GDPR이란? 유럽 개인정보보호법의 핵심 원칙과 국내 개인정보 보호법 비교

개인정보 보호를 공부하다 보면 GDPR이라는 용어를 자주 접하게 됩니다. 해외 서비스를 이용하거나 글로벌 기업의 개인정보 처리 방침을 살펴볼 때도 등장하는 개념입니다. CPPG 시험을 준비한다면 GDPR의 핵심 원칙과 국내 개인정보 보호법의 공통점 및 차이점을 이해해 두는 것이 좋습니다.

은근히 GDPR 관련 문제들이 자주 출제됩니다. 꼭 숙지하고 넘어갑시다.

GDPR은 개인정보 처리의 적법성뿐 아니라 정보주체의 권리, 기업의 책임, 개인정보의 국외 이전까지 폭넓게 규율합니다. 국내 개인정보 보호법과 기본 방향은 비슷하지만, 법적 근거와 세부 의무, 권리 행사 방식에는 차이가 있습니다.

GDPR은 General Data Protection Regulation의 약자로, 유럽연합(EU)의 일반 개인정보 보호 규정입니다. 정식 법령은 Regulation (EU) 2016/679이며, 2016년에 채택되어 2018년 5월 25일부터 적용됐습니다.

GDPR은 유럽에서 개인정보를 처리하는 조직의 의무와 개인의 권리를 정하고, EU 회원국 사이에서 개인정보 보호 규칙을 일관되게 적용하기 위한 규정입니다. 단순히 개인정보 유출을 막는 데 그치지 않고 개인정보가 수집되는 순간부터 이용·보관·제공·삭제되는 과정 전반을 다룹니다.

목적: 개인의 개인정보 보호 권리 강화와 개인정보 처리 규칙의 명확화
주요 대상: 개인정보를 처리하는 기업, 공공기관 등
핵심 내용: 처리 원칙, 적법한 처리 근거, 정보주체 권리, 안전조치, 책임성
적용 시점: 2018년 5월 25일

공식 자료: 유럽연합 집행위원회 GDPR 법적 체계 안내

GDPR은 유럽에 본사를 둔 기업에만 적용되는 규정이 아닙니다. EU 역외에 있는 기업이라도 일정한 요건을 충족하면 적용 대상이 될 수 있습니다.

대표적으로 다음과 같은 경우를 살펴볼 수 있습니다.

EU 내 사업장을 통해 개인정보를 처리하는 경우
EU에 있는 개인에게 상품이나 서비스를 제공하는 경우
EU에 있는 개인의 행동을 모니터링하는 경우

예를 들어 국내 온라인 서비스가 유럽 이용자를 대상으로 서비스를 제공하거나, EU 내 이용자의 온라인 행동을 추적·분석한다면 GDPR 적용 여부를 검토해야 합니다. 다만 유럽에서 웹사이트에 접속할 수 있다는 사실만으로 자동 적용되는 것은 아닙니다. 서비스의 대상, 활동의 성격, 개인정보 처리 상황 등을 함께 판단해야 합니다.

실무 포인트: 글로벌 서비스를 운영한다면 가입 국가, 서비스 제공 지역, 광고·분석 도구의 추적 범위, 개인정보 처리 주체와 수탁업체를 함께 확인해야 합니다.

공식 자료: GDPR 적용 범위 안내

GDPR 제5조의 처리 원칙은 크게 7가지로 정리할 수 있습니다. 시험에서는 영문 용어와 의미를 연결하고, 서로 비슷한 원칙의 차이를 구분하는 것이 중요합니다.

① 적법성·공정성·투명성 (Lawfulness, Fairness and Transparency)

개인정보는 적법하고 공정하며 투명한 방식으로 처리해야 합니다. 조직은 개인정보를 어떤 목적으로 처리하는지, 어떤 법적 근거에 따라 처리하는지 등 필요한 정보를 이해하기 쉬운 방식으로 알려야 합니다.

예를 들어 서비스 가입 과정에서 이용자가 자신의 정보가 어떤 목적으로 사용되는지 알기 어렵게 안내하거나, 실제 처리 내용과 다른 설명을 제공해서는 안 됩니다.

② 목적 제한 (Purpose Limitation)

개인정보를 수집할 때는 구체적이고 명확한 목적을 정해야 하며, 이후 처리도 원칙적으로 해당 목적과 양립할 수 있는 범위에서 이루어져야 합니다.

