일반 개인정보 보호법(General Data Protection Regulation, GDPR)과 California Privacy Rights Act(CPRA)로 개정된 California Consumer Privacy Act(CCPA)는 국제적으로 사업을 운영하는 조직에 가장 큰 영향을 미치는 개인정보 보호 프레임워크입니다. 둘 다 개인에게 자신의 개인정보에 대한 더 큰 통제권을 부여하지만, 적용 범위, 법적 기반, 동의 요건, 소비자 권리, 침해 관련 의무, 집행 메커니즘, 컴플라이언스 책임에서 큰 차이가 있습니다. 이 가이드는 GDPR과 CCPA의 요건을 비교하여 조직이 두 프레임워크가 겹치는 부분과 다른 부분, 그리고 둘 다에 대응하는 개인정보 보호 프로그램을 구축하는 방법을 이해하도록 돕습니다.
나란히 비교: GDPR 대 CCPA
| 항목 | 🇪🇺 GDPR | 🇺🇸 CCPA |
|---|---|---|
| 관할권 | EU / EEA 프레임워크 | 미국 캘리포니아주 |
| 기본 법률 | Regulation (EU) 2016/679 | California Consumer Privacy Act(개정 포함) |
| 시행일 | 2018년 5월 25일 | 2020년 1월 1일. 주요 CPRA 개정은 2023년 1월 1일 시행 |
| 규제 모델 | 포괄적 데이터 보호 규정 | 소비자 개인정보 보호 및 데이터 보호법 |
| 주요 규제 당국 | EU/EEA 감독기관 및 EDPB | California Privacy Protection Agency 및 California Attorney General |
| 적용 대상 | GDPR의 지역적 기준 또는 사업장 기준을 충족하는 컨트롤러·프로세서 | CCPA 적용 요건을 충족하는 기업 |
| 법적 근거 | 처리에 적법 근거 필요 | 여섯 가지 근거에 상응하는 체계 없음 |
| 동의 | 여러 적법 근거 중 하나. 특정 상황에서는 더 엄격한 요건 적용 | 주로 일정한 옵트인 요건 및 특정 이용과 관련 |
| 판매·공유 옵트아웃 | CCPA 방식의 직접적인 판매·공유 체계 없음 | 소비자가 판매 또는 공유를 옵트아웃할 수 있음 |
| 민감 정보 | 특수 범주의 데이터를 강화하여 보호 | 민감 개인정보에 추가 통제 적용 |
| 정보주체·소비자 권리 | 열람, 정정, 삭제, 이동 등 폭넓은 권리 | 알 권리, 삭제, 정정, 옵트아웃, 제한, 차별 금지 등의 권리 |
| 침해 통지 | 필요한 경우 일반적으로 72시간 이내 감독기관 통지 | 캘리포니아 침해 관련 법률은 일반적으로 불합리한 지체 없이 가능한 한 가장 신속하게 통지하도록 요구 |
| DPO | 일정한 경우 지정 필요 | CCPA상 일반적인 DPO 지정 의무 없음 |
| 현지 대리인 | 일부 EU 외 조직은 제27조 대리인을 지정해야 할 수 있음 | CCPA에 상응하는 일반 제도 없음 |
| 국외 데이터 이전 | GDPR 제5장 요건 적용 | CCPA에 상응하는 포괄적 이전 메커니즘 없음 |
| 민사 소송 | 정보주체는 GDPR 제82조에 따라 손해배상을 청구할 수 있음 | 개인의 소 제기권은 주로 일정한 개인정보 유출과 관련됨 |
| GDPR 최대 과징금 | 특정 위반에 대해 최대 2,000만 유로 또는 전 세계 연간 매출액의 4% 중 더 높은 금액 | 행정 제재금과 법정 손해배상은 적용 조항과 상황에 따라 달라짐 |
GDPR이란 무엇입니까?
