빅데이터 시대에 개인정보보호를 위한 규제 및 국가간 협력 프레임워크 구축에 관한 연구

2018. 6. 9

방송통신위원회

강 필 구

- 목 차 -

Ⅰ. 국외훈련 개요----------------------------------------------------------	1
Ⅱ. 훈련결과보고서 요약-------------------------------------------------	4
Ⅲ. 연구의 목적--------------------------------------------------------------	7
Ⅳ. 빅데이터 시대의 도래-----------------------------------------------	9
1. 데이터 이용형태의 변화--------------------------------------	9
2. 빅데이터의 경제적 효과--------------------------------------	13
3. 빅데이터의 부정적 영향--------------------------------------	16
Ⅴ. 데이터 유통환경의 변화--------------------------------------------	17
1. 개요-----------------------------------------------------------------	17
2. 국경간 데이터 유통의 급성장------------------------------	18
3. 국경간 데이터 유통의 부정적 영향-----------------------	23
4. 국경간 유통 데이터 규제의 영향--------------------------	32
Ⅵ. 국내 개인정보보호 정책--------------------------------------------	39
Ⅶ. 국외 개인정보보호 정책--------------------------------------------	46
1. 글로벌․지역별 개인정보 이니셔티브 연혁-------------	46
2. 글로벌․지역별 개인정보 이니셔티브 장․단점-------	48
3. 이니셔티브별 개인정보보호의 특성-----------------------	49
4. 글로벌․지역별 개인정보 이니셔티브 세부 현황-----	54
4-1 OECD----------------------------------------------------	54
4-2 UN-------------------------------------------------------	59
4-3 EU--------------------------------------------------------	64
4-4 APEC----------------------------------------------------	76
4-5 자유무역 협정----------------------------------------	83
Ⅷ. 미국의 개인정보보호 정책-----------------------------------------	85
Ⅸ. 결론 및 정책제언------------------------------------------------------	107

참고자료 ---------------------------------------------------------------------- 110

Ⅰ. 국외훈련 개요

가. 훈련국 :　미국

나. 훈련기관명 : 켄터키대학교 행정대학원 (Martin School of Public Policy and Administration at Universitity of Kentucky)

다. 훈련 분야 : 방송통신(개인정정보보호)

라. 훈련기간 : 2016.6.9~2018.6.8

마. 훈련기관 개요

o (켄터키 대학교 현황) 1865년 신설되어 현재 16개 단과대학 및 대학원,으로 구성되어 있음

- 2016년 기준으로 학부생은 22,705명, 대학원생은 7,022명 수준으로 총 학생은 약 20,720명 정도임

- 학교의 상징색은 파란색이며, 학교의 상징물은 야생고양이(Wild cat) 임

o (훈련기관 현황) Martin School은 켄터키 대학내에 1976년 개설되었으며, 최초 명칭은 Dr. James W. Martin의 이름을 따서 School of Public Administration으로 명명되었다가 1994년에 Martin School of Public Policy and Administration으로 변경됨

- 현재 정규 과정으로 MPA(Master of Public Administration), MPP(Master of Public Policy), PhD 등이 운영되고 있으며, 1년 과정으로 석사학위를 얻을 수 있는 Accelerated Course도 운영되고 있음

- MPA(Master of Public Administration)은 현재까지 300명 이상의 졸업생을 배출하여 시나 주의 재정관료, 시의 계획 담당자 등 공공 분야로 진출하였음

- International student 의 비중은 약 15~25% 수준으로 글로벌 하게 운영되고 있음

o (커리큘럼) 1+1 MPA  정규과정의 경우, 졸업을 위해서는 인턴쉽을 포함하여 40학점을 이수하여야 함

- 대부분 계량분석을 통한 정책 분석 과목에 초점이 있으며, 조직학이나 행정학 이론을 활용한 정책 분석에도 초점을 맞추고 있음

< 커리귤럼 현황 >

구 분	수 강 과 목	학점수
1학기 (가을학기)	● 미시경제학 - 학부과정에서 미수강시 의무로 수강하여야 함 ● 거시경제학 - 정부의 예산 및 결산, 예산 성립 과정, 정부와 의회와의 관계 등 정책 ● 정책 결정 과정 - 정책결정이론에 기반하여 정책을 분석하는 방법 및 정책 결정 이론의 장단점 ● 통계학 - OLS, logit 분석 등 통계적 정책 분석 방법론 ● 정책 윤리 - 공공기관의 정채결정과정에서 필요한 윤리 및 도덕성	13학점
2학기 (봄학기)	● 정책의 효과성 평가 - 정책 프로그램의 효율성과 효과성 측정을 위한 모델링 및 평가 기법 ● 재정학 - 정부 및 기업의 채권 발행, 재무구조 등의 분석 ● 계량 경제학 - 다중 회귀분석, 정책 분석 시에 필요한 통계적 모델링 ● 거시 경제학 - 세금 등 국가의 경제 정책이 경제에 미치는 영향	12학점
3학기 (가을학기)	● 전략적 계획 수립 - 조직의 발전을 위한 전략 수립 방법론 및 방법별 장단점 분석 ● 조직학 - 조직의 의사결정 프로세스 등 분석 ● 계량적 정책결정 - 회귀분석 등을 통하여 정책의 효율성과 효과성을 측정 ● 세금 정책 - 각국의 세금정책에 대하여 계량적 분석을 통한 효과 비교	12학점
4학기 (봄학기)	● 캡스톤 (졸업 논문) ● 인턴쉽 - 1+1 과정의 경우 8개 기관을 방문하여 다양한 기관의 정책 수립과정 및 정책에 대한 연구	6학점

o (입학절차) 입교시에는 토플 과 GRE 점수를 필요로 하며 최소 토플점수는 80점을 만족해야함

- 토플은 최소 조건을 만족시키면 큰 문제는 없어 보이나, GRE quant 점수가 중요한 요인으로 보임

- 경제학의 백그라운드를 중요시 여기며, 학부에서 경제학 관련 수업을 미수강시 입학후 미시경제학을 수강하여야 함

Ⅱ. 훈련결과보고서 요약서

폭발적인 데이터의 양의 증가와 기술의 발전은 빅데이터 시대의 도래를 촉발하였다. 다양한 형태로 수집된 정보를 빅데이터 분석을 통해 지식을 확보․활용하여 신산업 및 일자리 창출 등 국가 산업경쟁력의 향상을 촉진하고 있다. 하지만, 빅데이터 분석은 자체로는 개인을 식별할 수 없었던 정보가 결합되면서 개인을 식별할 수 있는 개인정보를 생성하고 사람의 행동패턴 및 성향 등을 분석가능하게 됨에 따라 개인정보 침해의 양상도 변화하고 있다. 또한, 인터넷 등 기술 발달에 힘입어 국가의 경계를 초월하여 다양한 업무가 처리되고, 다양한 글로벌 서비스가 지배력을 확대해 나감에 따라, 개인정보의 국외이전도 늘고 있다. 하지만, 국가간 상이한 개인정보보호체계 등으로 글로벌 사업자에 의한 개인정보 침해 대응 및 피해 최소화에 한계가 있다. 지나친 규제는 기업의 비즈니스 활동을 위축시키는 한편, 규제의 완화는 무분별한 개인 정보의 오․남용에 따른 사생활 침해의 우려를 증가 시킬 수 있다. 따라서, 빅데이터시대에 우리 국민의 개인정보를 효과적으로 보호하는 한편, 혁신적 서비스의 도입이 저해되지 않도록 균형잡힌 개인정보보호정책 마련이 필요하며 국가간 개인정보보호 규제체계의 상호호환성 확보와 국가간 공동 대응이 필수적인 과제로 부각되고 있다.

개인정보를 효과적으로 보호하고 국경간 개인정보 유통이 저해되지 않도록 OECD, UN 등 국제기구는 국가간에 개인정보보호의 수준을 향상시키고 규제체계간 상호 운용성 (interoperability)을 향상시키기 개인정보보호 및 국외이전에 필요한 최소 원칙을 제정하여 운영중에 있다. 또한, 최근 EU는 개인정보보호규정(GDPR)을 제정함으로서 EU 단일의 정보보호 체계를 구축하였고 APEC도 온라인 프라이버시 프레임워크와 APEC CBPRs 도입 등을 통해 역내에서 개인정보의 효율적 국외 유통과 개인정보보호를 위한 체계를 마련해 나가고 있다. 하지만, 국제기구별로, 지역별로, 국가별로 개인정보의 규제수준 및 국외 유통시에 보호 범위 및 원칙, 기본적인 입장 등에 있어서는 서로 상이한 것이 현실이다.

각국은 빅데이터 처리에 있어 개인정보보호와 산업활성화 사이에 균형을 도모하기 위한 다양한 정책방안들을 모색하고 있다. EU는 최근 제정된 GDPR에 익명화․가명화의 개념을 제시 등을 통해 개인정보의 목적외 처리에 대해 유연성을 마련해주고 있다. 미국은 민감정보를 제외한 일반정보에 대해서는 opt out 방식을 채택하고 있어, 빅데이터 도입에 큰 장점을 갖고 있다. 특히, 미국은 'Do not track‘을 포함하여 이용자가 적절한 시기에 자신의 개인정보에 대한 결정을 할 수 있도록 하여 이용자의 선택권을 높이되, 기업의 부담을 줄이기 위해 불필요한 선택절차를 단순화하고 있다. 우리나라도 2016년 빅데이터 활용과정에 있어서 기업의 불확실성을 제거하는 한편, 개인정보보호 사이에 균형을 도모하기 위하여 ‘개인정보 비식별 조치 가이드라인’을 발표한바 있다.

더불어, 세계 각국은 글로벌 사업자에 의하여 국외로 이전된 개인정보가 안전하게 보호될 수 있도록 하고, 국경간의 데이터 이전이 저해되지 않도록 노력하고 있다. OECD는 원칙적으로 국외이전을 허용하되 예외적로 국외 이전을 제한하는 반면, EU는 개인정보 국외이전을 제한하되 예외적으로 국외이전을 허용하는 방식으로 국외이전을 규제하고 있는 등 국외 이전 규제에 있어 입장의 차이가 있다. EU의 경우에는 개인정보의 국외 이전을 위해서는 개인정보를 제공받는 3국이 ‘적절한 보호 수준’을 만족시켜야 한다. 하지만, (Standard Contractual Clause), Binding Corporate Rules(BCRs) 등을 통해 국외이전을 예외적으로 허용하고 있다. 개인정보 국외이전에 있어 엄격함을 추구함과 동시에 유연성을 제공하고 있다. APEC의 경우에는 국경간에 정보흐름을 저해하는 장벽을 만들지 않기 위해 적절한 조치를 취해야 한다고 규정하고 있으며, APEC CBPRs 를 통해 규제체계가 다른 국가간에 데이터 흐름을 원활하게 하기 위하여 적절한 개인정보 수준을 준수하고 있는 기업들을 인증하여 개인정보의 국외 이전을 허용하고 있다. 미국은 개인정보의 국외이전에 대해 명시적 규정은 없으나, 미-EU 간 프라이버시 실드, APEC CBPRs 등 국제협정 등을 통해 규제중에 있다. 미국은 대부분의 글로벌 기업이 자국에 위치해 있어 개인정보가 미국내로 자유스럽게 유입될 수 있도록 데이터에 대한 현지화를 하는 것에 부정적 입장을 취하고 있다. WTO 협정의 경우에는 개인의 프라이버시와 관련해서는 무역제한을 허용하고 있으며, GATS의 조사로부터 면제된다. 우리나라의 경우에는 개인정보 국외이전에 대하여 엄격한 입장을 취하고 있는데 개인정보의 국외이전을 위해서는 이용자의 사전 동의가 필수 요소이기 때문이다. 최근에는 APEC CBPRs 가입을 통해 개인정보 국외 이전의 다양성을 높이고 있다.

또한, 글로벌 사업자의 개인정보 국외이전 또는 국외 이전후에 다양한 침해사례가 나타나고 있는데, 개인정보 침해의 피해는 한 국가에 한정되는 것이 아니고 전세계적으로 영향을 미친다. 또한, 개인정보 규제 수준 차이, 개인정보를 처리하는 물리적 공간에 따라 관할권 문제 등이 발생하고 있다. 특히, 이러한 개인정보 침해에 국가별로 공동 대응하는 사례도 점차 늘어나고 있다.

빅데이터 산업활성화와 개인정보보호 사이에 균형을 제고하기 위해서는 해외의 논의동향을 고려하여 개인정보 비식별화 등의 입법화에 대한 검토가 필요하다. 또한, 엄격하고 일률적인 사전 동의 체계를 다소 완화하여 사전 동의가 어려운 경우에 대해서는 제한적으로 사후거부 방식(opt out) 을 도입하는 방안을 검토할 필요가 있다. 더불어, 글로벌 환경에서 우리 국민의 개인정보를 효율적으로 보호하기 위해서는 국가 또는 지역간 개인정보규제 제도의 상호 운용성(interoperability) 확보를 위해 국제기구 또는 양자간 논의에 적극적으로 참여하여 우리나라의 개인정보 규제체계를 반영해 나갈 필요가 있다. 마지막으로, 글로벌 서비스 사업자의 개인정보 침해는 국가의 경계를 넘어서 많은 국가에서 동시 다발적으로 나타나고 있으므로 국가간 공동협력을 통해 대응해 나가야 한다. 우리나라는 APEC CPEA에 가입되어 있기 때문에, APEC 채널을 활용하여 국가간에 협력을 얻어 낼 수 있도록 하여야 하다. 특히, 글로벌 사업자가 주로 위치하고 있는 미국 이나 EU에 대해서는 당담 정책 부서와 정책 실무협의체 등을 구성하여 개인정보 침해 발생시 위반여부를 효과적으로 조사하고 대응방안을 마련할 수 있는 메카니즘을 개발해 나가야 한다.

Ⅲ. 연구의 목적

최근 사물인터넷(Internet of things), 클라우드 등의 발전은 또 한번의 사회 변화를 이끌고 있다. ICT 기술을 기반으로 사람과 사람, 사람과 사물, 심지어 사물과 사물이 네트워크로 통해 연결되는 초연결 사회(hyper-connected society)로 진입하고 있다(WEF, 2015). 모든 사물이 네트워크로 연결되어 여기서 축적된 다양한 데이터를 지능적으로 처리하게 되었으며, ICT 기술과 제조, 유통, 의료, 교육 등 다양한 전통 산업들간의 융합을 통해 다양한 분야에서 지능적이고 혁신적인 서비스 발전이 가능하게 지게 되었다(박정은&윤미영, 2014).

이렇게 다양한 형태로 수집된 각종 정보들의 폭발적 증가와 기술의 발전은 빅데이터 시대를 촉발시켰다. 빅데이터 분석을 통해 새로운 서비스 모델을 창출하고 생산성을 증가 시키는 등 사회전반에 큰 영향을 미치고 있다. 이에따라, 빅데이터 분석에 필수적인 요소인 개인정보는 기업의 이윤 창출 뿐만 아니라 이용자에게는 편리한 서비스를 제공하는 요인으로 작용하면서 경제․사회적 가치를 창출하고 있다.

더 나아가 인터넷 등 기술 발달에 힘입어 국가의 경계를 초월하여 다양한 업무가 처리되고 있으며, 구글, 페이스북 등 다양한 글로벌 서비스가 세계 경제에서 지배력을 확대해 나가고 있다. 이에따라, 이러한 서비스 운영에 이용되는 개인정보가 국경을 넘어서서 이동되고 있으며, 이제는 개인정보가 국외로 유통, 이용, 저장되는 것은 일상이 되어 가고 있다.

하지만, 이러한 서비스 과정에서 불법적인 개인정보 수집 및 거래, 오․남용, 수집된 개인정보의 유출은 사생활 침해 등 새로운 위협과 도전과제를 제시하게 되었다. 우선, 빅데이터로 인한 개인정보 침해는 전통적인 이름, 주소 등의 개인정보 침해를 넘어서 사람의 행동패턴 및 성향 등을 분석가능하게 됨에 따라 침해의 양상도 상당히 변화하고 있으며, 자체로는 개인을 식별할 수 없었던 정보가 결합되면서 개인을 식별할 수 있는 개인정보로 생성되고 있다. 또한, 국경을 넘어서는 개인정보의 수집과 이용, 개인정보의 오․남용, 개인정보 유출 등은 국가별로 개인정보 규제의 수준차이, 관할권 문제 등으로 인하여 제대로 보호받지 못할 수 있으며, 개인정보 유출 및 침해가 발생하더라도 적절한 구제를 받을 수 없는 가능성이 있다.

개인정보의 보호는 상품과 서비스의 국경간 거래에 있어 직접적으로 연관되어 있다. 국경간 개인정보 유통에 있어서 개인정보보호 수준을 낮게 설정하는 경우 개인정보 오남용 등 사생활 침해의 우려가 있는 반면, 너무 강한 규제는 기업의 비즈니스 활동을 위축시키거나 새로운 무역장벽으로 작용할 수 있기 때문에 경제에 부정적이 영향을 미칠 수도 있다.

국가간에 나타나는 개인정보를 효과적으로 보호하고 국경간 개인정보 유통이 저해되지 않도록 OECD, UN 등 국제기구는 국가간에 개인정보 운용의 상호 운용성 (interoperability)을 향상시키기 위해 국경간 개인정보 유통시에 개인정보보호에 필요한 최소 원칙을 제정하여 운영중에 있다. 또한, 최근 EU는 개인정보보호규정(GDPR)을 제정함으로서 EU 단일의 정보보호 체계를 구축하였고 APEC도 온라인 프라이버시 프레임워크와 APEC CBPRs 도입 등을 통해 역내에서 개인정보 효율적 국외 유통과 개인정보보호를 위한 체계를 마련해 나가고 있다.

세계적으로 글로벌 기업의 개인정보침해 등으로 인하여 국외 유통의 규제의 필요성을 인식하고 있지만, 국제기구별로, 지역별․국가별로 개인정보의 국외 유통시에 보호 범위 및 원칙 등에 있어서는 서로 다른 것이 사실이다. 국가별 개인정보 규제 수준의 차이는 기업에게는 규제 순응 비용을 증가시키는 한편, 우리국민의 개인정보를 효과적으로 보호하기 어려운 결과를 초래할 수 있다.

글로벌 사업자의 개인정보 침해의 피해는 한 국가에 한정되는 것이 아니고 전세계적으로 영향을 미치기 때문에 개인정보 침해에 대한 공동 대응 등 국가간 상호 협력이 필수적이다. 이에 따라, 빅데이터시대에 우리 국민의 개인정보를 효과적으로 보호하는 한편, 혁신적 서비스의 도입이 저해되지 않도록 효과적인 규제 방안 마련과 국가간 협력이 필요하다.

Ⅱ. 빅데이터 시대의 도래

1. 데이터 이용 형태의 변화

‘08년 이후 스마트폰 등 모바일 디바이스의 이용증가와 SNS 등 모바일 디바이스를 활용한 소셜 미디어 이용자수의 증가, 센서 등 인터넷에 연결된 기기의 증가로 말미암아 수집․축적되는 데이터는 폭발적으로 증가하고 있다.

Statista에 따르면, 2015 년 스마트폰 이용자 수는 18.6억명에 이르고 있으며, 2014년 대비하여 약 13%가 증가하였다고 보고하고 있다. 특히, 2020년에는 스마트폰 이용자는 약 29억명에 이르고, 2015년과 대비하여 약 55% 이상 증가할 것으로 예측하고 있다. 또한, SNS 등 소셜미디어 이용자 수는 2016년 기준으로 21억명으로 추산되며, 2020년까지 29억명으로 증가할 것으로 예측하고 있다.

< 스마트폰 이용자 수 >	< SNS 이용자 수 >
(출처 : statista) Retrieved from https://www.statista.com/statistics/330695/number-of-smartphone-users-worldwide/	(출처 : statista) Retrieved from https://www.statista.com/statistics/278414/number-of-worldwide-social-network-users/

특히, CISCO 보고서에 따르면, 2008년에 연결되는 기기가 평균적으로 개인당 한 개로 약 67억개의 디바이스가 네트워크를 통해 연결되고 있었으나, 2020년까지 기하급수적으로 증가하여 네트워크에 연결되는 기기의 수는 약 500억개에 이를 것으로 추정하여 개인당 평균 6개의 기기가 연결될 것으로 예측하고 있다. 연결되는 기기도 스마트폰부터 TV, 자동차, 시계 등 그 종류와 수도 다양해 질 것으로 예측하고 있다.

<  그림1 : 연결되는 디바이스의 수 >

(출처 : CISCO(2011), The internet of things pp. 3 인용)

이러한 디지털 네트워크의 영향으로 다양한 경로와 방식으로 데이터가 수집됨에 따라 폭발적인 데이터 증가량을 보이고 있다. IDC에 따르면 2013년 4.4 zetta byte에서 2025년까지 생성된 데이터의 양은 180 zetta byte에 이를 것으로 예측하고 있다 (Forbes, 2016).

< 데이터의 양 예측>

(출처 : IDC)

데이터가 생성되는 원천 또한 변화하고 있다. 2015년 IDC 보고서에 따르면, 비록 작은 용량을 갖는 데이터를 생성하는 보안 카메라, 스마트 미터, 칩 카드자동 판매기와 같은 임베디드 장치의 확산에 힘입어 엔드포인트에서 수집되는 정보도 점차 증가하겠지만, 데이터가 주로 PC, 스마트 폰 및 카메라 등 엔드 포인트에서 주로 발생하던 과거와 달리, 점점 더 기업의 중앙 집중 데이터 센터나 지역센터와 같은 곳에서 발생되는 데이터 이 상대적으로 증가할 것이라고 예측하고 있다. 이는, 빅데이터 분석, 클라우드 등의 확산으로 인하여 데이터 센터나 지역센터에서에서 새로운 데이터를 창출하는데에 중요한 역할을 하고 있음을 의미한다. 결국 기존의 데이터의 조합 및 분석 등 빅데이터 분석을 통하여 새롭고 의미 있는 데이터로 재탄생할 수 있음을 알 수 있다.

< 데이터의 원천 >

(출처 : IDC(2017), Data age 2025 pp. 8 발췌)

아울러, 데이터 직접기술의 발달과 클라우드와 같은 서비스의 발전은 데이터의 저장 방식 또한 바꾸고 있다. 2015년 IDC 보고성에 따르면 1980 년대에서 2000 년대 초반까지 PC 및 CD, DVD 등 엔터테인먼트 미디어가 데이터 생성과 소비를 주도하여, 주로 PC나 CD 와 같은 곳에 데이터가 저장되었었다. 하지만, 시간이 지남에 따라 네트워크 기술의 향상으로 인해 원거리 접속이 가능해 짐에 따라 개인용 PC나 CD와 같은 장치에 데이터를 저장할 필요성이 점점 줄어들고, 클라우드와 같은 중앙집중식 데이터 저장 방식이 확대되고 있다고 지적하고 있다. 특히, 비디오 서비스가 넥플릭스와 같은 스트리밍 서비스로 이동함에 따라 클라우드 스토리지 등 기업 저장장치에 의한 데이터 저장 비율이 점차 증가하고 있다고 지적하고 있다. 이는 네트워크를 통한 데이터 유통이 활성화되고 있으며, 데이터 유통시에 필요한 이용자의 개인정보 또한 유통이 활성화 되고 있음을 의미한다.

< 데이터의 저장 장소 >

(출처 : IDC(2017), Data age 2025 pp. 8 발췌)

이렇게 다양한 형태로 수집된 데이터의 증가 및 기술의 발전으로 다양한 방식으로 개별적으로 수집된 데이터의 통합, 분석과 추론을 통하여  새로운 의미를 주는 데이터를 만들어 낼 수 있게 되었다. 앞서 설명한 바와 같이 데이터의 생성과 저장방식의 변화는 데이터의 분석과 이의 이용을 더욱 용이하게 하고 있다. 특히, 소셜미디어와 모바일 디바이스 등의 이용 정보의 결합을 통해 개인데이터의 형태는 단순히 우리가 누구인지를 식별할 수 있는 이름, 전화번호, 이메일 등 단순정보 뿐만 아니라 기기를 사용하는 위치, 이동경로, 구매정보 등과 결합하여 개인의 행동을 예측하는 자료로까지 사용되어 지고 있다.

이렇게 분석된 자료는 맞춤형 서비스 제공 등 새로운 비즈니스 모델을 창출하는 기반이 되었고, 개인정보는 강력한 마케팅 수단으로서 기업의 주요 자산으로 인식되어 가고 있으며 그 중요성 또한 높아지고 있다. 최근 이용자의 데이터 분석을 기반으로 새로운 수익 모델을 개발한 기업의 성장세가 두드러지게 나타나고 있는 점이 이를 반영한다고 하겠다. 예를들어 2017년 3월 기준으로 세계 시가총액 2위에 알파벳(구글의 모회사), 4위에 아마존, 8위에 페이스북이 올라와 있다(정용찬, 2017). 이에 따라, 각 기업에서는 앞다투어 빅데이터를 분석을 통한 경영 전략을 도입하고 있다.

2. 빅데이터의 경제적 효과

2016년 유럽의회(European parliament)가 발표한 보고서에 따르면, “빅데이터 분석을 채택한 기업은 그렇지 않은 기업보다 생산성을 5 ~ 10 % 높일 수 있으며 유럽 전체의 데이터 분석과 적용을 통하여 2014 년에서 2020 년 사이 GDP에 1.9 %를 추가 할 수 있다”고 발표하였다.

또한, 2011년 매킨지의 조사 결과에 따르면, 전통산업과 빅데이터가 결합하여 다양한 분야에서 시너지 효과를 낼 수 있다고 분석하고 있다. 2011년 맥킨지 보고서에 따르면 의료․건강 분야에서는 매년 3,300억원의 가치를 발생시키고 0.7%의 생산성 증가를 기대할 수 있으며, 소매업의 경우는 이윤이 60% 증가 가능하며 최대 1%의 생산성이 증가할 수 있다고 전망하였다.

< 빅데이터의 도입의 효과 >

(출처 : 맥킨지(2011), Big data, pp.8 인용)

아울러, 2016년 유럽의회(European parliament)가 발표한 보고서에 따르면, 유럽의 23개 정부에서 데이터 분석을 최대한 활용하면 효율성 향상, 세금 징수 증가, 사기 및 오류 감소 등을 통해 관리 비용을 15 % -20 % 절감 할 수 있다고 설명하고 있다. 표에서 보여지는 바와 같이 빅데이터 분석은 다양한 분야에서 응용되고 있으며 효과가 입증되고 있다고 밝히고 있다.

< 빅데이터 분석의 경제적 효과 >

구분	주요내용
보험	예측 분석 소프트웨어를 사용하여 보험금 청구가 이루어지기 전에 공공 건강 보험 사기의 가능성이 있는 사례를 파악하고 첫 해에만 비용을 3 배 절감
소매부분	영국의 슈퍼마켓 체인은 소비자 충성도 카드를 통해 하루 6 백만 건 이상의 거래를 처리하여 소비자에게 맞춤형 서비스를 제공
수송	트래픽 측정 포인트에서 수집한 정보를 사용하여 혼잡을 줄이면 2020 년까지 전 세계적으로 5 천억 달러의 시간과 연료가 절약되고 380 메가톤의 CO2 절감 가능
건강	35,000 명에 이르는 전체 유전자 데이터를 분석 한 연구원은 소규모 표본을 추출하기가 어렵거나 불가능한 정신 분열증과 관련된 유전 변이 형을 확인 30 개 기관에서 30 년 동안 수집 한 뇌 영상 데이터를 이용해 알츠하이머 병의 진행 과정을 연구하여 뇌의 78 개 지역에 5 가지 주요 요인을 매핑하고 발병의 첫 징후를 확인

(출처 : European Parliament(2016), Big data and data analytics 인용)

더불어, IDC의 최근 연구 보고서에 따르면, 2018년 세계 빅데이터 및 분석 시장은 2020년까지 연평균 약 12%정도로 계속 성장할 것으로 예상하면서, 2020년에는 시장 규모가 2100억달러 규모에 이를 것으로 예측하고 있다. 또한, 한국은 2017년과 대비하여 9.9% 성장하여 2018년에는 1조 3천억원 규모에 이를 것으로 전망하면서 2020년까지 연평균(CAGR) 9.4%로 성장하여 2020년 1조 76백억원 규모에 이를 것이라고 예상하고 있다(Bloter 웹사이트).

Retrieved from https://www.bloter.net/archives/277223

< 빅데이터 및 분석 시장 규모 >

연도별	매출액(10억달러)	성장률
2015	122.0
2016	130.1	6.6%
2017*	150.8	15.9%
2018*	168.7	11.9%
2019*	188.8	11.9%
2020*	210.0	11.2%

(출처 : 박선우(2018), 빅데이터 시대와 데이터 융합 pp.5 발췌

원출처 : Worldwde semiannual big data and analytic spending guide)

또 다른 시장조사기관인 Wikibon의 예측에 따르면 세계 빅데이터 시장은 연평균 14.4% 성장하여 2026년에 922억 달러의 규모로 달성될 것으로 전망하면서, 이는 2014년 기록했던 183억 달러에서 약 404% 증가한 수치라고 설명하고 있다.

