GDPR이란 무엇인가 | 탄생 배경부터 웹사이트·앱 실전 적용까지

1

GDPR, 왜 지금 이게 중요한가

해외 사이트에 처음 접속하면 거의 예외 없이 하단이나 중앙에 팝업 하나가 등장한다. "쿠키 사용에 동의하십니까?" 혹은 "개인정보 처리 방침을 확인해주세요." 이 배너들이 존재하는 이유가 바로 GDPR이다. 많은 사람들이 단순한 형식적 절차로 여기고 무심코 "동의" 버튼을 누르지만, 이 규정 하나로 메타는 2023년 12억 유로(약 1조 7000억 원), 아마존은 2021년 7억 4600만 유로(약 1조 200억 원), 그리고 틱톡은 2025년 5억 3000만 유로(약 8400억 원)의 과징금을 부과받았다.

국내 개발자나 블로거, 스타트업 운영자들은 흔히 "우리는 한국 회사니까 관계없다"고 생각한다. 그러나 이는 잘못된 인식이다. GDPR은 회사의 소재지가 아니라 사용자의 거주 지역을 기준으로 적용된다. 유럽 사용자가 단 한 명이라도 서비스에 접속한다면 그 순간부터 GDPR의 적용 대상이 된다.

2025년 기준 하루 평균 GDPR 위반 신고 건수는 443건을 넘어섰고, GDPR 시행 이래 누적 과징금 총액은 수십억 유로에 달한다. 이 글은 GDPR이 왜 생겼는지, 어디에 어떻게 적용되는지, 그리고 웹사이트나 앱을 운영하는 사람이라면 실제로 무엇을 해야 하는지를 다룬다.

2

GDPR의 탄생 배경 | 왜 생겼는가

GDPR이 등장하기 이전, 유럽의 개인정보보호는 1995년 제정된 Data Protection Directive(개인정보보호지침, 95/46/EC)가 담당했다. 이 지침은 인터넷이 막 태동하던 시기에 만들어진 규정으로, 스마트폰도 없고 소셜 미디어도 존재하지 않던 시대의 산물이다. 2010년대에 들어 구글, 페이스북, 아마존 같은 플랫폼 기업들이 막대한 양의 개인정보를 수집하고 활용하기 시작했지만, 1995년 지침은 이를 효과적으로 규율하기에는 역부족이었다.

더 큰 문제는 EU 회원국마다 지침을 해석하고 적용하는 방식이 달랐다는 점이다. 독일은 엄격하게, 영국은 비교적 유연하게 운용하다 보니 기업들은 가장 느슨한 규정을 가진 국가에 법인을 설립해 역내 시장 전체에 서비스를 제공하는 '규제 차익거래'를 활용했다. 아이랜드에 유럽 본사를 집중시킨 빅테크 기업들이 대표적 사례다.

2013년 에드워드 스노든이 미국 NSA(국가안보국)의 대규모 감시 프로그램 실태를 폭로하면서, 개인정보 문제는 단순한 법률적 이슈를 넘어 시민 자유와 인권의 문제로 격상됐다. 미국 정부가 합법적으로 자국 IT 기업들의 서버에 접근해 유럽 시민들의 데이터까지 열람할 수 있다는 사실이 드러나면서, EU는 강력하고 통일된 규정의 필요성을 절감했다.

이러한 흐름 속에서 유럽 의회와 이사회는 약 4년의 논의 끝에 2016년 4월 27일 GDPR을 공식 제정했다. 2년의 준비 기간(유예 기간)을 거쳐 2018년 5월 25일부터 전면 시행되었다. 2025년 5월은 GDPR 제정 10주년을 맞이하는 시점이기도 하다.

3

GDPR의 핵심 구조 | 누가, 무엇을, 어떻게 지켜야 하나

GDPR은 두 가지 기준 중 하나를 충족하면 적용된다. 첫째, EU 내에 사업장을 둔 경우다. 이는 물리적 사무실뿐만 아니라 현지 법인, 지사, 대리점 등을 모두 포함한다. 둘째, EU 내에 사업장이 없더라도 EU 거주자에게 재화나 서비스를 제공하거나, EU 거주자의 행동을 모니터링하는 경우다. 한국 기업이 운영하는 쇼핑몰에 독일 사용자가 접속해 물건을 구입하거나, 웹사이트에 유럽 방문자가 들어와 분석 도구(구글 애널리틱스 등)가 그 행동을 추적하는 순간, 이미 GDPR의 적용 범위에 들어간다.

