제3자와 개인 정보를 공유할 때 알아야 할 GDPR 관련 7가지 위험 요소는 무엇일까요?

GDPR에 따라 개인 데이터를 공유하려면 제6조에 따른 법적 근거가 있어야 하고, 수신자가 데이터 처리자인지 데이터 관리자인지 서면으로 확정해야 하며, 관련 당사자에게 공유 사실을 알려야 합니다. 이 세 가지 조건은 대부분의 문제를 해결해 줍니다. 주요 예외 사항은 유럽 경제 지역(EEA) 외부로의 데이터 전송과 고위험 데이터 처리이며, 이러한 경우에는 추가적인 요건이 적용됩니다.

네덜란드에서는 네덜란드 개인정보보호청( Autoriteit Persoonsgegevens , AP)이 GDPR과 시행법( Uitvoeringswet AVG , UAVG)을 시행합니다. 개인 데이터는 클라우드 서비스 제공업체, 급여 대행업체, 마케팅 대행사, 채권 추심 회사, 해외 계열사 등 조직 경계를 넘나들며 끊임없이 이동합니다. 이러한 각각의 데이터 이동은 개별적인 처리 작업이며, 각각에 대한 정당성이 요구됩니다. 아래에서는 실무에서 빈번하게 발생하는 7가지 위험 요소와 관련된 규정, 그리고 AP 또는 제3자가 문제를 제기하기 전에 취할 수 있는 조치를 설명합니다.

위험 요소 1: 유효한 법적 근거 없이 데이터를 공유하고 있습니까?

개인 정보 공개는 모두 GDPR 제6조(1)항에 명시된 6가지 법적 근거 중 하나를 충족해야 합니다. 상업적 이유는 그 중 하나가 아닙니다.

6가지 근거는 동의, 계약 이행, 법적 의무, 생명의 이익, 공공의 임무 및 정당한 이익 등 포괄적입니다. 제5조(1)(a)항은 처리가 항상 적법하고 공정하며 투명해야 한다고 명시하고 있습니다. 서류상으로는 존재하지만 누구에게도 설명되지 않은 근거는 여전히 공백을 남깁니다.

정당한 이익은 왜 함정일까요?

정당한 이익은 파트너 및 공급업체와 정보를 공유하는 데 가장 흔히 사용되는 근거이지만, 동시에 가장 잘못 사용되는 근거이기도 합니다. 정당한 이익을 위해서는 세 단계의 검증이 필요합니다.

• 이해관계는 정당해야 합니다.
• 나눔은 그것을 실현하는 데 필수적이어야 합니다.
• 해당 이익은 관련 당사자의 권리와 자유에 의해 침해되어서는 안 됩니다.

공유를 시작하기 전에 이 균형 테스트를 수행하고 기록해야 합니다. GDPR 제5조(2)항은 준수 입증 책임을 데이터 관리자에게 부여합니다(책임). 불만 접수 후에 작성된 정당한 이익 평가서는 거의 효력이 없습니다.

동의 및 목적 제한은 어떻게 적용되나요?

두 가지 함정을 더 짚어볼 필요가 있습니다. 고용 관계에서의 동의는 권력 불균형으로 인해 자유로운 의사에 의한 것이 아니기 때문에 유효한 경우가 드뭅니다. 데이터 공유를 위해 동의에 의존하는 고용주는 사실상 아무것도 의존하지 않는 것과 마찬가지입니다.

제5조(1)(b)항에 따른 목적 제한은 최초 수집뿐 아니라 공유에도 똑같이 적용됩니다. 서비스를 제공하기 위해 수집된 데이터를 단순히 상업적 논리가 매력적이라는 이유만으로 마케팅 목적으로 파트너에게 전달할 수는 없습니다. 새로운 목적이 원래 목적과 양립할 수 없는 경우에는 새로운 근거가 필요합니다.

조치 사항: 개인 데이터가 조직 외부로 유출되기 전에, 유출 근거를 파악하고 기록해 두십시오. 또한 개인정보 처리방침에 해당 공유 내용이 명시되어 있는지 확인하십시오. 정당한 이익이 근거인 경우, 관련 평가 내용을 파일에 기록해 두어야 합니다. 동의가 근거인 경우, 해당 동의는 자유롭고 구체적이며 충분한 정보를 바탕으로 명확하게 이루어져야 하며, 동의를 철회하는 것만큼 쉬워야 합니다.