< 빅데이터 세계 시장 규모 예측 >

(출처 : 박선우(2018), 빅데이터 시대와 데이터 융합 pp.4

원출처 : wikibon big data in the public cloud forecast , 2016~2026

3. 빅데이터의 부정적 영향

빅데이터는 새로운 서비스 모델을 창출하고 생산성을 증가 시켜서 경제에 큰 영향을 미치고 있다. 특히, 개인정보는 기업의 이윤 창출 뿐만아니라 이용자에게는 편리한 서비스를 제공하는 핵심 요인으로 작용하면서 경제 사회적 가치를 창출하고 있다.

하지만, 개인정보의 무분별한 수집 그리고 다양한 정보의 집중과 분석으로 개인의 식별이 될 가능성도 커지면서 개인정보의 오・남용, 개인정보 유출 등으로 인한 사생활 침해 또는 경제적․정신적인 손실 우려도 제기 되고 있는 것이 사실이다.

먼저, 다양한 서비스의 확산에 따라 모바일 앱이나 SNS 등을 이용하면서 생성되는 위치정보, 검색 정보, IP 주소 등의 로그가 PC 및 모바일 디바이스, 클라우드 서버에 저장됨에 따라 과거 전통적인 이름, 주소와 같은 개인정보가 아니라 다양한 유형의 개인의 활동유형과 같은 정보로 인하여 개인사생활을 침해할 우려가 높아지고 있다.

또한, 정보의 수집, 분석, 저장 기술이 발전하면서 다양한 형태로 수집된 정보를 바탕으로 개인정보를 침해를 우려할 가능성이 높아 졌다. 과거와는 달리 개인을 전혀 식별할 수 없는 정보를 조합하여 개인을 식별할 수 있어 이를 마케팅 등에 활용하면 권리침해가 발생할 우려가 있다. 또한, 수집과 이용에 동의한 수집된 개인정보라 할지라도 이러한 정보들이 축적된다면 이를 분석하여 생활패턴이나 성향 등에 대해 분석할 수 있게 되었다.

아울러, 다양한 매체의 정보를 분석함에 따라 이용자가 의도하지 않은 개인정보 침해가 가능해졌다. 예를 들어 소셜네트워크에 개별적으로 올려져 있는 내용을 분석하여 주소, 직업 등 개인의 정보를 유출해 낼 수 있게 되었다. 따라서, 빅데이터에서의 개인정보 침해는 단순한 개인정보 유출 이상의 위험이 있으며, 기업이나 정부가 이렇게 축적한 데이터가 해킹을 당할 경우의 피해는 막대할 수 있다(고유홈, 2014).

Ⅳ. 데이터 유통 환경의 변화

1. 개 요

통신, 과학, 운송 및 산업 분야에서 전례가 없는 발전에 힘입어 글로벌 통합의 속도는 훨씬 빠르게 진행되고 있다. WTO, FTA 등을 통한 국제 무역의 자유화는 무역 장벽을 완화시키면서 세계 경제는 글로벌화를 가속 시키고 있다. 국가간 무역의 활성화에 따라 업무상 필요에 따라서 개인정보가 국외로 유통되는 경우도 많아지고 있다.

특히, 인터넷, 정보처리 기술 및 클라우드 등의 발달은 개인정보 처리 산업의 급성장을 시키고 있다. 여전히 지리적 요소는 개인정보보호 관련 법령의 적용 여부를 결정하는데 있어서 핵심요소이지만, 과거와 달리 비즈니스 및 기술적 관점에서 보면 지리적 요소의 중요성이 줄어들고 있다. 앞서 언급한 것처럼 기술의 발전은 개인정보의 처리를 지리적 위치에 관계없이 가능하게 함에 따라 많은 회사는 지리적 위치가 아닌 중앙집중적으로 업무를 구성할 수 있게 되었기 때문이다. 국경을 넘어서는 전자상거래, SNS 등의 발달로 인하여 개인들의 정보가 해외에서의 이용되는 경우도 많이 발생하고 있다. 특히, 페이스 북, 구글 등 글로벌 서비스는 전 세계로 서비스가 확산되면서 개인정보의 국경간 유통이 일상화 되고 있다.

< 글로벌 서비스의 현주소 >

(출처 : WorldBank(2016), World Development Reports 2016 pp.6 중 인용)

2. 국경간 데이터 유통의 급성장

인터넷은 전통적인 재화나 서비스의 국제적 무역 거래를 촉진시키는 한편으로, 새로운 디지털 서비스를 창출 시키는 기반으로 서의 역할을 해왔다. 특히, 일부 보고서에 따르면 세계 무역 서비스의 50%가 디지털화 되어 있다고 지적하고 있다(Castro&McQuinn, 2015). 경제 성장에서의 데이터의 역할은 국제 무역의 성격과 범위에 영향을 미치고 있으며, 특히, 인터넷과 네트워크 기술의 발달은 국경을 넘나드는 서비스 제공에 있어 많은 변화를 가져왔다.

아마존, 넥플릭스, 구글 등 국경을 넘어선 디지털 서비스의 제공은 국가간 데이터의 트래픽에 급격한 증가를 초래하였다. 재화와 금융거래의 경우 국가간 흐름은 2010년 이후 성장 모멘텀을 잃었지만, 국경간 대역폭은 2005년과 비교하여 2014년에는 약 45배로 급속히 증가하였다(McKinsey, 2016).

< Cross border bandwidth 변화 >

(출처 : McKinsey(2016), Digital globalization 앞부분 )

2016년 맥킨지 보고서에 따르면, 지난 20 년 동안 재화, 서비스 및 금융 등 전통적인 국가간 무역은 급속히 증가하여 2007 년 약 30 조 달러에 달했으며 세계 GDP의 53 %를 차지했으나, 그 이후에 전통적인 무역이 GDP에서 차지하는 비중은  2007년 이후 급속히 하락하여 2014년에는 39% 정도로 GDP에서 차지하는 비중이 감소하고 있음을 알 수 있다. 전통적인 상품무역도 2007년 이후 정체 추세를 유지하고 있음을 보여주고 있다

< 세계GDP 및 상품, 서비스, 금융거래 비중 >

(출처 : McKinsey(2016), Digital globalization pp 3 인용 )

한편, 빅데이터 기술의 발전은 기존의 전통산업의 부가가치를 창출 시키는데 도움을 주고 있으며, 국경간의 데이터 흐름을 확산하는 데에도 큰 영향을 미치고 있다. 석유 및 가스 회사에서 제조 및 소매 회사에 이르기까지 전통적인 산업에서도 일상적인 의사 결정 프로세스를 용이하게 하고 소비자에게 부가 가치를 제공하기 위하여 전 세계 각지에서 수집되는 데이터에 의존하고 있다(Castro&McQuinn, 2015).

< 전통산업의 데이터 이용 사례>

기업	주요 내용
Rio Tinto (MIning)	전세계40 개국에서 운영되고 있는 광산회사로, 광산에서의 생산량 및 품질 등을 실시간으로 데이터를 수집하여 분석 - 실험실 데이터, 감시카메라, 통제시스템, 유지보수 목록 등을 포함 - 다양한 국가의 데이터를 수집하여야 하나, 데이터 현지화 정책을 하고 있는 일부 국가에서는 어려움
Unilever (제조업)	- 비누 등 위생 및 건강제품 생산하는 회사로 전세계 190여개국에서 생산 및 판매 - 이용자 분석 및 비즈니스 파트너 분석에 활용 - 전세계의 데이터를 분석 취합하는 영국에 약 4000대의 서버가 있음 - 소비자에게 SMS를 보내서 의견을 받아 제품 및 서비스 개선
Tesco (소매업)	-12개국에서 영업하고 있음 - 로얄티 카드를 회원에게 주고, 회원들의 구매 행태 분석을 통해 타겟 소비자 및 상품 등을 결정하고 있음
ING	- 40개국에서 4천 8백만 고객을 확보한 은행 - 클라우드 컴퓨터를 통해 고객과의 거래내용, 응대내용 분석 등을 통해 고객의 니즈 분석
Volvo and Scania	- 차량 제조사 - Volvo : 20개국에 생산시설, Scania : 100개국에서 운영중 - 소프트웨어 업그레이드, 수리 등을 위해 실시간 차량의 위치 정보 와 분석 정보를 수집 - 각국에서 수집된 정보는 Scania의 중앙집중 시스템으로 이동되어 분석됨 - 스카니아는 차량으로 부터 최소한의 개인정보를 포함하지만 익명 데이터를 수집하여 분석
Hermes Medical solution	- 의학 영상 분석회사로 환자의 데이터를 분석하여 서비스 - 클라우드 베이스로 작업을 하며 30개국이상에서 서비스 - 모든 데이터는 스웨덴에 저장

(출처 : ITIF(2015), Cross-border data flows enable growth in all industries  내용 발췌)

글로벌화와 인터넷의 발달에 따라 국경간 데이터의 이동은 점차 중요한 요소로 자리잡고 있다. 상품거래는 64퍼센트가 원거리에서 이루어지고 있고, 데이터의 경우에도 33% 가 국경간 거래를 통해서 이루어지고 있다.

< 국가간 및 지역간 거래 현황 >

(출처 : McKinsey(2016), Digital globalization pp. 39)

전자 상거래 시장에서 국제간 거래가 무역에 미치는 영향은 상당하며 그 비중은 지속적으로 증가 추세에 있다. 2016년 맥킨지 보고서에 따르면, 2016년 B2C 전자 상거래 거래의 약 16 %는 국경 간에 이루어지며, 그 매출액은 국제 매출액이 0.3 조 달러에 불과하다가 2020 년까지 전체 매출액의 30 %를 차지하여 약 1조 달러에 이를 것으로 예상하고 있다. B2C 를 이용하는 고객의 수는 2015년에 4억명으로 25% 정도 수준이지만 2012년에는 9억명이 국경을 넘나드는 전자 상거래를 할 것으로 예측되며 전체 전자상거래 비중의 45%를 차지할 것으로 전망하고 있다.

< 전자 상거래 시장 비중 예측 >

(출처 : McKinsey(2016), Digital globalization pp. 35)

국경간의 데이터 이동량이 급속히 증가하면서 국가간에 데이터 전송을 위한 대역폭도 늘어나고 있다. 예를들어, 페이스북 이용자는 적어도 50%는 국제적인 친구를 등록하고 있는 점을 고려하면 국가간에 데이터의 교환이 상당함을 알 수 있다(McKinsey, 2016). 보고서에 따르면 2005년 4.7 Tearbits per a second 였던 것이 2014년에 211.3 Tpbs로 약 45배 증가하였으며 2021년까지 2014년에 대비하여 9배 이상 증가할 것으로 예측하고 있으며, 일부 국가간에 주로 이루어 지던 데이터 유통도 다양한 국가로 확대되었다고 설명하고 있다. 개인정보의 유통이 몇 개 국가에만 한정되는 것이 아니고, 거의 모든 국가에 영향을 미친다고 할 수 있겠다.

< 국가간 데이터 전송 대역폭  >

(출처 : McKinsey‘s Digital globalization pp. 31)

< 국가간 데이터 전송 대역 이용현황 >

(출처 : McKinsey‘s Digital globalization pp. 31)

특히, 2016년 맥킨지 보고서에 따르면 국가간 무역이 GDP에 미치는 영향은 2014년 기준으로 7.8%를 차지하고 있으며, 상품무역이 GDP에 미친 영향은 3.5%로 가장 크게 나타나고 있으나, 데이터에 의한 GDP 기여율도 장기적으로 약 3% 이상 미친 것으로 분석되었다. 데이터의 거래가 세계 경제에 미친 영향은 엄청나다고 할 수 있다. 이에 따라, 이러한 서비스 이용에 필요한 개인정보 유통도 필연적이 되고 있다.

< 국가간 무역이 GDP에 미치는 영향 >

(출처 : McKinsey‘s Digital globalization pp.77 인용 )

3. 국가간 데이터 유통의 부정적 영향

가. 개 요

클라우드컴퓨팅 등 원격 데이터 사용의 증가, 글로벌 서비스의 확산 등에 따라 데이터의 국경간 이전이 증가하면서 개인정보의 국외 이전도 증가하고 있다. 이에 따라, 개인정보가 처리ㆍ저장되는 물리적인 위치로 인하여 관할권 문제를 발생시키고 있으며, 또한, 규제 수준이 다른 국가로의 개인정보 이전은 개인정보 침해 가능성의 우려를 높이고, 침해 이후에 적절한 구제 수단을 적용하지 못하는 경우도 발생하고 있어 자국민의 개인정보를 국외이전으로부터 보호하는 것이 중요한 이슈가 되었다.

나. 개인정보의 국외 이전의 유형

개인정보 국외이전은 다양한 형태로 나타나고 있다. 2007년 KISA 보고서에 따르면, 1) 자발적 제공형, 2) 전자상거래형, 3) 중개형, 4) 공유형, 5) 이전형, 6) 인수-합병형, 7) 제3자 제공형으로 개인정보 이전의 형태를 나누어 볼 수 있다고 설명하고 있다(KISA, 2007).

< 개인정보 국외 이전 형태 >

구분	주요내용
자발적 제공형	국외에서 개인이나 기업이 운영하고 있는 사이트에 경제적 이유나 엔터테인먼트를 목적으로 개인정보를 제공
전자상거래형	외에서 운영되고 있는 쇼핑몰 등의 사이트에서 직접 물품이나 서비스를 구입하기 위해 개인정보를 해당 사이트에 제공하는 경우
중개형	외국 기업이 우리나라에 사무소를 두고 직접 소비자 마케팅을 수행하면서 수집한 고객정보를 본사의 데이터 베이스에서 관리하는 형태
공유형	외국기업이 한국에 계열사 등을 설립하여 한국에서 소비자 마케팅을 행하면서 고객정보를 본사와 공유하는 형태를 의미
이전형	외국기업이 한국기업과 제휴를 맺고 사업상 필요한 고객 정보를 협력사 또는 제휴사를 통해 수집하는 경우
인수/합병형	한 기업이 기업을 인수 합병하는 경우에 개인정보가 이동하는 경우
제3자 제공형	개인정보를 수집한 기업의 성격이나 영업목적과는 무관하게 우리나라 사람의 개인정보를 외국인, 외국기업 혹은 다른 국가의 정부, 국제기관으로 이전하는 경우

(출처 : KISA(2007), APEC CBPRs 가 국내에 미치는 영향 연구 인용)

다. 개인정보 국외 유통에 따른 글로벌 침해 사례

이러한 개인정보의 국외이전과정 또는 국외 이전후에 다양한 개인정보 침해 사례가 나타나고 있다. 글로벌 사업자의 개인정보 침해는 전세계적으로 영향이 나타나게 된다.

하지만, 글로벌 사업자의 경우에 관할권 문제, 국가간 규제 수준 등의 차이로 인해 법률 적용에 있어 문제가 발생하고 있으며, 침해 이후에 국내법에 기반한 적절한 구제를 받기도 어려울 수 있다.

① 허술한 보안 시스템에 의한 글로벌 가입자의 개인정보 유출

애슐리 메디슨은 캐나다에 기반을 두고 있으며, 이성들간에 만남을 주선하는 온라인 데이트 사이트의 하나다. 애슐리 메디슨은 우리나라에서는 방송통신심의위원회로부터 2014년 사이트 차단조치를 당했다가 2015년 간통법이 폐지되면서 한국에서 서비스를 재개하였다(한국일보, 2015).

애슐리 메디슨은 2015년에 해킹 당해 전세계 46개국의 회원 3,600만명의 개인정보가 유출되었고, 이후, 해킹한 회원자료를 이용하여 배우자나 연인에게 알리겠다는 협박 이메일 전송 등의 2차 범죄로 이어졌다. 이에 FTC는 조사에 착수하였고 개인정보보호를 허술하게 하였다는 결론을 도출하였는데, 애슐리 메디슨은 제 3자에 의한 평가되는 포괄적인 정보보안 프로그램을 구축하기로 하고 합의비용으로 16억을 납부하는 것으로 FTC와 정책합의를 이루었다(FTC, 2016).

< 주요 위반 사항 >

① 정보보호 정책의 부재

② 합리적인 접속 제어 정책의 부재

③ 정보보호 관리자에 대한 적적한 교육 부족

④ 3자에 대한 개인정보보호 허술

(출처 : FTC(2016) 웹사이트에서 인용 )

또한, 2015년에 개인정보가 유출된 회원들은 7억6천만 캐나다달러(6천900억 원) 규모의 집단소송을 제기하였다. 이에 개인정보 유출은 부인하였으나, 개인정보를 보호하지 못한다는 것에 대해 1,120만 달러에 합의하기로 하였다(글로벌 이코노믹, 2017).

무엇보다도 동 조사는 전세계의 각기 다른 규제기관과 연관이 있었다는 것인데, FTC는 미국내 13개 주와 협력하고 캐나다와 오스트리아 등과 협력체계를 구축하였다는 점이다. 캐나다와 오스트리아가 FTC가 애슐리 메디슨을 조사하고 애슐리 메디슨과 FTC간에 정책 합의에 이르는 것을 지원하였는데, FTC는 국경간에 기만적이고 불공정행위에 대응하기 위한 상대측과 정보를 공유하게 하는 SAFE WEB Act에 조항에 근거하여 조사를 진행하였다 (FTC, 2016).

국경간에 발생하는 소비자 보호와 관련된 집행력을 확보하기 위하여 외국의 집행기관가 비공개 정보의 공유 및 조사 지원 등을 통해 협력할 수 있도록 하는 법안

② 개인정보의 통제되지 않은 3자 제공

최근 페이스북의 개인정보 유출이 화두가 되고 있다. 문제는 페이스북이 가입자 정보를 제3자에게 판매해 수익을 창출하는 수익 모델인데, 데이터를 받은 제3자가 다시 제3자에게 가입자 정보를 제공한 것이 문제의 발단이 되었다. 즉, 페이스북과 계약을 맺은 “This is your digital life"의 개발자가 페이스북의 이용자의 개인정보를 얻는 것은 좋지만, 이를 트럼프 선거캠프와 연계된 Cambridge Analitica 라는 정치 컨설팅 업체에 개인정보를 제공해서는 안 된다는 것이다(연합뉴스, 2018).

페이스북은 전세계적으로 약 8,700만명의 개인정보가 유출되었다고 추산하고 있다. 이 사건과 관련하여 페이스북은 Cambridge Analitica가 수백만명의 개인정보를 부정한 방법으로 입수했음을 인정하였다. 페이스북은 개인정보 유출 가능성이 있는 페이스북 사용자 8,700만 명 가운데 미국인이 81.6%로 대다수 이며, 필리핀(1.4%), 인도네시아(1.3%), 영국(1.2%) 등 순이라고 밝혔다(전자신문, 2018).

이는 개인정보의 국경간에 이전이후에 제 3자 제공에 따른 모니터링 이나 이에 따른 책임 소재를 동반하는 사례를 보여준다고 할 수 있다. 현재, FTC가 페이스북의 조사를 공식화 하였고(NPR, 2018), 호주 당국도 공식조사에 착수하였으며, 호주 개인정보보호기관인 호주정보청은 해외 규제청과 협의중이라고 밝히고 있다(전자신문, 2018).

이번 페이스북의 개인정보 유출은 다양한 국가의 개인정보를 침해한 것으로 침해사고의 영향이 글로벌하게 나타난 것을 알 수 있다. 국가간 협력이 필요함을 강조하는 사례라고 할 수 있다.

③ 글로벌 사업자의 이용자 동의 없는 개인정보 수집

구글 스트리트뷰

구글의 스트리트뷰가 지도 서비스를 제작하는 과정에서 불법적으로 정보를 수집한 경우이다. 구글 스트리뷰 제작자는 특수 카메라가 장착된 자동차를 통해 지역을 촬영하는데, 이 과정에서 암화화되지 않은 정보를 이용자 동의 없이 수집하였다.

전 세계의 다수의 국가들도 구글의 광범위한 정보 수집이 불법적인 수집이라 보고, 해당 사안에 대한 조사를 하였으며 제재하였다. 조사를 통해 프랑스, 독일, 벨기에, 노르웨이 등 주로 유럽 국가에서 구글에 과징금을 부과했으며 적게는 4,700만원, 많게는 2억 2,000만원 수준으로 결정되었으며, 일본, 캐나다 등 18개 국가에서는 별도의 과징금 부과 없이 종결 처리되었다(방송통신위원회, 2014).

대표적으로 미국에서는 구글의 정보 수집이 의도적으로 이루어 진 것을 지적하면서, 의도적으로 조사를 방해하고 은폐하려고 하려고 했다는 이유로 FCC는 통신법 위반으로 25,000달러의 과징금을 부과하였다. 또한, 구글이 스트리뷰 서비스 사용과정에서 수집한 사진이 개인의 프라이버시를 침해한다는 이유로 38개 주에서 약 700달러의 과징금을 부과받았다(KISA, 2014). 캐나다의 경우에는 구글이 개인정보 보안을 강화하고 해당 직원에 대한 교육을 강화하는 한편, 수집된 정보를 삭제하는 것으로 조사를 마무리 하였다(KISA, 2014).

국내에서는 수집된 정보는 “인터넷 아이디, 비밀번호, 주민등록번호 등의 개인정보 뿐만 아니라, 다른 정보와 결합될 경우 개인을 식별할 수 있는 가능성이 높은 맥 주소(MAC address) 등의 정보가 약 60만건이 수집”됨에 따라, 방통위는 이용자동의없이 무단으로 개인정보를 수집한 것을 이유로 과징금 2억 1,230만원을 부과하는 한편, 개인정보를 삭제하도록 시정명령 조치를 하였다(방송통신위원회, 2014). 이후 방통위는 2014년 8월 구글 본사를 직접 방문하여 무단 수집한 개인정보 60만여건이 담긴 서버 자료와 디스크를 파기하는 것을 확인하였다. 이는 방통위가 개인정보보호 법규 위반으로 글로벌 기업을 제재하고 직접 준수 여부를 확인하는 첫 사례로 중요한 의미를 갖는다(방송통신위원회, 2014).

조사를 진행한 각 국가의 개인정보기구의 조사결과는 비슷하였으나, 자국의 법률체계에 따라 다르게 제재하였다. 글로벌 기업에 대해 규제 수준의 차이로 인한 상이한 제재, 개인정보 침해에 조사 및 협력 체계 마련이 필요함을 말해 주는 사례라고 할 수 있다.

애플의 불법적인 위치정보 수집․저장

Epic.org 홈페이지에서 발체 Rettrieved from https://epic.org/privacy/location/apple.html

2011년 애플의 SW 개발자(Alasdair Allan 와 Pete Warden)는 애플이 아이폰과 아이패드의 위치정보를 의도적으로 수집․저장하여 임의로 활용하였다고 폭로 한 것이 발단이 되었다. 특히, 애플이 2011년부터 이용자의 위치정보를 수집하여 암호화하지 않은 정보를 저장하였고, 이를 itunes과 동기화를 통해서 이용자 컴퓨터에도 보관하였다. 하지만, 애플은 기기(사용자)의 위치정보를 수집 및 활용할 수 있다는 내용을 개인정보 취급방식에 명시하였다는 점을 명시했기 때문에 수집에 문제가 없으며, 위치정보가 저장된 것은 프로그램의 오류로 인한 것이라고 밝혔다.

미국 의회는 애플의 위치정보 수집의 논란에 대한 조사의 일환으로 애플의 경영진을 출석시켜 청문회를 진행하였으며, 이탈리아, 독일, 프랑스 등은 동 건에 대하여 조사에 착수하였고, 또한, 개인, 법원, 의회의 요구가 거세짐에 따라 위치정보에 대한 정책을 변경하였다(이은민, 2011).

< 주요 변경 사항 >

① 위치정보는 일주일만 보관

② 위치정보는 이용자의 컴퓨터로 전송하지 않음

③ 이용자가 위치정보를 지울 수 있도록 조치

④ 위치정보는 암호화하여 저장

(출처 : epic 웹사이트 인용)

한편, 국내에서는 애플은 위치정보의 수집 이용 제공과 관련하여 이통사 가입신청서상 위치정보 관련 이용약관과 아이폰 이용시에 소프트웨어 사용계약서에 아이폰에서 위치 기반 앱 최초 설치시에 “현재 위치 확인” 등으로 동의를 받았으나, 일부 아이폰의 경우 “끔”으로 설정 했을때에도 아이폰 주변의 기지국 정보 등을 서버로 전송하였고 애플은 해당 기지국의 좌표값을 아이폰으로 전송하는 등 위치정보를 수집하는 행위를 하였다고 밝히면서, 아이폰 이용자가 설정 등을 통해 위치서비스를 종료하여 동의를 철회했음에도 불구하고 지속해서 정보를 수집했다는 이유로 과태료 300만원을 부과하였다. 특히, 애플이 위치정보 수집방식 및 활용범위에 대해 이용자에게 충분한 정보를 제공할 있도록 조치하였다(방통위, 2011).

⑤ 국가간 규제 수준의 차이에 따른 글로벌 사업자의 위반 처리 문제

왓츠앱

왓츠앱은 미국 캘리포니아에 본사를 두고 있으며, 현재 페이스북이 소유한 인터넷 메신저 서비스 중에 하나이다. 왓츠앱은 이용자의 전체 주소록에 대한 접근할 수 있도록 하지 않으면 서비스가 되지 않도록 하는 것이 문제가 되었다(OPC, 2013). 이에 2012년에 네델란드의 Dutch Data Protection Authority(CBP)와 캐나다의 Office of the Privacy Commissioner of Canada(OPC)가 왓츠앱에 대한 개인정보보호법 위반행위에 대하여 공동조사를 실시하였다(OPC, 2013). 왓츠앱은 네델란드와 캐나다의 관련 법령과 국제적으로 통용되는 개인정보의 보유, 안전장치(safeguard) 및 공개 등과 관련된 기본원칙을 위반한 것으로 조사 되었다.

< 주요 위반 사항 >

①이용자가 동의하면 왓츠앱 유저의 디바이스에 있는 전체 주소록 정보가 왓츠앱 이용자를 식별하기 위해 서버로 전송되는데, 왓츠앱은 식별이후에도 전체주소록을 삭제하지 않고 서버에 지속적으로 보관

② 전송구간에 있어 암호화를 하지 않음

③ 이용자 메시지 전달을 할때 전송구간의 암호화가 쉽게 노출될 수 있는 방법을 사용

(출처 OPC(2013) 인용)

OPC와 CBP는 공동조사하였지만, 자국의 법령이 다르기 때문에 각자의 법률에 맞게 독립적으로 처분하였다. 특히, CBP는 제재 권한을 갖고 있으나, OPC는 제재에 관한 권한이 없다. OPC는 단지 조사기간 동안 개선하기로 한 사항을 만족시키는지 여부에 대한 모니터링만을 할 수 있었다(OPC, 2013).

또한, CBP는 왓츠앱이 1년이라는 기간 동안 개인정보를 보유한것에 대하여 문제를 지적하였으나, OPC는 왓츠앱의 데이터 보유기간은 과도하지 않으나, 프라이버시 정책을 통해 데이터 보유기간을 알려야 한다고 하였다(KISA, 2014).

왓츠앱의 조사의 특징적인 것은 세계 최초로 공동조사를 통해 개인정보보호법 위반 여부를 조사하였다는 것에 의미를 갖는다(OPC, 2013).

⑥ 국가간 협력 : FTC-Accusearch(2009)

UNCTAD Data protection regulations and international data flows: Implications for trade and development pp. 18~19인용

미국에 기반을 둔 Accusearch는 개인을 대상으로 프로필을 작성하고 개인을 특정할 수 있는 검색서비스를 제공하는 회사이다. 이 회사는 이용자의 검색요청을 받아 타사에 제공한 이후, 그 결과를 타사로부터 제공받아 고객에게 다시 제공하는 절차를 거친다.

이사건은 흥미롭게도 미국에서보다 캐나다에서 문제를 제기하였는데, 미국의 관할임에도 불구하고 캐나다 국민에게 영향을 미쳤기 때문에 Canadian Internet Policy and Public Interest Clinic (CIPPIC)는 Accusearch가 미국의 법률를 위반하였다고 FTC에 문제를 제기 하였으며, 캐나다의 규제기관이 미국과 협력하기를 요청하였다.

이후, FTC와 Office of the Privacy Commissioner of Canada (OPC)는 서로 협조를 통해 조사를 진행하였다. FTC는 OPC에게 Accusearch에 의해 영향을 받는 캐나다인의 명단을 제공하였으며, OPC는 FTC의 결정을 지지하는 성명(an amicus curiae brief)을 보냈다. 이 사건은 관할권 문제를 국가간에 협력으로 해결한 중요한 사례라고 할 수 있다.