일반 개인정보 보호법(GDPR)은 EU의 포괄적인 데이터 보호 프레임워크입니다. 개인정보 처리를 규율하며, 컨트롤러와 프로세서로서 행위하는 조직의 의무를 규정합니다.
GDPR은 지역적 적용 범위의 요건을 충족하는 경우 EU 외 조직에도 적용될 수 있으며, 여기에는 EU 내 개인에게 상품이나 서비스를 제공하거나 그 행동을 모니터링하는 일정한 활동이 포함됩니다.
GDPR은 적법성·공정성·투명성, 목적 제한, 데이터 최소화, 정확성, 보관 기간 제한, 보안, 책임성 등의 원칙을 바탕으로 합니다.
CCPA란 무엇입니까?
California Consumer Privacy Act(CCPA)는 캘리포니아 소비자에게 자신의 개인정보에 대한 구체적인 권리를 부여하고, 적용 대상 기업에 의무를 부과합니다.
CCPA는 California Privacy Rights Act(CPRA)로 개정되었으며, 이 개정으로 소비자 권리가 추가되고 California Privacy Protection Agency(CPPA)가 설립되었습니다.
현행 CCPA 프레임워크는 투명성, 소비자 요청, 개인정보의 판매 및 공유, 민감 개인정보, 옵트아웃 선호 신호 및 기타 개인정보 보호 통제에 관한 요건을 포함합니다.
CPPA의 현행 규정에는 2026년 1월 1일부터 시행되는 요건이 포함되어 있습니다. 여기에는 개정된 CCPA 규칙과, 일부 적용 대상 기업에 대한 리스크 평가, 사이버 보안 감사, 자동화된 의사결정 기술 관련 요건이 포함됩니다.
GDPR vs CCPA: 주요 차이점
1. 지역적 적용 범위
GDPR
GDPR은 제3조의 조건을 충족하는 경우 EU 안팎에 설립된 조직에 모두 적용될 수 있습니다.
여기에는 다음에 해당하는 EU 외 조직이 포함될 수 있습니다.
- EU 내 개인에게 상품이나 서비스를 제공하는 조직
- EU 내 개인의 행동을 모니터링하는 조직
- EU 내 사업장을 통해 사업을 운영하는 조직
따라서 적용 여부 분석은 조직의 활동과 GDPR의 지역적 적용 범위 요건을 기준으로 해야 합니다.
CCPA
CCPA는 법정 정의와 해당 기준치를 충족하는 기업에 적용됩니다. 캘리포니아 주민의 정보를 처리하는 모든 조직에 적용되는 일반 개인정보 보호법이 아닙니다.
적용 여부는 조직의 사업 활동, 매출, 그리고 캘리포니아 소비자 개인정보의 규모나 성격 등의 요소에 따라 달라집니다.
핵심 차이점: GDPR은 지역적 적용 여부와 컨트롤러·프로세서 같은 역할을 중심으로 구성되는 반면, CCPA의 적용 여부는 적용 대상 기업과 법정 기준치에 초점을 둡니다.
2. 처리의 법적 근거
GDPR과 CCPA의 가장 큰 차이점 중 하나는 적법한 처리라는 개념입니다.
GDPR
조직은 제6조에 따라 처리 활동마다 다음과 같은 적절한 법적 근거를 확인해야 합니다.
- 동의
- 계약
- 법적 의무
- 중대한 이익
- 공익적 업무
- 정당한 이익
특수 범주의 데이터를 처리하는 경우에는 추가 조건이 적용됩니다.
CCPA
CCPA는 GDPR의 여섯 가지 적법 근거 모델을 사용하지 않습니다.
대신 투명성, 소비자 권리, 일정한 이용 및 제공에 대한 제한, 그리고 개인정보의 판매나 공유 같은 활동을 옵트아웃할 수 있는 권리에 큰 비중을 둡니다.
3. 동의와 옵트아웃
GDPR
동의는 여러 적법 근거 중 하나이며, 모든 처리 활동에 자동으로 요구되는 것은 아닙니다.
