GDPR 2018년 5월 25일 발효: 베트남 기업 웹사이트가 유의할 점

2018년 5월 25일부터 유럽연합의 일반 개인정보 보호법(GDPR, Regulation (EU) 2016/679)이 공식 적용되었습니다. 이 규정은 유럽에 있는 회사에만 해당하지 않습니다. 베트남 기업을 포함해 해외의 일부 조직도 적용 범위에 들어갈 수 있습니다. 이 글은 웹사이트에서 점검할 사항을 되짚어 보는 참고용 정보이며 법률 자문이 아닙니다.

베트남 기업도 GDPR의 적용 범위에 들어가나요?

GDPR 제3조는 두 가지 주요 근거를 제시합니다. 첫째는 조직이 EU에 사업장을 두고 있는 경우입니다. 둘째, EU 밖의 조직의 경우 데이터 처리가 EU에 있는 사람에게 상품이나 서비스를 제공하는 것과 관련되거나, EU 내에서 이루어지는 그들의 행동을 모니터링하는 경우입니다.

EU 고객을 "대상으로 한다"고 평가할 때 자주 언급되는 몇 가지 징후는 다음과 같습니다.

• 웹사이트에 EU 국가들의 언어나 통화가 있습니다.
• EU에 있는 고객에게 배송, 투어 예약, 객실 예약을 제공합니다.
• EU 국가의 사용자를 겨냥한 광고를 집행합니다.
• EU에서 접속하는 방문자에게 행동 추적 도구(쿠키, 픽셀)를 사용합니다.

웹사이트가 유럽에서 접속될 수 있다는 것만으로 반드시 적용 범위에 들어가는 것은 아닙니다. 구체적인 판단은 공식 문서와 법률 전문가의 의견에 따라야 합니다.

웹사이트에서 점검할 사항

1. 수집하고 있는 개인정보. 문의 양식, 뉴스레터 가입, 주문, 댓글, 계정 가입, 통계 도구 등 수집하는 곳을 나열하세요. 각각에 대해 무엇을 위해 수집하는지, 어디에 저장하는지, 얼마나 보관하는지 분명히 적으세요.

2. 개인정보 처리방침(privacy policy). 명확하고 이해하기 쉽게 써야 합니다. 누가 데이터 관리자인지, 무엇을 수집하는지, 목적, 어떤 상대와 공유하는지(예: 이메일, 결제, 광고 서비스), 사용자의 권리와 연락 방법을 담으세요.

3. 동의. 동의에 근거할 때 GDPR은 동의가 자발적이고 구체적이며 명확해야 한다고 요구합니다. 미리 체크된 선택 상자는 이 취지에 맞지 않습니다. 양식에서는 마케팅 이메일 수신 동의란을 문의 전송과 따로 분리하세요.

4. 쿠키와 추적 도구. 웹사이트 자체의 쿠키, 플러그인, Google Analytics, 광고 픽셀, 삽입된 소셜 미디어 버튼을 점검하세요. 많은 사이트가 필수가 아닌 도구가 실행되기 전에 사용자가 수락하거나 거부할 수 있는 쿠키 배너를 표시합니다.

5. 사용자의 권리. 사용자에게는 열람, 수정, 삭제, 처리 제한 또는 반대 같은 권리가 있습니다. 기업은 요청을 받는 절차를 갖추는 것이 좋습니다. 예를 들어 전용 이메일 주소와 담당자를 두세요.

6. 정보 보안. HTTPS를 사용하고, WordPress, 플러그인, PHP를 업데이트하고, 강력한 비밀번호를 설정하고, 관리 권한을 나누고, 정기적으로 백업하세요. GDPR에는 일정한 경우 72시간 이내에 당국에 데이터 침해를 통지하라는 규정도 있습니다.

7. 제3자. 이메일 마케팅, 호스팅, 결제, CRM 서비스도 데이터를 처리합니다. 그들의 데이터 처리 약관을 살펴보는 것이 좋습니다.

과징금과 합리적인 준비

GDPR은 가장 중대한 위반에 대해 행정 과징금을 2천만 유로 또는 전 세계 매출의 4% 중 더 높은 금액까지 부과할 수 있다고 규정합니다. 이 금액은 주로 중대한 위반에 적용됩니다. 소기업이 당황할 필요는 없지만 한 단계씩 진행하는 것이 좋습니다. 데이터 목록 작성, 정책 업데이트, 동의 보완, 쿠키 점검, 보안 강화를 하세요.

EU 밖의 일부 조직은 제27조에 따라 EU 내 대리인을 지정하는 것도 고려해야 하며, 일부 예외가 있습니다. 이 내용은 변호사나 권한 있는 기관에 확인하는 것이 좋습니다.

2026년 업데이트: 이 글이 게시된 뒤 유럽 데이터 보호 이사회(EDPB)는 GDPR의 지리적 적용 범위에 관한 지침 3/2018을 발표하여 EU 고객을 "대상으로 한다"는 의미를 명확히 했습니다. 베트남에도 개인정보 보호에 관한 별도 규정이 생겼으니, 정부 기관 포털에서 최신 공식 정보를 확인하세요.

자주 묻는 질문

베트남어로만 운영하는 쇼핑몰 웹사이트도 GDPR을 준수해야 하나요?

EU 고객을 대상으로 한 징후가 없고 EU에 있는 사람의 행동을 추적하지 않는다면 적용 범위에 들어갈 가능성은 낮지만, 경우별로 평가해야 합니다. 법률 전문가에게 확인하세요.

Google Analytics만 써도 쿠키 배너가 필요한가요?

EU 방문자의 행동 분석은 고지 및 동의 요건과 관련될 수 있습니다. 개인정보 처리방침에 분명히 적고 알맞은 동의 방식을 고려하세요.

어디서부터 시작해야 하나요?

먼저 웹사이트에서 수집하는 데이터를 나열한 다음 개인정보 처리방침과 양식을 업데이트하세요. 기술 지원이 필요하면 HVSC 기술 팀에 문의하실 수 있습니다.

참고 자료

• EUR-Lex — Regulation (EU) 2016/679 (GDPR): https://eur-lex.europa.eu/eli/reg/2016/679/oj
• GDPR-info.eu — Article 3 Territorial scope: https://gdpr-info.eu/art-3-gdpr/
• European Commission — Data protection explained: https://commission.europa.eu/law/law-topic/data-protection/data-protection-explained_en
• EDPB — Guidelines 3/2018 on territorial scope: https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-32018-territorial-scope-gdpr-article-3-version_en