GDPR과 데이터 주체의 권리

일반 데이터 보호 규정(GDPR)은 2018년 5월 25일에 발효된 유럽 연합의 개인정보 보호 법률입니다. 조직의 소재지와 관계없이 EU 거주자의 개인 데이터를 조직이 수집, 저장, 처리 및 공유하는 방식을 규율합니다. EU 웹사이트 방문자의 데이터를 수집하는 US 기업도 GDPR을 준수해야 합니다. 위반 시 2,000만 유로 또는 전 세계 연간 매출액의 4% 중 더 큰 금액까지 벌금이 부과될 수 있으므로, GDPR은 전 세계에서 가장 영향력 있는 개인정보 보호 규정 중 하나입니다.

GDPR은 구체적인 용어를 사용합니다. 개인 데이터는 식별되었거나 식별할 수 있는 자연인(정보 주체)과 관련된 모든 정보입니다. 데이터 컨트롤러는 처리의 목적과 수단을 결정하며, 일반적으로 데이터를 수집하는 조직입니다. 데이터 처리자는 컨트롤러를 대신하여 데이터를 처리합니다(클라우드 제공업체, analytics 공급업체 등). 처리에는 개인 데이터에 수행하는 모든 작업이 포함되며, 수집, 저장, 수정, 전송 또는 삭제 등이 해당합니다. 이러한 역할을 이해하는 것은 GDPR이 컨트롤러와 처리자에게 서로 다른 의무를 부과하기 때문에 중요합니다.

조직은 개인 데이터를 처리하기 전에 적법한 근거를 확인해야 합니다. GDPR은 다음 6가지 근거를 규정합니다. Consent(자유롭게 제공되고, 구체적이며, 충분한 설명을 바탕으로 한 명확한 동의), Contract(정보 주체와의 계약을 이행하는 데 필요한 경우), 법적 의무(법률상 요구되는 경우), Vital interests(누군가의 생명을 보호하는 경우), 공익 업무(공익 또는 공식 권한에 따른 경우), Legitimate interests(정보 주체의 권리와 비교하여 정당성이 인정되는 경우)입니다. 동의에는 엄격한 기준이 적용되며, 미리 선택된 확인란은 동의로 인정되지 않습니다.

GDPR 제5조는 7가지 원칙을 정합니다. 적법성, 공정성 및 투명성—데이터는 합법적이고 공개적인 방식으로 처리해야 합니다. 목적 제한—한 가지 목적을 위해 수집한 데이터를 새로운 적법한 근거 없이 다른 목적으로 변경하여 사용할 수 없습니다. 데이터 최소화—엄격하게 필요한 정보만 수집해야 합니다. 정확성—데이터를 최신 상태로 유지해야 합니다. Storage limitation—필요한 기간보다 오래 데이터를 보존하지 않아야 합니다. 무결성 및 기밀성—적절한 보안 통제를 적용해야 합니다. 책임성—조직은 규정 준수 사실을 입증할 수 있어야 합니다.

GDPR은 개인(정보 주체)에게 법적으로 행사할 수 있는 여러 권리를 부여합니다. 접근권(제15조)에 따라 개인은 조직이 보유한 자신의 모든 개인 데이터 사본과 함께 처리 목적, 보존 기간 및 제3자 수령자에 관한 세부 정보를 요청할 수 있습니다. 조직은 1개월 이내에 응답해야 하며, 복잡한 요청은 3개월까지 연장할 수 있습니다. 이 권리는 대부분의 GDPR 준수 조직이 개인정보 처리방침에 문서화하는 정보 주체 접근 요청(SAR) 절차를 통해 이행됩니다.

삭제권(‘잊힐 권리’, 제17조)에 따라 개인은 데이터가 더 이상 필요하지 않거나, 동의를 철회했거나, 데이터가 불법적으로 처리된 경우 데이터 삭제를 요청할 수 있습니다. 정정권(제16조)에 따라 개인은 부정확하거나 불완전한 데이터를 수정할 수 있습니다. 어느 권리도 절대적인 것은 아닙니다. 법적 의무를 이행하거나 법적 청구에 대응하는 데 필요한 데이터는 삭제하지 않아도 됩니다. 이러한 권리는 특히 복제되거나 보관된 데이터베이스를 사용하는 시스템에서 데이터 아키텍처에 상당한 과제를 제기합니다.

