🛡️ 2. 개인정보보호 및 데이터 규제

WARNING

⚖️ 법적 면책 고지: 본 문서는 개발자 및 개인정보보호책임자(CPO)/엔지니어를 위한 안내 자료이며, 실무 적용 시 법률 자문을 대체하지 않습니다. 구체적인 조문 및 고시 기준은 개인정보보호위원회(pipc.go.kr) 또는 관련 법령 원문을 확인하십시오.
🌐 주요 관할권: 🇰🇷 대한민국 개인정보보호법(PIPA), 🇪🇺 유럽연합 GDPR, 🇺🇸 미국 캘리포니아주 CCPA/CPRA

---

1. 개인정보보호법 핵심 개념 🇰🇷

필수 3대 요소

1. 개인정보의 정의: 살아있는 개인에 관한 정보로서 성명, 주민등록번호, 영상 등을 통해 개인을 알아볼 수 있는 정보 (다른 정보와 용이하게 결합하여 알아볼 수 있는 것 포함).
2. 개인정보 처리방침 (Privacy Policy):
   • 개인정보의 수집·이용 목적, 항목, 보유 및 이용 기간, 제3자 제공, 파기 절차 등을 문서화하여 웹/앱 첫 화면 또는 서비스 내에서 누구나 쉽게 읽을 수 있도록 공개.
3. 명시적 동의 원칙 (Consent):
   • 필수 수집 항목과 선택 수집 항목 분리 동의.
   • 14세 미만 아동의 경우 법정대리인 동의 필수.
   • 마케팅 활용 및 민감정보(건강, 사상 등), 고유식별정보(주민번호, 운전면허번호)는 별도 구분 동의.

---

2. 개인정보의 국외 이전 규정 🇰🇷

• 개인정보보호법 제28조의8:
  • 해외 서버(AWS us-east-1, GCP 등) 이용, 해외 제3자 SaaS 위탁(Zendesk, Google Analytics 등) 시 국외 이전 요건 준수 필요.
  • 요건:
    1. 정보주체의 별도 동의 수령 OR
    2. 조약·국제협정 체결 OR
    3. 개인정보보호위원회가 인정한 국가/지역(EU 적정성 결정 등) OR
    4. 개인정보 처리위탁·보관 계약 체결 및 보호조치 이행 (계약 체결 시 이용자 고지 가능).

---

3. GDPR (EU 일반정보보호규정) 개요와 역외적용 범위 🇪🇺

• 역외적용 (Extra-territorial Effect - Article 3):
  • EU 내에 사업장이 없더라도, EU 거주 주민에게 재화/서비스를 제공하거나 EU 주민의 행동을 모니터링(쿠키, 트래킹)하는 국내 기업에도 GDPR이 그대로 적용됨.
• 핵심 요구사항:
  • DPO(개인정보보호관) 지정 의무 (대규모 데이터 처리 시).
  • 잊힐 권리 (Right to be Forgotten): 사용자의 데이터 즉시 삭제 요구권.
  • 데이터 이동권 (Right to Data Portability): 사용자가 자신의 데이터를 구조화된 형식(JSON/CSV)으로 추출할 권리.
  • 과징금: 최대 전 세계 연간 매출액의 4% 또는 2천만 유로 중 높은 금액.

---

4. CCPA / CPRA (캘리포니아 소비자 개인정보보호법) 개요 🇺🇸

• 대상: 캘리포니아 소비자의 개인정보를 수집·처리하는 일정 규모 이상의 기업.
• 주요 소비자 권리:
  • Do Not Sell/Share My Personal Information: 개인정보 판매/공유 거부권 (웹사이트 하단 링크 배치 필수).
  • 수집 항목 고지 청구권, 삭제 청구권, 민감 개인정보 이용 제한권.

---

5. 가명정보 · 익명정보 처리 기준 🇰🇷

[원본 데이터] ➔ (식별자 제거/대체) ➔ [가명정보] ➔ (추가정보 파기/불가역) ➔ [익명정보]

• 가명정보: 추가 정보의 사용 없이는 특정 개별자를 알아볼 수 없도록 처리한 정보. 통계 작성, 과학적 연구, 공익적 기록 보존 등을 위해 정보주체의 동의 없이 활용 가능.
• 익명정보: 더 이상 시간·비용·기술을 고려해도 다른 정보와 결합하여 개별자를 알아보는 것이 불가능한 정보. 개인정보보호법 적용 제외.

---

6. 쿠키/트래킹 기술과 이용자 동의 요건 🇰🇷 🇪🇺

• EU (ePrivacy Directive & GDPR): 필수 쿠키(로그인 상태 유지 등)를 제외한 타겟팅/분석용 쿠키는 서비스 이용 전 사전 동의(Opt-in Banner) 획득 필수.
• 한국: 서비스 제공에 필요한 최소한의 쿠키 외에 행태정보(맞춤형 광고 트래킹) 수집 시 개인정보 처리방침 명시 및 동의/거부 수단 제공 필요.

---

7. 개인정보 유출 시 신고 · 통지 의무 🇰🇷

• 통지·신고 시한: 개인정보 유출 사실을 알게 된 때로부터 72시간 이내 (개인정보보호법 개정 기준).
• 절차:
  1. 정보주체 통지: 유출 항목, 시점, 대응 조치, 피해 접수 창구 안내.
  2. 기관 신고: 유출 건수 1,000건 이상 시 개인정보보호위원회 또는 한국인터넷진흥원(KISA)에 지체 없이 신고.