The General Data Protection Regulation (2016/679, "GDPR") is a Regulation in EU law on data protection and privacy in the EU and the European Economic Area (EEA). The GDPR is an important component of EU privacy law and of human rights law, in particular Article 8(1) of the Charter of Fundamental Rights of the European Union. It also addresses the transfer of personal data outside the EU and EEA areas. The GDPR's primary aim is to enhance individuals' control and rights over their personal data and to simplify the regulatory environment for international business. Superseding the Data Protection Directive 95/46/EC, the regulation contains provisions and requirements related to the processing of personal data of individuals, formally called "data subjects", who are located in the EEA, and applies to any enterprise—regardless of its location and the data subjects' citizenship or residence—that is processing the personal information of individuals inside the EEA.
The GDPR was adopted on 14 April 2016 and became enforceable beginning 25 May 2018. As the GDPR is a regulation, not a directive, it is directly binding and applicable, and provides flexibility for certain aspects of the regulation to be adjusted by individual member states.

According to the European Commission, "Personal data is information that relates to an identified or identifiable individual. If you cannot directly identify an individual from that information, then you need to consider whether the individual is still identifiable. You should take into account the information you are processing together with all the means reasonably likely to be used by either you or any other person to identify that individual." The precise definitions of terms such as "personal data", "processing", "data subject", "controller", and "processor" are stated in Article 4 of the Regulation. 

Principles
Personal data may not be processed unless there is at least one legal basis to do so. Article 6 states the lawful purposes are:

(a) If the data subject has given consent to the processing of his or her personal data;
(b) To fulfill contractual obligations with a data subject, or for tasks at the request of a data subject who is in the process of entering into a contract;
(c) To comply with a data controller's legal obligations;
(d) To protect the vital interests of a data subject or another individual;
(e) To perform a task in the public interest or in official authority;
(f) For the legitimate interests of a data controller or a third party, unless these interests are overridden by interests of the data subject or her or his rights according to the Charter of Fundamental Rights (especially in the case of children).

Security of personal data
Controllers and processors of personal data must put in place appropriate technical and organizational measures to implement the data protection principles. Business processes that handle personal data must be designed and built with consideration of the principles and provide safeguards to protect data (for example, using pseudonymization or full anonymization where appropriate). Data controllers must design information systems with privacy in mind. For instance, using the highest-possible privacy settings by default, so that the datasets are not publicly available by default and cannot be used to identify a subject. No personal data may be processed unless this processing is done under one of the six lawful bases specified by the regulation (consent, contract, public task, vital interest, legitimate interest or legal requirement). When the processing is based on consent the data subject has the right to revoke it at any time.

Article 33 states the data controller is under a legal obligation to notify the supervisory authority without undue delay unless the breach is unlikely to result in a risk to the rights and freedoms of the individuals. There is a maximum of 72 hours after becoming aware of the data breach to make the report. Individuals have to be notified if a high risk of an adverse impact is determined (Article 34). In addition, the data processor will have to notify the controller without undue delay after becoming aware of a personal data breach (Article 33). However, the notice to data subjects is not required if the data controller has implemented appropriate technical and organisational protection measures that render the personal data unintelligible to any person who is not authorised to access it, such as encryption (Article 34).

Data protection officer

Article 37 requires appointment of a data protection officer. If processing is carried out by a public authority (except for courts or independent judicial authorities when acting in their judicial capacity), or if processing operations involve regular and systematic monitoring of data subjects on a large scale, or if processing on a large scale of special categories of data and personal data relating to criminal convictions and offences (Articles 9 and Article 10) a data protection officer (DPO)—a person with expert knowledge of data protection law and practices—must be designated to assist the controller or processor in monitoring their internal compliance with the Regulation.

A designated DPO can be a current member of staff of a controller or processor, or the role can be outsourced to an external person or agency through a service contract. In any case, the processing body must make sure that there is no conflict of interest in other roles or interests that a DPO may hold. The contact details for the DPO must be published by the processing organisation (for example, in a privacy notice) and registered with the supervisory authority.

