GDPR 개인정보보호 체계와 정보주체 권리

GDPR은 2018년 5월 25일부터 시행된 EU 개인정보보호 법규다. EU 안에서 개인정보가 자유롭게 이동할 수 있도록 하면서도, 정보주체가 자신의 개인정보 처리에 관여하고 권리를 행사할 수 있는 법적 틀을 마련한다.

EU 회원국에 직접 적용되는 구속력 있는 규범이며, EU 내 데이터를 처리하거나 EU 시민의 데이터를 다루는 조직에 적용된다. 위반하면 최대 전 세계 연간 매출의 4% 또는 2천만 유로 가운데 더 높은 금액의 과징금이 부과될 수 있다.

개인정보 처리에 적용되는 원칙

개인정보 처리는 먼저 적법한 근거를 가져야 한다. A은행이 고객 신용평가를 위해 정보를 처리할 때 계약 이행을 위한 필요성을 근거로 삼는 경우가 이에 해당한다.

처리 방식도 정보주체의 이익을 고려해 공정해야 한다. B온라인 쇼핑몰이 개인정보 수집 목적을 숨기지 않고 공개하는 방식이 한 예다. C소셜미디어 플랫폼처럼 개인정보 처리방침을 간결하고 이해하기 쉬운 언어로 제공하는 투명성도 함께 요구된다.

수집 목적은 명확하고 구체적이어야 하며, 다른 목적으로 임의 활용할 수 없다. D통신사가 요금 청구를 위해 확보한 정보를 마케팅에 무단 활용해서는 안 되는 이유다. E호텔 역시 예약에 필요한 이름, 연락처, 체크인/아웃 날짜만 받고 불필요한 정보를 요구하지 않아야 한다.

처리 중인 정보의 정확성도 유지해야 한다. F보험회사가 고객 정보를 정기적으로 갱신해 오류를 수정하는 사례처럼, 부정확한 데이터는 즉시 정정하거나 삭제해야 한다. 보관 역시 목적 달성에 필요한 기간으로 제한되며, G인사팀은 법적 의무 이행에 필요한 기간이 지나면 퇴사자 정보를 익명화하거나 삭제할 수 있다.

무단 변경과 손상에 대비한 무결성 보호, 권한 없는 접근을 막는 기밀성 보호도 처리 원칙에 포함된다. H의료기관의 환자 기록 접근 통제와 변경 이력 관리, I금융기관의 고객 금융정보 암호화 및 접근 제어가 각각의 사례다.

이 원칙들을 지켰다는 사실을 입증할 책임은 개인정보처리자에게 있다. J기업이 GDPR 준수 사항을 문서화하고 개인정보영향평가(DPIA)를 수행하며 DPO(Data Protection Officer)를 지정하는 방식이 책임성 원칙에 해당한다.

처리를 시작할 수 있는 법적 근거

개인정보 처리는 다음 조건 가운데 하나 이상이 충족될 때 적법하다.

정보주체의 명시적 동의
뉴스레터 구독 과정에서 마케팅 목적의 별도 체크박스로 동의를 받는 경우다.
계약 이행을 위한 필요성
온라인 쇼핑몰이 상품 배송을 위해 주소 정보를 처리하는 경우다.
법적 의무 준수
고용주가 세금 신고를 위해 직원 정보를 처리하는 경우가 포함된다.
중대한 이익 보호
응급 상황에서 환자의 생명을 보호하기 위해 의료 정보를 처리하는 경우다.
공익적 업무 수행
공공기관이 사회보장 서비스를 제공하기 위해 정보를 처리하는 경우다.
컨트롤러의 정당한 이익 추구
회사가 보안을 목적으로 사무실 CCTV를 운영하는 경우가 예시다.

동의는 선택권과 철회 가능성을 함께 갖춰야 한다

⤢✕

동의는 강압이나 불이익 없이 선택할 수 있어야 한다. 처리 목적마다 개별 동의를 받아야 하며, 정보주체는 충분한 정보를 제공받은 상태에서 동의해야 한다.

사전 체크된 박스나 침묵은 명확한 긍정적 행위로 보지 않는다. 동의한 뒤에도 정보주체가 언제든 쉽게 철회할 수 있도록 철회 방법을 안내해야 한다.

아동과 민감정보에 적용되는 제한

16세 미만 아동의 개인정보를 처리하려면 부모 또는 법정대리인의 동의가 필요하다. 각 회원국은 이 연령을 13세까지 낮출 수 있다. 어린이 대상 온라인 게임에서 부모 동의 확인 시스템을 구현하는 경우처럼, 개인정보 처리 안내도 아동이 이해할 수 있는 명확한 언어로 제공해야 한다.

민감정보에는 인종·민족적 기원, 정치적 견해, 종교적·철학적 신념, 노동조합 가입 여부, 유전정보와 생체인식 정보, 건강정보, 성생활 또는 성적 지향에 관한 정보가 포함된다. 이런 정보의 처리는 원칙적으로 금지된다.

