제조업 GDPR(EU 일반 개인정보보호 규정) 컴플라이언스 실무 완벽 가이드 — 7대 원칙·DPO에서 데이터 이전·DPA 감사까지 5단계 로드맵

GDPR(General Data Protection Regulation, Regulation (EU) 2016/679)은 유럽연합이 2018년 5월 25일 시행한 개인정보보호 규정으로, 전 세계에서 가장 강력하고 영향력 있는 개인정보보호법이다. EU 27개국 + EEA(아이슬란드·노르웨이·리히텐슈타인)에 적용되며, **EU 외부 기업도 EU 정보주체의 개인정보를 처리하면 적용(역외적용)**된다. 위반 시 전 세계 매출의 4% 또는 €20M(약 290억 원) 중 큰 금액의 벌금이 부과되며, 2018~2024년 누적 벌금 약 €5.5B(약 8조 원), 단일 사건 최대 벌금 €1.2B(Meta, 2023)이다.

핵심은 GDPR이 **SOC 2·HIPAA처럼 인증이 아닌 법률(Regulation)**이라는 점이다. 자체 컴플라이언스 + 정기 감사 대응 + 정보주체 권리 행사 처리 + 유출 시 72시간 통보가 핵심. 6대 적법 근거·7대 원칙·8대 정보주체 권리가 통제 프레임이며, EU 대리인(EU Representative)·DPO(Data Protection Officer) 지정, ROPA(Record of Processing Activities) 작성, DPIA(Data Protection Impact Assessment) 시행, SCC(Standard Contractual Clauses) 또는 BCR(Binding Corporate Rules) 적용, EU-US Data Privacy Framework(DPF) 활용 등 실무 통제가 까다롭다. 본 가이드는 적용 여부 판단·ROPA 작성 → 적법 근거·동의 정비 → 정보주체 권리·DPO·EU 대리인 → DPIA·데이터 이전·보안 → DPA 감사 대응 5단계 로드맵으로, 중소·중견 한국 기업이 6~12개월 내 GDPR Compliance 달성 → EU 시장 진입하는 실무 경로를 제시한다.

왜 GDPR을 준수해야 하는가

EU 진출 모든 기업의 법적 의무

EU 27개국 + EEA 3개국: 약 4.5억 인구
역외 적용: 한국 본사여도 EU 정보주체 처리 시 적용
벌금: 전 세계 매출 4% 또는 €20M (Article 83(5)) / 매출 2% 또는 €10M (Article 83(4))
민사 소송: 정보주체가 직접 손해배상 청구(Article 82)
계약 차원: EU 기업이 한국 공급사·외주에 SCC + DPA 의무

한국 기업이 GDPR 미준수 시 EU 진출 자체가 불가능.

적용 대상 — 역외 적용(Article 3)

다음 중 하나라도 해당하면 GDPR 적용:

EU 내 사업장(Establishment) — 지사·자회사·법인
EU 정보주체 대상 상품·서비스 제공 — EU 언어·EU 통화·EU 마케팅
EU 정보주체 행동 모니터링 — 분석·트래킹·프로파일링

한국 기업 사례:

한국 이커머스 EU 배송 → 적용
한국 SaaS EU 고객 → 적용
한국 호텔 EU 관광객 예약 → 적용
한국 제조사 EU 직원·고객 데이터 처리 → 적용
한국 본사 EU 자회사 → 적용

7대 원칙 (Article 5)

GDPR의 모든 통제는 7대 원칙 기반:

Lawfulness, Fairness & Transparency — 적법·공정·투명
Purpose Limitation — 목적 제한
Data Minimization — 최소 수집
Accuracy — 정확성
Storage Limitation — 보유 기간 제한
Integrity & Confidentiality — 무결성·기밀성·보안
Accountability — 책임성 (입증 의무)

Accountability가 GDPR의 차별점 — 단순 준수가 아닌 준수 증명 의무.

