유럽연합의 개인정보보호법, GDPR

2년의 유예기간을 거쳐, 2018년 5월25일 발효된 유럽연합의 개인정보보호법 GDPR는 ‘인터넷 탄생 이후 가장 광범위하고 획기적인 온라인 프라이버시 법’으로 평가된다. 핵심 취지는 디지털 환경에서 개인의 프라이버시 권리를 대폭 강화하는 한편, 적절한 수준의 프라이버시 보호 대책이 입증되는 한 개인 정보의 자유로운 국외 이전을 보장하겠다는 것이다. 따라서 기업이나 기관이 유럽연합 주민의 개인 정보를 수집하고 처리하는 한 그 지리적 위치와는 상관없이 GDPR의 적용을 받는다. 개인 정보 보호 차원에서 과연 어떤 변화와 개선이 이루어졌는지 살펴보고, 한국의 개인정보보호법의 현주소도 짚어 본다.

김상현
캐나다 브리티시콜럼비아주의 원주민 전문 의료 서비스 기관인 퍼스트네이션보건국(First Nations Health Authority)의 정보공개담당관 겸 프라이버시책임자다. 캐나다 온타리오 주정부와 앨버타 주정부의 여러 부처에서 정보공개담당관, 개인정보보호책임자, 프라이버시관리자 등으로 일했다. 개인 정보 보호와 프라이버시 분야의 자격증인 CIPP/C(캐나다), CIPT(IT 분야), CIPM(관리), FIP(정보 프라이버시 펠로) 등을 취득했다. 서울대학교와 캐나다 토론토대학교, 앨버타대학교에서 공부했다. 2001년 캐나다로 이주하기 전까지 10여 년 동안 시사저널, 주간동아, 동아닷컴, 한경닷컴 등에서 기자로 일했다. 저서로 『디지털 프라이버시』(2018), 『인터넷의 거품을 걷어라』(2000)가 있고, 번역서로 『일상의 암호학』(2018 예정), 『보이지 않게, 아무도 몰래, 흔적도 없이』(2017), 『공개 사과의 기술』(2016), 『보안의 미학』(2015), 『디지털 파괴』(2013), 『똑똑한 정보 밥상』(2012), 『불편한 인터넷』(2012), 『통제하거나 통제되거나』(2011), 『디지털 휴머니즘』(2011) 등이 있다.

01 GDPR, 적용 대상과 범위
02 GDPR, 주요 개념과 정의
03 개인 정보 보호의 주요 원칙
04 정보 주체의 권리
05 개인 정보 처리의 법적 근거
06 기업과 기관의 책임
07 보안
08 개인 정보 침해
09 개인 정보의 국외 또는 국제기구 이전
10 감독과 규제

신간
교육과 학습에서 빅데이터 윤승원·김동호·김나리·천종필
국가브랜드와 빅데이터 차희원·정정주·이유나
데이터 기반 비즈니스 모델 개발 심재억
데이터과학 비즈니스 김정선
데이터노믹스 김희대
디지털 프라이버시 김상현
로봇저널리즘 김대원
링크드 데이터 조명대
빅데이터와 복권 문혜정
언어지능 김동성
유럽연합의 개인정보보호법, GDPR 김상현
지식그래프 김학래
한국어 텍스트 감성 분석 남길임·조은경

근간
네트워크 분석 손승우
데이터 리터러시 한상우
데이터 분석을 활용한 정책 사례 김영미
데이터 유통과 시장 이영환
데이터사이언스 철학 김홍기
빅데이터 독성학 박대의
적정데이터 김장현
콘텐츠와 데이터과학 김해원·이미나
텍스트마이닝 전채남

우리의 축적은 계속됩니다.

GDPR는 명시적으로 국제법임을 자임하지는 않지만, 유럽연합의 지리적 경계를 훨씬 넘어선 ‘사실상의’ 국제법으로 기능할 가능성이 높다. 물론 GDPR의 주요 대상은 ‘유럽연합 내의 사업체(establishment)’다(GDPR 제3조 1항). 중요한 대목은 그다음이다. 해당 기업이나 기관이 유럽연합 지역에 물리적으로 존재하지 않더라도, ‘유럽연합 내의 정보 주체에게, 정보 주체의 지불 여부와 관계없이, 재화나 서비스를 제공하는 경우’ 또는 ‘정보 주체의 행태를 감시하되, 그 행태가 유럽연합 내부에서 벌어지는 경우’ GDPR의 적용을 받는다고 규정하고 있기 때문이다.
‘GDPR, 적용 대상과 범위’ 중에서

그러나 2015년 10월 6일 유럽재판소는 유럽위원회의 세이프 하버 결정이 더 이상 유효하지 않다는 역사적 판결을 내렸다. 그에 따라 세이프 하버 협정에 근거를 둔 모든 개인 정보 이전은, 다른 적절한 보호 메커니즘이 없는 한 위법한 행위가 되고 말았다. 그 간극을 메우기 위해 유럽연합과 미국 정부는 새로운 개인 정보 보호 요구 사항에 부합하는(적합성) 원칙을 담은 협약 체결 논의에 들어갔다. 2016년 7월 12일 유럽위원회가 채택한 유럽연합ᐨ미국 프라이버시 실드는 그러한 논의의 결실이다.
‘개인 정보의 국외 또는 국제기구 이전’ 중에서