위험 요소 2: 컨트롤러와 프로세서 역할을 잘못 설정했을 가능성이 있습니다.

컨트롤러는 처리의 목적과 수단을 결정하고, 프로세서는 컨트롤러의 문서화된 지시에 따라서만 행동합니다(GDPR 제4조(7)항 및 (8)항). 중요한 것은 계약서에 당사자의 명칭이 무엇이라고 되어 있느냐가 아니라 누가 실제로 결정하느냐입니다.

잘못된 분류는 아무도 수행하지 않는 의무를 만들어냅니다. 흔한 오류는 모든 공급업체를 처리업체로 분류하는 것입니다. 그러나 다음 중 어느 것도 단순히 지시에 따라서만 행동하는 것은 아닙니다.

• 고객 데이터를 활용하여 자사 제품을 개선하는 SaaS 제공업체;
• 전문적인 규칙에 구속되는 회계사;
• 은행이 결제를 실행하는 것;
• 자체적으로 잠재고객 프로필을 구축하는 광고 플랫폼.

각 조직은 적어도 일부 처리 과정에 대해서는 자체적인 데이터 관리자입니다. 두 조직이 공동으로 목적과 수단을 결정하는 경우, GDPR 제26조에 따라 공동 데이터 관리자가 됩니다. 이들은 각자의 책임을 명확히 규정한 협약을 체결해야 하며, 해당 협약의 핵심 내용은 관련 당사자에게 공개되어야 합니다.

유럽사법재판소는 공동 통제를 어느 정도 폭넓게 정의하는가?

대략적으로 말하자면, 패션 ID 사건(C-40/17) 에서 유럽사법재판소는 제3자 소셜 플러그인을 웹사이트에 삽입한 웹사이트 운영자가 방문자 데이터의 수집 및 전송에 대한 공동 데이터 관리자라고 판결했습니다. 이는 해당 운영자가 이후 데이터에 접근할 수 없었고, 그 이후의 처리 과정에 대해 결정권을 갖고 있지 않았더라도 마찬가지입니다. 목적에 대한 부분적인 영향력만으로도 충분합니다. 실질적인 결과는 공동 책임으로 이어집니다. 즉, 자신이 야기하지 않았고 인지하지도 못했던 데이터 유출에 대해서도 책임을 져야 할 수 있습니다.

수행 방법: 먼저 데이터 흐름을 파악하고 각 흐름에 대해 데이터 처리 이유와 방법을 누가 결정하는지 확인합니다. 결론을 기록하고 정확하게 문서화합니다. 데이터 처리자의 경우 제28조에 따른 처리 계약을 사용하고, 양 당사자가 동의하는 경우 제26조에 따른 공동 관리자 계약을 사용합니다. 두 명의 독립적인 관리자가 데이터를 교환하는 경우에는 일반 계약 조건에 각 당사자의 자체 규정을 추가하면 됩니다.

위험 요소 3: 데이터 처리 계약서가 없거나 결함이 있습니까?

개인정보처리자가 귀하를 대신하여 개인정보를 처리하는 경우, GDPR 제28조(3)항에 따라 서면 계약이 필요합니다. 서면 계약이 없으면, 처리 시작 시점부터 문제가 발생하지 않더라도 개인정보처리 의무를 위반하게 됩니다.

피해가 발생했거나 데이터가 유출될 필요는 없습니다. 합의가 없다는 사실 자체가 위반이며, 이는 감독 당국이 가장 쉽게 입증할 수 있는 위반 사항 중 하나입니다.

내용은 법률로 정해져 있으며, 당사자 간에 협의가 이루어지는 것이 아닙니다. 적법한 데이터 처리 계약에는 다음 사항이 명시되어야 합니다.

• 처리 대상 및 처리 기간;
• 그것의 본질과 목적;
• 개인 데이터의 유형 및 관련 대상 범주;
• 데이터 관리자의 의무와 권리.

또한 프로세서를 다음과 같이 바인딩해야 합니다.