The DPO is similar to a compliance officer and is also expected to be proficient at managing IT processes, data security (including dealing with cyberattacks) and other critical business continuity issues associated with the holding and processing of personal and sensitive data. The skill set required stretches beyond understanding legal compliance with data protection laws and regulations. The DPO must maintain a living data inventory of all data collected and stored on behalf of the organization. More details on the function and the role of data protection officer were given on 13 December 2016 (revised 5 April 2017) in a guideline document.

Organisations based outside the EU must also appoint an EU-based person as a representative and point of contact for their GDPR obligations (Article 27). This is a distinct role from a DPO, although there is overlap in responsibilities that suggest that this role can also be held by the designated DPO.
일반 데이터 보호 규정(2016/679, "GDPR")은 EU 및 유럽경제지역(EEA)의 데이터 보호 및 개인정보 보호에 관한 EU 법률 규정입니다. GDPR은 EU 개인정보 보호법 및 인권법, 특히 유럽연합 기본권 헌장 제8조 제1항의 중요한 구성 요소입니다. 또한 개인 데이터를 EU 및 EEA 지역 외부로 전송하는 문제도 다룹니다. GDPR의 주요 목표는 개인 데이터에 대한 개인의 통제권과 권리를 강화하고 국제 비즈니스를 위한 규제 환경을 간소화하는 것입니다. 데이터 보호 지침 95/46/EC를 대체하는 이 규정은 공식적으로 "데이터 주체"라고 불리는 EEA에 위치한 개인의 개인 데이터 처리와 관련된 조항 및 요구 사항을 포함하고 있으며, 위치 및 데이터 주체의 시민권 또는 거주지와 관계없이 EEA 내 개인의 개인 정보를 처리하는 모든 기업에게 적용됩니다.
GDPR은 2016년 4월 14일에 채택되었으며 2018년 5월 25일부터 시행되었습니다. GDPR은 지침이 아닌 규정이므로 직접 구속력이 있고 적용 가능하며, 개별 회원국이 규정의 특정 측면을 조정할 수 있는 유연성을 제공합니다.

유럽 위원회에 따르면 "개인 데이터는 식별되거나 식별 가능한 개인과 관련된 정보입니다. 해당 정보에서 개인을 직접 식별할 수 없는 경우, 해당 개인이 여전히 식별 가능한지 여부를 고려해야 합니다. 처리하는 정보와 함께 귀하 또는 다른 사람이 해당 개인을 식별하기 위해 합리적으로 사용할 가능성이 있는 모든 수단을 고려해야 합니다." "개인 데이터", "처리", "데이터 주체", "관리자", "처리자" 등의 용어에 대한 정확한 정의는 규정 4조에 명시되어 있습니다.

원칙
개인 데이터는 적어도 하나의 법적 근거가 없으면 처리할 수 없습니다. 제6조에는 합법적인 목적이 명시되어 있습니다:

(a) 데이터 주체가 자신의 개인 데이터 처리에 동의한 경우;
(b) 데이터 주체와의 계약 의무를 이행하거나 계약 체결 과정에 있는 데이터 주체의 요청에 따른 업무를 수행하기 위한 경우;
(c) 데이터 컨트롤러의 법적 의무를 준수하기 위해;
(d) 데이터 주체 또는 다른 개인의 중대한 이익을 보호하기 위해;
(e) 공공의 이익 또는 공적 권한을 위한 업무 수행;
(f) 데이터 컨트롤러 또는 제3자의 정당한 이익을 위해(단, 이러한 이익이 데이터 주체 또는 기본권 헌장에 따른 권리(특히 아동의 경우)의 이익보다 우선하지 않는 경우).

