오늘날 데이터는 그 어느 때보다 우리 삶 깊숙이 들어와 있습니다. 사람들이 사용하는 온라인 서비스부터 오프라인 매장까지, 방대한 양의 데이터가 끊임없이 생성되고 있으며, 이러한 데이터가 제대로 관리되지 않으면 개인의 프라이버시가 침해되고 삶의 질까지 저하될 수 있습니다.
바로 이러한 이유로 GDPR(유럽연합 일반개인정보보호규정)과 같은 데이터 보호 규정이 그 어느 때보다 중요해졌습니다.
GDPR이 가져온 가장 큰 변화 중 하나는 웹사이트가 팝업을 활용하는 방식에서 찾아볼 수 있습니다. 웹사이트에 접속할 때마다 개인정보나 쿠키 동의를 요청하는 팝업이 뜨는 이유가 궁금했다면, 이 글이 명쾌한 답이 되어줄 것입니다.
GDPR이란?
GDPR은 2016년 유럽집행위원회가 처음으로 초안을 작성했으며, 2018년부터 본격 시행되었습니다. 이 규정은 EU(유럽연합) 시민이 자신의 개인 데이터를 더 잘 통제할 수 있도록 설계된 규칙을 담고 있습니다. 이후 EU 외 여러 국가들이 GDPR을 자국 법령에 반영하면서 그 영향력은 지속적으로 확대되고 있습니다.
GDPR의 7대 원칙
GDPR은 시민과 기업 모두가 디지털 경제의 혜택을 누릴 수 있도록 하는 것을 목표로 합니다. EU에 따르면, GDPR은 회원국 전역의 데이터 프라이버시 법률을 '조화(harmonize)'하고, 개인에게 더 강력한 데이터 보호와 프라이버시 권리를 부여하기 위해 마련되었습니다.
GDPR은 7가지 원칙을 기반으로 하며, 그중 일부는 기존 데이터 보호 규칙에도 존재하던 내용입니다. GDPR의 7대 원칙은 다음과 같습니다.
- 적법성, 공정성, 투명성
- 목적 제한
- 데이터 최소화
- 정확성
- 저장 기간 제한
- 무결성 및 기밀성(보안)
- 책임성
데이터 관리자(Controller)와 처리자(Processor)
GDPR은 데이터 관리자와 처리자가 반드시 준수해야 합니다. 관리자는 개인 데이터 처리의 목적과 수단을 결정하는 권한을 가진 조직을 의미합니다. 즉, 개인 데이터를 '왜', '어떻게' 처리할지 결정하는 기업 등이 해당됩니다.
경우에 따라 하나의 조직이 다른 조직과 함께 개인 데이터 처리의 목적과 방식을 공동으로 결정한다면 '공동 관리자(joint controller)'로 분류될 수도 있습니다.
공동 관리자의 대표적인 예로, 두 회사가 자사 제품 판매를 위해 웹사이트를 함께 만들고 고객 데이터를 공유하는 경우를 들 수 있습니다. 두 회사는 함께 제공하는 서비스와 공동으로 설계·운영하는 플랫폼 때문에 공동 관리자로 분류될 수 있습니다.
반면 데이터 처리자는 관리자를 대신해 개인 데이터를 실제로 처리하는 개인 또는 조직입니다. 예컨대 고객의 지시에 따라 고객사 고객들의 개인 정보를 활용해 디지털 마케팅 자료를 제작하는 인쇄 업체가 처리자에 해당합니다.
GDPR에 따라 관리자와 처리자는 규정을 반드시 지켜야 하며, 위반 시 거액의 벌금을 물거나 평판에 큰 타격을 입을 수 있습니다. 이 규정들은 관리자와 처리자가 개인 데이터를 어떻게 수집하고 사용하는지를 중심으로 구성되어 있습니다.
개인 데이터란?
특정 개인을 식별할 수 있는 데이터는 GDPR상 개인 데이터에 해당합니다. 개인 데이터는 대개 온라인 식별자 형태이거나, 신체적·심리적·유전적·정신적·경제적·문화적·사회적 정체성을 드러내는 특징과 함께 나타납니다.
개인 데이터는 GDPR의 핵심 요소입니다. GDPR은 오직 개인 데이터의 사용에만 적용되기 때문입니다. 현행 법령상 개인 데이터로 분류될 수 있는 항목은 다음과 같습니다.
- 이름
- 식별 번호
- 위치 정보
- 주소
- 신용카드 번호
- 계정 정보
- 차량 번호판
- 고객 번호
특수 카테고리 개인 데이터
특수 카테고리 개인 데이터에 대한 보호 기준은 일반 개인 데이터보다 훨씬 높습니다. 특수 카테고리 데이터에는 다음이 포함됩니다.
