5주차 동향 스터디

1. 사전 워밍업 : 전체 흐름 파악

• 해당 페이지 범위의 제목, 소제목, 표/차트/키워드만 먼저 훑어보기

1. 4.4 Data Protection Officer Appointment — DPO/개인정보 보호책임자 지정 의무 비교
2. 4.5 Data Security and Data Breaches — 데이터 보안 및 침해 통지 의무 비교
3. 4.6 Accountability — 책임성 원칙 비교

이번에는 조직 내부 책임 구조와 보안 의무에 초점이 맞춰져 있다!

 

2. 첫 번째 읽기: 스키밍 + 한국어 번역 의존

• 문단별로 빠르게 훑으며 주요 결론/차이점만 한국어로 정리

4.4 Data Protection Officer Appointment (DPO/보호책임자 지정) 

1) 유사점

GDPR	PIPA
특정 조건 하에 컨트롤러·처리자 모두 DPO 지정 의무	개인정보처리자는 개인정보 보호책임자(Privacy Officer) 지정 의무
DPO 주요 역할 : ① 처리 의무 관련 정보 제공 및 자문 ② GDPR 준수 모니터링 및 감사 ③ 감독기관과의 연락 창구 역할	보호책임자 주요 역할 : ① 개인정보 보호 계획 수립·시행 ② 처리 실태 점검 및 개선 ③ 피해 구제 및 불만 대응 ④ 내부 통제 시스템 구축 ⑤ 교육 계획 수립·시행 ⑥ 개인정보 파일 보호·관리·감독 ⑦ 위반 발견 시 즉각 시정 조치 및 보고 ⑧ 개인정보 처리방침 수립·변경·시행 ⑨ 보호 관련 자료 유지 ⑩ 보유 기간 경과 개인정보 파기
DPO 연락처를 개인정보 처리방침에 포함하고 감독기관에도 통보	보호책임자 연락처를 개인정보 처리방침에 포함. 단, 감독기관 통보 의무는 명시 없음
DPO는 업무 수행을 이유로 해고·불이익 처분 불가	보호책임자는 직무 수행을 이유로 불이익 처우 불가
DPO는 직원이거나 서비스 계약 기반으로 활동 가능	보호책임자는 ① 사업주 또는 대표자, 또는 ② 임원(임원 없을 경우 개인정보 보호 업무 담당 부서장)
DPO의 독립성 인정	보호책임자의 독립성 보장 (2024년 3월 15일 시행 예정)

2) 차이점

GDPR	PIPA
정보주체는 개인정보 처리 및 권리 행사와 관련하여 DPO에게 직접 연락 가능	정보주체가 보호책임자에게 직접 연락 가능한지 명시 없음. 다만 연락처는 처리방침에 포함
공공기관, 대규모 정기적·체계적 모니터링, 대규모 민감정보 처리 시 DPO 지정 의무	일정 기준(직원 수, 매출액 등) 미달 개인정보처리자도 보호책임자 지정 의무. 기준 초과하면서 미지정 시 사업주·대표자가 보호책임자가 됨 (2024년 3월 15일 시행 예정)
기업 그룹은 단일 DPO 지정 가능 (각 사업장에서 쉽게 연락 가능해야 함)	각 개인정보처리자는 개별적으로 보호책임자 지정 필요. 그룹 단위 단일 지정 불가

4.5 Data Security and Data Breaches (데이터 보안 및 침해) 

1) 유사점

GDPR	PIPA
개인정보는 적절한 보안이 보장되는 방식으로 처리되어야 함 (무결성·기밀성 원칙)	개인정보처리자는 처리 방식과 유형에 따른 위험을 고려하여 개인정보를 안전하게 관리해야 함
컨트롤러·처리자는 GDPR 의무를 준수하는 처리가 이루어지도록 적절한 기술적·관리적 보안 조치 이행	개인정보처리자는 개인정보가 분실·도난·유출·위조·변조·훼손되지 않도록 기술적·관리적·물리적 조치 이행
기술적·관리적 조치 예시 : ① 가명처리 및 암호화 ② 기밀성·무결성·가용성 및 복원력 보장 ③ 물리적·기술적 사고 발생 시 적시 복구 ④ 처리 보안의 효과성 정기 테스트·평가	조치 예시 : ① 내부 관리 계획 수립·시행 ② 접근 통제 조치 ③ 암호화 기술 적용 ④ 접속 기록 관리 및 위·변조 방지 ⑤ 보안 프로그램 설치·갱신 ⑥ 잠금장치 등 물리적 보호 조치
침해 통지 시 포함해야 할 정보 목록 규정 (침해 성격, 정보주체 수, 침해 결과 등)	침해 통지 시 포함해야 할 정보 목록 규정 (유출된 개인정보 항목 등)
침해가 정보주체의 권리·자유에 높은 위험을 초래할 가능성이 있는 경우 지체 없이 정보주체에게 통지	침해 인지 즉시 정보주체에게 지체 없이 통지 (실무상 5일 이내. 정보통신서비스 제공자는 24시간 이내)

