DPIA(데이터 보호 영향 평가)란 무엇인가요?

GDPR은 제35조에서 DPIA에 최소한 다음 네 가지 사항이 포함되어야 한다고 규정합니다.

1. 계획된 데이터 처리 활동과 처리 목적에 대한 명확한 설명.
    

2. 필요성과 비례성에 대한 평가(즉, 데이터 처리 범위가 조직의 목적에 비례하는지 여부).
    

3. 관련된 사람(규정에서는 '정보 주체'라고 함)에 대한 데이터 보호 위험 분석.
    

4. 이러한 위험을 줄이기 위한 문서화된 조치.

GDPR은 비교적 최근에 제정되었지만, 기업들은 법적 요구 사항을 준수하기 위해 수십 년 동안 다양한 형태의 영향 평가와 위험 평가를 수행해 왔습니다.

미국에서는 1970년대부터 환경 영향 평가를 의무화했으며, 1990년대에는 개인정보 보호법을 통해 이러한 개념이 개인정보 영향 평가(PIA)로 확대되었습니다. 오늘날 데이터 보호법은 기업이 데이터와 데이터 프라이버시 영역에서 발생할 수 있는 잠재적인 피해를 사전에 예측하고 완화해야 한다는 개념으로까지 확대되었습니다.

EU는 GDPR과 이에 따른 DPIA 요구 사항을 엄격하게 집행하며, DPIA를 수행하지 않거나 그 밖의 방식으로 규정을 준수하지 않은 조직에는 과징금을 부과합니다.

예를 들어 2019년 스웨덴 북부의 한 고등학교는 생체 얼굴 인식 기술을 활용해 출석을 확인하는 시범 프로젝트를 실시했다가 스웨덴 최초로 과징금 처분을 받았습니다. 이 학교는 DPIA를 수행하지 않은 상태에서 해당 프로젝트를 진행했습니다. 결국 이 학교에는 19,000유로의 과징금이 부과되었지만, 전문가들은 최대 과징금이 거의 100만 유로에 이를 수도 있었다고 지적했습니다.¹ (GDPR에 따른 제재는 최대 2,000만 유로 또는 기업의 전 세계 연간 매출액의 4% 가운데 더 큰 금액까지 부과될 수 있습니다.)

한 웹사이트에서는 GDPR 과징금 현황을 추적해 공개하고 있습니다. 2026년 4월 기준으로 3,000건이 넘는 과징금 부과 사례가 집계되었습니다. 이러한 과징금 사례 가운데 상당수는 DPIA를 규정한 GDPR 제35조 위반을 과징금 부과 사유 중 하나로 명시하고 있습니다. 예를 들어 2025년 12월에는 프랑스의 한 기업이 제35조 위반을 이유로 350만 유로의 과징금을 부과받았습니다. GDPR 역사상 가장 큰 과징금은 2023년 아일랜드 데이터 보호위원회가 Meta에 부과한 12억 유로였지만, 이 사례는 영향 평가가 아니라 데이터 이전과 관련된 사안이었습니다. 

GDPR.eu에서는 DPIA를 올바르게 수행하는 방법에 대한 가이드와 함께 템플릿도 제공합니다. 다만 DPIA 수행은 철저한 위험 관리 프로세스의 시작에 불과한 경우가 많다는 점을 유념해야 합니다. DPIA를 통해 잠재적인 위험과 취약점을 식별했더라도 실제 완화 조치가 이루어지지 않으면 DPIA는 형식적인 절차에 그치게 되며, 이로 인해 과징금이 부과되기도 합니다. 

최악의 경우 DPIA는 기업이 위험을 인지하고도 이를 적절히 해결하지 않았음을 입증하는 기록으로 활용될 수도 있습니다. 프랑스 국가고용청인 France Travail에서는 DPIA에 명시된 보안 조치가 시행되지 않았고, 그 결과 대규모 데이터 침해가 발생했습니다. 2026년 1월 규제 당국은 France Travail에 500만 유로의 과징금을 부과했습니다.²

GDPR에 따르면 다음 세 가지 경우에는 반드시 DPIA를 수행해야 합니다. 

