.jpg)
.jpg)
국내 보안업체의 GDPR 대응과 관련한 주요 사항 3가지
[보안뉴스= 김선희 법무법인 율촌 변호사] GDPR(General Data Protection Regulation, 유럽 일반 개인정보보호법)이 시행된 지 보름여가 지난 가운데 국내 기업들은 얼마나 GDPR 준비가 돼 있을까?
국내 기업들이 해외 법령인 GDPR에 주목할 수밖에 없는 이유는 GDPR의 영토적 관할권이 확대돼 EU(유럽연합)에 사업장이 있거나 EU 거주자들의 개인정보를 수집하는 국내 기업도 직접 적용대상이 되고 위반에 따른 제재도 중대해지기 때문이다. 여기에서는 국내 보안업체 특유의 GDPR 대응과 관련한 주요 사항을 3가지로 나눠 살펴보고자 한다.
첫 번째는 프로세서(Processor)로써의 의무와 책임이다. 대부분의 국내 보안업체는 국내 고객사를 대상으로 영업을 하고 있어 EU에 지사를 두거나 EU 거주자를 대상으로 서비스를 제공해 개인정보를 직접 수집하는 경우는 드물다. 그러나 많은 경우에 해당 보안업체의 고객사가 EU에 지사가 있거나 혹은 EU 거주자를 대상으로 서비스를 제공하며 EU 거주자의 개인정보를 수집해 시스템에 저장을 하고 있다.
또한, 보안업체는 고객사의 서버와 데이터베이스를 운영하거나 유지·보수하는 과정에서 개인정보 처리 업무(수집, 저장, 검색, 삭제, 파기 등)를 수행하므로 GDPR 규정상 프로세서의 지위를 갖는다. 여기에서 주목할 것은 GDPR의 개인정보의 처리 목적과 수단을 결정하는 컨트롤러뿐 아니라 프로세서의 책임과 역할의 확대다.
프로세서란 컨트롤러를 대신해 개인정보를 처리하는 자연인 또는 법인, 공공기관, 관청 또는 기타 단체를 지칭한다. 일부 차이는 있지만 우리나라 개인정보보호법령상 위탁자 및 수탁자와 유사한 개념이다. 프로세서는 과징금 제재의 직접 적용 대상이 되며, GDPR을 위반할 경우 정보주체로부터 손해배상을 요구받을 수 있다.
두 번째는 보안 솔루션의 GDPR 보호 수준 충족 필요성이다. 보안 솔루션을 제공하는 보안업체는 해당 솔루션이 GDPR의 보호조치 수준을 충족해 GDPR 적용대상인 고객사들이 GDPR 준수할 수 있게 해야 한다.
GDPR은 최신 기술 수준, 실행 비용, 개인정보 처리의 성격, 범위, 목적, 정보주체에 대한 리스크 정도 등을 고려해 적절한 기술적·관리적 보호조치를 취하도록 규정하고 있으므로 고객사들의 리스크 정도와 각 산업에 적용되는 최적의 사례를 고려해 적절한 수준의 보안을 제공해야 한다.
뿐만 아니라 GDPR은 가명 처리 등 적절한 보호조치를 하는 것을 전제로 수집목적과 양립 가능(Compatible) 목적에 따라 개인정보 활용을 허용하고 있으므로 빅데이터 활용이 활성화되도록 하고 있다. 이 때문에 기업들의 가명 처리 수요가 증가할 것으로 예상되며, 이에 따른 효과적이고 안전한 가명 처리 솔루션 제공이 더욱 중요해질 것이다.
국내에서도 빅데이터 활용과 관련해 GDPR 개념을 어느 정도 차용하자는 논의가 있어 여기에 대응하는 것은 향후 개정되는 국내 개인정보 규제에 간접적으로 대응하는 길이기도 하다.
세 번째는 보안관제와 유출사고 대응의 전문성 강조다. 보안관제를 수행하는 보안업체의 경우 침해사고 예방을 위한 모니터링 및 탐지뿐만 아니라 유출사고 발생시 72시간 내 감독당국에 신고할 의무 등 침해사고 대응 전문성이 더욱 중요해진다.
신고의무를 제대로 이행하지 못하면 그 자체로 과징금이 부과될 수 있고 유출사고에 대한 신속하고 적절한 대응 여부가 GDPR 규정 위반에 대한 과징금의 부과 여부와 규모에 상당한 영향을 미칠 수 있으며, 손해배상 금액에도 큰 영향을 줄 것이다. 이에 따라 보안관제를 수행하는 보안업체의 사고대응 전문성이 무엇보다 강조될 것으로 보인다.