예를 들어 배송을 위해 수집한 주소를 별도의 검토 없이 무관한 광고 목적으로 활용하는 것은 문제가 될 수 있습니다. 다만 추가 처리가 언제나 금지되는 것은 아니며, GDPR상 목적 양립성 판단이나 별도의 적법한 근거 등 관련 요건을 확인해야 합니다.

③ 데이터 최소화 (Data Minimisation)

처리 목적에 적절하고 관련성이 있으며 필요한 범위를 넘지 않는 개인정보만 처리해야 합니다.

단순한 뉴스레터 신청에 불필요한 주민등록번호나 상세 주소를 요구하는 상황을 생각하면 이해하기 쉽습니다. 업무 편의만을 이유로 개인정보 항목을 계속 늘려서는 안 됩니다.

④ 정확성 (Accuracy)

개인정보는 처리 목적에 비추어 정확하고 최신 상태여야 합니다. 부정확한 정보가 확인되면 필요한 정정 조치를 해야 합니다.

고객의 연락처가 변경됐는데도 과거 정보를 계속 사용한다면 잘못된 안내나 다른 사람에 대한 정보 노출로 이어질 수 있습니다.

⑤ 보유 기간 제한 (Storage Limitation)

개인정보는 처리 목적을 달성하는 데 필요한 기간을 넘겨 보관해서는 안 됩니다. 법적 보존 의무 등 별도 근거가 있다면 해당 요건에 맞춰 관리해야 합니다.

회원 탈퇴가 이루어졌다면 모든 데이터를 무조건 즉시 삭제한다고 단정하기보다는, 목적과 법적 보존 의무를 구분해 보관·삭제 기준을 적용해야 합니다.

⑥ 무결성 및 기밀성 (Integrity and Confidentiality)

개인정보를 무단 또는 위법하게 처리하거나 우발적으로 분실·파괴·훼손하지 않도록 적절한 기술적·조직적 보호조치를 적용해야 합니다.

접근권한 최소화, 계정 관리, 암호화, 로그 모니터링, 취약점 관리, 백업과 복구 절차 등이 이 원칙을 실무에서 뒷받침할 수 있습니다. 구체적인 조치는 처리 위험과 상황에 맞춰 설계해야 합니다.

⑦ 책임성 (Accountability)

개인정보 처리 조직은 원칙을 준수하는 데 그치지 않고, 필요한 경우 준수 사실을 입증할 수 있어야 합니다.

개인정보 처리 기록, 내부 정책, 교육 자료, 접근권한 검토 내역, 위탁 계약, 위험 평가 및 조치 결과 등을 관리하는 이유입니다. 실제 조치를 수행했다는 사실과 이를 입증할 수 있는 기록을 함께 확보하는 것이 중요합니다.

공식 자료: 유럽연합 집행위원회 GDPR 7대 원칙

GDPR을 공부할 때 자주 나오는 오해가 “개인정보를 처리하려면 항상 동의를 받아야 한다”는 생각입니다. GDPR 제6조는 동의 외에도 일정한 요건을 충족하면 개인정보 처리가 가능한 법적 근거를 규정하고 있습니다.

동의: 정보주체가 특정 목적의 처리에 동의한 경우
계약: 정보주체와의 계약을 이행하거나 계약 체결 전 요청에 대응하기 위해 필요한 경우
법적 의무: 컨트롤러에게 부과된 법적 의무를 이행하는 데 필요한 경우
중대한 이익: 정보주체 또는 다른 사람의 생명 등 중대한 이익을 보호하기 위해 필요한 경우
공익 또는 공적 권한: 공익을 위한 업무나 공적 권한 행사에 필요한 경우
정당한 이익: 컨트롤러 또는 제3자의 정당한 이익을 위해 필요하고, 정보주체의 권리와 이익이 우선하지 않는 경우

각 근거는 서로 대체 가능한 만능 선택지가 아닙니다. 실제 처리 목적과 상황에 맞는 근거를 판단해야 하며, 민감정보 등 특별 범주의 개인정보에는 추가 요건이 적용될 수 있습니다.

국내 개인정보 보호법 역시 모든 처리를 동의 하나로만 설명할 수는 없습니다. 법률에 규정된 처리 근거와 요건을 확인해야 하며, GDPR의 법적 근거를 국내법에 그대로 대입해서는 안 됩니다.