특히 EU 역외 기업이 GDPR 적용 대상이 될 경우, EU 내 대리인(Representative)을 서면으로 지정해야 한다. 대리인은 해당 기업을 대신해 EU 감독기관과 소통하는 역할을 맡는다. 단, 처리의 성격상 간헐적이고 소규모이며 특별범주 데이터나 유죄 판결 데이터를 처리하지 않는 공공기관의 경우는 면제될 수 있다.

GDPR에서 개인정보(Personal Data)의 범위는 상당히 넓다. 이름, 주소, 이메일, 전화번호처럼 직접적으로 특정 인물을 식별할 수 있는 정보는 물론, IP 주소, 쿠키 ID, 위치 정보, 사용자 행동 패턴 등 간접적으로 개인을 식별할 수 있는 모든 정보가 포함된다. 건강 정보, 유전 데이터, 생체 정보, 종교·정치적 신념, 성적 지향 등은 '특별 범주 데이터'로 분류되어 더 엄격한 보호를 받는다.

개인정보를 처리하려면 반드시 GDPR 제6조에서 정한 6가지 합법적 근거 중 하나가 있어야 한다.

• 동의(Consent): 정보주체가 자유롭고 구체적이며 정보에 입각한 명시적 동의를 부여한 경우
• 계약 이행: 정보주체와의 계약 이행이나 계약 체결 전 요청에 따른 조치를 위해 필요한 경우
• 법적 의무 준수: 컨트롤러가 부담하는 법적 의무의 이행을 위해 필요한 경우
• 중대한 이익 보호: 정보주체 또는 타인의 중대한 이익을 보호하기 위해 필요한 경우
• 공익 또는 공무 수행: 공익에 기반한 업무 수행 또는 공적 권한의 행사를 위해 필요한 경우
• 정당한 이익(Legitimate Interest): 컨트롤러나 제3자의 정당한 이익을 위해 필요한 경우 (단, 정보주체의 이익이나 기본권이 우선하는 경우 제외)

GDPR이 기존 법규와 가장 크게 다른 점은 데이터 주체(정보주체)의 권리를 대폭 강화했다는 것이다.

4

광고·애드센스와 GDPR | 실제로 어떻게 연결되나

GDPR이 광고 생태계에 미친 가장 직접적인 영향은 서드파티 쿠키(Third-party Cookie) 규제다. 구글 애드센스, 페이스북 픽셀, 구글 애널리틱스 같은 서비스들은 사용자가 웹사이트를 방문할 때 쿠키를 심어 사용자 행동을 추적하고, 이를 기반으로 맞춤형 광고를 제공한다. 이 추적 쿠키는 사용자의 IP 주소, 브라우저 정보, 방문 이력 등을 수집하므로 GDPR 상 '개인정보 처리'에 해당한다.

따라서 EU 사용자를 대상으로 광고 쿠키를 사용하려면 사전에 명시적 동의를 받아야 한다. 단순히 "이 사이트는 쿠키를 사용합니다"라고 고지하는 수준으로는 부족하다. 사용자가 어떤 쿠키에 동의하고 어떤 쿠키를 거부할지 선택할 수 있어야 하며, 동의 없이 추적 쿠키가 작동해서는 안 된다.

구글은 2023년 말부터 애드센스 게시자들에게 GDPR 동의 메시지 설정을 의무화했다. 2024년 1월 16일까지 설정하지 않으면 자동 생성 메시지가 게재되며, EU 사용자들에게 동의를 받지 못하면 해당 사용자에게는 개인 맞춤 광고 대신 비맞춤 광고(Non-personalized Ads)만 게재된다. 비맞춤 광고는 맞춤 광고보다 수익률이 낮기 때문에 수익에 직접적인 영향이 있다.

구글 애드센스에서 GDPR 메시지를 설정하는 방법은 다음과 같다.

