GDPR
포스팅 뷰14
GDPR(일반정보보호규정)이란 무엇일까요?
- 정의 — 2018년부터 시행된 EU의 개인정보 보호 규정으로, EU 거주자의 개인정보를 처리하는 전 세계 모든 기업에 적용될 수 있습니다.
- 핵심 위험/특징 — 위반 시 과징금이 2천만 유로 또는 전 세계 매출액의 4% 중 더 높은 금액까지 부과되며, 한국에 있는 기업도 역외적용 대상이 될 수 있습니다.
- 대응 — EU 거주자 대상 서비스 여부를 점검하고, 적법한 처리 근거 확보·DPO 지정·72시간 유출 대응체계를 미리 갖춰야 합니다.
GDPR이란 General Data Protection Regulation(일반정보보호규정)의 약자로, EU가 2018년 5월 25일부터 시행한 개인정보 보호 통합 법규를 말합니다.
GDPR이란?
GDPR(General Data Protection Regulation)은 유럽연합(EU)이 회원국마다 제각각이던 개인정보 보호 규정을 하나로 통합해 2016년 4월 채택하고, 2018년 5월 25일부터 시행한 개인정보 보호 규정입니다. 1995년 제정된 EU 개인정보보호지침을 대체하면서, 지침(Directive)과 달리 별도의 국내 입법 없이 모든 EU 회원국에 직접 효력을 갖는 '규정(Regulation)'의 형태를 택해 집행력을 크게 높였습니다.
GDPR이 한국 기업에게도 중요한 이유는 적용 범위가 EU 역내에 그치지 않기 때문입니다. EU에 지사나 사무소가 전혀 없어도, EU 거주자에게 재화·서비스를 제공하거나 이들의 온라인 행동을 추적·분석한다면 GDPR의 적용을 받을 수 있습니다. 해외 직구 쇼핑몰, 유럽 이용자를 위한 모바일 앱, 글로벌 SaaS 서비스를 운영하는 국내 기업이라면 한 번은 반드시 점검해야 하는 규정입니다.
GDPR의 7대 원칙과 정보주체 권리
GDPR 제5조는 개인정보 처리자가 지켜야 할 7가지 원칙을 명시합니다.
- 적법성·공정성·투명성 — 정당한 법적 근거로, 정보주체가 알 수 있도록 투명하게 처리
- 목적 제한 — 명확하고 적법한 목적으로만 수집하고, 목적과 무관하게 재사용하지 않음
- 처리의 최소화 — 목적 달성에 필요한 최소한의 개인정보만 처리
- 정확성 — 부정확한 개인정보는 지체 없이 정정·삭제
- 보관기간 제한 — 목적 달성에 필요한 기간까지만 식별 가능한 형태로 보관
- 무결성·기밀성 — 암호화 등 적절한 보안조치로 무단 처리·손실·훼손 방지
- 책임성 — 처리자가 7가지 원칙 준수를 스스로 입증할 수 있어야 함
이 원칙을 뒷받침하기 위해 GDPR은 정보주체에게 접근권(자신의 정보 열람 요구), 정정권, 삭제권(잊힐 권리), 처리제한권, 이동권(데이터 포터빌리티), 반대권 등 구체적인 권리를 부여합니다. 기업은 정보주체가 이런 권리를 행사할 때 지체 없이 응답할 수 있는 절차를 갖춰야 합니다.
유출 시 72시간 대응 흐름
GDPR은 개인정보 유출을 인지한 시점부터 원칙적으로 72시간 이내에 감독기구에 신고하도록 규정합니다. 흥미롭게도 한국 개인정보보호법 시행령 제40조도 동일하게 72시간을 기준으로 삼고 있어, 글로벌 서비스를 운영하는 기업이라면 하나의 대응 체계로 양쪽 규정에 대응할 수 있습니다.
GDPR과 한국 개인정보보호법, 무엇이 다른가
두 법 모두 역외적용·고액 과징금·유출 통지 의무를 두고 있지만 세부 기준에는 차이가 있습니다. 특히 2026년 9월 시행된 한국 개인정보보호법 개정(데이터 3법 이후 추가 개정)으로 두 규정의 구조가 한층 가까워졌습니다.
| 구분 | GDPR(EU) | 개인정보보호법(한국) |
|---|---|---|
| 과징금 상한 | 2천만 유로 또는 전 세계 연매출 4% 중 높은 금액 | 원칙 매출액 3%, 중대·반복 위반이거나 1천만 명 이상 피해 시 최대 10%(2026.9.11 시행) |
| 역외적용 | EU 거주자 대상 재화·서비스 제공 또는 행동 모니터링 시 적용 | 국내 정보주체를 대상으로 하면 국외 사업자에도 적용 |
| 유출 신고 기한 | 인지 후 72시간 이내 감독기구 신고 | 72시간 이내 개인정보보호위원회·KISA 신고(시행령 제40조) |
| 감독기구 | 회원국별 데이터보호청(아일랜드 DPC 등) | 개인정보보호위원회(PIPC) |
| 책임자 지정 | 대규모 모니터링·민감정보 처리 등 요건 충족 시 DPO 지정 의무 | CPO 지정 의무, 2026년 개정으로 대표이사 최종 책임 강화 |
한 가지 국내 기업에 유리한 사실도 있습니다. EU는 2021년 12월 한국의 개인정보 보호 수준을 EU와 동등하다고 인정하는 적정성 결정(Adequacy Decision)을 채택했습니다. 이 덕분에 한국 기업은 EU 거주자의 개인정보를 표준계약조항(SCC) 같은 추가 안전장치 없이도 국내로 이전해 활용할 수 있습니다.
