스페인 RGPD·LOPD 기업 가이드: 데이터 보호 의무 총정리

스페인에서 사업을 하고 있거나 스페인 시장 진출을 계획하고 있다면, RGPD(Reglamento General de Protección de Datos, EU GDPR의 스페인 명칭)와 LOPDGDD(Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales)를 반드시 이해해야 합니다. LOPDGDD는 EU의 GDPR을 스페인 국내법으로 구체화한 법률로, 2018년부터 시행 중입니다.

2025년 들어 스페인 데이터보호청(AEPD)은 AI 기반 개인정보 처리와 쿠키 추적에 대한 집행을 더욱 강화하고 있습니다. 이 글에서는 스페인에서 사업을 운영하는 기업이 알아야 할 핵심 의무 사항을 실무 관점에서 정리합니다.

RGPD와 LOPDGDD의 관계

EU GDPR이 모든 EU 회원국에 직접 적용되는 규정이라면, LOPDGDD는 GDPR이 각국에 위임한 세부 사항을 스페인 맥락에 맞게 구체화한 국내법입니다.

구분	RGPD (EU GDPR)	LOPDGDD (스페인법)
적용 범위	EU 전체	스페인 국내
법적 성격	EU 규정 (직접 적용)	국내 유기법 (보충)
최대 과태료	2,000만 EUR 또는 매출의 4%	GDPR 기준 동일 적용
감독 기관	각국 DPA	AEPD (스페인 데이터보호청)

기업이 지켜야 할 6가지 핵심 의무

1. 동의 관리 (Consentimiento)

개인정보 수집 시 명시적이고 자유로운 동의를 받아야 합니다. 사전 체크된 체크박스는 유효한 동의로 인정되지 않으며, 동의 철회도 동의만큼 쉬워야 합니다.

2. 데이터 보호 책임자(DPO) 지정

LOPDGDD에 따라 다음 기관·기업은 DPO 지정이 의무입니다:

• 공공기관
• 의료·교육·금융 기관
• 대규모 개인정보를 정기적·체계적으로 처리하는 기업
• 보험·통신사

3. 처리 활동 기록 (Registro de Actividades)

50인 이상 기업이 아니더라도, 민감정보를 처리하거나 정기적으로 개인정보를 처리한다면 처리 활동 기록부를 유지해야 합니다.

4. 데이터 유출 통보 (Notificación de Brechas)

개인정보 유출이 발생하면 72시간 이내에 AEPD에 신고해야 합니다. 정보 주체의 권리에 높은 위험이 있는 경우 본인에게도 통보해야 합니다.

5. 개인정보 영향 평가 (EIPD)

고위험 처리 활동(프로파일링, 대규모 모니터링, 민감정보 처리 등)을 시작하기 전에 **개인정보 영향 평가(Evaluación de Impacto)**를 실시해야 합니다.

6. 디지털 권리 보장

LOPDGDD는 GDPR에 없는 디지털 권리도 규정합니다:

• 근로자의 디지털 연결 해제 권리
• 직장 내 영상 감시 관련 권리
• 미성년자 데이터 보호 강화

AEPD의 최근 집행 트렌드

2025년 현재 AEPD는 다음 영역에서 집행을 강화하고 있습니다:

• AI 기반 개인정보 처리: 자동화된 의사결정, 프로파일링에 대한 투명성 요구
• 쿠키 및 추적 기술: 쿠키 배너의 실질적 동의 여부 점검
• 국제 데이터 이전: EU 역외 전송 시 적절한 보호 장치 확인

중소기업을 위한 AEPD Facilita 도구

AEPD는 개인정보 처리 위험이 낮은 중소기업을 위해 Facilita RGPD라는 무료 온라인 도구를 제공합니다. 간단한 질문에 답하면 기본적인 규정 준수 문서를 자동 생성해 줍니다. 직원 수가 적고 민감정보를 다루지 않는 소규모 사업자에게 유용합니다.

규정 준수 문서의 안전한 공유

GDPR 준수 과정에서 다양한 내부 문서를 공유해야 하는 상황이 발생합니다. 개인정보 영향 평가서, 처리 활동 기록, DPO 연락처, 유출 대응 계획서 등은 그 자체로 민감한 정보를 포함할 수 있습니다.

이러한 규정 준수 문서를 이메일이나 카카오톡으로 무방비하게 공유하는 것은 또 다른 보안 위험을 만들 수 있습니다. LOCK.PUB을 활용하면 비밀번호로 보호된 메모 링크를 통해 내부 문서를 안전하게 공유할 수 있고, 만료 기한을 설정해 불필요한 데이터 보관을 방지할 수 있습니다.

위반 시 처벌

RGPD 위반 시 과태료는 위반의 심각성에 따라 세 단계로 나뉩니다:

위반 수준	최대 과태료
경미한 위반	40,000 EUR
중대한 위반	300,000 EUR
매우 중대한 위반	2,000만 EUR 또는 전 세계 매출의 4% 중 높은 금액

체크리스트: 지금 바로 확인하세요

• 개인정보 처리 목적과 법적 근거를 문서화했는가?
• 유효한 동의를 받고 있는가?
• DPO 지정 의무 대상인지 확인했는가?
• 처리 활동 기록부를 유지하고 있는가?
• 유출 통보 절차를 마련해 두었는가?
• 고위험 처리에 대한 영향 평가를 실시했는가?

스페인에서의 데이터 보호 규정 준수는 선택이 아닌 필수입니다. 위의 체크리스트를 기반으로 현재 상태를 점검하고, 필요한 문서는 LOCK.PUB과 같은 보안 도구를 활용해 안전하게 관리하시기 바랍니다.