[EU의 데이터 보호]GDPR의 책임성 요구사항(1)

이번 회에서는 GDPR의 책임성 요구 사항에 대해서 다루고자 한다.

* 책임성의 의미

GDPR은 공식적으로 책임성 요구 사항을 데이터 보호 입법 체계에 포함시켰다. 이것은 개인정보를 처리하는 조직의 전반적인 책임을 설명하고 확장한다. 실제로, ‘책임성’이 의미하는 것을 이해하는 것이 중요하다. 왜냐하면 다른 상황에서는 다른 것을 의미할 수 있기 때문이다. 그러나 현재의 목적을 위해서는 조직이 데이터 보호 프레임워크 준수 여부를 보여주고 입증하기 위해 준수해야 하는 다양한 의무라고 설명된다.

그러나 책임성은 데이터 보호 영역에서 완전히 새로운 개념이 아니다. 책임성은 1980년 OECD 개인정보 보호 및 개인정보의 흐름에 관한 지침(‘OECD 가이드라인’)의 영향력 있는 텍스트에서 처음 설명되었다.

이것은 또한 원래 데이터 보호 지침(‘Directive’)에서도 다루었다. Directive는 ‘책임성’을 명시적으로 언급하지는 않았지만 그럼에도 불구하고 책임성 원칙을 지지하는 문제를 다루었다. 이러한 문제에는 예를 들어, 조직이 국가 데이터 보호 당국(DPA)에 의도된 처리 활동을 등록하거나 통보해야 한다는 요구 사항이 포함된다.

오늘날의 데이터 보호 환경에서 책임성이 왜 중요한지 이해하는 것도 중요하다. 지난 20년 동안 조직에서 비즈니스와 운영에 데이터 보호 기능을 더 잘 구현할 수 있는 방법에 대해 많은 논의와 토론이 있었으며, GDPR은 그 결과를 달성하기 위한 것이라고 할 것이다.

규제 기관과 입법 기관은 단순히 ‘틱 박스(tick-box)’ 실행 그 이상을 요구한다. 그들은 회사의 DNA 내에서 데이터 보호 문화를 개발하고 내재화한 것을 보여주기 위해 그러한 회사를 찾고 있다. 단순히 정책 및 절차를 구현하거나 등록 양식을 작성하고 제출하는 것만으로는 더 이상 필수적인 데이터 보호 자격 증명을 설정하기에 충분하지 않다. 아래에서 볼 수 있듯이, 취해야 할 접근 방식은 그보다 더 많을 것을 고려해야 할 것이다.

GDPR이 발효되었기 때문에 DPA는 앞으로 회사가 책임성 원칙을 관리하는 방법에 대해보다 자세히 설명해야 한다. 사실, 일부 규제 당국은 책임성에 보다 적극적으로 접근할 수 있다. 예를 들어, 프랑스의 데이터 보호 당국인 CNIL은 ‘Privacy Governance Procedures’(the Standard)에 대한 구체적인 요구 사항을 설정하는 표준을 공표했다.

이는 25가지 별도 요구 사항으로 나뉜다. 여기에는 효과적인 데이터 보호 거버넌스 프로그램의 일환으로 CNIL이 필요하다고 생각하는 다양한 단계를 개괄적으로 설명되어 있다. 이러한 단계에는 내부 및 외부 개인정보 보호 정책, 회사의 데이터 보호 책임자(DPO)의 임명 및 지위, 데이터 보호 감사 및 데이터 주체 액세스 요청 및 데이터 침해 처리가 포함된다.

새로운 Standard를 준수하고 있음을 입증할 수 있는 회사는 CNIL의 ‘privacy seal’을 얻을 수 있다. Standard는 새로운 GDPR에 따라 책임성 프로그램을 작성하기 위한 준비 과정에서 고려하고 포함하고자 하는 것과 관련하여 회사에 도움이 되는 지원을 제공한다.

다음은 새로운 책임성 제도의 실제적 함의와, 해당 제도의 준수를 보장하기 위해 고려해야 할 핵심 단계에 대한 설명과 관련하여 가용한 가이드에 근거한 논의이다.

