[디지털데일리 김보민기자] 개인정보보호위원회(이하 개인정보위)가 미국이 국내 개인정보보호법을 지적하는 취지의 무역장벽 보고서를 발간한 것에 대해 "오해가 많다"고 밝혔다. 미국이 국내법을 문자 그대로 해석했을 뿐, 실제 집행 방향성에 대한 내용이 반영되지 않았다는 입장이다.

고학수 개인정보위 위원장은 8일 서울 용산구 그랜드하얏트서울에서 열린 주한미국상공회의소(AMCHAM·이하 암참) 간담회에서 미국무역대표부(USTR)가 국내 개인정보보호법을 무역장벽으로 지목한 것에 대해 "오해가 많이 담겨 있는 것 같다"고 말했다.

USTR은 지난 3월31일(현지시간) '2025년 국가별 무역장벽 보고서'를 통해 한국과의 무역 현황을 소개했다. 이 중 '데이터 현지화'란에 "2011년 제정된 개인정보보호법은 개인정보 국외 이전에 대한 제한을 부과하고 있다"며 "2023년 법이 개정돼 한국 개인정보위가 발효된 시행령을 채택했고, 이러한 변경 사항은 위원회가 글로벌 서비스 제공업체에 벌금을 부과할 수 있는 권한을 부여했다"는 내용이 담겼다.

한국에 진출한 미국 기업이 무역장벽 수준의 과도한 규제를 받고 있다는 취지다. 이와 관련해 고 위원장은 "법의 글자(텍스트·text)를 넘어, 실제 법을 어떻게 해석하고 집행하는지에 대한 내용이 반영되지 않아 아쉽다"고 강조했다.

과거 개인정보보호법은 법 위반 등이 확인된 사업자를 대상으로 과징금 상한액 기준을 '위법행위와 관련된 매출액 3%'로 매겨왔다. 이후 법이 개정된 후 기준이 '전체 매출액의 3%'로 상향됐고, 위반 행위와 관련이 없는 매출액은 제외하도록 했다. USTR은 개정법이 한국뿐만 아니라 다양한 국가에서 사업을 펼치고 있는 기업에게 불리하다는 해석을 한 것으로 풀이된다. '전체 매출액'이 곧 '모든 글로벌 사업장에서 올린 매출'로 여겨질 수 있다는 의미다.

고 위원장은 "글로벌 매출액을 보는 게 정당한 경우도 있지만, 사실 대부분은 한국 시장에 한정해 과징금을 계산한다"고 설명했다. 법 집행 방향성과 사례를 종합해 봤을 때, 모든 글로벌 사업장이 아닌 한국 사업에 한정해 과징금을 매기는 경우가 다수라는 것이다.

USTR이 개인정보 국외 이전에 대한 제한을 부과하고 있다고 지적한 점에 대해서도 오해가 있다고 부연했다. 고 위원장은 "구글, 메타, 마이크로소프트(MS) 등 빅테크 회사들은 한국에서 개인정보를 직접 수집하고 해외 서버로 보내고 있다"며 "그런 맥락에서 현실적으로 제약은 존재하지 않는다"고 말했다.

USTR이 개인정보위가 개인정보 국외 이전 중지 명령을 내릴 수 있다는 점을 꼬집은 것에 대해서도 "실제 명령이 내려진 적은 없다"고 밝혔다. 고 위원장은 "국외 이전 절차는 일반적인 절차보다 복잡하다"고 표현했다.

한편 고 위원장은 '인공지능(AI) 시대, 한국의 혁신 지향적 개인정보 보호 정책 방향' 주제 아래 그간 개인정보위의 성과와 계획을 발표했다. 그 일환으로 ▲비정형 데이터 가명처리 기준 ▲합성데이터 활용 ▲공개 개인정보 처리 ▲이동형 영상정보 처리 기기 ▲AI 리스크 평가 가이드라인과 ▲사전적정성 검토제 ▲개인정보 이노베이션 존 ▲개인정보보호중심설계(PbD) 인증 등을 소개했다.

고 위원장은 AI 시대에서 개인정보를 보호할 환경이 복잡해지고 있다며, 관리 체계를 강화하는 것이 중요하다고 강조했다. 그는 "위협 요인(리스크)이 없는 세상은 있을 수 없다"며 "리스크를 어떻게 관리하고 최소화할지가 중요해질 것"이라고 강조했다.

개인정보위와 이번 행사를 주최한 암참도 AI 시대 데이터 보안 리스크를 주목해야 한다고 언급했다. 제임스 김 암참 회장 겸 대표이사는 "AT&T, T모바일, SK텔레콤 등에서 발생한 일련의 사이버 보안 침해 사레는 AI 시대 데이터 보안 리스크가 커지고 있다는 점을 보여준다"며 "이러한 과제는 민간 노력 만으로 대응이 어렵고, 민관 협력이 반드시 필요하다"고 제언했다.