개인정보의 무분별한 국외 이전을 통제하기 위해 각국은 개인정보 보호 법률을 통해 유사하면서도 조금씩 상이한 규범을 발전시켜왔다. 이러한 규범은 각각 장단점이 있다. 가장 자율적인 규범이라 평가할 수 있는 책임성 원칙과 적정성 인정 제도부터 정부 또는 공공 영역의 개입이 증가하는 표준계약조항과 국제인증제도, 그리고 가장 많이 인정되나 데이터 이동의 제한 가능성이 높은 정보주체의 동의 방식 등이 이용되고 있다.
책임성 원칙은 개인정보 수신자가 정보처리 시 동등한 법적 요건을 준수할 책임을 정보 발신자에게 부여하는 원칙이다. 호주, 캐나다, 필리핀 등에서 채택하고 있다. 적정성 인정 제도는 개인정보가 이전되는 국가의 정보보호 수준이 국내법과 비교해 ‘동등하거나 그 이상’의 보호수준을 부여하는 것으로 인정된 국가에는 개인정보를 자유롭게 이전할 수 있도록 하는 제도다. 유럽연합(EU)의 ‘일반개인정보보호규정(GDPR)’에 처음 도입돼 타 국가로 확대되는 추세로 영국을 포함해 일본, 호주 등에서 시행하고 있다. 표준계약조항은 기업 입장에서 법적 확실성이 뚜렷하고 유지비용이 낮으며 규제조사 부담이 적기 때문에 활용도가 높은 제도다. EU와 영국이 표준계약조항을 채택해 운용 중이며, 일본, 싱가포르, 호주 등은 표준화된 조항을 도입하지는 않았지만 국외 수신자와의 계약을 안전조치 중 하나로 인정하고 있다. 국제인증제도는 기업의 개인정보 보호체계를 평가해 인정하는 제도로, 아시아태평양경제협력체(APEC)의 ‘국경 간 개인정보 보호규정(CBPR)’이 대표적인 국제인증제도다. APEC CBPR은 참여국 기업을 위한 자발적 인증제도인데, 현재까지 우리나라(8개사)와 미국(46개사), 싱가포르(11개사), 일본(5개사) 등 4개국에서 공공 및 민간 기관이 인증을 부여하고 있다. 인증 관련 비용이 높고 인증획득이 법령 준수를 보장하는 것은 아니라서 활용도가 높지 않으나, 일본과 싱가포르는 국외기업이 CBPR 인증을 받은 경우 개인정보의 이전을 허락하고 있다. 세계적으로 가장 많이 인정되는 규범은 정보주체로부터 동의를 받는 방식이다. 그런데 최근에는 동의를 철회할 수 있는 권리를 정보주체에게 부여하는 방향으로 규제가 강화되고 있어, 현지에 서버를 두지 않은 기업은 개인정보를 국외로 이전하는 데 부담이 가중되고 있다.
※더 자세한 내용은 한국무역협회 통상지원센터에서 확인하세요.