• 문서화된 지침에 따라서만 진행하십시오.
• 직원들에게 기밀 유지 의무를 부과한다.
• 제32조에서 요구하는 보안 조치를 취하십시오.
• 정보 주체의 요청 및 정보 유출 통지 관련 지원;
• 계약 종료 시 데이터를 삭제하거나 반환합니다.
• 규정 준수를 입증하는 데 필요한 정보를 관리자에게 제공하고 감사를 허용하십시오.

하위 처리기 절이 자주 실패하는 이유는 무엇입니까?

제28조(2) 및 (4)에 따라 처리자는 하위 처리자에 대해 귀하의 사전 특정 또는 일반 서면 승인을 받아야 합니다. 일반 승인의 경우 처리자는 의도된 변경 사항을 귀하에게 알리고 이의를 제기할 기회를 제공해야 합니다.

단순히 가공업체가 원하는 누구든 고용할 수 있도록 허용하는 조항은 그러한 기준을 충족하지 못합니다. 공급망이 검증되지 않은 국가까지 이어지는 경우, 바로 그러한 조항이 중요한 역할을 합니다.

해야 할 일: 제28조(3)항의 조항을 따르는 템플릿을 사용하여 작업하고 공급업체의 자체 약관이 적합하다고 가정하지 않고 이미 체결된 계약을 검토하십시오. 오랜 관계는 문서화되지 않았을 가능성이 가장 높습니다. 왜냐하면 관계 초기에는 서류 작업이 우선순위가 아니었기 때문입니다.

위험 4: 안전장치 없이 EEA 외부로 데이터를 전송하고 있습니까?

유럽경제지역(EEA) 외부로의 이전은 적정성 결정 또는 표준 계약 조항과 같은 적절한 보호 조치에 근거해서만 허용됩니다. 제49조의 예외는 극히 드문 경우에만 적용됩니다.

GDPR 제5장에서는 유럽경제지역(EEA) 외 국가로의 개인 데이터 전송을 제한합니다. 유럽 위원회가 목적지에 대한 적정성 결정을 채택한 경우(제45조) 전송이 허용됩니다. 또한 적절한 보호 조치가 마련된 경우(제46조), 일반적으로 위원회의 표준 계약 조항(SCC) 또는 구속력 있는 기업 규칙이 적용됩니다. 명시적 동의 또는 계약상 필요성과 같은 제49조의 예외 사항은 구조적인 데이터 흐름을 뒷받침할 수 없습니다.

기업들은 데이터가 EEA(유럽경제지역) 외부에서 접근 가능해지는 순간부터 데이터 전송이 발생한다는 사실을 간과하는 경우가 많습니다. 단순히 데이터가 해당 지역으로 복사될 때만 전송이 발생하는 것이 아닙니다. EU 법인과의 계약이 있더라도 다른 대륙에 있는 지원 직원이 데이터베이스에 접근할 수 있다면 계약은 무의미해집니다. 해외 모회사가 원격으로 관리하는 행위는 서버가 프랑크푸르트에 있더라도 데이터 전송에 해당합니다.

Schrems II와 데이터 개인정보보호 프레임워크는 여러분에게 어떤 의미를 갖습니까?

슈렘스 II 사건 (C-311/18) 에서 유럽사법재판소는 EU-미국 개인정보보호협정(Privacy Shield)을 무효화했습니다. 또한 표준 계약 조항만으로는 충분하지 않다고 판시했습니다. 수출업체는 목적지 국가의 법률이 해당 조항이 약속하는 보호를 저해하는지 여부를 평가하고, 저해하는 경우 추가적인 조치를 취해야 합니다. 따라서 제46조에 의거한 모든 데이터 전송에 대해 데이터 전송 영향 평가(TIA)가 여전히 요구됩니다.

미국의 경우 한 가지 점에서 상황이 달라졌습니다. 유럽연합 집행위원회는 2023년 7월 EU-미국 데이터 개인정보보호 프레임워크(DPF)에 대한 적정성 결정을 채택했습니다. 2025년 9월 3일, 유럽연합 일반법원은 해당 결정의 무효화를 구하는 소송을 기각했습니다( Latombe , T-553/23). 따라서 해당 프레임워크에 따라 인증받은 미국 기관으로의 데이터 전송은 해당 기관의 인증 범위에 포함되는 데이터에 한해 적정성 원칙을 준수할 수 있습니다. 그러나 다른 미국 수신자에게 데이터를 전송하는 경우에는 적정성 원칙을 준수할 수 없습니다. 인증 여부를 반드시 확인해야 하며, 인증이 완료되었다고 가정해서는 안 됩니다.

