일반 데이터 보호 규정, 즉 GDPR에 대해 들어보셨을 것입니다. 하지만 여러분의 비즈니스는 규정 준수 요건을 충족하고 있나요?
그렇지 않다고 생각되더라도 혼자만 그런 것은 아니니 안심하셔도 됩니다.
GDPR은 2018년 5월 25일에 법률로 발효되었습니다. 그러나 9개월 이상이 지난 시점에도 완전히 규정을 준수하고 있는 곳은EU에 기반을 둔 기업의 29%에 불과했습니다. 게다가 대부분이 해당 법률과 그 영향(과징금 부과 위험 포함)을 인지하고 있었음에도 불구하고 말입니다.
더 중요한 점은, 미국 기반이라고 해서 GDPR이 적용되지 않는다고 생각할 수 있으나 반드시 그런 것은 아니라는 사실입니다. EU에 있는 사용자가 귀사의 웹 사이트에 접속할 수 있다면 GDPR이 적용됩니다.
이 점을 염두에 두고, GDPR의 가장 중요한 원칙과 이러한 원칙이 소규모 비즈니스에 어떤 의미인지 살펴보겠습니다. 또한 GDPR을 준수하기 위해 취해야 할 구체적인 절차를 안내해 드리겠습니다.
GDPR은 EU 전체에서 데이터 보호 관련 법률을 표준화하고 최신 기술 환경에 부합하도록 일치시키고자 합니다. 더 중요한 것은, GDPR의 목표가 다음과 같다는 점입니다.
소규모 비즈니스든, 사실 어떤 규모의 비즈니스든 상관없이, GDPR은 준수해야 할 완전히 새로운 일련의 법적 의무를 안게 되었음을 의미합니다.
먼저 이 법은 개인에게 비즈니스를 상대로 다음을 요구할 권리를 부여합니다.
더 중요한 점은, GDPR이 ‘설계 단계부터 프라이버시 보호’ 원칙을 정립한다는 점입니다. 즉, 다음을 의미합니다.
GDPR은 비즈니스가 EU 내에 물리적으로 위치한 개인의 개인 데이터를 수집하거나 추적할 때마다 적용됩니다.
이 법에서는 개인 정보를 “식별되었거나 식별 가능한 자연인과 관련된 모든 정보”로 정의합니다. 다시 말해, 특정 개인의 신원을 드러내는 데 사용할 수 있는 데이터라면 이는 개인정보에 해당하며, 따라서 GDPR의 보호를 받습니다. 여기에는 다음이 포함됩니다.
더 중요한 것은, 이 법이 온라인과 오프라인 모두에서의 수집 및 추적을 포괄한다는 점입니다. 따라서 CCTV로 사무실을 감시하든 Google Analytics로 웹 사이트 방문자 데이터를 수집하든, GDPR은 똑같이 적용됩니다.
유럽 데이터 보호 이사회 에서는 사용자의 국적이나 신분은 무관하다고 강조했습니다. 개인 데이터가 수집되거나 추적될 때 당시 해당 개인이 EU에 물리적으로 있었다면 GDPR이 적용됩니다. 그 사람이 EU 시민이든, EU 거주자이든, 단순 관광객이든 상관없습니다.
더 중요한 것은, GDPR이 적용되기 위해 비즈니스가 EU 내에 물리적으로 소재할 필요는 없다는 점입니다. 사람들이 EU에서 귀사의 웹 사이트에 접속할 수 있다면 그것만으로도 충분합니다. GDPR 요구 사항을 준수해야 합니다.
GDPR을 위반하면 막대한 벌금이 부과될 수 있습니다. 위반 시 연간 매출의 4% 또는 2,000만 유로(약 2,300만 달러) 중 더 큰 금액의 벌금을 부과받을 수 있습니다.
아니요, 그렇지 않습니다. EU에 있는 사람으로부터 개인 데이터를 수집할 때마다 예외 없이 GDPR이 적용됩니다. 1인 사업체든 6개 대륙에 지사를 두고 있든 이는 동일하게 적용됩니다.
다만 직원이 250명 미만 이면 데이터 처리 활동을 문서로 기록할 필요는 없습니다. 단, 다음의 경우는 예외입니다.
많은 소규모 비즈니스와 개인 사업자는 앞의 세 가지 예외 조항에 해당하지 않을 것입니다.
그렇다면 네 번째는 어떨까요? 벨기에 개인 정보 보호 위원회 에서는 매일 처리하는 작업이라 하더라도 모든 데이터 처리가 '정기적'인 것은 아니라는 의견을 제시했습니다. 이 해석에 따르면, 예를 들어 주문을 넣거나 고객과 소통하는 데 사용하는 개인 데이터는 기록으로 남길 필요가 없습니다. 하지만 유럽 데이터 보호 이사회의 전신인 제29조 작업반의 입장 문서는 '정기적'이라는 단어를 문자 그대로 해석해야 함을 시사하는 것으로 보입니다. 그리고 유럽 데이터 보호 이사회 역시 이에 동의했습니다. 공식 입장이 모호한 만큼, 스스로 예외라고 생각되더라도 기록을 남겨 두는 것이 바람직합니다. 후회하는 것보다 안전하게 대비하는 것이 낫기 때문입니다.
예. 미국 기업이라도 다음과 같은 경우 GDPR이 적용됩니다.
EU 내에서 비즈니스를 유지하고자 한다면 GDPR을 준수해야 합니다. 그렇지 않으면 막대한 벌금을 물 수 있습니다. EU에서 비즈니스를 하지 않는다면 두 가지 선택지가 있습니다.
