GDPR 대리인이 정말 필요한 사람은 누구인가 — 그리고 왜 일부 기업은 공개되기를 택하는가

 GDPR에는 그것을 한 번도 읽지 않은 수천 개 기업에 조용히 적용되는 한 줄이 있습니다. 유럽연합 밖에 있으면서 그 안의 사람들에게 도달한다면, 연합 내에 설립된 누군가가 당신을 대신해 연락 가능해야 한다는 것입니다 — 당국과 개인을 위한, 이름이 명시된 연락 창구. 이를 제27조 대리인이라 합니다. 영국은 브렉시트 이후 UK GDPR 아래 자체 거울판을 더했습니다. 그리고 대리인이 필요한 기업 대부분은 자신이 필요하다는 사실조차 모릅니다.

이 글은 판매용 문구가 아닙니다. 사람들이 이 의무에 처음 부딪혔을 때 실제로 던지는 질문에 명확히 답하려는 시도이며 — 거의 모두를 놀라게 하는 한 가지를 설명하려는 것입니다. 왜 일부 기업은 대리인을 두었다는 사실을 숨기기는커녕, 그 사실로 공개 명시되기를 택하는가.

"이게 나에게 적용되기는 하나요?"

이 의무는 규모나 매출을 보지 않습니다. 오직 한 가지, 도달 범위를 따릅니다. EU 밖에 설립된 컨트롤러나 프로세서로서 연합 내 사람들에게 상품이나 서비스를 제공하거나 그들의 행동을 관찰한다면, 제3조 제2항이 당신을 적용 범위로 데려옵니다. 매출 기준선은 없습니다. 실제로는 스스로 "EU 대상"이라 여기지 않는 많은 기업이 걸립니다 — 유럽 가입자가 있는 미국 소프트웨어, 프랑스나 독일에 사용자가 있는 앱, 자기 고객을 위해 유럽 데이터를 다루는 프로세서. 그리고 이제 기업만이 아닙니다. 자기 웹사이트 없이 아마존이나 Etsy 상점을 운영하는 개인 사업자와 마켓플레이스 전용 판매자도, EU 고객에 도달하는 순간 같은 논리에 들어갑니다.

"DPO와 같은 것 아닌가요?"

아닙니다. 그리고 가장 흔한 혼동입니다. 대리인은 제27조에 따른, 연합 내 당신의 외부 연락 창구입니다. 데이터 보호 책임자는 제37조에서 제39조에 따른 내부 자문 역할입니다. 서로 다른 일이며, 하나의 주체가 같은 기업을 위해 둘 다를 제대로 겸할 수는 없습니다.

"EU냐 UK냐 — 무엇이 필요한가요?"

당신의 사람들이 어디 있느냐에 달렸습니다. EU의 개인에게 도달하면 EU 대리인이 필요합니다. 영국의 개인에게 도달하면 UK 대리인이 필요합니다. 둘 다에 도달하면 — 그리고 많은 사업이 그렇습니다 — 둘 다 필요합니다. 하나가 아니라 두 개의 별개 법적 의무이기 때문입니다. 솔직한 답은, 아주 많은 기업이 한 쌍을 필요로 하고 그 나머지 절반을 뒤늦게 알게 된다는 것입니다.

여기서 "안전"이 "검증 가능성"을 뜻하는 이유

대리 계약이 "안전"하냐고 물을 때, 사람들은 보통 구체적인 것을 뜻합니다. 그것이 실재하고, 최신이며, 증명 가능하다고 믿어도 되는가 — 누가 한 번 이메일로 보내고 잊어버린 PDF가 아니라? 이 질문이 중요한 이유는, 제27조가 더 이상 당국을 만족시키는 문제만이 아니기 때문입니다. 구매자를 만족시키는 문제입니다. 기업이 공급업체를 실사할 때, "당신의 EU 대리인은 누구이며, 제가 검증할 수 있습니까?"는 이제 흔한 항목입니다. 무엇이든 말할 수 있는 정적 문서는 그 대화를 넘기지 못합니다. 실시간 등록부와 대조해 확인할 수 있는 지정은 넘깁니다. 그 검증 가능성 — 누구나 스캔해 지금 유효함을 확인할 수 있는 코드가 담긴 증명서 — 이야말로 여기서 "안전"의 진짜 의미입니다.

놀라운 대목: 보이기를 택하다

제27조에 따라 대리되는 것은 본래 공개된 사실입니다. 당신의 대리인 이름은 어차피 당신의 개인정보 처리방침에 실려야 합니다. 일부 기업은 한 걸음 더 나아가, 대리인 쪽에서도 공개적으로 명시되는 데 동의합니다. 왜 자원해서 그럴까요? 여기서는 가시성과 신뢰가 같은 방향을 가리키기 때문입니다. 대리되는 기업에게 공개 노출은 자기 고객과 파트너에게 보내는 작고 검증 가능한 신호입니다 — 네, 우리는 제대로 했고, 여기서 확인하실 수 있습니다. 오직 동의로만 이뤄지며, 동의하지 않은 자는 등재되지 않습니다. 그러나 기업이 동의하면 전체 구조가 더 투명해집니다 — 바로 제27조가 처음부터 이루려던 것입니다.

7일 무료 체험은 어디에 들어맞는가

여기 실용적인 대목이자, 이 의무가 들리는 것만큼 부담스럽지 않은 이유가 있습니다. 눈 감고 결정할 필요가 없습니다. 신용카드 없이 7일 무료 체험으로 시작해, 무언가에 약정하기 전에 대리된다는 것이 실제로 어떤 모습인지 볼 수 있습니다 — 서명된 지정, 증명서, 실시간 검증 배지를. 전적으로 투명성 위에 세워진 의무에서, 사기 전에 살펴볼 수 있다는 것은 덤이 아니라 핵심으로 느껴집니다. 사이트는 심지어 휴대폰에 앱처럼 설치되어, 당신의 상태와 요청 창구가 서랍에 있지 않고 당신과 함께 다닙니다.

정직한 한계

분명히 말해 둘 두 가지. 대리인은 연락 창구이지 방패가 아닙니다. 제27조 제5항은 당국이 여전히 당신에게 직접 조치할 수 있다고 명시하며, 대리인을 두는 것은 EU 사업장을 만들지도, 당신의 납세지를 옮기지도 않습니다. 그리고 법률 자문이 아닙니다. 그것을 면책이라 설명하는 사람은 규정에 없는 것을 설명하는 셈입니다.

결론은 광고보다 조용합니다. 제27조는 유럽 사용자를 갖는 순간 평범한 사업체에 닿는, 넓고 평범한 의무입니다. 그 논리 전체는 투명성입니다 — 누구나 확인할 수 있는, 연락 가능하고 검증 가능한 창구. 그렇게 다루는 기업들은, 공개되기를 택한 곳들을 포함해, 보호를 사는 것이 아닙니다. 확인 가능한 무언가를 만드는 것입니다.

그래서 공급업체의 컴플라이언스를 다뤄 본 분들께 진짜 질문 하나. 그들이 "GDPR을 준수한다"고 했을 때, EU 대리인이 있는지 실제로 확인해 보셨나요 — 아니면 결국 "우리는 준수한다"로 충분했나요? 실제로 누가 얼마나 자주 들여다보는지 알고 싶습니다 👇