2024년 4월 라오스는 디지털 혁신 시 수반되는 사이버보안 역량을 강화하기 위해 한국인터넷진흥원(KISA)과 업무협약을 체결하였다. 전자서명 및 공개키 기반 구조(PKI) 활용, 전자문서화 추진 등 디지털 혁신 기반을 마련하기 위한 기술협력으로 한국의 보안기술이 라오스 디지털 경제 전반에 적극 활용될 예정이다. 

<KISA-라오스 국가인터넷센터 간 기술협력 MOU 체결식>

[자료 : KISA 공식 홈페이지]

이러한 변화를 통해 라오스는 국가의 디지털 경제 발전과 더불어 안전한 디지털 환경 구축을 목표로 하고 있다. 한편, 라오스는 기술 개발 뿐만 아니라 이를 뒷받침할 수 있는 제도적 장치 개발에도 많은 노력을 기울이고 있다. 2017년, 라오스는 개인정보보호를 강화하기 위해 전자 데이터 보호법을 제정하였다. 이는 라오스 내 데이터 관련 사업이 점차 성장함에 따라 국제표준에 준하는 데이터 보호를 통해 소비자 신뢰를 강화하고 해당 산업의 성장을 더욱 촉진시키고자하는 정부의 의지를 보여준다. 해당 법안은 은행, 통신, 의료, 교육 등 전자 데이터를 취급하는 주요 산업 조직을 대상으로 데이터 프라이버시, 투명성, 책임성에 대한 엄격한 법적 요구를 명시하고 있다. 전자 데이터 보호 법안의 주요 조항은 아래와 같다.

<전자 데이터 보호 법안 주요 조항>

[자료 : Lao Official Gazette]

전자 데이터 보호법 조항 작성에 참여했던 라오스 기술통신부 사이버보안국의 Khamsavay Sayalath 씨는 무역관과의 인터뷰에서 "이 법을 통해 소비자는 데이터 관리 기업에 대한 신뢰를 쌓고, 서비스 제공기업이 안전하고 효율적으로 사업을 운영할 수 있을 것”이라고 전자데이터 보호법의 긍정적 측면을 전망하였다.

한편, 전자 데이터 보호법은 라오스의 개인정보보호 강화에 많은 기여를 할 것으로 기대되나 여전히 보완되야 할 부분이 존재한다. 먼저, 위반자에 대한 처벌의 구체적인 틀을 제공하여 위반의 심각성과 위반 성격에 따른 처벌을 명시해야 한다. 벌금, 징계, 형사 처벌 등 명확한 정의를 통해 사법의 일관성을 보장하고, 억지력을 강화할 수 있다.

또한, 기관의 역할에 대한 명확한 지정도 필요하다. 현재 개인정보가 유출되거나 내부 책임자가 적시에 조치를 취하지 않을 경우 이를 처리할 기관이 명확히 지정되지 않은 상태로, 고객은 문제를 바로잡고 피해를 보상 받는데 어려움을 겪을 수 있다. 따라서 소비자들을 보호하기 위해 독립적인 규제 기관 또는 고객이 발생한 문제를 직접 보고할 수 있는 옴부즈맨을 지정할 필요가 있다. 

본 법안은 2017년에 처음 신설된 이후 현재 빠르게 변하는 현실을 반영할 수 있도록 개정 중에 있다. 이번 개정은 특히 라오스 국경 외부로의 데이터 전송 시 규제해야 할 사항에 초점을 두고 진행될 것으로 보인다. 본 개정안은 2026-2030년 제10차 5개년 국가사회경제개발계획에 포함되어 있으며, 개정된 법안은 해당 기간 내에 시행될 것으로 예상된다.

금융산업의 성장 흐름 속, 금융소비자에 대한 개인정보보호 초석 마련

라오스에 전자금융이 도입된 이래로 QR결제시스템 등 빠르게 관련 산업이 성장하며 금융 정보에 대한 법과 규정의 필요성이 대두되었다. 이에 따라 2020년 라오스 중앙 은행은 더욱 구체적인 내용이 담긴 금융 부문 소비자 보호에 관한 법령(No. 225/GOV)을 제정하게 되었다. 본 법안은 기존의 보호조치 외에도 더욱 견고하고 소비자 중심이 되는 금융 산업 데이터 관리 및 고객 서비스 프로토콜을 보장한다. 법안의 주요 조항은 아래와 같다.

<금융 부문 소비자 보호에 관한 법안 주요 조항>

[자료 : Lao Official Gazette]

금융 관련 산업 내 법령보충을 통해 금융 소비자에 대한 보호 강화 

2022년 제정된 소액 금융에 관한 법령(No. 184/GOV)과 2023년에 도입된 상업은행법(No. 39/NA)은 소액 금융기관 및 상업은행을 대상으로 특정 문서 보관 및 저장 의무를 명시하고 있다. 이를 통해 금융 소비자는 사고 혹은 분쟁 발생 시 금융기관에 보관된 거래 내역을 기반으로 객관적 권리를 보호받을 수 있게 되었다.

o 소액 금융기관: 소액 금융기관은 본사에 모든 운영 및 거래 문서를 보관해야 하며, 여기에는 주주 기록, 회의 결의안, 고객 계좌 기록이 포함된다. 모든 기록은 물리적 및 전자적 형태로 최소 10년 동안 보존해야 한다.

o 상업은행: 상업은행법의 주요 조항은 아래와 같다

<상업은행법의 주요 조항>

[자료: Lao Official Gazette]

시사점 

2018년 유럽 전역에 도입된 개인정보보호법(GDPR, General Data Protection Regulation)은 유럽에 사업장을 두고 있지 않더라도 유럽 거주자의 개인 데이터를 관리할 때 GDPR의 규정을 준수해야 한다. 이를 위반하는 기업은 수백만 유로에 달하는 벌금을 부과받을 수 있다. 이처럼 개인정보보호법은 데이터 소유자의 권리를 보호하는 한편, 관련 사업을 영위하는 기업에게는 데이터 시장 진입 시 비관세 장벽처럼 작용될 수 있다. 

아직까지 라오스는 개인정보보호에 관한 법령이 복잡한 현실 속 문제를 모두 규제하지 못해 법령 통제의 사각지대에 놓여 자유로울 수 있지만, 라오스에서 장기적으로 사업을 영위하길 바라는 데이터 관리 기업은 내부 운영 규정을 현 법령에 맞춰 법위반을 방지해야 한다. 내부 정책, 양식, 지속적인 교육은 법의 기준을 충족시킬 수 있도록 바뀌어야 하며 특히 금융 기관은 개인정보 유출 방지 및 대응을 위해 매뉴얼 도입을 고려해야 한다.

자료 : KISA 홈페이지, Lao Official Gazette, 무역관 자체자료 종합