일반 데이터 보호 규정(GDPR) 처벌: 무엇을 예상해야 하나요?

The General Data Protection Regulation (GDPR)은 글로벌 표준으로, 기존의 데이터 보호 지침 95/46/EC(DPD) 하에서보다 데이터 보호 당국에 더 강력한 집행 권한을 부여할 뿐 아니라 더 실질적인 과징금을 부과할 권한도 함께 제공합니다. DPD는 준수 위반에 대한 행정 과징금의 정확한 금액을 특정하지 않았지만, GDPR 위반의 최대 과징금은 전년도(직전 회계연도)의 조직 글로벌 연간 매출액의 4% 또는 2,000만 유로(€20 million)까지 도달할 수 있습니다. 이러한 처벌은 다른 현행 표준(예: HIPAA, GLBA 또는 SOX)에 비해 상당히 더 큽니다.

GPDR이 아직 시행되지는 않았지만, 조직들은 표준 준수 여부를 입증하지 못한다는 이유로 이미 여러 문제에 직면하고 있습니다. 최근 사례로는 Flybe와 Honda가 있으며, 이들은 마케팅 이메일 관련 규정을 위반한 혐의로 Information Commissioner’s Office로부터 벌금을 부과받았습니다. 두 회사 모두 GDPR을 준수하고 고객의 동의를 사전에 얻기 위해, 사람들이 해당 회사로부터 마케팅 정보를 받기를 원하는지 묻는 이메일을 보내려고 했지만, 그렇게 하는 과정에서 영국의 Privacy and Electronic Communication Regulations (PECR)을 위반했습니다. PECR은 이러한 이메일이 마케팅 자료로 간주되기 때문에 적절한 동의가 없는 경우 이를 금지합니다.

이 블로그 게시물에서 Netwrix는 GDPR 과태료(벌금)와 관련해 가장 자주 묻는 질문에 대한 답을 제공하여, 벌금이 어떻게 산정되는지, 그리고 어떤 요구 사항이 가장 큰 벌금을 부과하는지 더 잘 이해할 수 있도록 돕습니다.

벌금은 어떻게 산정되나요?

GDPR 제83조에 따르면, 감독 당국(SAs) 또는 자연인의 권리를 보호할 책임이 있는 그 밖의 독립적인 공공 기관은, GDPR 준수를 입증하지 못한 모든 조직에 대해 벌금을 부과할 권한이 있습니다. 이러한 벌금은 “효과적이고, 비례적이며, 억제력이 있어야 합니다.” 또한 SAs가 조직이 벌금을 납부해야 하는지 여부와 벌금의 규모가 얼마나 되어야 하는지를 판단하는 데 도움이 되는 몇 가지 기준이 있습니다:

• 침해의 성격 — 영향을 받은 사람의 수와 그들이 입은 피해; 침해의 성격, 중대성 및 지속 기간; 그리고 데이터 처리의 목적
• 고의성 — 침해가 고의인지 또는 과실(부주의)인지 여부
• 완화 조치 — 데이터 보호책임자(컨트롤러) 또는 처리자(프로세서)가 정보주체의 피해를 완화하기 위해 취한 조치
• 예방 조치 — 비준수(비컴플라이언스)를 방지하기 위해 관리 주체(컨트롤러)와 처리 주체(프로세서)가 부담하는 책임의 정도, 그리고 조직이 취한 기술적·조직적 조치의 내용
• 이력 — 컨트롤러 또는 프로세서의 관련된 이전 침해(위반) 이력
• 협력 — 위반을 시정하고 잠재적 영향을 완화하기 위해 기업이 SA와 얼마나 적극적으로 협력했는지
• 데이터 유형 — 침해가 영향을 미치는 개인정보의 범주
• 통지 — 개인정보처리자 또는 처리대행자가 위반 사실을 사전에 자발적으로 보고했는지
• 인증 — 해당 회사가 인증을 취득했는지 또는 승인된 행동강령을 준수했는지
• 기타 — 사건의 상황에 적용되는 기타 가중 또는 감경 요소(예: 얻은 재정적 이익 또는 방지된 손실)

GDPR의 과징금(벌금) 수준은 어떻게 구분되나요?

