제2017-25-198호

안건번호 : 제2017-25-198호
안건명 : EU 부분적정성 평가 전환 추진 개선에 관한 건
의결연월일 : 2017. 11. 13.

1. 방송통신위원회가 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 대상으로 추진 중인 EU 개인정보보호 '부분적정성 결정’은 그 효과가 제한적이고 개인정보 보호기관의 완전한 독립성 확보, 직권조사권 등 실질적 보호기능 수행을 보장하는 국제사회의 흐름과 개인정보보호위원회를 컨트롤 타워로 하여 개인정보 보호체계 효율화를 목표로 하는 국정과제에 배치될 뿐만 아니라 「개인정보 보호법」과의 적용 혼란 등 부작용이 예상되는바 당초 계획대로 「개인정보 보호법」 중심의 '전체적정성 결정’으로 추진방향을 신속히 재전환하여 추진할 필요가 있다고 판단된다.
2. 행정안전부장관, 방송통신위원회 위원장에게 다음과 같이 각 권고한다.
가. 행정안전부장관은 '전체적정성 결정’의 선결과제인 개인정보보호위원회의 직권조사권, 운영 독립성 등 기본권한 확충 등에 대한 정부 의사결정 절차를 거쳐 '전체적정성 결정’으로 재전환하는 한편, EU 적정성결정 효과를 면밀히 재검토하여 발생할 수 있는 문제점을 최소화할 수 있도록 행정안전부와 개인 정보보호위원회가 협의를 통해 합동으로 추진 계획을 수립하고, 필요시 정부차원의 추진체계를 마련할 것.
나. 방송통신위원회 위원장은 '부분적정성 결정’ 추진을 중단하고, 당초 계획대로 '전체적정성 결정’ 추진에 협조할 것.

1. 배 경

행정안전부는 2018년 5월 EU 일반개인정보보호규정(이하 'GDPR’이라 한다) 발효에 대비하여 2015년 8월부터 'EU 적정성평가 민ㆍ관 합동추진단’을 구성하여 「개인정보 보호법」 중심으로 '전체적정성 결정’을 추진하기 시작하였으나, 2016년 10월 한국 개인정보 보호기관의 독립성과 권한 미비를 이유로 EU 집행위원회로부터 부적격 통보를 받은 바 있다.

이후 올해 3월 행정안전부 내부적으로 EU 적정성 결정을 단계적으로 추진하되 1단계로 방송통신위원회 주관으로 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(이하 '정보통신망법’이라 한다) 대상의 '부분적정성 결정’을, 2단계로 「개인정보 보호법」으로 '전체적정성 결정’을 추진키로 방향을 전환하였다. 이에 따라 6월 방송통신위원회는 '부분적정성 결정’을 위한 자체보고서를 EU 집행위원회에 제출하고, 11월 20일 '부분적정성 결정’ 한-EU 고위급 라운드테이블 회의를 개최하고, 이 자리에서 공동성명을 발표할 계획이다.

그러나, '부분적정성 결정’은 '전체적정성 결정’에 비해 EU 진출기업에 대한 효과가 국한되고, 국내 보호체계 혼란 및 고착화 등 문제점이 제기됨에 따라, 2017년 10월 30일 개인정보보호위원회 정기회의에서 관련 사항을 논의하였다.


2. 판 단

가. 'EU 부분적정성 평가’로 전환 결정 문제

1) 실체적 판단 측면

가) EU와의 쟁점인 보호기관 적격성 문제

행정안전부는 정부부처 조직이므로 원천적으로 독립성 인정이 불가한 상황으로, 이를 해결하기 위해서는 개인정보보호위원회의 인사ㆍ예산 독립성을 보장하고 직권조사권ㆍ 제재권 부여가 필요하다. 이는 공무원임용령ㆍ부처 직제 및 「개인정보 보호법」 개정 항으로 현재 국회 계류 중인 소병훈 의원 대표 발의안 및 송희경 의원 대표 발의안들의 동의 또는 수정제안으로 가능하다.

참고로 일본은 EU 적정성 결정을 위해 2016년 1월 개인정보보호위원회를 전격적으로 창설하여 '전체적정성 결정’을 추진하고 있다.

