개인정보 보호위원회

개인정보 처리자 의무사항

한눈에 보는 GDPR

Ⅰ. 데이터 컨트롤러

▶ (정보주체 권리강화) 정보주체는 본인의 개인정보를 누가, 어떤 목적으로, 어떻게 처리하는지 등의 정보를 명확하고 이해하기 쉽게 제공받을 권리가 있으며, GDPR은 제5조제1항(투명성 원칙)에서 이러한 정보주체 권리의 실현을 언급하고 제Ⅲ장에서 정보주체의 권리 행사와 강화에 대한 내용을 규정하고 있음

 • 특히 ▲삭제권 ▲처리 제한권 ▲개인정보 이동권 등을 새로이 도입하고, 접근권과 삭제권 등의 대상을 확대한 점에서 ’95년의 개인정보보호 지침보다 정보주체의 권리를 강화

GDPR 제12조 정보를 제공받을 권리

● 컨트롤러는 정보주체로부터 개인정보를 수집하였거나 정보주체로부터 개인정보를 수집되지 않은 경우에도, ▲컨트롤러 및 그 대리인의 신원 ▲처리 목적 및 처리의 법적 근거 ▲개인정보 수령인의 범주 및 관련 개인정보의 범주 ▲GDPR 제15조에서 제22조 사이에 규정된 정보주체의 개인정보 관련 권리 ▲GDPR 제34조상의 개인정보 침해 통지 등을 정확하고, 투명하며, 이해하기 쉬운 형식으로 제공해야 함

GDPR 제15조 열람권(정보 접근권)

● 컨트롤러는 정보주체가 개인정보 처리 여부에 대해 확답을 얻을 권리를 행사할 경우, ▲처리 목적 ▲관련된 개인정보 범주 ▲개인정보를 제공받았거나 제공받을 수령인 ▲개인정보에 대해 행사할 수 있는 일체의 권리(정정권·삭제권·처리제한권·반대권 등) ▲감독기관에 민원을 제기할 수 있는 권리 ▲정보주체로부터 개인정보를 수집하지 않은 경우, 수집된 개인정보의 출처 등에 대한 정보를 정보주체에게 제공해야 함

GDPR  제16조 정정권

● 컨트롤러는 정보주체가 본인에 대한 부정확한 개인정보를 지체 없이 정정하도록 요구할 경우, 요구사항에 맞게 이를 보완할 의무를 지님

GDPR  제17조 삭제권(잊힐 권리)

● 정보주체는 본인에 관한 개인정보를 부당한 지체 없이 삭제하도록 컨트롤러에게 요청할 권리를 가지며, 컨트롤러는 ▲수집된 개인정보가 더 이상 필요하지 않은 경우 ▲정보주체가 동의를 철회하여 개인정보 처리에 대한 법적 근거가 없어진 경우 ▲정보주체가 개인정보 처리에 반대할 경우 ▲개인정보가 불법적으로 처리된 경우 ▲아동에게 직접 이루어지는 정보사회서비스의 제공과 관련하여 개인정보가 수집된 경우, 부당한 지체 없이 개인정보를 삭제할 의무를 가짐

GDPR 제18조 처리제한권

● 컨트롤러는 ▲정보주체가 개인정보의 정확성에 대해 이의를 제기하는 경우 ▲처리가 불법적이고 정보주체가 해당 개인정보의 삭제에 반대하고 대신 개인정보에 대한 이용제한을 요청하는 경우 ▲처리가 불법적으로 이루어지고, 정보주체가 개인정보의 삭제에 반대하면서 대신 그 개인정보의 이용 제한을 요청한 경우 ▲더 이상 개인정보가 필요하지 않지만, 정보주체가 법적 청구권의 입증, 행사 및 방어를 위하여 그 정보를 요구한 경우 ▲정보주체가 GDPR 제21조제1항에 따라 처리에 반대한 경우에는 컨트롤러의 정당한 근거가 정보주체의 정당한 근거에 우선하는지 여부가 확인될 때까지 개인정보 처리 제한 의무를 지님

GDPR 제20조 이동권

● 정보주체가 컨트롤러에게 제공한 본인에 관한 개인정보를 다른 컨트롤러에게 이전하고자 할 경우, 컨트롤러는 정보주체의 요구에 따라 개인정보를 다른 컨트롤러에 이전해야 함