제83조에는 GDPR 준수 여부를 입증하지 못한 경우 기업이 받을 수 있는 과징금(벌금)의 두 가지 수준도 설명되어 있습니다. 수준은 주로 어떤 요건을 위반했는지에 따라 결정됩니다.

1단계입니다. 이 단계에서는 조직이 직면하는 제재는 최대 1,000만 유로 또는 직전 회계연도의 전 세계 연간 매출액 2% 까지입니다. 1단계는 다음 요건을 위반한 경우에 적용됩니다:

• 관리자(Controller)와 처리자(Processor)의 의무 — GDPR에서 가장 큰 섹션 중 하나는 적절한 데이터 처리와 보호를 위한 데이터 컨트롤러와 프로세서의 책임에 할애되어 있습니다. 여기에는 설계 단계 및 기본값에 의한 개인정보 보호(제25조), 처리의 보안과 관련된 규칙(제32조), 그리고 개인정보 침해사고(data breach) 를 감독기관(SA) (제33조)과 정보주체(제34조)에게 적시에 통지하는 것이 포함됩니다. 또한 컨트롤러와 프로세서 모두 데이터 처리와 관련된 보안 위험을 식별하고 완화하기 위해 개인정보 보호 영향평가(제35조)를 수행해야 합니다.
• 개인정보 유출 통지(제33조~제34조) — GDPR 제33조는 개인 데이터 침해(개인정보 유출) 사고가 발생한 경우, 데이터 처리책임자(data controller)가 감독 당국(supervisory authorities)에 지체 없이 통지하고, 해당 침해를 인지한 때로부터 72시간 이내에 통지하도록 요구합니다. 다만 그 침해가 자연인의 권리와 자유에 대한 위험을 발생시킬 가능성이 낮은 경우에는 예외입니다. 제34조는 개인정보 유출 사고를 정보주체(data subject)에게 통지하는 사항을 다루며, 조직이 제공해야 하는 세부 정보(침해의 성격, 연락 창구, 발생 가능성이 있는 결과 등)를 명시합니다.
• 감독기구의 의무(제41조) — 제41조는 승인된 행동강령(코드 오브 콘덕트)에 대한 모니터링을 다루며, 이는 관련 전문성을 보유하고 이를 위해 유능한 감독 당국에 의해 해당 목적에 대해 공인된 기구가 수행해야 합니다.
• 인증기관의 의무(제42조 및 제43조) — 제42조에 따르면, 회원국과 감독 당국은 데이터 보호 인증 메커니즘의 설립을 장려하여 데이터 처리책임자(data controller)와 처리자(processor)가 GDPR 준수 여부를 입증할 수 있도록 해야 합니다. 인증은 공인된 인증기관(accredited certification body) 또는 European Data Protection Board에서 발급될 수 있습니다. 제43조는 인증기관에 대한 공인이 특정한 경우에만 제공된다고 설명합니다. 예를 들어, 해당 기관이 일정한 독립성과 전문성을 입증하는 경우이거나, 침해에 대한 불만을 처리하기 위한 절차를 수립하는 경우 등이 해당됩니다.

