이터로 취급하지 않았음.)
이용목적 특정	15조1항 ·16조1항·26조1·3항	데이터 취득 시 이용목적을 확인·기록하여 그 범위 내에서 이용하도록 조치
		- EU에서 이전된 개인데이터에 대해서는, 취득 시 확인한 이용목적의 범위 내로 그 목적을 제한하여, 그 범위 내에서 해당 개인데이터를 이용하도록 함.
역외 제3자에게 정보 제공 제한	24조·규칙 11조의2	일본에서 EU 외 제3국으로 개인데이터가 재이전되는 경우의 보호수준 강화
		- EU에서 이전된 개인데이터에 대해 본인 동의에 따라 재이전하는 경우 본인이 동의하는 데 필요한 (데이터의) 목적지 상황에 대한 정보를 제공하고, 개인정보보호법과 동일한 수준의 보호조치를 시행하도록 함.
익명가공정보	2조 9항· 36조 1·2항	개인데이터의 익명가공처리방식에 대한 정보 제거
		- EU에서 이전된 개인데이터를 개인정보보호법상의 익명가공처리하는 경우, 가공방법에 대한 정보를 삭제하고 재확인이 불가능하도록 조치 - EU에서는 가공방법에 대한 정보가 남아 있을 경우, 안전하게 분리하여 보관할 경우에도 재식별의 가능성이 있다고 판단, 익명화되었다고 간주하지 않음.

자료: 이정은(2018), 「EU 일반개인정보보호법(GDPR)에 대한 일본정부의 대응 및 평가」(재인용), EMERiCs 이슈&트렌드.

3. 평가 및 시사점

■ 일본은 EU와 데이터보호에 대한 상호 적정성 인정을 체결함으로써 ‘세계 최대의 데이터 유통 안전지대’를 구축

- 현재 EU는 총 12개의 국가·지역에 대해 일방적으로 적정성을 인정했으며, 이 중 미국과 캐나다에 대해서는 부분 적정성(partial adequacy decisions)을 인정함.

적정성 인정을 받은 12개 국가·지역은 안도라, 아르헨티나, 캐나다, 페로제도, 건지섬(Guernsey), 이스라엘, 맨 섬(Isle of Man), 저지섬(Jersey), 뉴질랜드, 스위스, 우루과이, 미국임. 다만 캐나다의 경우 캐나다 개인정보보호법(Canadian Personal Information Protection and Electronic Documents Act)의 범위에 해당하는 민간기업에 한해서만 적정성이 인정되며, 일반 개인정보보호법이 없는 미국의 경우에는 EU-미국 간 체결한 개인정보보호 체계(EU-US Privacy Shield framework)의 개인정보보호원칙을 준수하는 민간기업에 한해서만 적정성이 인정됨. European Commission(2019), “Questions & Answers on the Japan adequacy decision”(Jan. 23).

- EU의 적정성 인정은 상호 자유로운 데이터 이전을 보장하여 핀테크나 전자상거래 등 신산업 분야의 육성에도 긍정적인 역할을 줄 뿐 아니라, 일본기업의 개인정보 이전 관련 비용을 상당부분 완화시킬 것으로 기대

◦ 적정성 인정을 획득하지 못할 경우, 기업이 개별적으로 자사가 GDPR 기준에 맞는지 EU에 검증받아야 하므로 비용 부담이 있으며, 특히 중소기업 및 스타트업 기업의 경우 대응이 현실적으로 더 어려움.

◦ 적정성 인정을 받지 못한 경우, 기업차원에서는 BCR(구속력 있는 기업규칙: Binding Corporate Rules) 승인 또는 SCC(표준계약조항: Standard Contractual Clauses) 체결을 통해 개인정보 역외이전이 가능(그림 1 참고)

그림 1. GDPR 이후 EU로부터 개인정보 역외이전

자료: Mcafee Blog(2018), 「GDPR｜EU域外データ移転を適法化する十分性認定等の安全管理措置」.

■ 일·EU 간 상호 적정성 인정은 2019년 2월 1일부로 발효된 일·EU EPA(2018년 7월 17일 체결)의 TPP 3원칙을 보완·강화하는 역할을 수행할 것으로 예상

- 일·EU EPA의 전자상거래 장(제8장)에서는 「TPP 3원칙」 중 ‘소스코드의 이전·접근 요구 금지’만 규정되어 있으며, ‘전자적 수단에 의한 정보의 자유로운 국경간 이동 허용’에 대해서는 EPA 협정 발효 후 3년 이내에 관련 조항을 포함시킬 것인지 여부를 재평가한다고 규정하였음(제8.81조).

“The Parties shall reassess within three years of the date of entry into force of this Agreement the need for inclusion of provisions on the free flow of data into this Agreement.”  EU-Japan Economic Partnership Agreement Text, Article 8.81. Free flow of data. 개인정보보호 외 분쟁해결절차 등 몇 가지 쟁점에 관하여 양국은 협정 발효 후 3년 이내에 다시 논의하기로 협의.

◦ TPP 3원칙은 ① 전자적 수단에 의한 정보의 자유로운 국경간 이동 허용 ② 데이터 보존·처리 관련 컴퓨터 설비의 설치요구(Data Localization) 금지 ③ 소스코드의 이전·접근 요구 금지임.