* 컨트롤러의 책임

‘책임성’ 요구 사항은 처음으로 GDPR 제5조에 소개되었다. 특히 제5조 (1)항은 개인정보 처리와 관련하여 친숙한 6가지 원칙을 열거한다.

이러한 원칙은 개인 데이터의 적절한 취급 및 처리를 위해 데이터 컨트롤러에 부과된 다양한 의무를 오랫동안 다뤄왔다.

그러나 제5조 (2)항은 GDPR에 새로 추가된 내용이다. 특히 데이터 컨트롤러가 제5조 (1)항에 요약된 6가지 원칙을 준수할 책임이 있을 뿐만 아니라, 데이터 컨트롤러가 6가지 원칙을 준수하는지를 입증할 수 있어야 한다는 점도 특히 중요하다.

제24조 (1)항은 책임 의무를 추가로 규정하고 데이터 컨트롤러가 ‘데이터 처리가 GDPR에 따라 수행되었음을 보장하고 또한 입증하기 위한 적절한 기술적 및 조직적 조치를 이행하며, 필요한 경우 해당 조치를 검토하고 업데이트’하도록 요구한다. 이러한 조치는 처리의 성격, 범위, 배경 및 목적과 개인의 권리와 자유에 대한 위험을 고려해야 한다. 관련 처리로 인해 개인의 권리에 대한 위험이 높아질 경우, 데이터 컨트롤러는 위험으로부터 보호하기 위해 더 큰 조치를 취해야 한다.

Recital 75는 이 요구 사항의 맥락에서 고위험 처리의 몇 가지 예를 유용하게 제공한다. 그러한 예에는 다음을 초래하는 처리가 포함된다. (1) 차별; (2) 신분 도용, 사기 또는 재정적 손실; (3) 평판에 대한 손상; (4) 직업상 비밀로 보호되는 개인정보의 기밀성 손실; (5) 허가 받지 않은 가명의 폭로; (6) 기타 중대한 경제적 또는 사회적 불이익; (7) 개인의 권리와 자유를 박탈하거나 개인 데이터에 대한 제어권 행사를 방해할 수 있는 처리; 또는 (8) 특수한 범주의 개인정보, 아동의 개인정보 또는 범죄 유죄 판결과 관련된 개인정보의 처리.

제24조 (2)항은 데이터 컨트롤러가 ‘적절한 데이터 보호 정책’을 구현해야 한다는 요구 사항을 도입한다. 그러나 앞에서 언급했듯이 정책을 단순히 구현하는 것만으로는 규정을 준수하기에 충분하지 않다. 위의 사항을 염두에 두고, 데이터 컨트롤러가 이 요구 사항을 준수하기 위해 내부 정책, 책임의 내부 할당, 그리고 교육의 3가지 주요 영역을 고려해야 한다.

* 내부 정책

데이터 컨트롤러의 법적 준수의 핵심은 내부 데이터 보호 정책이며, 이는 개인 데이터의 처리 및 취급에 대한 조치의 기본 윤곽을 설명한다. 그러나 정책은 단순히 제5조 (1)항에서 6가지 원칙을 반복해서는 안 된다. 정책이 다루어야 할 더 광범위한 핵심 사안이 있다. 다음은 그 중 일부의 목록이다.

* 책임의 내부 할당

데이터 컨트롤러는 DPA에게 다양한 데이터 보호 관리 리소스에 대한 정보를 보여주고 제공할 수 있어야 한다. 컨트롤러는 또한 내부 규정 준수를 보장하기 위해 내부 데이터 보호 프레임워크에 대한 주요 책임을 져야 한다.

내부 책임 분담은 DPA의 감독을 용이하게 하고, 데이터 주체가 권리를 행사할 수 있게 하고, 정기적으로 정책, 절차 및 프로세스를 업데이트할 수 있게 해야 한다. 책임 할당 시, 회사/데이터 컨트롤러는 데이터 보호 프레임워크 내에서 규정 준수를 감독할 책임이 있는 개인정보 관리 팀 또는 협의회를 만들 수 있다. 개인정보 보호 팀 또는 협의회는 비즈니스 기능 영역 또는 비즈니스 핵심 이해 관계자의 대표로 구성된다.

