[EU의 데이터 보호] 14. GDPR의 감독과 집행(2)

지난 기사에 이어 GDPR의 감독과 집행에 대해 설명하고자 한다.

GDPR의 감독과 집행(1) (바로가기)

갑작스런 규제 조치로부터 컨트롤러 및 프로세서 보호

Safe Harbor 소송은 규제 당국도 일을 잘못할 수 있음을 보여주며, 위의 제78조 (1)항의 분석과 관련하여 본 것처럼, DPA의 결정에 영향을 받는 자연인 및 법인은 그들이 입장을 보호하기 위해 법적 절차를 취할 수 있다. 제78조 (1)항은 규제 조치에 대한 안전 조치 조항인 제58조 (4)항에 의해 뒷받침된다.

전문적 비밀

제54조 (2)항은 DPA와 직원이 접근할 수 있는 기밀 정보에 대한 전문적 기밀 보호 의무를 부과한다.

권한 및 국제 협력

문제를 조화롭게 해결하기 위해서 누가 감독 및 집행 활동에 종사할 합법적 권한을 가졌느냐는 중요한 문제이다. 경쟁법이 있는 경우 어떤 규제 기관이 규제 업무를 담당해야 하는지를, GDPR은 권한, 협력 및 일관성에 관한 규칙을 통해 해결한다.

DPA의 회원국에 설립된 컨트롤러 및 프로세서에 대한 규제 권한

제55조의 출발점은 각 DPA가 자체 회원국의 영토 내에서 행동할 능력이 있어야 한다는 것이다. 이때 DPA가 통제할 수 있는 컨트롤러와 프로세서와 관련하여, 사업장의 지역이 중요하다. DPA는 해당 지역에 설립된 컨트롤러와 프로세서를 규제할 수 있지만, 컨트롤러 또는 프로세서가 여러 지역에 설립되거나 국경 간 처리가 이루어지는 경우에는 더욱 복잡해진다. 이 경우 ‘주관청’에 권한이 있다.

국경 간 처리에 대한 규제 권한

컨트롤러 또는 프로세서가 여러 지역에 설립된 경우, 규제 권한 문제는 ‘주 사업장’의 위치에 달려 있다. 주 사업장의 개념은 제4조 (16)항에 정의되어 있으며 개인정보 처리를 위한 의사결정이 어디에서 이루어지는지에 초점을 맞추고 있다. 일반적으로 컨트롤러 또는 프로세서의 ‘중앙 관리’에 있지만, 다른 위치에서 데이터 처리 방법에 대한 결정을 수행할 수 있는 권한이 있는 경우, 주 사업장이 그 위치로 변경된다.

제56조 (1)항에 따라, 주관청은 국경 간 처리의 상황을 규제하도록 요구될 것이다. 국경 간 처리는 다국적 기업에만 국한되지 않는다. 그러나 제56조 (1)항이 주요 또는 단일 사업장에 대한 언급을 통해 명백해짐에 따라, 한 국가에서만 설립된 단체도 다른 국가의 사람들에게 재화와 용역을 제공하는 등의 국경 간 처리에 참여할 수 있다.

제56조 (1)항은 제56조 (6)항에 의해 강화되며, 국경 간 처리의 ‘유일한 교섭상대’(interlocutor)로서 주관청을 지정한다.

제56조 (2)항은 민원이 자국 영토에만 관련된 경우 또는 영토 내에서만 개인에게 실질적으로 영향을 미치는 경우에, 비주관청이 국경을 넘어서는 상황에서 조치를 취할 수 있게 한다. 이러한 성격의 경우, 권한을 주장하는 DPA는 제56조 (3)항에 명시된 바와 같이 권한의 다툼을 촉발하거나 촉발하지 않을지도 모르는 주관청에 통보해야 한다. 만약 주관청이 다른 DPA의 권한 주장을 거부하고 그 문제 자체를 해결하기로 결정한 경우, 제60조의 절차를 따라야 한다. 만약 주관청이 다른 DPA의 권한 주장을 수락하면, 다른 DPA는 상호 지원 및 공동운영에 대해 제61조와 제62조의 규정에 따라 진행할 수 있다.

다국적 및 국경 간 역량에 관한 권한에 관한 분쟁과 도전은 개인이 DPA 중 하나에 불만을 제기한 후에 발생할 가능성이 가장 크다. 앞에서 설명한 바와 같이, 제77조 (1)항은 개인에게 불만 사항을 제기할 수 있는 선택권을 부여한다. 개인은 상시 거주하는 회원국의 DPA 또는 직장이 있는 회원국의 DPA(만약에 다르다면), 또는 침해 혐의가 발생한 곳의 DPA(만약에 다르다면)에게 불만을 제기할 수 있다. 만약 비주관청에 불만이 제기된 경우, 제56조의 절차가 촉발되어야 하고, 차례로 제60조의 절차가 촉발되어야 한다.