• 애드센스 관리자 페이지에 로그인 후 [개인정보 보호 및 메시지] 메뉴로 진입
• [GDPR] 탭에서 "GDPR 메시지 만들기" 클릭
• 대상 사이트 선택 후 개인정보처리방침 URL 등록
• 메시지 디자인 및 언어 설정 (한국어 포함 다국어 지원)
• 동의 버튼 텍스트, 거부 옵션, 관리 옵션 구성
• 게시 후 적용

구글은 GDPR에 대응하기 위해 Consent Mode(동의 모드)라는 기술적 해결책을 제공한다. 사용자가 쿠키를 거부하더라도 완전히 데이터 수집을 차단하지 않고, 동의하지 않은 사용자의 데이터를 익명화 또는 집계 형태로만 수집해 전환 모델링에 활용할 수 있도록 한다. GA4(구글 애널리틱스 4)와 Google Ads를 사용하는 사이트라면 CMP와 Consent Mode를 연동 설정하는 것이 권장된다.

5

웹사이트·앱 운영자 실전 가이드 | 무엇을 어떻게 해야 하나

GDPR 준수의 첫 걸음은 내 서비스가 어떤 개인정보를 수집·처리하고 있는지 파악하는 것이다. 수집하는 정보의 종류(이름, 이메일, 로그, 쿠키 등), 처리 목적, 보유 기간, 제3자 공유 여부 등을 목록화하는 작업을 데이터 매핑(Data Mapping) 또는 처리 활동 기록(Record of Processing Activities, RoPA)이라고 한다. GDPR 제30조는 이 기록의 유지를 의무화하고 있다.

GDPR 준수를 위한 개인정보처리방침에는 다음 내용이 반드시 포함되어야 한다. 수집하는 개인정보의 종류와 목적, 처리의 법적 근거, 보유 및 삭제 기간, 제3자 공유 여부와 그 대상, 정보주체의 권리와 행사 방법, 개인정보보호책임자(DPO) 연락처, 감독기관 신고 권리 등이 그것이다. 방침은 평이하고 이해하기 쉬운 언어로 작성해야 하며, 법률 용어 뒤에 중요한 내용을 숨기면 그 자체로 위반이 될 수 있다.

추적 쿠키나 광고 쿠키를 사용한다면 반드시 사용자의 사전 동의를 받아야 한다. 구현 방법은 크게 두 가지다. 첫째는 자체 구현 방식으로, 쿠키 카테고리(필수, 기능, 분석, 광고)별로 동의 여부를 체크박스로 선택하게 하고, 동의 상태를 서버 또는 로컬스토리지에 저장해 이후 방문 시 참조하는 방식이다. 둘째는 CMP 솔루션 도입 방식으로, Cookiebot, Usercentrics, OneTrust, consentmanager 같은 전문 플랫폼을 연동하면 자동으로 사이트의 쿠키를 스캔하고 동의 UI를 생성해주며 IAB TCF v2 규격도 준수한다.

삭제 요청, 열람 요청, 정정 요청 등에 응답할 수 있는 내부 프로세스를 갖춰야 한다. 이메일이나 별도 폼으로 요청을 접수하고, 1개월 이내에 처리·회신하는 흐름을 문서화해두는 것이 중요하다. 소규모 사이트라도 이 체계가 없으면 신고가 접수되었을 때 대응하기 어렵다.

GDPR 제33조는 개인정보 침해 사실을 인지한 날로부터 72시간 이내에 관할 감독기관에 신고해야 한다고 규정한다. 침해가 정보주체의 권리와 자유에 중대한 위험을 초래할 경우, 당사자에게도 직접 알려야 한다. 데이터 유출 사고 발생 시 즉각 대응할 수 있는 내부 절차를 미리 갖춰두는 것이 필요하다.

DPO 지정이 의무화되는 경우는 크게 세 가지다. 공공기관에 해당하는 경우, 기업의 핵심 활동이 정보주체를 대규모로 체계적으로 모니터링하는 경우, 특별범주 데이터를 대규모로 처리하는 경우다. 소규모 개인 블로그나 스타트업은 대부분 해당하지 않지만, 광고 플랫폼이나 데이터 중개 사업자라면 검토가 필요하다. DPO는 반드시 임직원일 필요는 없고, 외부 전문가와의 계약으로 갈음할 수 있다.