동의에 근거하는 경우, 자유롭고 구체적이며 충분한 정보에 기반하고 명확해야 한다는 점을 포함하여 GDPR 요건을 충족해야 합니다.
CCPA
CCPA는 소비자의 선택과 옵트아웃 권리를 특히 중시합니다.
소비자는 다음 사항을 옵트아웃할 권리를 가질 수 있습니다.
- 개인정보의 판매
- 교차 맥락 행동 광고를 위한 개인정보의 공유
- 민감 개인정보의 일정한 이용
- 해당하는 경우 일정한 자동화된 의사결정 활동
캘리포니아의 프레임워크는 해당하는 경우 Global Privacy Control(GPC)과 같은 옵트아웃 선호 신호도 인정합니다.
4. 소비자 및 정보주체의 권리
두 프레임워크 모두 개인에게 상당한 개인정보 보호 권리를 부여하지만, 용어와 메커니즘이 다릅니다.
GDPR상의 권리
상황에 따라 개인은 다음과 같은 권리를 가질 수 있습니다.
- 개인정보 열람
- 부정확한 데이터의 정정
- 개인정보 삭제
- 처리 제한
- 처리에 대한 반대
- 데이터 이동
- 동의 철회
- 자동화된 의사결정 및 프로파일링에 관한 권리
CCPA상의 권리
캘리포니아 소비자는 다음과 같은 권리를 가질 수 있습니다.
- 알 권리
- 삭제권
- 정정권
- 판매 또는 공유를 옵트아웃할 권리
- 민감 개인정보의 일정한 이용 및 제공을 제한할 권리
- 해당하는 경우 일정한 자동화된 의사결정 활동을 옵트아웃할 권리
- 차별받지 않을 권리
California Attorney General(캘리포니아주 법무장관)은 CCPA가 소비자에게 정보 열람, 삭제, 판매 또는 공유의 옵트아웃, 차별 금지에 관한 권리를 부여한다고 확인하고 있습니다.
5. 민감 개인정보
GDPR
GDPR 제9조는 건강, 식별 목적으로 사용되는 생체 인식 데이터, 유전 데이터, 정치적 견해, 종교적 또는 철학적 신념 등에 관한 정보를 포함하여 특수 범주의 개인정보를 강화하여 보호합니다.
처리를 위해서는 일반적으로 제6조의 법적 근거와 제9조의 해당 조건을 모두 갖추어야 합니다.
CCPA
CCPA는 민감 개인정보를 별도로 정의하고, 그러한 정보의 일정한 이용 및 제공에 관한 권리를 소비자에게 부여합니다.
따라서 캘리포니아의 프레임워크는 GDPR의 특수 범주 데이터 모델과는 다른 방식으로 민감 정보에 접근합니다.
6. 침해 통지
GDPR
개인정보 유출이 개인의 권리와 자유에 위험을 초래할 가능성이 있는 경우, 컨트롤러는 일반적으로 부당한 지체 없이, 가능하다면 침해를 인지한 후 72시간 이내에 관할 감독기관에 통지해야 합니다.
침해가 개인에게 고위험을 초래할 가능성이 있는 경우에는 영향을 받는 개인에게도 알려야 할 수 있습니다.
CCPA / 캘리포니아 침해 관련 법률
캘리포니아의 침해 통지 요건은 CCPA의 일률적인 72시간 규칙이 아니라 캘리포니아의 침해 통지 체계와 관련 개인정보 보호 조항에 따라 운영됩니다.
적용 대상 조직은 해당 캘리포니아 요건에 비추어 사고를 평가하고 법정 기한 내에 통지해야 합니다.
핵심 차이점: GDPR은 요건에 해당하는 침해에 대해 72시간 이내 감독기관 통지라는 구체적인 체계를 두고 있으며, 캘리포니아는 이와 다른 법정 침해 통지 체계를 사용합니다.