나) 보호기관의 적격성 충족은 시급한 당위론적 과제

보호기관의 독립성은 개인정보 보호규범의 엄격성과 함께 국제사회에서 동등한 보호 수준 판단의 2대 필수 요건으로 지능정보사회의 기초인 개인정보의 국가간 이동의 전제 조건이다. 우리나라 개인정보 보호규범의 엄격성은 국제적으로 공인되어 있으나 보호기관 요건 미비로 국제적으로 입장이 취약하고, 상호주의 기반의 국제관계에서 결집된 역량 및 전문성 발휘에 제약을 받고 있는 실정이다.

다) 개인정보보호위원회의 보호기관 적격성 충족은 확립된 국제표준

개인정보보호위원회와 같이 독립적으로 설치된 개인정보 보호기관이 통합적으로 개인 정보 보호기능을 수행하는 것이 세계적 공통사항이며, 행정안전부, 방송통신위원회 같이 정부부처 기능을 수행하는 기관이 개인정보 보호기능을 수행하는 국가는 거의 전무한 실정이다. 세계적으로도 개인정보보호 일반법이 없는 미국만 예외적으로 연방통신위원회 (FCC)가 통신분야의 개인정보 보호기능 일부를 수행하고 있다.

라) 국정과제 6. '개인정보 보호강화’ 설정을 통해 개인정보보호위원회의 국제표준 확보가 국정 최고목표로 격상

국정과제는 개인정보보호위원회를 컨트롤 타워로 개인정보 보호규범 및 보호기관의 난립 등을 정비해야 하는 시대적 명제를 반영하고 있으며, 개인정보 보호기관의 적격성 보완을 부정 또는 지연시키는 '부분적정성 결정’ 추진은 개인정보보호위원회 적격성 보완, 국제사회의 흐름, 국정목표에 배치된다고 볼 수 있다.

2) 절차적 측면

행정안전부 단독 또는 행정안전부와 방송통신위원회만의 협의는 정부결정으로서 정당성 근거가 부족하고, 전체적정성에서 부분적정성으로 전환된 결정과정 또한 불투명한 것으로 보인다. 2016년 10월 EU로부터 보호기관의 부적격성을 통보 받은 이후 2017년 3월 행정안전부장관 내부보고를 거쳐 '부분적정성 결정’으로 전환 시까지 적격성 보완대책 검토 및 추진, 관련 기관 협의 및 근거가 부재하고, 행정안전부장관 내부보고 이후 방송통신위원회가 EU 집행위를 방문하여 협의한 것은 한국 정부대표로서의 근거가 미비한 실정이다.

나. 부분결정의 효과 문제

대법원 판례 및 법제처 유권해석에 따르면 특별법의 적용은 일반법ㆍ특별법이 상호모순ㆍ 저촉되는 경우로 한정되며, 중복되는 경우에는 일반법인 「개인정보 보호법」만이 적용된다.

< 대법원 판례 및 법제처의 유권해석 >
<img src="/LSW/flDownload.do?flSeq=117368501" alt="1번째 이미지"></img>
또한 우리나라 EU 진출 기업규모는 총 697개이며(KOTRA, 2016년), 개인정보보호 위원회에서 EU 진출 모기업 380개를 대상으로 실태조사한 결과(2017. 10) 정보통신망법 적용대상도 극소수로 나타났다. 94개 응답기업 중 인터넷ㆍ모바일을 이용하여 개인정보를 수집하는 50% 이상 기업은 8개이고, 5개 기업은 표준계약서 등 적정성결정 이외의 방법으로 이미 이전 중으로 '부분적정성 결정’으로 인한 실질적 혜택은 3개 기업에 불과한 것으로 나타났다.
특히, 정보통신망법이 적용될 수 있는 온라인 서비스 제공을 위하여 이용자의 개인 정보를 수집하는 비중은 전체 응답기업 중 82.8%가 10% 미만으로 정보통신망법의 적용대상 기업의 경우에도 대부분 「개인정보 보호법」의 적용을 받는 것으로 조사되어 EU 진출기업에 대한 정보통신망법의 적용영역은 극히 제한적으로 판단된다. 또한 인터넷ㆍ 모바일로 개인정보를 수집하더라도 타 개인정보와 분리해서 관리하기 어렵다는 응답이 64.9%에 달하고 있다.

한편, 2017년 11월 현재까지 EU 적정성 결정을 받은 국가는 총 12개국으로 캐나다를 제외한 11개국이 '전체적정성 결정’을 받았으며, 캐나다의 경우 2001년말에 상업분야 '부분적정성 결정’을 받았으나, 이 또한 정보통신망법 적용 분야와는 비교할 수 없는 상업분야 전체로서 모든 진출기업을 대상으로 하므로, 우리나라가 추진하는 '부분적정성 결정’ 보다는 '전체적정성 결정’에 가까운 실정이다.