6대 적법 근거 (Article 6)

개인정보 처리는 다음 6개 중 하나 필수:

근거	적용
Consent (동의)	명시적·구체적·자유로운 동의
Contract (계약)	계약 이행 필요
Legal Obligation (법적 의무)	법규 준수
Vital Interests (중대 이익)	생명·신체 보호
Public Task (공적 업무)	공익
Legitimate Interests (정당한 이익)	회사 정당 이익 + 정보주체 권리 균형

특수 카테고리 정보 (Article 9 — 인종·종교·정치적 견해·건강·성생활·생체·유전): 추가 9개 근거 중 하나 필요.

8대 정보주체 권리 (Articles 12~22)

Right to be Informed — 정보 제공받을 권리
Right of Access — 접근권 (30일 내 응답)
Right to Rectification — 정정권
Right to Erasure / “Right to be Forgotten” — 삭제권
Right to Restrict Processing — 처리 제한권
Right to Data Portability — 데이터 이동권
Right to Object — 처리 거부권
Rights related to Automated Decision-Making — 자동화 의사결정 거부권

항목	GDPR (EU)	CCPA / CPRA (캘리포니아)	한국 개인정보보호법
발효	2018	2020 / 2023	2011 (2020·2023 개정)
적용	EU + EEA + 역외	캘리포니아 + 역외	한국 + 역외
벌금	매출 4% 또는 €20M	의도 시 $7,500 / 위반·아동 $25,000	매출 3% 또는 5억
동의	Opt-In (사전 동의)	Opt-Out (사후 거부)	Opt-In
DPO	일부 필수	권장	책임자 의무
정보주체 권리	8개	8개 (정보주체 = 캘리포니아 거주자)	7개
데이터 이전	SCC·BCR·DPF	부분 통제	별도 동의
한국 인지도	매우 높음	빠르게 증가	매우 높음

이상적: GDPR + CCPA + 한국 PIPA 통합 컴플라이언스 → 글로벌 진출.

Schrems II (2020) — EU-US 데이터 이전 변화

2020년 7월 ECJ의 Schrems II 판결:

EU-US Privacy Shield 무효화
SCC는 유효하나 TIA(Transfer Impact Assessment) 의무 추가
2023년 7월 EU-US Data Privacy Framework(DPF) 발효 → DPF 인증 미국 기업으로만 안전 이전

한국은 2021년 EU 적정성 결정(Adequacy Decision) 획득 → 한국 기업이 EU 정보를 한국으로 이전 시 SCC 면제 가능 (한국 내 처리에 한정).

2024 EU 신규 법령

GDPR과 연관된 신규 법령 다수:

DSA(Digital Services Act) — 2024 발효, 온라인 플랫폼
DMA(Digital Markets Act) — 2024 발효, 게이트키퍼
AI Act — 2024 채택, 고위험 AI
NIS2 Directive — 2024 발효, 사이버보안
Data Act — 2025 발효, 산업 데이터

단계	명칭	핵심 특징	진출 가능성
Level 1	GDPR 인식 없음	한국 PIPA 수준, ROPA 부재, 동의 부재	EU 진출 불가
Level 2	기본 준수	일부 동의 처리, 일부 보안, 권리 처리 미흡	어려움
Level 3	GDPR 도입	ROPA·DPO·EU 대리인 지정, 권리 처리 SOP	가능
Level 4	GDPR Compliant	8대 권리·DPIA·SCC·72시간 유출 통보 운영	정착
Level 5	BCR or DPF 정착	BCR 승인 또는 DPF 인증, EU 그룹 통합	글로벌 최상위

대부분의 한국 EU 진출 중소기업은 Level 1~2. 5단계 로드맵은 Level 4 GDPR Compliant 1차 + 2~3년 내 BCR/DPF 도전.

Stage 1: 적용 판단 & ROPA 작성 (1~2개월)

자가 진단:

EU 정보주체(고객·직원·구직자·웹사이트 방문자)의 개인정보 처리?
EU 언어·EU 통화·EU 결제 수단 제공?
EU 광고·SEO·Tracking?
EU 자회사·지사·파트너 존재?

대답 1개라도 Yes → GDPR 적용.

