2.1 GDPR: 글로벌 표준의 탄생
정식 명칭: General Data Protection Regulation (EU) 2016/679
시행일: 2018년 5월 25일
적용 범위: EU 내 모든 조직 및 EU 시민의 데이터를 처리하는 전 세계 모든 조직
GDPR Article 17: 삭제권 (잊힐 권리)
GDPR 제17조는 잊힐 권리를 법제화한 가장 중요한 규정입니다. 데이터 주체는 다음 상황에서 "부당한 지연 없이" 개인정보 삭제를 요구할 수 있습니다:
- 목적 달성: 개인정보가 수집되거나 처리된 목적과 관련하여 더 이상 필요하지 않은 경우
- 동의 철회: 데이터 주체가 처리의 근거가 되는 동의를 철회하고, 처리에 다른 법적 근거가 없는 경우
- 정당한 반대: 데이터 주체가 Article 21(1)에 따라 처리에 반대하고, 처리에 우선하는 합법적 근거가 없는 경우
- 불법 처리: 개인정보가 불법적으로 처리된 경우
- 법적 의무: EU법 또는 회원국법상 법적 의무 준수를 위해 삭제가 필요한 경우
- 아동 정보: Article 8(1)에 따른 정보사회 서비스 제공과 관련하여 수집된 경우
삭제권의 예외 사항
다음의 경우에는 삭제권이 적용되지 않습니다:
- 표현 및 정보의 자유를 행사하기 위한 경우
- EU법 또는 회원국법상 법적 의무 준수를 위한 경우
- 공익상의 이유로 공중보건 분야에서 필요한 경우
- 공익상 기록보존 목적, 과학적/역사적 연구 목적 또는 통계 목적상 필요한 경우
- 법적 청구권의 확립, 행사 또는 방어를 위한 경우
위반 시 제재
최대 €20,000,000 또는 전세계 연간 매출액의 4% 중 높은 금액
GDPR은 역사상 가장 강력한 개인정보 보호 규정입니다. 2018년 시행 이후, Google에게 €50M(프랑스, 2019), Amazon에게 €746M(룩셈부르크, 2021), Meta에게 €1.2B(아일랜드, 2023) 등 대규모 벌금이 부과되었습니다.
2.2 CCPA/CPRA: 미국의 응답
CCPA 시행일: 2020년 1월 1일
CPRA 시행일: 2023년 1월 1일 (CCPA 개정안)
적용 범위: 캘리포니아 주민의 개인정보를 처리하는 일정 규모 이상의 기업
CCPA의 삭제권 (Right to Delete)
CCPA는 소비자에게 다음과 같은 권리를 부여합니다:
- 기업이 수집한 개인정보의 삭제를 요청할 권리
- 서비스 제공업체에게 소비자 정보 삭제를 지시할 기업의 의무
- 삭제 요청에 대한 응답 기한: 45일 (추가 45일 연장 가능)
CPRA의 강화된 규정
2023년 시행된 CPRA(California Privacy Rights Act)는 CCPA를 강화하여:
- 민감한 개인정보(Sensitive Personal Information)의 별도 보호
- 캘리포니아 프라이버시 보호 기관(CPPA) 설립
- 데이터 최소화 및 목적 제한 원칙 도입
- 자동화된 의사결정 기술에 대한 소비자 권리 강화
위반 시 제재
• 고의적 위반: 위반당 최대 $7,500
• 비고의적 위반: 위반당 최대 $2,500
• 소비자 개인 소송: 사건당 $100-$750 또는 실제 손해액
2.3 LGPD: 브라질의 데이터 보호
정식 명칭: Lei Geral de Proteção de Dados (LGPD) - Law 13.709/2018
시행일: 2020년 9월 18일
적용 범위: 브라질 내에서 데이터를 처리하거나 브라질 시민의 데이터를 처리하는 모든 조직
LGPD의 삭제권 구조
LGPD는 GDPR과 유사한 구조를 가지고 있으며, Article 18에서 데이터 주체의 권리를 명시합니다:
- 개인정보 삭제 요청권 (direito à eliminação dos dados)
- 데이터 처리의 철회 및 차단 요청권
- 정보의 이동성 권리 (데이터 포터빌리티)
- 개인정보 공유 내역에 대한 정보 요청권
ANPD: 브라질 국가 데이터 보호 기관
2019년 설립된 ANPD(Autoridade Nacional de Proteção de Dados)는 LGPD의 집행을 담당하며, 가이드라인 제공, 조사 수행, 제재 부과 권한을 가집니다.