7. 데이터 보호 책임자
GDPR
데이터 보호 책임자(DPO)는 제37조에서 정한 경우 지정이 의무화될 수 있습니다. 핵심 활동에 대규모의 정기적이고 체계적인 모니터링이나 특수 범주 데이터의 대규모 처리가 수반되는 일부 조직이 여기에 해당합니다.
CCPA
CCPA는 모든 적용 대상 기업이 GDPR 방식의 데이터 보호 책임자를 지정하도록 하는 일반 요건을 두고 있지 않습니다.
다만 조직은 활동과 의무에 따라 적절한 개인정보 보호, 보안, 리스크 평가, 거버넌스 기능을 갖추어야 할 수 있습니다.
8. 개인정보 대리인
GDPR
EU 외에 소재하는 일부 조직은 제27조가 적용되는 경우 그에 따라 EU 대리인을 지정해야 할 수 있습니다.
대리인은 처리 활동과 관련하여 감독기관과 개인의 연락 창구 역할을 할 수 있습니다.
CCPA
CCPA에는 GDPR 제27조의 대리인 요건에 직접 상응하는 제도가 없습니다.
다만 글로벌 기업은 여전히 적절한 캘리포니아 개인정보 거버넌스, 소비자 요청 처리, 규제 당국과의 조율 체계를 갖추어야 할 수 있습니다.
9. 국외 데이터 이전
GDPR
EU/EEA 밖으로의 개인정보 국외 이전은 GDPR 제5장이 규율합니다.
이전 대상국과 상황에 따라 조직은 다음과 같은 메커니즘에 근거할 수 있습니다.
- 적정성 결정
- 표준계약조항(SCCs)
- 구속력 있는 기업 규칙(BCR)
- 해당하는 경우의 특정 예외
CCPA
CCPA는 GDPR 제5장에 상응하는 포괄적인 국외 이전 제도를 두고 있지 않습니다.
다만 개인정보가 국외로 이전되거나 국외에서 접근되는 경우, 조직은 계약, 보안, 투명성, 벤더 관리 및 기타 적용되는 법적 요건을 여전히 고려해야 합니다.
10. 개인정보 처리 고지 및 투명성
GDPR과 CCPA 모두 조직이 처리 활동에 관하여 의미 있는 정보를 제공하도록 요구합니다.
GDPR
GDPR 개인정보 처리 고지는 일반적으로 다음 사항을 다룹니다.
- 컨트롤러의 신원 및 연락처
- 처리 목적
- 법적 근거
- 개인정보의 범주
- 수령자
- 국외 데이터 이전
- 보존 기간
- 정보주체의 권리
- 민원 제기권
- 해당하는 경우 자동화된 의사결정
CCPA
CCPA 개인정보 공개 사항은 일반적으로 다음을 다룹니다.
- 수집하는 개인정보의 범주
- 수집 및 이용 목적
- 출처의 범주
- 수령자의 범주
- 소비자 권리
- 판매·공유 관련 공개
- 민감 개인정보 관련 공개
- 옵트아웃 메커니즘
11. 제재 및 집행
GDPR
특정한 중대 위반의 경우, GDPR 과징금은 2,000만 유로 또는 직전 회계연도 전 세계 연간 총매출액의 4% 중 더 높은 금액에 이를 수 있습니다.
집행은 각국 감독기관이 수행하며, 유럽 데이터보호이사회(EDPB)를 통해 조율됩니다.
CCPA
CCPA 집행은 California Privacy Protection Agency(CPPA)와 California Attorney General이 담당합니다.
CCPA에는 행정 제재금 조항과, 일정한 개인정보 유출에 대한 제한적인 개인의 소 제기권이 있습니다. 제재금 액수와 법정 손해배상은 적용 조항과 상황에 따라 달라집니다.