⑦ 개인정보의 규제 관할권 : Belgian Commission for the protection of privacy vs Facebook(Belgium, 2015)

UNCTAD Data protection regulations and international data flows: Implications for trade and development pp. 19 인용

페이스북이 2014년 개인정보 보호 정책을 변경한 후, 벨기에 개인정보보호위원회(Commission)는 벨기에 대학에 연구를 의뢰함으로서 조사가 시작했다. 조사결과는 “페이스북이 페이스북 웹사이트 또는 페이스 북이 아니더라도 특정 SNS의 플러그 인을 방문할 때 페이스북 이용여부와 관계없이 이용자의 컴퓨터에 쿠키를 삽입하여 회원들이 방문한 웹사이트 기록을 페이스북이 수집하도록 하였다” 고 발표하였다.

벨기에 개인정보보호위원회는 페이스북을 이용하지 않는 이용자에게 쿠키를 설치하여 정보를 수집한 것은 개인정보보호법 위반이라고 2015년에 권고안을 발표하였다. 하지만, 페이스북은 데이터는 아일랜드내에서 처리되었으며 아일랜드의 법령을 준수하였다고 주장하였다. 이에 벨기에 법원은 Facebook의 로비와 공공 행정 활동이 데이터 처리와 "불가분의 관계"로 연결되어 있고 데이터 처리활동이라는 관점에서 수행되었기 때문에 페이스북은 벨기에에 자회사가 있다고 고려할 수 있기 때문에 EU 개인정보지침 제4조에 따라 벨기에 법원은 관할권을 갖는다고 판시하였다.

개인정보의 처리에 대하여 회원국이 개인정보보호지침에 따라 일정 조건을 만족시키면 채택한 자국의 구정을 준수해야함

아울러, 법원은 단순히 데이터를 저장하고 자동적으로 수신함으로써 데이터를 처리한 행동을 하였다고 지적하면서, 처리 된 범위가 보증 된 보안 이점과 비례하지 않으며 부적절한 동의로 인해 불공정하게 처리되었다고 판시하였다. 이 사건은 데이터 보호법의 국가 관할권이 어디에 있는지에 대한 논쟁을 불러일으키는 사례로 보인다.

4. 데이터의 국경간 유통 규제가 글로벌 경제에 미치는 영향

가. 개인정보 국외 유통 규제 개요

각국은 개인정보보호, 국가 경제 보호 등 여러 가지 이유로 개인정보의 국외 이전을 제한하는 “데이터 현지화(Data localization) 정책을 수립 시행하고 있는데, 이런 데이터 흐름에 대한 장벽은 직접적으로 무역에 영향을 미치고 혁신적인 데이터 경제의 성장에 장애가 될 수 도 있다.

자국의 개인정보에 대해 국외 이전을 제한하는 것은 데이터 현지화(Data localization)라는 개념으로 불린다. 코헨(Cohen) 외 (2017)에 따르면, "데이터 현지화(Data localization)" 는 일반적으로 "해당 관할 구역 내에서 수집 된 데이터의 특정 관할 지역 내에서의 저장을 요구하는 공공 정책 노력"으로 정의하고 있다. 예를 들어, 러시아, 중국, 인도네시아 및 일부 국가에서는 서버에 데이터를 저장해야하는 등 "강제적"으로 데이터 현지화를 하도록 하고 있으며, 호주, 독일, 한국 등과 같은 국가에서는 특정 시민의 금융, 건강 및 의료 정보, 온라인 출판 및 전기 통신 데이터 등의 경우에는 현지 서버에서 저장하도록 요구하고 있다(ITIF, 2017). 또한, 미국을 비롯한 많은 국가에서는 특정 정부 거래 나 중요한 국가 안보 문제와 관련된 데이터를 현지에 저장해야 한다고 규정하고 있다(코헨외, 2017)

Brookings 보고서(2018) 에 따르면 국경간의 데이터 흐름의 제한을 두는 방법으로 3가지를 지적하고 있다. 첫째, 데이터가 국외로 이전 될 수 없도록 하는 경우, 둘째, 데이터는 국외로 전송될 수 있으나, 반드시 복사본의 경우에는 국내에서 유지되어야 하는 경우, 셋째, 국외 이전시에 이용자의 동의가 있어야 하는 유형이 있다고 설명하고 있다.

나. 데이터 이전 규제의 목적

Brookings 보고서(2018) 에 따르면, 데이터 현지화의 다양한 목적이 있다고 설명하고 있다. 첫째, 국가의 데이터 보호 및 개인 정보 보호 법률을 우회하는 것을 방지하기 위해서이다. 예를들어, 자국보다 규제 수준이 낮은 국가로 이용자의 건강정보 등 민감정보가 이전된다면 개인정보가 다시 3자로 이전되거나 오남용 될 수 있기 때문에 국민의 사생활을 침해할 수도 있다고 지적한다. 특히 해외에서 개인정보 유출 등으로 인한 사생활 침해가 발생한다면 합법적 권리를 주장하는 것이 어려워 적절한 구제조치를 취하기도 힘들기 때문이라고 설명하고 있다.

둘째는 규제기관에서 수사 및 법 집행 등을 위해 개인의 데이터에 효율적으로 접근할 수 있어야 하기 때문이다. 범죄 수사 등을 이유로  데이터에 접근해야 하는데, 외국에 서버가 있는 경우에 관할권 등의 문제 때문에 접근이 어렵기 때문이다. 통상적으로 법 집행 담당자들은 정보 접근에 있어 관할권문제가 발생하는 경우에는 MLATs(Mutual Legal Assistance Treaties)에 근거하여 정보를 요청한다. 하지만, 동 조약은 예외적인 사건에 대해 정보를 공유하는 것이고 전자적 정보에 대한 주기적인 요청에 대해서는 잘 해결할 수 없기 때문에 규제기관에서 접근할 수 있는 곳에 데이터 보관의무를 부여하는 것이라 설명하고 있다(Mohanty&Srikumar, 2017).

셋째는 데이터를 활용하고 있는 국내기업의 보호가 주된 목적이다, 예를 들어, 클라우드 서버에 대한 자국내 설치 등의 의무화를 통해 자국의 산업을 보호 할 수 가 있다. 또한, 또 다른 문제가 있는데, 자국의 정보가 저장되어진 클라우드 서버의 데이터가 타국의 사법 당국 등에 의해 감시당하거나 통제 될 수 있기 때문이라고 설명한다(Kuner, 2011). 마지막으로 국가 안보 목적을 위해 국가 안보와 관련된 데이터의 국외 이전을 금지하는 것도 데이터 현지화와 관련이 있을 수 있다고 지적하고 있다(Meltzer&Lovelock, 2018).

< 데이터 현지화 규정 예시 >

국가	주요 내용
EU	개인 정보 보호에 관한 EU의 법률은 "적절한"보호 수준을 제공한다고 결정한 EU 외부의 제 3 국으로 만 이러한 데이터를 전송 가능
미국	2015 년 모든 클라우드 컴퓨팅 서비스 제공 업체는 미 국방부의 부서에서 사용되는 데이터는 로컬로 저장되어야 한다고 규정
러시아	러시아는 개인 데이터를 수집하는 데이터 운영자를 의무화하는 개인 정보 보호법을 제정 개인 데이터는 러시아에 처음 저장 된 후에 만 국외로 이전될 수 있음
중국	E-BANKING, 개인건강 및 의료정보, 보험정보, 지도 정보, 온라인 퍼블리싱, 인터넷 통신기록, 개인정보, 클라우딩 컴퓨터 서버 및 기술은 중국내에서만 보관 2017년 데이터를 외국으로 이전하기 위해서는 안전성 평가를 받도록 규정. 만약 국방, 과학기술 등에 위협 등 사회안전을 해치는 데이터는 외부로 반출을 금지

(출처 : ITIF, 2017 인용)

다. 데이터 이전 규제가 미친 효과

경제적 효과

데이터 현지화는 자국데이터에 대한 보호를 위하여 위험성이 높은 데이터를 이전하는 것을 제한하는 긍정적 역할을 하지만, 과도한 제한은 개인, 회사, 경제에 상당한 비용을 부과할 수 있다.

ITIF(2017) 보고서에 따르면, 자국 국민의 개인정보보호와 사이버 보안 위협 해소, 법집행, 자국 산업의 보호를 위한 목적이든간에 데이터의 흐름을 규제하는 것은 경제 활동에 영향을 미치고 있다고 지적하면서, 데이터의 현지화 정책은 경제에서 데이터가 수행하는 기본적 역할을 제한하여 기업 경쟁력 및 경제적 생산성을 저해한다고 주장하고 있다.

동 보고서는 "데이터 보호주의"는 글로벌 경제아래에서 기업에게 IT 서비스에 필요한 것 이상을 사용하게 하여 기업의 경쟁력을 떨어뜨릴 수 있다고 지적하고 있다. 예를들어, 기업은 데이터 센터를 여러 곳에 설치해야 하고, 이러한 여러 국가에 데이터 센터를 설치하는 것은 중복적이므로 상당한 부가적인 비용을 초래할 수 있다. 또한, 국가간 서로 다른 규제체계 때문에 개인정보 처리에 많은 시간을 소비해야 하기 때문에 생산성이 떨어질 수도 있다. 아울러, 외국 기업에 불리한 디지털 보호주의 정책을 통해 인위적으로 국내 기업을 지원하는 국가들은 글로벌 시장에서의 경쟁력을 떨어질 수 때문에 크게 성장하기 어렵다고 주장하고 있다.

바우어외 의 연구(2014) 에 의하면 외국인의 데이터, 상품과 서비스 제공자를 차별하는 데이터 현지화 요구사항 및 데이터 개인정보보호 관련 법령 제정이 GDP에 미치는 영향을 분석하였는데 이러한 개인정보보호 법령은 국가 GDP에 부정적인 영향을 미친다고 밝히고 있다.

Leviathan Security Group(2015) 에 의하면, 강제적으로 데이터 현지화를 규정하는 등 데이터의 이전에 제한을 두고 있는 국가에서 사업을 하기 위해서는 컴퓨터 장치 등의 설치 등을 위한 필요성에 따라 그렇지 않은 경우보다 비용을 30~60% 더 지불해야 한다고 설명하고 있다. 또한 동보고서는 만약 브라질이 2014년에 데이터 현지화를 추진할 경우 클라우드 서비스를 사용하는데 세계 최저 비용과 비교하여 평균적으로 54% 더 많은 비용이 드는 것으로 나타난다고 주장하였다. 만약 유럽이 데이터 현지화 규정을 제정하는 경우에는 1GB 및 2GB에 대해서는 비용을 지불하지 않아도 되지만 4GB 이상 서비스에 대해서는 최대 36% 까지 지불해야 한다고 지적하고 있다. 데이터 현지화를 사용하여 유럽에서 클라우드를 생성한다면 4GB 이상에서는 10.5%의 비용 증가가 있을 것으로 예측하고 있다.

2013년 ECPICE 보고서에 따르면, GDPR이 제정되는 경우, 비록 이 시기가 GDPR이 확정된 시기는 아니어서 명확한 판단은 할 수 없지만 국경간 데이터의 흐름의 제한에 따라 EU의 GDP를 -1.8%를 감소시키는 부정적인 영향을 줄 수 있다고 주장하였다. 동 보고서는 국내 경제에 비해 상대적으로 낮은 무역의존도로 인하여 무역 감소에 의한 것보다는 생산성 손실에 의한 경제에 미치는 효과가 크다고 설명하고 있지만, 무역의존도가 큰 일부 국가에는 큰 타격을 줄 수 있다고 지적하고 있다. 데이터의 국경간 흐름의 제한은 EU와 같은 경쟁적이고 대규모인 경제에 대해서조차도 심각한 해로운 영향을 미칠 수 있다고 설명하고 있다.

우선, 개인정보에 대한 규제 수준이 증가할 수록 GDP에 미치는 부정적인 영향은 크게 나타난다고 보고서는 설명하고 있다. 국경간 데이터 이전을 EU와 유사한 수준을 갖는 국가로만 제한할 경우 최대 1.3%의 GDP 손실이 예측되며, 여기에 잊혀질 권리까지 도입된다면 최대 3.9%의 GDP 손실을 EU에게 가져다 줄 수 있다고 설명하고 있다. EU는 데이터 규제에 따른 생산성과 무역 손실로 인한 부정적인 영향을 상쇄하기 위해 최소 95 억 유로의 비용 절감을 가져와야하며, 최종 민간 소비가 13 % 증가해야만이 이런 부정적 영향을 상쇄할 수 있다고 보고서는 지적하고 있다.

< GDPR 도입이 EU GDP에 미치는 영향 >

시나리오 1은 미국기업의 해외에서의 비용,  시나리오 2의 경우 국경간 데이터 이전을 EU와 비슷한 국가로만 제한하는 경우,  시나리오 3의 경우 잊혀질 권리를 도입하는 경우

(출처 : ECPIE, The economic importance of getting data protection right p.20 인용

아울러, Christensen 외(2013) 에 따르면 EU가 GDPR을 도입하는 경우 DPO의 임명 등을 고려하면 중소기업의 평균적 비용은 3,000 유로에서 7,200유로가 추가로 소요되며 이것은 중소기업 1년 IT 예산에서 16~40%에 해당한다고 지적하고 있다. 특히, GDPR 제정으로 다이렉트 마케팅을 하는 기업의 경우가 가장 손해를 많이 보는데 마케팅 방식을 바꾸거나 다른 방식을 활용하기 때문에 EU 기업들은 660억의 매출 손실이 예상된다고 지적하였다. EU GDP의 1.34% 인 1730 억 유로의 GDP를 줄이고 EUl일자리의 1.3%인 280만개 일자리가 감소 것으로 예측하였다.

다른 한편으로는, GDPR 이전에는 EU에서 사업을 하기 위해 28개 국가의 개인정보보호법을 따라야 했으나, GDPR 시행으로 하나의 규정만 준수하면서 얻는 경제적 효과는 약 230억 유로에 이를 것으로 추정하는 등 긍정적 효과도 있다고 지적하고 있다(NIA, 2018)

개인정보 보호 측면 효과

코헨(Cohen) 외 (2017)에 따르면, 데이터의 현지화는 오히려 개인정보보호를 어렵게 하는 요소가 될 수 있다고 지적하고 있다. 첫째, 데이터 현지화는 데이터의 분산을 통하여 기업들이 데이터 개인 정보 보호 및 보안에 대한 통제권을 행사하기가 어려워질 수 있다고 주장하고 있다. 왜냐하면, 다수의 데이터 센터를 만들고 유지 보수해야 하기 때문이라고 설명하고 있다. 이것은 기업이 갖고 있는 개인정보 관리 능력 및 지식을 활용하지 못하도록 할 수 있기 때문이라고 지적하면서, 특히, 보안 통제나 언어에 장벽이 있거나, 훈련 받은 직원의 가용성이 떨어지거나, 하드웨어 또는 부품에 대하여 접근이 즉시 어려운 장소에 데이터를 저장하는 경우 고장에 적시 대처하기 어렵고 부정확한 정보가 발생할 위험이 더 크기 때문이라고 지적하고 있다.

또한, 글로벌 기업의 경우 어떤 식으로든 일부 데이터를 기존 데이터 센터에 전송할 가능성이 있기 때문에 데이터가 저장되는 횟수가 늘어나고 데이터를 최신 상태로 유지하기 위해 수정하거나 삭제해야할 횟수가 늘어나기 때문에 보안에 취약해 질 수 있다고 지적하고 있다. 예를 들어, 삭제 요청이 여러개의 서버에서 이루어지는 경우 일부 서버에서는 최신화가 안되는 경우가 있을 수 있고, 일부 수정사항 등이 모든 데이터 센터에 적용되지 않고 일부만 적용될 가능성이 있기 때문에 데이터의 관리가 어려워져서 효과적인 개인정보의 관리가 이루어지지 않을 수 있다고 설명하고 있다.

Ⅴ. 국내 개인정보 보호 정책

1. 개 요

우리나라의 개인정보보호 체계는 개인정보에 관한 일반법인 개인정보보호법이 있고 분야별로는 정보통신망법, 신용정보법 등에 개인정보 보호 관련사항을 규정하는 체계로 되어있다.

최근 잦은 개인정보 침해․유출 사고에 따라 사전․사후규제가 강화되는 추세에 있다. 특히, 우리나라는 제도적으로 개인정보 보호를 위한 매우 엄격한 조건을 부여하고 있으며, 주요국과 대비하여 개인정보 보호 수준이 매우 높은 것으로 평가되고 있다(김수연, 2015).

2. 법제 주요 내용

우리나라의 경우에는 개인정보보호법 및 정보통신망법에 따르면,“개인정보란 살아있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상을 통하여 개인을 알아볼 수 있는 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것)를 말한다.”고 정의하고 있다. 따라서, 개인정보의 범위를 “식별성 또는 식별가능성”을 고려하여 판단하여야 한다고 지적되고 있다(한국법제연구원, 2017).

개인정보보호법 제2조 1항 및 정보통신망법 제2조 제1항 제6호

우리나라의 개인정보보호 체계는 EU 같이 사전에 이용자에게 개인정보 처리 목적 등을 고지하고 사전 동의를 받아야 하는 opt-in 방식을 채택하고 있다. 개인정보의 수집․이용․제공 및 제3자 제공을 위해서는 이용자에게 고지 후 동의를 받도록 하고 있다. 예외적으로는 계약을 이행하기 위하여 필요한 개인정보로서 경제적 또는 기술적인 이유로 통상의 동의를 받는 것이 어려운 경우, 요금정산을 위해 필요한 경우, 다른 법률에 특별한 규정이 있는 경우에는 사전동의없이 이용자의 개인정보를 수집 할 수 있다고 규정하고 있다. 또한, 더나아가 개인정보를 수집 목적외로 이용하는 것을 금지하고 있다.

정보통신망법 제22조, 제24조의2

정보통신망법 제22조 2항 1호

정보통신망법 제22조 2항 2호

정보통신망법 제22조 2항 3호

정보통신망법 제24조

또한, 민감정보에 대하여서는 원칙적으로 수집을 금지하고 있으며, 이이용자의 동의를 받거나 다른 법률에 규정이 있는 경우에만 한하여 수집을 허용 하고 있다.

정보통신망법 제23조

또한, 정보통신서비스의 제공을 위하여 정보통신 서비스의 제공을 위하여 최소한으로 개인정보를 수집할 하도록 하고 있으며, 이용자가 필요한 최소한의 개인정보 이외의 개인정보를 제공하지 아니한다는 이유로 그 서비스의 제공을 거부하여서는 아니 된다고 규정하는 등 개인정보의 최소 수집원칙과 이에 따른 이용자 권익을 보장하고 있다 .

정보통신망법 제23조2항

정보통신망법 제23조3항

3. 빅데이터에 대한 접근

빅데이터 개인정보보호 가이드라인

정보통신망법 등 개인정보보호 관련 법령상 개인정보 수집 및 이용을 위해서는 이용자의 사전동의가 필요하나, 빅데이터 처리시에는 사전동의를 얻기가 쉽지 않기 때문에 프라이버시 침해 우려가 제기 되었다(방송통신위원회, 2014)

이에, 방송통신위원회에서는 2014년 빅데이터 시대에 개인정보의 오․남용을 방지하면서 산업활성화를 도모하기 위해 빅데이터 가이드라인을 제정하였다. 사업자들에게 현행 법령내의 테두리내에서 공개된 정보 등을 합법적으로 수집․활용할 수 있는 기준을 마련하였으며 사업자들에게 규제의 불확실성을 제거하기 위한 목적이라고 방송통신위원회는 설명하고 있다.

동 가이드라인 사업자 등에게 새로운 의무를 부과하지 않되, 현행 법규내에서 빅데이터 처리시에 개인정보 보호를 위해 사업자가 지켜야 할 구체적인 기술적ㆍ절차적 사항을 규정하였다. 빅데이터 처리 과정에서 수집된 정보를 특정 개인을 식별하기 어렵도록 하는 ‘비식별화’ 조치를 취한다면 이용자 동의 없이 수집·활용이 가능하도록 했다.

< 가이드라인 주요 내용 >

① 개인정보가 포함된 공개된 정보 및 이용내역정보는 비식별화 조치를 취한 후 수집‧저장‧조합‧분석 및 제3자 제공 등 가능

② 개인정보 취급방침을 통해 비식별화 조치 후 빅데이터 처리 사실‧목적‧수집 출처 및 정보 활용 거부권 행사 방법 등을 이용자에게 투명하게 공개

③ 빅데이터 처리 과정 및 생성정보에 개인정보가 재식별 될 경우, 즉시 파기하거나 추가적인 비식별화 조치토록 함

④ 특정 개인의 사상·신념, 정치적 견해 등 민감정보의 생성을 목적으로 정보의 수집‧이용‧저장‧조합·분석 등 처리 금지

⑤ 비식별화 조치가 취해진 정보를 저장‧관리하고 있는 정보 처리시스템에 대한 기술적‧관리적 보호조치 적용

(출처 : 방송통신위원회 2014.12.23 보도자료)

빅데이터는 다양한 정보의 결합으로 식별가능성이 높아지기 때문에 비식별화 조치와 비식별화에 따르는 절차 등을 규정하여 정보통신망법의 개인정보의 규율 범위 등을 명확하게 하였다는 점에서 의미를 갖는다. 동 가이드라인은 관계 부처 합동으로 마련된 개인정보 비식별 조치 가이드라인이 발표된 이후에 폐지 되었다(방송통신위원회 웹사이트).

관계부처 합동 개인정보 비식별 조치 가이드라인

2016년 6월 30일에 국무조정실, 방송통신위원회 등 관계 부처 합동으로 빅데이터 활용과 개인정보보호의 균형을 모색하기 위하여 개인정보 비식별 조치 가이드라인 을 발표하였다.

가이드라인은 정보주체를 알아볼 수 없도록 비식별 조치를 적정하게 한 비식별 정보는 개인정보가 아닌 것으로 추정되기 때문에 빅데이터 분석 등에 활용이 가능하지만, 다만, 비식별 정보도 기술발전, 데이터 증가 등에 따른 재식별 가능성이 있음을 고려하여 재식별 방지를 위한 관리적ㆍ기술적 안전조치 등을 통해 안전하게 관리되어야 한다고 설명하고 있다.

비식별 조치를 위하여 4가지 단계를 거치는데 사전검토-비식별조치-적정성 평가-사후관리 등의 4단계로 나누고 있다.

< 비식별 조치 단계 >

구분	주요내용
사전 검토	개인정보에 해당하는 지 여부 검토 후 , 개인정보가 아닌 경우 법적 규제 없이 자유롭게 활용
비식별 조치	정보 집합물에서 개인을 식별할 수 있는 요소를 전부 또는 일부 삭제하거나 대체하는 등을 통해 개인을 알 아 볼 수 없도록 조치
적정성 평가	다른 정보와 쉽게 결합하여 개인을 식별할 수 있는 지를 비식별 조치 적정성 평가단을 통해 평가
사후관리	재식별 가능성 등을 모니터링하여 재식별 방지를 위한 조치 수행

(출처 : 2016 개인정보 비식별 조치 가이드라인)

동 가이드라인은 개인정보보호 법령에서 개인정보의 판단기준으로 제시하고 있는 “개인 식별 가능성”에 대한 경계를 명확히 하여, 빅데이터에서 개인정보 침해를 줄이고 개인정보의 활용을 원활하게 하자는 취지로 제정되었다.

온라인 맞춤형 광고 개인정보보호 가이드라인

방송통신위원회는 2017년 온라인 맞춤형 광고로 인한 개인정보 침해 위협을 최소화하고 맞춤형 광고 생태계를 조성하기 위해 개인정보보호 원칙과 조치 방법을 제시하는 온라인 맞춤형 광고 개인정보가이드라인을 발표하였다.

동 가이드라인에서는 사업자가 준수해야할 4가지 원칙을 제시하고 있다. 1) 행태 정보 수집․이용의 투명성, 2) 이용자 통제권 보장, 3) 행태 정보의 안전성 확보, 4) 인식확산 및 피해구제 강화를 주요 골자로 하고 있다.

< 온라인 맞춤형 광고 개인정보보호 가이드라인 >

1) 행태 정보 수집․이용의 투명성,

- 사업자는 이용자가 온라인상에서 자신의 행태정보가 수집, 이용된다는 사실을 쉽게 알 수 있도록 해야함

- 필요 최소한의 범위에서 행태 정보를 수집해야 함

- 행태 정보를 개인 식별 정보와 결합하여 사용할 경우 이용자에게 사전동의를 획득해야함

2) 이용자 통제권 보장,

- 이용자가 맞춤형 광고의 수신 여부를 쉽게 선택할 수 있도록 다양한 방법을 제공하여야 하고, 다른 사업자가 운영하는 웹사이트에서 앱을 통하여 광고를 전송하는 경우에는 화면이나 링크를 통해 직접 수신여부를 선택할 있게 하여야함

3) 행태 정보의 안전성 확보

- 행태 정보의 보호를 위하여 기술적․관리적 보호 조치를 취해야함

- 목적 달성에 필요한 최소한 기간 동안만 행태정보를 보관

4) 인식확산 및 피해구제 강화

- 맞춤형 광고 및 행태 정보 보호에 대한 안내 강화

- 이용자의 문의와 개인정보 침해 관련 요구를 처리하기 위해 피해 구제 기능을 운영하여야함

(출처 : 방송통신위원회(2017), 온라인 맞춤형 광고 개인정보보호 가이드라인)

4. 개인정보 국외이전 규제

우리나라는 개인정보 국외이전에 대하여 대단히 엄격한 태도를 취하고 있다. 우리나라 기업이 외국으로 개인정보를 이전시키려면 기업의 형태 및 이전 목적 등에 상관없이 반드시 동의의 절차를 거쳐야 하기 때문이다(정보통신망법 제63조, 개인정보보호법 제17조).

가. 개인정보보호법

개인정보보호법은 개인정보 국외이전의 전반에 대하여 규율하지 않고, 개인정보처리자가 국외의 제3자에게 개인정보를 제공하는 경우를 규율하고 있다. 개인정보 처리자는 개인정보의 국외 이전을 위해서는 이를 개인정보 주체에게 알리고 동의를 받아야 한다고 규정하고 있으며, 특히, 개인정보보호법을 위반하여 국외 이전에 관한 계약을 체결하여서는 안된다고 규정하고 있다. 아울러, 정부는 개인정보 국외이전으로 인하여 정보주체의 권리가 침해되지 아니하도록 시책을 마련하도록 규정하고 있다.

개인정보보호법 제17조3항

개인정보보호법 제17조3항

개인정보보호법 제14조

나. 정보통신망법

현행 정보통신망법에 따르면 개인정보를 국외로 이전하는 경우에는 엄격한 보호절차를 따르도록 규정하고 있다. 예를 들어, 이용자의 동의없이는 개인정보를 국외로 이전할 수 없고, 개인정보를 이전받는 경우에도 개인정보보호를 위한 기술적․관리적 조치를 취하여야 한다다만, 서비스의 제공에 관한 계약을 이행하고 이용자 편의 증진 등을 위하여 필요한 경우. 전자우편 등으로 알린 경우에는 개인정보 처리위탁·보관에 따른 동의절차를 거치지 않을 수 있다고 규정하고 있다. 정보통신망법은 개인정보의 국외 이전 측면에 있어서 사실상 개인정보의 활용보다는 ‘이용자 보호’에 중심을 두어 개인정보의 국외 이전을 억제하려는 태도를 취하고 있다고 볼 수 있다(구태언, 2013).

정보통신망법 제63조 2항

정보통신망법 제63조4항

또한, 이용자의 개인정보를 이전하기 위해서는 1) 이전되는 개인정보 항목, 2) 개인정보가 이전되는 국가, 이전일시 및 이전방법 3) 개인정보를 이전받는 자의 성명 4) 개인정보를 이전받는 자의 개인정보 이용목적 및 보유·이용 기간 등을 명시하여 사전에 이용자의 동의를 받아야 한다. 특히, 개인정보를 이전하는 경우에는 1) 개인정보보호를 위한 기술적·관리적 조치, 2) 개인정보 침해에 대한 고충처리 및 분쟁해결에 관한 사항 등의 보호 조치를 취하여야 하며 이러한 사항에 대하여는  개인정보를 국외에서 이전받는 자와 미리 협의하고, 이를 계약내용 등에 반영하여야 한다고 규정하고 있다. 2016년에는 이용자의 동의없이 개인정보를 국외로 이전한 정보통신서비스 제공자등에 대한 위반행위와 관련한 매출액의 100분의 3 이하의 과징금을 부과하는 제재 규정을 마련하는 등 이용자 개인정보보호의 국외이전에 대한 규제를 한층 강화하였다

정보통신망법 제63조 2항

정보통신망법 시행령 제67조2항

정보통신망법이 개인정보의 국외이전의 목적과 관계없이 정보주체의 사전 동의를 요구하고 있지만, 개인정보보호법은 ‘국외의 제3자에게 제공’할 때에만 정보주체의 동의를 얻도록 하였다는 점에서 정보통신망법과 차이가 있다(구태언, 2013)

다. APEC 활동

우리나라의 방통위와 행자부는 ‘국경 간 프라이버시 집행협정(CPEA)’에 각각 2014년과 2011년에 각각 가입하였다. 또한, 2017년에는 APEC CBPRs도 가입하여 개인정보 침해에 협력체계를 구축하는 등 개인정보의 국경간 이전에도 효율적으로 대처중에 있다.