공식 자료: 유럽 개인정보보호이사회(EDPB) 법적 근거 안내

GDPR과 국내 개인정보 보호법은 개인정보의 목적 제한, 최소 수집, 안전한 관리, 정보주체 권리 보장 등 여러 공통점을 갖습니다. 다만 법체계와 조문 구성, 구체적인 의무 및 예외 요건은 서로 다릅니다.

비교 항목	GDPR	국내 개인정보 보호법
법적 체계	EU의 일반 개인정보 보호 규정	대한민국의 개인정보 보호에 관한 일반법
기본 원칙	제5조에 7대 처리 원칙 규정	제3조에 개인정보 보호 원칙 규정
처리 근거	제6조에 동의, 계약, 법적 의무, 공익 등 법적 근거 규정	제15조 등에서 수집·이용의 법적 근거와 요건 규정
최소 수집·목적 제한	목적 제한과 데이터 최소화 원칙 적용	목적에 필요한 최소한의 개인정보 수집과 목적 외 이용 제한 등 규정
정보주체 권리	열람, 정정, 삭제, 처리 제한, 데이터 이동권, 반대권 등 규정	열람, 정정·삭제, 처리정지 등 법률에 따른 권리 보장
책임성	준수 책임 및 입증 의무 강조	법적 의무 이행, 안전조치 및 관련 관리·감독 체계 요구
국외 이전	제5장에 제3국 이전 요건과 보호장치 규정	제28조의8 등 국외 이전 관련 요건과 제한 규정
제재	위반 유형에 따라 행정 과징금 등 제재 가능	위반 내용에 따라 과징금, 과태료 등 법정 제재 가능

주의: 위 표는 학습을 위한 개괄적 비교입니다. 각 권리와 의무에는 적용 조건, 예외, 별도 조항이 존재합니다. 예를 들어 GDPR의 데이터 이동권을 국내법의 열람권과 같은 권리로 취급해서는 안 됩니다.

국내법 공식 원문: 국가법령정보센터 개인정보 보호법

GDPR은 정보주체가 자신의 개인정보를 확인하고, 상황에 따라 수정하거나 처리에 이의를 제기할 수 있도록 여러 권리를 규정합니다.

열람권: 자신의 개인정보가 처리되는지 확인하고 관련 정보에 접근할 권리
정정권: 부정확한 개인정보의 정정을 요구할 권리
삭제권: 법에서 정한 조건에 따라 개인정보 삭제를 요구할 권리
처리 제한권: 일정한 상황에서 개인정보 처리의 제한을 요구할 권리
데이터 이동권: 요건을 충족하는 경우 자신이 제공한 개인정보를 구조화되고 일반적으로 사용되며 기계 판독이 가능한 형식으로 받거나 다른 컨트롤러에게 전송하도록 요구할 권리
반대권: 정당한 이익이나 공익 업무 등에 근거한 처리 등 법에서 정한 경우 처리에 반대할 권리
자동화된 개별 의사결정 관련 권리: 법에서 정한 요건에 해당하는 자동화된 결정으로부터 보호받을 권리

삭제권은 언제나 무조건 삭제를 요구할 수 있다는 의미가 아닙니다. 법적 의무나 표현의 자유 등 GDPR이 정한 예외가 적용될 수 있습니다. 자동화된 결정 역시 모든 알고리즘 사용이 일률적으로 금지되는 것은 아니며, 결정의 성격과 법적 요건을 살펴야 합니다.

GDPR 제5장은 개인정보를 EU·EEA 밖의 제3국이나 국제기구로 이전하는 상황을 규율합니다. 국외 이전이 발생하면 이전 목적과 수신자만 확인하는 것으로 끝나지 않습니다. 적용 가능한 이전 근거와 보호장치가 마련되어 있는지 살펴야 합니다.

대표적으로 적정성 결정, 적절한 보호조치, 법에서 정한 특정 예외 등이 관련될 수 있습니다. 어떤 방식이 가능한지는 이전 대상 국가, 수신자, 처리 상황과 적용 요건에 따라 달라집니다.

국내 기업이 해외 클라우드나 외부 분석 서비스를 이용한다면 다음 항목을 확인하는 것이 좋습니다.

개인정보가 실제로 이전되는 국가와 수신자
이전되는 개인정보 항목과 처리 목적
컨트롤러와 프로세서의 역할 및 계약상 의무
GDPR상 이전 근거와 필요한 보호조치
국내 개인정보 보호법상 국외 이전 요건 충족 여부

GDPR과 국내법은 국외 이전의 요건과 절차가 완전히 같지 않습니다. 한쪽 법률을 충족했다고 해서 다른 쪽의 의무까지 자동으로 충족하는 것은 아닙니다.

