글로벌 'CBPR' 활성화 독려…"올해 중 인증 취득 국내 기업 나온다"

[아이뉴스24 박진영 기자] "국내에선 '국경 간 프라이버시 규칙(CBPR)' 인증 법제화에 적극적이지 않은 뿐더러 현실적으로 개인정보 국외이전이 활발한 단계는 아니지만, 해외 사업을 적극 추진 중인 기업들에게 CBPR 인증 효과는 앞으로 더욱 커질 것으로 기대한다"

채수연 한국인터넷진흥원(KISA) 선임연구원은 2일 개인정보보호위원회가 개최한 '개인정보보호 페어 2022'에서 CBPR인증 제도를 소개하면서 이같이 강조했다.

CBPR 인증은 아시아태평양경제협력체(APEC) 회원국 간 원활한 개인정보 이전을 위해 개발된 개인정보보호에 대한 자율 인증체계다. 인증을 받으면 APEC 지역에서 개인정보 보호 우수기업으로 인정받는 효과를 얻는다. 특히, 일본, 싱가포르 등에 진출한 기업들은 CBPR 인증으로 현지 고객의 개인정보를 국내에 편리하게 이전할 수 있게 된다.

현재 CBPR에는 우리나라를 포함해 미국, 일본, 캐나다, 대만, 필리핀, 싱가포르, 호주, 멕시코 등 9개국이 참여했다. 기업 인증까지 착수한 나라는 미국, 일본, 싱가포르 등 3개국이다. 국내에선 KISA가 지난 5월부터 기업인증 신청을 받기 시작했으며, 올해 안에 적어도 1개 기업 이상이 인증을 받을 것으로 기대된다.

아울러 CBPR 인증제도의 글로벌 확산을 위해 미국 주도로 '글로벌 CBPR 포럼' 발족을 추진 중이다. 미국을 비롯해 한국, 일본, 대만 등 7개국이 참여하고, 기존 CBPR 참여국인 호주와 멕시코는 빠졌다. APEC 주요 국가인 러시아와 중국도 배제됐다. 다만, 영국 등 비APEC 국가에서 관심을 가지고 있는 것으로 알려졌다.

채수연 연구원는 "CBPR 제도 취지에 공감하는 국가들이 이번 포럼에 참여하게 됐으며, 인증 유효기간이나 CBPR 인증제도 운영 기초자료는 체제 전환과 관계없이 동일하게 적용된다"고 밝혔다.

다만, CBPR 인증이 ISMS-P(정보보호 및 개인정보보호 관리체계)와 달리 법정인증제도가 아닌 만큼, 기업들이 자발적으로 이를 취득하기 위한 유인책이 필요하다고 지적했다.

더욱이 제도가 2012년에 만들어졌으나, 현재 인증서를 취득한 기업은 48개에 불과하다. 이에 일본, 싱가포르 등 몇몇 국가들은 CBPR인증을 받도록 법적 기준을 두면서 제도 활성화에 기여하고 있다.

일본의 개인정보보호법에 따르면 외국의 제3자에 개인정보를 제공할 경우 해당 정보를 제공받는 기업은 CBPR 등 국제적 기준에 근거한 인증을 획득해야 한다. 싱가포르 개인정보보호법에도 국외 이전 요건으로 해외 기업의 CBPR 인증 취득 등 개인정보 보호 기준을 마련할 것을 요구하고 있다.

채 연구원은 "CBPR이 글로벌 체제로 전환하면서 앞으로 더 많은 국가들이 참여할 가능성이 높다"면서, "국내에서 제도 활성화를 위해 여러 정책적 노력이 필요하고, 현재는 올해까지 수수료 한시적 면제 혜택 등을 제공하고 있다. ISMS-P 인증을 받았다면, CBPR 취득도 고민해볼 필요가 있다"고 강조했다.

이어 "다만, CBPR 인증을 취득했다고 개인정보보호법을 준수하지 않아도 되는 것은 아니지만, 이를 통해 글로벌 대외 신뢰도를 제고할 수 있다는 장점이 있다"고 덧붙였다.