- 유전 데이터
- 생체 인식 데이터
- 건강 데이터
- 정치적 성향
- 종교적 또는 철학적 신념
- 노동조합 가입 여부
- 인종 및 민족 출신을 드러내는 개인 데이터
GDPR은 투명성을 매우 중요하게 여깁니다. 이에 따라 웹사이트 운영자는 사용자의 보호 대상 데이터를 사용하기 전 반드시 사용자의 동의를 받아야 합니다.
왜 데이터·쿠키 동의 팝업이 뜨는 걸까?
웹사이트에 접속할 때마다 기기에는 쿠키 파일이 저장될 수 있습니다. 이 파일에는 해당 웹사이트와 방문자에 대한 정보가 담겨 있으며, 웹사이트는 저장된 정보를 바탕으로 사용자에게 맞춤형 경험을 제공할 수 있습니다.
문제는 쿠키 파일에 GDPR로 보호될 수 있는 개인 식별 가능 정보가 포함될 수 있다는 점입니다. 그래서 웹사이트는 쿠키를 통해 사용자 데이터를 수집하기 전에 반드시 동의를 받아야 합니다.
어떤 웹사이트는 모든 쿠키를 수락해야만 사이트를 계속 이용할 수 있도록 하기도 합니다. 반면 쿠키 유형별로 세부 선택권을 제공하는 곳도 있고, 아예 정보를 수집하지 않거나 쿠키 배너 응답을 강제하지 않는 곳도 있습니다.
영국에는 GDPR이 적용되지 않는 이유
영국이 브렉시트(Brexit) 이행 기간을 마무리하면서 GDPR은 영국에 더 이상 직접 적용되지 않습니다. 영국은 더 이상 EU 회원국이 아니기 때문입니다. 하지만 GDPR은 간접적으로는 여전히 영국의 데이터 보호 제도에 큰 영향을 미치고 있습니다.
2019년 DPPEC(데이터 보호·프라이버시·전자통신) 규정을 통해 GDPR의 일부 요구 사항이 영국의 2018년 데이터 보호법(DPA 2018)에 반영되었습니다. 영국은 EU GDPR의 요구 사항을 DPA 2018과 통합해 'UK GDPR'이라 불리는 새로운 데이터 보호 규칙을 만들었습니다.
GDPR과 세계 각국의 유사 규정
GDPR과 비슷한 조항을 담은 데이터 프라이버시 법이 전 세계적으로 계속 도입되고 있습니다. 그 결과, 특히 유럽을 중심으로 그 어느 때보다 많은 지역이 GDPR과 호환되는 국내법과 규정을 시행하고 있습니다.
브라질의 LGPD(일반개인정보보호법)는 GDPR을 직접 모델로 삼은 법입니다. 이 규정은 브라질에서 사업을 하려는 기업에게 데이터 보호 규정을 준수하거나 벌금을 낼 것을 요구하며, 개인정보의 정의 역시 GDPR과 상당히 유사합니다.
미국은 주마다 고유한 프라이버시 법을 시행하고 있습니다. 그중 캘리포니아 소비자 프라이버시법(CCPA)이 미국에서 가장 엄격한 데이터 프라이버시 규칙을 담고 있으며, 상당 부분 GDPR과 겹칩니다. 다만 GDPR이 웹사이트에서 쿠키 등 추적 기술에 대한 사용자 동의를 요구하는 반면, CCPA는 기업이 '내 정보 판매 금지(Do Not Sell My Info)' 링크를 마련하도록 요구한다는 차이가 있습니다.
흥미로운 점은 GDPR이 도입되기 전부터도 많은 EU 국가가 이미 유사한 규칙을 담은 규정을 갖추고 있었다는 사실입니다. 많은 EU 국가에서 GDPR 시행 이전까지 없었던 원칙은 단 하나, 바로 '책임성'이 유일했습니다.
개인 권리 보호
총 99개 조항으로 구성된 GDPR은 세계에서 가장 강력한 데이터 보호 규정으로 평가받습니다.
다른 지역 규정과 비교해 보면 그 이유가 분명해집니다. GDPR은 기존 규정을 토대로 개인의 권리를 보호하는 새로운 규칙들을 추가했습니다. 덕분에 데이터 프라이버시 보호 절차가 크게 간소화되었고, 이제는 익명의 웹사이트들조차 쿠키로 데이터를 수집하기 전에 팝업을 통해 사용자 동의를 먼저 구하게 되었습니다.