유럽 전시회에 한 번 다녀오면 한국어 사이트로 영문 메일이 들어오기 시작합니다. 견적 문의 폼에 적힌 이름과 회사 메일 주소가 영업팀 메일함에 쌓이고, 몇 달 뒤에는 뉴스레터 수신자 명단에도 올라갑니다.
사이트는 한국어뿐이고 유럽에 법인도 없으니 EU 규정은 남의 일처럼 보입니다. 그런데 GDPR은 회사가 어디에 있는지를 기준으로 삼지 않습니다. 선이 어디에 그어지는지, 넘었다면 무엇을 해야 하는지가 실제 문제입니다.
법인이 없어도 제3조 제2항으로 걸립니다
GDPR 제3조 제2항은 EU에 사업장이 없는 기업도 대상으로 삼습니다. 'EU 안에 있는 데이터 주체'의 개인정보를 재화·서비스 제공과 관련해 처리하거나, EU 안에서 일어난 그 사람의 행동을 모니터링하면 적용됩니다.
조문에는 "데이터 주체의 대가 지급이 요구되는지와 무관하게"라고 적혀 있습니다. 돈을 받지 않는 무료 견적, 카탈로그 다운로드, 뉴스레터 구독도 서비스 제공에 들어갑니다. 기준은 국적이 아니라 그 사람이 있는 위치입니다.
접속이 된다는 사실만으로는 적용되지 않습니다
GDPR 전문 제23항은 반대쪽 선도 그어 놓았습니다. 사이트가 EU에서 접속된다는 사실, 이메일 주소나 연락처가 공개돼 있다는 사실, 기업이 설립된 제3국에서 통용되는 언어를 쓴다는 사실만으로는 의도를 인정하기에 부족하다고 못 박았습니다.
EDPB 가이드라인 3/2018도 EU 거주자에게 우발적·부수적으로 제공된 재화나 서비스는 적용범위 밖이라고 봅니다. 한국어 사이트를 열어 두고 가끔 오는 메일에 답한 것만으로 규정 대상이 되지는 않습니다.
적용을 만드는 것은 접속 가능성이 아니라 'EU 고객을 겨냥했다'고 읽히는 의도입니다.
타깃팅으로 읽히는 신호는 따로 있습니다
EDPB는 그 의도를 판단할 때 쓰는 요인을 예시로 열거했습니다. 하나만으로 결론이 나지는 않지만 몇 개가 겹치면 선을 넘은 것으로 봅니다.
- 재화·서비스를 설명하며 EU나 특정 회원국을 언급하는 경우
- EU 소비자를 겨냥해 검색엔진 광고비를 쓰거나 회원국 대상 캠페인을 집행하는 경우
- .de 처럼 제3국이 아닌 국가 도메인, .eu 같은 중립 도메인을 쓰는 경우
- 회원국에서 연결되는 전용 전화번호나 주소를 안내하는 경우
- 평소 쓰지 않는 EU 언어나 통화로 주문할 수 있게 해 둔 경우
- 회원국으로의 배송을 제공하거나 여러 회원국 고객 사례를 싣는 경우
행동 모니터링은 주문과 별개로 걸립니다. 리타게팅 픽셀이나 방문자 행태 분석 태그로 EU 안에서의 행동을 추적하면, 그 방문자가 아무것도 사지 않아도 적용됩니다.
제27조 EU 역내 대리인은 선임이 원칙입니다
제3조 제2항이 적용되면 서면으로 EU 역내 대리인을 지정해야 합니다. 대리인은 제공 대상이거나 모니터링 대상인 데이터 주체가 있는 회원국에 설립돼 있어야 합니다. 자연인도 법인도 가능하고, 법무법인이나 전문 대행업체가 맡는 것이 일반적입니다.
면제는 두 가지뿐입니다. 공공기관인 경우, 그리고 처리가 '간헐적'이면서 민감정보나 범죄경력 정보를 대규모로 포함하지 않고 개인의 권리·자유에 위험을 초래할 가능성이 낮은 경우입니다. 뒤쪽은 세 조건을 모두 만족해야 합니다.
EDPB는 '간헐적'을 정기적이지 않고 통상적 사업 활동의 범위를 벗어난 처리로 해석합니다. 유럽 바이어 문의를 상시로 받고 뉴스레터를 운영한다면 간헐적이 아닙니다. 면제를 기대할 수 있는 쪽은 1년에 몇 건 들어오는 우발적 문의 정도입니다.
대리인을 DPO나 수탁업체와 겸하게 할 수 없습니다
EDPB는 EU 역내에 둔 외부 DPO가 대리인을 겸하는 것은 양립할 수 없다고 봅니다. DPO는 독립적으로 일해야 하는데 대리인은 위임을 받아 움직이기 때문입니다. 우리 데이터를 처리하는 수탁업체가 대리인을 겸하는 것도 안 됩니다.
대리인을 둬도 책임이 옮겨가지는 않습니다. 감독기관이 시정조치와 과징금을 대리인에게 보낼 수는 있지만, 대리인 자신의 직접 의무는 처리활동 기록과 감독기관 협조에 그칩니다. 소송은 여전히 본사를 상대로 제기됩니다.