2단계. 이 더 높은 단계에서는, 데이터 처리책임자와 처리자가 보다 중대한 위반을 했을 때 과징금이 부과됩니다. 예를 들어 정보주체의 권리 또는 동의 조건을 위반하는 경우입니다. 이 수준의 과징금은 직전 회계연도 기준 2,000만 유로 또는 회사의 전 세계 연간 매출액의 4% 입니다. 2단계에는 다음 GDPR 조항의 위반이 포함됩니다:

• 데이터 처리의 기본 원칙 — 여기에는 데이터 처리에 대한 일반 규칙(제5조), 처리의 적법성(제6조), 동의의 조건(제7조 및 제8조)과 민감한 데이터의 특별 범주 처리(제9조–제11조)가 포함됩니다.
• 정보주체의 권리(제12조–제22조) — 이 조항들은 조직이 개인정보를 저장하고 처리할 수 있는 방식에 중대한 영향을 미치는 정보주체의 여러 권리를 규정합니다. 예로는 개인정보가 처리되고 있는지 확인할 권리(제15조), 부정확한 개인정보를 정정할 권리(제16조), 잊힐 권리 (제17조), 처리 제한을 받을 권리(제18조), 데이터를 다른 처리자에게 손쉽게 전송할 권리(제20조), 그리고 개인정보 처리 활동에 반대할 권리(제21조) 등이 있습니다.
• 개인데이터의 이전(제44조–제50조) — 제5장은 제3국 또는 국제기구로의 데이터 이전을 규율합니다. 여기에는 데이터 이전의 일반 원칙(제44조), EU 법에 의해 승인되지 않은 이전 또는 공개(제48조), 그리고 개인데이터 보호를 위한 국제 협력에 관한 규칙(제50조)이 포함됩니다.
• 감독 당국의 명령 — 마지막으로, 조직은 데이터의 처리 제한 또는 중지를 명하는 감독 당국의 명령을 준수하지 않을 경우, 제2수준의 과태료를 부과받을 수 있습니다(제58조).

인포그래픽 보기(이미지를 클릭하면 새 탭에서 고해상도 버전을 열 수 있습니다)

정보주체에게 추가적인 보상이 있나요?

DPD와 마찬가지로 GDPR은 정보주체가 자신의 권리를 침해한 개인정보처리자(컨트롤러) 및 처리자(프로세서)를 상대로 법원에서 금전적 손해배상을 청구할 수 있도록 허용합니다. 여기에는 조직이 데이터 침해에 대해 책임을 지는 경우, GDPR의 처리자에 대한 전용 조항을 위반하는 경우, 또는 컨트롤러의 적법한 지시 범위를 벗어나 행동하는 경우(제79조 및 제82조)가 포함됩니다.

요약

과징금을 부과하는 것 외에도, 감독 당국은 불이행이 발생한 경우 경고 및 견책을 내리는 등 다른 시정 권한을 보유하며, — 극단적인 경우에는 — 조직이 개인정보를 처리하는 것을 금지할 수도 있습니다(제58조). 따라서 조직은 명시적 동의를 확보하고, 침해(위반)를 식별·보고하며, GDPR의 다른 조항을 준수할 수 있도록 효과적인 정책과 절차를 마련해 두었는지 확인해야 합니다. 가장 높은 처벌이 부과되는 영역에 먼저 주목하는 것이 현명합니다. 적절한 데이터 처리에 대한 기본 원칙을 따르고 정보주체의 권리를 침해하지 않도록 해야 합니다.

자주 묻는 질문

GDPR 과태료는 어떻게 산정되나요?

GDPR 과태료는 강력하게 작용할 수 있는 2단계 구조를 따릅니다. 경미한 위반의 경우 전 세계 연간 매출액의 2% 또는 최대 1,000만 유로, 더 중대한 위반의 경우 전 세계 매출액의 4% 또는 최대 2,000만 유로까지 부과될 수 있습니다. 하지만 최대 금액보다 더 중요한 점이 있습니다. 규제 당국은 실제 과징금을 산정할 때 10가지 특정 요소를 고려하는데, 여기에는 침해의 성격과 심각성, 고의인지 과실(부주의)인지 여부가 포함됩니다. 무엇보다도, 이를 예방하기 위해 실제로 마련해 둔 기술적·조직적 조치가 얼마나 있었는지가 핵심입니다.

