9개 국가(대한민국, 미국, 멕시코, 일본, 캐나다, 호주, 싱가포르, 대만, 필리핀) 참여 중
개인정보보호 관련 인증이나 제도에 국가적 차원에서 다양한 관점의 검토와 대응 필요
개인정보보호에 대한 사회적 관심은 우리나라만의 이야기가 아니다.
온라인상에서 국가 간 개인정보 이동을 통한 서비스가 자연스럽고, 이에 따라, 개인정보 국외 이전과 유출에 대한 중요도가 더욱 높아지고 있다
최근에는 APEC 회원국 간 자유롭고 안전한 개인정보 이전을 지원하기 위해 APEC 회원국이 공동으로 개발한 CBPR(Cross Border Privacy Rules] System) 인증이 국내에서 활발하게 운영되고 있다.
APEC 프라이버시 보호 원칙을 기반으로 기업의 개인정보 보호 체계를 평가하여 인증하는 글로벌 인증제도로, 국내 개인정보 보호법 적용 대상 기업이 신청할 수 있다.
최소한의 개인정보 보호 원칙을 기반으로 회원국 간 신뢰할 수 있는 개인정보 이전 체계를 마련하여 아시아 태평양 권역 내 디지털 경제 활성화를 도모하겠다는 취지로, 9개 국가(대한민국, 미국, 멕시코, 일본, 캐나다, 호주, 싱가포르, 대만, 필리핀)가 참여하고 있다.
인증의 일반적 효용으로는, 타 기업과의 업무 제휴, 위탁, 계약 및 해외의 개인정보 처리 시스템 사용 등을 통해 개인정보를 국외에 이전하여 처리하거나, 국외로부터 이전받아 처리하는 기업의 경우, CBPR 인증을 통해 상대국 또는 상대 기업에 자사의 개인정보 보호 수준을 입증함으로써 대외 신인도를 높일 수 있다.
반대의 경우에도 CBPR 인증을 취득한 상대 기업의 보호 수준을 확인하는데 필요한 시간과 비용을 줄이고, 최소한의 보호 수준을 보장받을 수 있을 것이다.
또한 글로벌 기업의 경우, 개별 국가의 개인정보 보호 규범에 각각 대응해야 하는 법령 준수 부담 및 비용을 덜고, 글로벌 공동의 인증기준인 CBPR을 전사에 적용하여 통일된 정책을 수립할 수도 있을 것이다.
기존의 ISMS-P 인증이나, ISO 27001(27701) 인증을 취득하여 개인정보 관리체계가 수립된 기업에서는, 관련 국가와의 개인정보 국외 이전 등을 처리 할 때 효과적인 방안이 될 수 있다.
또한, 개별 국가의 개인정보 처리에 대한 기술적, 관리적, 물리적 수준의 차이가 있을 수 있고, 사회 문화적 관점에서 보는 개인정보 보호 기준이 나라마다 다르다.
그런 만큼, 해외 개인정보 처리에 대한 부담을 최소화 시킬 수 있는 방안으로 CBPR 인증을 고려할 수 있다.
최근 글로벌 CBPR 포럼 출범 선언을 통해 CBPR의 APEC 역외 확대를 추진하면서, 다른 국가들의 참여와 이해관계가 복잡해지는 양상으로 흘러가고 있다.
EU의 GDPR이나, APEC CBPR 등 국가 간 합종연횡을 통한 제도적 주도권 확보 힘겨루기가 지속되는 상황이고, 전 세계가 네트워크로 연결되어 개인정보의 국외 이전은 피할 수 없는 상황이 가속화될 전망이다.
개인정보를 강화하는 글로벌 흐름에 따라 국민의 권익을 보호하고 구제할 수 있는 국제 인증이나 제도에 국가적 차원에서 다양한 관점의 검토와 대응이 필요해 보인다.
[글. 박나룡 보안전략연구소 소장 / isssi@daum.net]
★정보보안 대표 미디어 데일리시큐!