1.2 Controller vs Processor 결정

GDPR은 처리 주체에 따라 의무 차이:

Controller (관리자): 처리 목적·수단 결정 (한국 본사·이커머스)
Processor (처리자): Controller 지시 따라 처리 (한국 SaaS·BPO·외주)
Joint Controllers (공동 관리자): 두 조직이 공동 결정 (마케팅 파트너)

한국 기업이 EU 자회사를 두면 자회사 = Local Controller, 한국 본사 = Joint Controller.

1.3 ROPA(Record of Processing Activities) 작성 — Article 30

GDPR의 핵심 의무. 모든 처리 활동을 문서화:

Controller ROPA 항목:

Controller·DPO 연락처
처리 목적
정보주체 카테고리
개인정보 카테고리
수령자(Recipients)
제3국 이전 + 안전장치(SCC·DPF)
보유 기간
보안 조치

Processor ROPA 항목:

Processor·DPO 연락처
Controller 정보
처리 카테고리
제3국 이전 + 안전장치
보안 조치

한국 EU 진출 기업 ROPA 예시(이커머스):

[활동 1] EU 고객 주문 처리
- 목적: 상품 판매·배송·고객 지원
- 정보주체: EU 거주 고객
- 데이터: 이름·주소·이메일·전화·결제 정보
- 적법 근거: Contract (Article 6.1.b)
- 수령자: 결제대행(Stripe)·배송(DHL)·고객지원(Zendesk)
- 제3국 이전: 한국 본사 (EU 적정성 결정 - 안전), 미국 SaaS (DPF 또는 SCC)
- 보유 기간: 주문 완료 후 5년 (세무·소비자보호법)
- 보안: 암호화·MFA·접근 통제

1.4 Data Inventory — 데이터 매핑

각 데이터가 어디서 들어와 어디로 가는지 매핑:

수집 출처(웹·앱·매장·API·파트너)
저장 위치(DB·S3·SaaS)
처리 시스템
전송 대상(내부·외부)
보존·삭제 절차

1.5 Stage 1 산출물

GDPR 적용 판단서
Controller/Processor 분류서
ROPA (Controller / Processor)
Data Inventory + DFD
데이터 매핑 매트릭스

Stage 2: 적법 근거 정비 & 정보주체 권리 SOP (1~2개월)

2.1 적법 근거 매핑

각 처리 활동의 적법 근거 결정:

대표 처리 매핑:

회원가입·주문: Contract
마케팅 이메일: Consent (Opt-In)
광고 트래킹: Consent (ePrivacy Directive 추가 요구)
세금·회계: Legal Obligation
사기 방지: Legitimate Interests (LIA 필요)
HR: Contract (직원) + Legitimate Interests (구직자)
CCTV: Legitimate Interests (LIA 필요)

Legitimate Interests Assessment(LIA) 필수:

회사 정당 이익 정의
처리 필요성
정보주체 권리·기대 평가
균형 결과

2.2 동의(Consent) 정비

Consent를 적법 근거로 사용 시 까다로움. Article 7 + 가이드라인:

유효 동의 5요건:

Freely Given: 자유롭게 (서비스 제공 조건이 아님)
Specific: 처리 목적별 구분 (마케팅·분석·제3자 공유 별도)
Informed: 사전 정보 제공 (관리자·목적·보유·권리)
Unambiguous: 명확한 행위 (체크박스 사전 체크 금지)
Withdrawable: 언제든 철회 가능 (철회 = 부여만큼 쉬워야)

Cookie Consent (ePrivacy Directive + GDPR):

필수 쿠키 외 사전 동의
거부 옵션 동등 (Reject All 동등 게시)
카테고리별 세분화(필수·분석·마케팅·기능)
동의 관리 플랫폼(CMP): OneTrust·Cookiebot·Iubenda·Usercentrics

아동(16세 미만) Consent: 부모·법정 대리인 동의 필요(국별 차이 13~16세).