다만 정보주체의 명시적 동의, 고용·사회보장 관련 의무 이행, 정보주체가 물리적·법적으로 동의할 수 없는 상황에서의 중요한 이익 보호, 비영리단체의 정당한 활동, 정보주체가 공개한 정보, 법적 청구권 행사, 중대한 공익상 필요, 예방의학·직업의학·공중보건 분야, 공중보건 분야의 공익, 과학·역사 연구 및 통계 목적에는 예외적으로 처리가 허용될 수 있다.

정보주체가 행사할 수 있는 권리

정보주체는 개인정보 수집 시점에 처리 목적, 보관 기간, 제3자 제공 여부 등을 제공받을 권리가 있다. 웹사이트 가입 과정에서 개인정보처리방침을 제공하는 방식이 이에 해당한다.

자신의 개인정보가 처리되는지와 처리 목적 등 관련 정보에 접근할 수도 있다. 고객이 기업에 자신의 모든 개인정보 사본을 요청하는 경우가 접근권의 사례다. 정보가 부정확하다면 이름 오기재처럼 정정을 요구할 수 있다.

특정 조건에서는 서비스 탈퇴 후 모든 개인정보 삭제를 요청하는 삭제권, 즉 잊힐 권리가 인정된다. 정보의 정확성에 이의를 제기하는 동안 처리를 중지해 달라고 요청하는 처리 제한권도 있다.

개인정보 이동권은 구조화되고 기계 판독 가능한 형식으로 자신의 정보를 받아 다른 컨트롤러에게 이전할 수 있는 권리다. 소셜미디어 플랫폼에서 다른 플랫폼으로 데이터를 옮기는 경우가 예시다. 다이렉트 마케팅 목적의 처리에는 반대할 수 있으며, 알고리즘 기반 대출 심사처럼 자동화된 처리만으로 이루어진 결정에 대해서는 인적 개입을 요청할 수 있다.

기업이 갖춰야 할 준수 체계

기업은 개인정보 처리 활동을 모두 문서화하고, 위험도가 높은 처리 활동에는 개인정보 영향평가(DPIA)를 사전에 실시해야 한다. 공공기관, 대규모 처리, 민감정보 처리 시에는 개인정보보호 책임자(DPO) 지정이 필수다.

서비스 설계 단계부터 개인정보보호를 반영하는 privacy by design & by default도 요구된다. 기본 설정은 최소한의 개인정보만 처리하도록 구성해야 한다.

개인정보 침해를 인지한 뒤에는 72시간 내 감독기관에 통지해야 하며, 고위험 침해라면 정보주체에게도 통지한다. EU 밖으로 데이터를 이전할 때는 EU-US Privacy Shield, 표준계약조항(SCC), 구속력 있는 기업규칙(BCR) 등 역외 데이터 이전 규제를 준수해야 한다.

글로벌 기업의 대응 방식

구글은 투명성 보고서를 발행하고 사용자 데이터 관리 대시보드를 개선했으며, 개인정보 삭제 요청 처리 시스템을 구축했다.

페이스북은 개인정보 설정을 중앙화하고 데이터 다운로드 도구를 개선했으며, 페이스북 외부 활동 관리 도구를 도입했다.

마이크로소프트는 GDPR 준수 클라우드 서비스를 제공하고 개인정보보호 대시보드를 구축했으며, 데이터 주체 권리 요청 자동화 시스템을 개발했다.

애플은 개인정보 투명성을 강화하고 데이터 최소화 원칙을 적용했으며, 앱스토어 개발자에게 GDPR 준수를 의무화했다.

데이터 처리와 국제 비즈니스에 남긴 변화

GDPR은 기업이 개인정보 처리 전반의 프로세스를 다시 설계하도록 만들었다. 데이터 인벤토리와 데이터 흐름 관리의 중요성이 커졌고, 개인정보 보호를 위한 기술적·관리적 조치에 대한 보안 투자도 늘었다.

국제 데이터 이전은 적절한 안전조치 없이는 EU 외부로 제한된다. GDPR은 브라질 LGPD, 캘리포니아 CCPA 등 유사 법률 제정에도 영향을 미쳤다.

한국 기업이 점검할 대응 범위

한국 기업은 EU 내 사업장을 보유했는지, 또는 EU 시민을 대상으로 서비스를 제공하는지부터 확인해야 한다. 이후 개인정보 흐름도를 작성하고 처리 근거를 점검해 개인정보 처리 실태를 파악한다.

동의 절차를 개선하고 다른 적법 처리 근거를 확인해야 하며, 접근·정정·삭제·이동 등 정보주체 권리 행사를 처리할 시스템도 마련해야 한다. 암호화, 접근통제, 개인정보 영향평가를 포함한 기술적·관리적 보호조치도 강화 대상이다.

개인정보 유출이 발생했을 때 72시간 내 통지할 수 있는 인시던트 대응 프로세스를 갖추고, 개인정보 처리 활동 기록과 관련 정책·지침을 바탕으로 데이터 거버넌스 체계를 확립해야 한다.