단계별 준비 사항

【 1단계 : GDPR 적용 대상인지 여부 판단 】

EU 주민의 개인정보를 처리하는 아래 기업은 GDPR 적용 대상임

- EU에 사업장을 운영하는 기업(지점, 판매소, 영업소 등)

- EU 지역에 사업장은 없지만, 인터넷 홈페이지 등을 통해 EU에 거주하는 주민에게 물품․서비스를 제공하는 기업

   ※ (예) 현지어로 마케팅 활동을 하거나 현지 통화로 결제하는 경우

특히, 아래 기업은 더 강화된 기준을 적용받으므로 특별한 주의를 요함

- EU 주민의 민감한 정보(건강, 유전자, 범죄경력 등) 또는 아동의 개인정보를 처리하는 기업

- 공개적으로 접근 가능한 장소에 대한 대규모의 체계적인 모니터링을 하는 기업(예 : CCTV)

【 2단계 : 즉시 개선 가능한 사항 이행 】

개인정보보호책임자(DPO, Data Protection Officer) 지정

- 개인정보보호 관련 전문지식 및 실무경험을 갖춘 자로 책임자 지정

   ※ 우리나라의 임원급 개인정보보호책임자(CPO, Chief Privacy Officer) 지정 제도와 유사하며, 다만 전문지식에 대한 보완 필요

- 특히, 정보주체에 대하여 정기적이고 체계적인 모니터링을 하거나 건강정보 등 민감한 정보를 처리하는 기업은 반드시 필요함

개인정보 처리활동 기록 유지․관리

- GDPR 준수를 입증하기 위해 개인정보 처리활동에 관한 기록 유지

- 종업원 수 250명 이상인 기업 또는 건강, 유전정보, 범죄경력 등 민감 정보를 처리하는 기업의 경우에는 필수적으로 유지·관리해야 함

역내 대리인을 서면으로 지정(해당되는 경우에 한함)

- EU 외의 지역에 사업장이 있는 기업은 EU 역내 대리인 지정 필요

- 다만, 공공기관인 경우와 간헐적․소규모의 개인정보 처리로써 민감한 정보를 처리하지 않는 기업은 대리인을 지정하지 아니할 수 있음

【 3단계 : 제도, 예산, 조직 등 업무체계 보완 】

기업 내 개인정보 처리현황 점검 및 내부 업무절차 개선

- 보관 중인 개인정보의 항목(민감정보 포함 여부 등), 동의 획득 절차, 정보주체 권리 보장, 유출시 조치 방법 등 제반사항을 점검하고 GDPR 요구

 수준을 충족할 수 있도록 내부 업무처리 절차 개선

개인정보 영향평가 실시(해당 되는 경우에 한함)

- 개인정보 처리 유형에 따라 개인의 권리․자유에 고위험을 초래할 우려가 있는 경우에는 사전에 영향평가를 실시하여 위험을 완화

- 특히, 개인에게 중대한 영향을 미치는 자동 처리, 대규모 민감정보, 공개장소에서의 체계적 모니터링 등의 경우는 반드시 실시해야 함

개인정보 국외 이전에 대한 적법성 확보(해당되는 경우에 한함)

- 기업 차원의 표준계약 체결, 구속력있는 기업규칙(BCR) 또는 공인 행동강령 마련, 유럽 개인정보보호인증 취득 등을 통해 적법성 확보