캠브리지 애널리티카(Cambridge Analytica)의 페이스북 사용자 데이터 오남용 사건은 전 세계 수백만 명의 주목을 받으며 사람들에게 데이터 프라이버시와 데이터 보호의 중요성을 그 어느 때보다 크게 깨닫게 했습니다. 데이터 프라이버시와 보안에 대한 우려가 커지는 가운데, 유럽연합(EU)은 기업들이 고객의 개인 데이터를 어떻게 저장·처리·분석·활용하는지 문제를 인식하고 고객 데이터 보호를 위한 엄격한 새 규칙을 담은 강력한 규정, 바로 GDPR을 만들었습니다.
그렇다면 이 규정은 구체적으로 어떤 내용을 담고 있을까요? 지금부터 하나씩 살펴보겠습니다.
GDPR란 무엇인가?
GDPR(General Data Protection Regulation, 일반 데이터 보호 규정)은 EU 시민의 데이터를 보유하거나 처리하는 모든 기업에 영향을 미칠 수 있는 유럽연합 법률입니다. EU 회원국 내에서 이루어지는 거래 과정에서 EU 시민의 개인 데이터를 보호하기 위한 규정을 마련하는 것이 목적입니다.
지난 몇 달간 주요 빅테크 기업들이 열악한 데이터 관리와 보안 문제로 비판을 받으면서 데이터 이슈가 큰 화두로 떠올랐습니다. GDPR은 기업들이 시민의 개인 데이터를 합리적인 방식으로 관리하도록 강제함으로써, 데이터 활용 방식이 대중의 기대와 프라이버시 권리에 부합하도록 보장합니다. 또한 이 법에 따라 조직은 반드시 필요한 데이터만을 보유하고 처리해야 합니다.
GDPR이 보호하는 개인 데이터
이름, 주소, 신분증 번호, 연락처 등의 기본 정보를 포함하여 다음과 같은 데이터가 보호 대상입니다.
- 생체 인식 데이터
- 인종·민족 관련 데이터
- 정치적 성향 및 견해
- 위치 정보, IP 주소, 쿠키 데이터 등 웹 데이터
GDPR은 2018년 5월 25일부터 시행되었지만, 그 기원은 2016년 4월로 2년 전으로 거슬러 올라갑니다.
GDPR상 개인 데이터 처리 원칙
- 공정하고 투명하게 처리: 고객은 자신의 데이터가 어떻게 사용되고 있는지 충분히 알고 있어야 합니다.
- 특정하고 합법적인 목적으로만 기록: 명확한 목적 없이 데이터를 수집할 수 없습니다.
- 정확하게 유지: 데이터는 최신 상태로 업데이트되어야 하며, 필요한 경우에만 사용되어야 합니다.
- 안전하게 보관: 데이터 보호가 보장되는 방식으로 준비하고 관리해야 합니다.
GDPR이 필요한 이유
GDPR 제정의 배경에는 EU가 데이터 프라이버시·보호 법률을 정비하려는 의지가 있습니다. 특히 아마존, 페이스북, 구글, 트위터 같은 플랫폼들은 사용자에게 온갖 광고를 쏟아붓는 동시에 사용자 정보를 판매해 왔습니다. 이렇게 광범위한 허가를 부여했을 때 얼마나 위험한 결과를 낳는지는 캠브리지 애널리티카 사건에서 명확히 드러났습니다. 이 사건에서는 수백만 개의 프로필이 수집되어 2016년 미국 대통령 선거에 영향을 미치는 데 사용되었습니다.
또 하나의 이유는 인터넷과 클라우드 환경에서 플랫폼들이 공중의 개인 데이터를 사용하고 남용하도록 허용한 데이터 문제들을 바로잡기 위해서입니다.
어떤 기업이 이 규정의 적용 대상인가?
- EU 역내에서 EU 시민의 데이터를 저장하거나 통제하는 모든 기업
- EU 국경 밖에 본사가 있더라도 유럽 고객을 보유하고 그들의 데이터를 어떤 방식으로든 저장하는 기업 역시 GDPR의 적용 대상
- 직원 수 250명 이상의 기업
- 250명 미만이라도 데이터 처리 시스템이 데이터 주체에게 영향을 미치거나, 유럽 거주자에 관한 민감한 정보를 포함하는 경우
즉, 사실상 거의 모든 기업이 GDPR을 기업 목표와 규정 중 최우선 순위로 고려해야 한다는 뜻입니다.
기업에게 GDPR은 무엇을 의미하는가?
