GDPR 및 KVKK 핵심

GDPR(EU 일반 데이터 보호 규정, 2018)과 튀르키예의 KVKK(법률 제6698호, 2016)는 이 강의에서 다루는 두 가지 프레임워크입니다. KVKK는 EU의 접근 방식을 크게 본떠 제정되었으므로 핵심 원칙이 서로 긴밀하게 맞닿아 있습니다.

두 법률 모두 개인정보 처리 방식을 규제하고, 상당한 처벌을 바탕으로 개인에게 강력한 권리를 부여합니다.

두 법률은 다음과 같은 핵심 역할을 정의합니다.

• 정보주체(KVKK: 관련자): 데이터의 대상인 사람
• 관리자(KVKK: 데이터 관리자): 데이터가 처리되는 목적과 방식을 결정하는 주체
• 처리자(KVKK: 데이터 처리자): 관리자를 대신하여 데이터를 처리하는 주체

업무를 처리자에게 외주로 맡긴 경우에도 주요 책임은 관리자에게 있습니다.

GDPR 제5조는 KVKK에도 반영된 원칙을 제시합니다.

• 적법성, 공정성, 투명성
• 목적 제한: 명시된 목적에만 데이터를 사용합니다
• 데이터 최소화: 필요한 데이터만 수집합니다
• 정확성
• 보관 기간 제한: 필요한 기간보다 오래 보관하지 않습니다
• 무결성과 기밀성(보안)
• 책임성: 규정 준수를 입증할 수 있어야 합니다

적법한 근거 없이 개인정보를 처리할 수 없습니다. GDPR 제6조는 다음 여섯 가지 근거를 제시합니다.

• 동의
• 계약
• 법적 의무
• 중대한 이익
• 공익 업무
• 정당한 이익

KVKK에도 이에 상응하는 근거가 있습니다. 동의는 여러 선택지 중 하나일 뿐이며, 언제든 철회할 수 있으므로 항상 최선의 선택은 아닙니다.

동의에 의존하는 경우 동의는 다음 요건을 충족해야 합니다.

• 자유롭게 제공되어야 합니다
• 목적에 대해 구체적이어야 합니다
• 충분한 정보를 바탕으로 해야 합니다
• 명확한 적극적 행동을 통해 모호하지 않게 표현되어야 합니다

미리 선택된 확인란, 묶음 동의, 침묵은 유효한 동의가 아닙니다. 동의를 철회하는 일은 동의하는 일만큼 쉬워야 합니다.

개인은 법적으로 집행할 수 있는 권리를 보유합니다.

• 열람: 자신의 데이터 사본을 받을 권리
• 정정: 부정확한 내용을 수정할 권리
• 삭제(잊힐 권리)
• 데이터 처리의 제한
• 이동: 기계 판독이 가능한 형식으로 데이터를 받을 권리
• 프로파일링을 포함한 이의 제기

요청에는 일반적으로 정해진 기간 내에 답변해야 합니다(GDPR에서는 1개월).

책무성을 위해서는 문서화가 필요합니다. 처리 활동 기록(RoPA)에는 어떤 데이터가 처리되는지, 그 이유는 무엇인지, 어디로 전송되는지, 얼마나 오래 보관되는지가 기술됩니다.

터키에서는 일정 기준을 초과하는 개인정보처리자가 데이터 개인정보처리자 등록부인 VERBIS에 등록해야 합니다. 규제 기관이 가장 먼저 요구하는 자료가 바로 이 기록입니다.

EU/EEA 외부(또는 터키 국외)로 개인 데이터를 전송하는 것은 제한됩니다. 가능한 수단은 다음과 같습니다:

• 적정성 결정(목적지가 동등한 수준의 보호를 제공함)
• 표준 계약 조항
• 특정 이전에 대한 명시적 동의

KVKK에서는 역사적으로 국경 간 이전에 KVKK 위원회의 승인이나 명시적 동의를 요구했으므로, 데이터를 해외로 이전하기 전에 현재 규정을 확인하십시오.

집행 기관:

• EU: 국가 데이터 보호 기관, GDPR에 따른 최대 2천만 유로 또는 전 세계 연간 매출액의 4%의 과징금
• 터키: KVKK 위원회, 행정 과징금을 부과하고 처리를 중지하도록 명령할 권한이 있음

과징금 외에도 규제 기관은 시정 조치를 명령하고 위반 사실을 공개할 수 있습니다.

일부 조직은 데이터 보호 책임자(DPO)를 임명해야 합니다. 예를 들어 공공 기관이나 GDPR에 따라 대규모 모니터링 또는 특수 범주 데이터 처리를 수행하는 조직이 이에 해당합니다.

DPO는 규정 준수에 관해 조언하고 이를 모니터링하며, 규제 기관과 데이터 주체를 연결하는 연락 창구 역할을 합니다. DPO는 독립적으로 업무를 수행해야 합니다.

개인정보처리자가 처리자(SaaS 공급업체, 클라우드 운영 업체 또는 하도급업체)를 이용하는 경우, 서면 데이터 처리 계약(DPA)을 반드시 체결해야 합니다. 이 계약에 따라 처리자는 다음을 준수해야 합니다:

• 문서화된 지시에 따라서만 처리할 것
• 기밀성과 보안을 보장할 것
• 승인을 받은 경우에만 하위 처리자를 이용할 것
• 데이터 주체의 요청과 침해 보고를 지원할 것

규정을 준수하지 않는 업체를 선택하더라도 개인정보처리자의 책무가 이전되는 것은 아닙니다.

적법한 처리 근거에 대한 이해도를 확인해 보십시오.

GDPR 및 KVKK의 핵심을 다루었습니다:

• 개인정보처리자와 처리자의 역할 및 책무성
• 핵심 원칙, 특히 목적 제한과 데이터 최소화
• 6가지 적법한 처리 근거; 동의는 자유롭게 제공되어야 하며 철회할 수 있어야 함
• 데이터 주체의 권리(열람, 삭제, 이동성, 반대)
• RoPA/VERBIS 기록과 제한된 국제 이전
• 규제 기관, 막대한 과징금 및 DPO의 역할

다음: 보유한 데이터를 분류하고 최소화하는 방법입니다.