< APEC CPEA 주요 기능 >

- 개인정보 감독기관간 정보 공유 촉진

- 개인정보보호 법률의 국경간 집행을 위한 메커니즘 제공

- APEC 역외의 개인정보 조사 및 집행을 위한 정보공유 및 협력 촉진

(출처 : APEC 웹사이트)

Ⅵ. 국외 개인정보보호 정책

1. 글로벌․지역별 이니셔티브 연혁

가. 글로벌 이니셔티브

OECD가 개인정보 보호 및 국외이전을 다루는 최초의 지침(Privacy Guideline)을 1980년에 제정하였다. 가이드라인은 구속력은 없지만, 회원국으로 하여금 개인정보보호를 위한 최소한의 기준을 수용하고 최소한의 기준을 갖추도록 하여 국가들이 국경을 통과하는 데이터 흐름을 제한하도록 하는 요소를 제거하려는 목적으로 제정되었다. 1980 년 가이드 라인 채택 이후 글로벌 서비스의 출현 등에 따른 인터넷을 통한 국외 서비스의 활용이 활발해지고 모바일 디바이스, 클라우드 등 개인정보의 유통기술이 발달해 짐에 따라 개인정보처리자에 대한 책임의 원칙을 강조하는 등의 내용을 담아 2013년에 권고안을 개정하였다.

OECD Guidelines, Explanatory Memorandum, para. 25.

UN은 1990년 컴퓨화된 개인정보에 관한 가이드라인을 발표하였는데, 개인정보 보호에 필요한 최소한의 원칙을 권고하고, “개인정보가 한 국가에서 다른 국가로 전달될 때 해당 국가들에 개인정보보호에 관한 충분한 보호대책들이 마련되어 있다면 정보는 관련국가들 내에서 가능한 한 자유롭게 전달·처리될 수 있어야만 한다”고 규정하였다.

Guideline part 3

1995 년에 발효 된 세계 무역기구 (WTO) 일반 서비스 협정(GATS)에 국경간 데이터 이전에 대한 내용이 규정되어 있는데, "개인의 프라이버시 보호"와 관련한 개인 정보의 처리와 제공, 개인 기록 및 계정의 보호를 위해 필요한 경우에는 무역 제한을 허용한다고 하였다. 따라서, 데이터의 국경간 이전은 GATS의 조사로부터 면제되었다.

GATS Article XIV(c)(ii).

1981년에 유럽평의회(Council of Europe)은 개인정보의 자동처리에 관한 개인정보보호 헌장(Convention 108)을 제정하였다. 비록 헌장은 유럽평의회에 의해 제정되었지만, 어떤 국가든지 회원이 될 수 있으며 현재는 47개국이 가입하고 있다. “오직 사생활 보호를 위하여 국경간에 데이터 국경간 이전을 제한 해서는 안된다고 규정”하였지만, 협약의 당사국의 법령이 개인정보의 성격 때문에 특정 유형의 개인정보에 대해 특별한 규정이 있는 경우에 예외를 인정하였다. 2001년 유럽 평의회는 '적절한 수준의 데이터 보호'가 보장되는 경우에만 회원국이 비 회원국에게 개인 정보를 이전하도록 허용하는 협약 추가 의정서를 채택했다. 다만, 데이터 주체의 특정 이익, 공공의 이익 등을 위해서는 예외적으로 개인정보의 국외이전을 허용하였다. 현재는 정보통신 기술의 발달, 데이터 국경간 이전의 증가 등 시대변화에 맞추어 협약의 현대화(modernization) 및 국제화(Globalization) 를 추진중에 있다.

지역별 이니셔티브에 가깝지만 전 세계 국가가 회원국이 될 수 있다는 측면에서 글로벌 이니셔티브로 구분

Article 12.2

Conventtion 108 Article 12.2 and 12.3

Article 2.1

Explanatory report para. 31

나. 지역별 이니셔티브

1995년에 유럽 국가간에 규제 수준의 균형을 맞추기 위하여 EU 개인정보보호 지침을 제정하였다. EU 내에서는 개인정보 보호 수준에 따른 국경간 이전이 제한되지 않지만, 제3국으로 이전할 때에는 적절한 보호 수준 갖추거나 다른 조건을 충족한 갖춘 국가에만 허용하도록 하였다. 하지만, EU 개인정보보호 지침은 법적인 구속력이 없었기 때문에 회원국별로 서로 다른 이행방식을 택하여 국가별로 개인정보 이전 규제에 상당한 차이기 있음에 따라, 2018년에 법적인 구속력을 갖고 EU 단일체계인 GDPR을 제정하였다.

EU Data Protection Directive, Article 1(2).

2004 년에 아시아 태평양 경제 협력체 (APEC) 은 사생활 보호 프레임워크를 발표하였다. APEC은 국외 이전에 대하여 명시적으로 규정하진 안았지만, 책임성 원칙에 의하여 국외로 이전된 개인정보를 보호하도록 규정하였다. 최초의 개인 정보 수집자가 개인정보가 이전된  기관이나 단체와 상관없이 개인정보가 최초로 수집된 장소의 프라이버시 프레임워크에 대한 책임을 지게 하였다. 또한, APEC 프라이버시 프레임워크는 데이터 처리 위치에 관계없이 기업간에 데이터 보호를 적용하기 위한 방법으로 Cross Border Privacy Rules (CBPR)을 채택 할 수 있도록 하였다.

2. 글로벌․지역별 이니셔티브의 장․단점

글로벌․지역별 이니셔티브는 문화적, 규제가 제정될 당시의 상황, 경제적 특성 등에 따라 다르게 규율되었으며 각각 장단점을 갖고 있다. 각 이니셔티브 들은 상호간에 영향을 주고 받으면서 제정 수정되었으며, 각국의 개인정보 법령을 제정하는데 있어 상당한 영향을 주고 있다.

< 글로벌․지역별 이니셔티브의 장․단점 >

구분	장점	단점
OECD	-기본 원칙이 각국에서 폭 넓게 반영됨 -데이터의 보호와 국경간 데이터 이전 사이에 균형 추구 - 다양한 그룹으로부터 폭넓을 지지를 받고 있음	- 비례성 원칙(데이터 최소화 원칙) 미반영 - 비구속적인 규정□ - OECD 회원국에만 적용됨.
UN	-가입국가 수가 많아서 세계적으로 영향력이 있음 -프라이버시를 인간의 기본권으로 간주	- 내용이 광범위하여 구체적으로 적용될 필요가 있음
CoE	- 다수의 국가에 적용됨 -기본원칙이 다수의 국가에서 폭넓게 반영됨 -원칙 구속력이 있음	- 유럽의 역사적 기반을 두고 있음 - 미국과 같은 다른 국가의 제도를 수용하는데 한계
EU	-EU 내에서 일관성있고 단일한 기준 -데이터 보호를 기본권으로 간주 - 다양한 방법에 의해 상호호환성 추구	- 등록요구조건은 기업들에게 장애 요인 - 이해관계자별로 요구 수준도 일관성이 없음
APEC(CBPRs)	-APEC은 회원국이 넓고 다양하기 때문에 큰 경제적 시장을 이루기 위한 제도로써 잠재력 가짐 - APEC CBPRs는 미국이 관련되고 미국이 지원하는 데이터 보호 이니셔티브 중 하나 - APEC CBPRs는 유연성을 가짐	- 시스템이 자발성에 의존 - 회사의 등록요구 및 연회비 - 각국이 다양한 개인정보보호 법제를 채택했기 때문에 확산이 어려울 가능성
무역 협정	- 다양한 국가에서 관여 - 구속력이 있어서 상호호환성 확보에 유리	- 복잡하고 은밀한 협상 방식 - 분쟁해결에 많은 시간이 소요됨

(출처 : UNCTAD data protection regualtions and international data flows 내용을 재구성 )

3. 이니셔티별 정보보호의 특성

UNCTAD 보고서(2016)에 따르면, 각 국제기구별로 개인정보보호 문제를 다루는데 있어 다양한 측면에서 차이가 나타나고 있다고 지적하고 있다.

우선, 국가별로 개인정보보호에 대한 예외 인정범위에서 상당한 차이가 나타난다고 설명하고 있다. 데이터의 크기 및 특성, 이를 사용하는 기업의 규모 등에 따라 광범위한 예외를 인정하고 있다. 예를 들어, 호주 및 캐나다 등은 소기업에 대하여 일본은 5,000개 미만의 규모가 작은 데이터에서는 개인정보보호법 적용을 예외로 하고 있다. 데이터 주체의 유형, 데이터의 민감도, 데이터 출처 등에 따라 예외 규정을 두고 있다고 지적하고 있다. 이는 기업이나 규제기관에게 개인정보의 국외 이전 등에 있어서 서로 다른 방식으로 데이터를 식별하고 분류 할 것을 요구하기 때문에 따라 행정 비용이 증가할 수 있고, 국가간에 규제의 차이에 따라 개인정보가 제대로 보장이 되지 않을 수 있으며 이에 대한 분쟁을 초래할 우려가 있다고 설명하고 있다. 둘째, 현재의 개인정보 규정이 새로운 기술의 발전을 유연하게 수용하고 있는지도 특성에 따라 다르게 나타난다고 지적하였다.

아울러, 국가간에 개인정보 국외이전을 어떻게 허용하는지에 있어서도 상당한 차이가 있다고 설명한다. 전 세계적으로 국경 간 개인정보 이전에 관한 규제가 있어야 한다는 일반적으로 공감되가 형성되었으나, 이 문제에 대한 해결방법으로 다양한 접근 방식이 존재하며 이를 관리하기위한 단일 글로벌 모델은 없다고 지적하고 있다. 미국 등 일부 국가는 개인 데이터를 외국 관할 구역으로 이전하는 데 전혀 제한이 없는데 반해, 대부분의 국가에서는 일종의 제한이 있으나 예외를 규정하고 있다.

개인정보의 국외이전에 관한 입장으로는, “① OECD와 같이 원칙적으로 개인정보의 국외이전을 허용하되 예외적으로 개인정보 국외이전을 제한하는 측면과 ② EU와 같이 원칙적으로는 개인정보의 국외이전을 제한하고 예외적으로 개인정보의 국외이전을 허용하는 시각으로 나뉜다” 고 설명하고 있다(김경환, 2016). 이러한 시각에 따라서 각종 법률에서 규정하고 있는 개인정보보호 내용이 달라지게 된다.

개인정보의 국외이전 규제의 특징은 국가 또는 지역에 따라 다양한 법적 전통과 문화에 따라서도 달라지게 되는데, 예를 들어 EU는 개인정보의 보호를 기본적 인권으로 간주하는 반면에, APEC 프라이버시 프레임워크는 단지 전자 상거래의 잇점을 실현한다는 데에만 초점을 맞추고 있다(Kuner, 2011). APEC은 오히려 국경간 정보흐름을 저해하는 장벽을 만들지 않기 위해 적절한 조치를 취해야 한다고 규정하고 있다.

UNCTAD 보고서는 개인정보의 국외이전에 있어서의 예외 인정에서도 각각 제도별로 다양한 차이가 나타나고 있다고 지적하고 있다. 시간이 지나면서 개인정보의 국경간 이전에 있어서는 통상적으로 예외가 나타나고 있는데, 우선, ①정보주체와 개인정보 처리자, 개인정보 처리자와 3자 사이에 계약의 이행을 위해서 필요한 경우, ②둘째, 법적 절차를 목적으로 하거나 법적인 조언을 구하거나 법적 권리를 확립, 행사 또는 방어하기위한 경우, ③정보 주체의 중요한 이익을 보호하기 위해 필요한 경우에 일반적으로 일시적인 예외로 인정되고 있다고 설명한다.

하지만, 특정 조건을 만족시키는 경우에 국경간의 개인정보 이전 규정을 적용하는 예외를 두는 등 개인정보의 국외이전에 다양한 접근법을 취하고 있다고 설명하고 있다. 첫째는 적절성 평가 방식인데, '적절성' 접근법은 화이트리스트 접근법으로 불리며, 개인정보를 이전받는 주체가 이전받는 개인정보에 대해 충분한 보호를 제공하는지 여부를 판단한다. 둘째는 개인정보를 지리적으로 접근하는지(Geographically-based regulation) 또는 기업중심으로 규제(organisationally-based regulation) 하는지 여부에도 큰 차이가 있다.  EU의 적절한 보호 수준 판정에 따른 개인정보 이전은 국가나 지역에 따라 개인정보 수준을 평가하여 개인정보 이전을 허용하는 지리적 기반 접근 방식이며, 특정 회사가 개인 데이터 (일반적으로 전체 기업 그룹 내에서)의 이전에 대해 충분한 보호를 제공하는 수준과 절차를 갖추어 었는지 확인하는 EU BCRs, APEC 의 CBPRs은 기업 중심 접근법이라 할 수 있다. 셋째, '모델 계약'접근 방식은 계약서에 나타나는 구체적인 표현이 개인 데이터의 전송에 대해 충분한 보호를 제공하는지 평가하여 개인정보 국외 이전을 허가하는 방식인데, 이것은 EU에서만 사용되고 있다. 또한, '동의' 접근법은 개별 소비자가 외국으로 데이터를 이전하는 것에 정보주체가 동의 하였는지 여부를 통해 개인정보의 국외이전을 허용여부가 결정되는 방식이다.

< 예외 접근법에 따른 장․단점 >

접근법	강점	단점
적절성 접근법	적합성을 인정받은 국가에 포괄적인 데이터 이전이 가능 상호호환성과 조화 가능 투명하고 열린 방식(화이트 리스법)	적합성 판정을 받지 못한 국가에는 상당한 문제 발생 다른 데이터 접근방식을 사용하는 국가는 적절성 판정을 받기 어려움 적절성 판정까지 긴 시간이 소요됨
Binding rules (BCRs, CBPRs)	회사간에 자유로운 데이터 이동을 가능하게 함 사기업에서 모범적인 처리지침을 증진하고 감시를 가능하게 함 참여하고 있는 기업에 대한 리스트가 공개되어 있어 투명함	승인 받기 까지 시간이 오래걸리고 비용소요가 많음 참여하고 있지 않은 그룹외로의 데이터 이전이 제한됨
Model contracts	상호호환성과 조화를 증진 개별 기업에 의하여 신속하게 처리 가능	적정한 계약 모델을 찾기 어렵고 항상 최신 상태로 유지하여야 함 계약에 의거하기 때문에 투명성이 없음 감시 체계가 한계가 있음
Consent	특정 거래에 있어 신속하고 쉬운 방법 세부적인 분석이나 검토 절차가 필요하지 않음 기업에게 규제 비용이 적음	많은 거래에서 모두 동의 받는 것이 어려울 수 있음 동의에 대한 해석이 달라서 분쟁의 소지가 있음 정보주체와 개인정보 처리자 사이에 힘의 불균형이 존재하는 경우 공정성 문제 발생

(출처 : UNCTAD data protection regualtions and international data flows pp. 14인용 )

또한, 국제기구가 정하여 운영하고 있는 가이드라인이나 규정이 집행력이 얼마나 있는지도 중요한 문제중에 하나이다. APEC, OECD 및 UN의 가이드라인은 지침으로 구속력이 없으나, EU GDPR의 경우는 강제력이 있고 위반시에 천문학적인 과징금을 부과한다. 다만, WTO 의 경우에는 구속성에도 불구하고 데이터 분야의 경우에는 조사가 면제되기 때문에 가장 약한 집행력을 갖는 다고 볼 수 있다.

개인정보보호법은 규제 비용 또한 각각 다르다. 예를 들어, 미-EU 세이프하버, APEC CBPRs, EU의 BCRs 는 개인정보의 수준을 인정받기 위하여 개인정보 책임기관(Accountability office)의 등록 요건을 만족시켜야 한다. 또한, EU GDPR은 기업내에 정보보호 책임자를 반드시 임명하여야 한다. 아울러, 데이터 현지화 정책으로 인하여 데이터 센터나 자회사를 반드시 국내에 위치하여하는 규정도 존재하고 있어 추가적인 비용이 소요된다.

< 국제․ 지역별 이니셔티브 비교 >

구분	very weak	weak	moderate	strong
개인정보의 규제수준 및 차이 고려	무역협정	OECD APEC	UN EU Directive	Convention 108 EU GDPR
신기술 고려		APEC UN Convention 108	OECD 무역협정 EU Directive EU GDPR
국경간 이전		OECD	UN EU DIRECTIVE 무역협정 APEC	CoE convention EU GDPR
집행력	APEC OECD 무역협정	UN	CoE convention	EU GDPR
규제에 대한 부담 수준		UN CoE convention APEC EU Directive EU GDPR	OECD	무역협정

(출처 : UNCTAD data protection regualtions and international data flows pp.28, pp38 인용)

4. 글로벌․지역별 개인정보 이니셔티브 세부 현황

4-1. OECD

OECD 프라이버시 보호 및 개인정보의 국가간 유통에 관한 지침

Guidelines on the protection of privacy and transborder Flow of personal data

가. 개요

OECD는 개인정보보호와 국가간 상거래가 균형을 이룰 수 있도록, 특히, 국가간 정보의 흐름에 대한 제한으로 인한 경제에 미치는 파급효과를 감소시키고 개인정보의 사용증가로 인한 우려를 해결하기 위하여, 1980년에 ‘프라이버시 보호와 개인정보의 국제유통에 대한 가이드라인’을 채택하였다.

‘OECD 가이드라인’은 국제적으로 합의된 최초의 국가간 개인정보에 관한 지침으로, 원칙에 입각하고 기술중립적인 방식으로 작성되었기 때문에 지침은 유연하고 기술 및 사회 변화에도 쉽게 적용될 수 있었다고 평가받고 있다(KISDI, 2015). 이러한 개인정보보호 원칙을 담은 가이드라인은 OECD 회원국뿐만 아니라 그 이상의 국가들에게 관련 법령을 제정하는데 있어서 상당한 영향을 미친 것으로 평가되고 있다(Kuschewsky, 2013). 오늘날 가이드라인에서 규정한 원칙은 각국의 개인정보보호 법령 등에 반영되어 있다(KISDI, 2015).

나. 주요 내용

OECD 가이드라인은 8 가지 개인정보보호를 기본 원칙을 제시하고 있는데, 개인정보를 처리하는 개인정보 처리자의 권리와 의무를 규정하고 있다. 8가지 주요 원칙은 (1) 수집제한의 원칙, (2) 정보정확성의 원칙,(3) 목적명확성의 원칙, (4) 이용제한의 원칙 (5) 안정성 확보의 (6) 원칙공개의 원칙, (7) 개인참여의 원칙, (8) 책임의 원칙으로 구성되어 있다.

Guideline Part 2

< OECD 개인정보보호 8원칙 >

원칙	내용
수집제한의 원칙	개인정보는 합법적이고 공정하고 방법에 의하여 수집되어야 하며 이용자의 동의와 지식을 갖고 적절한 방식에 의하여 이루어 져야 함
정보정확성의 원칙	개인데이터는 그 이용목적에 부합되는 것이어야 하며 이용목적에 필요한 범위안에서 정확하고 완전하며 최신의 것이어야 함
목적명확성의 원칙	개인데이터의 수집목적은 수집시에 명확화되어야 함. 그 후의 이용은 수집목적의 실현 또는 수집목적과 양립되어야 함
이용제한의 원칙	이용자의 동의 또는 법률에 의하지 않으면 개인데이터는 규정된 목적이외의 목적을 위하여 공개, 이용되어서는 안됨
안정성 확보의 원칙	개인데이터는 그 분실 또는 불법적인 액세스, 파괴, 사용, 수정, 개시 등의 위험에 대하여 합리적인 안전조치로 보호되어야 함
공개의 원칙	개인데이터와 관련된 개발, 관행, 정책에 대하여는 일반적인 공개정책을 취하여야 함.
개인참여의 원칙	개인은 개인정보를 수집하고 그 데이터를 삭제하고 개정하고 보완하고 수정할 수 있는 권리를 갖음
책임의 원칙	개인정보관리자는 이러한 조치들에 순응하도록 필요한 조치를 취하여야 하는 책임이 있음

(출처 : Guidelines on the protection of privacy and transborder Flow of personal data)

가이드라인은 회원국에 대하여 “a) 적절한 국내입법 채택하고 b) Code of Conduct 등과 같은 자율규제를 장려하고 지원하여야 하며 c) 개인의 권리행사를 위한 적절한 수단을 제공하여야 한하고, 또한 d) 원칙을 따르지 않는 경우 적절한 제재 및 구제수단을 제공하여야 하며 e) 이용자에 대한 불공정한 차별이 없도록 보장하여야 한다”고 규정하고 있다.

Guideline Article 19.

OECD 가이드라인의 예외는 국가안보 및 공공질서에 관계된 것으로 만 한정하되, 가능한 한 예외는 적게 두어야 하고 관련된 예외에 일반국민에게 알려주어야 한다고 규정하고 있다. 특히, “가이드라인은 최소한의 기준으로 간주하여야 하며 개별 국가는 프라이버시와 개인 자유의 보호를 위하여 다른 조치를 추가할 수 있다“ 고 규정하고 있다.

Guideline Article 4.

Guideline Article 6.

다. 개인정보 국외이전

개인정보의 국외이전과 관련해서는 개인 정보의 국제유통이 저해되지 않고 안전하게 보호하기 위하여 모든 합리적이고 적정한 수단을 강구하여야 하되, 특정 상황에서는 데이터의 이전을 제한할 수 있다고 규정하고 있다.

Guideline part 3

데이터를 이전 받는 국가가 동 가이드라인을 상당하게 준수하지 않거나 그러한 개인정보 이전을 통해 자국의 개인정보보호 법률을 우회하는 경우를 제외하고는 개인정보의 국외 이전을 제한하는 것은 가급적 삼가야 한다고 규정하고 있다. 다만, 예외적으로 회원국의 개인 정보 보호 법률이 다른 회원국이 유사한 수준의 보호를 제공하지 않는 특정 규정을 포함하고 있는 경우에 개인정보의 국외이전에 제한을 가할 수 있도록 하였다.

oecd Guideline Art. 17

또한, 회원국은 오직 개인의 프라이버시와 자유의 보호 때문에 개인정보의 국제유통을 어렵게 하는 법률 또는 정책을 설정하는 것을 억제해야 한다고 규정하고 있다.

oecd Guideline Art. 18

더불어, 회원국은 요청된 경우 가이드라인에 명시된 원칙 준수에 대한 세부 사항을 다른 회원국에 알려야 한다고 규정하면서, 회원국은 또한 개인 정보의 보호 규제 및 절차가 이 지침을 준수하는 다른 회원국의 절차와 호환되는지 확인해야 한다고 규정하고 있다. 아울러, 회원국은 개인정보보호 관련 정보의 교환을 촉진하고 관련 절차나 조사 문제와 관련하여 상호 협조하여 한다고 규정하고 있다.

oecd Guideline Art. 20

oecd Guideline Art. 21

2013년 프라이버시 가이드라인

가 배경

1980 년 가이드라인 채택 이후 글로벌 서비스의 출현 등에 따른 인터넷을 통한 국외 서비스의 활용이 활발해지고 모바일 디바이스, 클라우드 등 개인정보의 유통기술이 발달해 짐에 따라, 이러한 발전으로 개인의 사생활에 대한 위험이 높아져 보다 효과적인 보호 장치의 필요성이 대두되었다. 또한 EU의 기업 바인딩 규칙 (BCR)과 아시아 태평양 경제 협력체의 개인 정보 보호 규칙 시스템 등과 같은 개인 정보 보호 프레임이 나타남에 따라 새로운 개인정보보호 체계를 마련할 필요성이 대두되었다 (Kuschewsky, 2013). 이에따라, 2013년에 OECD 프라이버시 가이드라인을 개정하게 되었다.

나. 주요 변경 내용

가이드라인의 기본 원칙중 에서 개인정보처리자는 다른 7개 원칙들을 준수하기 위하여 필요한 조치를 취하여야 한다고 규정하고 있는데, 개정안 은 개인정보 처리자의 책임과 의무를 명확하게 하기 위한 조치를 추가하였다

2013 oecd Guideline Art. 14

우선, 개인정보보호 관리 프로그램(privacy management system)이라는 개념이 도입되었으며. 개인정보 처리자는 자신이 운용하는 개인정보에 대한 책임 뿐만 아니라, 해당 정보가 누구에게 전달되든지 관계 없이 자신이 운용하던 모든 개인정보 처리에 대한 책임을 지도록 규정하였다.

2013 oecd Guideline Art. 15

2013 oecd Guideline Art. 15

또한, 개정된 지침은 개인정보처리자가 개인 정보에 영향을 미치는 중대한 보안 침해 사실을 인지한 경우에는 개인 정보 보호 집행 또는 기타 권한에 알리도록 규정하고 있다. 하지만, 경미한 경우에도 모든 데이터 보안 위반에 대한 통지하게 되면 개인정보처리자와 정부 당국에 과도한 부담을 줄 수 있으며, 데이터 주체에 대한 과도한 알림으로 인해 데이터 주체가 통지를 무시할 수 있기 때문에 “위험 기반의 통지 접근 방식”을 사용하여야 한다고 제안하고 있다. 특히, "개인 정보에 영향을 미치는 중대한 보안 위반"이 있는 경우에는 당국에 통보해야 하며, 이러한 위반이 개인에게도 부정적인 영향을 미칠 수 있는 경우, 데이터 주체에 대한 위험을 높이거나 법 집행 조사를 방해하는 등의 부적절한 상황이 발생할 수 있기 때문에 개인에 대한 통지도 적절할 수 있는 등 통지요건도 유연해야 한다고 설명하고 있다.

2013 oecd Guideline Art. 15.c)

explanatory memorandum to guidelines

아울러, 보안 침해는 다른 관할 구역에 거주하는 개인의 개인 데이터에 영향을 미칠 수 있기 때문에, 침해 통지 요건을 설계, 구현 또는 수정할 때, 그들의 관할권 밖에 거주할 수 있는 대상 당사자도 고려해야 할 필요가 있다고 설명하고 있다. 따라서, 여러 관할 구역에 중요한 위반 통지를 지원하거나 전파할 수 있는 협력체계를 구축해야 한다고 설명하고 있다(윤재석, 2011).

다. 개인정보 국외 이전

개정 가이드라인에서는 이전 가이드라인과 같이 가이드라인을 준수하고 있는 국가로의 개인정보 이전을 일반적으로 허용하고 있지만, 그러한 과정에서 개인정보처리자의 기술적, 조직적 대책 마련 및 피해구제 절차 등의 보안수준의 유지에 관한 책임성을 요구하고 있다.

개정된 가이드라인은 개인정보처리자에 대한 책임의 원칙을 강조함으로써 개인정보 처리자는 데이터의 위치에 관계없이 자신의 관할하에 있는 개인정보보호에 대해 책임을 지우도록 하고 있다. 또한 개인정보 흐름의 제한은 데이터의 민감성과 처리 목적 및 상황 등을 고려하여 “위험”에 비례하여 이루어져야 한다고 제안하고 있다.

더불어, 전세계적인 차원에서 개인 정보 보호의 일관성과 효과성을 강화할 것을 요구하고 있다. 특히, 개인 정보 보호 프레임워크의 글로벌 상호 운용성을 강조하고 있다. 글로벌 상호 운용성을 통해 조직이 준수해야할 규정을 간소화 할 수 있으며 개인의 권리에 대한 인식과 이해를 향상시킬 수 있다고 설명하면서, 글로벌 상호 운용성을 마련하는 것은 도전적인 과제이지만 개인정보를 보호하면서 데이터 흐름을 용이하게 하는 잇점이 있을 것으로 설명하고 있다. 이를 위해서 개인정보보호 집행 기관의 강력한 글로벌 네트워크가 필요하다고 지적하고 있다.

4-2. UN

UN 컴퓨터화된 개인정보파일의 규율에 관한 지침

가. 배 경

1976 년에 UN "전산화 된 개인 데이터 시스템의 사용으로 발생하는 위협으로부터 개인의 권리를 보호하는 것과 관련된 국제 표준"의 초안을 작성하고 아직 법안을 마련하지 않은 국가에 대해서는 이 "공공 및 민간 부문에서 컴퓨터 화 된 개인 데이터 시스템과 관련된 규칙을 포함하는 적절한 법안을 채택 할 것"을 촉구하도록 결의하였다. 이후 다양한 논의를 거쳐 1990년 12월 UN총회 결의로 ‘컴퓨터화된 개인정보파일의 규율에 관한 지침(Guideline for the regulation of computerized personal data files)’을 만장일치로 채택하여 공포하였다.

가이드라인은 강제력이나 구속력이 있는 지침은 아니지만, 회원국들이 개인정보에 대한 법률안을 마련하는 경우 동 가이드라인은 최소 규정인 점을 고려하여, 각국의 실정에 맞는 이행방안를 채택토록 하고 있다.

나. 주요 내용

가이드라인은 개인정보보호에 관한 6 가지 원칙을 제시하고 있는데, 이는 ① 합법성과 공정성의 원칙(Principle of Lawfulness and Fairness), ② 정확성 원칙(Principle of Accuracy), ③ 목적구체화의 원칙(Principle of the Purpose-specification), ④ 개인접근의 원칙(Principle of Interested-person Access), ⑤ 비차별 원칙(Principle of Non-discrimination),⑥ 안전성 원칙(Principle of Security) 등이다.

