개인정보 유출이란 개인정보가 우발적으로 또는 불법적으로 파괴, 손실, 변경, 무단 공개되거나 접근되는 결과를 초래하는 보안 침해를 말합니다. 모든 사고를 신고할 필요는 없지만, 신고 사유를 설명할 수 있어야 합니다.
법적 근거
정의는 GDPR 제4조(12)항에 있습니다. 제33조는 데이터 관리자가 개인정보 침해 사실을 인지한 후 지체 없이, 늦어도 72시간 이내에 네덜란드 데이터 보호 당국에 통지해야 한다고 규정하고 있습니다. 단, 개인정보 침해가 개인의 권리와 자유에 대한 위험을 초래할 가능성이 낮은 경우는 예외입니다. 제34조는 위험이 높은 경우에는 개인에게 직접 알려야 할 의무를 추가합니다. 데이터 처리자는 규제 기관이 아닌 데이터 관리자에게 통지해야 하며, 지체 없이 통지해야 합니다. 제33조(5)항은 통지되지 않은 침해를 포함하여 모든 침해에 대한 등록부를 작성하도록 요구합니다.
실제로 작동하는 방법
개인정보 관련 보안 사고 발생에 대한 합리적인 확신이 생긴 시점부터 72시간이 계산되며, 조사가 완료된 시점이 아닙니다. 따라서 신고는 단계적으로 이루어질 수 있습니다. 먼저 파악된 정보를 제공하고, 그 후 추가 정보를 제공하는 방식입니다. 신고 여부는 개인에게 미치는 영향에 따라 결정됩니다. 예를 들어, 특수 범주 데이터, 신분 도용을 가능하게 하는 정보 조합, 대량의 데이터, 또는 취약 계층에 속한 사람과 관련된 사고인지 등을 고려해야 합니다. 암호화된 디스크가 있는 노트북 분실은 일반적으로 신고 대상이 아니지만, 의료 정보가 포함된 우편물 오배송은 거의 항상 신고 대상입니다.
무엇이 잘못되는가
대부분의 법 집행은 위반 행위 자체보다는 그 여파에 초점을 맞춥니다. 조직들이 늦게 통보하는 이유는 먼저 내부적으로 누가 잘못했는지 파악하려 하거나, 위험도가 충분히 높았음에도 불구하고 평판 손상을 우려하여 관련자들에게 알리지 않기 때문입니다. 세 번째 함정은 내부 기록부의 부재입니다. 기록부가 없으면 사건 발생 후 통보하지 않은 이유를 입증할 수 없으며, 그에 따른 평가는 의미가 없습니다.
관련 용어
데이터 유출은 공급업체의 보고 기한이 명시된 데이터 처리 계약 및 특정 부문에 대해 더 짧은 기한을 부과하는 네덜란드 사이버보안법 과 직접적으로 관련됩니다.
사고 발생 시 신고해야 하는지 확신이 서지 않으십니까? 저희 IT 법률 전문가들이 72시간 이내를 포함하여 해당 사안을 함께 검토해 드립니다.