주관청—협력 달성 및 분쟁 해결

요약하자면, 주관청 규칙은 국경 간 처리에만 관련된다. 국경 간 처리가 수행되지 않으면 주관청 규칙이 적용되지 않는다. 주관청 규칙이 적용되는 경우, 제60조의 협력 절차가 적용된다. 협력 절차는 제61조와 제62조의 상호 원조 및 공동운영 규칙을 포함하며 일반적으로 상호 원조 또는 공동운영에 대한 요청으로 시작되지만, 위에 논의된 바와 같이 비선임 DPA 권한을 주장하는 것으로 시작될 수 있다.

협력 절차의 본질은 주관청이 다른 관련 DPA에게 결정 초안을 제공하는 것인데, 이는 다른 DPA로부터의 ‘이유 있는 반대’ 또는 단순히 결정 초안에 대한 동의를 촉발시킬 수 있다(제60조 (3)항 및 (4)항 참조). 이유 있는 반대가 있는 경우, 주관청은 반대 의견을 수락하거나 거부할 수 있다(제60조 (4)항 및 (5)항 참조). 이의 제기를 수락하면 개정안 초안을 발표해야 한다(제60조 (5)항 참조). 다른 DPA는 수정된 결정을 수락하거나 다른 이의 제기를 할 수 있다. 그들이 또 다른 이의 제기를 한다면, 또 다른 결정 초안이 있을 것이며, 이 과정은 교착 상태가 해소될 때까지 계속될 것이다(이것은 EDPB에 의뢰하여 할 수 있다). 이의 제기가 접수되었지만 거절된 경우, 주관청은(나중에 더 깊이 다루어질) 일관성 메커니즘을 준수해야 한다(제60조 (4)항 참조). 이의 제기가 없으면(1차 결정 초안 단계 또는 이후), 주관청과 다른 DPA는 합의된 것으로 간주되고 결정 초안은 구속력을 갖는다(제60조 (6)항 참조). 제60조에는 이러한 모든 주요 사건에 대한 시간표 및 절차가 포함되어 있다.

결정 초안이 수락된 것으로 간주되는 경우, 주관청은 이를 채택하고 주 사업장 또는 단일 사업장의 컨트롤러 또는 프로세서에게 해당 문제에 관련된 다른 DPA와 EDPB(제60조 (7)항 참조)에게 통보해야 한다. 의사결정 과정을 촉발시킨 불만 사항이 비주관청을 통해 개인으로부터 제기된 경우 해당 당국은 신고자에게 결과를 통보해야 한다. 그런 다음 부담은 준수 이행 결정에 대한 주체가 되는 컨트롤러 또는 프로세서로 옮겨 가며, 여기에는 이를 달성하는 방법에 대해 주관청에 보고하는 것이 포함된다(제60조 (10)항 참조).

제60조 (9)항은 주관청 및 다른 DPA가 불만의 일부를 수락하거나 기각하는 것에 동의하는 상황에 대한 규정을 제정한다. 이러한 상황에서는 별도의 초안 결정이 필요하다.

상호 지원 및 공동운영

제61조와 제62조는 DPA 간의 상호 지원 및 공동운영에 관한 것이다. 상호 지원 규칙의 본질은 정보의 협력과 교환을 요구하는 제61조 (1)항에 포함되어 있다. 제61조 (1)항은 DPA에게 부당한 지체 없이(1개월까지) 지원을 제공하기 위한 적절한 조치를 취할 것을 요구한다. 이러한 요청은 요청받는 DPA가 요청의 성격과 목적을 이해할 수 있도록 필요한 정보로 지원되어야 한다. 요청받는 DPA는 지원을 제공하는 권한과 불법을 피할 필요성에 관한 제61조 (4)항의 아주 제한된 예외를 제외하고는 준수해야 한다. 그러나 요청받는 DPA가 1개월 이내에 지원을 제공하지 않으면, 요청하는 DPA는 잠정 조치를 채택할 수 있으며, 이는 결국 긴급 절차를 촉발한다(뒷부분에 논의 함).

제62조의 공동운영 규정은 모든 관련 DPA가 감독 및 집행 업무에 적절히 대표되도록 보장하기 위해 제정되었다. 컨트롤러 및 프로세서가 여러 지역에 설립되거나 처리 활동이 다수의 지역에 있는 상당수의 개인에게 실질적으로 영향을 미치는 경우, 모든 관련 DPA는 공동운영에 참여할 권리가 있다. 의무는 모든 다른 DPA에 참여하도록 초청하는 권한 있는 당국에 달려 있다.