산정은 임의적으로 이뤄지지 않습니다. 당국은 조사 과정에서의 협조 정도, 침해 사실에 대해 즉시 통지했는지 여부, 그리고 영향을 받은 개인에 대한 피해를 완화하기 위한 조치를 취했는지를 평가합니다. 강력한 Identity 및 Access 통제, 올바른 data classification, 그리고 명확한 침해 대응 절차를 입증하는 기업은 통상적으로 벌금이 크게 낮아집니다. Data security that starts with identity isn’t just good practice – it’s your best defense against maximum fines when things go wrong.

GDPR 과태료의 최대 금액은 얼마인가요?

GDPR에 따른 최대 과징금은 전년도(직전 회계연도) 총 전 세계 연간 매출액의 4% 또는 2,000만 유로 중 더 높은 금액입니다. 이 구간은 개인정보 처리의 법적 근거가 부적절한 경우, 데이터 보호 원칙을 위반한 경우, 또는 적절한 기술적·관리적 보안 조치를 이행하지 못한 경우처럼 가장 중대한 위반에 적용됩니다.

1,000만 유로 또는 2%의 기준은 부적절한 기록 관리, 영향 평가 미실시, 또는 요구되는 상황에서 개인정보보호책임자(Data Protection Officer)를 지정하지 않는 것과 같은 “경미한” 위반에 적용됩니다. 하지만 “경미한(lesser)”이라는 표현에 속지 마세요. 이 과징금 역시 대부분의 조직에 큰 피해를 줄 수 있습니다. 핵심은 무엇일까요? 규제 기관은 선제적인 보안 조치를 입증할 수 있는 기업에 대해 지속적으로 제재 수위를 낮춥니다. 특히 개인 데이터에 대한 무단 액세스를 예방하려는 진지한 의지가 드러나는 Identity 기반 통제(Identity-based controls)가 그렇습니다.

GDPR 과징금을 피하는 방법?

GDPR 과징금을 피하려면 먼저 Identity를 올바르게 구축하는 것부터 시작해야 합니다. 대부분의 제재는 개인 데이터에 대한 무단 액세스에서 비롯되므로, 1차 방어 수단은 least privilege access 통제를 적용하고, 누가 어떤 데이터를 언제 어떤 이유로 접근할 수 있는지에 대한 명확한 가시성을 유지하는 것입니다. 볼 수 없는 것은 보호할 수 없고, 모니터링하지 않는 것은 통제할 수 없습니다.

방어 전략을 세 가지 기둥으로 구성하세요. 기술적 보안 조치(암호화, 액세스 통제, 모니터링), 조직 차원의 프로세스(직원 교육, 사고 대응 계획, 정기 감사), 그리고 컴플라이언스를 입증하는 문서입니다. 침해 사고는 일어납니다—그리고 반드시 일어납니다—자동화된 침해 탐지 및 대응 역량을 갖추면, 경미한 제재와 최대 과징금 사이의 차이를 만들 수 있습니다. 규제 기관은 적절한 보안 인프라에 투자했으며 피해를 신속히 제한하기 위해 즉시 대응할 수 있다는 점을 입증하는 조직을 긍정적으로 평가합니다.

가장 효과적인 접근 방식은 Identity Management를 데이터 보호와 연결하는 것입니다. 역할 기반 액세스 제어, 정기적인 액세스 검토, 그리고 자동화된 프로비저닝을 구현하여 사용자가 업무를 수행하는 데 필요한 개인 데이터에만 접근할 수 있도록 보장하세요. 이는 단순히 규정 준수에 관한 것이 아니라, 문서가 아닌 실제 현장에서 제대로 작동하는 보안을 구축하는 것입니다.

GDPR에 따라 부과될 수 있는 과태료(벌금)는 얼마까지인가요?