대안으로 또는 동시에, 개인은 데이터 보호 프레임워크에 대한 일차적 책임을 지기 위해 임명될 수 있다.

* 내부 교육 프로그램

데이터 컨트롤러는 법적 데이터 보호 의무 및 정책 요구 사항을 처리하고 직원에게 알리기 위해 고안된 일련의 내부 교육 프로그램을 작성해야 한다. 교육 모듈에는 정보 보안 및 보존/삭제 절차(위에서 설명한 바와 같이)와 같은 관련 정책도 포함될 수 있다.

교육 프로그램이 유연하게 제공되는 것이 중요하다. 데이터 컨트롤러는 비즈니스 및 운영, 다양한 직원의 역할 및 책임을 고려하여 빈도 및 형식 측면에서 교육 프로그램을 조정해야 한다.

마지막으로, 책임을 설명하는 과정에서 컨트롤러는 교육 프로그램의 시작 및 완료율을 기록하고 모니터링해야 한다.

회사는 직원에게 개인정보 보호 의무를 상기시키기 위해 정기적인 메시지와 업데이트를 작성하고 제공해야 한다. 직원이 개인 데이터 처리와 관련하여 자신의 의무와 책임을 명확히 하기 위한 절차가 수립되어야 한다.

실용적인 측면에서, 회사는 예를 들어, 향후 연구를 위한 모든 관련 정책 및 리소스에 연결되는 링크와 함께, 내부 인트라넷에 FAQ를 만드는 것을 고려할 수 있다.

* 디자인과 기본값에 의한 데이터 보호

디자인과 기본값에 의한 데이터 보호(privacy by design and default)는 GDPR 하에 추가된 새로운 요구 사항이며, 이는 데이터 컨트롤러가 그들의 개인 데이터를 처리함에 있어서 개인의 권리와 자유를 보호하는 데 전반적인 접근 방식의 일부로 구현해야 하는 또 다른 ‘기술적 및 조직적 조치’로 설명할 수 있다. 여기에는 모든 필요한 안전 조치를 처리 활동에 통합하는 것도 포함된다.

Privacy by design

온타리오주(Ontario)의 정보 및 개인정보 보호 책임자였던 앤 카보키안(Ann Cavoukian)은 디자인 컨셉으로 프라이버시를 개발하는 선도적인 역할을 수행하여 privacy by design 기본 7원칙을 수립했다. 또한 원칙들은 새로운 시스템 및 기술의 설계 사양에 데이터 보호를 포함시키는 접근 방식을 옹호한다.

유럽에서 일부 DPA는 GDPR에 포함되기 전에 privacy by design 원칙을 주장했다. 예를 들어, 영국에서는 정보 위원회(ICO)가 새로운 프로젝트에 대해 privacy-by-design 접근 방식을 취하는 회사를 지원했다. 전략적으로 이는 신제품, 서비스 또는 기술 개발 초기부터 개인정보 보호 및 데이터 보호 준수를 촉진하고 개인정보 위험을 줄이는 데 도움이 되었다. ICO는 또한 이 접근법이 회사가 법령에 따른 의무를 준수하도록 돕는다는 것을 인지한다.

그러나 privacy by design은 새로운 개발의 계획 및 실행 단계에만 적용되지 않는다. 논리적으로, 회사가 처리하는 개인 데이터의 전체 수명 주기를 효과적으로 처리할 수 ​​있도록 이러한 개발의 지속적인 운영 및 관리를 해야 한다.

제품 설계 단계의 회사가 제25조에 따라 의무를 이행하기 위해서는, 설계 및 개발 책임자는 관리 및 이행 능력이 내장된 제품을 만들어야 하고/하거나 GDPR에 따라 데이터 컨트롤러가 모든 데이터 보호 의무를 관리하고 이행할 수 있도록 해야 한다.

실제로, 이는 IT 부서와 같이 시스템 또는 프로세스 개발의 전체 수명 주기 동안 데이터 보호를 고려해야 하는 회사 내의 여러 영역에 영향을 미친다.

