개요
GDPR은 유럽연합이 개인의 개인정보 보호와 개인정보 처리에 관한 공통 기준을 정하기 위해 제정한 일반개인정보보호규정이다. 정식 명칭은 General Data Protection Regulation이며 법령 번호는 Regulation (EU) 2016/679이다.
GDPR은 개인정보를 처리하는 과정에서 개인의 권리를 강화하고, 기업과 기관이 개인정보를 어떤 법적 근거와 원칙에 따라 수집·이용·보관해야 하는지를 규정한다. 유럽연합 회원국에 공통적으로 적용되는 규정으로 개인정보 보호 수준을 통일하고 개인정보의 자유로운 이동을 함께 보장하는 것이 주요 목적이다.
GDPR은 2016년 4월 27일 채택됐고 2016년 5월 24일 발효됐으며, 2018년 5월 25일부터 적용됐다. 기존의 유럽연합 개인정보보호지침인 Directive 95/46/EC를 대체하면서 유럽 개인정보 보호 체계의 핵심 법규가 됐다.
적용 대상과 범위
GDPR은 유럽연합에서 이루어지는 개인정보 처리뿐 아니라 일정한 조건에서는 유럽연합 밖에 설립된 기업이나 기관에도 적용될 수 있다. 유럽연합에 있는 개인에게 상품이나 서비스를 제공하거나 그들의 행동을 모니터링하는 경우가 대표적이다.
GDPR에서 개인정보는 식별되었거나 식별 가능한 자연인과 관련된 정보를 의미한다. 이름이나 연락처처럼 직접 개인을 식별할 수 있는 정보뿐 아니라 위치정보, 온라인 식별자 등 다른 정보와 결합해 개인을 식별할 수 있는 정보도 개인정보가 될 수 있다.
개인정보를 수집·기록·저장·변경·조회·전송·삭제하는 등의 행위는 개인정보 처리에 포함될 수 있다. 개인정보 처리 목적과 방법을 결정하는 주체는 일반적으로 컨트롤러라고 하고, 컨트롤러를 대신해 개인정보를 처리하는 주체는 프로세서라고 한다.
수사와 범죄 예방 등을 목적으로 권한 있는 공공기관이 수행하는 개인정보 처리에는 GDPR과 별도로 유럽연합의 법집행 개인정보보호지침이 적용되는 영역이 있다.
개인정보 처리 원칙과 권리
GDPR은 개인정보 처리 과정에서 적법성·공정성·투명성, 목적 제한, 데이터 최소화, 정확성, 보관 기간 제한, 무결성과 기밀성 등의 원칙을 요구한다. 개인정보를 처리하는 조직은 이러한 원칙을 준수하고 있음을 설명할 수 있는 책임성도 갖는다.
개인정보 처리는 동의만으로 가능한 것은 아니다. 계약의 이행, 법적 의무의 준수, 생명과 관련된 중대한 이익 보호, 공익을 위한 업무, 정당한 이익 등 GDPR이 정한 다른 법적 근거가 적용될 수 있다.
정보주체는 자신의 개인정보가 어떻게 처리되는지 알 권리를 가진다. 일정한 조건에서는 개인정보에 대한 접근, 부정확한 정보의 정정, 삭제, 처리 제한, 데이터 이동을 요구할 수 있으며 특정 개인정보 처리에 반대할 권리도 인정된다.
GDPR에서 흔히 '잊힐 권리'라고 불리는 삭제권도 정보주체의 주요 권리 가운데 하나다. 다만 삭제 요청이 있으면 모든 개인정보를 반드시 삭제해야 하는 것은 아니며 법적 의무나 공익 등 GDPR에서 정한 예외가 적용될 수 있다.
기업·기관의 의무와 감독
GDPR의 적용을 받는 기업과 기관은 개인정보 보호를 서비스와 업무 설계 단계부터 고려해야 한다. 이를 데이터 보호 중심 설계와 기본설정에 의한 데이터 보호라고 하며, 개인정보 처리의 필요성과 위험에 맞는 기술적·관리적 보호조치를 마련하는 것이 중요하다.
개인의 권리와 자유에 높은 위험을 초래할 가능성이 있는 개인정보 처리에는 데이터 보호 영향평가가 요구될 수 있다. 조직의 핵심 활동이 대규모 개인정보 모니터링이나 특정 민감정보 처리와 관련되는 등 법에서 정한 조건에 해당하면 데이터보호책임자를 지정해야 할 수도 있다.
개인정보 침해가 발생하면 컨트롤러는 위험성을 평가해야 한다. 정보주체의 권리와 자유에 위험을 초래할 가능성이 있는 침해는 원칙적으로 이를 인지한 뒤 72시간 이내에 관할 감독기관에 통지해야 한다.
GDPR은 각 회원국의 독립적인 개인정보 감독기관이 집행한다. 여러 회원국에 걸친 개인정보 처리 사건에서는 감독기관 간 협력 체계가 작동하며, 유럽데이터보호이사회는 GDPR의 일관된 적용을 지원한다.
GDPR 위반에 대한 행정벌은 위반의 종류와 정도에 따라 달라질 수 있다. 중대한 위반에는 최대 2천만 유로 또는 직전 회계연도 전 세계 연간 총매출액의 4% 가운데 더 높은 금액까지 행정벌이 부과될 수 있도록 규정돼 있다.