다. 불평등 적용의 문제

한국과 달리 EU는 「개인정보 보호법」과 정보통신망법 구분이 없어, 한국으로 이전되는 개인정보는 정보통신망법 적용대상에 국한 되는데 반해 EU로 이전되는 개인정보는 법률 구분 없이 이전될 우려가 있어 이에 대한 면밀한 검토가 필요하다.

라. 국내 개인정보 보호규범 혼란 및 보호기관 난립 심화

EU 진출 기업 중 극소수 기업의 개인정보 이전을 추진하기 위해 무리하게 「개인정보 보호법」과 정보통신망법의 일반법-특별법 체계를 무시하거나, 기존 방송통신위원회 주장에 따라 정보통신망법의 중복규정까지 정보통신망법 적용대상으로 인정하는 경우 국내법 적용 및 집행체계 혼란이 불가피하다.

그동안 국내에서는 2011년 「개인정보 보호법」 시행 이전부터 정보통신망법 적용대상 기업들의 지속적인 개인정보 유출사고로 인한 사회적 관심과 특별법인 정보통신망법이 일반법인 「개인정보 보호법」 보다 우선한다는 전제하에서 방송통신위원회가 주도하는 EU '부분적정성 결정’의 우선 추진은 방송통신위원회가 우리나라의 개인정보보호 주무관청 역할을 수행하는 이상 현상의 가속화가 예상된다.

이는 「개인정보 보호법」 제정 및 개인정보보호위원회 설치 목적과 배치되며, 개인정보 보호위원회를 컨트롤 타워로 하여 개인정보 보호규범 및 보호기관의 난립문제를 정비하여 개인정보를 실질적으로 보호하려는 국정과제 설정 취지에 역행하는 것이다.

또한 이러한 현상은 개인정보보호를 담당하는 행정안전부의 조직은 국단위(41명)이고, 방송통신위원회 조직은 과단위(11명)인 현실과 배치되는 것이며, EU '부분적정성 결정’의 우선 추진은 우리나라의 개인정보보호 체계 혼란 고착화와 국제적으로도 제대로 된 평가를 받지 못할 것으로 우려된다.

마. 결정시기 문제

방송통신위원회는 '부분적정성 결정’ 타결을 GDPR이 발효되는 2018년 5월 이전 목표로 추진하고 있으나 기 체결된 타국의 협상사례를 보면 최단기간 2년에서 최장기간 10년 정도 소요되어 기간내 완료를 속단하기 어려운 실정이다. 특히, 효과가 미약한 '부분 적정성 결정’ 시점까지 '전체적정성 결정’ 협상을 지연시킬 수 있는데, 행정안전부는 '부분적정성 결정’ 우선 타결 후 '전체적정성 결정’의 단계적 추진을 주장하고 있으나 이와 관련된 어떠한 계획이나 근거도 제출하지 못하는 실정이다.

EU와의 쟁점은 보호기관 독립성 문제 단일사항으로 판단되므로 '전체적정성 결정’은 보호기관의 적격성 문제가 남아 있는 방송통신위원회 주관 '부분적정성 결정’ 보다 타결에 유리할 수 있고, 정부결정으로 개인정보보호위원회 적격성 문제가 보완되면 '부분적정성 결정’ 보다 빠른 시간에 '전체적정성 결정’ 도출이 가능할 것으로 판단된다.

이는 EU측에 정부 의사결정(공무원임용령ㆍ부처 직제 및 「개인정보 보호법」 개정검토 또는 소병훈 의원 대표 발의안 및 송희경 의원 대표 발의안들의 동의 또는 수정제출) 절차를 거쳐 보호기관 적격성 보완과 '전체적정성 결정’ 추진이 병행 가능하고, 타국의 적정성 결정도 규범제정을 병행하는 것이 일반적이다.

바. 적정성 결정의 효과 검증 문제

EU에 이전할 개인정보와 EU로 이전될 개인정보에 대한 실태 파악 미흡, 적정성 결정 대비상태, 산업에 미치는 영향 등에 대한 검증이 필요한 실정이다.
3. 결 론

이상과 같은 이유로 주문과 같이 의결한다.