조치 사항: 하위 처리업체 및 지원 계약을 포함하여 공급망에 숨겨진 제3국으로의 데이터 전송 목록을 작성하십시오. 각 전송에 대해 적정성 기준이 적용되는지 확인하십시오. 적용되지 않는 경우, 최신 버전의 표준 계약 조항을 적용하고, 데이터 전송 영향 평가를 수행 및 문서화하며, EEA 내에 보관된 키를 사용한 강력한 암호화와 같은 추가 조치를 기록하십시오. 규제 당국은 데이터 전송을 중단하도록 명령할 수 있으며, 이는 벌금 부과보다 더 큰 영향을 미칠 수 있습니다.

위험 요소 5: 데이터 보호 영향 평가를 생략하고 있습니까?

GDPR 제35조는 데이터 처리가 개인에게 높은 위험을 초래할 가능성이 있는 경우 데이터 보호 영향 평가(DPIA)를 수행하도록 요구합니다. 데이터 공유는 조직이 예상하는 것보다 더 빨리 이러한 기준을 넘어서는 경우가 많습니다.

제35조(3)항은 세 가지 경우를 명시적으로 언급하고 있다.

• 법적 또는 이와 유사하게 중대한 영향을 미치는 결정의 근거가 되는 개인적 측면에 대한 체계적이고 광범위한 자동화 평가;
• 특수 범주의 데이터 또는 형사 유죄 판결 데이터의 대규모 처리;
• 대규모로 대중이 접근할 수 있는 지역을 체계적으로 모니터링하는 것.

AP는 또한 DPIA(데이터 보호 영향 평가)가 항상 요구되는 처리 작업 목록을 게시합니다. 새로운 데이터 공유 프로젝트를 시작하기 전에 가장 먼저 확인해야 할 곳이 바로 이 목록입니다.

조직들이 데이터 보호 영향 평가(DPIA)를 대규모 프로젝트와 연관 ​​짓는 경향이 있어 그 필요성이 과소평가되는 경우가 많습니다. 실제로는 서로 다른 출처의 데이터 세트를 결합하거나, 건강 또는 생체 데이터를 분석 제공업체와 공유하거나, 프로파일링 또는 자동화된 의사 결정을 사용하거나, 직원을 관찰하는 도구를 도입하는 것만으로도 데이터 보호 영향 평가 요건을 충족하는 경우가 흔합니다.

DPIA에는 무엇이 포함되어야 합니까?

DPIA는 형식적인 양식이 아니라 구조화된 절차입니다. DPIA에는 처리 과정과 그 목적에 대한 설명, 필요성 및 비례성 평가, 관련 당사자에 대한 위험 식별, 그리고 보호 조치 및 보안 조치를 포함한 해당 위험을 해결하기 위한 방안이 명시되어야 합니다.

평가 결과 줄일 수 없는 높은 잔존 위험이 확인될 경우, 제36조에 따라 처리 시작 전에 AP(보호자)와 사전 협의를 거쳐야 합니다. 필수적인 DPIA(데이터 보호 영향 평가)를 수행하지 않는 것 자체가 처리 결과와 관계없이 위반 행위입니다.

수행 방법: 모든 새로운 데이터 공유 계약을 제35조(3)항 기준 및 AP 목록에 따라 검토하십시오. 데이터 보호 책임자가 있는 경우 참여시키십시오. 평가 결과를 지속적으로 업데이트하고 처리 내용이 변경될 때마다 다시 검토하십시오. 답변이 정말 불분명한 경우, 데이터 보호 영향 평가(DPIA)를 수행하는 것이 수행하지 않기로 한 결정을 옹호하는 것보다 비용이 적게 듭니다.

위험 요소 6: 공유에 대해 사람들에게 너무 적은 정보만 제공하고 있지는 않나요?

투명성은 별개의 의무입니다. 정보 공유 자체가 완전히 합법적인 경우에도 투명성을 위반할 수 있습니다.

