유럽연합(EU)에서 일반 데이터 보호 규정(GDPR)이 시행된 지 1년 반이 지났습니다. 이 규정의 핵심 목표는 개인에게 더 강력한 프라이버시 보호와 명확한 정보 제공, 그리고 온라인 기업·단체·제3자가 자신의 데이터를 어떻게 사용하는지에 대한 통제권을 부여하는 것이었습니다. GDPR에 따라 기업들은 웹사이트, 고용 계약, 온라인 양식 등 어디에서든 개인 데이터를 어떻게 수집·사용·보관하는지 훨씬 상세하게 공개해야 합니다.
이 글에서는 GDPR이 정확히 무엇인지, 일반 사용자에게 어떤 의미가 있는지, 그리고 시행 이후 실제로 어떻게 적용되어 왔는지 하나씩 살펴봅니다.
GDPR이란 무엇인가?
GDPR의 취지는 온라인 프라이버시와 데이터 보호 관련 EU 법률을 온라인 시대의 복잡한 현실에 맞게 개선하는 것입니다. 세계 최대급 온라인 기업들은 우리가 인터넷을 사용하는 매일 흘려보내는 개인 데이터, 즉 쿠키부터 구글 검색 기록, 온라인 설문조사나 각종 신청 양식에 입력하는 정보까지 끊임없이 수집하며 비즈니스를 운영합니다.
인터넷이라는 거대한 산업은 사실상 우리의 데이터로 움직입니다. GDPR은 그 데이터가 어떻게 사용되는지에 대한 명확성과 통제권을 다시 사용자에게 돌려주고, 기업들이 수집하는 데이터의 종류와 활용 방식에 대해 더 큰 책임을 지도록 만드는 장치입니다.
방향은 좋아 보이지만, 구체적으로 어떤 내용을 담고 있을까요? GDPR의 핵심 사항은 다음과 같습니다.
- 개인('데이터 주체')의 개인 데이터는 여러 '적법한 목적' 중 하나를 충족해야만 처리할 수 있습니다. 여기에는 데이터 주체의 동의, 공공의 이익을 위한 업무 수행, 타인의 생명·안전 등 중대한 이익 보호 등이 포함됩니다.
- 데이터 처리를 위해서는 반드시 데이터 주체의 동의를 받아야 합니다. 웹사이트 곳곳에 GDPR 동의 알림 창이 등장한 이유이기도 합니다.
- GDPR은 기업을 상시 감독하며, 데이터 오용이나 유출 위험을 최소화하기 위한 '적절한 기술적·조직적 조치'를 요구합니다.
- 데이터 주체의 '권리와 자유'에 위협이 되는 데이터 보안 사고가 발생하면, 반드시 72시간 이내에 상위 감독기관에 보고해야 합니다.
- 수집된 데이터는 프라이버시 보호를 위해 익명화 처리됩니다.
- '잊힐 권리(right to be forgotten)'를 통해 사용자는 자신의 데이터를 데이터베이스에서 완전히 삭제해 달라고 요청할 수 있습니다. 전면 삭제를 원하지 않는다면, 해당 웹사이트에 더 이상 데이터를 처리하지 말라고 요구할 권리도 있습니다. 기업이 사용자 데이터를 제3자와 공유했다면, 삭제·정정·처리 제한이 이루어질 때 모든 당사자에게 통지해야 하며, 사용자는 모든 당사자에 의한 데이터 처리 중단을 요구할 권리를 가집니다.
- 데이터 처리 주체는 '통제자(controller)'(개인 데이터 처리의 목적과 수단을 결정하는 사람 또는 기관)와 '처리자(processor)'(통제자를 대신해 데이터를 처리하는 사람 또는 기관)로 구분되며, 데이터가 부적절하게 처리될 경우 그 책임을 집니다. GDPR 규정을 준수하지 않으면 벌금이 부과될 수 있습니다.
이러한 모든 권리에는 기업에 부과되는 상응하는 의무가 따르며, 이를 준수하지 않으면 심각한 불이익을 받을 수 있습니다. 이 법령에 담긴 세부 규정의 방대함을 고려하면, GDPR은 세계에서 가장 포괄적인 디지털 데이터 프라이버시 보호법 중 하나로 평가됩니다.
GDPR은 어떤 영향을 미치고 있나?
EU는 GDPR 집행과 규정 위반 기업 단속에 결코 소홀하지 않았습니다. 현재 가장 주목받는 사례는 WhatsApp과 아일랜드 데이터보호위원회(DPC) 간의 분쟁으로, WhatsApp이 사용자에게 자사의 데이터 처리 방식을 충분히 고지하고 있는지에 대한 문제가 제기되었습니다.
WhatsApp에 부과될 예정이던 과징금에 대한 초안 결정은, WhatsApp 측 변호인의 절차상 이의가 받아들여지면서 2020년으로 연기되었습니다.
2019년 1월에는 프랑스의 데이터보호감독기관 CNIL이 GDPR 위반을 이유로 구글에 5,700만 달러의 벌금을 부과했습니다. 구글이 개인 데이터 처리 과정에서 투명성과 명확성이 부족했고, 맞춤형 광고를 노출할 때 적절한 동의를 받지 않았다는 혐의였습니다.
2019년 11월에는 영국 데이터보호청(ICO)이 애드테크(ad tech) 기업들을 상대로 민감한 개인 데이터 처리 방식과 벤더 간 데이터 공유 계약에 대해 경고를 발했습니다.
같은 해 11월, 마이크로소프트는 유럽 데이터보호감독관(EDPS)의 조사에서 EU 기관의 데이터 처리자로서의 역할과 계약 내용이 GDPR에 부합하지 않는다는 우려가 제기되자, 클라우드 계약에 담긴 개인정보 처리방침을 수정했습니다.
결론
이처럼 GDPR은 온라인 기업들과 EU 사이에 수많은 프라이버시 관련 갈등을 낳았습니다. 기업들이 GDPR 규정을 준수하려는 의지를 보이고는 있지만, 완전한 준수에는 아직 갈 길이 멀다는 것이 분명합니다. EU의 온라인 프라이버시 법제가 대폭 개편된 만큼, 기업들이 새로운 환경에 적응해 가는 과정에서 앞으로도 벌금과 경고가 잇달아 나올 것으로 전망됩니다.