EU 시민의 데이터를 보유·활용하는 모든 조직은 소재지와 무관하게 이 법의 새로운 규칙을 따라야 합니다. 지금까지 기업들은 다양한 수단으로 데이터를 수집·추출해 왔지만, 이제 그런 방식은 불가능합니다. 사용자의 온라인 행동을 추적해 데이터를 확보해 온 모든 조직은 사용자가 이해하기 쉬운 언어로 고객의 동의를 받아야 하며, 해당 데이터는 제한된 기간 동안만 사용할 수 있습니다.
일반 사용자에게는 무엇을 의미하는가?
기업이 개인 정보에 접근하기 전에 사용자의 동의를 받는 것이 의무화되면서, 사용자는 경고창과 동의 요청을 자주 접하게 됩니다. 데이터 보호는 함께 만들어가는 것이므로, 사용자 역시 이용약관을 최소한 한 번은 꼼꼼히 읽어보는 것이 좋습니다.
기업이 시행해야 할 변화
GDPR의 도입으로 기업은 개인의 동의를 받아 개인 데이터를 저장·처리하기 위해 여러 조치를 취해야 합니다.
- 안전한 데이터 저장소 마련: 민감한 데이터를 안전하게 보관하고, 데이터의 정확성과 기밀성을 보장하며, 필요할 때 즉시 접근 가능하도록 철저히 암호화하고 백업해야 합니다.
- 공급업체의 GDPR 준수 확인: 데이터 처리에 사용하는 모든 서비스 제공업체도 GDPR 기준을 준수해야 합니다.
- 72시간 내 침해 신고: 데이터 유출 사고 발생 시 정보감독관청(ICO)에 72시간 이내에 신고해야 합니다. 이를 위해 신속하게 침해를 감지하고 대응할 수 있는 프로세스가 필요합니다.
- 문의 대응 체계 구축: 사람들이 데이터 프라이버시 권리에 대해 더 잘 알게 되면서 많은 질의가 발생합니다. 보유·활용 중인 데이터에 대한 문의에 적극적으로 대응할 준비가 필요합니다.
- DPO 임명: 이해관계 충돌 없이 개인 식별 정보(PII) 보호를 책임질 데이터 보호 책임자(DPO)를 임명해야 합니다. 조건에 따라 상근 채용이 필수는 아니며, 필요할 때만 일하는 버추얼 DPO를 컨설턴트 형태로 고용할 수도 있습니다.
- 데이터 보호 계획 개정: GDPR 요건에 부합하는 새롭게 개정된 데이터 보호 계획을 수립해야 합니다.
- 중소기업의 외부 지원 활용: 소규모 기업은 GDPR 요건을 충족할 리소스가 부족할 수 있습니다. 외부 자원, 어드바이저, 기술 전문가의 도움을 받으면 내부 운영의 혼란을 최소화하며 대응할 수 있습니다.
- 완전한 투명성 확보: 사용자는 언제든 자신의 데이터 삭제(망각될 권리), 정정을 요구할 수 있고, 정해진 절차에 따라 데이터를 통제할 수 있습니다. 데이터 침해가 발생하면 최대한 신속하게 통보받을 권리도 있습니다.
기술은 어떻게 GDPR 준수를 돕는가?
GDPR의 등장과 함께 기업은 데이터 유출 방지, 리스크 관리, 컴플라이언스를 위해 자원을 투입해야 합니다. 회사가 EU에 위치하지 않더라도 EU 시민의 데이터를 다룬다면 반드시 이 규정을 준수해야 합니다. 막대한 양의 데이터가 처리되는 탓에 GDPR은 역사상 가장 비용이 많이 드는 규정 중 하나로 꼽힙니다. 따라서 기업은 GDPR이 요구하는 정책과 절차를 명확히 정의하고 이행해야 하며, 법 시행 전에 대비하지 않으면 글로벌 매출의 최대 4% 또는 2,000만 유로(둘 중 더 큰 금액)의 벌금이 부과될 수 있습니다.
아래는 기업이 GDPR 요건을 충족하는 데 도움이 되는 핵심 기술들입니다.
1. 데이터 관리 및 보안
기업 데이터를 보호한다는 것은 무단 접근을 차단하는 것을 의미합니다. 데이터는 공개된 위치에 있어도 유출 위험에 노려 있으므로, 침입자를 막는 첫걸음은 데이터가 저장된 장소를 안전하게 지키는 것입니다. 데이터를 보호하려면 특정 알고리즘으로 암호화하여 유출에 대한 방어벽을 세워야 합니다. 클라우드 컴퓨팅의 도입 이후 조직은 물리적 손상으로부터도 안전하게 데이터가 보관된다고 생각할 수 있게 되었습니다. 암호화된 데이터는 해독 키가 있어야 읽고 편집·관리할 수 있으므로, 데이터 보호 책임자가 일일이 감시해야 하는 부담도 덜어줍니다. 더불어 조직은 데이터가 어디에서 왔고, 얼마나 데이터베이스에 머물렀으며, 어떻게 공유되었는지 추적하는 정보 감사를 통해 더 나은 데이터 관리 체계를 갖추어야 합니다.