GDPR 제13조는 개인으로부터 직접 수집한 데이터에 적용되며, 제14조는 다른 출처에서 얻은 데이터에 적용됩니다. 두 조항 모두 데이터 관리자가 데이터 처리의 목적과 법적 근거, 그리고 개인 데이터의 수신자 또는 수신자 범주를 명시하도록 요구합니다.

개인정보 보호 고지는 이러한 점에서 예상 가능한 방식으로 미흡한 점이 많습니다. 데이터가 "신뢰할 수 있는 파트너와 공유될 수 있다"는 문장만으로는 아무것도 알 수 없습니다. 고지에는 호스팅 제공업체, 급여 관리자 또는 신용 조회 기관과 같이 수신자 범주를 구체적으로 명시해야 합니다. 특정 기관과 공유하는 경우 해당 기관의 이름을 명시하는 것이 일반적으로 더 명확합니다. 데이터가 EEA 외부로 전송되는 경우, 제13조(1)(f)항 및 제14조(1)(f)항에 따라 고지에는 해당 사실을 명시하고, 적용된 보호 조치를 식별하며, 사본을 얻는 방법을 설명해야 합니다.

직접 데이터를 수집하지 않은 경우 추가적으로 적용되는 사항은 무엇입니까?

제14조에 따라 고지사항에는 개인정보의 범주와 출처를 명시해야 합니다. 해당 정보는 합리적인 기간 내에, 늦어도 한 달 이내에, 또는 해당 개인과 최초로 연락이 닿는 시점(그보다 빠른 경우)에 제공해야 합니다.

마케팅 목록을 구매하여 목록에 있는 사람들에게 알리지 않고 사용하는 것은 가장 명백한 개인정보 침해 중 하나입니다. 네덜란드에서 개인정보 보호정책을 작성하는 방법에 대한 저희 가이드라인은 고지에 포함되어야 할 모든 내용을 자세히 설명하고 있습니다.

해야 할 일: 새로운 수신자가 추가될 때마다 통지를 검토하고, 다음 연례 검토가 아닌 공유가 시작되기 전에 업데이트해야 합니다. 제12조(1)항에 따라 통지는 간결하고 이해하기 쉬우며 명확하고 평이한 언어로 작성되어야 합니다. 아무도 읽을 수 없는 문서에 가능한 모든 수신자를 나열하는 것은 문제를 해결하지 못합니다.

위험 요소 7: 가명 처리된 데이터를 익명 데이터로 취급하고 있습니까?

가명 처리된 데이터도 여전히 개인 데이터입니다. 진정한 익명화만이 데이터를 GDPR의 적용 범위에서 벗어나게 합니다.

GDPR 제4조(5)항은 가명화를 추가 정보 없이는 특정 개인과 연결할 수 없도록 개인 데이터를 처리하는 것으로 정의하며, 추가 정보는 별도로 보관 및 보호됩니다. 이 정의는 데이터를 다시 연결하는 것이 여전히 가능하다는 것을 전제로 합니다. 이것이 가명화와 ​​익명화를 구분하는 특징입니다. 전문 26항은 추가 정보를 사용하여 여전히 개인에게 귀속될 수 있는 데이터도 GDPR의 적용 범위에 포함된다는 것을 확인합니다.

가명 처리를 자유로운 공유를 허용하는 것으로 간주할 때 위험이 발생합니다. 이름을 고객 번호로 대체한다고 해서 법적 근거, 처리 계약, 전송 보호 조치 또는 개인정보 보호 고지가 필요 없어지는 것은 아닙니다. 누가 핵심 정보를 보유하고 있는지, 그리고 수신자가 어떤 다른 데이터 세트를 가지고 있는지가 매우 중요합니다. 가명 처리된 기록에 우편번호, 생년월일, 거래 내역을 결합하면 종종 다시 식별될 수 있습니다. 따라서 평가 시에는 귀하뿐만 아니라 수신자가 사용할 가능성이 높은 수단을 모두 고려해야 합니다.

어떤 합리적인 수단을 사용해도 재식별이 불가능한 진정한 익명화는 GDPR의 적용 범위에서 데이터를 제외시킵니다. 하지만 이는 달성하기 어렵고, 주장하기는 쉽습니다. 소규모 그룹의 집계, 고유한 속성 조합, 풍부한 행동 데이터는 모두 익명화를 무력화합니다.

