유럽 개인정보보호규정(GDPR)에 대해 알려주세요.

유럽 개인정보보호규정(GDPR)은 EU 회원국 내 개인정보의 자유로운 이동을 보장하고, 정보주체의 개인정보 보호 권리를 강화하기 위해 2018년 5월 25일부터 시행된 유럽연합의 통합 개인정보 보호 법률입니다.

GDPR은 EU 내에 사업장이 없더라도 EU 거주자에게 재화나 서비스를 제공하거나, EU 거주자의 행동을 모니터링하는 경우 한국 기업을 포함한 역외 기업에도 적용되는 '역외 적용' 원칙을 가지고 있습니다. 이를 위반할 경우 전 세계 연간 매출액의 최대 4% 또는 2천만 유로 중 높은 금액이 과징금으로 부과될 수 있어 매우 강력한 법적 구속력을 갖습니다.

주요 내용 및 정보주체의 권리

• 적법 처리 근거: 개인정보를 처리하려면 정보주체의 동의, 계약 이행, 법적 의무 준수, 중대한 이익 보호, 공적 업무 수행, 컨트롤러의 정당한 이익 등 6가지 근거 중 하나를 충족해야 합니다.
• 정보주체의 권리: 정보를 제공받을 권리, 열람권, 정정권, 삭제권(잊힐 권리), 처리 제한권, 이동권, 반대권, 자동화된 결정에 관한 권리 등을 보장합니다.
• 개인정보 역외 이전: EU 역외로 데이터를 이전할 때는 적정성 결정, 표준 개인정보 보호 조항(SCC), 구속력 있는 기업 규칙(BCR) 등 적법한 이전 메커니즘을 갖추어야 합니다.
• DPO 지정: 개인정보 보호책임자(DPO)를 지정하여 GDPR 준수 여부를 관리·감독해야 하며, 침해 사고 발생 시 72시간 이내에 감독기구에 통지해야 합니다.

GDPR 준수를 위해서는 데이터 처리 활동의 문서화, 개인정보 영향평가(DPIA) 수행, 이용자 안내 절차 마련 등 체계적인 프로세스 개선이 필수적입니다. 특히 한국은 2021년 12월 EU로부터 적정성 결정을 받아 EU 역내에서 한국으로의 개인정보 이전 시 추가적인 보호조치 없이 이전이 가능합니다.