대표 사례 — 2026년 GDPR 과징금 Top 5
2025년 한 해 GDPR 과징금 총액은 약 12억 유로(약 2조 원)에 달했고, 하루 평균 위반 신고 건수는 443건으로 전년 대비 22% 늘었습니다. 2018년 시행 이후 누적 과징금은 약 71억 유로(약 12조 2천억 원)에 이르며, 그중 아일랜드 감독기구(DPC)가 부과한 금액만 약 40억 유로로 전체의 절반 이상을 차지합니다. 역대 최대 과징금은 2023년 메타(Meta)에 부과된 12억 유로였고, 2025년 4월에는 틱톡이 이용자 데이터를 중국으로 이전한 것이 문제가 돼 5억 3천만 유로의 과징금을 받았습니다.
| 기업 | 과징금 | 주요 위반 사유 |
|---|---|---|
| Free Mobile·Free | 약 4,200만 유로 | 2,400만 건 유출, 보안 미흡·침해통지 지연·과도한 보관 |
| 약 1,447만 파운드 | 만 13세 미만 아동 정보 처리 법적 근거 부재, DPIA 미실시 | |
| IQVIA | 약 500만 유로 | 건강정보 보안 미흡, 가명정보를 익명정보로 오인 처리 |
| Wind Tre | 약 172만 유로 | 사회공학 공격으로 36만 명 데이터·결제정보 노출 |
| South Staffordshire Water | 약 96만 파운드 | 랜섬웨어 침해를 20개월간 미탐지 |
상위 5개 사례 중 3건이 인증 취약점·탐지 실패·피싱 같은 기본적인 보안 통제 미비에서 비롯됐다는 점이 눈에 띕니다. 아직 GDPR 위반으로 직접 제재받은 한국 기업 사례는 공개적으로 확인되지 않았지만, 유럽 진출 기업이 늘고 역외적용 범위가 넓어지는 만큼 안심할 수 있는 상황은 아닙니다.GDPRLocalITWorld
한편 EU는 2025년 말부터 '디지털 옴니버스(Digital Omnibus)'라는 입법 작업을 통해 GDPR을 포함한 디지털 법규 간 중복과 행정 부담을 정비하는 논의를 진행 중입니다. 규제를 완화하려는 것이 아니라 여러 감독기구 간 협력과 집행 일관성을 높이는 방향이어서, 국경을 넘나드는 GDPR 사건의 처리 속도가 오히려 빨라질 전망입니다.
실무 체크포인트 — EU 진출 전 반드시 점검할 것
EU 거주자를 조금이라도 상대한다면, 아래 다섯 가지는 최소한으로 점검해야 합니다.
GDPR 대응의 출발점도 결국 '우리 조직에 어떤 개인정보가 어디에 있는지'를 아는 것입니다. 오피스키퍼는 민감정보관리로 문서에 흩어진 개인정보를 자동 검출하고, DLP(정보 유출 방지)로 EU 거주자 정보가 통제되지 않은 경로로 유출되는 것을 막아 GDPR과 국내 개인정보보호법 양쪽의 안전조치 의무 대응을 함께 뒷받침합니다.
자주 묻는 질문
Q. GDPR은 한국 기업에도 적용되나요?
A. 네. EU에 지사나 사무소가 없어도 EU 거주자에게 재화·서비스를 제공하거나 이들의 행동을 모니터링한다면 제3조에 따라 역외적용 대상이 됩니다. 유럽 이용자를 둔 쇼핑몰·앱·SaaS 서비스는 반드시 점검이 필요합니다.
Q. GDPR과 한국 개인정보보호법은 뭐가 다른가요?
A. 과징금 상한과 역외적용 조건 등 세부 요건에는 차이가 있지만, 72시간 유출 신고 기한처럼 점점 구조가 닮아가고 있습니다. 2026년 9월 시행된 개정 개인정보보호법은 매출액 최대 10%까지 과징금을 올려 GDPR의 4% 상한에 가까워졌습니다.
Q. 한국이 EU 적정성 결정을 받았다는 게 무슨 의미인가요?
A. 2021년 12월 한국이 EU로부터 개인정보 보호 수준을 EU와 동등하다고 인정받아, EU 거주자의 개인정보를 표준계약조항 같은 추가 안전장치 없이도 한국으로 이전해 활용할 수 있게 됐습니다. 유럽과 거래하는 국내 기업의 데이터 활용 부담을 크게 줄여줍니다.
Q. DPO는 반드시 지정해야 하나요?
A. 공공기관이거나, 대규모·정기적 모니터링이 핵심 업무이거나, 민감정보·범죄경력 정보를 대량으로 처리하는 경우 DPO 지정이 의무입니다. 그 외 기업도 리스크 관리 차원에서 자율적으로 지정하는 경우가 많습니다.
Q. 과징금은 어떻게 산정되나요?
A. 위반의 성격에 따라 2천만 유로 또는 전 세계 연간 매출액의 4% 중 더 높은 금액을 상한으로, 위반의 중대성·고의성·조사 협조 정도 등을 고려해 산정됩니다. 2026년에도 보안 미흡이나 아동 개인정보 처리 부실을 이유로 한 과징금이 이어지고 있습니다.
EU와 국내 규제를 동시에 대비하려면, 흩어진 개인정보부터 오피스키퍼로 찾아내세요.
제품소개서 신청하기