[글_ 김선희 법무법인 율촌 변호사(kimsh@yulchon.com)]
[보안뉴스= 김선희 법무법인 율촌 변호사] GDPR(General Data Protection Regulation, 유럽 일반 개인정보보호법)이 시행된 지 보름여가 지난 가운데 국내 기업들은 얼마나 GDPR 준비가 돼 있을까?
[사진=iclickart]
국내 기업들이 해외 법령인 GDPR에 주목할 수밖에 없는 이유는 GDPR의 영토적 관할권이 확대돼 EU(유럽연합)에 사업장이 있거나 EU 거주자들의 개인정보를 수집하는 국내 기업도 직접 적용대상이 되고 위반에 따른 제재도 중대해지기 때문이다. 여기에서는 국내 보안업체 특유의 GDPR 대응과 관련한 주요 사항을 3가지로 나눠 살펴보고자 한다.
첫 번째는 프로세서(Processor)로써의 의무와 책임이다. 대부분의 국내 보안업체는 국내 고객사를 대상으로 영업을 하고 있어 EU에 지사를 두거나 EU 거주자를 대상으로 서비스를 제공해 개인정보를 직접 수집하는 경우는 드물다. 그러나 많은 경우에 해당 보안업체의 고객사가 EU에 지사가 있거나 혹은 EU 거주자를 대상으로 서비스를 제공하며 EU 거주자의 개인정보를 수집해 시스템에 저장을 하고 있다.
또한, 보안업체는 고객사의 서버와 데이터베이스를 운영하거나 유지·보수하는 과정에서 개인정보 처리 업무(수집, 저장, 검색, 삭제, 파기 등)를 수행하므로 GDPR 규정상 프로세서의 지위를 갖는다. 여기에서 주목할 것은 GDPR의 개인정보의 처리 목적과 수단을 결정하는 컨트롤러뿐 아니라 프로세서의 책임과 역할의 확대다.
프로세서란 컨트롤러를 대신해 개인정보를 처리하는 자연인 또는 법인, 공공기관, 관청 또는 기타 단체를 지칭한다. 일부 차이는 있지만 우리나라 개인정보보호법령상 위탁자 및 수탁자와 유사한 개념이다. 프로세서는 과징금 제재의 직접 적용 대상이 되며, GDPR을 위반할 경우 정보주체로부터 손해배상을 요구받을 수 있다.
두 번째는 보안 솔루션의 GDPR 보호 수준 충족 필요성이다. 보안 솔루션을 제공하는 보안업체는 해당 솔루션이 GDPR의 보호조치 수준을 충족해 GDPR 적용대상인 고객사들이 GDPR 준수할 수 있게 해야 한다.
GDPR은 최신 기술 수준, 실행 비용, 개인정보 처리의 성격, 범위, 목적, 정보주체에 대한 리스크 정도 등을 고려해 적절한 기술적·관리적 보호조치를 취하도록 규정하고 있으므로 고객사들의 리스크 정도와 각 산업에 적용되는 최적의 사례를 고려해 적절한 수준의 보안을 제공해야 한다.
뿐만 아니라 GDPR은 가명 처리 등 적절한 보호조치를 하는 것을 전제로 수집목적과 양립 가능(Compatible) 목적에 따라 개인정보 활용을 허용하고 있으므로 빅데이터 활용이 활성화되도록 하고 있다. 이 때문에 기업들의 가명 처리 수요가 증가할 것으로 예상되며, 이에 따른 효과적이고 안전한 가명 처리 솔루션 제공이 더욱 중요해질 것이다.
국내에서도 빅데이터 활용과 관련해 GDPR 개념을 어느 정도 차용하자는 논의가 있어 여기에 대응하는 것은 향후 개정되는 국내 개인정보 규제에 간접적으로 대응하는 길이기도 하다.
▲김선희 법무법인 율촌 변호사
신고의무를 제대로 이행하지 못하면 그 자체로 과징금이 부과될 수 있고 유출사고에 대한 신속하고 적절한 대응 여부가 GDPR 규정 위반에 대한 과징금의 부과 여부와 규모에 상당한 영향을 미칠 수 있으며, 손해배상 금액에도 큰 영향을 줄 것이다. 이에 따라 보안관제를 수행하는 보안업체의 사고대응 전문성이 무엇보다 강조될 것으로 보인다.
[글_ 김선희 법무법인 율촌 변호사(kimsh@yulchon.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
김성미기자 기사보기
[2024-11-22] 
.jpg)
.jpg)
.jpg)
.jpg)