GDPR의 원칙은 개인정보 보호 정책에만 머무르지 않습니다. 실제 시스템에서 개인정보가 어떻게 접근되고 이용되며 삭제되는지 확인하는 보안 통제와 연결됩니다.

DLP: 개인정보의 외부 반출과 비인가 전송을 탐지·통제하는 데 활용할 수 있습니다.
DB 접근통제: 업무상 필요한 계정에 최소 권한을 부여하고 개인정보 조회·변경 이력을 관리합니다.
계정 관리: 퇴직자와 업무 변경자의 권한을 정리하고 불필요한 접근을 줄입니다.
로그 모니터링: 대량 조회, 비정상적인 접근, 권한 오남용 징후를 탐지합니다.
보유 기간 관리: 보관 기간이 끝난 개인정보가 정해진 절차에 따라 삭제 또는 분리 보관되는지 확인합니다.
준수 증적: 정책, 권한 검토 결과, 점검 기록, 교육 이력과 개선 조치를 관리합니다.

중요한 것은 보안 솔루션을 도입했다는 사실만으로 GDPR 준수가 완성되지는 않는다는 점입니다. 처리 목적과 법적 근거, 데이터 흐름, 접근 권한, 보관 기간, 조직의 운영 절차를 함께 점검해야 합니다.

9. CPPG 시험 대비 핵심 정리

GDPR은 2016년에 채택됐고 2018년 5월 25일부터 적용됐습니다.
GDPR 제5조의 핵심 처리 원칙은 7가지로 정리할 수 있습니다.
동의는 GDPR상 개인정보 처리의 유일한 법적 근거가 아닙니다.
목적 제한은 개인정보 처리 목적에 관한 원칙이고, 데이터 최소화는 처리에 필요한 개인정보의 범위에 관한 원칙입니다.
보유 기간 제한은 목적 달성에 필요한 기간을 넘겨 개인정보를 보관하지 않도록 하는 원칙입니다.
책임성은 규정 준수뿐 아니라 필요한 경우 준수 사실을 입증하는 것까지 강조합니다.
EU 역외 기업도 GDPR 적용 대상이 될 수 있으며, 국내 개인정보 보호법과 별도로 적용 여부를 검토해야 합니다.

10. 확인 문제: 4지선다형 퀴즈

문제 1. GDPR 제5조의 핵심 처리 원칙에 해당하지 않는 것은?

목적 제한
데이터 최소화
보유 기간 제한
모든 개인정보 처리에 대한 동의 의무

정답: 4번

해설: 동의는 GDPR상 법적 처리 근거 중 하나이며, 모든 처리에 일률적으로 요구되는 유일한 근거는 아닙니다.

문제 2. 데이터 최소화 원칙을 가장 잘 설명한 것은?

개인정보를 가능한 한 영구 보관한다.
처리 목적에 필요한 범위의 개인정보만 처리한다.
모든 개인정보를 암호화하면 수집 항목을 제한할 필요가 없다.
개인정보를 수집한 뒤에는 목적을 자유롭게 변경할 수 있다.

정답: 2번

해설: 데이터 최소화는 목적에 비추어 적절하고 관련성이 있으며 필요한 범위로 개인정보 처리를 제한하는 원칙입니다.

문제 3. GDPR의 책임성(Accountability)에 대한 설명으로 옳은 것은?

개인정보 처리 책임은 정보주체에게만 있다.
보안 솔루션을 구매하면 준수 입증 의무가 사라진다.
조직은 원칙을 준수하고 필요한 경우 그 사실을 입증할 수 있어야 한다.
개인정보가 유출되지 않으면 기록 관리가 필요 없다.

정답: 3번

해설: 책임성은 개인정보 보호 원칙의 준수와 그 준수 사실을 입증하는 책임을 강조합니다.

문제 4. GDPR 적용 범위에 대한 설명으로 가장 적절한 것은?

EU에 본사를 둔 기업에만 적용된다.
EU 역외 기업은 언제나 적용 대상에서 제외된다.
EU 내 개인에게 상품·서비스를 제공하거나 그 행동을 모니터링하는 역외 기업도 적용 대상이 될 수 있다.
EU 이용자가 웹사이트에 한 번 접속하면 어떤 기업이든 자동으로 적용된다.

