EU의 2016년 일반정보보호규칙(GDPR)의 제정과 그 시사점

The Enactment of 2016 General Data Protection Regulation(GDPR) in the EU and its Implications

2016년 5월에 EU 일반정보보호규칙(이하 ‘2016년 규칙’이라 한다.)이 제정되었다. 동 규칙은 EU의 개인정보보호법제에서 일반법적 지위를 누리던 1995년 정보보호지침을 대체하는 것으로서, 2012년 1월에 EU의 집행기관인 유럽위원회가 일반정보보호규칙(안)을 EU의 입법기관인 유럽의회와 이사회에 제출한 이래 4년여만에 성립된 것이다. 이러한 2016년 규칙의 제정배경으로는 1995년 지침이 그 목적과 원칙에 관한 한 여전히 유효하지만, 그 법형식이 ‘지침’이라는 점 때문에 동 지침이 가이드라인적인 역할을 한다고 하더라도 각 회원국별로 구체적인 개인정보보호법제도가 다르기 때문에 개인정보 보호에서의 EU 전체의 집행이라는 점에서는 단편화와 법적 불확실성이 존재하게 되었다는 점이 들어진다. 그로 인하여, 보다 강력하고 통일적인 EU개인정보보호제도를 시행할 필요가 있으며, 이에 의하여 EU역내시장에서 디지털경제가 발전할 수 있게 되고, 개인들은 자기의 개인정보를 통제할 수 있으며, 사업자들과 공적 기관들에게는 법적·실무적 확실성을 확보할 수 있게 된다는 것이다. 따라서, 본고에서는 이러한 EU의 2016년 규칙을 대상으로 하여, 그 제정경위를 살펴본 후(Ⅱ), 그 주요내용으로서 입법목적, 정보주체의 동의와 권리, 정보보호영향평가와 사전협의, 행동강령과 인증, 개인정보의 제3국이나 국제조직으로의 이전, 독립적 감독기관과 유럽정보보호위원회, 권리구제, 책임 및 벌칙, 특별한 정보처리상황과의 관련, 최종규정을 살펴보고(Ⅲ), 개인정보의 제3국으로의 이전과 관련한 EU사법재판소의 판례인 Maximillian Schrems Case를 고찰한 것(Ⅳ)을 토대로 하여, 우리에게 던져주는 시사점(Ⅴ)을 제시하였다.

EU has enacted its 2016 General Data Protection Regulation(GDPR) in May 2016 and 2016 GDPR replaced the 1995 Data Protection Directive. This article consists of 5 chapters. Chapter 1 is prelude, and chapter 2 is the enactment process of 2016 GDPR, and chapter 3 is the main contents of 2016 GDPR, which is as follows ; legislative objectives, consent and rights of the data subject, data protection impact assessment and prior consultation, codes of conduct and certification, transfers of personal data to third countries or international organisations, independent supervisory authorities and European Data Protection Board, remedies, liability and penalties, provisions relating to specific processing situations, and final provisions. Thereafter, it is treating the case related with transfers of personal data to third countries, which is cited as Maximillian Schrems Case. Lastly, this article is suggesting the implications on the basis of the research.