API와 GDPR: 의무의 범위를 정하고 데이터를 보호하기

HTTPS 사용만으로 API가 GDPR을 준수하지는 않습니다. 적용 범위, 처리 목적과 적법한 근거를 정하고 데이터와 접근을 필요한 범위로 제한해야 합니다.

지역적 적용 범위와 적법한 근거

제3조는 EU 내 사업장 활동과 관련된 처리 외에도 특정 조건에서 EU에 있는 사람에게 상품·서비스를 제공하거나 행동을 모니터링하는 처리를 포함합니다. 국적이나 유럽 거주 여부만으로 범위를 설명할 수 없습니다. 동의는 제6조의 여러 근거 중 하나이며, 제9조는 특별 범주의 데이터에 추가 조건을 둡니다.

접근 통제와 입증 가능한 책임

호출자 인증이 모든 기록을 읽을 권한을 뜻하지는 않습니다. 객체와 작업마다 권한을 확인하고 반환 필드를 최소화하며 전송을 보호해야 합니다. 로그에 비밀이나 불필요한 개인정보를 남기지 않습니다. 컨트롤러와 프로세서, 보관 기간, 정보주체 권리, 국제 이전을 정합니다. 높은 위험이 발생할 가능성이 큰 처리에는 제35조에 따른 영향평가가 필요합니다.

최근 동향: 협상 권한과 현행 법률을 구분하기

EU 이사회는 2026년 10월 21일 데이터 보호 규칙을 포함한 Digital Omnibus 협상 입장을 발표했습니다. 협상 권한 승인은 최종 법안 채택이 아닙니다. 이 발표만으로 현행 의무가 제안된 개정 내용으로 바뀌지는 않습니다.

사고에 대비하기

• 처리 문서와 통제의 증거를 최신 상태로 유지한다.
• 컨트롤러는 침해를 인지한 뒤 부당한 지체 없이, 가능하면 72시간 안에 감독기관에 통지한다. 권리와 자유에 대한 위험이 발생할 가능성이 낮은 경우는 제외된다(제33조).
• 프로세서는 컨트롤러에 부당한 지체 없이 알린다. 로그를 보호하고 보관 기간을 제한한다.

출처와 적용 범위

• EUR-Lex · GDPR / RGPD · 2016/679 · Art. 3, 5, 6, 9, 25, 28, 32, 33, 35, 44–49
• CNIL · API · 2023
• OWASP · API1:2023 · Broken Object Level Authorization
• Council of the EU · Digital Omnibus · 21 October 2026
• CNIL · Art. 33

편집 검토: 2026년 10월 31일.

{
    "compressed_mb": 2,
    "expanded_mb": 600,
    "aggregate_budget_mb": 100,
    "first_files_valid": true,
    "expected": "stop_on_actual_overrun_and_do_not_promote"
}