GDPR 제21조, 제22조 반대권, 프로파일링을 포함한 자동화된 의사결정

● 정보주체가 프로파일링 등 본인과 관련된 개인정보 처리에 반대할 권리를 행사할 경우, 컨트롤러는 정당한 이익을 입증하지 못하는 한, 더 이상 정보주체의 개인정보를 처리하여서는 안 됨

● 프로파일링 등 자동화된 의사결정이 (1) 정보주체와 컨트롤러 간의 계약 체결 또는 이행에 필요하거나 (2) 정보주체의 명백한 동의에 근거한 경우, 컨트롤러는 정보주체에게 최소한 아래의 권리를 보장해야 함

  - 인적 개입을 요구할 권리

  - 정보주체가 자신의 견해를 표현할 권리

  - 결정에 대해 이의를 제기할 권리

▶ (컨트롤러 의무사항) 또한, GDPR은 제Ⅳ장에서 컨트롤러의 개인정보 처리에 대한 책임 준수와 그 입증을 구체적으로 요구하고 있음

GDPR 제24조 적절한 기술적 관리적 조치

● 컨트롤러는 개인정보의 처리가 자연인의 권리 및 자유에 미치는 위험의 다양한 가능성 및 정도와 함께 최신 기술, 실행 비용, 처리의 성격, 범위, 상황 및 목적을 고려하여, 그 처리가 본 규정에 따라 이루어졌음을 보장하고 입증할 수 있도록 적절한 기술 및 관리적 조치를 취해야 함

GDPR 제25조 개인정보보호 중심 설계 (Data Protection by design and by default)

● 컨트롤러는 가명처리 등 기술적·관리적 조치를, 개인정보 처리 방법을 결정한 시점 및 개인정보 처리가 이루어지는 시점에서 이행할 의무가 있음

GDPR 제30조 처리 활동의 기록

● 컨트롤러는 자신이 책임지는 처리 활동에 대한 기록을 보관해야 하며, 이 때 아래의 정보를 포함해야 함

  - ▲컨트롤러·공동 컨트롤러·컨트롤러의 대리인·DPO의 이름과 연락처 ▲처리의 목적 ▲정보주체의 범주 및 개인정보의 범주에 대한 설명 등 ▲제3국 또는 국제기구의 수령인 등 개인정보를 제공받았거나 제공받을 예정인 수령인의 범주 등

GDPR 제35조 개인정보 영향평가(DPIA)

● 개인정보 처리의 성격과 범위, 상황, 목적을 고려하여, 특히 새로운 기술을 사용하는 처리 유형이 개인의 권리와 자유에 중대한 위험을 초래할 가능성이 있는 경우, 컨트롤러는 처리에 앞서, 예정된 처리 작업이 개인정보 보호에 미치는 영향에 대한 평가를 수행해야 함

GDPR 제37조 DPO 지정

● 컨트롤러와 프로세서는 다음 중 하나 이상을 충족하는 경우 DPO를 임명할 의무가 있음           

  - 법원이 사법 권한을 행사하는 경우를 제외하고, 공공기관이 개인정보 처리를 수행

  - 컨트롤러와 프로세서의 핵심 활동이 정보주체에 대한 대규모의 정기적/체계적 모니터링이 필요한 처리 작업에 해당

  - 컨트롤러와 프로세서의 핵심 활동이 GDPR 제9조에 따른 특수범주 개인정보의 대규모 처리 또는 GDPR 제10조에 따른 형사범죄 경력 또는 범죄행위와 관련된 대규모 처리에 해당

GDPR 제40조~43조 행동규약 및 인증

● 정부와 감독기관, EDPB 및 EU 집행위원회는 GDPR의 적용을 위한 취지의 행동규약의 작성을 권장할 수 있으며, 협회나 대표 단체가 행동규약을 작성할 수 있음

● 행동규약과 관련한 전문성을 보유하고 소관 감독기관이 인정한 기관은 행동규약 준수에 대한 모니터링을 실시할 수 있음

● 컨트롤러는 인증제도를 통해 개인정보의 처리가 GDPR을 준수하고 있음을 입증할 수 있으며, 인증은 자발적이고 투명한 절차를 통해 제공되어야 함

Ⅱ. 데이터 프로세서

▶ 프로세서는 GDPR에 따라 ▲처리활동의 기록(제30조) ▲개인정보 처리 보안 기준 적용(제32조) ▲개인정보 영향평가 수행(제35조) ▲제3국 및 국제기구로의 개인정보 역외 이전(제44조~제48조) 등과 같은 다양한 의무를 부담하며, 제83조에 근거하여 제재의 직접적인 적용대상임