조치 사항: 문서화되고 기술적으로 타당한 익명화 프로세스가 입증되지 않는 한, 데이터를 가명 처리된 것으로 간주하여 개인 데이터로 취급하십시오. 키를 별도로 보관하는 기술적 및 조직적 조치를 기록하십시오. 이점은 분명합니다. 제32조는 가명화를 적절한 보안 조치로 명시하고 있으며, 데이터 유출 평가 시 유리하게 작용합니다. 이는 데이터 유출의 결과를 줄여주지만, 유출 이전에 적용되는 의무를 면제하는 것은 아닙니다.

네덜란드에서 법 집행은 어떤 모습으로 이루어지나요?

AP는 경고, 질책, 준수 명령, 처리 금지, 송금 중단 및 최대 20천만 유로 또는 전 세계 연간 매출액의 4%에 해당하는 벌금을 부과할 수 있습니다. 개인 및 재단은 손해 배상을 청구할 수도 있습니다.

AP는 GDPR 및 UAVG 준수 여부를 감독합니다. AP는 자체적으로 또는 민원 제기 후 조사를 진행할 수 있습니다. GDPR 제58조에 따라 AP의 권한은 경고 및 질책부터 데이터 처리 시 규정 준수 명령, 일시적 또는 영구적 데이터 처리 금지, 제3국 수신자에게 데이터 전송 중단 명령에 이르기까지 다양합니다. 벌금 부과는 여러 조치 중 하나일 뿐이며, 특정 데이터 흐름에 의존하는 기업의 경우 벌금 부과가 가장 큰 타격을 주는 조치는 아닙니다.

벌금은 얼마나 높을 수 있나요?

GDPR 제83조는 두 가지 최대 벌금 단계를 규정하고 있습니다. 각 단계에서 최대 벌금액은 고정 금액 또는 직전 회계연도의 전 세계 총 연간 매출액의 일정 비율 중 더 높은 금액입니다.

• 하위 등급: 제25조부터 제39조에 명시된 의무 위반에 대해 최대 10만 유로 또는 매출액의 2%까지 벌금이 부과될 수 있습니다. 여기에는 데이터 처리 계약 미체결 또는 필수 데이터 보호 영향 평가(DPIA) 미실시가 포함됩니다.
• 상위 등급: 기본 원칙, 법적 근거, 정보 주체의 권리 및 국제 데이터 전송 규칙 위반 시 최대 20천만 유로 또는 매출액의 4%까지 벌금이 부과될 수 있습니다.

회사 그룹의 경우 고정 금액보다는 백분율이 일반적으로 관련 수치입니다. 제83조(2)항은 침해의 성격과 기간, 고의성 또는 과실 여부, 손해를 제한하기 위해 취한 조치 및 당국과의 협력 정도를 포함하여 금액을 결정하는 요소를 나열합니다.

개인이 손해 배상을 청구할 수 있나요?

네. GDPR 제82조는 물질적 또는 비물질적 손해를 입은 모든 사람에게 데이터 관리자 또는 데이터 처리자로부터 보상을 받을 권리를 부여합니다.

네덜란드에서는 집단 소송에서의 대규모 손해 배상에 관한 법률( Wet afwikkeling massaschade in collectieve actie , WAMCA)에 따라 대규모 집단을 대리하는 재단들이 집단적으로 소송을 제기하는 사례가 점점 늘어나고 있습니다. 공개된 항소심 판결은 이러한 소송을 제기하는 데 편리한 출발점이 됩니다.

불법적인 공유가 데이터 유출로 이어진다면 어떻게 될까요?

개인정보 유출은 그 자체로 일정한 기한을 요구합니다. GDPR 제33조는 개인정보 유출 사실을 인지한 후 지체 없이, 가능한 경우 72시간 이내에 개인정보보호기관(AP)에 통지하도록 규정하고 있습니다. 단, 유출로 인해 개인에게 위험이 발생할 가능성이 낮은 경우는 예외입니다.

