데이터의 국가간 이동에 관한 규제정책의 통상법적 합치성 제고방안 연구

데이터가 경쟁의 승패를 좌우하는 디지털경제하에서 국가간 데이터 이동을 둘러싼 국제적 관심이 고조되고 있다. 제4차 산업혁명이 진전될수록 새로운 비교우위 창출의 원동력인 데이터의 전략적 중요성은 점점 더 높아질 전망이다. 데이터와 경제활동 간 인과관계도 일방향에서 양방향으로 변화하고 있다. 데이터가 경제활동의 기록물로 남기보다 경제활동의 성과 제고를 위한 핵심 중간재로 활용되고 있으며, 상품 및 서비스에 대비되는 새로운 교역재로 인식되고 있다. 국가간 데이터 이동을 바라보는 관점도 충돌하고 있다. 자유방임이 최선임을 주장하는 견해가 있는가 하면, 그러한 자유방임이 데이터 식민지로의 전락을 의미한다는 견해가 공존하고 있다. 안타깝게도, 현행 국제통상규범은 그러한 상반된 관점을 효과적으로 조율할 만한 시스템을 제대로 갖추지 못한 상태이다. WTO 협정에는 국가간 데이터 이동을 규율하는 명시적 규정 자체가 부재하다. 1998년 출범한 WTO 전자상거래 작업계획의 유일한 성과는 사실상 전자적 전송에 대한 한시적 관세유예에 머물러 있다. 일부 FTA가 ‘데이터 국내화요건(data localization requirements)’ 금지 등 초보적 규범을 제정한 바 있지만, 국가간 데이터 이동에 관한 일국의 규제정책공간(regulatory policy space)이 어디까지인지는 아직 모호한 상태이다. 국가간 데이터 이동에 관한 한, 현행 국제통상규범 내에 심각한 법적 진공상태가 존재한다는 것이다. 이러한 맥락에서 일국이 체결한 FTA 규범에 저촉되지 않는 범위 내에서 정당한 정책목표를 추구하기 위한 데이터 관련 규제정책 권한을 행사하더라도 일견 통상 관점에서 문제될 이유는 없어 보인다. 하지만 데이터가 각종 경제활동의 성과를 결정하는 디지털경제하에서 데이터 관련 규제정책은 근본적으로 상품·서비스무역에 영향을 미칠 가능성이 매우 높다. 이는 WTO 회원국에게 중요한 메시지를 던져준다. 데이터 관련 규제정책의 안정적 시행은 데이터 국내화요건 금지 등 FTA 규범은 물론이고 WTO 협정과의 양립성에 의해 보장되는 것이다. 디지털경제 진전에 따른 경제활동의 서비스화 추세에 비추어볼 때, 특히 GATS 양립성은 중요한 점검사항이다. 2018년 5월 시행된 EU GDPR에 대한 국제적 관심이 높은 이유는 그러한 사정과 무관하지 않다. 우리나라에서도 다수의 관련법 개정안이 이미 EU GDPR을 약방문처럼 벤치마크 하는 형국이다. 이는 국내에서 동법을 데이터 관련 규제정책의 이정표로 간주하는 경향이 없지 않음을 시사한다. 하지만 EU GDPR에 WTO 협정 위반요소가 내재하는지에 대한 논의는 찾아보기 어렵다. 국내 관련법의 통상친화성 보장 차원에서 그러한 벤치마크에 앞서 선행되어야 할 동법의 WTO 협정 양립성에 대한 검토가 결여되어 있다는 것이다. 이와 같은 배경하에서, 본 연구는 EU GDPR 주요 규정의 GATS 양립성을 우선 분석하고, 그 결과에 기초해 우리나라 주요 관련법(개정안)의 문제점 및 개선방향을 제시하고자 했다.…

Law amendments with reference to the EU General Data Protection Regulation (GDPR, henceforth) are flooding in Korea. It signals that GDPR is one way or another treated as a landmark for regulatory policy on data space. However, a point to see before such benchmarking is whether GDPR itself is compatible with the WTO Agreement. If not, Korea is likely to suffer from the same trade conflicts as the EU would face. Motivated by the concern, this study seeks to figure out key trade issues of Korea’s recent law amendments inspired by GDPR. The GDPR applies to all companies processing the personal data of data subjects residing in the EU, aiming to protect its citizens from privacy and data breaches as well as to facilitate free flow of data in the region. One of the major features of GDPR is the extended jurisdiction, so that it applies to the processing of personal data of the EU data subjects by a company not established in the EU. Non-EU businesses processing the data of EU citizens must appoint a representative in the EU to meet the obligations imposed by GDPR. Such requirement to appoint a local representative may be understood as a compliance measure in the GATS context. There is another kind of compliance measure, so-called ‘adequacy test.’ A country outside the EU should be recognised by the European Commission as having adequate protections in place in order to freely transfer personal data to somewhere outside the EU. It is the Commission that makes the final decision on adequacy status. Alternative route for a company without regional establishment to secure adequacy status for offshore processing personal data of EU citizens is to get an approval from supervisory authorities of EU Member States. In such instances, it is necessary for the company to adduce adequate safeguards for the protection of privacy and personal data.…