- 유럽연합의 개인정보보호규정(GDPR) 시행 후 유럽 각국의 노력 -

- 디지털데이터의 가치와 정보 보안에 대한 중요성 강조 추세 -

 □ 개요

  ㅇ 2018년 5월 25일 유럽연합의 개인정보보호규정(GDPR, General Data Protection Regulation No. 2016/679) 발효
    - GDPR은 EU국민의 개인정보에 대한 권리를 강화하고 기업과 공공기관의 선제적 정보 보호 시스템 운영의 의무를 강조하기 위한 목적으로 제정됨.

    - 벨기에에서는 1992년의 정보보호법과 2001년 왕령을 폐지하고 2018년 9월 5일부로 GDPR 시행 국내법 발효

  ㅇ 인공지능 기술, 빅데이터 산업의 ‘원자재’라 할 수 있는 디지털데이터의 중요성이 대두됨에 따라 사용자의 권리와 데이터 안보에 대한 인식이 강화됨.

□ 유럽 내 디지털 정보 보호 현황과 인식변화

  ㅇ 개인정보보호규정(GDPR)시행 1년, 운영 현황과 적용사례

    - 2019년 3월 유럽 디지털광고연합(EDAA)에서 EU 국민 5000여 명을 대상으로 한 조사 결과 응답자의 76%는 GDPR에 대해 알고 있으며, 46%는 규정의 내용과 목적을 이해하고 있음. 평균 응답자 44%는 기업이 자신의 정보를 합법적이고 책임감 있게 사용할 것임을 믿는다고 답함.

    - 유럽연합 개인정보보호위원회(EDPB)가 2019년 5월에 발표한 GDPR 시행 1주년 보고서에 따르면 지난 1년간 유럽연합에서 GDPR위반으로 접수된 사례는 총 28만여 건이며, 이 중 63%가 판결이 완료되고 37%는 조사가 진행 중

유럽연합 내 GDPR 위반사례 동향

(단위: 건수)

자료: 유럽연합 개인정보보호위원회(EDPB)

    - 벨기에 정보보호국(DPA)은 2019년 성명서에서 GDPR 준수를 위한 관리감독 지원과 행정적 수단을 강화할 것임을 발표하며, 2018년 한 해 공공기관의 데이터 처리와 관련된 70건의 위반 사례를 제출

    - 2019년 5월 벨기에 법원은 이메일을 통해 수집된 개인정보를 선거 운동에 사용한 시장직 당선자에게 첫 GDPR 위반 판결과 2000유로 벌금 부과

    - 2019년 10월 유럽연합재판소(CJEU)는 온라인 복권 웹사이트인 Planet 49에 대한 소비자 단체의 소송에 대해 웹사이트 방문 시 정보 수집 동의란에 사전 체크된 안내창이 나타나도록 하는 것은 유효하지 않으며, 사용자로부터 보다 적극적인 방법으로 명시적 동의를 얻어야 한다고 판결함. 이 판결 결과는 유사한 사안을 가진 유럽연합 내 검색엔진, 소셜 미디어 플랫폼 28개사에도 적용됨.

  ㅇ 디지털 정보의 중요성 확대에 따른 유럽 현지 동향

    - 2019년 7월 구글이 홈 스마트스피커를 통해 벨기에 플랑드르 지역과 네덜란드 사용자들의 음성정보를 수집한 것이 벨기에 언론사(VRT)를 통해 밝혀짐. 구글은 네덜란드어 검색엔진 기능을 개선하기 위한 모니터링 작업이었다고 하지만 개인 신상이나 민감한 정보가 담긴 오디오 파일이 확인됨에 따라 관리 당국에서 GDPR 위반 여부를 조사 중임. 2019년 4월 미국에서도 아마존의 유사한 위반사례가 보고 됨.

    - 해당 사실이 밝혀지자 구글은 3개월간 유럽연합 내 음성정보 기록을 중단하기로 함. GDPR 규정에 따르면 EU국민의 자유와 권리를 침해한 경우 필요에 따라 3개월간 즉시 중단조치를 할 수 있음.

    - 독일 국회의원 벤자민 스트라서(Benjamin Strasser)는 미국과 중국 기업의 데이터 인프라에 대한 의존도가 절대적인 현상을 비판하며, '디지털 데이터의 접근권한은 석유나 가스와 같은 천연자원에 대한 접근성과 동일하다. 에너지 공급국의 권력화가 위험하듯 데이터 서비스를 몇몇 국가의 일부기업에만 맡기면 안 된다.'고 주장

      · 2019년 초 독일의 자동차 기업인 폴크스바겐은 아마존 웹서비스를 이용해 전 세계 122개 생산시설의 정보를 연결할 예정임을 발표함. 현재 독일연방 경찰은 감시 카메라 영상을 아마존 서버에 보관 중

    - 우르줄라 폰 데어 라이엔(Ursula Von Der Leyen)이 이끄는 새 EU 집행위원회가 유럽연합의 이익, 혁신기술 보호와 역내산업 강화하기 위한 ‘전략적 자율성’을 강조함에 따라 프랑스와 독일 등 주요 유럽 국가를 중심으로 민감한 데이터 수집과 저장에 대한 해외 기업 의존도를 줄이기 위해 역내 공급업체와 인프라 개발을 위한 협력 추진 중

□ 시사점

  ㅇ 브뤼셀에 본사를 둔 온라인 권리 보호단체 EDRi(European Digital Rights)의 정책책임자 디에고 나란호(Diego Naranjo)는 ‘관련 산업 내 온라인 커뮤니케이션의 기밀성에 대한 명확한 규정 확립의 필요성이 증대되고 있으며, 유럽연합 차원의 ePrivacy 규정이 논의돼야 한다.’고 주장

  ㅇ 유럽뿐만 아니라 미국에서도 유사한 규정*이 시행될 예정으로 디지털 정보의 중요성이 전 세계적으로 강조됨에 따라 한국 기업의 경쟁력 제고를 위해 각국의 제반 규정과 관리체계에 대한 이해와 인식 강화 필요

    주*: 2020년 1월부터 미국 캘리포니아에서 시행될 예정인 소비자프라이버시법(CCPA, California’s Consumer Privacy Act)

  ㅇ 데이터를 보호할 수 있는 암호화 기술, 가상 저장 공간 인프라 등 전 세계적으로 수요가 증가하는 분야를 발 빠르게 예측하고 IT 강국인 한국의 뛰어난 기술과 기업이 진출할 수 있는 기회 검토

자료: 유럽연합 개인정보보호위원회(EDPB), Euractiv, VRT, Politico, KOTRA 브뤼셀 무역관 자료 종합