EU의 새 개인정보 보호법 GDPR 요약

General Data Protection Regulation

2018년 5월 25일부터 시행되는 유럽연합(EU)의 개인정보보호 일반법

제정 목적

'디지털 싱글 마켓'에 적합한 통일되고 단순화된 프레임워크
- 단일 개인정보보호법 적용(One Single set of data protection rules)
- 원스톱 샵 메커니즘(One-Stop-Shop : 1 interlocutor and 1 interpretation)
권리와 의무 강화(Strong rights, Clearer Obligations, More Trust)
- 정보주체 권리 확대 : 동의 조건 강화. 데이터 이동권/잊혀질 권리 등 도임
- 기업의 책임성 강화 : DPO 지정, 개인정보 유출 통지 신고제 등 도입
현대화된 개인정보 거버넌스 체계 마련
- 개인정보 감독기구간 협력 강화(예 : 공동조사)
- 법 적용의 일관성을 보장하기 위한 European Data Protection Board 설립
- 신뢰할 수 있고 비례적인 제재 부과(credible and proportionate sactions)

GDPR을 이해하기 위해 필수적으로 이해해야 할 용어들. 같은 용어라도 한국 개인정보보호법과 다르게 정의되므로 사전에 충분한 파악이 필요하다.

개인정보(제1항, Personal Data)
- '개인정보'란 식별되었거나 또는 식별가능한 자연인(정보주체)과 관련된 모든 정보를 의미
- '식별가능한 자연인'은 온라인 식별자(online identifier) 등의 실별자를 참조하거나 하나 이상의 신체적·생리적·유전적·정신적·경제적·문화적 또는 사회적 정체성에 대한 사항을들 참조하여 식별할 수 있는 사람을 뜻함
컨트롤러(제7항, Controller)
- '컨트롤러'란 개인정보의 처리 목적 및 수단을 단독 또는 제3자와 공동으로 결정하는 자연인, 법인, 공공 기관(public authority), 에이전시(agency), 기타 단체(other body)를 의미
- 이러한 처리의 목적 및 수단이 EU 또는 회원국 법률에 의해 결정되는 경우, 컨트롤러의 지명 또는 지명을 위한 특정 기준(specific criteria)은 EU 또는 회원국의 법률에서 규정될 수 있음
프로세서(제8항, Processor)
- '프로세서'란 컨트롤러를 대신하여 개인정보를 처리하는 자연인, 법인, 공공 기관(public authority), 에이전시(agency), 기타 단체(other body)를 의미

GDPR이 기존 EU의 지침과 내용상에 큰 차이가 있는 것은 아님(주요 기본 원칙은 거의 동일)
기존 Directive도 까다로웠지만 강제력이 부족했고, 과징금의 강도가 약하였음
주요 이슈
- Directive → Regulation. 즉 실제 집행 가능성이 커진 것
- 지리적 적용 범위 확대. 한국 등 역외기업 까지 제재 가능
- 최대 전 세계 매출액 4%라는 큰 과징금 기준

원칙의 적용 차이
- 한국법 개인정보보호원칙은 말 그대로 원칙으로 구속력이 없다. 제재는 구체적인 조항을 어겼을 때만 가능
- GDPR에서의 원칙은 절대적. 구체적 조항이 없더라도 원칙에 부합하지 않는 것만으로도 제재 가능

범죄정보
- 범죄 정보에 대한 정의, 처리법 등 내용이 GDPR에 세부적으로 규정되어 있음
- 개인정보보호법, 신용정보법 등 관련 법엔 없고 "형의 실효 등에 관한 법률"에 따름

개인정보의 제3자 제공
- 한국법에선 경우 위탁자, 제3자를 모두 명시 해야 함
- GDPR의 경우 카테코리화 해서 표현 가능 (상담, 배송 등)

개인정보 수집 출처 고지
- 한국법은 공개된 개인정보는 일단 쓰고, 물어보면 알려주면 된다.
- GDPR의 경우 사전에 고지하고 사용해야 한다.