개인 데이터의 보안
개인정보 관리자 및 처리자는 데이터 보호 원칙을 이행하기 위해 적절한 기술적 및 조직적 조치를 마련해야 합니다. 개인 데이터를 처리하는 비즈니스 프로세스는 원칙을 고려하여 설계 및 구축되어야 하며, 데이터를 보호하기 위한 안전장치를 제공해야 합니다(예: 적절한 경우 가명화 또는 완전 익명화 사용). 데이터 컨트롤러는 개인정보 보호를 염두에 두고 정보 시스템을 설계해야 합니다. 예를 들어, 데이터 세트가 기본적으로 공개되지 않고 주체를 식별하는 데 사용할 수 없도록 가능한 가장 높은 수준의 개인정보 보호 설정을 기본적으로 사용하는 것입니다. 규정에 명시된 6가지 합법적 근거(동의, 계약, 공공 업무, 중대한 이익, 정당한 이익 또는 법적 요구 사항) 중 하나에 따라 처리하지 않는 한 개인 데이터를 처리할 수 없습니다. 처리가 동의를 기반으로 하는 경우 데이터 주체는 언제든지 동의를 철회할 권리가 있습니다.

제33조에 따르면 데이터 컨트롤러는 위반이 개인의 권리와 자유에 위험을 초래할 가능성이 없는 한 부당한 지체 없이 감독 기관에 통지해야 할 법적 의무가 있습니다. 데이터 유출을 인지한 후 최대 72시간 이내에 신고할 수 있습니다. 부정적 영향의 위험이 높다고 판단되는 경우 개인에게 통지해야 합니다(34조). 또한 데이터 처리자는 개인 데이터 유출을 인지한 후 과도한 지체 없이 컨트롤러에게 통지해야 합니다(제33조). 그러나 데이터 컨트롤러가 암호화와 같이 개인 데이터에 액세스할 권한이 없는 사람이 개인 데이터를 이해할 수 없도록 하는 적절한 기술적 및 조직적 보호 조치를 구현한 경우에는 데이터 주체에 대한 통지가 필요하지 않습니다(34조).

데이터 보호 책임자

제37조에 따라 데이터 보호 책임자를 임명해야 합니다. 처리가 공공 기관(법원 또는 사법적 권한을 행사하는 독립 사법 기관 제외)에 의해 수행되거나 처리 작업에 대규모로 정보 주체에 대한 정기적이고 체계적인 모니터링이 필요한 경우 또는 특수 범주의 데이터 및 범죄 유죄 판결 및 범죄와 관련된 개인 데이터를 대규모로 처리하는 경우(9조 및 10조) 데이터 보호법 및 관행에 대한 전문 지식을 갖춘 사람인 데이터 보호 책임자(DPO)를 지정하여 컨트롤러 또는 처리자의 내부 규정 준수 모니터링을 지원하도록 해야 합니다.

지정된 DPO는 컨트롤러 또는 처리자의 현 직원이 될 수도 있고, 서비스 계약을 통해 외부 사람이나 기관에 역할을 아웃소싱할 수도 있습니다. 어떤 경우든 처리 기관은 DPO가 보유할 수 있는 다른 역할이나 이해관계와 이해 상충이 없는지 확인해야 합니다. 처리 기관은 DPO의 연락처를 개인정보 처리방침 등에 공개하고 감독 기관에 등록해야 합니다.

DPO는 규정 준수 책임자와 유사하며 IT 프로세스, 데이터 보안(사이버 공격 대응 포함) 및 개인 및 민감한 데이터의 보유 및 처리와 관련된 기타 중요한 비즈니스 연속성 문제를 능숙하게 관리할 수 있어야 합니다. 필요한 기술은 데이터 보호 법률 및 규정의 법적 준수를 이해하는 것 이상으로 확장됩니다. DPO는 조직을 대신하여 수집 및 저장된 모든 데이터에 대한 최신 데이터 인벤토리를 유지해야 합니다. 데이터 보호 책임자의 기능과 역할에 대한 자세한 내용은 2016년 12월 13일(2017년 4월 5일 개정)에 가이드라인 문서에서 확인할 수 있습니다.

EU 외부에 기반을 둔 조직도 EU에 기반을 둔 사람을 GDPR 의무를 위한 대리인 및 연락 담당자로 지정해야 합니다(27조). 이는 DPO와는 별개의 역할이지만, 책임이 중복되는 부분이 있어 지정된 DPO가 이 역할을 수행할 수도 있습니다.