일관성 메커니즘 및 유럽 데이터 보호위원회

EDPB는 일관성 메커니즘의 핵심이며, 제68조에 의해 설립된 제29조 작업반(WP29)의 계승자이다. 위원장, DPA 위원장 및 유럽 데이터 보호 감독자로 구성되며, 집행위원회는 회의에 대의원을 파견할 자격이 있다. EDPB는 독자적으로 행동해야 한다는 요구 사항(제69조 참조)과 매우 긴 작업 목록(제70조 참조)의 적용을 받는다.

EDPB의 의견

제64조는 여러 회원국에 영향을 주는 제안된 행동 강령의 채택, 강령 모니터링 기관 및 인증 기관의 인정 기준, DPA가 승인한 계약 조항 및 BCR 인증(제64조 (1) 참조)에 대해 DPIA가 요구될 때, DPIA가 EDPB가 환경 목록에 대한 의견을 발행하도록 요구한다. 이러한 의견들은 DPA가 초기 작업(DPIA 목록에 대한 규칙 등, DPA가 EDPB에 의견을 제출하기 위해 결정을 내릴 것을 요구한 후)을 한 이후에 제공될 것이라고 앞서 논의된 것으로 기억될 것이다.

또한 DPA, EDPB 위원장 또는 집행위원회는 여러 회원국에서 일반적인 적용 또는 효과를 창출하는 문제에 대한 의견을 요청할 수 있다(제64조 (2)항 참조). 이러한 의견의 산출은 시간표가 있는 절차의 적용을 받는다(제64조 (3)항 참조).

EDPB에 의한 분쟁 해결

일관성 메커니즘의 핵심 부분은 제65조에 포함된 분쟁 해결 절차이다. 이는 주관청이 국경 간 처리에 관한 결정 초안에 대한 이유 있는 반대를 거절할 때마다(제60조와 주관청에 관한 상기 논의 참조), DPA 간에 누가 주사업장을 규제하는 권한이 있는지, 또는 DPIA 리스트, 행동 강령 및 EDPB에 대한 국제 이전 매커니즘에 대한 결정을 회부하는 데 DPA가 실패했을 때마다, 촉발된다. 분쟁 해결 절차의 결과는 구속력 있는 결정의 채택이다. 다시 말하면, EDPB에는 구속력 있는 결정을 채택하기 위한 시간표와 절차가 있다(제65조 (2)항 참조).

분쟁 해결 절차가 국경 간 처리와 관련된 불만에 관한 결정 초안과 관련된 경우, 불만을 접수한 주관청 또는 다른 DPA는, 경우에 따라, 구속력 있는 결정 기반의 최종 결정을 채택하도록 요구된다. 다시 언급하지만, 분쟁 해결에는 시간표와 절차가 있다(제65조 (1)항 참조).

긴급 절차

때로 DPA가 개인의 권리와 자유를 보호하기 위해 긴급 조치를 취해야 한다는 예외적인 상황이 있을 수 있다. 긴박한 경우라면, 제60조의 협조 절차나 일관성 메커니즘을 추구하기에 충분한 시간이 없을 수도 있다. 이러한 상황에서 제66조는 DPA가 자국 영역에서 법적 효력을 발생시키기 위한 잠정 조치를 즉각적으로 채택하도록 허용한다. 이러한 잠정 조치는 3개월 이내이며, 채택될 때마다 그 문제와 관련된 다른 DPA, EDPB 및 집행위원회에 대해서 합당한 근거를 기반으로 DPA에 의해 회부되어야 한다.

3개월이 끝날 때, DPA가 최종 조치를 긴급히 채택할 필요가 없다고 판단하지 않는 한, 임시 조치는 사라질 것이며, 이 경우 긴급 의견이나 긴급한 구속력 있는 결정을 EDPB에 요청할 수 있으며, 그 절차는 제64조 또는 제65조로 귀결된다.

제재 및 처벌

GDPR의 가장 인상적인 혁신은 제83조에 포함된 행정 벌금 제도이다. 위반 행위의 성격과 추진되는 기업의 상태에 따라 벌금은 정해진 재정 상한까지 부과될 수 있다. 최대 1,000만 유로, 경우에 따라, 또는 다른 경우에서는 2,000만 유로까지이며, 전 세계 매출의 최대(2% 또는 4%) 비율이다. 아래 표는 적용되는 방식이다.

