데이터 프라이버시와 GDPR

데이터 프라이버시와 GDPR이란?

데이터 프라이버시를 챙긴다는 건 기능을 하나 더 붙이는 일이 아니라 서비스 기획의 순서를 바꾸는 일입니다. 예전에는 개발이 끝난 뒤 법무 검토를 받았다면, 이제는 화면 설계 단계에서 '이 입력칸이 정말 필요한가'를 먼저 따집니다. 일단 모아두고 나중에 쓴다는 관행이 가장 먼저 깨집니다. 목적이 정해지지 않은 항목은 DB 컬럼부터 만들지 않고, 보관 기간이 지난 데이터는 사람 손을 거치지 않고 파기되게 설계합니다. 개인정보는 자산이 아니라 부채라는 말이 여기서 나옵니다.

GDPR은 위반 정도에 따라 전 세계 연간 매출의 4% 또는 2,000만 유로 중 큰 금액을 기준으로 과징금을 매깁니다. 유출을 인지하면 72시간 안에 감독기구에 신고해야 하고, 일정 규모 이상이면 개인정보보호책임자(DPO)를 둬야 합니다. 정보주체에게는 열람·정정·삭제·처리제한·이동·반대 여섯 가지 권리가 있고, 기업은 원칙적으로 한 달 안에 답해야 합니다. 실무자가 가장 많이 놓치는 건 동의가 처리 근거 여섯 가지 중 하나일 뿐이라는 점입니다. 계약 이행, 법적 의무, 정당한 이익 같은 다른 근거가 더 맞는 경우가 많습니다.

한국 개인정보보호법도 2020년 개정으로 가명정보 개념을 들여왔습니다. 가명정보는 여전히 개인정보입니다. 추가 정보와 결합하면 다시 식별되기 때문이고, 복원이 불가능한 익명정보라야 규제 밖입니다. 이 경계를 헷갈려 '익명화했으니 괜찮다'며 분석용 데이터를 외부 업체에 넘기는 사고가 자주 납니다. 또 국외 이전은 별도 근거가 필요해, 해외 SaaS 툴에 고객 데이터를 올리는 순간 이미 이전이 일어났다는 점을 놓치면 안 됩니다.

현장에서 가장 흔한 오해는 '동의 체크박스만 받아두면 끝'이라는 생각입니다. 미리 체크돼 있는 박스, 가입 필수와 마케팅 수신을 한 줄에 묶은 동의는 GDPR 기준에서 무효로 봅니다. 더 위험한 건 문서와 시스템이 따로 노는 경우입니다. 처리방침에는 '3년 후 파기'라고 써놓고 실제로는 테스트 DB에 실고객 데이터가 그대로 복사돼 있거나, 퇴사자 계정이 살아 있어 권한이 열려 있는 식입니다. 감사나 유출 사고가 터지면 규정을 안 지킨 것보다 지킨다고 써놓고 안 지킨 것이 훨씬 무겁게 다뤄집니다.