세계의 규제

1. GDPR: 세계 프라이버시 규제의 기준점

2018년 시행된 유럽연합의 일반개인정보보호법(GDPR, General Data Protection Regulation)은 전 세계 프라이버시 규제의 사실상 표준으로 자리잡았습니다. GDPR은 정보주체에게 열람권, 정정권, 삭제권(잊혀질 권리), 처리 제한권, 데이터 이동권 등 폭넓은 권리를 부여하고, 위반 시 전 세계 매출액의 최대 4%에 달하는 과징금을 부과할 수 있도록 했습니다. EU 역내에 서버가 없더라도 EU 시민의 데이터를 처리하는 모든 기업에 적용되는 역외 적용 조항 때문에, 사실상 전 세계 기업들이 GDPR 기준에 맞춰 정책을 정비하게 되었습니다. 영국은 EU를 탈퇴(Brexit)한 뒤에도 자국법에 GDPR과 거의 동일한 "UK GDPR"을 그대로 도입했는데, 이는 GDPR이 이미 국제 표준으로 기능하고 있음을 잘 보여주는 사례입니다.

2. CCPA/CPRA: 미국식 소비자 권리 접근

미국은 연방 차원의 통합 개인정보보호법이 없는 대신, 캘리포니아주가 2020년 CCPA(California Consumer Privacy Act)를 시행했고 2023년에는 이를 강화한 CPRA(California Privacy Rights Act)가 발효되었습니다. GDPR이 "개인정보 처리 자체에 원칙적 동의를 요구"하는 방식이라면, CCPA/CPRA는 "기업이 내 정보를 팔지 못하게 거부할 권리(opt-out)"에 방점을 둔 소비자 보호법적 접근에 가깝습니다. 이 차이는 유럽이 프라이버시를 기본권으로 보는 전통과, 미국이 시장·소비자 관점에서 접근하는 전통의 차이를 잘 보여줍니다.

GDPR 제1조는 이 법의 목적을 "자연인의 개인정보 보호에 관한 기본권을 보호하는 것"이라고 명시하고 있습니다. 프라이버시를 소비자 권리가 아닌 기본권으로 규정한 것이 GDPR의 출발점입니다.

3. 한국의 개인정보 보호법(PIPA)과 아시아권 규제

한국의 개인정보 보호법(PIPA, Personal Information Protection Act)은 공공·민간 부문을 아우르는 일반법으로, 2020년 데이터3법 개정을 통해 가명정보 활용 근거를 마련하고 개인정보보호위원회의 권한을 강화했습니다. 중국은 2021년 개인정보보호법(PIPL, Personal Information Protection Law)을 시행했는데, GDPR과 유사한 정보주체 권리를 규정하면서도 국가 안보를 이유로 한 데이터 국외 이전 심사 등 국가 통제적 요소가 강한 것이 특징입니다. 일본은 개인정보보호법(APPI)을 통해 GDPR과의 상호 적정성 인정을 받아 유럽과의 데이터 이전을 원활히 하고 있습니다.

구분	GDPR (EU)	CCPA/CPRA (미국 캘리포니아)	PIPA (한국)
성격	기본권 보호법	소비자 보호법	일반 개인정보 보호법
핵심 권리	열람·정정·삭제·이동권	정보 판매 거부권(opt-out)	열람·정정·삭제·처리정지권
최대 과징금	전 세계 매출의 4%	위반 1건당 벌금 규정	관련 매출액의 3% 이하
역외 적용	있음(EU 시민 대상 시)	있음(캘리포니아 주민 대상 시)	있음(국내 이용자 대상 시)

4. 규제가 실제로 바꾼 것들

GDPR 시행 이후 유럽 이용자들은 웹사이트마다 쿠키 동의 배너를 마주하게 되었고, 기업들은 개인정보 침해 사고 발생 시 72시간 내 당국에 신고할 의무를 지게 되었습니다. 실제로 아마존, 메타, 구글 등 빅테크 기업들은 GDPR 위반으로 수천억 원대의 과징금을 부과받은 바 있습니다. 이는 규제가 단순한 선언에 그치지 않고 실질적인 억지력을 갖는다는 것을 보여주는 사례입니다.

5. 규제의 한계와 앞으로의 과제

다만 국가별로 규제 수준과 집행 의지가 다르기 때문에, 글로벌 기업 입장에서는 가장 느슨한 규제를 따르는 지역으로 서비스를 우회하려는 유인이 생기기도 합니다. 또한 규제가 워낙 정교해지다 보니 중소기업에는 컴플라이언스 비용 부담이 커진다는 지적도 있습니다. 다음 강에서는 이러한 규제가 정작 견제하려는 대상, 즉 플랫폼 독과점 문제를 자세히 다루겠습니다.

관련 검색어  ·  GDPR, CCPA, 개인정보 보호법, 잊혀질 권리