쿠키 동의는 국내 기준과 출발점이 다릅니다
국내 개인정보 보호법은 '개인정보 수집'에 동의 의무를 걸어둡니다. EU는 ePrivacy 지침 제5조 제3항으로 이용자 단말기에 정보를 저장하거나 저장된 정보에 접근하는 행위 자체를 규율합니다. 그 값이 개인정보인지 따지기 전에 동의가 먼저 필요합니다.
예외는 통신 전송만을 위한 경우와, 이용자가 명시적으로 요청한 서비스 제공에 꼭 필요한 경우뿐입니다. 있으면 편한 쿠키나 우리 쪽 목적만 있는 쿠키는 예외가 아닙니다. 아일랜드 DPC는 동의가 명확하고 적극적인 행위여야 한다고 설명합니다.
그래서 배너를 붙이는 것으로 끝나지 않습니다. 영국 ICO는 동의 전에는 홈페이지에 비필수 쿠키를 설정할 수 없고, 계속 둘러보는 행위는 동의가 아니라고 못 박았습니다. 페이지가 열리는 순간 분석·광고 태그가 먼저 로드되면 그것이 동의 전 저장입니다.
처리방침에 추가로 들어가야 하는 항목입니다
제13조는 수집 시점에 알려야 할 항목을 정해 놓았습니다. 국내 처리방침과 겹치는 부분도 있지만, 빠져 있기 쉬운 것들이 따로 있습니다.
- EU 역내 대리인의 신원과 연락처
- 처리 목적과 함께 적는 법적 근거(동의, 계약 이행, 정당한 이익 등)
- 정당한 이익을 근거로 쓸 경우 그 이익이 무엇인지
- 제3국 이전 여부, 적정성 결정 유무, 없을 때 적용한 보호조치
- 보유 기간, 특정이 어려우면 기간을 정하는 기준
- 열람·정정·삭제·처리제한·반대·이동권과 동의 철회권
- 감독기관에 민원을 제기할 권리
- 개인정보 제공이 법령·계약상 의무인지와 제공하지 않을 때의 결과
한국은 2021년 12월 17일 EU 적정성 결정을 받은 국가입니다. 그래서 EU에서 한국으로 넘기는 이전에 표준계약조항 같은 추가 장치를 붙이지 않아도 되고, 네 번째 항목에는 적정성 결정이 있다는 사실을 적으면 됩니다.
과징금 상한은 두 단계로 나뉩니다
흔히 인용되는 '전 세계 연 매출 4% 또는 2천만 유로 중 높은 금액'은 제83조 제5항의 상한입니다. 처리 원칙과 적법 근거, 동의 요건, 민감정보, 정보주체 권리와 고지 의무, 제3국 이전 위반이 여기에 들어갑니다.
제27조 대리인 미지정은 다른 칸입니다. 제83조 제4항이 적용돼 상한이 1천만 유로 또는 전 세계 연 매출 2% 중 높은 금액입니다. 대리인 선임은 서류 작업이고 상한도 낮은 쪽인데, 동의와 고지는 사이트 전체에 걸쳐 있고 상한이 두 배입니다.
이럴 때는 서두르지 않아도 됩니다
EU 쪽 매출 계획이 없고 사이트에 유럽을 겨냥한 요소가 하나도 없다면, 우발적으로 들어온 문의 몇 건 때문에 대리인을 선임할 필요는 없습니다. 이때는 문의 메일을 어디에 보관하고 언제 지우는지만 정리해 두면 충분합니다.
다만 법인 고객만 상대한다고 안심할 수는 없습니다. 담당자 이름과 직통 번호, 업무용 메일 주소는 개인정보입니다. 개정 논의도 진행 중이지만 아직 법이 아닙니다. EU 이사회는 2026년 10월 21일 쿠키 규정을 포함한 협상 입장을 채택했고, 의회 입장이 정해진 뒤에 협상이 시작됩니다. 지금 준비는 현행 기준으로 하세요.
조문과 감독기구 문서는 공개돼 있으니 EDPB 가이드라인 3/2018을 직접 확인하는 편이 빠릅니다. 사이트와 태그 쪽 작업이 함께 필요하면 실무 가이드 글과 Codeforest를 참고하세요.
결론: 겨냥했는지부터 판단하고 상한이 높은 쪽부터 고치세요
먼저 우리 사이트에 회원국 언급, 유로 결제, 회원국 배송, EU 대상 광고, 역내 방문자 추적이 있는지 확인하세요. 하나도 없고 문의도 우발적이면 적용 대상이 아닐 가능성이 높습니다. 몇 개가 겹친다면 제3조 제2항이 적용된다고 보고 움직이는 것이 안전합니다.
적용된다고 판단하면 순서는 분명합니다. 쿠키·광고 태그를 동의 전에 로드하지 않도록 고치고, 제13조 항목을 처리방침에 채우고, 제27조 면제에 해당하지 않으면 역내 대리인을 서면으로 지정하세요. 과징금 상한이 두 배인 쪽부터 손대는 것이 비용 대비 효과가 큽니다.
