개요
GDPR은 유럽연합(EU)에서 1995년부터 운영돼 온 유럽연합 정보보호법(Data Protection Directive 95/46/EC)을 대폭 강화한 규정으로, 2018년 5월 25일부터 본격 시행됐다. EU 의회는 2015년 5월 GDPR을 통과시킨 뒤 2년간의 유예 기간을 두었다.
상세
GDPR은 EU 거주자의 개인정보를 다루는 모든 기업이나 단체가 프라이버시 보호와 관련된 광범위한 규정을 준수하도록 강제하는 것을 핵심으로 한다.
적용 대상
GDPR은 EU 거주 시민의 개인정보를 처리하는 모든 정보 통제자, 정보 처리자, 정보보호책임자(DPO) 등에게 적용된다. 구체적으로는 다음의 경우가 해당된다.
- EU 국가에 사업장을 보유한 경우
- EU에 사업장이 없더라도, EU 거주 정보주체에게 재화나 서비스를 제공하거나 정보주체의 행동을 모니터링하는 기업
주요 의무
기업이나 단체는 다음 의무를 이행해야 한다.
- GDPR 정책을 채택하고 시행할 것
- 개인정보 처리활동을 기록할 것
- 리스크가 있는 처리 활동 전에는 영향평가를 실시할 것
- 데이터 보호 최고책임자(DPO)를 지정할 것
EU 시민의 개인정보는 적정성 결정, 구속적 기업규칙(BCR), 표준계약 조항, 인증, 행동규약 등 GDPR이 인정하는 적절한 보호조치가 있는 경우에만 EU 외부로 이전할 수 있다.
또한 개인정보 침해가 발생하면, 이를 인지한 후 72시간 이내에 감독기구와 정보주체에게 지체 없이 알려야 한다.
과징금
GDPR 위반의 정도에 따라 과징금 규모가 달라진다.
| 위반 유형 | 과징금 |
|---|---|
| 개인정보 처리 원칙, 동의요건, 국외이전 등 심각한 위반 | 전 세계 연간 매출액의 4% 또는 2000만 유로 중 더 높은 금액 |
| 그 외 일반적 위반 | 전 세계 연간 매출액의 2% 또는 1000만 유로 중 더 높은 금액 |
시행 이후 파장
개인정보보호 의무를 강화하고 위반 시 거액의 과징금을 부과하는 GDPR이 시행되면서, 이에 대비하지 못한 일부 기업들은 사이트를 폐쇄하거나 EU 시민 대상 서비스를 중단했다. 또한 개인정보 이용에 동의해야만 서비스를 제공하는 방식으로 정책을 변경하는 등 여러 파장이 일었다.