KPMG와 MS가 공동 개발한 EU GDPR 대응을 위한 점검 및 평가 로드맵은 기업의 전반적인 GDPR 준비상태와 개인정보에 대한 리스크 식별 등 성숙도를 점검케 한다. 기업의 프로세스 및 기술, 구성원 등에 대한 권장 사항과 보완 방법을 제시한다. GDPR 준수를 위한 서비스 외에도 기업 내 전반적인 개인정보의 보유 및 처리 현황 분석으로 정보주체 권리보장 요구에 대응하는 방안을 제시한다.
GDPR 적용 대상은 유럽연합 거주 시민의 개인정보를 처리하는 정보 통제자, 정보 처리자, 정보보호책임자(DPO) 등이다. 유럽연합에 사업장을 보유한 경우나, 유럽연합에 사업장을 가지고 있지 않아도 유럽연합 거주 정보 주체에게 재화 또는 서비스를 제공하거나 정보주체의 행동을 모니터링하는 기업도 해당된다.
기업이 개인정보를 침해했을 경우, 그 사실을 알게 된 후 72시간 이내에 감독기구는 물론 정보주체에게 지체 없이 알려야 한다. 개인정보 처리 원칙, 동의요건, 국외이전 등 심각한 GDPR 규칙을 위반하면, 전 세계 연간 매출액의 4% 또는 2000만 유로 중 더 높은 금액이 과징금으로 부과된다.
일반적 위반이면 전 세계 연간 매출액의 2% 또는 1000만 유로 중 더 높은 금액이 과징금으로 부과된다. GDPR은 법적 구속력을 가지며 모든 EU 회원국에 직접 적용된다.
한국이 유럽 일반 개인정보보호법(GDPR) 적정성 결정 국가가 되기 위한 실무 절차인 '초기결정'을 완료함에 따라 늦어도 올해까지 적정성 결정 국가 지위를 획득할 것으로 전망되기 때문이다.
GDPR 적정성 결정 국가가 되면 해당 국가의 법제가 GDPR과 동등한 수준으로 개인정보 보호 제도를 갖췄으며, EU 시민의 개인정보가 안전하게 유통될 수 있는 곳으로 간주된다. 국내법을 준수하는 이상 GDPR에 따른 제재를 받지 않을 수 있는 것이다.
산업계는 특히 GDPR의 강력한 과징금 규정을 우려해왔다. GDPR은 심각한 법 위반을 저지른 기업에 전세계 연간 매출의 4%까지 과징금을 매길 수 있다고 규정하고 있다. 유럽연합(EU) 지역에서 활동하는 기업들은 이런 제재를 피하기 위해 지금까지 많은 시간과 비용을 투입해왔다. 한국이 적정성 결정 국가 지위를 획득하면 이런 부담을 덜 수 있다.
개인정보 자기결정권을 실질적으로 보호하기 위해서는 개인정보보호의 중점이 사후규제로 이동할 필요가 있다는 지적이다. 동의 여부가 아닌, 개인정보가 수집된 후 이용·제공 과정에 대한 투명성 확보, 동의철회권·정정철회권 등 접근권 보장, 적절한 보호조치 의무. 의무위반에 대하 제재 및 손해배상제도 등이 정비되어야 한다는 설명이다.
특히, 사후규제가 사전규제에 비해 규제가 완화된 것으로 평가되지만, 현재 사전 동의제도가 사실상 형식화되어 실질적인 기능을 발휘하지 못하는 것을 고려하면, 사후규제 중심의 개인정보보호가 개인정보보호의 실질적 강화를 의미한다
또 GDPR은 어플리케이션, 제품, 서비스의 개발과 기본 설정에 있어서 데이터 보호와 프라이버시 친화적인 설계를 요구하고 있다. 개인정보 처리와 관련 있는 제품, 서비스, 어플리케이션은 개발 과정에서 개인정보보호를 고려해야 하며 특히 최신 기술을 적용할 수 있도록 해야 한다
데이터관리기업 효성인포메이션시스템에 따르면 기업들이 GDPR에 대비하기 위해선 △개인정보의 효율적 관리 △개인정보의 손쉬운 검색 △완벽한 보안 △개인정보 무결성 보장 △개인정보의 완벽한 삭제를 조언합니다. GDPR의 시행으로 개인정보 보호에 대한 인식이 급격히 달라질 것으로 예상됩니다.
GDPR을 준수하기 위해서는 조직이 보유하고 있는 데이터에 대한 기업의 이해가 선행되어야 합니다. 단순히 개인정보보호에 대한 규제에만 초점을 맞추는 것 보다 개인정보를 포함한 데이터를 제대로 활용, 처리하고 보호하기 위한 기술적 검토가 필요합니다. 즉, 규제를 준수하면서 데이터를 기업의 자산으로 만드는 환경을 구축하고 이를 활용하여 기업의 혁신과 성장을 이끌어내는 데이터의 운영 전략을 수립하는 것이 중요한 시점입니다.
GDPR은 개인 정보의 정의를 큰 폭으로 확대한 것이 특징입니다. IP 주소 같은 온라인 식별자, 그리고 경제적, 문화적, 정신 건강 정보에 해당하는 데이터도 개인 식별 정보로 간주됩니다. 즉, IP 주소나 쿠키, RFID 태그도 사용자를 식별할 수 있다면, 이름, 주소, 사회보장번호 등 기존 핵심 개인 정보와 동등한 취급을 받게 됩니다. GDPR 규정에 명시된 개인 정보 데이터는 그 밖에도 건강 및 유전 데이터, 생체 인식 데이터, 인종 또는 민족 데이터, 정치적 견해, 성적 취향 등이 있습니다.
사용자들은 기업이나 단체가 보유한 모든 자신의 개인 정보에 액세스할 권리와 데이터가 처리되는 방식, 이유, 저장 기간, 열람 권한자를 알 권리를 가집니다. 데이터 컨트롤러는 가능한 한 사용자가 저장 정보를 검토할 수 있는 안전하고 직접적인 접근 방식을 제공해야 합니다. 또한, 사용자는 부정확하거나 불완전한 자료를 수정할 권리가 있습니다.
일명 ‘잊힐 권리’도 관계가 있습니다. 수집된 목적에 부합하지 않거나 불필요한 경우 개인 데이터 삭제를 요구할 권리를 말합니다. 유럽은 전통적으로 개인의 프라이버시를 민감한 문제로 인식해 왔으며, 시민의 개인 정보를 엄격하게 처리해 왔습니다. 2014년 5월 유럽 최고법원이 구글에 개인의 과거 행적을 담은 문서를 검색 결과에서 삭제하도록 명령한 판결 역시 개인 정보 및 프라이버시를 옹호하는 맥락에서 비롯됐습니다.
