□ OECD 디지털경제정책위원회는 개인정보보호법 시행을 위한 국가 간 협력에 관한 권고안*을 검토한 보고서 발표**(’23.9.)

* ’07년 6월 12일, OECD 이사회는 개인정보보호법 시행에 있어 국가 간 협력에 관한 OECD 권고안을 채택 : [목표] 회원국과 비회원국의 개인정보 집행기관(PEA) 간의 국제협력을 촉진하여 개인정보를 보호하고 국외로의 데이터 흐름의 제약을 최소화, [구성] 협력 활성화를 위한 국내 조치와 국제협력 부문

** Recommendation on Cross-Border Co-operation in the Enforcement of Laws Protecting Privacy

ㅇ 본 검토는 개인정보 보호 및 개인정보의 국가 간 이동에 관한 가이드라인 이행에 관한 2021년 보고서 결과에 근거하여 추진

- ’21년 4월, OECD 개인정보 보호 가이드라인 이행에 관한 2021년 보고서의 후속 작업을 논의하는 과정에서 OECD의 데이터 거버넌스 및 개인정보 보호 작업반(WPDGP*)이 본 권고안에 대한 검토 수행을 제안

* Working Party on Data Governance and Privacy

ㅇ 2007년 개인정보보호법 시행 이후 기술적･법적 환경이 변화하였으며, 생성형 AI 등 신기술의 등장, 국가 간 데이터 흐름의 증가, 데이터를 활용한 신사업모델 구축 등으로 기존과는 다른 형태의 개인정보 위험에 노출

- 현재 개인정보보호 법안들이 자국 외 영역까지 적용을 확장하고 있어 PEAs간 협력 필요성 증대

ㅇ (국가 간 협력의 의미) 심각한 개인정보보호의 위반에 대한 협력을 의미하며, 위반의 성격, 피해의 정도나 위험, 영향을 받는 개인의 수 등에 대한 고려 필요

※ 개인정보보호법의 ‘시행’: 1) 피해를 입은 개인을 위한 법적 구제책 확보, 2) 규제 감사 및 조사 수행, 3) 행정법, 민법, 형사법 상의 공식적인 법적 조치를 통한 규정 준수

※ ‘국가 간’ 협력: 정보 주체가 정보 처리자와 다른 국가에 있거나 데이터가 제3국으로 넘어간 경우, 또는 중요한 증거가 제3국에 있는 경우 등을 포함하는 포괄적인 의미

ㅇ (정의, 목표 및 범위) ‘국가 간’, ‘협력’ 등에 대한 구체적 정의를 포함하도록 하고 있으며, 국가 간 데이터 흐름의 증가 및 과학기술 혁신이 빠른 속도로 진행되고 있는 현 상황이 국가 간 협력과 시행의 필요성 제고를 명시하도록 하고 있음

- 디지털 경제의 상호연결성을 고려할 때 ‘심각한 위반’만을 대상으로 한 권고안의 범위가 여전히 유효한지에 대한 검토가 필요

ㅇ (협력을 위한 국내 조치) 개인정보보호법 시행에 있어 국가 간 협력 활성화를 위한 조치들이 취해지긴 했으나 PEA가 핵심적 기능을 제대로 수행하기 위한 과제들이 여전히 존재

- 법적 프레임워크의 차이로 인한 실질적 장벽이 존재하며, 기밀 유지 요건의 상이함으로 인한 정보공유 과정의 장애나 법의 영외적용(extraterritorial application)과 안정성 등의 문제 존재

- 국경을 넘어 발생하는 개인정보보호법 위반 또는 관련 통계가 부족하여 조치의 필요성을 파악하는 데에 한계 존재

ㅇ (국제협력) 국제 포럼 및 네트워크 참여, 공동 또는 병렬조사와 같이 타 규제기관과의 협력을 통한 조사뿐만 아니라 상대적으로 비공식적인 협력의 가능성도 확인

- 협력의 범위를 제시함으로써 협력 활동의 진입장벽을 낮추고 자원이 부족한 PEA가 더 다양한 집행 이니셔티브에 참여하도록 장려

- 지역 차원의 협력 네트워크 간 격차가 존재하며 이러한 네트워크의 핵심적 역할을 고려할 때 지속가능성을 강화할 수 있는 보완책 마련이 필요

- 국제 네트워크는 서로 다른 영역에서 상호보완*적인 모습을 보임

* 글로벌 개인정보보호 집행 네트워크(GPEN)와 국제 엘보 워킹그룹(IEWG) 모두 실무진 참여를 증진시키는 것을 목적으로 하지만 전자는 일선 담당자의 일상 업무 교류에 중점을 두는 반면 후자는 회원들 간 교류를 통해 구체적인 활용 도구와 결과물을 개발함

- 권고안에는 현재의 국가 간 규제 협력이 반영되어 있지 않지만, 데이터의 광범위한 적용 범위를 고려할 때 다른 섹터의 규제자가 참여하는 것도 중요

ㅇ (권고안의 유효성/적절성) 전문가들은 해당 권고안이 여전히 유효하며, 필요시 개정이나 집행을 위한 추가적 가이드를 통해 보완할 수 있을 것으로 판단

- 일부 전문가는 권고안이 최초로 작성된 것은 GDPR(General Data Protection Regulation) 등 주요한 개인정보보호법이 개정되거나 발의되기 전이기 때문에 현재의 법･규제 상황을 고려하여 보완하는 것이 가능할 것이라는 의견을 제시

- 또한, 현재의 국가 간 데이터 흐름 등을 고려할 때 국가 간 협력의 필요성과 가치를 보다 강조할 필요가 있다는 의견 존재