2. 블록체인
블록체인은 지난 몇 년간 가장 주목받는 기술 중 하나로, 그 자체로 강력한 잠재력을 지니며 시간이 지날수록 가치를 입증해 왔습니다. 블록체인은 분산 원장에 데이터를 저장하며, 데이터는 암호학적으로 보호됩니다. 분산 원장에 데이터를 저장한다는 것은 여러 지역과 참여자들에게 데이터를 분산시키는 것이며, 이들은 사이버 공격 발생 시 '증인' 역할을 합니다. 이 원장에 저장된 데이터는 불변적(immutable)이어서 수정이나 삭제가 불가능합니다. 모든 분산 복사본을 동시에 공격해야만 성공할 수 있기 때문에, 공격 성공 확률은 사실상 0에 가깝습니다.
3. API 기반 플랫폼
모든 조직은 콘텐츠 수집에 대한 동의를 받고 사용자에게 데이터 접근 규정을 알리는 규칙을 적용하기 위해 API 관리 아키텍처에 집중해야 합니다. API 기반 플랫폼은 개발자가 기술과 조직을 연결하는 데 필요한 시간을 단축해 더 빠르고 저렴한 솔루션을 제공합니다.
GDPR은 IT 업계에 어떤 영향을 미치는가?
IT 업계에서는 GDPR을 "역사상 가장 파괴적인 컴플라이언스 과제"라고 평합니다. GDPR은 사용자 데이터를 수집하고 활용하는 시스템 자체를 바꿔놓을 준비가 되어 있으며, 수많은 테크 기업이 GDPR 준수를 위해 고군분투할 것입니다. 사용자 정보를 다뤄온 기업들에게 가장 큰 과제는 사용자의 모든 '개인 데이터'를 문서화하는 것입니다. 어떤 항목이 '개인 데이터'에 해당하는지에 대한 가이드라인이 존재하며, 기업은 요청 시 데이터를 다운로드 가능한 형식으로 제공하거나 삭제해야 합니다. 이 전 과정에 추가 인력 채용이 필요할 수밖에 없어 결코 저렴하지 않습니다. 클라우드 컴퓨팅 기업이 가장 큰 타격을 입을 전망입니다. 사용자가 자신의 모든 데이터 삭제를 요구할 경우, 다른 기업들을 대신해 데이터를 호스팅·저장하는 클라우드 스토리지 제공업체에는 곤란한 문제가 되기 때문입니다.
현재까지 데이터 프라이버시 준수 대비를 완료했다고 밝힌 기업은 소수에 불과하며, 나머지는 준비에 막대한 비용을 들여야 할 것입니다.
GDPR과 소셜 미디어
포토 공유 플랫폼 '인스타그램'을 보유한 페이스북은 사용자가 사진, 동영상, 메시지 등 개인 데이터를 다운로드할 수 있는 도구를 곧 출시할 예정입니다. EU GDPR 대비의 일환으로, 이 도구는 사용자가 인스타그램에 어떤 정보를 공유했는지 확인하는 데 도움을 줍니다. 인스타그램 대변인은 "새로운 데이터 이동성(data portability) 도구를 개발 중이다. 곧 인스타그램에 공유한 사진, 동영상, 메시지를 포함한 콘텐츠의 사본을 다운로드할 수 있게 될 것이다"라고 밝혔습니다.
GDPR은 고객에게 데이터 삭제 요구권, 향후 데이터 수집 거부권(opt-out), 그리고 자신의 데이터 사본을 다른 플랫폼으로 전달할 권리를 부여하는 것을 목표로 합니다. 해당 도구의 세부 기능에 대한 추가 정보가 곧 공개될 예정이며, 당장은 인스타그램에 공유한 콘텐츠를 다운로드·내보내기 할 수 있습니다.
앞으로의 전망
조직에 전하는 메시지는 명확합니다. 민감한 정보나 데이터가 어디에 저장되어 있는지, 누가 접근 권한을 갖고 있는지, 누가 접근 권한을 가져야 하는지 등 자신의 데이터베이스를 정확히 파악하는 일이 그 어느 때보다 중요한 과제가 될 것입니다.
모든 중견·대형 조직은 2018년 5월까지 GDPR 준수를 마쳐야 했습니다. 나아가 GDPR은 조직의 보안 역량을 한 단계 끌어올릴 수 있는 좋은 기회이기도 합니다. 지금까지 기업들은 데이터를 자산으로 여기고 별다른 규제 없이 수집·활용해 왔지만, 앞으로는 축적된 데이터와 데이터 흐름에 훨씬 더 세심하게 신경 써야 할 것입니다.