< 기본 원칙 >

원칙	주요내용
합법성과 공정성의 원칙(Principle of Lawfulness and Fairness)공정성의 원칙	개인에 관한 정보는 비합법적이고 불공정한 방법으로 수집, 처리되어서는 안되고 UN헌장에 명시된 목적과 원칙에 반해서는 안됨
②정확성 원칙(Principle of Accuracy)	개인정보를 정기적으로 검사하여 수록된 정보가 정확한 정보인지를 검토해야만 함
③목적구체성 원칙(Principle of the Purpose-specification)	개인정보 처리의 목적은, 구체적으로 명시되고, 적법하고, 일단 구축된 뒤에는 일정한 정도로 대중에 공개되거나 정보주체에게 충분한 권리를 보장해야 함 - 수집되고 보관되는 모든 개인정보는 규정된 목적에 관련 있고 적절한 상태로 유지되어야 함. - 개인정보는 이해관계자의 동의없이 규정된 목적과 위배되는 목적으로 이용되거나 공개되어서는 안 됨 - 개인정보가 보관되는 기간은 규정된 목적의 달성이 가능한 기간을 초과해서는 안됨
④접근성 원칙(Principle of Interestedperson Access)	- 개인은 자신의 정보가 어떻게 처리되며 사용되는지에 관하여 알 권리를 가지고 있음 - 불법적이고, 불필요하고 정확하지 못한 정보에 대하여 정보의 삭제 및 수정할 수 있게 해야함
⑤비차별원칙(principle of Non-discrimination)	- 종교적, 인종적, 성적 차이나 정치적, 종교적 이유 등으로 부당하거나 자의적인 차별을 받아서는 아니됨
⑥안전원칙(Principle of Security)	- 자연재해나 권한없는 접근 등으로부터 이러한 개인정보파일을 보호하기 위한 적절한 조치들이 행해져야만 함

(출처 : UN 컴퓨터화된 개인정보파일의 규율에 관한 지침 발췌)

동 가이드라인의 제시한 원칙들은 모든 공공 기관, 사기업들에 적용되어야 하고 컴퓨터파일 뿐만아니라 수작업파일도 적용대상에 포함되어야 한다고 규정하는 등 범위가 폭넓게 규정되어 있다.

Article 10, 가이드라인 part B

가이드라인은 국가안보․공공질서․공중보건 또는 공중도덕과 관련하여 불가피한 경우 개인 정보처리 등에서는 이 지 지침의 예외를 적용하고 있으나, 예외 적용에 대한 것은 법률로 명시적으로 규정하고 필요 최소한으로 그 범위를 제한하여야 한다고 하였다.

아울러, 모든 국가들은 개인정보보호를 위한 독립된 감독 기관을 지정하여야 하고 이러한 원칙들을 위반한 경우 처벌할 수 있는 규정 및 들도 만들어져야 한다고 권고하고 있다.

Article 8

Article 8

다. 개인정보 국외이전

개인정보국외이전과 관련하여서는 개인정보가 한 국가에서 다른 국가로 이전될 때 해당 국가가 개인정보보호에 대한 충분한 대책(Safeguard)이 마련되어 있다면, 데이터가 관련 국가들내에서 가급적 자유롭게 전달 처리 될 수 있어야 한다고 규정하고 있다.

Article 9

라. 빅데이터에 대한 접근

UNITED NATIONS DEVELOPMENT GROUP(2017), DATA PRIVACY, ETHICS AND PROTECTION GUIDANCE NOTE ON BIG DATA FOR ACHIEVEMENT OF THE 2030 AGENDA

2017년 UNDG (United Nations Development Group)는 UN의 2030 아젠다의 실현을 위해 빅데이터의 이용과 관련하여 데이터 프라이버시, 데이터 보호 및 데이터 윤리에 대한 일반적인 지침(Guidance note)을 제시하였다.

지침은 1) UNDG 사이에 지속발전 가능한 목표 달성을 위해 빅데이터의 이용을 지원하기 위한 공통적인 원칙을 정립하고, 2) 위험관리 도구는 인간의 기본적인 권리로 간주하고, 3) 민간영역에서데이터의 수집, 보관, 이용 및 통제에 관한 원칙을 제시하고 있다.

이 지침은 UN 컴퓨터화된 개인정보파일의 규율에 관한 지침에 기반하였고, 국제적인 정책 및 각국의 개인정보 법령 등을 고려하였다고 밝히고 있다. 지침은 구속력이 있는 것이 아니고 자율규제를 위한 최소한의 원칙만을 제공하고 있기 때문에, 이 지침의 이행은 각국에 따라 확대되거나 세부적으로 마련될 수 있다고 설명하고 있다. 아울러, 기술적 환경이 변화하기 때문에 동 지침도 같이 변화할 수 있다고 지적하고 있다.

이 지침은 빅데이터 시대에 있어 데이터 프라이버시 보호에 관한 9개의 원칙을 제시하고 있다. 빅데이터는 개인정보와 민감데이터를 포함하게 되기 때문에 합법성과 공정성 원칙에 의해 처리되어야 한다고 지적하고 있다. 또한, 데이터는 수집 당시의 목적과 양립하여 처리되어야 하지만,  당초 목적과 다른 것이 개인이나 그룹에게 얼마나 영향을 미치는지, 개인을 식별할 수 있는 수준(익명화, 암호화, 가명화 등) 등을 고려하여 양립성을 판단하여야 한다고 규정하고 있다. 또한, 데이터는 가명화, 익명화 등을 통해 안전하게 보관되어야 한다고 규정하였다. 특히, 수집당시의 목적과 단순한 차이는 양립하지 않는다고 보지 않고 있다.

< 기본 원칙>

구분	주요내용
LAWFULNESS AND FAIRNESS	개인에 관한 정보는 합법적인 방법으로 수집, 처리되어야만 함 - 정보 주체의 적절한 동의, 관련 법령의 준수, 국제 기구의 규제, 개인과 그룹의 이익을 보호할 수 있는 합법적인 수단 등에 기반하여야 함
PURPOSE SPECIFICATION, USE LIMITATION AND PURPOSE COMPATIBILITY	데이터는 수집 당시의 목적과 양립하여 처리되어야 함 - 목적에 있어서의 단순한 차이는 양립하지 않는 새로운 목적이라고 해서는 안됨 ․ 양립성을 고려하기 위하여는 당초 목적과 다른 것이 개인이나 그룹에게 얼마나 영향을 미치는지), 개인을 식별할 수 있는 수준(익명화, 암호화, 가명화 등) 등을 고려
RISK MITIGATION AND RISKS, HARMS AND BENEFITS ASSESSMENT	데이터의 변경시에는 프라이버시 보호 및 데이터 윤리를 고려해야함 - 피해의 평가는 피해가 일어날 가능성, 피해의 수준 및 심각성을 고려 - 평가는 다양한 전문가 그룹에 의해 이루어져야 함 - 데이터의 원칙은 비례성에 의해 이루어져야 하며, 위협이나 피해가 데이터 이용의 긍정적 효과와 관련하여 너무 과도해서는 안됨
SENSITIVE DATA AND SENSITIVE CONTEXTS	민감데이터는 데이터의 수집이용시 더 엄격한 보호가 필요함 민감하지 않은 데이터가 민감한 데이터로 변화할 수 있음 - 데이터가 명확하게 개인적이거나 민감하지 않더라도 데이터가 사용되는 용도를 따라 데이터 분석의 효과에 영향을 미칠 수 있음
DATA SECURITY	데이터 보호를 위한 가용한 기술을 고려 개인정보 전단계에 걸쳐 프라이버시 보호 기술과 설계를 적용 개인데이터는 익명화, 가명화, 등을 통해 비식별화 되어야 함 개인데이터가 비식별화 되었음을 제3자에게 컨설팅하여야 함
DATA RETENTION AND DATA MINIMIZATION	데이터는 그 목적을 달성하는 동안 최소한으로 유지되어야 함 데이터의 보유는 합법적인 근거가 있어야 함 데이터의 보유는 데이터의 위협, 피해, 이익 등을 고려하여 결정 데이터는 처리목적이 달성되었을때 바로 삭제 되어야 함
DATA QUALITY	데이터는 정확성과 관련성을 유지 하여야하고, 최신으로 유지하여야 함
OPEN DATA, TRANSPARENCY AND ACCOUNTABILITY	관련 법률의 이행여부를 모니터링 할 수 있는 적절한 조직 구조와 책임성을 메커니즘이 만들어져야 함 조직의 데이터 관리 관행 및 알고리즈음은 공개의 이득이 위협보다 큰 경우에는 공개하되, 공개하지 않는 경우에는 합법적인 근거가 있어야함
DUE DILIGENCE FOR THIRD PARTY COLLABORATORS	데이터 처리와 관련한 제 3자도 관련 법률을 지켜야하는 의무를 가짐 실사 절차(due deligence)가 제3자의 데이터 이용 관행을 평가하기 위해 수행되어야 함 제 3자에 대한 데이터에 대한 접근과 관리를 위하여 법률적으로 구속된 계약을 맺어야 함

(출처 : UNDG(2017), DATA PRIVACY, ETHICS AND PROTECTION)

4-3. EU

Council of Europe Initiatives (Convention 108)

가. 개 요

Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data 1981 은 Convention 108 이라고도 불린다. 1949년에 설립된 유럽평의의(CoE)는 유럽인권협약(1950)에 근거하여 1981년 개인정보보호협약을 채택(1985.10. 발효) 하였다.

Convention 108은 조약이기 때문에 가입국에게 법적인 구속력을 갖게 된다. 프라이버시와 데이터 보호에 관한 국제적 협정들 가운데 최초로 유일하게 법적구속력이 있는 조약 형태를 띤다는 점에서 의미를 갖는다(최경진 외, 2016). 주목할 만한 점은 유럽 평의회 비 회원국도 가입이 가능하기 때문에 지역별 이니셔티브와 달리 전세계적으로 광범위한 영향을 미칠 수 있다는 점이다(UNCTAD, 2015).

현재 EU와 비 EU국가를 포함하여 46개국이 가입하고 있으며, 협약의 자동적인 집행력(Self-executing)은 없지만(박훤일, 2015), 각국은 협약의 개인정보 규정을 국내법에 의무적으로 반영하여야 한다. 구체적인 반영 방법은 해당 국가의 법제도에 의해 달라지지만 구속력 있는 방안으로 실시하는 것을 전제로 삼고 있다. 협약으로 인하여 문제가 발생하는 경우에는 유럽인권재판소가 체결국에 공통된 법적 근거나 관행이 있는지, 문제가 발생한 배경에 특별히 고려해야 할 사정이 있는지를 검토하여 판단한다(박훤일, 2015).

나. 주요내용

협약은 데이터의 품질(Quality of data), 민감정보의 처리(Special Categories of data), 데이터 보안(Data security), 추가 보안장치(Additional safeguard) 등을 제시하고 있다.

< 기본 원칙 >

구분	주요내용
데이터의 품질(Quality of data)	- 개인정보는 공정하고 합법적으로 수집되어야 함 - 수집목적과 양립할 수 있도록 저장 - 정확해야 하며 최신 정보를 유지해야함 - 데이터의 처리 목적을 위한 것 이외에 개인데이터가 식별될 수 있도록 해서는 안됨
민감정보의 처리(Special Categories of data)	- 인종, 정치적, 종교적 신념 등은 관련 법령에 규정이 없는 경우에는 처리 되어서는 안됨
데이터 보안 (Data security)	- 비인가자에 의한 데이터의 접근, 변경, 배포 등에 행위가 일어나지 않도록 보안조치를 취해야함
추가 보안장치(Additional safeguard)	- 데이터 처리자의 사업장소, 거주지, 성명, 데이터 처리 목적 등을 알 수 있어야 함 - 데이터의 수정과 삭제가 가능하여야 함 - 수정과 삭제 요청에 관한 정보가 저장처리 되어서는 아니됨

동 원칙의 예외는 국가 안보, 국방, 개인의 자유와 권리의 침해 등 우선권이 위태로울 때만 적용 가능하며 동 협약의 규정은 내용은 최소한의 규정임을 명문화하고 있다. 특히 협약의 원칙을 침해하는 등 국내 법률을 위반하는 경우에 적절한 제재 및 구제를 위한 법률 조항을 포함해야 한다고 규정하고 있다

Article 11

Article 10

다. 국외이전

개인정보의 국외 이전에 관해서는 자동처리를 목적으로 수집되거나 자동처리가 수행된 개인정보에 대해서 매체에 관계없이 적용된다. 협약에 명시된 권리에 대한 개인정보 국외이전에 대한 제한은 국가 안보, 국방, 개인의 자유와 권리의 침해 등 우선권이 위태로울 때만 적용 가능하며, 단순하게 사생활 보호만을 목적으로 하여 개인정보의 국외 이전을 금지해서는 아니된다고 규정하고 있다. 다만, 자국이 개인정보의 성격에 따라 개인정보의 종류에 따라 법령에 대한 특별하게 규정하고 있거나, 또한 법적 규제가 동등한 보호를 제공하지 않는 국가와 법률 회피를 목적으로 제 3국을 경유하는 경우에는 개인정보의 국외 이전을 금지할 수 있다고 규정하고 있다.

Article 12.1

Article 9.2

Article 12.2

Ariticle 12.3

Artical 12.4

협약은 협약의 이행을 위하여 각국간에 상호 지원 체제를 마련해야 한다고 규정하고 있다. 각국은 개인정보에 관한 내용에 대하여 소통할 수 있도록 개인정보의 국가 감독기구를 지정하여야 한다고 규정하고 있다. 이 규제청은 타 국이 요청하는 경우에 데이터 보호 분야에서의 법률 및 행정 관행에 관한 정보를 제공하여야 하며, 개인 정보가 처리되는 것을 제외하고는 자국 영역에서 수행되는 특정 처리와 관련된 사실 정보를 제공하기 위한 모든 적절한 조치를 취해야 한다고 규정하고 있다.

Article13.1

Article 13.2.1

Article 13.3

감독기구와 개인정보 국외이전에 관한 추가 의정서

가. 개요

국경간에 데이터 흐름을 규제함에 있어 회원국이 아닌 국가에는 적용되지 못하고 국가 감독기구를 설립하지 못하는 기존 협약의 주요한 단점을 보완하기 위해서 2001 년 11 월 유럽 평의회는 1981 년 데이터 보호 협약에 대한 추가 의정서를 채택하였다.

Explanatory Report para. 1~4.

나. 주요내용

추가 의정서 제 1 조는 당사국들이 협약 및 의정서의 원칙을 준수하도록 독립적 감독 당국을 설립 할 것을 요구하고 있다. 의정서의 설명 보고서에 따르면, 감독 당국은 불만을 접수하고, 사건을 조사할 수 있는 권한을 부여 받아야한다고 규정하고 있다. 또한 정보주체와 개인정보 처리자 사이에 분쟁을 해결할 권한을 갖고 있어야 한다고 규정하고 있다. 감독기구는 완전하게 독립적으로 기능을 수행할 수 있어야 한다고 규정하면서, 당사자는 법원을 통해 감독 당국의 결정에 이의를 제기 할 권리가 있다고 규정하고 있다. 아울러, 감독 당국간에는 "유용한 정보를 교환함으로써 직무 수행에 필요한 한도 내에서 서로 협력한다고 규정하는 등 감독기관의 협력의 필요성에 대해서도 중요하게 다루고 있다.

Article 1.a~b

Explanatiory Reports para. 14

Article1.3~4

Article. 5

제 2조는 개인정보의 국경간 이전을 위한 제한 사항에 대하여 다루고 있다. “데이터 전송에 대한 적절한 수준의 보호"를 제공하지 않는 비 회원국으로의 개인 정보의 이전을 금지하도록 규정하고 있다. 예외적으로, 권한 있는 당국에 의해서 "데이터의 특정 이익" 또는 "정당한 지배적 이익, 특히 중요한 공공 이익 "또는 통제 조항이 계약 조항에 기초한 경우와 같은 보호 장치가있는 경우 등에 한해서는, 개인정보의 국외이전 제한의 예외를 인정하고 있다.

Article 2.1

Article 2.1~3

GDPR(General data protection regulation)

가. 배경

EU는 1995년부터 개인정보보보 지침을 제정하여 운영하여 왔고, 이를 준수하여 국내법을 제정 하거나 개정하여 왔다. 하지만 각국이 국내법에 따라 서로 상이한 보호 수준을 채택하여 회원국간에 규제 불균형이 발생하였으며, 이로 인하여 EU 시민의 개인정보 침해, 기업의 보안 침해 등으로 인한 개인정보보호의 문제가 증가하였으며, 이런 각국의 개별적인 개인정보보호 법제와 정책으로 인하여 정보의 이동 및 활용이 제한을 받는다는 우려가 제기 되었다(최경진 외, 2016). 이에따라, “1) EU의 통합된 개인정보보호 체계 구축, 2) 정보친화적인 정보보호체계의 구성”을 목표로 GDPR 마련이 추진되었으며, 2018 년 5 월 부터 모든 EU 회원국에서 법적 효력이 발생하였다 (개인정보보호위원회, 2017).

GDPR은 기존의 EU 개인정보보호 지침을 대체하여 EU에서 단일 데이터 보호법으로 운영 된다. GDPR은 지침(Directive)이 아닌 규정(Regulation)으로 회원국의 국내법에 우선하여 적용되기 때문에 정부가 시행 가능한 법안을 통과 할 것을 요구하지 않으며 직접 구속력이 있고 별도의 이행 입법 없이도 적용 가능하다(최경진 외, 2016).

나. 주요내용

GDPR의 적용범위는 국적과 거주지에 관계없이 자연인에 대하여, 개인정보의 처리수단에 관계없이, 개인정보 처리가 지역에 관계없이 EU 내에서의 개인정보관련 활동에 적용된다. 대상이 되는 개인정보도 식별 가능한 자연인 정보에 이름, 위치정보와 같은 식별자(identifier)와 함께 온라인 식별자 정보, 유전자 정보 등으로 명확화하였다.

Article 1.1

Article 2.2

Article 2.3

Article 2.5

GDPR은 개인정보의 처리를 위하여 1)"적법성, 공정성, 투명성“, 2) 목적제한, 3) 데이터 최소화, 4) 정확성, 5) 보관기간 제한, 6) 무결성 및 기밀성, 7) 책임성 8개 원칙을 규정하고 있다.

< GDPR 기본 원칙 >

1 적법성, 공정성, 투명성의 원칙 (Lawfulness, fairness and transparency)

￭ 개인정보는 정보주체와 관련하여 적법하고, 공정하며 투명한 방식으로 처리되어야 함

2. 목적 제한의 원칙 (Purpose limitation)

￭ 구체적․명시적이며 합법적 목적을 위해 개인정보를 수집하여야 하며, 해당 목적과 부합하지 않는 방식으로 처리해서는 안됨

￭ 다만, 공익을 위한 보관 목적, 과학 또는 역사적 연구 목적, 또는 통계 목적을 위한  처리는 최초 수집 목적과 부합하지 않는 것으로 보지 않음

3. 데이터 최소화 (Data minimisation)

￭ 개인정보의 처리는 적절하며 관련성이 있고, 또 그 처리 목적을 위해 필요한 범위로 한정되어야 함

4 정확성의 원칙(Accuracy)

￭ 개인정보의 처리는 정확해야 하며, 필요한 경우 내용을 최신으로 유지하여야 함

- 부정확한 정보의 삭제 또는 정정을 보장하기 위한 조치가 취해져야함

5. 보관기간 제한의 원칙 (Storage limitation)

￭ 처리 목적을 달성한 경우에는 후에는 정보 주체를 식별할 수 있는 형태로 개인정보를 보관하여서는 안 됨.

6. 무결성 및 기밀성의 원칙 (Integrity and confidentiality)

￭ 개인정보는 적절한 기술적․조직적 조치를 취해야 함

7. 책임성의 원칙 (Accountability)

￭ 개인정보처리자는 위의 원칙(principles)을 준수할 책임을 지며 이를 입증할 수 있어야 함

(출처 : 우리 기업을 위한 「유럽 일반 개인정보보호법」안내서)

GDPR은 개인정보수준의 강화를 위하여 동의 요건을 강화하였다. EU가 2012년 제시한 GDPR 초안에는 민감정보뿐만 아니라 일반적인 개인정보에 일반적인 개인정보에 대해선 명시적 동의를 받아야 하는 것으로 결정되었으나, 제정과정에서 이용자의 동의를 받을때에는 일반적인 개인정보에 대해선 명시적 동의를 요구 하지 않는 걸로 결정되었다(뉴스비전, 2017). 다만, 이용자는 실질적으로 동의를 선택할 수 있어야 하며 그 방식은 쉽고 명확하게(모호하지 않은 동의 : unambiguous consent) 하도록 하는 것으로 변경되었다. 더불어, 해당 동의는 언제나 철회될 수 있어야 한다고 규정하였다. 아울러, 개인정보처리자가 이용자의 동의를 받았음을 입증할 책임을 갖도록 하였다

Retrieved from http://www.nvp.co.kr/news/articleView.html?idxno=120147

Article 7.3

Article 7.3

Article 7.1

아울러, 정보 주체의 권리 강화를 위해 기존의 개인정보 지침에 비하여 새로운 항목이 추가되었다. 1) 잊혀질 권리, 2) 정보이동권(Right to portability ), 3) 프로파일링 거부권 등이 강화되거나 새로이 추가 되었다 (이정수, 2013).

< 정보 주체의 기본권 신장을 위한 내용 >

구분	주요내용
잊혀질 권리(제17조)	정보주체가 원하는 경우 본인 정보로의 링크 또는 복제의 삭제를 청구할 수 있음
정보이동권(제20조)	사업자에게 제공하였던 개인정보를 본인이 돌려 받거나 3자에게로 전송하여 관리토록 할 수 있는 권리
프로파일링(제21조~22조)	자동으로 위치나 IP 등 정보를 수집하여 활용하는 것을 거부 할 있는 권리

(Source : 홍선기(2016), 유럽개인정보보호법령의 주요내용과 국내에서의 영향 중 발췌)

이외에도 제재 수준을 상향하고 유출 통지를 의무화하고 정보보호 책임자(Data Protection Officer)를 두도록 규정하는 등 규정의 이행력과 기업의 개인정보 수준을 한 단계 높혔다.

< 주요 변경 사항 요약 >

구분	EU 개인정보보호 지침	GDPR
제재	회원국에게 적절한 제재 조치를 취할 것을 권고	최대 직전 회계연도 전세계매출의 2~4% 또는 1~2천만 유료 과태료 부과
적용대상	개인정보처리자	개인정보처리자 및 수탁자
유출 통지	의무 없음	지체 없이 보고
DPO	의무없음	큰 기업에 대해서는 의무

(Kolah & Hickley(2015), Impact of EU General Data Protection Regulation (GDPR) on marketing in financial services in the UK에서 발췌)

다. 개인정보 국외 이전

개인정보 국외 이전에 관하여는 1995년 개인정보보호지침과 유사하게 개인정보의 이전을 위해서는 제3국이 ‘적정한 보호 수준’ (adequate level of protection)을 갖고 있어야 한다고 규정하고 있으며 좀더 상세하게 규정하고 있다.

GDPR은 다른 국제규범에 비해 제3국에 대한 개인정보의 이전에 엄격한 방식을 취하고 있는데, 제3국이 ‘적절한 보호 수준 (adequate level of protection)’을 보장하는 경우에 한하여 가능하도록 규정하고 있다. 즉, EU회원국 국민의 개인정보를 적절한 수준으로의 보호를 보장하지 않는 경우에는 제3국으로 개인정보를 이전할 수 없도록 하고 있다. 다만, 다양하게 예외를 인정해주고 있다.

EU 개인정보보호지침 제25조(원칙) 1

(출처 : EC(2017), Protection and exchange of personal data in a globalised world pp.1

적정한 보호 수준의 판단은 제3국의 개인정보 보호에 대한 적절한 보호수준(Adequacy)을 평가하여 개인정보의 국외 이전을 허용하는 방식으로 White list Model로도 불린다(KISO, 2015). EU 사법관할 외의 국가가 적정한 수준의 개인정보보호체계를 갖추고 있는지 여부는 집행위원회(EC)가 판단하며, 해당 국가가 적절한 보호체계를 갖추고 있을 경우 개인정보의 국외 이전을 위한 별도의 장치(표준계약 등)는 필요하지 않는다(KISO, 2015).

Retrieved from http://journal.kiso.or.kr/?p=7403

Retrieved from http://journal.kiso.or.kr/?p=7403

다만, 개인정보를 제공받는 3국의 수준이 ‘적절한 보호 수준’을 만족시키지 못하더라도, 일정 조건을 만족시키면 예외적으로 3국으로의 개인정보 이전이 허용된다. 즉, 적절한 세이프 가드(Adequate safeguard)를 갖춘 경우에 개인정보의 국외이전이 가능하다. 개인정보처리자가 프라이버시와 기본권의 보호, 그리고 개인의 자유와 그에 상응하는 권리의 행사에 관하여 적절한 대책을 마련한 경우에는 각 회원국이 정보의 이전을 예외적으로 허용할 수 있도록 하고 있다. 세이프 가드의 예로, 표준계약 조항(Standard Contractual Clause), Binding Corporate Rules(BCRs) 등이 있다(EU, 2014).

EU 개인정보보호지침」 제26.2

집행위원회가 승인한 표준계약 조항(Standard Contractual Clauses)을 사용할 경우, 개인정보 수준이 낮은 EU외의 국가로 개인정보의 이전을 허용하고 있다(EU, 2014). 표준 계약 제도는 개인정보 보호체계가 서로 달라 개인정보 이전에 따른 국제상거래를 위한 문제를 해결하기 위해 기업간에 계약을 통한 해결하도록 하면서도, 세이프 가드를 통해 감독기관이 개인정보보호를 위해 개입하는 것을 허용하고 있다(KISO, 2015).

구속력 있는 기업 규칙(Binding Corporate Rules) 을 만족하는 경우에도 개인정보의 국외이전이 가능하다. 다국적 기업이 적절한 보호 수준을 제공하지 않는 국가에 위치한 동일 회사에 개인정보를 이전할 수 있도록 허용하는 것이다. 기업내의 데이터 전송에 대한 내부 규칙으로, 기업의 행동 강령(Code of conduct)과 유사하다. BCRs를 만족하기 위해서는 투명성, 데이터 질, 보안 등의 개인정보보호 원칙, 감사, 교육, 불만처리 시스템 등 개인정보 처리 수단, 그리고 규칙이 구속력이 있다는 것을 증명하는 문서 등이 포함되어야 한다(EU 웹사이트).

Retrieved from https://ec.europa.eu/info/law/law-topic/data-protection/data-transfers -outside -eu/binding-corporate-rules_en

< SSC 와  BCRs 비교>

SSC	BCRs
비교적 쉽고 신속하게 처리 가능	신청부터 처리까지 시간이 다소 오래 소요
모든 기업 내외부외 관계없이 계약마다 승인을 받아야 함 장기적으로는 비용이 많이 소요됨	초기 비용이 많이 소요되나, 장기적으로는 행정 및 요구 비용이 적게 소요
	기업내에서는 유연하게 개인정보 활용가능하나, 제 3자에게는 개인정보 이전 불가
소규모 기업에 유리	다국적 기업에 유리

(출처 : ARQIS(2018), GDPR Compliance Measures Legal Bais of GDPR에서 발췌)

또한, GDPR에서는 승인된 행동강령이나 인증제도가 있는 경우에도 제 3국으로의 국외 이전을 허용하고 있다.

더불어, 정보주체가 개인정보 이전에 명백히 동의한 경우, 계약의 이행을 위하여, 정보주체의 이익 보호를 위하여, 공익적 필요성 등 아래와 같은 다양한 예외를 통하여 개인정보의 적절한 보호수준을 보장하지 않는 제3국으로의 이전을 허용하고 있다.

EU개인정보보호지침 제26조

< 주요 예외 사항 >

① 정보주체가 개인정보 이전 에 명백히 동의한 경우

② 정보주체와 관리자 사이에 체결된 계약의 이행을 위하여 또는 정보주체의 요청에 따라 채택된 계약의 체결 전에 조치를 이행하기 위하여 필요한 경우

③ 개인정보처리자와 제3자 사이에 정보주체의 이익을 위해 계약의 체결 또는 이행을 위하여 필요한 경우

④ 공익적으로 필요한 경우 또는 소송의 제기․수행 및 방어를 위한 경우

⑤ 정보주체의 중대한 이익의 보호를 위한 경우

⑥ 개인정보가 EU 또는 법률에 따라 정보를 공개할 목적인 경우 등

(출처 : 우리 기업을 위한 「유럽 일반 개인정보보호법」안내서)

라. 빅데이터에 대한 접근법

EU는 개인정보보호에 대해 엄격한 입장을 취하고 있지만, 개인정보의 목적 외 처리에 대하여는 유연한 접근을 취하고 있는데, 개인정보를 최초 수집시 목적이 아닌 다른 목적으로 가명화 등을 통해 개인정보 처리를 허용하고 있으며, 개인정보를 익명화하여 개인정보보보호 법제에서 적용하지 않는 방식으로 통계적 목적 등의 데이터 분석을 허용하고 있다(개인정보보호위원회, 2016).

