개정된 개인정보보호법상 개인정보의 국외이전에 관한 규정의 분석: GDPR을 참조하여 = An analysis of the provisions on the transfer of personal data out of Korea in the amended Personal Information Protection Act: with reference to the EU GDPR

국문 초록 (Abstract)

세계화 시대에서 국가 간 개인정보 이전은 국제무역과 국제협력의 확대에 필수적이다. 기업 활동에 있어 개인정보 국외이전의 중요성은 최근 EU-미국 사이의 개인정보 이전에 대한 규제의 미국 기업 Meta의 사업에 대한 영향에서 확인된다. EU사법법원은 각각 2015년 10월 및 2020년 7월 Safe Harbour와 Privacy Shield 체제가 미국에서 GDPR이 요구하는 개인정보보호의 동등한 수준을 충족하지 않는다고 해당 적정성 결정을 무효라고 판단하였다. 이후 2022년 3월 25일 EU와 미국은 Privacy Shield 체제를 대체하는 ‘대서양 양안 정보프라이버시 프레임워크(Trans-Atlantic Data Privacy Framework)’를 채택하기로 합의하였다. 그러나, 2023년 5월 22일 아일랜드 개인정보보호위원회(DPC)가 Meta에게 개인정보 역외이전이 GDPR을 위반하였다고 1조7천억원의 과징금을 부과하였다. 이제 유럽위원회가 GDPR에 일치하도록 동 프레임워크를 미국과 협상하지 못하면, Meta의 Facebook 등 미국 기업은 유럽을 상대로 더 이상 사업을 할 수 없게 된다.
한국 개인정보보호법(이하 ‘법’)은 개인정보 국외이전을 개인정보의 제3자 제공에 관한 법 제17조 제3항에서 단순하게 규정하다가, 2020년 2월 4일 정보통신망법의 개인정보 국외이전에 관한 규정을 이 법에 통합하였다. 이후 2023년 3월 14일 개정에서 개인정보의 처리에 관한 제3장에 개인정보 국외이전에 관한 제4절을 신설하였다. 이번 개정으로 정보주체의 별도의 동의를 포함한 다양한 법적 근거를 통하여 국외이전이 허용되게 되었다.
이 법의 개정으로 개인정보 국외이전을 위한 다양한 법적 장치가 마련되어 개인정보를 포함한 데이터의 국경간 이전 및 그 결과로서 디지털통상을 증대할 수 있게 된 것은 긍정적으로 평가해야 한다. 또한, 한국의 APEC CBPR체제와 글로벌 CBPR체제 가입 및 EU의 한국에 대한 적정성 결정 등으로, 한국의 국경간 개인정보 이동을 통한 디지털통상이 크게 성장할 것으로 기대된다. 그럼에도 불구하고, 이 법의 개정된 국외이전에 관한 규정은 역외이전에 관한 GDPR 제5장의 상응하는 규정과 비교할 때 좀더 과감하게 개선될 필요가 있다.

참고문헌 (Reference)

• 1 개인정보보호위원회, "한국, EU 「개인정보보호 적정성 결정」 최종 통과"
• 2 방송통신위원회, "심의·의결(안건번호 제2020-41-210호"
• 3 박노형, "데이터무역 국제규범의 출범 - TPP의 중요한 의의 -" 안암법학회 (50) : 53-87, 2016
• 4 개인정보보호위원회, "국내 최초 아태지역 개인정보 국제인증 부여"
• 5 박노형, "개인정보보호법" 박영사 2020
• 6 EDPB, "Opinion 5/2023 on the European Commission Draft Implementing Decision on the adequate protection of personal data under the EU-US Data Privacy Framework"
• 7 EDPB, "Guidelines 07/2022 on certification as a tool for transfers"
• 8 EDPB, "Guidelines 05/2021 on the Interplay between the application of Article 3 and the provisions on international transfers as per Chapter V of the GDPR"
• 9 The White House, "FACT SHEET: United States and European Commission Announce Trans-Atlantic Data Privacy Framework"
• 10 The White House, "Executive Order on Enhancing Safeguards for United States Signals Intelligence Activities"
• 11 박노형, "EU개인정보보호법-GDPR을 중심으로-" 박영사 2017
• 12 박노형, "EU 적정성 결정에 따른 개인정보보호위원회 고시인 보완규정의 법적 분석" 법학연구원 (106) : 395-435, 2022
• 13 Data Protection Commission, "Data Protection Commission announces conclusion of two inquiries into Meta Ireland" 2023
• 14 European Commission, "Commission Implementing Decision of 17.12.2021 pursuant to Regulation (EU) 2016/679 of the European Parliament and of the Council on the adequate protection of personal data by the Republic of Korea under the Personal Information Protection Act"
• 15 "Case C-362/14, Maximillian Schrems v. Data Protection Commissioner, ECLI:EU:C:2015:650"
• 16 "Case C-311/18, Data Protection Commissioner v. Facebook Ireland Limited and Maximillian Schrems, ECLI:EU:C:2020:559"
• 17 European Parliament, "Adequacy of the protection afforded by the EU-U.S. Data Privacy Framework, P9_TA(2023)0204"