이 질문 뒤에 면접관이 확인하려는 것은 따로 있습니다.
HIPAA와 GDPR의 가장 큰 차이는 적용 대상과 지역 범위입니다. HIPAA는 미국 의료 분야에 특화된 규정으로, 의료기관·보험사·그 관련 사업자를 대상으로 합니다. GDPR은 EU 거주자의 개인정보를 처리하는 모든 조직에 적용되며, 지역에 관계없이 EU 시민 데이터를 다루면 적용됩니다. 두 번째 차이는 정보 주체의 권리입니다. GDPR은 정보 삭제권·이동권 등 더 넓은 권리를 보장합니다. 인턴 시절 두 규정의 비교 자료를 정리하며, 위반 시 제재 수준도 크게 다르다는 것을 배웠습니다. GDPR 위반은 전 세계 매출의 일정 비율을 과징금으로 부과하는 강력한 제재 구조입니다. 대응 측면에서는 GDPR은 개인정보 처리 활동 기록과 DPO 지정이 중요하고, HIPAA는 보호된 건강정보(PHI)의 접근 제어와 감사 로그가 핵심입니다.
HIPAA와 GDPR의 차이를 명확히 구분하지 않고 하나의 시스템에 양쪽을 동시 적용하려다 설계가 충돌한 사례를 봤습니다. 사례 분석 중 의료 데이터 플랫폼이 미국·EU 시장을 동시에 서비스하면서 동의 철회 처리 방식이 규정마다 달라 코드 분기를 나중에 추가하느라 리팩토링 비용이 크게 발생한 경우가 있었습니다.
처음부터 규정별 차이를 아키텍처 설계 단계에서 반영했더라면 비용이 훨씬 적었을 것입니다. 규정 준수는 운영 단계 문제가 아니라 설계 단계 요건이라는 것을 배웠습니다. 규정 간 차이를 이해하지 않으면 단일 구현으로 대응하려다 나중에 더 큰 비용을 씁니다. 이를 반영해 다중 규정 적용 시 규정별 요구 사항 비교표를 설계 문서에 포함하는 방식을 채택했습니다.
이 사례가 이후 규정 준수 설계 시 규정 간 차이 분석을 아키텍처 검토 항목에 포함하는 기준이 됐습니다. 다중 규정 준수 설계는 규정 간 차이를 아키텍처 단계에서 반영하는 것에서 시작됩니다.
HIPAA와 GDPR을 데이터 주체인 환자 입장에서 생각해본 경험이 있습니다. 개인정보 보호 관련 수업에서 실제 환자 인터뷰 자료를 분석했는데, 환자들이 가장 중요하게 여기는 것은 규정 명칭이 아니라 내 데이터가 누구에게 어떤 목적으로 쓰이는지를 알고 통제할 수 있는가라는 것을 알게 됐습니다. 규정의 세부 차이보다 데이터 주체가 자신의 정보를 이해하고 선택할 수 있는지가 실질적인 가치입니다. 이 시각에서 보면, HIPAA·GDPR 대응 체계는 법적 의무 이행만큼 환자가 자신의 데이터 사용에 대해 명확하게 동의하고 철회할 수 있는 경험을 설계하는 것이기도 합니다. 이를 반영해 동의 화면 설계 시 법적 문구를 단순화해 환자가 읽고 이해할 수 있는 수준으로 작성하는 방식을 제안했습니다.
이 관점이 이후 규정 준수 UI를 설계할 때 법적 정확성과 사용자 이해 가능성을 함께 기준으로 두는 습관을 만들었습니다. 규정 준수의 완성은 법적 의무 이행만큼 데이터 주체가 실질적으로 이해하고 선택하는 경험 설계에 있습니다.
답변에서 흔히 빠지는 것들 — 빠져 있으면 꼬리질문이 깊어집니다.
이 질문에 이어 그래비티랩스 정보보안 담당 면접관이 던질 가능성이 높은 후속 질문.
이 페이지의 질문·답변·꼬리질문은 유사 직군 채용 시장의 공개된 면접 후기·커뮤니티 게시물을 분석해 구성한 학습 자료입니다. 특정 회사가 실제로 이 질문을 출제했다는 것을 보장하지 않으며, 모든 예시는 우문현답이 직접 작성한 창작물입니다. 해당 회사의 공식 입장과는 무관합니다. 회사 측의 정정 요청이 있을 경우 24시간 이내에 응답·수정합니다.