Privacy by default

GDPR은 또한 ‘privacy by default’ 의무를 명시한다. 이것은 적절한 기술적 및 조직적 조치를 구현할 기업들이, 기본적으로, 처리의 각 특정 목적에 필요한 개인 데이터만 처리되도록 보장하는 것을 요구한다.

이 요구 사항은 회사가 수집하는 개인 데이터의 양을 제한하거나 최소화하는 것뿐만 아니라 처리 범위에 대해 더 많은 제어 권한을 행사해야 한다는 것을 의미한다.

또한 저장 기간은, ‘기본적으로’, 회사가 의도하고 명시한 목적에 필요한 범위 내에서만 개인 데이터를 처리해야 함을 의미한다. 그러한 목적을 위해 필요한 것보다 오랫동안 데이터를 저장해서는 안 된다. 개인 데이터는 기본적으로 제품 또는 서비스를 제공하는 데 필요한 시간 동안만 보관해야 한다.

과도한 개인 데이터가 처리되지 않고 필요할 때까지만 보존된다는 요구 사항과 관련하여 원래 Directive에 요구 사항이 포함되어 있는 반면, GDPR에는 이 요구 사항을 충족시키기 위해 마련된 적절한 기술적 및 조직적 조치를 구현할 명시적 의무가 포함되어 있다. 실제로 이는 고객이 새로운 제품이나 서비스를 구매하면 가장 엄격한 개인정보 설정이 자동으로 적용됨을 의미할 수 있다. 위에서 설명한 것처럼 privacy by design 개념은 일정 기간 존재했으며 일부 회사는 이미 현재 작업에 개념을 통합했을 수 있다. 개념이 GDPR에서 구체적인 인정을 받았으므로, 준수하지 않으면 DPA의 집행 조치가 발생할 수 있다.

*기업의 GDPR 준수 방법

Privacy by Design과 Privacy by Default 원칙은 새로운 제품, 서비스 또는 시스템의 기술 개발의 필수적인 부분이 되어, 처음부터 개인정보 보호가 핵심 고려 사항이 된다는 점은 분명하다.

그러나 불행히도 GDPR은 회사가 이러한 의무를 준수하기 위해 취해야할 기술적인 단계를 명시하지는 않는다.

미래에 데이터 컨트롤러가 새로 생성된 유럽 데이터 보호 이사회(European Data Protection Board)가 승인한 인증 메커니즘에 따라 인증을 받음으로써 이러한 의무를 준수할 수 있게 될 가능성이 있다. 제25조는 GDPR 제42조에 따라 승인된 인증 메커니즘이 준수를 입증하는 요소로 사용될 수 있다고 규정하고 있다. 그러나 이 글을 쓰는 시점에서 이러한 인증 메커니즘은 이론적으로만 남아 있다.

최소한 제25조에 의해 예상되는 적절한 기술적 및 조직적 조치를 이행할 때 데이터 컨트롤러는, 자연인의 권리와 자유에 대한 다양한 가능성과 심각성에 대한 위험도는 물론, ‘최첨단 기술 수준, 구현 비용 및 처리의 성격, 범위, 배경 및 목적을 포함하는’ 추가 요소를 고려해야 한다.

취할 수 있는 기술적 조치 유형은 다음과 같다. (1) 처리되는 개인 데이터의 양 최소화, (2) 가명화(pseudonymisation), (3) 개인이 자신의 개인 데이터를 보다 잘 제어하고 처리 대상에 대한 가시성을 부여하는 조치를 할 수 있다. 다른 방법으로는 보유한 개인정보에 적절한 보안 표준을 적용하는 방법도 있다.

제25조의 준수를 보장하기 위해 회사는 데이터 처리 시스템 및 운영을 신중하게 검토하고 평가하여 다음 사항을 결정해야 한다.

문서화 및 규제 기관과의 협력, 데이터 보호 영향 평가에 대해서는 이어지는 기사에서 상세히 설명할 예정이다. GDPR의 책임성 요구사항(2)(바로가기)