위반 시 제재
• 경고 및 시정 조치
• 벌금: 위반당 최대 R$50,000,000 (약 $10M)
• 데이터 처리 활동의 부분적/전면적 정지
• 개인정보 삭제 명령
2.4 글로벌 규정 비교
| 항목 | GDPR (EU) | CCPA/CPRA (US) | LGPD (Brazil) |
|---|---|---|---|
| 적용 범위 | EU 시민 데이터 처리 모든 조직 | CA 주민 데이터 처리 대형 기업 | 브라질 시민 데이터 처리 모든 조직 |
| 삭제 응답 기한 | 1개월 (2개월 연장 가능) | 45일 (45일 연장 가능) | 15일 |
| 최대 벌금 | €20M 또는 매출 4% | 위반당 $7,500 | R$50M (약 $10M) |
| 동의 기반 | 명시적 동의 (opt-in) | 거부권 (opt-out) | 명시적 동의 (opt-in) |
| DPO 요구 | 특정 조건 시 필수 | 불필요 | 특정 조건 시 필수 |
| 데이터 포터빌리티 | 명시적 권리 | 제한적 권리 | 명시적 권리 |
공통 요소
투명성
모든 규정이 데이터 처리의 투명성을 요구합니다. 조직은 수집하는 데이터, 목적, 보관 기간을 명확히 공개해야 합니다.
책임성
데이터 컨트롤러는 규정 준수를 입증할 책임이 있으며, 적절한 기술적/조직적 조치를 구현해야 합니다.
삭제 의무
정당한 사유가 있는 경우 개인정보를 삭제해야 하며, 써드파티에게도 삭제를 통보해야 합니다.
위반 통지
데이터 침해 발생 시 규제 기관 및 영향받은 개인에게 신속히 통지해야 합니다.
2.5 기타 주요 국가 규정
아시아-태평양 지역
- 한국 - 개인정보 보호법 (PIPA): 2011년 시행. 개인정보 파기 청구권(제36조) 및 정정·삭제 요구권(제36조)을 명시. 개인정보 보호위원회가 감독.
- 일본 - 개인정보 보호법 (APPI): 2017년 개정판 시행. 삭제권은 명시적이지 않지만 이용 정지 청구권을 통해 유사한 효과.
- 싱가포르 - PDPA: Personal Data Protection Act (2012). 정정 및 접근권은 있으나 명시적 삭제권은 제한적.
- 호주 - Privacy Act 1988: 2014년 개정으로 강화. 정정 및 삭제 요청 메커니즘 포함.
기타 지역
- 영국 - UK GDPR: 브렉시트 이후에도 EU GDPR과 거의 동일한 규정 유지. ICO(Information Commissioner's Office)가 감독.
- 캐나다 - PIPEDA: Personal Information Protection and Electronic Documents Act. 개인정보 삭제 요청권 포함.
- 남아프리카공화국 - POPIA: Protection of Personal Information Act (2021 시행). GDPR 유사 구조.
2.6 글로벌 조화의 필요성
파편화의 문제
현재 전 세계 120개 이상의 국가가 각자의 데이터 보호 규정을 시행하고 있습니다. 각 규정은 유사하지만 세부 사항에서 차이가 있어, 글로벌 기업들은 복잡한 규정 준수 부담을 안고 있습니다.
- 상이한 응답 기한 (15일 ~ 90일)
- 상이한 삭제 예외 사항
- 상이한 검증 요구사항
- 상이한 기술적 구현 방법
WIA-LEG-009의 역할
WIA-LEG-009 표준은 이러한 글로벌 규정들의 공통 요소를 추출하고 조화시켜, 단일한 기술적 구현으로 모든 주요 규정을 준수할 수 있도록 설계되었습니다:
- 최고 표준 준수: 가장 엄격한 GDPR 요구사항을 기준으로 설계
- 모듈식 구현: 각 지역별 특수 요구사항을 플러그인으로 지원
- 자동 매핑: 요청을 자동으로 해당 지역 규정에 매핑
- 통합 보고: 모든 규정에 대한 통합 컴플라이언스 보고
다음 장에서는 WIA-LEG-009 표준의 전체 구조와 4단계 구현 방식을 상세히 살펴보겠습니다.