みずほ総合研究所(2018), 「日EU・EPAの署名: 2019年春までの発効を目指す」(7月 18日), p. 4.

- EU 집행위는 “데이터보호는 협상 대상이 아니며 프라이버시는 거래할 상품이 아니다”라는 입장을 표명하고, EPA 협정과 별개로 개인정보보호 관련 협의를 일본 개인정보보호위원회와 진행

European Commission(2018), “Key elements of the EU-Japan Economic Partnership Agreement”(Dec. 12), Press Release Database.

- 물론 일·EU EPA와 개인정보보호 협상이 별개의 two-track으로 진행되었으나, 두 개의 협상은 서로 긴밀하게 연결되어 있다고 평가됨.

◦ 협상의 전개 과정(표 3 참고)을 살펴보면, 일·EU EPA의 최종 서명을 진행한 2018년 7월 17일 개인정보보호 협의도 최종 합의를 발표하는 등 개인정보보호위원회·EU 집행위 간 협상과 EPA 정부 관료 협상이 함께 진행되는 모습을 보임.

◦ EPA 협상 중 전자상거래, 서비스 무역과 같은 분야가 실질적으로 개인정보의 역외이전을 동반할 수밖에 없다는 측면에서 EPA 협정에서도 사실상 암묵적인 데이터 이동에 대한 합의가 들어가 있다고 볼 수 있음.

EDRi(2018), “EU-Japan trade agreement not compatible with EU data protection”(Jan. 10).

■ 한편, 적정성 인정에 별도의 유효기간은 없으나 실제 이행여부 등을 확인하기 위해 정기적 모니터링을 규정하고 있음.

- 일본의 경우 적정성 인정(2019. 1. 23) 2년 후 유럽집행위가 감사를 실시하고 그 후 적어도 4년에 한 번씩 감사를 진행할 예정으로, 향후 심각한 개인정보 유출 사건 등 일본의 보호수준에 문제가 생길 경우 적정성 인정이 철회될 가능성도 존재함.

JETRO(2019), 「日EU間で個人データ保護水準に関する相互十分性を認定」(1月24日).

■ 한국은 2015년부터 GDPR 적정성 평가에 대응하기 시작했으며 2017년 초부터 방송통신위원회가 주도하여 EU와의 협상을 추진하였으나 아직 성과가 미진함.

- 초기에는 일반법인 개인정보보호법(2011년 9월 시행)을 중심으로 GDPR 적정성 평가를 받으려고 하였으나 개인정보보호위원회의 독립성 문제로 적정성 평가 신청이 어려웠음.

◦ 2016년 10월 EU 집행위는 개인정보보호 관련 정책집행, 감독권, 개인정보 침해구제 등의 권한을 정부기관인 행정안전부가 가지고 있기 때문에 개인정보보호위원회의 독립성이 부족하다고 평가하며 적정성 불가 통보를 내림.

조성은, 민대홍(2018), 「GDPR시대 개인정보정책의 주요 쟁점 및 대응방안」, KISDI Premium Report 18-04, p. 16.

- 이에 방송통신위원회에 적정성 평가 협상을 일임하여 특별법인 정보통신망법(「정보통신망 이용촉진 및 정보보호 등에 관한 법률」)으로 평가의 범위를 제한한 ‘부분 적정성 평가’를 추진하였으나 개인정보보호를 포괄하지 못한다는 이유 등으로 무산되었음.

전자신문(2019), 「일본은 GDPR 적정성 평가 완료...한국은 "올해도 어렵다"」(1월 29일).

■ 우리나라는 데이터경제 활성화 및 국제적인 개인정보 보호 패러다임에의 동참이라는 측면에서 보다 속도감 있게 법·제도 개선을 추진할 필요가 있으며, 그 과정에서 일본의 GDPR 대응 과정을 참고할 수 있을 것임.

- 최근 GDPR에 대응한 국내법 개정안(개인정보보호법, 정보통신망법, 신용정보법 등)이 다수 발의되어 일부는 통과되고 일부는 각 상임위원회 법안심사소위에 계류 중임.

◦ 개인정보보호법 개정안은 △ 개인정보보호위원회의 독립성 강화 △ 개인정보 및 이를 가명처리한 가명정보에 대한 구체적인 개념 정리 △ 가명정보는 이용자 동의 없이도 활용 가능하도록 허용 등의 내용을 포함(2018년 11월 ·2019년 2월 발의, 현재 계류 중)

◦ 2018년 8월 30일 ‘국외 사업자의 국내 대리인 지정 제도,’ ‘개인정보 제3국으로의 재이전 제한’ 등 신설조항을 포함한 정보통신망법 개정안이 국회를 통과하였으며, 이는 적정성 평가에 유용한 근거로 활용될 것으로 예상

◦ 금융권에서의 데이터 활용을 위한 신용정보법 개정안(2018년 11월 발의) 역시 현재 국회에 계류 중

- 일본의 경우, 먼저 GDPR과의 조화를 염두에 두고 일반법 개정을 시행하여 데이터보호 체계를 GDPR과 상당수 근접하게 수정하였으며, 이후 EU와 수차례의 협상·논의를 거쳐 EU가 추가적인 보호장치를 요구한 영역에 대해 보조규정, 정부의 공약(정부기관의 데이터 접근 제한 관련) 등을 발 빠르게 도입·추진하여 비교적 단기간에 적정성 평가를 통과하였음.