첫째, 자동화된 의사결정이 개인에게 중대한 영향을 미치는 경우입니다. 예를 들어 은행의 알고리즘이 프로파일링을 기반으로 대출 신청을 자동으로 거부하는 경우처럼, 해당 의사결정의 법적 근거가 중요한 검토 대상이 되는 상황이 이에 해당합니다.  

둘째, 생체 정보, 정치적 견해, 개인의 사생활을 드러낼 수 있는 기타 정보 등 민감한 데이터를 대규모로 처리하는 경우입니다. 

셋째, 기차역이나 쇼핑센터의 대규모 카메라 네트워크처럼 공공장소를 대규모로 체계적으로 모니터링하는 경우입니다. 

이러한 자동 적용 대상 외에도 EU 가이드라인은 DPIA가 필요할 수 있는 고위험 데이터 처리 활동을 식별하기 위한 9가지 기준을 제시하고 있습니다. 여기에는 개인에 대한 평가 또는 점수 산정, 새로운 기술의 혁신적인 활용, 아동과 같은 취약 계층의 데이터 처리, 서로 다른 출처의 데이터 세트 결합 등이 포함됩니다. 

많은 기업은 기본적인 지침으로, 데이터 처리 활동이 이러한 기준 가운데 두 가지 이상에 해당하는 경우 DPIA를 수행하는 것이 바람직하다고 판단합니다. 

DPIA 절차는 일반적으로 프로젝트 계획 초기 단계에서 전체 평가가 필요한지를 판단하는 것부터 시작됩니다. 

평가가 필요한 경우 조직은 관련 데이터 처리 활동을 상세하게 매핑합니다. 이러한 매핑에는 개인정보를 어떻게, 누구로부터 수집하는지, 처리 목적은 무엇인지, 데이터를 얼마나 오래 보관하는지가 포함됩니다. 

그다음에는 위험 분석이 이루어지며, 데이터 처리로 인해 발생할 수 있는 각종 위험(금전적 손실, 차별, 평판 훼손, 신체적 위험 등)에 대해 발생 가능성과 심각도를 평가합니다. 

식별된 모든 위험에 대해 조직은 완화 조치를 문서화해야 합니다. 완화 조치에는 암호화나 액세스 제어와 같은 기술적 보호 조치뿐만 아니라 직원 교육이나 프로젝트 설계 방식과 같은 관리적 조치도 포함될 수 있습니다. GDPR은 기업이 개인정보 보호 중심 설계(Data Protection by Design) 원칙을 채택하도록 요구합니다. 즉, 개인정보 보호는 사후에 덧붙이는 요소가 아니라 기업의 모든 활동에 처음부터 내재되어 있어야 합니다. 

완화 조치를 시행한 후에도 규제 당국이 '잔여 위험'이라고 부르는 위험, 즉 합리적인 조치를 취한 이후에도 남아 있는 위험이 존재합니다. 잔여 위험이 여전히 높은 경우 조직은 해당 국가의 감독 기관에 이를 알려야 합니다. 

GDPR에 따라 일부 조직은 GDPR 준수를 총괄하는 독립적인 책임자인 데이터 보호 책임자(DPO)를 지정해야 합니다. DPO가 있는 조직에서는 DPO가 DPIA 절차를 주도하거나 최소한 전 과정에 걸쳐 자문을 제공합니다. 

가능한 경우 데이터 처리의 영향을 받는 이해관계자도 의견을 제시합니다. 일부 규제 기관은 DPIA 절차를 간소화하는 데 도움이 되는 툴을 제공합니다. 예를 들어 영국 정보보호 감독기구(ICO)는 7단계로 구성된 무료 DPIA 템플릿을 다운로드할 수 있도록 제공합니다. (영국은 더 이상 EU 회원국은 아니지만, EU GDPR과 매우 유사한 UK GDPR을 시행하고 있습니다.) 프랑스의 감독 기관인 CNIL(Commission nationale de l'informatique et des libertés)은 오픈 소스 소프트웨어를 공개했습니다. 스페인의 감독 기관은 웹사이트를 통해 공공기관과 민간 기업을 위한 각각의 템플릿과 함께 위험 관리에 관한 종합 가이드를 제공하고 있습니다. 

전반적으로 이러한 툴과 가이드는 효과적인 DPIA는 프로젝트 초기부터 시작되어야 하며, 개인의 프라이버시와 프라이버시 위험을 처음부터 고려해야 한다는 점을 강조합니다.