제34조에 따라, 정보 유출이 관련 당사자에게 중대한 위험을 초래할 가능성이 있는 경우, 지체 없이 해당 당사자에게 알려야 합니다. 모든 정보 유출 사실은 내부적으로 문서화해야 하며, 통지하지 않은 경우를 포함하여 그 사유 또한 기록에 포함해야 합니다.

데이터 공유를 어떻게 체계화할 수 있을까요?

처리 활동 기록을 살펴보고 각 수신자의 역할, 법적 근거, 계약, 이전 및 개인정보 보호 고지를 확인하십시오. 그런 다음 이러한 확인 절차를 조달 프로세스에 통합하십시오.

위의 일곱 가지 위험은 모두 한 가지 원인을 공유합니다. 데이터 공유는 데이터 이동이 필요한 팀에 의해 운영적으로 이루어지고, 나중에 문서화되거나 아예 문서화되지 않습니다. 해결책 또한 실용적입니다.

• 레코드판부터 시작하세요. 제30조에 따른 처리 활동 기록은 이미 존재해야 하며, 모든 수신자의 이름을 명시해야 합니다.
• 모든 수신자를 확인하세요. 각 건에 대해 역할, 법적 근거, 계약, 이전 위치 및 개인정보 보호 고지 내용을 파악하십시오. 대부분의 조직은 아무도 설명할 수 없는 두세 가지 자금 흐름을 발견합니다.
• 조달 과정에 반영하세요. 처리 계약, 데이터 전송 분석 및 데이터 보호 영향 평가(DPIA) 심사 없이는 어떤 공급업체도 온보딩될 수 없도록 하고, 온보딩이 실패할 경우 중단할 수 있는 권한을 담당자에게 부여하십시오.
• 변경 사항에 대한 검토. 새로운 하위 처리자, 새로운 목적 또는 새로운 국가가 나타나거나 인수 합병으로 인해 다른 회사의 데이터 흐름이 그룹에 편입될 때 다시 한번 살펴보십시오.

제5조(2)항은 준수 사실을 입증할 수 있어야 한다는 의무를 규정하고 있으며, 이는 행위뿐 아니라 기록에 관한 의무이기도 합니다. 특히 IT 공급업체와의 계약과 관련하여, 저희 IT 법률 팀은 데이터 보호 조항이 상업적 조항과 어떻게 상호 작용하는지 설명해 드립니다.

결론

• 개인정보를 공유할 때는 GDPR 제6조에 따라 법적 근거가 필요하며, 상업적 이유만으로는 충분하지 않습니다.
• 각 수신자가 처리자인지, 공동 관리자인지, 독립 관리자인지 판단하고 그에 따라 문서화하십시오.
• 제28조에 따른 처리 계약은 처리자에게 의무 사항이며, 계약이 없으면 첫날부터 계약 위반이 됩니다.
• 유럽경제지역(EEA) 외부로의 이전은 적정성(예: DPF 인증) 또는 보호 조치와 더불어 이전 영향 평가를 필요로 합니다.
• 가명 처리된 데이터도 여전히 개인 데이터이므로 개인정보 처리방침에 수신자를 구체적으로 명시해야 합니다.

자주하는 질문

데이터 공유 및 GDPR 준수와 관련하여 어떻게 도움을 드릴 수 있을까요?

Law & More 네덜란드 기업들에게 데이터 공유와 관련된 법률 자문을 제공합니다. 데이터 관리자와 데이터 처리자의 역할을 정의하고, 데이터 처리 계약 및 공동 관리자 계약을 작성 및 협상하며, 유럽경제지역(EEA) 외부로의 데이터 전송을 평가하고, 데이터 보호 영향 평가를 수행하며, 개인정보 보호 고지를 업데이트합니다. 또한, 네덜란드 세무당국의 조사를 받고 있거나 기한 내에 데이터 유출 사실을 신고해야 하는 기업들을 지원합니다.

특정 데이터 흐름이 정당한지 확신이 서지 않으시거나, 조직 간에 개인 데이터가 이동하는 계약을 체결하려고 하시나요? 데이터 공유가 시작되기 전에 상황을 검토하는 것이 중요합니다. 현재 상황이 어떤지 잘 모르시겠다면, 저희에게 알려주세요. 영업일 기준 하루 이내에 가능한 해결책을 안내해 드리겠습니다.