2.3 정보주체 권리 처리 SOP

8대 권리별 처리 SOP:

1. 접근권(Article 15) — 30일 내

처리 중인 모든 PHI 사본 제공
처리 목적·카테고리·수령자·보유 기간 정보 제공
무료 (반복 시 합리적 수수료)

2. 정정권(Article 16) — 30일 내

부정확 정보 즉시 정정
수령자에게도 통보(Article 19)

3. 삭제권(Article 17) — 30일 내

“Right to be Forgotten” — 처리 목적 종료·동의 철회·위법 처리 시
공개된 정보는 다른 Controller에게도 통보

4. 처리 제한권(Article 18) — 30일 내

분쟁 중·위법 처리 의심 시
저장만 허용, 처리 중단

5. 데이터 이동권(Article 20) — 30일 내

구조화·일반 사용·기계 판독 형식(JSON·CSV·XML)
다른 Controller에 직접 이동 가능

6. 처리 거부권(Article 21) — 즉시

Legitimate Interests·Public Task 처리 거부
직접 마케팅은 절대 거부권

7. 자동화 의사결정 거부권(Article 22)

인적 개입 없는 의사결정 거부
AI·신용평가·자동 가격 등

8. 정보 제공받을 권리(Articles 13~14)

수집 시점 정보 제공(Privacy Notice)

2.4 Privacy Notice 작성

8대 권리·6대 근거를 반영한 Privacy Notice:

관리자·DPO 연락처
처리 목적·적법 근거
정보주체 권리
보유 기간
제3국 이전·안전장치
감독기관 신고권

언어: 영어 + EU 주요 언어(독·프·이·스·네 등) 권장.

2.5 Stage 2 산출물

적법 근거 매트릭스 + LIA
Consent 관리 시스템(CMP)
8대 권리 처리 SOP
Privacy Notice + 다국어
정보주체 요청 처리 로그

Stage 3: DPO·EU 대리인·DPIA (1~2개월)

3.1 DPO(Data Protection Officer) 지정 의무

의무 지정 사유 (Article 37):

공공기관·정부 기관 (예외 일부)
정기·체계적 대규모 모니터링 (Tracking·CCTV·웹 분석·트래킹)
특수 카테고리 대규모 처리 (건강·종교·생체 등)

DPO 요건:

독립성 (이해 충돌 부서장 겸직 금지 — 마케팅·IT·법무 보안 책임자)
전문성 (GDPR + 산업 도메인)
정보주체 직접 연락 채널 제공
임명 및 연락처 감독기관 신고

옵션:

내부 DPO: 정규 직원 (대기업)
외부 DPO: 컨설팅 회사 위탁 (중소기업, 한국 비용 월 200만~500만)

3.2 EU 대리인(EU Representative) — Article 27

EU 외부 기업이 GDPR 적용 시 EU 내 대리인 지정 의무:

EU 내 사업장 없음 + EU 정보주체 처리
DPO와 별도 (한 사람이 겸직은 불가능)
감독기관·정보주체와 의사소통 창구
한국 기업이 가장 자주 누락하는 의무

EU 대리인 서비스:

GDPR-Rep.eu, EU Representative.com, Prighter, VeraSafe 등 전문 서비스
비용: 월 €50~~500 (한국 약 7만~~70만/월)

3.3 DPIA(Data Protection Impact Assessment) — Article 35

고위험 처리 시 DPIA 의무:

정기·체계적 대규모 모니터링
특수 카테고리 대규모 처리
자동화 의사결정 + 법적 영향
공공 장소 대규모 CCTV
신기술 활용(AI·생체)
EDPB 9가지 기준 중 2개 이상

DPIA 절차 (ISO 29134 정합):

처리 활동 설명
적법성·필요성 평가
정보주체 위험 평가
완화 조치
잔여 위험 평가
DPO 자문
정보주체 협의 (해당 시)
감독기관 사전 협의 (잔여 위험 高)

3.4 Stage 3 산출물

DPO 지정 결정서 + 임명장
EU 대리인 계약서
DPIA 양식 + 시행 보고서
EDPB 가이드라인 준수 매핑

Stage 4: 데이터 이전·보안·유출 통보 (2~3개월)

4.1 제3국 이전(Chapter V)

EU/EEA 외부로 개인정보 이전 시 안전장치 필수:

4대 안전장치:

Adequacy Decision (적정성 결정) — Article 45
- EU 집행위원회가 충분한 보호 인정한 국가
- 한국: 2021년 12월 적정성 결정 획득 — 가장 자유로움
- 영국·일본·스위스·이스라엘·캐나다·뉴질랜드·우루과이·아르헨티나·페로 등
- 미국: 적정성 결정 없음 (DPF 별도)
SCC(Standard Contractual Clauses) — Article 46
- 2021년 9월 신SCC 발효
- 4 모듈 (C2C·C2P·P2P·P2C)
- TIA(Transfer Impact Assessment) 의무 — 수령국 법규 검토
- Supplementary Measures 추가 (암호화·키 관리·이중 통제)
EU-US Data Privacy Framework(DPF) — 2023년 7월 발효
- 미국 기업 자율 인증 (DPF Principles 준수)
- DPF 인증 미국 기업으로 이전 시 안전
- dataprivacyframework.gov 등록 확인
BCR(Binding Corporate Rules) — Article 47
- 다국적 그룹 내부 이전 표준
- DPA 승인 필요 (1~3년 소요)
- 글로벌 기업의 장기 전략

한국 기업 이전 매트릭스:

EU → 한국 (본사): 적정성 결정 (안전)
EU → 미국 SaaS: DPF 인증 확인 + SCC 백업
EU → 인도·중국 BPO: SCC + TIA + 강화 안전장치

4.2 TIA(Transfer Impact Assessment)

Schrems II 이후 SCC 적용 시 TIA 의무:

수령국 법규 (감청·정부 접근권)
수령자 보안 통제
추가 안전장치
정보주체 권리 보호 수준

4.3 보안 조치(Security) — Article 32

Article 32 핵심:

가명화·암호화
시스템 기밀성·무결성·가용성·복원력
사고 발생 시 복구 능력
정기 테스트·평가

구체적 통제 (ENISA Guidelines 정합):

AES-256 저장 암호화
TLS 1.2+ 전송 암호화
MFA 모든 관리자
접근 통제 (RBAC·최소 권한)
로깅·SIEM
분기 취약점 스캔 + 연 1회 침투 시험
백업·복구
사고 대응

4.4 Privacy by Design & by Default — Article 25

설계 단계부터 개인정보 보호:

기본 설정이 가장 보호 (Privacy by Default)
최소 수집·최소 보존·최소 접근
가명화·익명화 우선
데이터 보호 영향 평가
ISO 31700 정합

4.5 데이터 유출(Personal Data Breach) — Articles 33~34

Breach 정의:

우발·위법한 파괴·손실·변경·무단 공개·접근

통보 절차:

1. 감독기관 통보 — 72시간 내(Article 33)

유출 사실·정보주체·결과·완화 조치
늦은 경우 사유

2. 정보주체 통보 — 즉시(Article 34)

고위험 시 직접 통보
명확·평이한 언어

3. 내부 기록 — 모든 유출 기록(Breach Register)

한국 기업이 가장 자주 놓치는: 72시간 시작 시점은 인지한 순간. 주말·휴일도 포함.

4.6 외주(Processor)·BAA — Article 28

Processor 사용 시 DPA(Data Processing Agreement) 필수:

DPA 핵심 조항:

처리 목적·범위·기간
정보주체 카테고리
데이터 카테고리
Controller 권리
Processor 의무
Subprocessor 사전 승인·통보
보안 조치
Breach 통보 의무
종료 시 데이터 반환·삭제
감사권

한국 기업 핵심 DPA:

AWS·Azure·GCP — Standard DPA + SCC
Datadog·Splunk — DPA + SCC
Salesforce·HubSpot — DPA + SCC + DPF
Stripe — DPA + SCC
SendGrid·Twilio — DPA + SCC + DPF
Slack·Zoom — DPA + SCC

4.7 Stage 4 산출물

제3국 이전 매트릭스 + SCC·DPF·BCR
TIA 보고서
보안 조치 매트릭스 (Article 32 정합)
Privacy by Design 가이드라인
Breach Notification SOP + 72시간 시뮬레이션
DPA 체결 매트릭스 (Processor·Subprocessor)

Stage 5: DPA 감사 대응 & 갱신 (지속)

5.1 EU 감독기관(DPA — Data Protection Authority)

27개국 + EU 차원:

EDPB: European Data Protection Board (총괄)
EDPS: European Data Protection Supervisor (EU 기관)
각국 DPA: CNIL(프랑스)·BfDI(독일)·AEPD(스페인)·Garante(이탈리아)·DPC(아일랜드 - SaaS·플랫폼)·ICO(영국 - GDPR 이후 별도)

Lead DPA: 다국 처리 시 주요 사업장 기준 1국 DPA가 주도(One-Stop-Shop).