GDPR은 개인정보를 식별된 또는 식별 가능한 자연인과 관련 정보라고 정의하면서 그 자체 또는 다른 정보와 조합하여 직접 또는 간접적으로 식별 할 수 있는 것을 개인정보로 정의하였다. 이러한, 개인정보의 범주를 세가지로 구분하고 있는데, 첫째, 종교적 신념, 또는 인종, 건강, 정치 등과 관련된 민감한 정보가 있는데, 이 개인정보 처리는 정보 주체가 명백히 동의한 경우, 회원국 법률에 규정범위내에서 정보주체의 특정권리를 행사하기 위한 경우 등 일부 예외를 제외하고 원칙적으로 금지된다.

Article 4

둘째, 가명 정보는 추가적으로 정보를 사용하는 경우에 정보 주체를 식별할 수 있는 정보로 정의하고 있다. 가명정보는 추가적인 정보는 별도로 보관되어야 하며 기술 및 관리적 조치를 취해야 하지만, 개인정보에 해당 하는 가명처리 정보는 일정한 법률 요건을 만족하면 목적외 처리를 허용하고 있다. 정보주체의 명확한 동의를 얻는 경우, 2) 국방, 공공안보 등에 해당되는 경우, 3) 관련 법률이 허용하는 경우, 4) 당초의 수집 목적과 양립하는 여부 등에 따라 개인정보의 수집 목적 외 처리를 인정하고 있다. 따라서, ‘공익을 위한 기록보존, 과학 및 역사 연구, 통계적 목적’의 개인정보 처리에 대하여는 이용자의 동의 없이 처리 될 수 있다고 설명하고 있다(개인정보보호위원회, 2016)

Article 6.4

마지막으로, 더 이상 자연인을 식별할 수 없도록 익명처리가 가해진 익명정보로 구분하고 있다. 익명정보의 경우에는 개인정보가 아닌 것으로 간주하여 GDPR이 적용되지 않는다.

< GDPR 상 정보의 범위 >

(출처 : European Research Federation (2017), General Data Protection Regulation (GDPR) Guidance Note for the Research Sector pp.7 인용)

특히, 개인정보의 이용·제공 목적이 변경되더라도 당초의 수집·이용 및 제공 목적과 양립할 수 있는 정도라면 목적이 변경될 따마다 정보주체의 동의를 받을 필요가 없다고 규정하고 있는 등 유연성을 높이고 있다(최경진 외, 2016)

.4-4. APEC

APEC Privacy Framework(APF)

가. 개요

APEC은 전자상거래 성장을 위해 개인정보 및 프라이버시 보호와 정보의 자유로운 흐름을 촉진하고 균형을 맞추기 위하여 “OECD 프라이버시 가이드라인”에 기반하여 2005년 11월 APEC Privacy Framework(APF)를 개발하였다(APEC, 2005).

APEC Privacy Framewokr Preamble para..4

APEC은 회원국에게 요구되는 강제적 의무가 없으며 정규 회의 이외에 공식 사무국도 없다. APEC의 합의 방식은 회원국의 자발적 의사에 기초하여 결정이 채택되는 방식을 사용하고 있으며, 그 결정 또한 강제력이 없기 때문에, APEC 프라이버시 프레임워크는 법적 구속력이 없다.

나. 주요 내용

프레임워크는 9개의 기본 원칙으로 구성되어 있는데 1) 피해예방(Preventing harm), 2) 고지(Notice), 33) 수집제한(Collection Limitation), 4) 이용(Uses of Personal Information), 5) 선택권(Choice), 6) 무결정(Integrity of Personal Information), 7) 안정성(Security safeguards), 8) 접근 및 정확성(Access and Correction), 9) 책임성(Accountability) 로 구성되어 있다.

OECD와는 달리 피해예방(Preventing harm) 원칙이 별도로 포함되어 있는데, 개인 정보 보호 그 자체를 광범위하게 보호하기보다는, 국제 상거래에서의 개인 정보의 오용 방지 등에 초점을 맞추고 있는 것임을 알 수 있다. 책임성부분에 있어서는 개인정보 처리에 있어 수집된 개인 정보가 다른 조직 또는 관할권으로 이전 될 수 있다는 사실에도 불구하고 해당 데이터의 보호 책임은 최초에 개인정보를 수집한 개인정보 처리자에게 있다고 규정하고 있다.

Apec privacy framewokr Article 26.

<주요 원칙 >

원칙	주요내용
피해예방	개인 정보가 오용되지 않도록 개인정보를 보호하기 위한 조치를 취해야 함. - 개인정보 오용으로 인하여 피해가 발생할 수 있는 위험에 대비하여 특별한 의무를 부과하여야 함 - 개인정보 수집, 활용 및 이전에 따르는 피해의 가능성과 심각성에 비례한 구제조치를 취해야 함
고지(notice)	개인정보 관리자는 개인정보에 대한 정책을 해당 개인들에게 명료하고 알기 쉽게 설명하여야 함
정보 수집제한	개인 정보 수집은 수집 목적에 국한되어야 함 -정보 수집은 합법적이고 공정하 방법으로 이뤄져야 하며, 필요할 경우 해당 개인에게 고지하거나 사전 동의를 받아야 함
개인정보의 활용	- 수집된 개인 정보는 당초의 수집 목적이나 그와 관련된 업무를 수행하는 데만 사용되어야 함 - 사법 기관이나 기타 법류 서류, 및 법적 효력을 가진 판결에 의한 경우
선택	개인들에게 자기 개인정보의 수집, 활용 및 공개 여부를 선택할 수 있는 명료하고 뚜렷하며 쉽게 이행되고 액세스 할 수 있는 절차 제공
무결성	개인정보는 정확해야 하며, 활용 목적상 필요한 범위 내에서 가장 최신 정보를 유지하여야함
보안조치	개인 정보 관리자는 개인정보보호를 위해 적절한 보안 조치를 취해야 함 보안 조치는 침해의 개연성과 심각성 및 정보의 중요성에 비례하여야 하며, 주기적으로 검토하고 재평가 해야 함
열람 및 수정	이용자는 자신의 개인정보 보유 여부를 확인 할 수 있어야 하며, 수정할 수 있어야 함
책임	개인정보 관리책임자는 위에서 열거한 실행방안 들을 준수할 책임이 있음 국내적으로나 국제적으로 개인정보가 3자나 기관에 이전되는 경우에는 개인정보 통제자는 개인의 동의를 얻거나 제3자가 개인정보를 일관되게 보호할 수 있도록 합당한 조치(due diligence)를 취해야 함

(출처 : KISA(2006), APEC ECSG 개인정보보호 논의 동향 재구성)

기본원칙과 더불어 프레임 워크의 이행을 위한 “국내적 및 국제적 APEC 이행 지침을 제시”하고 있다.

APEC ECSG 개인정보 논의 동향- APEC Privacy Framework 제정을 중심으로-KISA(2006)

http://www.kisa.or.kr/public/library/report_View.jsp?regno=011040

국내	Maximizing Benefits of Privacy Protections and Information Flows - 개인정보는 정보의 국경간 이전의 장점과 개인의 프라이버시 보호되는 방법내에서 위하여 수집, 처리, 이용, 이전 될 수 있음 - 국경간 정보흐름을 저해하는 장벽을 제거하고 만들지 않기 위해 적절한 조치를 취해야함
	Giving Effect to the APEC Privacy Framework - 회원국의 개인정보보호 관련 정보를 제공하기 위한 창구와 절차를 마련 - 개인정보를 보호하는데 비차별 원칙을 견지하여야함
	. Educating and publicising domestic privacy protections - 프레임워크에 대한 교육
	Cooperation between the Public and Private Sectors - 민간 기업과의 협력 체계 마련
	Providing for appropriate remedies in situations where privacy protections are violated - 침해 발생시 배상 등을 포함한 적절한 구제조치 마련
	Mechanism for Reporting Domestic Implementation of the APEC Privacy Framework -APEC 프레임워크를 이행여부에 대한 완료나 진전상황을 업데이트
국제	Information sharing among Member Economies - 회원국은 국가간에 연구 정보, 관련 자료의 공유 등을 촉진
	Cross-border Cooperation in Investigation and Enforcement - 개인정보 조사 집행시 협력
	Cooperative Development of Cross-border Privacy Rules - 국경간 프라이버시 규칙을 발전시키기 위한 협력

(출처 : APEC privacy framework 재구성)

다. 개인정보 국외 이전

APEC 프라이버시 프레임 워크는 APEC 회원국 또는 비 APEC 회원국 간의 개인 정보의 이전에 관해 논의하고 있지 않다. 다만, 국경간의 정보 흐름을 저해하는 불필요한 장벽을 제거하기 위해 적당한 조치를 취해야 한다고 규정하고 있다. 아울러, 회원국간 정보 공유 및 향후에 국경 간 프라이버시 규칙의 공동 개발을 요구 하고 있다.

APEC Privacy Framewokr article 40

APEC Privacy Framewokr article 47

APEC 프라이버시 프레임 워크는 APEC 역내에서 개인정보의 이전을 허용하고 있는 측면이 있지만, EU 개인정보지침과 달리 APEC 준수 법률이 없는 국가에 대한 데이터 이전을 제한하는 것을 명시 적으로 허용하지 않으며, CoE 협약 및 OECD 가이드라인과 달리 APEC 준수 법률이 적용되는 국가에 데이터 이전을 허용하는 것을 요구하지도 않고 있다(Greenleaf, 2009).

개인정보의 국외이전 관련사항은 책임성 원칙에 반영되는데, 개인정보 처리에 있어 수집된 개인 정보가 다른 조직 또는 관할권으로 이전 될 수 있다는 사실에도 불구하고 해당 데이터의 보호 책임은 최초에 개인정보를 수집한 개인정보 처리자에게 있다고 규정함으로써 개인정보의 책임 범위를 정하고 있다.

다. 평가

APEC 프라이버시 가이드라인은 개인정보보호의 중요성을 인정하고 있지만, 그것은 기본적인 인권과 존엄을 보호하기보다는 전자 상거래의 성장을 장려하는 측면이 강하다. APEC 정보의 흐름을 불필요하게 제한하는 규제 시스템은 글로벌 기업과 경제에 부정적인 영향을 미칠 수 있다고 지적하고 있다.

APEC Privacy Framewokr Preamble para. 5 & 8

국가별로 일원화된 규제체계가 아니고 단지 최소수준의 가이드라인을 제시하고 있어서 국가별로 규제의 수준의 차이가 나타날 수 있다. 프레임워크에서도 “각 회원국의 사회적, 문화적, 경제적 및 법적 배경의 차이점을 고려하여, 프레임워크상의 원칙을 이행 할 때 유연성이 있어야한다”고 설명하고 있다.

para. 12

입법, 행정, 산업 자율 규제와 관련된 프레임 워크를 구현하는 다양한  수단이 있을 수 있다고 제시하고 있지만 실행을 위한 수단을 요구하지 않고 있으며 유연한 방식으로 구현될 수 있다고 설명하고 있다. 따라서, 국가별로 다양한 방식의 차이가 나타날 수 있다.

APEC Privacy Framewokr article 31

APEC CBPR

가. 개요

2007 년 9 월 관련 APEC 각료회의는 데이터 프라이버시 하위 그룹이 개발 한 '데이터 프라이버시 패스 파인더' 를 승인하였는데, 패스 파인더 프로젝트는 'APEC 지역 어디에서 개인 정보가 전송 또는 액세스 되는지에 상관없이 개인의 개인 정보를 보호하기 위하여 APEC 내에서 CBPR (Cross-Border Privacy Rules) 시스템을 개발하는 것이 목표였다(Greenleaf, 2009).

CBPR 시스템 도입의 필요성은 다음 세 가지로 요약되는데, 1) 국가간 데이터 이전을 금지하는 지역에 개인 정보를 이전할 수 있는 개인 정보 보호 메커니즘을 제공하는 것, 2) 국가간에 규제 수준 조화를 도모하는 것, 3) 프라이버시 보호의 일반적인 수준을 높이는 것 이라고 할 수 있다(Bloomberg, 2015). 최근 APEC 지역에서 데이터의 국외이전을 제한하는 다양한 개인정보 보호법 확산됨에 따라 이러한 메커니즘이 필수적인 요소로 자리잡게 되었다.

< APEC 국가별 개인정보보호법 도입현황 >

(출처 : Baker et al.(2015), The Latest Developments in Cross-border Data Transfer pp.3)

이에따라, 전자상거래의 활성화와 회원국 간 안전한 개인정보의 상호 이전을 위해, 적절한 개인정보보호 수준을 준수하고 있는 APEC 내 글로벌 기업들간에 자유로운 정보 이전을 도모하기 위해 ’11년에 제정되었다. 현재 CBPR 시스템에는 미국(‘12.7월), 멕시코(’13.1월), 일본(‘14.4월), 캐나다(’15.3월), 한국(’17.6) 등 총 5개국이 가입하고 있다

CBPR 시스템은 조직(기업 또는 기관)이 개인정보를 다른 회원국으로 전송할 때 개인정보 보호를 책임지도록 보장하기 위한 것이다. APEC CBPR 시스템은 기업이 APEC 프라이버시 프레임 워크를 준수하기 위해 사용할 수 있는 표준 개인 정보 보호 정책이라 할 수 있다. CBPR 시스템은 국가 간 데이터 흐름을 원활하게 하기 위해 확실성과 최소한의 개인 정보 보호를 보장하기 위해 고안 되었다. 하지만, 기업의 자발적 참여를 전제로 하며, CBPR 도입이 각 국가의 법령을 대체하거나 입법에 영향을 미치는 것은 아니다(박훤일, 2014). 다만, 해당 시스템에 참여하는 국가의 개인 정보 보호 집행 기관은 CBPR 프로그램 요구 사항에 부합하는 해당 국내법 및 규정에 따라 집행 조치를 취할 수 있어야 한다고 규정하고 있다(IAPP Blog).

Retrieved from https://iapp.org/news/a/gdpr-matchup-the-apec-privacy-framework-and-cross-border-privacy-rules/#

나. 주요 내용

APEC의 CBPRs 체계는 ‘자가진단-준수평가-인증-이행’의 4단계로 구성되어 있다. 1단계 자가진단(Self Assessment)는 기업이 APEC에서 규정하는 개인정보보호 수준진단 질문지를 통해 자신의 상태를 스스로 조사하여 Accountabiltiy agent에 제출하는 단계이고, 2단계 준수평가(Compliance Review)는 1단계에 제출된 질문지 항목에 대하여 Accountabiltiy agent가 기업이 실제로 준수하고 있는지 여부를  검증하는 단계이며, 3단계 인증 (Recognition)은 2단계를 통과한 기업에 대하여 APEC 내에서 자유롭게 개인정보를 이전할 수 있는 수준임을 공공이 접근할 수 있는 디렉토리에 등록하는 단계이고, 4단계 이행(Enforcement)은 기업이 원활하게 이행여부를 감독하는 단계와 개인정보 침해 관련 민원 발생시 피해 구제 협력 등 국가간 협력 등을 포함한다.

다. EU BCRs과 CBPRs 비교

CBPR 프로그램은 자기 평가, 컴플라이언스 검토, 승인․수락 및 분쟁 해결․집행을 위한 수단을 제공한다는 측면에서 EU-US Privacy Shield와 유사하다.

BCRS (Binding Corporate Rules) 및 CBPR (cross-border privacy rules) 은 회사가 국경간 데이터 전송을 위해 해야할 데이터 전송 메커니즘이다. 하지만, BCR 및 CBPR 시스템의 각 목표, 범위 및 검토 프로세스에는 차이가 있어서 특정 BCR 및 CBPR 요구 사항은 완벽하게 호환되지 않는다(Bloomberg, 2015).

또한, 법적 구속력이 있는 GDPR과 달리 CBPR 시스템은 국가의 국내법 및 규정을 대체하거나 변경하지 않는다. 한 국가에서 적용 가능한 국내 개인 정보 보호 요구 사항이 없는 경우를 위하여 CBPR 시스템은 최소 수준의 보호를 제공하기위한 것이다(IAPP 웹사이트) .

< APEC APF/CBPR vs GDPR 주요 사항 비교 >

구분	CBPR	GDPR
수탁자	비적용	적용
공개적으로 이용 가능 정보	적용이 제한적 이미 공개되어 있거나 직접 개인정보를 수집한 것이 아닌 경우 통지 및 선택 요구 사항 불필요	연구 목적 또는 통계 목적을 위해 공개적으로 이용가능한 정보의 처리를 허용
예외 범위	회원국의 상황에 따라 허용	제재 등에 있어 일부 재량권 허용
선택 및 동의	정보 주체가 개인정보의 처리와 관련하여 선택권을 행사 할 수 있어야 함	명시적 동의 - 개인정보 처리자는 동의 유무 입증 책임 - 정보주체는 동의 철회 권리를 갖음
개인정보 국외 이전	개인정보 처리자는 동의를 얻거나 개인정보를 이전받는 개인이나 조직이 원칙에 따라 정보를 일관되게 보호할 조치를 취해야 함	수탁처리자는 개인정보보호처리를 위해 계약을 맺어야함 적절한 수준의 개인정보 수준을 갖춘 경우에 이전 가능
개인정보 침해 통지	고지 원칙에 함의	감독당국에 고지 정보주체 에게 고지

(출처 : 2017.6.4일자 해외 개인정보보호 동향 보고서 인용 )

4-5. 자유 무역 협정

WTO

대다수의 국가가 회원국인 WTO 일반 협정(General Agreement on Trade in Services)에 따르면 "개인의 프라이버시 보호"와 관련한 개인 정보의 처리와 제공, 개인 기록 및 계정의 보호를 위해 필요한 경우에는 무역 제한을 허용“한다고 규정하고 있다. 즉 개인정보의 보호를 위하여 회원국이 수단을 채택하는 것을 금지하지 않고 있다. 따라서, 데이터의 국경간 이전은 GATS의 조사로부터 면제된다. 다만, 그러한 수단이 국가간에 자발적이고 비합리적 차별이 아니어야 한다고 규정하고 있다.

일반적으로 WTO는 무역기구에서 인간의 존엄을 근본원칙으로 포함하기 어렵기 때문에, 사생활을 국제적으로 규제하는 것을 광범위한 원칙으로 다루고 있지 않다. 따라서, 개인정보보호와 관련한 이슈를 다루는 것이 적절하지 않다는 지적이 제기되어 왔으며, 현재 까지 데이터 보호와 관련하여서는 WTO를 통한 무역분쟁이 발생한 사례도 존재하고 있지 않다(MacDonald&Streatfeild, 2014).

TPP (Trans-Pacific Partnership)

TPP 협정은 아시아 태평양 12개국에 의하여 2015년 서명되었다. 그간 OECD, UN, APEC 등에서 협력적 성격 또는 제한적인 범위에서 구속력을 가졌던 원칙들을 강제성을 갖는 규정으로 제정하였는데 의미를 갖는다. 다만, 기존의 가이드라인과는 달리 데이터 보호를 위하여 엄격한 정보보호 규정을 부과하기 보다는 “정보의 자유로운 이전과 이용” 을 강조하고 있다(박지은, 2016). 예를들어, 서명국이 자국의 법률 내에서 규율하고 있는 데이터 보호 규정의 범위를 제한하는 형태를 갖고 있다(UNCTAD, 2016).

우선, 당사자들에게 "전자 상거래 이용자의 개인 정보를 보호 할 수있는 법적 구조를 채택하거나 유지해야한다"고 규정하고 있다. 따라서, 개인정보보호를 위해서 각 당사국의 자율성을 보장하고 있어서 국가별로 개인정보를 보호하는 수준의 차이가 있을 수 있다(박지은, 2016).

TPP 협정 제14.8조

Ⅶ. 미국의 개인정보보호 정책

1. 개 요

미국의 개인정보보호 정책은 시장의 자율규제 중심으로 이용자의 권리를 보호하는 것에 초점을 맞추고 있다. 미국은 개인정보를 규율하는 일반적인 연방법을 제정하지 않고 기본적으로 업계의 자율적 준수를 바탕으로 하되 필요한 분야에 한하여 연방법이나 주법을 제정하는 형태를 취하고 있다(구태언, 2013). 민간영역에서는 금융, 교육, 의료 등 각 영역별로 제정하여 시행하고 있다. OECD 34개 회원국 중에서 포괄적인 개인정보보호법을 제정하지 않는 국가는 미국이 유일하다(UNCTAD, 2016).

< 주요 민간분야 개인정보 관련 법률 >

관련 법률	주요내용
The Federal Trade Commission Act (15 U.S.C. §§41-58)	- 연방 소비자 보호법 - 온라인상 사생활 침해 제재 - 불공정 및 기만적 행위 제재 - 수송, 통신, 금융사 제외
Children's Online Privacy Protection Act (COPPA) (15 U.S.C. §§6501-6506)	- 온라인상 아동의 정보보호 수집 - 행태 광고(Behaviroual Advertising) 의 자율규제
The Financial Services Modernization Act (Gramm-Leach-Bliley Act (GLB)) (15 U.S.C. §§6801-6827)	- 금융사 대상 - 금융 정보의 수집, 이용, 공개 - 금융사로부터 정보를 받는 비금융기관도 해당
The Health Insurance Portability and Accountability Act (HIPAA) (42 U.S.C. §1301 et seq.)	- 의료분야에서 개인식별 정보의 수집과 이용
The Electronic Communications Privacy Act (18 U.S.C. §2510) and the Computer Fraud and Abuse Act (18 U.S.C. §1030)	- 전자 통신에 개입(interception)을 규제

(출처 : Thomson Reuters 웹사이트 중 인용)

Data protection in the United States : overview

아울러, 미국은 50개 주가 대부분 개인정보 보호 관련 법률을 제정하고 있는데, 대부분은 주에서 제정하는 있는 법률은 연방 법률에서 규정하고 있는 법과 일치하지만 일치하지 않는 주도 있다(Thomson Reuters 웹사이트).

오바마 정부 이래로 미국은 지속적으로 개인정보 보호를 강화하는 정책을 채택하여 왔다. 미국의 개인정보 보호 강화 움직임을 보여주는 사례로는 2012년 2월 발표한 온라인 프라이버시 프레임워크(Consumer Data Privacy in a Networked world), 2012년 3월 26일 미국 연방거래위원회 (FTC)가 위원회가 발표한 보호 권고로서의 성격을 가지는 "급변하는 시대의 소비자 프라이버시 보호(Protecting Consumer Privacy in an Era of Rapid Change)" 등을 들 수 가 있다(KISDI, 2015).

2. 개인정보보호 프레임 워크

2009년 온라인 행태 광고에 대한 자율규제 원칙

Self-Regulatory Principles for Online Behavioral Advertising

보고서는 온라인 행태 광고는 개별 소비자의 관심을 타케팅하여 광고를 전달할 목적으로 이용자의 웹사이트 방문기록 및 내용 등 소비자의 온라인 활동을 추적하는 것으로 정의하고 있다. 예를 들어, 뉴욕행 비행기를 예매하는 사람에게 뉴욕의 호텔정보를 광고하는 것이다. 이름, 주소, 계정 번호 등의 개인식별 정보 뿐만 아니라 컴퓨터나 기기의 정보를 이용자와 연결시키는 것을 포함한다고 지적하고 있다.

2009년 보고서는 2007년 보고서를 수정․보완하였으며, 온라인 행태 광고 정보에 있어 1) 투명성 및 통제, 2)이용자 정보에 대한 적절한 보안, 제한된 보관기간, 3) 프라이버시 정책 변경시 이용자의 명시적인 동의 4) 민감데이터의 행태 광고 이용시 명시적인 동의 등 4가지 기본원칙을 권고하고 있다.

< 온라인 행태 광고 정보 기본 원칙 >

1) 투명성 및 통제(Transparency and consumer control)

- 이용자에 명확하고 간결하고 이용자 친화적인 다음과 같은 문구를 제시하여야함

․1) 이용자의 관심에 최적화된 광고를 제공하는데 있어서 사이트에서 이용자의 행태가 수집될 수 있으며, 2) 이용자는 자신들의 정보가 수집되는 목적을 선택할 수 있음

- 웹사이트는 이용자에게 명확하고 쉽게 이용할 수 있고 접근할 수 있는 방법으로 이러한 선택을 할 수 있도록 하여야 함

2) 이용자 정보에 대한 적절한 보안, 제한된 보관기간

- 회사는 이용자의 수집된 이용자의 행태 정보에 대한 보안조치를 취해야 함

- 회사는 정보 처리의 목적 달성을 위해 필요한 범위내에서만 데이터를 보관

3)  프라이버시 정책 변경시 이용자의 명시적인 동의

- 회사가 이전에 수집된 정보를 당초 이용자로부터 받은 동의 내용 이외의 목적으로 사용하기 위해서는 이용자에게 동의를 받아야함

- 이 원칙은 합병시에도 해당함

4) 민감데이터 이용시 명시적인 동의

- 온라인 행태 광고시에 민감정보를 수집, 이용하는 경우에는 이용자의 명시적인 동의 필요

(FTC, 2009)

FTC는 온라인 행태 광고를 First party 행위 광고와 Contextual 행위 광고는 특별히 구분하였는데, First party 행위광고는 제3자와 정보 공유 없이 단일한 웹사이트의 기록을 추적함으로써 광고하는 것이고, Contextual 광고는 현재 방문하고 있는 웹사이트에 광고에 기반하는 것으로 설명하고 있다. FTC는 이러한 광고는 침해가 크지 않기 때문에 행태 광고의 원칙에는 적용되지 않는다고 하였다(FTC, 2009).

온라인 프라이버시 프레임워크(2012)

Consumer Data Privacy in a Networked World: A Framework for Protecting Privacy and Promoting Innovation in the Global Digital Economy

오바마 행정부는 이용자와 기업에게 데이터 프라이버시 보호를 위한 명확한 지침을 제공하기 위하여 소비자 프라이버시 권리장전(Consumer privacy bill of Right), 집행가능한 실시규범의 개발(Developing Enforceable Codes of Conduct), FTC의 집행력 강화(Strengthening FTC Enforcement), 글로벌 상호운용성 향상(Improving Global Interoperability) 를 주요 골자로 하는 온라인 프라이버시 프레임워크를 2012년 발표하였다(백악관, 2012).

소비자 프라이버시 권리장전(Consumer privacy bill of Right)은 EU 개인정보보호 법제와 유사한 측면이 있으며 7개 원칙으로 구성되어 있다. 권리 장전은 온라인 상의 개인정보의 처리에 관해 개인의 권리를 확립하는 것이 주요내용이며, 이를 위해 사업자에 의한 온라인상의 이용자의 활동 추적을 이용자가 거부할 수 있는 ‘Do Not Track’ 개념을 기본으로 하고 있다.

< 소비자 프라이버시 권리장전 원칙 >

원칙	주요 내용
통제권 (Individual Control)	회사가 수집하는 개인 데이터의 용도와 사용 방식을 통제 할 수 있는 권리 - 소비자가 다른사람과 공유하는 개인정보, 어떻게 회사가 개인정보를 수집, 이용, 공개 하는지에 대해 적절한 통제 수단을 가져야 함 - 회사는 그들이 수집하는 개인정보의 민감도, 만들어 내는 개인정보의 민감도에 따라 이용자가 쉽게 이용하고 접근할 수 있는 메커니즘을 제시하여야 함 - 회사는 이용자에게 명확하고 단순한 선택 방법을 제공하여야 함 - 회사는 이용자에게 동의 철회 수단 및 동의를 제한할 수 있는 방법을 제시하여야함
투명성 (Transparency)	개인 정보 보호 및 보안 관행에 대해 쉽게 이해하고 접근 할 수있는 정보를 가질 권리 - 개인정보의 침해 위협과 이용자의 권리를 행사할 수 있다는 것에 이해를 증진하여야 함 - 회사가 개인정보를 왜 필요로 하는지, 어떻게 사용하는지, 언제 데이터를 삭제하고 비식별화하는지, 제 3자와 공유하는 목적에 대한 명확한 설명을 제시하여야 함
예측가능성 (Respect for Context)	기업이 소비자가 데이터를 제공하는 목적내에서 개인 데이터를 수집, 사용 및 공개 될 수 있을 것을 예상할 수 있는 권리 - 회사는 개인정보를 이용시에 이용자의 개인정보를 당초 수집할 때에 이용자에게 제시한 목적 범위내에서 이용되어야 함 - 다른 목적으로 사용할 때는 이용자에게 투명하게 개인이 선택할 수 있도록 하여야함
보안성 (Security)	개인 정보를 보호하고 책임감 있게 처리 할 수 있는 권리 - 권한없는 접근, 파괴, 확장, 개인정보의 부당한 침해 등을 방지하기 위햐여 개인정보 위협의 수준을 평가하여야 함
접근 및 정확성 Access and Accuracy:	개인 데이터에 액세스하고 수정할 권리 - 개인정보를 올바르게 유지해야 할 수 있도록 보장하여야 함 - 회사는 정확성 유지와 접근성 확보에 있어, 개인정보의 민감성, 범위, 크기 등을 고려해야함
선택된 수집 (Focused Collection)	회사가 수집하고 보유하는 개인 정보에 대해 합리적인 제한을 가할 수 있는 권리 - 목적 달성을 위한 범위내에서만 개인정보를 수집해야 함 - 목적이 달성된 이후에는 개인정보를 폐기하거나 비 식별화하여야 함
책임성 (Accountability)	소비자 프라이버시 권리 장전을 준수 하는 기업에서 개인데이터를 처리할 수 있게 할 수 있는 권리 - 회사는 규제 당국과 소비자에게 책임을 져야 함 - 직원들이 이러한 원칙을 지킬수 있도록 해야 함 - 이를 위해 직원들을 교육해야함 - 제3자에게 개인정보를 제공하는 때에는 제3자도 이원칙을 지킴을 계약 형태로 나타내야 함

(출처 : 백악관(2012), 소비자 프라이버시 권리장전 재구성)

아울러, 동 권리 장정의 집행가능한 실행지침(Codes of Conduct)을 만들기 위해 공공기관, 사기업 등 이해관계자가 참여하여 만들어 주기를 권고하고 있으며, 이행력을 높이기 위해 의회로 하여금 권리장전을 집행하기 위한 입법을 해주기를 요청하고, 국제적으로 법 집행에 있어 협력하여 글로벌 상호호환성을 높이겠다고 하였다.