정답: 3번

해설: 역외 기업도 GDPR 제3조의 요건을 충족하면 적용 대상이 될 수 있지만, 단순 접속 가능성만으로 자동 적용되는 것은 아닙니다.

문제 5. GDPR의 데이터 이동권에 대한 설명으로 옳은 것은?

모든 개인정보를 아무 조건 없이 다른 기업으로 이전할 수 있는 권리다.
일정한 요건에서 개인정보를 구조화되고 기계 판독 가능한 형식으로 받거나 다른 컨트롤러에게 전송하도록 요구할 수 있는 권리다.
개인정보 처리자가 보유한 모든 내부 문서를 열람하는 권리다.
개인정보를 영구 삭제하도록 요구하는 권리와 완전히 동일하다.

정답: 2번

해설: 데이터 이동권은 GDPR에서 정한 요건과 범위에 따라 행사할 수 있으며, 열람권이나 삭제권과 구별됩니다.

11. 자주 묻는 질문(FAQ)

Q1. GDPR은 유럽에 있는 기업만 지켜야 하나요?

아닙니다. EU 역외 기업도 EU 내 개인에게 상품·서비스를 제공하거나 그 행동을 모니터링하는 등 GDPR 제3조의 요건을 충족하면 적용 대상이 될 수 있습니다.

Q2. GDPR은 개인정보를 처리할 때 항상 동의를 받아야 하나요?

아닙니다. 동의 외에도 계약 이행, 법적 의무, 공익 업무, 정당한 이익 등 법적 근거가 규정되어 있습니다. 다만 각각의 근거에는 적용 조건이 있으므로 처리 목적과 상황에 맞게 검토해야 합니다.

Q3. GDPR과 국내 개인정보 보호법은 같은 법인가요?

아닙니다. 개인정보 보호라는 공통 목적과 유사한 원칙이 있지만 별개의 법체계입니다. 실제 사업에서는 적용되는 법률별 요건을 각각 검토해야 합니다.

Q4. 개인정보를 가명처리하면 GDPR 적용 대상에서 제외되나요?

일반적으로 그렇지 않습니다. 가명처리된 정보라도 추가 정보를 이용해 개인을 식별할 수 있다면 개인정보에 해당할 수 있습니다. 개인을 더 이상 식별할 수 없도록 적절히 익명화된 정보는 다른 판단이 가능하지만, 단순히 이름을 삭제했다는 이유만으로 익명정보가 되는 것은 아닙니다.

Q5. GDPR을 준수하려면 보안 솔루션부터 도입해야 하나요?

보안 솔루션은 보호조치의 일부입니다. 개인정보 처리 목적과 법적 근거, 데이터 흐름, 접근권한, 보유 기간, 위탁 관리, 사고 대응과 준수 증적까지 함께 점검해야 합니다.

마무리

GDPR을 이해할 때는 단순히 유럽의 개인정보 보호법이라는 정의를 외우는 것보다 핵심 원칙과 실제 처리 과정의 관계를 이해하는 것이 중요합니다. 특히 목적 제한, 데이터 최소화, 보유 기간 제한, 안전한 처리, 책임성은 국내 개인정보 보호법을 공부할 때도 연결해서 살펴볼 수 있는 개념입니다.

CPPG 시험에서는 원칙의 명칭과 의미를 구분하고, 동의가 유일한 처리 근거가 아니라는 점, 정보주체 권리마다 행사 요건이 다르다는 점을 기억해 두세요. 실무에서는 법적 근거 검토와 기술적 보호조치, 운영 절차, 준수 증적을 하나의 체계로 연결하는 것이 중요합니다.

다음에 함께 공부할 주제: 개인정보 수집·이용 원칙과 개인정보 보호법 제15조, 동의 요건 및 예외를 정리하면 GDPR과 국내법의 처리 근거를 비교하는 데 도움이 됩니다.

참고 자료

※ 본 글은 CPPG 학습을 위한 일반적인 설명입니다. 실제 기업의 GDPR 또는 국내 개인정보 보호법 준수 여부는 처리 목적, 사업 구조, 정보주체의 위치, 계약 및 구체적인 처리 방식에 따라 달라질 수 있습니다. 실무 적용 전에는 해당 시점의 법령과 공식 지침을 확인해야 합니다.

1. GDPR이란?

2. 국내 기업도 GDPR을 준수해야 할까?

3. GDPR의 핵심 개인정보 처리 원칙 7가지