2) 차이점

GDPR	PIPA
개인정보 침해 발생 시 컨트롤러는 감독기관에 통지 의무 (정보주체 권리·자유에 위험이 없을 가능성이 낮지 않은 경우). 72시간 이내 통지 원칙	1,000명 이상의 개인정보가 유출된 경우에 한해 서면으로 규제기관에 신고 의무 (실무상 5일 이내)
적절한 기술적·관리적 보호 조치 이행, 후속 조치로 위험 소멸, 불균형한 노력이 요구되는 경우 정보주체 통지 면제 가능	정보주체 통지 면제 규정 없음. 단, 추가 유출 방지를 위한 긴급 조치(접근 차단, 시스템 취약점 점검, 유출 데이터 삭제 등) 선행 후 지체 없이 통지 가능

4.6 Accountability (책임성) 

1) 유사점

GDPR	PIPA
책임성을 데이터 보호의 핵심 원칙으로 명시. 컨트롤러는 준수를 입증할 책임 부담. DPO 지정, DPIA 등이 책임성 원칙의 구체적 실현 수단	'책임성'이라는 용어를 명시하지 않음. 다만 개인정보처리자는 PIPA 및 관련 법령에서 정한 의무와 책임을 준수하고 이행함으로써 정보주체의 신뢰를 얻도록 노력해야 한다고 규정. 개인정보 보호책임자 지정, 처리방침 수립 등이 책임성의 실현 수단

2) 차이점

해당 사항 없음

 

3. 두 번째 읽기 : 영어 중심 정독

핵심 문장 영어로 요약 + 한국어 번역

PIPA requires data handlers to appoint a privacy officer whose responsibilities are slightly different from those required of a data protection officer under the GDPR.
→ PIPA는 개인정보처리자에게 보호책임자를 지정할 것을 요구하는데, 그 역할은 GDPR의 DPO와 다소 차이가 있다.

Both the GDPR and PIPA contain mandatory data breach notification provisions, however, the details of the notification requirements, such as timeline and content of the notice, differ.
→ GDPR과 PIPA 모두 데이터 침해 통지 의무를 규정하고 있으나, 통지 기한과 내용 등 세부 요건에서 차이가 있다.

Unlike the GDPR, PIPA does not explicitly refer to the term accountability, however it does state that data handlers should observe and perform such duties and responsibilities as provided for in PIPA.
→ GDPR과 달리 PIPA는 '책임성'이라는 용어를 명시하지 않으나, 개인정보처리자가 PIPA에서 정한 의무와 책임을 준수하고 이행해야 한다고 규정한다.

 

나만의 언어로 오늘 내용 요약!

 

GDPR과 PIPA는 보호책임자 지정, 보안 조치, 침해 통지, 책임성 원칙 등 조직 내부의 개인정보 보호 체계에서 전반적으로 유사한 구조를 갖추고 있으나, 통지 기한(72시간 vs 5일), DPO 지정 요건, 책임성 용어의 명시 여부 등 세부 사항에서 차이가 존재한다.

(파파고의 도움..을 조금 받아서)

While GDPR and PIPA share a broadly similar structure for internal personal data protection — including the appointment of a privacy officer, security measures, breach notification, and the principle of accountability — differences exist in specific details such as notification timelines (72 hours vs. 5 days), DPO designation requirements, and whether the term "accountability" is explicitly stated.

 