동 지침은 소비자 프라이버시 권리장전은 법률적 구속력이 있는 것이 아니고 이해당사자 들이 지침에 규정된 내용을 실행하고 향후에 의회와 함께 입법을 추진하기 위한 것을 주요 목적으로 있으며, 동 지침의 이행은 유럽, APEC 과 미국의 개인정보법제를 조화시키는 데 도움을 줄 것이라고 제시하고 있다(White&Case, 2012).

급변하는 시대의 소비자 프라이버시 보호(2012)

Protecting Consumer Privacy in an Era of Rapid Change

기업간 공정경쟁과 함께 소비자 보호 업무를 담당하는 독립기관인 FTC는 온라인 상의 개인정보 보호의 문제에 대해서는 업계의 자율규제를 유도하는 방향으로 규제해 왔다(KISDI, 2012). 동 지침은 소비자의 정보 수집과 이용에 관하여 소비자에 더 잘 알 릴 수 있도록 하는 모범 사례(best practice)를 포함하고 있으며, 동 가이드라인은 기업이 소비자의 데이터를 수집, 보유 및 사용하는 방법을 제한하는 것을 주요 목적으로 하고 있다.

개인정보보호 원칙은 1) 전단계에서 개인정보보호를 할 수 있도록 하고, 2) “Do not track” 을 포함하여 적절한 시간에 자신의 개인정보에 대한 결정을 할 수 있도록 하여 이용자의 선택권을 고양하되, 불필요한 선택 절차를 단순화하여 기업의 부담을 줄이고 3) 기업의 개인정보의 수집 이용절차를 표준화된 개인정보보호 정책 공개, 개인정보에 대한 접근성 확보 등을 위해 투명화해야 한다고 규정하고 있다(FTC, 2012).

< 급변하는 시대의 소비자 프라이버시 보호 권고안의 원칙 >

1. PRIVACY BY DESIGN(전 단계에서 소비자 개인정보보호)

- 회사는 데이터 보안, 합리적인 수집 한도, 건전한 유지 관행 및 데이터 정확도와 같은 실무에 실질적인 개인 정보 보호를 통합

- 기업은 제품 및 서비스 수명주기 전반에 걸쳐 포괄적 인 데이터 관리 절차를 유지

2. SIMPLIFIED CHOICE(소비자 선택의 단순화)

- 일반적으로 받아들여지는 이용자의 거래 관계를 위해서는 이용자의 데이터를 수집․이용하는 경우에는 사전에 선택을 제공 할 필요가 없음

- 선택이 필요한 경우에는, 기업은 소비자가 자신의 데이터에 대해 결정을 내리는 시점에서 선택을 제공해야 함

- 1) 당초 수집되어진 목적과 다를때, 2) 민감데이터를 사용하는 경우에는 명시적 동의를 받아야 함

- Do Not Track 메커니즘을 개발하여 이용자에게 정보의 통제권을 주는 노력을 치하하고, 지속적인 향상과 적용을 촉진하기를 권고

3. GREATER TRANSPARENCY(데이터 운용의 투명성 향상)

- 개인 정보 보호 정책을보다 잘 이해하고 비교할 수 있도록 개인 정보 보호 정책을 보다 명확하고 짧으며 표준화

- 회사는 유지하는 소비자 데이터에 합리적인 접근을 제공해야하며, 액세스 범위는 데이터의 민감도와 사용 목적에 비례해야 함

- 기업은 데이터를 수집 할 때 주장했던 것과 상당히 다른 방식으로 소비자 데이터를 사용하기 전에 눈에 잘 띄는 공개를 제공하고 확실한 명시 적 동의를 얻어야 함

- 모든 이해 관계자는 개인 정보 보호 관행에 대해 소비자를 교육해야함

(출처 : FTC(2012), 급변하는 시대의 소비자 프라이버시 보호 재구성)

또한, 동보고서는 기술의 진보 등에 따라 "Do Not Track" 정책에 대해 강력한 지지를 표명하는 한편, 데이터를 사고, 처리하고, 파는 데이터 브로커에에 대해서도 권고안을 발표하였는데, 소비자가 데이터 브로커의 존재와 어떤 목적으로 사용하는지 잘 모르기 때문에 도입하였다고  설명하고 있다. 이를 위해서 이용자는 데이터 브로커는 이용자에게 보유한 정보에 접근할 수 있도록 해야 하며, 이용자가 데이터 이용 통제를 위해 하나의 웹사이트로 이용자의 이용정보를 확인할 수 있도록 해야 한다고 권고하고 있다.

중소기업의 부담을 덜기 위해서 연간 5,000명이하의 이용자로부터 민감하지 않은 데이터를 수집하고 제3자와 데이터를 공유하지 않는다면 동 권고안의 적용을 예외로 하고 있다.

광대역 및 기타 통신·서비스 고객의 개인정보보호에 관한 연방통신위원회 규칙

미국은 의료 정보, 통신정보, 신용정보 등 민감정보를 제외하고는 일반적으로 Opt-out 방식의 개인정보처리를 허용하고 있었다. 하지만, ISP 가 인터넷 검색 등 이용자의 개인정보보호를 악용하는 것을 방지하기 위하여 ISP가 사용자의 위치·금융·건강 정보 등을 광고나 마케팅에 활용하기 위해서는 사용자에게 반드시 동의를 구해야 한다는 내용을 주요 골자로 하는 “광대역 및 기타 통신·서비스 고객의 개인정보보호에 관한 연방통신위원회 규칙”을 2016년 제정하였다(FCC, 2016).

동 규칙은 소비자의 개인정보보호를 위하여 1) 투명성(Transpareny), 2) 선택권(Choice), 보안 및 침해 통지(Data security and Breach notification)  등 3가지 원칙을 정립하였다(FCC, 2016).

< 2016년 개인정보보호에 관한 연방 통신위원회 규칙 주요내용 >

분류	주요내용
투명성	- ISP가 수집하는 정보, 사용방법, 개인정보가 공유될 수 있는 상황 및 제공되는 3자에 대한 정보를 고지 하여야함 - 고객의 개인정보에 대하 상용 및 공유에 대하여 Opt-out 또는 Opt-in 할 수 있다는 권리에 대해 고지 - 개인정보의 수집 시점에 고객에게 개인 정보 취급 방침을 제시하고 해당 개인정보보호 정책을 웹사이트 등을 통해 지속적으로 사용할 수 있고 접근할 수 있도록 하여야 함 - 개인정보보 보호 정책 변경시 변경사항을 고객에게 통보
선택권	옵트 인 (Opt-in) : - ISP는 민감한 정보를 사용하고 공유하기 위해 이용자에게 “사전 동의”를 받아야 함 - 민감정보의 범위에는 지리적 위치, 금융 정보, 건강 정보, 아동 정보, 주민등록번호, 웹 검색 기록, 앱 사용 내역 및 통신 내용을 포함하여 민감하다고 판단되는 정보 범주를 포함 옵트 아웃 (opt-out) : - ISP는 고객이 사전에 사후에 동의를 하지 않는 한 “사전동의‘ 없이 중요하지 않은 민감하지 않는 정보를 사용하고 공유 할 수 있음 - 전자 메일 주소 또는 서비스 계층 정보와 같은 모든 개별적으로 식별 가능한 고객 정보 등은 민감하지 않는 데이터로 간주 - 이러한 정보의 이용은 “사후 동의” 의 대상으로 간주 동의 요구 사항 예외 : - 브로드밴드 서비스의 요금 청구 및 징수 조항 등을 위하여 법령에 규정한 사항 등은 사전 동의 예외 - 고객과 ISP의 관계를 구축하는 것은 추가적으로 고객 동의가 필요 없음
보안 및 침해 통지	개인정보보호를 위한 적절한 조치 - 데이터의 민감도, 이용범위, 제공자의 수, 기술적 가능성 등을 고려하여 개인정보 보호 조치를 취해야 함 - 강제적인 요건은 지정하지 않지만 데이터 보안을 위해 준수해야할 가이드라인을 제시 침해 발생시 통지 - 5,000명 이상시 FCC와 FBI에 3일이내 통보 - 5,000명 이하인 경우 30일 이내에 FCC에 통보 - 개인정보 침해에 대한 세부 요건에 대하여는 이용자에게 30일이내에 알려야함

(출처 : FCC, 광대역 및 기타 통신·서비스 고객의 개인정보보호에 관한 연방통신위원회 규칙 재구성)

FCC 의 새로운 규정에는 FTC가 규정한 이용자들의 “민감한 정보”를 사용, 공유, 판매하기 위해서는 소비자로부터 “사전 동의” 를 받아야 한다는 점은 유사하지만, “민감한 정보”에 대하여 FTC 가 정의하고 있는 건강 및 재무 정보 이외에 지역 정보, 웹 브라우징 및 앱 사용 내역 등으로 포괄적으로 확대함으로서 실질적으로 ISP 가 이용자의 개인정보를 수집할 때에는 “사전동의”를 받게끔 하였다. 또한, 개인정보 유출 등 침해 사고 발생시 이용자와 감독기관에게 반드시 통보하도록 의무를 부과하였다.

동 규칙은 ISPs 사업자들에게 만 적용되기 때문에 ISPs 보다 훨씬 더 많은 개인정보를 수집하는 구글 등 콘텐츠 프로바이더 등에게 적용되지 않기 때문에 규제에 대한 형평성 문제도 제기되었다. 예를들어, ISP 는 고객의 동의 없이 웹 브라우징 목록 등을 더 이상 확인할 수는 없지만 검색 엔진 제공업체, 소셜 미디어 및 웹 사이트 등에서는 이러한 목록 등을 계속해서 조사, 사용, 판매 할 수 있다(Washingtonpost, 2016).

이 규정은 2017년 12월부터 시행될 예정이었으나, 트럼프 행정부가 들어선 이래로 컴캐스트·버라이즌과 같은 ISP는 페이스북·구글 같은 인터넷 업체보다 더 엄격한 개인정보 보호 규정을 적용받기 때문에 형평성 문제 등을 이유로 폐지를 주장하였으며, 이에 2017년 3월에 공화당이 규제 개정안 폐지를 위한 결의안(Joint Resolution)을 발의하였고 상원과 하원을 통과하였으며, 2017년 4월 대통령이 서명함에 따라 FCC 규칙의 폐지가 확정되었다(SPRI 블로그, 2017). 이에따라, ISP 사업자들은 이용자의 인터넷 웹사이트 이용 정보 등을 추적할 수 있고, 수집한 개인정보를 마케팅에 활용하고 판매하는 것을 계속 할 수 있게 되었다.

동 규칙의 폐지는 규제완화를 통한 개인정보를 활용한 산업의 활성화를 도모한 측면이 있지만, 개인정보의 무단 수집 및 판매 등을 통하여 사생활 침해의 우려도 있다고 지적하고 있다(SPRI 블로그, 2017). 특히, 동 규칙의 폐지로 인해 앞으로 ISP의 개인정보보호를 규제하는 유사한 규칙의 제정은 할 수 없게 되어 인터넷상에서 개인정보보호를 위한 실질적인 법적인 장치 마련이 어렵다고 평가 받고 있으며, FCC의 개인정보보호에 대한 감독기능 축소도 예상된다고 지적하고 있다.

3. 빅데이터에 대한 접근 방식

EU 보다는 미국이 빅데이터 및 기타 정보 활용 등에 있어서는 유리한 측면이 있는데, 왜냐하면, 동의 방식 문제와 관련하여 미국 모델의 경우에는 동의철회 등의 방식을 활용하는 사후 동의방식(opt-out) 방식이 용이하게 인정되기 때문이다(KISA, 2014).

BIG DATA AND PRIVACY: A TECHNOLOGICAL PERSPECTIVE

대통령 직속 과학기술자문위원회는 2014년 5월에 빅데이터 활용시 사생활 보호를 위한 방안에 대해 보고서를 발표하였다. 이 보고서는 기술적 수단 그 자체로는 프라이버시 보호에 충분치 않다고 결론을 내리고 다양한 정책적 수단이 필요하다고 지적하였으며, 연방정부가 빅데이터 처리에 있어 프라이버시와 관련하여 취해야 할 정책적 조치를 권고하였다.

< 주요 권고 사항 >

구분	주요 내용
권고 1 :	데이터의 수집 또는 분석보다는 실제적인 사용에 집중되어야 함 - 개인정보의 수집, 저장, 보관 등의 규제에 초점을 맞춘 규제는 사생활을 보호하는데 효과적인 방법을 제시하지 못함 - 수집과 보관을 제한하는 것은 집행하기도 점점 어려워지고 있음
권고 2 :	정책이나 규제는 특별한 기술을 수용한다는 것보다는 의도된 결과에 의해 설명되어져야 함 - 예를들어, 익명화 사용을 규제하여 건강정보를 규제하는 것은 실효성을 얻지 못함
권고 3 :	협력을 통해 프라이버시 관련 기술 및 기술이 성공적으로 적용될 수 있도록 사회과학 영역에 대한 국내 연구를 강화해야 함
권고 4:	프라이버시 보호를 위한 교육 훈련을 확대해야 함
권고 5:	국제적으로 국내적으로 프라이버시 보호 기술을 촉진하는 정책 채택을 선도해야 함

(출처 : 백악관,  빅데이터와 프라이버시 : 기술적 관점)

ADMINISTRATION DISCUSSION DRAFT CONSUMER PRIVACY BILL OF RIGHTS ACT

2012년 제안한 온라인 프라이버시 프레임워크를 입법화하기 위한 전단계로서 행정논의 초안을 발표하였으나 아직 의회에서는 통과되지 못하고 있다(개인정보보호위원회, 2016).

동 초안은 개인정보의 범위를 명시하고 있는데, 비식별 데이터의 경우에는 개인정보가 아님을 명시하고 있다. 개인정보를 비식별 처리하여 해당 정보를 개인정보로 취급하지 아니하여 법률 적용을 배제할 수 있게 된다.

< 비식별 데이터의 종류 >

1. 특정 개인 또는 기기와 정보가 연결되어 있지 않다고 예상할 수 있는 합리적 기준이 있을때

2. 개인을 식별하려는 시도를 하지 않고 그런 식별이 일어나지 않도록 적절한 통제장치를 마련한다고 공개적으로 선언한때

3. 특정 개인 또는 기기와 개인정보를 연결하도록 시도하는 것을 계약적, 법률적으로 금지 시킬 경우

4. 개인 또는 기기를 연결하지 않을 것을 공개적으로 약속할 경우

(출처 : 개인정보보호위원회(2016), GDPR 발효에 따른 주요국의 개인정보보호법제 입법동향 분석 및 대응방안 연구 인용 )

프라이버시 보호를 위한 빅데이터 정책

오바마 행정부는 2012년 Big Data initiative 발표하여 다양한 정책을 추진하여 왔다. 그 이후 빅데이터 활용범위가 광범위해지면서 프라이버시 침해에 대한 우려가 커짐에 따라, 오바마 대통령은 빅데이터 정책에 대한 검토를 지시하였고, 이에 백악관 자문단은 빅데이터에 대한 보고서를 제출하였다.

보고서는 빅데이터가 사회, 경제적을 많은 혜택을 가져 왔다고 강조하면서, 빅데이터 활용에 따른 프라이버시 침해에 대한 우려가 크다는 점을 명시하였다. 보고서는 데이터를 수집하기 전에 사용자의 동의를 받는 전통적인 고지 및 동의 프레임워크의 재검토가 필요하다고 주장하고 있다. 빅데이터 환경에서 데이터가 어떻게 사용 또는 재사용 되는지에 초점을 맞추어야 하며, 개인정보가 수집되고 난 이후에 개인정보의 이용과 유통에 이용자가 참여할 수 있는 메카니즘을 만드는 것이 실질적으로 좋은 방안이라고 제안하고 있다. 아울러, 프라이버시 보호는 빅데이터로부터 얻을 수 있는 사회적 이익을 수용하는 방식으로 발전해야 하다고 주장하고 있다.

빅데이터 시대에 프라이버시 보호를 위해, 1) 소비자 권리장전의 입법, 2) 데이터 침해법령 제정, 3) 국적에 관계없는 개인정보 보호, 4) 학생데이터의 교육 목적으로만 사용, 5) 개인정보에 대한 전문인력 증대, 6) 전자통신 프라이버시 법 개정을 제안하였다.

< 백악관 자문단 보고서 주요 권고 내용 >

구분	주요 내용
소비자 권리장전의 입법	Department of Commerce가 이해관계자와 의회의 내용을 고려하여 법령 작업 - 이용자는 개인정보가 어떻게 사용되는지 명확하고 이해가능하고 합리적인 표준을 갖을 수 있는 권리가 있음
데이터 침해 법령 제정	2015년에 personal data notification and protection act를 발표한바 있음 - 개인정보 침해시 국가적으로 단일한 통보 절차 등을 마련
국적에 관계없는 개인정보 보호	비 미국시민에게도 개인정보 관련 법령이 적용되도록 검토
학생데이터의 교육 목적으로만 사용	학생데이터가 불법적으로 공유되고 이용되지 않도록 보장 하는 규정 마련
개인정보에 대한 전문인력 증대	빅데이터 관련하여 차별이 발생하지 않도록 전문인력의 확대
전자통신 프라이버시 법 개정	온라인에 적용되는 규정과 오프라인에 적용되는 규정을 일관성이 있게 수정

(출처 : The white house(2014), BIG DATA: SEIZING OPPORTUNITIES, PRESERVING VALUES 발췌)

4. 개인정보의 국외 이전

개 요

자율규제(self-regulation)를 중시하는 미국의 경우 미국 내의 개인정보를 국외로 이전을 규제하는 명시하는 규정은 찾아보기 힘들다(KISA, 2014). 다만, 미국은 EU 등과의 협정체결, APEC CBPRs 참여 등 국가간 협정을 통해 개인정보에 대한 국외이전 문제를 다루고 있다. 자국의 산업 특성을 고려하여 어떠한 국가도 데이터에 대한 현지화(Data localization) 등을 통한 독점적 소유권을 갖도록 하는 체계를 만드는 것에 대하여 부정적 입장을 가지고 있는데, 왜냐하면 아래 그림에서 보는 바와 같이 시가총액 10억불이상의 디지털 기업이 대부분이 미국에 위치하고 있기 때문에 대외적으로 자국기업의 안정적 이윤추구를 도모하고 대부분의 데이터가 자유롭게 미국으로 흘러들어 올수 있는 것을 기대하는 측면이 있다고 일부 보고서는 설명하고 있다(Gurumurthy 외, 2017)

< 지역별 MNEs 기업의 분포 >

(출처 : UNCTAD(2017), Information Economy Report 2017, pp.10)

나. 미-EU 프라이버시 실드

EU는 1995 년 부터 "개인정보보호지침"에 따라 적절한 보안 수준을 준수하고 있는 제3국으로만 개인정보의 국외 이전을 허용하고 있었기 때문에, 미국 상무부는 이러한 문제를 해결하기 위하여 EU와 2000년 10월 미국기업이 EU 지역에서 수집한 개인정보를 자유롭게 미국으로 이전 할 수 있도록 하는 EU와 세이프 하버 협정을 체결하였다. 이 협정을 통해 미국 기업들은 세이프하버를 준수한다면 EU에서 미국으로 이전되는 개인정보에 대한 "적절한 보안 조치"를 취한 것으로 간주한다.

세이프 하버 (Safe Harbor) 체계에서는 미국 기업은 미 상무부에 매년 EU의 데이터 개인 정보 보호 기준을 충족하는 것으로 간주 된 7개 기본 원칙 및 요구사항을 준수했음을 자율적으로 인증 받으면 되었다(Weiss&Archick, 2016).

< Safe Harbor 원칙 .>

기준	내용
통지	기업은 정보를 수집하고 사용하는 목적, 문의 나 불만을 제기하기 위해 조직에 연락하는 방법 및 정보를 공개하는 제 3 자의 유형에 대해 개인에게 알려야 함
선택.	기업은 개인에게 자신의 개인 정보가 (a) 제 3 자에게 공개 될 것인지, (b) 그것이 당초 수집당시에 목적 외에 사용될 수 있는 여부를 선택 (optout) 할 수있는 기회를 제공해야함 - 민감한 정보의 경우, 개인은 제 3 자에게 개인 정보가 전송되거나 원래 수집되었거나 이후에 승인 된 용도 이외의 목적으로 사용될 때 명시 적으로 동의를 받아야 함
제공(onward transfer)	정보를 제 3 자에게 이전하는 경우 기업은 통지 및 선택 원칙을 지켜야함
보안.	개인 정보를 생성, 유지, 사용 또는 보급하는 조직은 손실, 오용 및 무단 액세스, 공개, 변조 및 파손으로부터 정보를 보호하기 위해 합당한 예방 조치를 취해야 함
데이터 무결성.	개인 정보는 사용하려는 목적과 관련이 있어야하 며, 데이터가 의도 한 용도, 정확하고 완전하며 최신 상태로 신뢰할 수 있도록 합리적인 조치를 취해야 함
액세스.	개인은 기업이 보유하고 있는 정보에 액세스 할 수 있어야하며 정보가 정확하지 않은 경우 해당 정보를 수정, 수정 또는 삭제할 수 있어야 함. - 단 국가 안보, 공익 또는 법 집행 요구 사항에 필요한 범위로 제한 가능
집행.	효과적인 개인 정보 보호에는 이 규정의 준수를 확인 할 수 있는 위한 메커니즘이 포함되어야함 - 준수하지 않는 경우 제재와 개선 조치를 할 수 있어야 하며, 제재는 규정 준수를 위해 충분히 엄격해야 함

(출처 : Weiss&Archick(2016),  U.S.-EU Data Privacy: From Safe Harbor to Privacy Shield 재구성)

세이프 하버 (Safe Harbor) 참여는 미국 연방 통상위원회 (FTC)와 미국 교통부(DOT) 의 규제를 받는 모든 기업에게 열려있으며, 2016년까지 약 4,500 개의 회사가 세이프 하버 리스트에 등재되어 있었다고 밝히고 있다. 다만, FTC와 DOT의 관할권에 속하지 않은 조직은 "세이프 하버 (Safe Harbor)"에 참여할 수 있는 자격 요건이 되지 않기 때문에, 미국 금융 회사와 통신 사업자가 규정의 적용에서 예외로 인정 받는다 (Weiss&Archick, 2016).

세이프 하버에 인증 자격을 갖추기 위해 기업은 세이프 하버 (Safe Harbor) 원칙을 준수하고 있다는 서한을 매년 DOC에 서신을 보내면 가능하다. 만약 지속적으로 준수하지 않으면 "세이프 하버 (Safe Harbor)" 웹 사이트에 세이프 하버 (Safe Harbor) 상태가 철회되고 제재 조치가 취해 질 수 있다. 2016년까지 FTC는 세이프 하버 프레임 워크를 위반 한 40 개 회사에 벌금을 부과한 바 있다(Weiss&Archick, 2016).

하지만, 2015년 6월 유럽사법재판소가 세이프 하버 체계에서는 EU가 정한 개인정보 수준의 적절성을 충족시키지 못하기 때문에 세이프하버 협정을 무효로 결정함과 함께 GDPR이 제정됨에 따라 미국과 EU 사이의 개인정보의 국가간 이동에 관한 규율체계를 재정립하기 위하여, 2016년 2월에 기존의 세이프 하버 협정을 대체하는 새로운 개인정보의 국외 이전 체제에 대한 협정을 마련하였고, 이를 ‘EU-U.S. 프라이버시 쉴드(Privacy Shield) 로 부르게 되었다(DoC, 2016).

프라이버시 쉴드는 전체적인 틀 자체는 기존의 세이프하버 제도와 유사하다. 세이프 하버의 기본 7원칙을 포함하고 기본적으로 프라이버시 쉴드 또한 자율인증(self-certify) 체제로 운영된다. 미국에서 영업하는 기업들은 프라이버시 쉴드 체제에 가입하기 위해서는 미국 상무부(Department of Commerce)에 신청을 해서 자율인증 절차를 거쳐야 한다.

세이프하버와 프라이버시 쉴드는 이런 측면에서 유사하지만, 프라이버시 쉴드의 세부적인 원칙들은 기존의 세이프하버 제도와 비교해서 데이터 주체의 권리를 확대하고 데이터보호를 좀 더 강화하는 방향으로 제정되었다. 주목할 만한 점은, 1) 프라이버시 쉴드 상의 고지 의무가 전체적으로 더 세부적으로 규정되었으며 2) 제3자 제공시 계약시 정보주체의 범위 내에서만 활용된다는 점과 내용과 원칙을 준수하지 못할 때의 통보 의무 명확화하고, 3) 개인정보를 이전받는 자의 원칙 준수 여부 등을 평가하고 목적외 활용시 처리를 제한하는 규정을 포함하고, 4) 개인정보과 처리를 목적으로 관리 되는 동안만 정보를 보유할 수 있도록 개인정보 보유 기간을 최소화하고 5) 기업에게 본인의 개인정보보유 유무에 대한 확인을 요청 할 수 있는 권리가 포함되어 있다.

< 세이프 하버 vs 프로이버시 실드 제정에 따른 주요 변경 사항 >

구분	추가된 내용
개인정보정책의 공지 사항	- Department of Commerce 프로그램 목록 링크 - 데이터 주체가 데이터에 액세스 할 수있는 권리 - FTC, DOT 또는 기타 미국 집행 기관의 승인 내역 - 법 집행 기관의 합법적 인 요청에 대한 응답으로 개인정보를 제공할 의무 제공 할 의무. - 3자제공과 관련된 책임 내역
개인정보의 재이전	- 데이터 주체의 동의에 따라 제한적이고 구체적인 목적으로 만 데이터를 처리 할 수 있다는 내용을 계약에 포함 - 타사가 더 이상 개인 정보 보호 원칙을 준수 할 수 없다는 결정을 내릴 경우 이를 조직에 알려야 하는 의무
Onward transfers to service providers/sub-processing.	- provider에 대한 평가 - 무단 처리를 중단할 수 있는 조치 - 요청시 상무부에 계약내용 요약본을 제공 - 서비스 제공 업체의 잘못된 처리에 대한 책임 - 타사가 더 이상 개인 정보 보호 원칙을 준수 할 수 없다는 결정을 내릴 경우 이를 조직에 알리도록 요구
Data integrity	- 개인정보의 처리를 목적으로 관리 되는 동안만 정보를 보유
Access	- 기업에게 본인의 개인정보보유 유무에 대한 확인을 요청 할 수 있는 권리

(출처 : BRYAN CAVE(2016) 재구성)

아울러, 프라이버시 참여기업의 주기적 검토, 정부기관의 개인정보에 대한 액세스 제한, 배상제도 도입, 분쟁 중재를 위한 모델이 새롭게 포함되어 있다(DoC, 2016). 특히, 정보기관의 무차별한 정보 감시를 방지하기 위하여 정보기관이 약속을 하였고, 정보기관에 의해 침해발생시 정보기관과 독립적인 옴브즈만 운영을 통해 배상과 분쟁 조정을 할 수 있도록 하였다(EC, 2016).