6

GDPR을 무시하면 어떤 불이익이 생기나

GDPR 제83조는 위반의 중대성에 따라 두 단계의 과징금을 규정하고 있다. 일반 위반(기술적·조직적 조치 미이행, 기록 유지 의무 위반 등)은 1000만 유로 또는 전 세계 연간 총매출의 2% 중 높은 금액이 상한이다. 심각한 위반(처리의 법적 근거 위반, 동의 요건 미준수, 정보주체 권리 침해, 역외이전 규정 위반 등)은 2000만 유로 또는 전 세계 연간 총매출의 4% 중 높은 금액이 상한이다.

글로벌 기업들의 실제 과징금 사례를 보면 이 규정의 파급력이 명확해진다. 메타(페이스북)는 2023년 미국으로의 개인정보 불법 이전 혐의로 12억 유로(약 1조 7000억 원)을 납부했다. 아마존은 2021년 쿠키 동의 없는 광고 추적 문제로 7억 4600만 유로(약 1조 200억 원)를 부과받았다. 틱톡은 2025년 EU 사용자 데이터를 중국으로 이전한 혐의로 5억 3000만 유로(약 8400억 원)를 부과받았으며, 이는 역대 두 번째 규모의 GDPR 과징금이다.

금전적 제재 외에도 개인정보 처리 일시 또는 영구 중단 명령을 받을 수 있다. EU 사용자에 대한 서비스 전면 중단이나 EU 내 데이터 처리 금지가 내려지면 사실상 유럽 시장에서 퇴출되는 것을 의미한다. 또한 GDPR 위반으로 피해를 입은 정보주체는 손해배상 소송을 제기할 권리도 있다.

과징금보다 더 장기적으로 치명적인 것은 브랜드 신뢰도 손실이다. GDPR 위반 제재를 받은 기업들은 언론에 대대적으로 보도되며 소비자 신뢰를 잃는다. 2025년 기준 유럽 소비자의 70% 이상이 개인정보 처리 투명성을 서비스 선택의 중요 기준으로 고려하는 것으로 나타났다.

7

한국과 GDPR | 2025년 이후 달라진 것

2021년 12월, EU는 한국을 GDPR 적정성 결정(Adequacy Decision) 국가로 인정했다. 이는 한국의 개인정보보호 수준이 EU와 동등하다고 판단한 것으로, 한국으로의 개인정보 이전이 별도 계약 없이 자유롭게 허용됐다. 이어 2025년 9월에는 한국에서 EU로의 이전도 자유화되는 양방향 동등성 인정 체계가 구축됐다. 이로써 한국과 EU 사이의 개인정보 이동이 사실상 무제한으로 가능해졌다.

하지만 이것이 한국 기업이 GDPR을 무시해도 된다는 의미는 아니다. 적정성 결정은 개인정보 이전 메커니즘에 관한 것이고, 유럽 사용자의 데이터를 처리하는 한 GDPR의 모든 의무는 여전히 준수해야 한다.

8

지금 당장 할 수 있는 것들

GDPR 준수는 하루아침에 이루어지지 않지만, 우선순위를 정해 단계적으로 접근하면 충분히 감당 가능하다. 가장 먼저 해야 할 일은 현재 사이트에서 어떤 쿠키와 추적 스크립트가 작동하고 있는지 파악하는 것이다. 구글 애드센스나 구글 애널리틱스를 사용하고 있다면, 애드센스의 개인정보 보호 및 메시지 설정에서 GDPR 메시지를 생성하고, 구글 애널리틱스에서는 Consent Mode를 활성화하는 것이 시작점이다.

동시에 개인정보처리방침을 GDPR 요건에 맞게 업데이트하고, 사용자 요청에 응답할 수 있는 이메일 또는 폼 채널을 마련해야 한다. 트래픽 규모가 크거나 수익 모델이 광고 기반이라면 IAB TCF v2.2를 지원하는 CMP 솔루션 도입을 적극적으로 검토해야 한다. 초기 투자 비용이 발생하더라도, 과징금 리스크와 광고 수익 감소 가능성을 고려하면 훨씬 합리적인 선택이다.

GDPR은 번거롭고 복잡해 보이지만, 결국 사용자가 자신의 정보를 스스로 통제할 수 있도록 보장하는 제도다. 이 원칙에 충실한 서비스 운영은 단순한 법 준수를 넘어, 장기적으로 사용자 신뢰와 브랜드 가치를 높이는 토대가 된다. 설정 페이지를 열고 GDPR 메시지부터 하나씩 시작해보길 권한다.