유럽 개인정보보호위원회(EDPB)가 GDPR 집행 방식의 실무를 바꿀 수 있는 초안 가이드라인을 발표했습니다. 초안 요약에 따르면, 이 제안은 경미하지 않은 위반에 대해 EDPB의 GDPR 과징금 추정을 설정하고, 과실 입증 기준을 의도적으로 낮추고 있습니다. 쉽게 말해, 규제 당국은 심각한 위반에는 과징금이 당연하다는 가정에서 출발하게 되며, 기업은 과징금을 부과하지 않아야 하는 이유를 입증해야 하는 부담을 더 많이 지게 됩니다.

이 기사를 위해 확보된 자료는 요약본에 한정되어 있으므로, 이 글은 해당 요약이 밝히고 있는 내용에만 초점을 맞추고 예상되는 영향을 일반적인 수준에서 설명합니다.

EDPB 초안 가이드라인이 제안하는 내용

초안의 핵심은 기본값의 전환입니다. 지금까지 감독 당국은 GDPR에 따라 견책과 시정 명령부터 행정 과징금에 이르기까지 다양한 시정 권한을 보유하고 있었습니다. 초안 가이드라인은 경미하지 않은 위반의 경우 과징금이 여러 선택지 중 하나가 아니라 예상되는 결과여야 한다고 제안합니다.

요약에서 두 가지 요소가 두드러집니다:

  • 경미하지 않은 위반에 대한 과징금 우선 추정.
  • 과실에 대한 의도적으로 낮은 기준. 이는 과징금 부과의 핵심 요건이 과실이기 때문에 중요합니다.

요약은 또한 조직이 적절한 주의를 기울였음을 입증하기 위해 견고한 조치를 보여줄 필요가 있다고 언급합니다. 초안은 제안일 뿐 최종 지침이 아니므로, 협의 후 세부 사항이 변경될 수 있습니다.

낮은 과실 기준이 집행을 바꾸는 이유

GDPR상 과징금은 일반적으로 위반이 고의였는지 과실이었는지에 따라 달라집니다. 과실 입증이 어려우면 규제 당국은 과징금 부과를 주저하거나, 기업이 무엇을 알았거나 알았어야 했는지를 둘러싼 논쟁으로 사건이 지체될 수 있습니다.

낮은 기준은 이러한 역학을 바꿉니다. 기업이 합리적으로 주의를 기울이는 조직이라면 취했을 조치를 취하지 않았다면, 추가 조사 없이도 과실이 성립될 수 있습니다. 여기에 과징금 추정이 더해지면, 조직이 위반이 단순히 운이 나빴거나 선의의 실수였다고 주장하기가 더 어려워집니다.

이는 일관성을 향한 broader한 흐름과 맞닿아 있습니다. EDPB는 이미 과징금 산정을 위한 5단계 접근법을 도입했으며, 이는 EDPB 5단계 GDPR 과징금 방법에 관한 해설에서 다루었습니다. 해당 방법은 과징금이 얼마여야 하는지를 다룹니다. 새로운 초안은 과징금을 부과해야 하는지 여부라는 더 앞선 질문을 다룹니다. 과징금 등급과 과실의 역할에 대한 배경은 2026년 GDPR 과징금 및 제재 가이드를 참조하세요.

이것이 귀하에게 의미하는 바

일반인에게 실질적 효과는 간접적이지만 의미가 있습니다. 종이 위의 개인정보 권리는 무시되었을 때 결과가 따를 때에만 의미가 있습니다. 심각한 위반에 대한 예상 대응이 과징금이 된다면, 기업은 다음과 같은 재정적 이유를 더 강하게 갖게 됩니다:

  • 애초에 개인정보를 덜 수집한다.
  • 보유하는 데이터를 안전하게 보호하고 그 방법을 문서화한다.
  • 열람, 삭제, 반대 요청에 제때 응답한다.
  • 직원을 교육하고 고객 데이터를 처리하는 공급업체를 심사한다.

이는 모든 불만이 제재로 귀결된다는 뜻도 아니고, 개인에게 더 빠른 결과를 보장한다는 뜻도 아닙니다. 경미한 위반은 다르게 취급될 것으로 예상되며, 가이드라인은 여전히 초안 상태입니다. 그러나 나아가는 방향은 실질적인 무게를 지닌 집행 쪽입니다.

한편 조직은 증거에 초점을 맞추게 될 가능성이 높습니다. 이러한 접근 방식에서는 기록, 위험 평가, 신속한 시정 조치를 제시할 수 있는지가 과징금과 보다 가벼운 대응 사이를 가르는 차이가 될 수 있습니다.

오늘날 GDPR 권리를 행사하는 방법

가이드라인이 최종 확정되기를 기다릴 필요는 없습니다. 귀하가 EU 또는 EEA에 있거나, 기업이 GDPR에 따라 귀하의 데이터를 처리하고 있다면, 이미 행동할 수 있습니다:

  1. 열람을 요청하세요. 정보주체 열람 요청을 보내 기업이 귀하에 대해 보유한 정보와 그 이용 방식을 확인하세요.
  2. 삭제를 요청하세요. 데이터가 더 이상 필요하지 않거나 동의를 철회한 경우, 기업에 삭제를 요청하세요.
  3. 처리에 반대하세요. 직접 마케팅을 포함한 특정 이용에 반대할 수 있습니다.
  4. 기록을 보관하세요. 요청과 답변의 사본을 날짜와 함께 보관하세요.
  5. 무시되면 상향 조치하세요. 기업이 적절히 응답하지 않으면 국가 개인정보보호 당국에 민원을 제기할 수 있습니다.

문서화되고 근거가 탄탄한 민원은 규제 당국이 조치할 수 있는 종류의 증거이며, 더 강력한 집행 태도는 그러한 민원에 더 큰 실효성을 부여할 것입니다.

핵심 요점

EDPB의 GDPR 과징금 추정은 초안대로 채택될 경우, 경미하지 않은 위반에 대한 정상적 대응을 제재로 만들고 과실을 더 쉽게 성립시키게 됩니다. 이는 기업이 개인정보를 주의 깊게 처리하도록 압박을 가하고, 개인의 권리에 더 실질적인 힘을 부여합니다.

이미 가지고 있는 권리를 사용하세요: 열람을 요청하고, 삭제를 요청하고, 적절한 경우 반대하세요. 과징금이 논의된 후 제재가 어떻게 산정되는지 이해하려면 EDPB 5단계 과징금 방법과 GDPR 제재 등급에 관한 해설을 읽어보세요.