< 프라이버시 실드에 신규로 포함된 원칙 >

원칙	주요내용
Strong obligations on companies handling data	프라이버시 실드 참여 기업에 대한 주기적인 업데이트 개인정보를 제공받는 3자도 프라이버시 실드의 원칙을 동등한 수준으로 유지
Clear safeguards and transparency obligations on U.S. government access	공공기관의 무차별적인 개인정보 액세스 금지 배상 제도(redress)의 도입 - 국무부 내에 옴부즈만 제도를 두어 공공배상 해결
Effective protection of individual rights	회사, ADR, FTC 를 통해 분쟁 해결 공공기관의 경우 정보기관과 독립적인 옴부즈만 운영을 통한 분쟁 해결
Annual joint review mechanism:	프라이버시 실드 메키니즘을 EU와 미국이 함께 검토

(출처 : EU(2016) 재구성)

새로운 프라이버시 쉴드 합의는 이전 세이프 하버합의와 마찬가지로 국가 간 조약이 아니며, 따라서 의회의 승인을 필요로 하지 않는다. 또한, 세이프 하버 원칙은 국가 안보, 공익 또는 법 집행 요구 사항에 필요한 범위로 제한 될 수 있다. 특히, 프라이버시 쉴드에서는 개인정보 보호는 법적 집행 체계보다는 미국 정부 당국의 주장이나 다짐에 근거하고 있기 때문에 실효성 측면에서 문제가 제기되고 있다.

다. 개인정보 국외이전 규정 여부

미국에서 개인정보를 국외로 이전하는 조항를 명시하거나 개인정보보호 법의 역외적용을 명시한 규정은 찾아보기 힘들다. 다만, 건강, 금융정보 등과 같이 민감 정보(sensitive information)의 침해가 발생한 경우에는 공정거래위원회법(Fair Trade Commission Act)의 제5조의 불공정 또는 기만적 행위나 관행(unfair or deceptive acts or practices) 규정을 적용 하여 국외이전을 제한하고 있다(KISA, 2014).

5. 주요 개인정보 조사․제재 현황

개인정보의 조사는 미국의 FTC(Federal Trade Commission)에서 담당하고 있다. FTC는 1915년 준사법․준입법 기능을 가진 독립 행정기관으로 1914년 설립되었다. 소비자 보호국(Bureau of Consumer Protection), 경쟁국(Bureau of Competition), 경제국(Bureau of Economics) 등 3개 Bureau 와 10개 오피스와 지역별 사무소로 구성되어 있다.

미국 (FTC)은 FTC 법 제5조의 불공정 또는 기만적 행위나 관행(unfair or deceptive acts or practices) 규정을 적용 하여 국내에서의 개인정보보호법 위반을 제재하고 있다(KISA, 2014).

FTC의 Privacy and data security 보고서에 따르면, 이용자의 개인정보 보호를 위하여 스팸이나 맞춤형 광고 등의 이슈와 관련하여 2017년 한해동안 130여건의 스팸과 스파이웨어 관련 건과 50건 이상의 프라이버시 관련 법령 위반 소송을 제기 하였다고 밝히고 있다.

2010년 구글 버즈 (Google Buzz)

구글이 만든 소설네트워크 서비스인 구글 버즈가 구글의 G-mail의 주소록을 이용자에게 사전 고지 또는 동의절차 없이 자동으로연계하여 이메일 주소, 전화번호, 거주지 등의 개인정보 프로필을 누구나 열람하게 하였다.

이에따라, FTC는 구글 버즈를 조사하였으며 구글이 이용자의 동의 없이 개인정보가 공개되었다는 점을 이유로 관련 법령을 위반했다고 결론 내렸다. 2011년 구글과 FTC는 이용자의 정보를 제3자와 공유하기 전에 사전 동의를 받고, 보안 프램그램의 내용을 왜곡하지 않는 등의 조치사항과 더불어 향후 20년간 격년에 한번씩 개인정보보호 감사를 받는 데에 합의(Settlement)하였다(FTC, 2011). 이 합의는 포괄적인 개인정보 보호 프로그램을 운영하도록 하는 최초의 명령으로써 의미를 갖는다.

< 구글-FTC 간 정책 합의 내용 >

① 필요한 최소한의 정보를 수집하고 처리

② 개인정보 수집시 명시적 동의를 거칠 것

③ 프라이버시 고려하여 서비스 설정

④ 프라이버시와 관련한 설정을 쉽게 할 수 있어야 함

⑤ 적절한 개인정보보호 조치를 취해야 함

⑥ 이용자가 계정삭제 등을 요청할 수 있는 절차를 제공해야 함

(출처 : FTC(2011)

2012년 구글 사파리

구글이 애플의 웹브라우저인 사파리가 설치된 아이폰 등에 구글 사파리 이용자가 스스로 설정을 하지 않았음에도 불구하고 쿠키파일을 설치 해서 사용자들의 인터넷 이용기록을 추적한 것이 발단이 되었다. FTC는 2011년 구글과 FTC의 합의에 어긋난다는 판단에 따라, 2,250만 달러의 벌금을 부과 하였다(FTC, 2011).

2009 페이스북의 정책 합의

2009년 페이스북은 개인정보보호 정책을 이용자 동의 없이 일방적으로 변경하여 논란이 되었다. 페이스북은 이용자가 직접 비공개 설정을 하지 않은 정보에 대해서 타인이 열람할 수 있도록 약관을 변경하는 등 개인정보 관련 단체들로부터 문제가 끊임없이 제기되었다. 이에 FTC는 조사를 통해  Section 5(a) of the FTC Act 위반으로 페이스북에게 동의 명령(The proposed consent order)을 내렸다(FTC, 2011).

Section 5(a) of the Federal Trade Commission Act (FTC Act) (15 USC §45) prohibits “unfair or deceptive acts or practices in or affecting commerce.”

< 정책합의 주요 내용 >

① 이용자의 개인정보보호 및 보안과 관련 된 허위 표현 금지

② 이용자의 개인정보와 관련된 설정의 변경시 명시적 동의 필요

③ 계정이 삭제된 이용자의 저오에 대하여 30일 이후에는 접근 금지

④ 개인정보 침해 위협을 다루기 위한 포괄적인 프라이버시 프로그램 구축 및 운영개발

⑤ FTC 에 규정에 적합한 개인정보보호 정책을 180일 이내에 수립후 독립적인 기관으로부터 감사 필요, 20년간 2년마다 검증 실시

US-EU 프라이버시 실드 및 APEC CBPRs 위반 조치

FTC는 세이프 하버 이후에 46건의 제재 조치를 취했는데, 이중 39건은 세이프 하버 시에 제재하였고, US-EU 프라이버시 쉴드 발효이후 3건을 제재하였다.

2017 FTC는 연례보고서에 따르면, US-EU 프라이버시 쉴드 발효 이후, 이를 위반한 3개 사업자에 대한 제재 조치를 시행하였다. 3개 사업자는 프린팅 서비스 사업자인 Tru communication, 인적자원 소프트웨어 회사인 Decusoft, 부동산입대 업자인 Md7 인데 그들은 프라이버시 실드 인증 절차를 완료하지 못했다고 지적하였다.

아울러, FTC는 APEC CBPR 위반에 대해서도 3건을 제재하였는데, 그들은 APEC CBPR에 참여하지 않는데도 참여하는 것처럼 하여 소비자를 기만하였다는 이유이다. 기업고객을 위한 보호 소프트웨어를 제공하는 Sentinel Labs, 개인메시징 앱을 제공하는 Spychatter, 보안 프로그램을 제공하는 Vir2us를 제재하였다.

6. 미국과 유럽의 규제 차이점

미국과 유럽의 사회 문화적 차이에 따라 개인정보의 규제 차이가 나타나고 있다. 미국은 시장중심적인 정책을 추진하고 있는 반면, EU는 개인정보보호를 기본권으로 인식하고 강하게 규제하고 있다. 더불어, EU는 일원적인 규제체계를 지향하고 있는데 반하여 미국은 영역별로 개인정보보호법을 규정하여 운영중에 있다. 마지막으로, EU 는 국가별로 단일 규제기구로 조사와 제재를 하고 있지만, 미국은 FTC 뿐만 아니라 각 주에서도 법률을 제정하여 개인정보를 보호하고 있다. EU는 사전적 규제방식을 채택하고 있는 반면, 미국은 사후적으로 규제하는 방식을 주로 취하고 있다(김수연, 2015)

< EU와 미국의 개인정보 규제의 차이점 >

EU	미국
권리중심적 접근 - 프라이버시를 기본권으로 인식 - 법률에 근거가 없으면 개인정보 처리 불가	시장중심적 정책 - 시장 자율적 보호 - 법률에 규정된 사항 위반시 제재 - 개인정보 처리 금지가 법률에 규정되어 있지 않는 한 가능
일원적 규제체제	섹터별 규제 체제
일원적 규제기구로 DPA(Data Protection Authority)가 설치	FTC를 통한 법집행 이외에, 각 주별 법집행

(KISA, 2014 개인정보보호 이슈의 지형 변화와 국제규범의 형성 발췌)

Ⅷ. 결론 및 정책제언

빅데이터 기술이 발전함에 따라 다양한 데이터들의 조합 및 분석이 가능해 짐에 따라, 개인정보 침해 가능성도 커지고 있다. 하지만, 과도한 규제는 산업 활성화를 저해하고 그렇다고 규제를 너무 완화하는 것은 무분별한 개인정보의 오남용을 초래할 수 있다. 따라서 빅데이터 시대에는 개인정보보호와 산업활성화 간에 균형잡힌 정책이 필요하다.

개인정보보호와 활용의 조화라는 양 측면을 고려하면 개인정보의 비식별화를 통한 가명화 또는 익명화가 정책적 수단의 하나라고 할 수 있다(국회입법조사처, 2017). 최근 EU는 GDPR에 개인정보보호와 산업활성화 사이에 균형을 도모하기 위하여 익명화․가명화 등의 개념을 제시하는 등 개인정보의 목적외 처리에 유연성을 마련해주고 있다. 미국은 민감정보를 제외한 일반정보에 대해서는 opt out 방식을 채택하고 있어, 빅데이터 도입에 큰 장점을 갖고 있다.

우리나라는 엄격하고 일률적인 사전동의 제도 때문에 빅데이터 활용에 장벽이 될 수 있다고 전문가들은 지적하고 있다. 최근, 우리나라도 ‘개인정보 비식별 조치 가이드라인’을 통해 빅데이터 활용과정에 있어서 기업의 불확실성을 제거하는 한편, 개인정보보호 사이에 균형잡힌 정책을 추진중에 있다. 향후, 개인정보의 비식별화 등을 법령에 이용근거를 명확히 해 나가는 것이 필요할 것으로 보인다. 아울러, 국외 논의 동향 등을 고려하여 엄격하고 일률적인 사전 동의 체계를 다소 완화하여 사전 동의가 어려운 경우에 대해서는 제한적으로 사후거부 방식(opt out)을 도입하는 방안을 검토할 필요가 있다.

국경간 무역을 통한 경제활동이 활성화되고 국가 경제에 많은 영향을 미치고 있기 때문에 개인정보의 국외 이전은 피할 수 없는 현실이 되었다. 개인정보 규제제도는 각 국가의 사회 문화적 특징에 따라 서로 다른 규제체계를 가지고 있어서 국가별 규제체계는 상당하게 다르게 나타나고 있다. 이에 따라 국가간 규제 제도 차이에 따른 관할권 문제, 사생활 침해의 가능성도 높아지고 있다. 따라서 국제적 상호 호환성을 높이고 국외로 이전되는 우리국민의 개인정보의 보호를 위하여 국제기구논의에 적극 참여하는 한편, 국가간 협력 체계를 구축해 나갈 필요가 있다.

우선, 국경간의 개인정보 이전 등 글로벌 환경에서 우리 자국민의 개인정보를 효율적으로 국가 또는 지역간 개인정보규제 제도의 상호 운용성(interoperability)을 확보하기 위하여 국제기구 또는 양자간 논의와 협력에 적극적으로 참여해야 할 필요가 있다. OECD 가이드라인 이나 APEC 프라이버시 프레임워크에서는 국경간 개인정보이전이나 개인정보의 집행협력을 위하여 국가간 협력을 촉구하고 있다. 2017년 우리나라는 국내 개인정보보호관리체계(PIMS)를 ISO/IEC와 ITU-T 국제 표준으로 반영하는 등 우리나라가 개인정보에 있어 기술적 관리적 보호조치 등 글로벌 정책을 선도할 수 있는 기반을 마련한 바 있다. 이러한 논의를 바탕으로 OECD와 APEC 회원국으로서 국제기구의 정책적 논의에 적극 참여하여 우리나라의 개인정보 보호 제도를 적극적으로 반영해 나갈 필요가 있다. 개인정보 제도의 국가간 상호 운용성 확보를 통해 각국별로 상이한 규제체계에 따른 기업의 행정적 부하를 감소시켜서 기업이 글로벌 서비스를 용이하게 할 수 있도록 하는 기반을 마련하는 한편, 우리국민의 개인정보가 국외에서 효율적으로 보호할 필요가 있다. 더불어 우리나라의 개인정보보호 법제의 경우에는 상대적으로 엄격한 측면에 있으므로, 이를 국제기구 논의 등에 참여하여 알려서 국내에서 서비스하는 글로벌 기업에게는 이에 맞는 규제 체계를 갖추도록 유도 하여야 한다.

최근 글로벌 서비스 사업자의 개인정보 침해는 서비스 하는 국가의 경계를 넘어서 많은 국가에서 동시 다발적으로 나타나고 있다. 하지만, 글로벌 기업의 소재지가 국외에 있기 때문에 국내 법령의 준주 여부 등 법령 위반여부의 조사 등이 용이하지 않는 측면이 있다. 최근 국가간에 협력을 통하여 국경간에 일어나는 개인정보 침해를 조사하는 사례가 점차 늘어나고 있다. 우리나라는 국가간 조사 협력을 위한 APEC CPEA에 가입되어 있기 때문에, 이를 활용하여 글로벌 사업자의 위반 사항에 대해서는 APEC 등 국제기구 채널을 활용하여 국가간에 협력을 얻어 낼 수 있는 있도록 하여야 하다. 특히, 글로벌 사업자가 주로 위치하고 있는 미국이나 EU에 대해서는 정책 실무협의체 등을 구성하여 개인정보 침해 발생시 위반여부를 효과적으로 대응해 나갈 필요가 있다. 이를 위해 FTC 등에 공식 협력 채널을 구축하여 개인정보의 국외 이전 정책 연구와 협력 방안을 개발하고, 침해 사고 발생시 효율적으로 정보를 공유해 나갈 필요가 있다. 이러한 양자․다자간논의를 통해 개인정보 유출시에 조기에 대응방안을 마련하여 효과적으로 피해자를 구제할 수 있는 메커니즘을 개발해 나가야 할 것이다.

특히, 개인정보의 규제 제도가 각국별로 상이하므로 국내기업의 효과적인 국외 진출을 지원하기 위해서는 각국의 개인정보의 규제제도의 차이점을 교육하는 프로그램을 확대해나가야 한다. 최근 GDPR 도입에 따라 세계 각국의 기업들은 이에 대응하기 위한 다양한 노력을 경주하고 있다. EU 진출시 우리 기업이 효율적으로 대응할 수 있도록 GDPR과 우리 법령사이의 차이 등을 적극적으로 알려서 우리 기업이 불이익을 받지 않도록 할 필요가 있다.

참고자료

1. 국외문헌

Anick Fortin-Cousens and Markus hyder(2015), APEC Privacy Rules for Cross-Border Data Flows—A Model for Global Privacy Protections, Bloomberg Privacy and Security Report

APEC(2005), APEC Privacy framework

Ardi kolah and Martin Hickley(2015), Impact of EU General Data Protection Regulation (GDPR) on marketing in financial services in the UK

ARQIS(2018), GDPR Compliance Measures Legal Bais of GDPR, Retrieved from https://www.invest-in-bavaria.com/fileadmin/media/documents/Blog/ARQIS_Data_Protection_180112_Eng_final.pdf

Baker & McKenzie.Wong & Leow(2015), The Latest Developments in Cross-border Data Transfer. IAPP ASIA PRIVACY FORUM 2015

Bret Cohen, Britanhall, and Charlie Wood(2017), Data Localization Laws And Their Impact on Privacy, Data Security And the Global Economy'. Antitrust, Vol. 32, No. 1, Fall

Lee A. Bygrave(2002), Data Protection Law: Approaching its Rationale, Logic and Limits.

Christensen, L., Colciago, A., Etro, F., & Rafert, G. (2013). The impact of the data protection regulation in the eu. Intertic Policy Paper, Intertic.

Daniel Castro and Alan McQuinn(2015), Cross-border data flows enable growth in all industries, Information Technology and Innovation Foundation, February 2015.

David A.Zetony(2016), A Side-By-Side Comparison of “Privacy Shield” and the “Safe Harbor”: The Easiest Way to Understand What Privacy Shield is and What You Need to Do to Use it, BRYAN CAVE LLP.

Deloitte(2013), Ecomomic impact assessment of  the proposed general data protection regulation.

Department of Commerce, “EU-U.S. Privacy Shield,” press release, February 2, 2016;

Department of Commerce, EU-U.S. Privacy Shield, Washington, DC, February 29, 2016.

Diane A. MacDonald and Christine M. Streatfeild(2014)  PERSONAL DATA PRIVACY AND THE WTO

Epic.org website "Location Privacy: Apple iPhone / iPad" Retreived from https://epic.org/privacy/location/apple.html

European Centre for International Political Economy (ECIPE)(2013), The Economic Importance of Getting Data Protection Right: Protecting Privacy, Transmitting Data, Moving Commerce.

European Commission(EC)(206.2.2), “EU Commission and United States agree on new framework for transatlantic data flows: EU-US Privacy Shield,” press release, February 2, 2016.

European Commission(EC)(2016.6.12) - Press release European Commission launches EU-U.S. Privacy Shield: stronger protection for transatlantic data flows

European Commission(EC), Protection and exchange of personal data in a globalised world

European Parliament(2016.9), Big data and data analytics–The potential for innovation and growth. Briefing September 2016.

European Research Federation (2017), General Data Protection Regulation (GDPR) Guidance Note for the Research Sector: Appropriate use of different legal bases under the GDPR

EU(2014), The transfer of personal data to third countries and international organisations by EU institutions and bodies.

EU Working Party on the protection of Individuals with regard to the Processing of Personal Data, Working Document, “Transfers of Personal data to third countries; Applying Articles 25 and 26 of the EU data protection directive”(1998.7.24.)

Evans, D. (2011). The internet of things: How the next evolution of the internet is changing everything. CISCO white paper, 1(2011), 1-11.

Forbes(MAR 3, 2016), "152,000 Smart Devices Every Minute In 2025: IDC Outlines The Future of Smart Things" Retrieved from https://www.forbes.com/sites/michaelkanellos/2016/03/03/152000-smart-devices-every-minute-in-2025-idc-outlines-the-future-of-smart-things/#15f8f8164b63.

FCC(2016), REPORT AND ORDER FCC 16-148

FTC(2009. 2.12), 'FTC Staff Revises Online Behavioral Advertising Principles"

FTC(2011.3.30), FTC Charges Deceptive Privacy Practices in Googles Rollout of Its Buzz Social Network : Google Agrees to Implement Comprehensive Privacy Program to Protect Consumer Data

FTC(2011.11.29), Facebook Settles FTC Charges That It Deceived Consumers By Failing To Keep Privacy Promises

FTC(2012), Protecting Consumer Privacy in an Era of Rapid Change

FTC(2012.8.9), Google Will Pay $22.5 Million to Settle FTC Charges it Misrepresented Privacy Assurances to Users of Apple's Safari Internet Browser Privacy Settlement is the Largest FTC Penalty Ever for Violation of a Commission Order

FTC(2016), Ashley Madison settles with FTC over data security. Retrieved from https://www.ftc.gov/news-events/blogs/business -blog/2016/12/ ashley-madison-settles-ftc-over-data-security

FTC(2016), Operators of AshleyMadison.com Settle FTC, State Charges Resulting From 2015 Data Breach that Exposed 36 Million Users’ Profile Information. Retrieved from https://www.ftc.gov/news-events/press-releases /2016/12/operators- ashleymadisoncom -settle-ftc-state-charges-resulting

FTC(2018), Privacy & Data security Update : 2017

Greenleaf, G. (2009). Five years of the APEC Privacy Framework: Failure or promise?. Computer Law & Security Review, 25(1), 28-43.

Greenleaf, G. (2012). The influence of European data privacy standards outside Europe: implications for globalization of Convention 108. International Data Privacy Law, 2(2), 68-92.

Gurumurthy, Amrita Vasudevan and Nandini Chami(2017) The grand myth of cross-border data flows in trade deals Anita, IT for Change

House, W. (2012), Consumer Data Privacy in a Networked World: A Framework for Protecting Privacy and Promoting Innovation in the Global Digital Economy

House, W. (2014), BIG DATA: SEIZING OPPORTUNITIES, PRESERVING VALUES

House, W. (2014). Big data and privacy: a technological perspective. Washington, DC: Executive Office of the President, President’s Council of Advisors on Science and Technology

IAPP, GDPR Matchup: The APEC Privacy Framework and Cross-Border Privacy Rules,

Joshua P. Meltzer&Peter Lovelock(2018), REGULATING FOR A DIGITAL ECONOMY UNDERSTANDING THE IMPORTANCE OF CROSS-BORDER DATA FLOWS IN ASIA, Brookings Institution.

Kuner, C. (2011), “Regulation of Transborder Data Flows under Data Protection and Privacy Law: Past, Present and Future”, OECD Digital Economy Papers, No. 187, OECD Publishing, Paris.

Lee A. Bygrave, Data Protection Law: Approaching its Rationale, Logic and Limits 30 (2002).

Leviathan Security Group(2015), Quantifying the Cost of Forced Localization

McKinsey&Company. (2011), Bigdata : The next frontier for innovation, competition, and productivity

Manyika, J., Lund, S., Bughin, J., Woetzel, J. R., Stamenov, K., & Dhingra, D. (2016). Digital globalization: The new era of global flows. McKinsey Global Institute

Matthias Bauer, Hosuk Lee-Makiyama Erik van der Marel Bert Verschelde(2014), THE COSTS OF DATA LOCALISATION: FRIENDLY FIRE ON ECONOMIC RECOVERYECIPE OCCASIONAL PAPER • No. 3/2014

Mohanty, B., & Srikumar, M. (2017). Hitting Refresh.

Monika Kuschewsky(2013),  What does the revision of the OECD Privacy Guidelines mean for businesses?

Nigel Cory(2017), Post-Hearing Written Submission Before the United States International Trade Commission Investigation No. 332-561. Information Technology and Innovation Foundation

NPR(2018.3.26), FTC Confirms It's Investigating Facebook For Possible Privacy Violations. Retrieved from https://www.npr.org/sections/ thetwo-way/2018/03/26/597135373/ftc-confirms-its-investigating-facebook-for-possible-privacy-violations

OECD(1980),  Guidelines on the protection of privacy and transborder Flow of personal data

OECD(2013),  Guidelines on the protection of privacy and transborder Flow of personal data

Office of Privacy Commissioner of Canada(OPC)(2013.1.28) "WhatsApp’s violation of privacy law partly resolved after investigation by data protection authorities: Canadian and Dutch data privacy guardians release findings from investigation of popular mobile app"

Parlament, E. (2017). Big data and data analytics–The potential for innovation and growth. Briefing September 2016.

Reinsel, D., Gantz, J., & Rydning, J. (2017). Data Age 2025: The Evolution of Data to Life-Critical. Don’t Focus on Big Data.

Stability Pact, International Standards on Data Protection

UNCTAD(2017), Information Economy Report 2017

UNITED NATIONS CONFERENCE ON TRADE AND DEVELOPMENT(UNCTAD)(2016), " Data protection regulations and international data flows: Implications for trade and development".

UNITED NATIONS DEVELOPMENT GROUP(2017), DATA PRIVACY, ETHICS AND PROTECTION GUIDANCE NOTE ON BIG DATA FOR ACHIEVEMENT OF THE 2030 AGENDA

Washingpost(2016.10.27), "The FCC just passed sweeping new rules to protect your online privacy"

Weiss, M. A., & Archick, K. (2016). US-EU data privacy: from safe harbor to privacy shield.

White & Case Technology Newsflash(2012.3.1), The White House Introduces a Consumer Data Privacy Bill of Rights.

WorldBank(2016), World Developement Reports 2016.

World Economy Forum(2015), "Data and the fourth industrial revolution". Retrieved from https://www.weforum.org/agenda/2015 /12/ data -and -the -fourth-industrial-revolution/

국내자료

김경환(2016.2.17) 바람직한 개인정보 국외이전 입법, Ligal insight

김수연(2015), 빅데이터 사업 활성화를 위한 개인정보 보호규제 개선 검토, KERI Brief

개인정보보호위원회(2017), GDPR 발효에 따른 주요국의 개인정보보호법제 입법동향 분석 및 대응방안 연구

고유홈(2014), 빅데이터와 개인정보보호

구태언(2013), 개인정보 국외 이전제도의 현황 및 개선방안 연구, 가천법학 제6권 제1호(2013.3.31.)

국회입법조사처(2017) 개인정보 비식별 조치에 관한 입법정책적 대응과제 NARS 현안보고서 제305호 2017.5.24

글로벌 이코노믹(2017. 7.16), ‘불륜 조장' 애슐리 메디슨, 개인정보 유출 피해자에게 1120만달러 지급 합의“.

박선우(2018), 빅데이터 시대와 데이터 융합

박정은&윤미영(2014), 초연결사회와 미래서비스. 한국통신학회지(정보와통신), 31(4), 3-9.

박지은(2016), TPP 전자상거래 규정 연구 Institute for Internation trade Trade Focus 2016년 37호

박훤일(2014), 개인정보 유통에 관한 국제 규범과 우리의 대응 -EU BCRs과 APEC CBPR을 중심으로-

박 훤 일(2015), 유럽회의 108호협약의 의의와 우리나라 가입의 필요성, 가천법학 제50권 제4호

방송통신위원회(2014.1.28), “방통위, 구글 본사에 과징금 부과 - 글로벌 기업에 최초 과징금 부과 선례 남겨 -”

방송통신위원회(2014.7.20), '구글, 무단으로 수집한 개인정보 삭제 이행- 방통위,7.22~7.25 구글 본사 방문 - “

방송통신위원회(2014.12.23), “빅데이터, 수집 시부터 철저히 비식별화 조치해야 - 방송통신위원회,「빅데이터 개인정보보호 가이드라인」발표 -”

방송통신위원회(2011.8.3), “방통위 애플 및 구글의 위치정보보호 법규 위반행위에 대해 시정요구 및 과태료 부과”

방송통신위원회(2017), 온라인 맞춤형 광고 개인정보보호 가이드라인

이은민(2011), “애플의 개인 위치정보 수집논란 관련 동향”.

이정수(2013), 빅데이터 시대 도래에 따른 개인정보보호법의 문제점 및 개선 방안, 서강로리뷰 2013년 9월 제5호 205-228 서강대학교 법학전문대학원

정용찬(2017), 4차 산업혁명 시대의 데이터 경제 활성화 전략, KISDI premium report, 17-4.

연합뉴스(2018.3.21), "개인정보 유출 파문은 페이스북 DNA의 문제"

윤재석(2011), OECD 프라이버시 가이드라인 개정 현황 및 향후 전망. 정보통신산업진흥원 주간기술동향 2011.12.12.

최경진(2017), 국제거래에서의 개인정보의 국가간 이동에 대한 소고 －EU, 미국, 일본의 최근 법제 동향을 중심으로－

최경진/고학수/이창범/안정민(2016), GDPR 등 EU와 우리나라의 온라인상 개인정보보호 법제 비교 연구

전자신문(2018.4.8), [이슈분석]페이스북, 개인정보 유출 후폭풍에 시달려

정보통신정책연구원(KISDI)(2012), 빅데이터 시대의 새로운 정책이슈와 이용자 중심의 활용방안 연구

정보통신정책연구원(KISDI)(2015), 개인정보보호 이슈의 지형변화와 국제규범의 형성 연구

KISA(2007), APEC CBPRs가 국내에 미치는 영향 연구.

KISA(2014), 글로벌 기업에 대한 개인정보보호 규제 효과 제고 및 불법․청소년 유해정보의 유통금지를 위한 국가간 협력 방안 연구

KISA(2006), APEC ECSG 개인정보보호 논의 동향 -APEC Privacy Framework 제정을 중심으로-

KISA(2018), 해외 개인정보보호 동향 보고서(2018.1)

KISA(2014.7), 미국 백악관, 빅데이터 활용과 프라이버시 보호 강화를 위한 빅데이터 정책 검토, 인터넷 및 정보보호 동향

한국일보(2015.3.11),  “간통죄 폐지에…방통심의위, 불륜 조장 사이트 '애슐리 매디슨' 허용”.

한국법제연구원(2017), 빅데이터 관련 개인정보보호법제 개선방안 연구

행정자치부(2017), 우리 기업을 위한 「유럽 일반 개인정보보호법」안내서

홍선기(2017), 유럽개인정보보호법령(GDPR)의 주요내용과 국내에의 영향, 정보통신기술진흥센터, 주간기술동향 2017.3.29

NIA(2018), 데이터 주권 시대의 새로운 흐름-EU GDPR의 의미와 시사점-NIA Special Report 2018-7.

SPRI 소프트웨어 정책연구소 블로그(2017.5.31), 트럼프 행정부의 ‘FCC 개인정보보호규칙’ 폐지와 시사점