국제 데이터 전송이란 유럽 경제 지역(EEA) 외부의 수신자에게 개인 데이터를 제공하는 것을 의미합니다. 이는 허용되지만, GDPR에 따른 보호 수준이 실제로 훼손되지 않는 경우에만 가능합니다.
법적 근거
GDPR 제5장은 데이터 전송에 관한 사항을 규정합니다. 제45조는 유럽 위원회의 적정성 결정이 내려진 국가로의 데이터 전송을 허용합니다. 미국의 경우, 2023년 7월 10일부터 EU-미국 데이터 개인정보보호 프레임워크가 적용되며, 인증된 조직에 한해서만 사용 가능합니다. 제46조는 적절한 보호 조치를 명시하고 있으며, 2021년 표준 계약 조항과 구속력 있는 기업 규칙이 가장 널리 사용됩니다. 제49조는 예외적인 경우에 대한 규정을 제공합니다. 2020년 7월 16일 Schrems II 판결 이후, 단순히 하나의 문서만으로는 충분하지 않으며, 수신국의 법률에 대한 평가, 데이터 전송 영향 평가, 그리고 필요한 경우 유럽에 보관된 키를 사용한 암호화와 같은 추가 조치가 요구됩니다.
실제로 작동하는 방법
첫 번째 단계는 데이터가 실제로 어디에 저장되어 있는지, 그리고 유럽 이외 지역에서의 지원을 포함하여 누가 접근 권한을 가지고 있는지를 파악하는 것입니다. 마지막 부분은 종종 간과되는데, 지원팀의 원격 접근 또한 데이터 전송에 해당한다는 점입니다. 그 후 적절한 도구를 선택하고 평가를 진행해야 하며, 이 과정은 반드시 서면으로 기록되어야 합니다. 계약서에는 공급업체가 데이터 위치 또는 하위 처리자 변경 사항을 통보하도록 의무화하는 조항이 포함되어야 합니다.
무엇이 잘못되는가
조직들은 공급업체의 인증이 해당 서비스를 실제로 포괄하는지 확인하지 않고 그 인증만을 신뢰하는 경우가 많습니다. 두 번째 오류는 표준 계약 조항에 서명하면서 부록을 작성하지 않아 처리 과정에 대한 설명이 누락되는 것입니다. 세 번째는 책임 원칙에서 요구하는 바와 같이 평가 과정을 문서화하지 않는 것입니다.
관련 용어
데이터 전송은 데이터 처리 계약 , 데이터 보호 영향 평가 및 SaaS 계약 과 연관됩니다.
데이터가 어디에 저장되는지 알고 계십니까? 저희 IT 법률 전문가들이 데이터 전송 경로와 보호 조치를 분석해 드립니다.