벌금 부과 전에 고려해야 할 요소

모든 벌금은 ‘효과적이고, 비례적이며, 제지하는’ 것이어야 하며, 제58조에 따른 DPA의 조사 및 시정 권한의 행사와 관련하여 부과될 수 있다. 이는 심각한 GDPR 위반은 다중으로 대응될 수 있음을 의미한다. 그러나, 컨트롤러 또는 프로세서가 GDPR의 다양한 요구 조건을 위반하는 경우, 벌금의 총합은 가장 심각한 위반에 대한 금액을 초과할 수 없다. 이것은 각 위반에는 할당된 특정 분량이 필요하다는 것을 의미한다.(제83조 (3)항 참조).

벌금이 부과되거나 분량이 결정되기 전에, DPA는 제83조 (2)항에 열거된 요소들을 고려할 필요가 있다.

사업체 및 비영리 단체에 대한 최대 벌금

제83조 (4)항은 DPA가 최고 1,000만 유로 또는 벌금을 선고한 회계 연도의 전년도 연간 매출액의 2%에 해당하는 벌금 중 높은 금액으로 부과할 수 있게 한다. 제83조 (5)항은 이 기준치를 2,000만 유로와 4%로 인상한다. 따라서 컨트롤러 또는 프로세서의 최대 책임을 이해하려면 해당 작업이 사업체인지 아닌지 여부를 확인해야 한다. 이것은 그렇게 어려운 확인이 필요하지는 않다. 유럽법에 의해 사업체는 상업 활동에 종사하는 기업으로 정의되었다. 그러므로 공공 당국은 기업이 아니며 비법인 협회도 아니어야 한다.

그러나 제83조 (8)항은 모호함을 추가하고 있다. 회원국은 자신의 영토에 설립된 공공 기관 및 단체에 벌금이 부과될 수 있는지 여부와 그 벌금에 어느 정도 부과될 수 있는지에 관한 규정을 제정할 수 있다고 말하고 있고, 이는 공공 당국이 벌금 제도에서 벗어날 수 있음을 시사한다.

사업체의 최대 벌금

기업이 전 세계 연간 매출액의 2~4%의 벌금에 노출되어 있거나 그룹의 일원이라고 가정할 때 전 세계 연간 매출액을 기준으로 벌금에 노출되어 있는지 여부를 결정하기 위해서, 제83조 (4)항과 (5)항은 단일 독립체를 의미하는 ‘사업체’에 관해 논의한다. 그들은 사업체 그룹에 관해서 이야기하지 않는다. 그러나 제47조의 BCR 제도는 제4조의 정의된 용어인 사업체 그룹에 관해 논의한다.

이러한 점을 종합해 볼 때, 회사 그룹의 구성원인 회사는 그룹 매출의 일정 비율보다는 개별 매출액의 최대 비율까지만 벌금을 부과할 수 있다(백분율 값이 1,000만 또는 2,000만보다 높다고 가정할 때). 하지만 대기업의 경우 성격이 전혀 다른 사업을 영위하는 경우가 있는데, 이 경우 사업부문별 매출로 구분하여 벌금이 부과될 것인지는 논란의 여지가 있다.

법 집행 데이터 보호 지침

GDPR에는 공공 부문의 법 집행 단체의 활동을 다루는 법 집행 데이터 보호 지침(LEDP Directive, Law Enforcement Data Protection Directive 2016/680)이 수반된다. 그것은 주관청 개념(및 관련 협력과 일관성 메커니즘)과 재정적 처벌이 없는 것을 제외하고는 동일한 감독 및 시행 체제를 포함한다.

GDPR 감독 및 집행 핵심 조항

아래는 GDPR 조항 중 구제 감독 및 이의 집행에 관련된 핵심 조항들이다.

맺음말

GDPR은 대부분의 조직에 위협이 될 수 있는 제재를 발효하는 능력을 포함하여 EU의 규제 당국에 중요한 새로운 권한을 부여한다. 영국의 ICO를 제외하고 대부분의 회원국에서 DPA에 의해 촉발된 집행 조치는 상대적으로 드문 반면, GDPR에 의해 부여된 강화된 권한이 DPA로 하여금 증가된 조치를 하도록 하였다. 그에 따라 많은 DPA는 GDPR 발효 이후에 인력과 자금을 요구했지만, 각 회원국들이 DPA에 부여한 자원에 대해서는 아직 파악된 바가 없는 상황이다. 국내에서 GDPR관련 모든 감독 및 집행 사항을 다 모니터링 할 필요는 없지만, 우수 사례 정도를 참고할 필요는 있을 것이다.