GDPR은 감독 당국이 2단계에 걸쳐 행정 벌금을 부과할 수 있도록 허용하지만, 규정은 벌금을 적용하는 방식에 대해 상당한 재량을 부여합니다. 1단계 위반의 경우 최대 1,000만 유로 또는 전 세계 연간 매출의 2%까지의 벌금이 부과될 수 있으며, 대개 부적절한 기록 보관, 개인정보 처리에 관한 고지 누락, 또는 요구되는 영향 평가를 수행하지 못하는 등 절차상의 실패가 수반됩니다.

2단계 위반은 최대 2,000만 유로 또는 전 세계 매출의 4%에 이르는 ‘헤드라인을 장식하는’ 벌금이 적용되며, 핵심적인 데이터 보호 실패에 초점을 둡니다. 즉, 법적 근거 없이 처리하는 행위, 핵심 개인정보보호 원칙을 위반하는 행위, 또는 부적절한 기술적·조직적 보안 조치를 구현하는 행위가 이에 해당합니다. 다만 헤드라인이 놓치는 부분이 있습니다. 감독 당국은 또한 일시적인 처리 금지, 감사 요구 사항, 인증 의무 등과 같은 시정 조치도 고려하며, 이는 기업 운영에 당신이 생각하는 것만큼 큰 혼란을 줄 수 있습니다.

실제 집행 동향을 보면, 감독 당국이 점점 더 기술적 보안 실패, 특히 액세스 제어와 침해(유출) 대응 영역에 집중하고 있음을 알 수 있습니다. 감사 추적이 명확하고 자동화된 대응 역량을 갖춘 포괄적인 Identity and Access Management 프로그램을 입증할 수 있는 조직은, 위반이 발생하더라도 일관되게 더 낮은 벌금을 받는 경향이 있습니다. 메시지는 분명합니다. Identity에서 시작하는 적절한 보안 인프라에 투자하면, 감독 당국도 그 점을 분명히 확인할 것입니다.

GDPR을 준수하지 않을 경우 과태료는 얼마입니까?

GDPR을 준수하지 않으면 전 범위의 제재가 발생할 수 있습니다. 최대 2,000만 유로 또는 전 세계 매출의 4%에 해당하는 과징금, 사업 운영을 중단시키는 처리 금지 조치, 수개월에 걸쳐 자원을 소모하는 의무 감사, 그리고 값비싼 시스템 전면 개편을 강제하는 시정 명령까지 포함됩니다. 하지만 금전적 제재는 종종 시작에 불과하며, 실제 비용은 업무 중단, 평판 손상, 그리고 복구(시정) 과정에서 발생하는 운영상의 추가 부담에서 발생합니다.

최근 집행(단속) 데이터를 보면 ‘비준수’는 단순한 흑백의 문제가 아닙니다. 규제 당국은 준수 의무를 전혀 무시하는 조직과, 성실한 노력으로 준수하려는 조직을 구분합니다. 보안 프로그램이 문서화되어 있는 기업(완벽하지 않더라도)은 대개 최대 과징금이 아니라 시정 조치를 받는 경우가 많습니다. 기본적인 기술적 안전장치—적절한 접근 통제, 침해(유출) 탐지, 또는 사고 대응 역량—이 없는 경우에는 제재 구조 전체가 적용될 수 있습니다.

현실적으로 중요한 점은 준수가 완벽함을 의미하지는 않는다는 것입니다. 적절한 기술적·관리적 조치를 통해 개인정보를 보호하기 위한 체계적인 노력을 입증하는 것이 핵심입니다. 규제 당국은 신원이 기반이 되는 보안 통제(Identity-based security controls)를 구현했음을 보여주고, 올바른 감사 로그(audit trails)를 유지하며, 문제가 발생했을 때 신속하게 대응할 수 있는 조직을 일관되게 높게 평가합니다. Identity에서 시작하는 데이터 보안(Data security that starts with identity)은 단순한 형식적 준수(컴플라이언스 연출)가 아니라, 방어 가능한 GDPR 프로그램의 기반입니다.