4. 어휘 & 표현 정리

단어	한국어	정의
Data Protection Officer (DPO)	개인정보 보호책임자	GDPR에서 특정 조건 하에 지정이 요구되는 개인정보 보호 전담 책임자
Privacy Officer	개인정보 보호책임자	PIPA에서 개인정보 처리 전반을 관리·감독하는 책임자
Accountability	책임성	개인정보 처리자가 법규 준수를 스스로 입증할 수 있어야 한다는 원칙
Data Breach	개인정보 침해(유출)	개인정보가 권한 없이 접근·유출·변조·훼손되는 사고
Integrity	무결성	데이터가 허가 없이 변조되지 않도록 보장하는 보안 속성
Confidentiality	기밀성	권한 있는 자만이 데이터에 접근할 수 있도록 보장하는 보안 속성
Notification Timeline	통지 기한	침해 발생 후 감독기관 또는 정보주체에게 통지해야 하는 법정 기간
Internal Management Plan	내부 관리 계획	개인정보의 안전한 처리를 위해 조직 내부적으로 수립하는 보호 계획
Independence	독립성	DPO 또는 보호책임자가 외부 압력 없이 직무를 수행할 수 있도록 보장되는 지위
Corrective Measures	시정 조치	법 위반 또는 보안 사고 발생 시 이를 바로잡기 위해 취하는 조치
여기서부터는 법률 어휘가 아닌 읽으면서 어려웠던 단어(이해가 안됐던 단어)
Mandatory	의무적인	법령에 의해 반드시 이행해야 하는 사항을 나타내는 형용사
Designate	지정하다	특정 역할이나 임무를 수행할 사람 또는 기관을 공식적으로 선정하는 것
Provision	조항 / 규정	법률이나 계약서에서 특정 사항을 규율하는 개별 규정 또는 조문
Proportionate	비례하는	목적에 비해 수단이 과도하지 않고 적절한 수준임을 나타내는 표현
Supervisory Authority	감독기관	개인정보 보호 법규의 준수 여부를 감독하고 집행하는 공식 기관
Remediation	시정 / 개선	문제나 위반 사항을 바로잡고 원래 상태로 회복하는 일련의 조치
Encryption	암호화	데이터를 권한 없는 자가 읽을 수 없도록 특정 알고리즘으로 변환하는 기술
Vulnerability	취약점	시스템이나 절차에서 공격이나 침해에 노출될 수 있는 약점
Resilience	복원력	사고나 장애 발생 후 시스템이 정상 상태로 빠르게 회복하는 능력
Compliance	준수	법령, 규정, 지침 등에서 요구하는 사항을 충족하고 따르는 것
Obligation	의무	법적 또는 계약상 반드시 이행해야 하는 사항
Sanction	제재	법규 위반에 대해 부과되는 벌칙이나 처벌 조치
Diligence	성실성 / 주의 의무	업무나 의무를 수행함에 있어 요구되는 충분한 주의와 노력
Mitigation	경감 / 완화	피해나 위험의 정도를 줄이기 위해 취하는 사전·사후 조치
Inadvertent	의도치 않은	실수나 부주의로 인해 발생한 것으로, 고의성이 없는 상태를 의미

5. 마무리: 복습

• 한국어 3문장 요약
  1. GDPR과 PIPA 모두 조직 내 개인정보 보호 전담 책임자 지정을 의무화하며, 역할과 독립성 보장 측면에서 유사한 구조를 갖추고 있으나 지정 요건과 그룹 단위 지정 가능 여부 등에서 차이가 있다.
  2. 데이터 침해 통지와 관련하여 두 법 모두 정보주체와 감독기관에 대한 통지 의무를 규정하지만, GDPR은 72시간, PIPA는 5일(정보통신서비스 제공자는 24시간)이라는 기한 차이가 존재한다.
  3. GDPR은 책임성을 핵심 원칙으로 명시하는 반면, PIPA는 해당 용어를 사용하지 않으나 보호책임자 지정 및 처리방침 수립 등의 의무를 통해 실질적으로 동일한 효과를 구현한다.
• 영어 3문장 요약
  1. Both GDPR and PIPA mandate the appointment of a dedicated privacy officer within organizations, with similar roles and independence protections, but differ in designation criteria and whether a group of entities can share a single officer.
  2. Both laws require breach notification to data subjects and supervisory authorities, but differ in timelines — 72 hours under GDPR versus 5 days under PIPA (24 hours for information and communications service providers).
  3. While GDPR explicitly recognizes accountability as a core principle, PIPA achieves a similar effect through obligations such as appointing a privacy officer and establishing a privacy policy, without using the term itself.

스스로에게 던지는 질문 - 72시간 관련!(기억에 남음)

Question: Why does PIPA set a 5-day notification deadline for data breaches instead of 72 hours like the GDPR?

Answer: The difference likely reflects the distinct regulatory environments and enforcement capacities at the time each law was developed. GDPR was designed with a strong emphasis on rapid response to minimize harm to EU residents, reflecting the EU's risk-based approach. PIPA's 5-day window may allow organizations more time to investigate the scope of the breach before notifying authorities, though the 24-hour rule for information and communications service providers shows that Korean law also recognizes the need for faster response in higher-risk sectors.