GDPR에 따라 데이터 주체는 누구인가요?

1. FAQ: GDPR에서 말하는 ‘데이터 주체(Data Subject)’란 무엇인가요?
답변: GDPR(General Data Protection Regulation)에서 ‘데이터 주체’는 개인정보 처리의 대상으로서 식별되었거나 식별 가능한 자연인(실제 사람)을 의미합니다. 즉, 이름·식별번호·온라인 식별자·특정 물리적·생리적·유전적·정신적·경제적·문화적 특성 등을 통해 직접 또는 간접적으로 식별할 수 있는 모든 사람입니다.

2. 어떤 사람이 데이터 주체로 분류되나요?
– 고객, 잠재 고객, 일반 사이트 방문자
– 직원(재직자·퇴직자) 및 지원자
– 계약 상대방(프리랜서·협력사 소속 개인)
– 사회관계망서비스(SNS) 사용자, 앱 이용자
– 가입·구독 회원 등 개인 계정 보유자

3. 법인(회사·단체)도 데이터 주체인가요?
아니요. GDPR에서 데이터 주체는 ‘자연인’을 전제로 합니다. 법인, 협회, 공공기관 등 법적 실체(legal person)는 데이터 주체로 보지 않습니다.

4. 식별 가능한 자연인이란 무엇인가요?
– 직접 식별: 이름·주민등록번호·여권번호 등 고유 정보로 바로 특정 가능
– 간접 식별: IP 주소·MAC 주소·쿠키 식별자·거주 지역·연령·성별 등을 조합하여 개인을 식별할 수 있는 경우

5. 익명화(Anonymization)된 정보는 데이터 주체에 해당하나요?
아니요. 비가역적 익명화를 거쳐 개인을 절대 식별할 수 없는 정보는 GDPR의 ‘개인정보(personal data)’ 범위에서 제외됩니다.

6. 가명화(Pseudonymization)된 정보는 데이터 주체인가요?
예. 가명화된 정보는 여전히 식별 가능성(원래 식별자와의 연결 고리가 남아 있음)이 있기 때문에 개인정보로 간주되며, 데이터 주체 권리 행사가 가능합니다.
7. GDPR에서 데이터 주체가 가지는 주요 권리는 무엇인가요?
– 접근권(제15조): 자신의 개인정보 처리 내역 열람 요청
– 정정권(제16조): 부정확·불완전한 정보 수정 요구
– 삭제권(잊힐 권리, 제17조): 처리 목적 상실·동의 철회 시 삭제 요청
– 처리 제한권(제18조): 처리 일시 중단 요구
– 자료 이동권(제20조): 개인정보 다른 처리자로 전송 요구
– 반대권(제21조): 정당한 사유 없는 처리 중단·거부

8. 해외에 거주하는 한국인도 GDPR의 데이터 주체가 되나요?
– GDPR 적용 대상은 ‘EU 내에서 처리되거나 EU 거주자를 대상으로 서비스 제공’인 경우입니다.
– 한국인이더라도 GDPR 대상 사업자가 EU 내 데이터 주체를 식별·처리하는 경우, 해당 한국인도 GDPR상 데이터 주체가 될 수 있습니다.

9. 아동(미성년자)도 데이터 주체인가요?
예. 아동 역시 ‘식별 가능한 자연인’이므로 데이터 주체에 포함됩니다. 다만 아동 개인정보 처리 시 추가 보호 조치(제8조 동의 기준 강화 등)를 준수해야 합니다.

10. 데이터 주체와 데이터 컨트롤러·프로세서의 차이는 무엇인가요?
– 데이터 주체(Data Subject): 개인정보의 주인으로 권리를 갖는 자연인
– 데이터 컨트롤러(Controller): 개인정보 처리 목적·수단을 결정하는 자
– 데이터 프로세서(Processor): 컨트롤러 지시에 따라 개인정보를 처리하는 자

—
정리하면, GDPR상 데이터 주체는 ‘식별되었거나 식별 가능한 모든 자연인’을 뜻하며, 이들이 자신의 개인정보에 대해 다양한 권리를 행사할 수 있습니다.

GDPR(General Data Protection Regulation, 일반 데이터 보호 규정)에 따라 데이터 주체는 개인 정보를 제공하는 개인을 의미합니다. 데이터 주체는 실제로 존재하는 자연인으로, 그들의 개인 정보가 수집, 저장, 처리되는 주체입니다. GDPR은 데이터 주체의 권리를 보호하기 위해 마련된 법률로, 데이터 주체는 다음과 같은 권리를 가집니다: 1. 정보 접근 권리 : 데이터 주체는 자신의 개인 정보가 어떻게 사용되고 있는지에 대한 정보를 요청할 수 있습니다. 2. 수정 권리 : 데이터 주체는 자신의 개인 정보가 부정확하거나 불완전한 경우 이를 수정할 권리가 있습니다. 3. 삭제 권리 (잊힐 권리): 데이터 주체는 특정 조건 하에 자신의 개인 정보를 삭제할 것을 요구할 수 있습니다. 4. 처리 제한 권리 : 데이터 주체는 자신의 개인 정보의 처리를 제한할 것을 요청할 수 있습니다. 5. 데이터 이동 권리 : 데이터 주체는 자신의 개인 정보를 다른 서비스 제공자로 쉽게 이전할 수 있는 권리가 있습니다. 6. 반대할 권리 : 데이터 주체는 특정 조건 하에 자신의 데이터 처리에 반대할 수 있습니다. GDPR은 유럽연합 내에서 개인 정보를 처리하는 모든 조직에 적용되며, 데이터 주체의 권리를 보장하고 개인 정보 보호를 강화하는 것을 목표로 하고 있습니다. 데이터 주체는 개인 정보 처리에 대한 명확한 동의를 요구받고, 그 동의는 언제든지 철회할 수 있어야 합니다.