주요동향 : S&T GPS

EU 법무장관 이사회, 유럽집행위원회 제안 정보보호법안 확정 원문보기 1

□ EU 법무장관 이사회는 유럽집행위원회(EC)가 제안한 정보보호법안(Data Protection Regulation)을 확정

(2015.6.15)

○ EU 회원국 총 28개국에 정보보호에 대한 단일 규정을 적용함으로써 EU 디지털 단일 시장을 형성하고, ‘잊혀질 권리’ 도입 등

자기정보 통제권을 강화하는 것이 주된 내용

□ 추진 경과

○ 유럽집행위원회는 사용자의 자기정보 통제권 강화 및 디지털 단일 시장을 통한 기회 창출을 위하여 정보보호법을 개혁할 것을

제안하고 법안 및 지침서 마련을 진행(2012.1.)

○ 유럽의회가 유럽집행위원회의 상정안을 받아들임으로써 법제화 진행(2014.3.)

○ 유럽의회, 유럽이사회, 유럽집행위원회는 삼자 논의 협상 과정을 진행하여 올해 말에 최종안을 도출할 계획(2015.6.)

□ 주요 내용

○ (EU 회원국 단일 적용) 회원국 모두 하나의 정보보호법을 적용함으로써, EU 내에서는 하나의 법만 준수하면 되는 디지털

단일 시장 형성

- 회원국마다 상이한 법률로 인한 비용(약 23억 유로) 및 불필요한 행정 요구로 인한 비용(약 1.3억 유로) 감소

- 특히 중소기업에게 이익이 될 것으로 기대

○ (자기정보 통제권 강화) 잊혀질 권리 도입 등을 통한 온라인 서비스 신뢰성 제고

- 디지털 단일 시장의 완전한 기능을 위해서는 온라인 서비스의 신뢰성 확보가 필수적이므로, 이를 위하여 온라인 서비스

사용자의 자기정보 통제권을 강화

※ 유럽인 90% 이상은 자신의 동의 없이 자기정보를 수집하는 모바일 앱에 대하여 우려를 표명

구 분	주요 내용
잊혀질 권리(right to be forgotten) 도입	• 사용자가 자기정보에 대한 처리를 더 이상 원하지 않고 해당 정보를 유지할 법적 근거가 없는 경우, 해당 정보는 삭제되어야 함 ※ 해당 권리는 개인에게 해당되며, 과거 사건을 삭제하거나 언론의 자유를 제한하는 행위는 비해당
정보이동권(right to data portability) 용이성 확보	• 사용자는 자기정보의 처리 내역 및 이용가능성에 대한 정보를 보유하고, 자기정보를 쉽게 서비스 제공자간에 이동시킬 수 있음
개인정보침해에 대한 알권리(right to be informed of personal data breaches) 확보	• 사용자는 자기정보가 해킹 등 침해되었을 경우 이에 대한 알림을 받아야 함
사전적 정보보호 조치 의무	• 초기 상품이나 서비스 기획단계에서 프라이버시를 감안

○ (속지주의 적용) EU 외 지역의 회사도 EU 내에서 서비스를 제공할 경우 정보보호법 적용

○ (감독기관의 권한 확대 및 제재수단 강화) 각 회원국 감독기관을 통하여 정보보호법 준수 여부 감시

- 각 회원국은 자국 내 정보보호법 적용․준수를 감시할 감독기관을 두어야 함

- 감독기관은 정보보호법을 위반한 자에게 최대 100만 유로 또는 기업의 전세계 연매출액의 2%에 해당되는 벌금 부과가 가능

○ (One -stop shop) “one -stop shop”을 설립하여 회사와 개인의 특성을 고려한 처리 과정 진행

- 회사는 EU 전역에 걸쳐 하나의 단일 관리 기관을 상대

- 개인은 자기정보가 국외에서 유출되었더라도 사용 언어에 따라 자국의 정보보호 기관을 상대

□ 시사점

○ EU에 서비스를 제공하는 기업들은 자기정보 통제권 강화에 따른 대책 마련이 필요

○ EU는 온라인 시장의 성장을 위해서 사용자의 온라인 서비스에 대한 신뢰 회복이 필수적이라 보고 자기정보 통제권 확대 등

사용자의 권리 강화를 추구

- 국내 개인정보보호 방향의 수립과정(잊혀질 권리 도입여부결정 등)에서 이러한 EU 개인정보 기본원칙의 고려가 필요