데이터 이동권(제20조)에 따라 개인은 자신의 개인 데이터를 구조화된 기계 판독 가능 형식(JSON, CSV)으로 받아 다른 컨트롤러에게 전송할 수 있으며, 이를 통해 서비스 제공업체를 쉽게 변경할 수 있습니다. 이의 제기권(제21조)에 따라 개인은 특정 처리의 중단을 요구할 수 있습니다. 특히 직접 마케팅은 이의를 제기하는 즉시 중단해야 하며, Legitimate interests에 근거한 처리의 경우 조직이 처리를 계속할 설득력 있는 근거를 입증해야 합니다.

GDPR 제33조에 따라 조직은 개인 데이터 침해가 개인의 권리를 침해할 위험이 있고 이를 인지한 경우, 인지한 시점부터 72시간 이내에 감독 기관(UK ICO 또는 독일의 BSI와 같은 국가 데이터 보호 기관)에 통지해야 합니다. 침해로 인해 개인에게 높은 위험이 발생할 가능성이 있다면, 영향을 받은 정보 주체에게도 부당한 지체 없이 직접 통지해야 합니다(제34조). 이 72시간 DEADLINE은 미국 여러 주 법률의 침해 통지 기간보다 상당히 짧습니다.

GDPR은 특정 조직에 데이터 보호 책임자(DPO)를 지정하도록 요구합니다. 해당 조직에는 공공 기관, 대규모로 민감한 데이터(건강, 생체, 범죄 정보)를 처리하는 조직, 대규모의 체계적인 모니터링(행동 기반 광고)을 수행하는 조직이 포함됩니다. DPO는 데이터 보호 법률에 관한 전문 지식을 갖추어야 하며, 독립적으로 업무를 수행해야 합니다(DPO 직무 수행을 이유로 징계받을 수 없음). 또한 감독 기관과의 주요 연락 창구 역할을 합니다. DPO 지정 의무가 없는 조직도 책임성을 확보하기 위해 자발적으로 지정하는 경우가 많습니다.

GDPR은 적절한 보호 조치가 마련되지 않은 한 개인 데이터를 EU/EEA 외부 국가로 전송하는 것을 제한합니다. 적정성 결정은 동등한 수준의 보호를 제공하는 국가를 인정하는 제도입니다(일본, 캐나다, 브렉시트 이후의 UK, EU-US Data Privacy Framework에 따른 USA). 적정성 결정이 없는 경우 조직은 표준 계약 조항(SCC)—사전 승인된 표준 계약—또는 다국적 기업 내부의 그룹 간 전송을 위한 구속력 있는 기업 규칙(BCR)을 사용합니다. 승인되지 않은 국제 데이터 전송은 GDPR 집행 조치의 흔한 원인입니다.

GDPR의 행정 벌금에는 두 등급이 있습니다. 1등급(낮은 등급)은 기록 유지 실패, 침해 통지 실패 또는 불충분한 데이터 처리자 계약과 같은 위반에 대해 최대 1,000만 유로 또는 전 세계 연간 매출액의 2%까지 부과됩니다. 2등급(높은 등급)은 불법적인 처리, 적법한 근거의 부재, 정보 주체 권리 침해와 같은 근본적인 위반에 대해 최대 2,000만 유로 또는 전 세계 연간 매출액의 4%까지 부과됩니다. 주요 집행 사례로 Google(5,000만 유로), Meta(12억 유로), Amazon(7억 4,600만 유로)에 대한 벌금이 있습니다.

이 강의에서 다룬 CompTIA Security+ (SY0-701) 개념을 얼마나 이해했는지 확인해 보십시오.

이 강의에서는 다음을 배웠습니다. GDPR은 EU 거주자의 개인 데이터를 규율하며 전 세계적으로 적용되고, 전 세계 매출의 최대 4%까지 벌금이 부과될 수 있습니다. 6가지 정보 주체 권리에는 접근, 삭제, 정정, 이동, 이의 제기 및 처리 제한이 포함됩니다. 또한 개인의 권리를 침해할 위험이 있는 침해 사고가 발생하면 감독 기관에 72시간 이내에 침해를 통지해야 합니다. 다음 강의에서는 HIPAA, PCI-DSS 및 분야별 규정 준수 요건을 살펴봅니다.