이 보고서는 EU GDPR 위반사례에 관한 통계를 분석하고, EU 법원 판결문 및 개인정보 감독당국의 결정을 검토한 후, 판결 및 결정의 근거가 된 EU GDPR 조항과 국내법령을 비교분석하여 시사점을 도출했다.
   2018년 6월부터 2020년 10월까지 GDPR Enforcement Tracker가 제공한 위반사례 414건을 분석한 결과, EU GDPR 위반유형 중에서 데이터 처리에 대한 법적 근거 부족, 정보보안을 위한 기술적·조직적 조치 불충분, 일반데이터 처리원칙 불이행이 위반사례 건수의 약 75%를 차지하고 과징금액 비중의 98%를 차지한다. EU GDPR 관련 EU 법원의 선결적 판결을 기초로 수동적 동의의 유효성, EU와 미국 사이에서 개인정보 이전의 근거인 프라이버시 실드 제도의 유효성, 잊힐 권리의 인정 여부 및 지리적 적용 범위에 관해 검토하여 세 가지 주요 결과를 얻었다. 첫째, 미리 선택되어 있는 체크박스와 같은 수동적 동의는 유효한 동의가 아니다. 둘째, 정보기관에 대해 구속력 있는 결정을 내릴 수 없는 옴부즈맨 제도는 사법적 구제수단이 아니기 때문에 프라이버시 실드 제도는 무효다. 셋째, 잊힐 권리가 인정되며 이 권리의 행사에 따라 인터넷 검색 결과에서 삭제되어야 하는 지리적 범위는 전 세계가 아닌 EU 역내로 제한된다. EU 법원의 판결 및 EU GDPR 규정을 우리 법률 및 판례와 비교하면 유사점과 차이점이 나타난다. 우리 법률에 의하더라도 수동적 동의는 유효한 것으로 해석되지 않는다. 우리 법원도 정보주체의 동의 의사를 제3자가 객관적으로 확인할 수 있는지를 중요한 기준으로 언급했다.
   우리 개인정보보호법과 EU GDPR의 차이점은 개인정보 국외이전과 잊힐 권리에서 식별된다. 개인정보 국외이전은 우리 법률에서는 정보주체의 동의를 받는 경우에만 허용된다. 반면 EU GDPR에서는 정보주체의 동의가 없더라도 EU 집행위원회가 개인정보가 이전될 국가나 지역에서 적정한 보호 수준이 보장된다는 결정을 내린 경우 개인정보 역외이전이 허용된다. 그런데 정보주체의 동의라는 유일한 기준을 충족시킬 것을 요구하는 우리 법률이 개인정보보호라는 목적을 달성하는 데 충분하지 않은 반면, 개인정보의 활용에는 중대한 장애물이라는 시각도 있다. 개인정보가 아닌 우리 국민의 정보는 지금도 기업 사이의 약정을 통해 국외로 이전될 수 있다. 또한 개인정보와 개인정보가 아닌 정보 사이의 경계가 언제나 명확한 것은 아니다. 개인정보가 아닌 정보는 다른 정보와 용이하게 결합하여 개인을 특정할 수 없는 정보로 정의되지만, 결합에 소요되는 시간, 비용, 기술은 기술의 발달 등으로 인해 바뀔 수 있다. 그러므로 장기적으로는 우리나라도 EU와 같이 동의 이외에 개인정보 국외 이전의 근거가 될 적정성 평가제도의 도입에 대해 논의할 필요가 있다.
   우리 개인정보보호법과 EU GDPR의 또 다른 차이점은 잊힐 권리이다. 잊힐 권리는 EU 법원의 판례를 통해 먼저 인정된 후 EU GDPR에 명시되었다. 잊힐 권리에 대해 EU 법원은 “정보주체와 개인적으로 관련되는 정보가 일정 시간이 지난 현재 시점에서는 정보주체의 성명으로 검색하여 표시된 검색 결과에서 정보주체의 이름으로 더 이상 링크되지 않을 권리”라고 설명했다. 반면 우리 법률에는 잊힐 권리에 대한 명시적 근거가 없으며, 우리 법원도 잊힐 권리를 인정하지 않는다. 우리 법률이 EU GDPR과 차이가 있다는 사실이 우리 법률을 개정해야 한다는 것을 의미하지는 않는다. 특히 잊힐 권리의 경우 정보주체의 권리 측면뿐만 아니라 정보에 대한 접근의 자유, 학문, 예술, 언론의 자유와도 밀접한 관계가 있기 때문이다. 국가마다 사회마다 잊힐 권리를 인정할 것인지와 인정하더라도 어떤 내용과 범위로 인정할 것인지는 달라질 수밖에 없다. 그러므로 잊힐 권리와 관련해서는 개인정보보호 분야 외에 시민단체, 언론계 등의 전문가들도 포함한 광범위한 논의가 필요하며 동시에 EU 등 주요국의 동향에도 지속적으로 주목할 필요가 있다.
   EU GDPR의 위반사례가 지속적으로 늘어날 것으로 예상되므로 우리 기업과 정부의 적극적인 대비와 함께 개인정보의 국외이전에 따른 부과사례에 관한 연구가 필요하다. 또한 미국을 포함한 여러 국가가 EU GDPR을 개인정보보호 분야의 중요한 표준으로서 참고하는 추세이므로, 우리나라도 국내 데이터 관련 법률을 정비하고 개선하기 위한 노력이 요구된다. 이 보고서에서 식별한 우리 법률과 EU GDPR의 차이점을 기초로 개인정보의 국외이전을 위한 다양한 근거 허용 여부와 국외로 이전된 개인정보에 대한 효과적인 보호 방안에 관한 논의가 확산되길 기대한다.