"개인정보 국외 이전...SCC·BCR 도입해야"

"SCC와 BCR을 도입해 '보호수준이 보장되는 이전'을 신설해야 합니다."(김도엽 김앤장 변호사)

"SCC와 BCR을 채택하고 도입을 독려해야 합니다"(윤수영 한국CPO협의회 사무국장)

개인정보보호위원회(개인정보위)가 17일 서울 포스트타워에서 개최한 제4차 '2026 개인정보 미래포럼' 전체회의에서 국내도 EU처럼 SCC와 BCR을 도입해야 한다는 목소리가 나왔다.

올해 네 번째 열린 이번 미래포럼은 '개인정보 국외이전 제도 발전 방향'을 주제로 개최됐다. 개보위가 운영하는 미래포럼은 각계 전문가들이 개인정보 분야 중요 아젠다를 선제적으로 논의, 현장 의견을 수렴하는 ‘개인정보 정책 토론의 장’이다. 학계·법조계·산업계·시민사회 등 전문가 40명으로 구성됐다.

이날 김도엽 김앤장 변호사는 유럽연합(EU)의 일반개인정보보호법(GDPR)과 국내 개인정보 국외이전 제도를 분석, 국외이전 체계의 발전방향을 모색할 시점이라고 강조했다. 특히 김 변호사는 SCC(Standard Contract Clause)와 BCR(Binding Corporate Rules)의 국내 도입 필요성을 강조했다.

송경희 개인정보보호위원회 위원장이 17일 서울 중구 포스트타워에서 열린 제4회 미래포럼에서 인사말을 하고 있다

SCC는 개인정보를 이전하는 사람과 받는 사람간 보호의무를 표준계약으로 규정한 것으로, 국외이전 양 당사자가 이를 바탕으로 계약을 체결해 개인정보를 이전하는 걸 말한다. BCR은 다국적 기업 등이 구속력 있는 사내 보호규칙을 마련, 당국(개인정보위)의 승인을 받아 이를 준수하는 기업군 내에서 개인정보를 이전하는 걸 말한다.

김 변호사는 일종의 '표준계약'인 SCC 장점에 대해 첫째, 개별 승인 절차 없이 바로 쓸 수 있고 둘째, 법무 인력이 부족한 기업의 부담이 줄어들며 셋째, AI와 바이오 분야의 글로벌 공동연구에 걸려있는 제약을 풀 수 있고 넷째, 정보주체에 대한 실질적인 권리 보장 가능 등을 꼽았다. 또 BCR의 장점으로 승인 과정에서 기업의 개인정보보호 체계를 함께 점검, 컴플라이언스 수준이 높아지는 것 등을 들었다. 김 변호사는 "두 수단 모두 보호수준을 낮추는 것이 아니라 보호의무를 계약과 내부규칙에 담아 이전을 허용하는 방식"이라고 전했다. 김 변호사는 개인정보위 국외이전전문위원회 위원으로 활동하고 있다.

현재 SCC와 BCR은 유럽연합(EU)이 이를 도입했고, 일본과 중국도 비슷한 제도를 두고 있다. 미국은 개인정보보호법 체계가 EU와 출발점이 달라 시행하지 않고 있다. 즉, 미국은 전통적으로 EU처럼 하나의 연방 차원의 포괄적 개인정보보호법을 두지 않고 의료, 금융, 통신 등 분야별, 주별 규제를 결합한 구조를 갖고 있다.

윤수영 한국개인정보보호책임자협의회 사무총장은 공공‧민간의 개인정보 보호책임자들이 국외이전 제도를 준수하는 과정에서 겪는 애로사항을 공유, 제도 개선의 필요성을 제기했다.