CPPA는 현재 CCPA 프레임워크, 규정, 금액 기준치를 공개하고 있으며, 여기에는 2025년부터 적용되는 기준치와 이후의 규정 개정이 포함됩니다.
GDPR vs CCPA: 어느 쪽이 더 엄격합니까?
어느 한 프레임워크가 모든 면에서 “더 엄격하다”고 말하는 것이 항상 정확하지는 않습니다.
GDPR은 일반적으로 다음을 포함하여 더 폭넓은 책임성 체계를 부과합니다.
- 법적 근거 분석
- 처리 기록
- 해당하는 경우 데이터 보호 영향평가(DPIA)
- 정해진 경우 데이터 보호 책임자(DPO)
- 국외 이전 요건
- 컨트롤러와 프로세서의 상세한 의무
- 감독기관의 감독
한편 CCPA는 소비자에 대한 투명성, 판매·공유 옵트아웃, 민감 개인정보, 소비자 요청, 캘리포니아 고유의 개인정보 보호 통제에 특히 중점을 둡니다.
따라서 국제적으로 사업을 운영하는 조직은 한쪽을 준수하면 다른 쪽도 자동으로 충족된다고 가정하지 말고 두 프레임워크를 모두 평가해야 합니다.
GDPR vs CCPA: 하나의 개인정보 보호 프로그램으로 둘 다 충족할 수 있습니까?
가능합니다. 다만 프로그램은 공통 개인정보 보호 통제 프레임워크를 중심으로 설계하고, 그 위에 관할권별 요건을 더하는 방식이어야 합니다.
통합 프로그램에는 다음이 포함될 수 있습니다.
데이터 인벤토리
파악할 사항:
- 어떤 개인정보를 수집하는지
- 어디에 보관하는지
- 왜 처리하는지
- 누가 제공받는지
- 얼마나 오래 보존하는지
- 어디로 이전하는지
개인정보 권리 관리
다음 사항을 처리하는 중앙 프로세스를 마련합니다.
- GDPR 정보주체 요청
- 캘리포니아 소비자 요청
- 본인 확인
- 요청 추적
- 응답 기한
- 예외 및 법적 보존 의무
동의 및 선호 설정 관리
관리할 사항:
- GDPR 동의 요건
- 쿠키 및 추적 선호 설정
- CCPA 판매·공유 옵트아웃
- Global Privacy Control 신호
- 민감 정보 관련 선호 설정
벤더 및 제3자 관리
매핑할 대상:
- 프로세서
- 서비스 제공업체
- 계약업체
- 광고 파트너
- 분석 서비스 제공업체
- 데이터 공유 관계
사고 대응
다음 사항을 확인하는 통합 침해 대응 프로세스를 수립합니다.
- 적용 관할권
- 통지 기준
- 규제 당국 통지 요건
- 소비자 통지 요건
- 증빙 및 문서화 요건
규제 모니터링
개인정보 보호 프로그램은 EU와 캘리포니아의 요건 변화를 지속적으로 모니터링해야 합니다.
CPPA의 현행 규제 프레임워크에는 2026년 1월 1일부터 시행되는 개정 사항이 포함되어 있어, 캘리포니아 개인정보 보호법의 적용을 받는 조직에는 지속적인 규제 모니터링이 특히 중요합니다.
자주 묻는 질문
GDPR과 CCPA를 모두 준수해야 합니까?
조직이 GDPR의 지역적 적용 범위 요건을 충족하면서 CCPA 적용 대상 기업에도 해당한다면 둘 다 준수해야 할 수 있습니다. 두 프레임워크는 투명성, 열람, 삭제 등의 영역에서 겹치지만 요건이 동일하지는 않습니다.
CCPA는 GDPR과 동일합니까?
아닙니다. 둘 다 개념이 겹치는 포괄적인 개인정보 보호 프레임워크이지만 규제 구조가 다릅니다. GDPR은 데이터 보호 원칙, 적법 근거, 컨트롤러·프로세서의 의무에 기반하는 반면, CCPA는 캘리포니아 소비자의 권리, 투명성, 옵트아웃 메커니즘에 큰 비중을 둡니다.
