연내 국내 CBPR 인증 기업 3개 이상 나온다

연내 국경 간 프라이버시 규칙(CBPR) 인증을 취득한 국내 기업이 3개 이상 나올 전망이다. 해외 시장에 진출하는 국내 기업은 CBPR을 통해 국제 인증을 국내에서 쉽게 받을 수 있으며, 국가 간 개인정보 이전을 보다 쉽게 할 수 있다.

20일 한국인터넷진흥원(KISA)에 따르면 올해 CBPR 인증을 취득한 국내 기업이 2~3개 이상 나올 것으로 예상된다. KISA는 현재 심사 중인 국내 기업은 주로 IT기업이며, 물류 기업과 게임 기업도 해당 인증에 관심을 표하고 있다고 밝혔다.

KISA 오용석 개인정보정책단장은 "2~3개 이상의 국내 기업이 연내 CBPR 인증을 받을 것으로 예상한다"며 "IT기업이 CBPR 인증 심사를 주로 신청했고, 현재 심사 중인 기업도 IT기업"이라고 밝혔다.

CBPR은 아시아-태평양 경제 협력체(APEC) 회원국이 공동으로 개발한 개인정보보호 인증체계다. 최소한의 개인정보 보호 원칙을 기반으로 회원국 간 신뢰할 수 있는 개인정보 이전 체계를 마련해 아시아 태평양 권역 내 디지털 경제 활성화를 도모하기 위해 만들어졌다.

CBPR은 법정 인증제도가 아닌 자율 인증제도로서 기업의 자발적인 참여에 기반하고 있다. 각 국가의 법·제도에 따라서 CBPR을 유연하게 운영할 수 있다.

CBPR 인증을 받게 되면 어떤 개인정보가 어느 기업으로부터 이전되는지, 인증 정보에 상세히 표기돼 개인정보 이전의 흐름을 파악할 수 있다. CBPR 인증을 받은 것만으로 개인정보의 국외 이전을 보장하는 건 아니며, 개인이 동의를 해야 이전할 수 있다.

현재 우리나라를 포함해 미국, 싱가포르, 대만, 일본, 캐나다, 호주, 멕시코, 필리핀 등 총 9개 국가가 CBPR 제도에 참여하고 있다. 최근에는 글로벌 CBPR 포럼을 출범하면서 APEC 역외로도 CBPR 확대를 추진하고 있다.

현재 CBPR 인증기관은 미국 5개, 일본 1개, 한국 1개, 싱가포르 1개, 대만 1개로, 5개 국가 내 총 9개 기관이 있다. 국내에서는 KISA가 2019년에 인증기관으로 선정됐다.

현재까지 3개 국가에서 총 51개의 기업이 CBPR 인증을 취득했다. CBPR 인증을 받은 기업은 애플, IBM, 시스코 등 41개의 미국 기업과 야후 재팬 등 4개의 일본 기업, 알리바바 클라우드 등 6개의 싱가포르 기업 등이다.

국내에서 CBPR은 개인정보 보호법을 근거로 하며, 개인정보보호위원회가 법 집행기관이다. 인증 대상은 개인정보보호법 적용을 받는 기업이다. 단순 개인정보 수탁 업무를 인증범위로 한 CBPR 인증 심사 신청은 불가하다.

CBPR 참여국 대상으로 사업을 하는 기업의 경우 해당 인증을 취득하면 개인정보 국외이전이 용이해지며, 해외 진출 과정 중에 발생하는 개별 법규 대응 비용을 절감할 수 있다. CBPR 정책에 따라 기업은 주로 사업 기반을 둔 관할권 소재 인증기관에 해당 인증 심사를 신청하면 된다.

인증 심사 준비에는 주로 1~3개월이 소요되며, 인증심사에는 1~2개월, 인증위원회 심의 및 인증서 발급에는 1~2개월이 소요된다. 인증심사 신청 접수 후 인증서 발급까지 최소 3개월이 소요되는 셈이다.

수수료는 내년 상반기까지 한시적으로 면제되며, 인증서 유효기간은 1년이다. KISA 오용석 개인정보정책단장은 "CBPR 인증 수수료는 신청 기업의 규모에 따라서 향후 달라질 수 있다"며 "수수료에 대한 원가 산정에 따라서 적정 수수료를 산정할 계획"이라고 말했다.

해외 인증기관 간 CBPR 인증로고 및 번호체계는 현재 단일화 논의를 진행 중이다. CBPR 인증 사실은 국내의 경우 국제협력센터 홈페이지에 게시될 예정이다.

기존 인증심사원 양성 교육은 ISMS-P 선임심사원 자격으로 참여를 제한했다. KISA는 향후 CBPR 인증심사원 양성 교육 참여 대상을 확대해 CBPR 인증심사원 풀을 확대할 계획이라고 밝혔다.