[논문 리뷰] GDPR: Is it worth it? Perceptions of workers who have experienced its implementation

Gerard Buckley, Tristan Caulfield외 1명|arXiv (Cornell University)|2024. 05. 16.

AI and HR TechnologiesBusiness, Management and Accounting인용 수 3

한 줄 요약

이 연구는 GDPR를 시행하고도 그 혜택을 받는 영국 근로자들의 이중적 시각을 조사하여, 준수 비용이 있음에도 불구하고 이를 가치 있는 것으로 평가하는 경향을 발견한다. GDPR 시행 전, 중간, 후에 273명과 102명의 직원을 대상으로 설문조사를 실시한 결과, 근로자들은 자신의 권리에 대해 인식하고, 업무 현장에서 실질적인 데이터 보호 개선을 관찰하며, GDPR이 개인정보 보호와 기업 책임에 기여한다고 보는 것으로 나타났다. 이는 규제가 번거로운 부담이라는 일반적인 인식에 도전하는 결과이다.

ABSTRACT

The General Data Protection Regulation (GDPR) remains the gold standard in privacy and security regulation. We investigate how the cost and effort required to implement GDPR is viewed by workers who have also experienced the regulations' benefits as citizens: is it worth it? In a multi-stage study, we survey N = 273 & 102 individuals who remained working in the same companies before, during, and after the implementation of GDPR. The survey finds that participants recognise their rights when prompted but know little about their regulator. They have observed concrete changes to data practices in their workplaces and appreciate the trade-offs. They take comfort that their personal data is handled as carefully as their employers' client data. The very people who comply with and execute the GDPR consider it to be positive for their company, positive for privacy and not a pointless, bureaucratic regulation. This is rare as it contradicts the conventional negative narrative about regulation. Policymakers may wish to build upon this public support while it lasts and consider early feedback from a similar dual professional-consumer group as the GDPR evolves.

연구 동기 및 목표

• GDPR의 가치를 시행자이자 수혜자인 직원들의 이중적 시각에서 평가하기.
• GDPR 준수의 인지된 비용이 업무 현장의 데이터 관리 방식에서 관찰된 이점보다 더 크지 않음을 평가하기.
• 정보에 기초한 전문가들 사이에서 GDPR 감독 기관과 그 역할에 대한 인식 수준을 조사하기.
• 직원들이 GDPR에 대해 갖는 인식이 기업의 데이터 처리에 대한 신뢰와 규제의 정당성에 어떤 영향을 미치는지 탐구하기.

제안 방법

• 같은 영국 기업의 273명과 102명의 직원을 대상으로 GDPR 시행 전, 중간, 후에 다단계 설문조사를 실시하였다.
• GDPR 권리에 대한 인식, 감독 기관(ICO)에 대한 지식, 업무 현장의 데이터 관리 변화, 규제 영향에 대한 인식 등을 수집하였다.
• 회귀 분석을 통해 GDPR 가치에 대한 인식 배경이 되는 정서적 모델을 특정하였으며, 주로 권리 인식, 관찰된 변화, 감독 기관 지식에 초점을 맞추었다.
• 자기 보고한 데이터 처리 변화의 긍정적·부정적 요소를 기업 규제의 정당성과 준수 태도와 비교하였다.

실험 결과

연구 질문

• RQ1 GDPR를 시행하는 직원들도 개인정보 보호와 기업 책임 측면에서 이를 유익하다고 느끼는가?
• RQ2 직원들은 자신의 데이터 보호 감독 기관의 신원과 권한을 어느 정도 알고 있는가?
• RQ3 업무 현장의 데이터 관리 방식 변화가 직원들이 GDPR의 순가치를 어떻게 평가하는지에 어떤 영향을 미치는가?
• RQ4 개인적인 데이터 권리 인식이 GDPR의 총합적 가치 평가에 어떤 역할을 하는가?

주요 결과

• 참가자들은 권리를 자극받을 경우 이를 인식했지만, 데이터 보호 감독 기관의 신원과 권한에 대해서는 제한된 지식을 보였다.
• 근로자들은 데이터 보안 향상과 투명성 향상 등 실질적인 긍정적 변화를 업무 현장에서 관찰하였다.
• 준수 비용을 인정하면서도, 직원들은 GDPR이 기업에 유익하다고 보았으며, 더 강력한 데이터 보호와 유출 위험 감소를 이유로 제시하였다.
• GDPR이 '가치 있다'는 인식은 긍정적 변화를 더 많이 관찰하고, 자신의 권리에 대한 이해에 자신감을 느끼는 사람들에서 가장 강했다.
• 감독 기관 역할에 대해 높은 지식이 없는 직원일수록 GDPR을 부담으로 보지 않을 가능성이 높아, 중간 정도의 인식 수준이 가장 효과적인 '골디록스 효과'를 보였다.
• 이 연구는 GDPR이 번거로운 행정 부담이라는 지배적인 인식을 도전하며, 시행자인 사람들이 GDPR을 개인정보 보호와 조직의 투명성 향상에 있어 순수한 긍정으로 보고 있음을 보여주었다.