CCPA도 GDPR처럼 동의를 요구합니까?
일반적으로는 그렇지 않습니다. CCPA는 GDPR의 적법 근거 체계를 사용하지 않습니다. 다만 미성년자와 관련된 일정한 요건을 포함하여, 특정 상황에서는 CCPA의 개별 요건에 따라 동의나 옵트인 메커니즘이 필요할 수 있습니다.
CCPA에 72시간 침해 통지 규칙이 있습니까?
없습니다. CCPA에 GDPR 제33조에 상응하는 일률적인 72시간 침해 통지 기한이 있는 것처럼 설명해서는 안 됩니다. 캘리포니아의 침해 통지 요건은 해당 캘리포니아 법률에 따라 운영되며, 사고의 성격과 상황을 바탕으로 평가해야 합니다.
CCPA는 데이터 보호 책임자를 요구합니까?
모든 적용 대상 기업이 GDPR 방식의 DPO를 지정하도록 하는 일반적인 CCPA 요건은 없습니다. 다만 조직은 의무와 리스크 프로필에 따라 적절한 개인정보 거버넌스 및 책임성 기능을 수립해야 합니다.
CCPA는 제27조 대리인을 요구합니까?
아닙니다. CCPA에는 GDPR 제27조의 EU 대리인 요건에 직접 상응하는 제도가 없습니다.
GDPR 컴플라이언스가 CCPA 컴플라이언스에 도움이 됩니까?
그렇습니다. 두 프레임워크 모두 투명성, 개인정보 권리 관리, 데이터 거버넌스, 책임성을 요구하므로 성숙한 GDPR 프로그램은 CCPA 컴플라이언스의 탄탄한 기반이 될 수 있습니다. 다만 캘리포니아 고유의 통제가 추가로 필요합니다.
어떤 기업이 GDPR 및 CCPA 컴플라이언스 평가를 고려해야 합니까?
통합 평가는 SaaS 기업, 기술 기업, 전자상거래 기업, 광고 및 마케팅 플랫폼, AI 기업, 헬스케어 기술 제공업체, 핀테크 기업, 글로벌 소매업체, 디지털 플랫폼, 그리고 여러 관할권에 걸쳐 소비자 데이터를 처리하는 기업에 특히 유용할 수 있습니다.
RegulatoryBridge와 함께하는 GDPR 및 CCPA 컴플라이언스
GDPR과 CCPA 요건을 따로 관리하면 프로세스가 중복되고, 개인정보 처리 고지가 일관되지 않으며, 소비자 요청 워크플로가 분산될 수 있습니다.
RegulatoryBridge는 조직이 여러 관할권에 걸쳐 통합된 글로벌 개인정보 보호 프로그램을 구축하도록 지원합니다.
당사의 지원에는 다음이 포함될 수 있습니다.
- GDPR 컴플라이언스 평가
- CCPA / CPRA 컴플라이언스 평가
- 데이터 매핑 및 인벤토리
- 개인정보 처리 고지 검토
- 정보주체 및 소비자 요청 워크플로
- 동의 및 선호 설정 관리
- 쿠키 및 추적 컴플라이언스
- 벤더 및 프로세서 평가
- 국외 데이터 이전 평가
- 침해 대응 계획 수립
- 개인정보 거버넌스 및 책임성
- 규제 모니터링
- 국경 간 개인정보 대리 서비스
- 지속적인 컴플라이언스 지원
하나의 프로그램으로 GDPR와 CCPA를 모두 커버합니다.
통제 항목을 한 번 매핑하면 두 번 준수합니다. RegulatoryBridge는 단일 DSAR 파이프라인, 단일 DPO, 단일 침해 대응 매뉴얼을 제공하여 - 두 프레임워크를 모두 커버합니다.