GDPR이 처음 시행됐을 때, 많은 미국 웹 사이트가 GDPR을 위반하지 않으려고 EU 사용자의 액세스를 차단했습니다. 예를 들어 2018년 8월을 기준으로 EU에서 1,000곳 이상의 미국 뉴스 사이트가 EU 내에서 액세스할 수 없는 상태였습니다. 일부 발행사는 EU 시장에서 완전히 철수하기로 했습니다. Lee Enterprises 대변인 Charles Arms는 다음과 같이 밝혔습니다. “EU와 EEA에서 유입되는 우리 지역 뉴스 사이트의 인터넷 트래픽은 극히 미미한 수준이며, 그 트래픽을 차단하는 것이 지역 미디어 고객에게 가장 이익이 된다고 판단합니다.” 하지만 지금은 많은 미국 웹 사이트가 문제 없이 EU 내에서 온라인 서비스를 재개했습니다. 여러분의 소규모 비즈니스 웹 사이트도 문제 없이 EU 내에서 이용할 수 있게 되었습니다. 그다음으로 중요한 점을 살펴보겠습니다.
소규모 비즈니스를 GDPR 준수에 맞게 준비하는 일은 생각만큼 어렵지 않습니다. 시작에 도움이 될 수 있는 GDPR 준수 체크리스트를 준비했습니다.
어떤 개인 정보를 수집하는지, 그리고 그중 중요한 정보가 포함되어 있는지 알아야 합니다. 즉, GDPR 제9조 및 제10조의 범주에 해당하는지 파악해야 합니다. 또한 스스로에게 다음 질문을 던져보아야 합니다.
질문을 받았을 때 이러한 질문에 답할 수 있어야 합니다.
개인 데이터를 사용할 법적 근거가 없다면, 개인의 동의를 받아야 합니다. 동의는 반드시 다음 요건을 갖추어야 합니다.
동의에 대한 서면 기록을 보관해야 합니다. 또한 동의를 철회하는 것도 빠르고 쉽게 할 수 있어야 합니다. GDPR을 준수하는 고객 관계 관리 소프트웨어 는이 부분에서 도움이 될 수 있습니다. 특히 다음과 같은 기능을 수행할 수 있습니다.
귀사는 수집한 개인정보에 대해 법적 책임을 집니다. 그리고 그 정보가 엉뚱한 사람의 손에 들어갈 경우 벌금을 물 수 있습니다. 따라서 다음과 같은 조치가 필요합니다.
심각한 침해는 72시간 안에 규제 기관에 신고해야 합니다. 그렇지 않으면 벌금을 물 수 있습니다. 보고 절차가 제대로 마련되어 있는지 확인하세요. 그리고 더 중요하게는, 직원들에게 다음 사항을 교육하세요.
이는 두말할 나위 없는 명백한 사실입니다. GDPR 준수에는 시간도 많이 걸리고 비용도 많이 듭니다. 2018년 5월 25일 법 시행을 앞두고, 영국의 소규모 비즈니스는 GDPR 준비에 각각 약 600시간을 소비했습니다. 여기에 재정적 비용은 포함되지도 않았습니다. 전 세계적으로는 중소기업이 GDPR 준수를 위해 130만 달러를 지출했습니다. 마찬가지로, 규정을 준수하지 않을 경우 수익에 눈물이 쏙 빠질 만큼 큰 타격을 줄 수 있습니다. 최초의 GDPR 사례 에서, 한 독일 소셜 네트워크는 해커가 이메일 주소 33만 개와 암호를 훔친 뒤 사용자 개인 데이터를 안전하게 보호하지 못한 책임으로 2만 유로(약 2만 2,600달러)의 벌금을 부과받았습니다. 부담으로 여길 수도 있겠으나, GDPR 준수는 소규모 비즈니스에 긍정적인 영향도 주었습니다. 그 이유는 다음과 같습니다. 소비자들은 개인 정보 보호를 그 어느 때보다 중요하게 생각합니다. 그리고 자신의 정보를 공유하는 비즈니스도 역시 같은 인식을 갖추고 있기를 기대합니다. 최근 한 연구에 따르면,미국 소비자의 69% 가 미국에서도 GDPR과 비슷한 법이 제정되기를 바란다고 응답하기도 했습니다. 더 중요한 것은, CMO 위원회 의연구에 따르면, GDPR에 대비한 회원사는 소비자와의 참여도, 충성도, 신뢰가 더 증진된 것으로 나타났다는 점입니다. 분명 GDPR은 벌금을 피하기 위해 따라야 하는 단순한 규칙 묶음에 그치는 것이 아니라는 사실입니다. 자신의 동의 없이 개인 정보가 수집되는 것을 좋아할 사람은 아무도 없습니다. 또는 범죄자의 손이 닿을 수 있는 곳에 보관되는 것 역시 마찬가지입니다. 따라서 GDPR 준수를 위한 조치를 취함으로써, 여러분의 소규모 비즈니스를 고객의 개인 데이터를 진심으로 소중히 여기는 비즈니스로 자리매김할 수 있습니다. 이렇게 하면 경쟁에서 우위를 점할 수 있습니다.
Marin은 Microsoft의 마케팅 팀의 일부입니다. 그는 기업가가 비즈니스를 더 잘 시작, 관리 및 성장시킬 수 있는 방법을 확인하게 되어 기쁩니다.
비즈니스 인사이트 및 아이디어는 전문적인 세금 또는 금융 자문을 구성하지 않습니다. 상황에 대해 논의하시려면 반드시 귀사의 세무사나 재정 전문가와 상담하시기 바랍니다.
Microsoft 365 팔로우