5.2 감사 유형

Routine Audit: 정기·표본
Complaint-based: 정보주체 신고
Breach-driven: 유출 신고 후속
Sector-specific: 분야별 점검

5.3 벌금 등급

Article 83 차등:

등급	위반	벌금 한도
Tier 1 (Article 83.4)	Controller·Processor·DPO 의무	매출 2% 또는 €10M
Tier 2 (Article 83.5)	원칙·정보주체 권리·국제 이전	매출 4% 또는 €20M

대형 사례:

Meta 2023 — €1.2B (데이터 이전)
Amazon 2021 — €746M
TikTok 2023 — €345M (아동 정보)
Meta 2022 — €405M (Instagram 아동)
Google 2019 — €50M (CNIL)

5.4 EU-US Data Privacy Framework(DPF) — 2023년 7월

EU-US Privacy Shield (2020 무효) 후속:

미국 상무부 자율 인증
7대 원칙 준수 (Notice·Choice·Accountability·Security·Data Integrity·Access·Recourse)
대상: 미국 기업
효과: EU → 미국 이전 SCC 불필요

DPF 인증 기업: dataprivacyframework.gov 검색.

5.5 BCR(Binding Corporate Rules)

다국적 그룹 내 이전 표준:

DPA 승인 1~3년
비용 1~3억
글로벌 기업 (Samsung·LG·Hyundai 등 도전 가치)
그룹 내 모든 이전 표준화

5.6 정기 갱신

ROPA 매년 갱신
DPIA 처리 변경 시 재평가
보안 조치 정기 검토
직원 교육 연 1회 + 신입
정보주체 권리 처리 통계 보고

5.7 Stage 5 산출물

DPA 감사 대응 매뉴얼
벌금 위험 평가
DPF 인증 검토 (미국 자회사)
BCR 도입 계획 (대기업)
연간 GDPR Compliance 보고서

비용 — 기업 규모별 (3년 누계)

중소 기업 (직원 50100명, 매출 50200억)

항목	1년차 (만원)	2년차	3년차
컨설팅 (GDPR 전문)	4,000	1,200	1,200
DPO 외부 위탁	4,800	5,000	5,200
EU 대리인 서비스	600	600	700
CMP(Consent Management) 도구	1,200	1,500	1,800
자동화 도구 (OneTrust·TrustArc·Onetrust)	2,400	3,000	3,500
침투 시험·취약점 분석	2,500	3,000	3,500
기술 통제 (암호화·MFA·SIEM)	5,000	1,000	1,000
법무 (SCC·DPA 검토)	2,000	1,500	1,500
직원 교육·E-Learning	800	1,000	1,200
합계	23,300	17,800	19,600
3년 누계			약 6.1억 원

중견 기업 (직원 200500명, 매출 500억2,000억)

3년 누계 약 15~30억 원 (BCR 도입 시 +5~10억).

ROI 시나리오

한국 SaaS 매출 80억(국내·아시아)
GDPR Compliance 취득 → EU 진출 → ARR +80억 (Year 2~3)
마진율 35% → 영업이익 +28억/년
약 6~9개월 회수

항목	GDPR	CCPA	HIPAA	한국 PIPA
지역	EU + EEA	캘리포니아	미국 의료	한국
동의 방식	Opt-In	Opt-Out	Opt-In	Opt-In
벌금	매출 4% / €20M	$7,500~$25,000/위반	$137~$2M/연	매출 3% / 5억
DPO	일부 의무	권장	Privacy Officer	책임자 의무
데이터 이전	SCC·BCR·DPF	부분	BAA·BA 통제	동의 + Adequacy
Breach 통보	72시간	합리적 시간	60일	5일
한국 인지도	매우 높음	빠르게 증가	의료 매우 높음	매우 높음

글로벌 진출 표준 조합:

한국 + EU: PIPA + GDPR
한국 + EU + 미국: PIPA + GDPR + CCPA
한국 + EU + 미국 의료: PIPA + GDPR + CCPA + HIPAA

한국 EU 진출 성공 사례 (가상)

사례 A: 이커머스(매출 100억, 한국 90%)

도입 동기: EU 화장품·의류 진출
구축 기간: 9개월
비용: 1차 5.5억, 3년 누계 7.2억
성과: EU 진출 + 매출 100억 → 250억

사례 B: B2B SaaS(매출 80억, 한국 70%)

도입 동기: EU 엔터프라이즈 진출
구축 기간: 12개월 (GDPR + ISO 27001 동시)
비용: 1차 7.5억
성과: 독일·프랑스·네덜란드 진출, ARR 80억 → 200억

사례 C: 의료 디지털 SaaS(매출 40억, 한국 80%)

도입 동기: EU 의료기관 진출
구축 기간: 14개월 (GDPR + ISO 13485 + MDR 동시)
비용: 1차 9.5억
성과: 독일·프랑스 병원 진입, ARR 40억 → 120억

자가 진단 체크리스트 (15문)

각 문항 0~2점, 합계 30점 만점.

적용 판단·ROPA

EU 정보주체 처리 여부 식별 + Controller/Processor 분류
ROPA(Article 30) 완성 + 매년 갱신
Data Inventory + DFD

적법 근거·정보주체 권리

6대 적법 근거 매트릭스 + LIA
Consent 5요건 + CMP + Cookie 동의
8대 권리 처리 SOP (30일 응답)
Privacy Notice 다국어 + 최신

DPO·EU 대리인·DPIA

DPO 지정 + 임명·신고 + 독립성
EU 대리인 지정 (외부 기업 의무)
DPIA 고위험 처리 시행

데이터 이전·보안·유출

제3국 이전 매트릭스 + SCC·DPF·BCR
TIA 보고서
Article 32 보안 + Privacy by Design
Breach 72시간 통보 + Breach Register
DPA 체결 매트릭스 + 외주 감사

점수 해석:

0~~10: Level 1~~2 — 6~9개월 시스템 구축
11~~20: Level 2~~3 — ROPA·DPO 우선 + 9~12개월 후 Compliance
21~~26: Level 3~~4 — EU 진출 신청 가능
27~30: Level 5 — BCR 또는 DPF 도전

마치며 — GDPR은 EU 시장의 법적 통행증

GDPR은 EU 시장 진출의 법적 통행증이다. 미준수 시 벌금(매출 4%·€20M) + EU 진출 불가 + 정보주체 직접 소송 등 위험이 매우 크다.

본 5단계 로드맵을 통해 6~12개월 내 GDPR Compliance + EU 시장 진입이 현실적 목표다. 핵심 5가지:

ROPA(Article 30)가 출발점 — 모든 처리 활동 문서화, 매년 갱신 의무
DPO + EU 대리인 지정 — EU 외부 기업 가장 자주 누락하는 의무
6대 적법 근거 + Consent 5요건 — Cookie·마케팅은 Opt-In, CMP 도구 필수
8대 정보주체 권리 30일 응답 — Helpdesk·Ticket System 통합
제3국 이전 — SCC + DPF + TIA — Schrems II 후 SCC 단독 위험, 미국 SaaS는 DPF 우선

GDPR + ISO 27001 + SOC 2 + ISO 27701 다중 보유 한국 기업은 EU 27개국 + 미국 + 글로벌 시장 동시 진출이 가능하며, 글로벌 ARR 3~5배 성장 사례가 다수다.

통합 — 정보보안·개인정보·글로벌 컴플라이언스 시리즈

GDPR은 글로벌 개인정보보호 시리즈의 EU 표준이다.

정보보안·개인정보보호 시리즈:

산업 사이버보안:

EU 시장 진입 인증:

산업별 품질 시스템:

GDPR + CCPA + HIPAA + ISO 27001 + ISO 27701 + SOC 2 Type II 다중 컴플라이언스는 한국 글로벌 진출 기업의 EU·미국·아시아 시장 동시 진입 최강 정보보안·개인정보 포트폴리오다.