개인정보보호 원칙 적용

학습 목표

이 유닛을 완료하면 다음을 수행할 수 있습니다.

• 10대 주요 개인정보보호 원칙을 나열할 수 있습니다.
  
• 원칙을 조직에서 이행할 수 있는 방법에 대해 설명할 수 있습니다.
  

개인정보보호 원칙

개인정보보호에 대한 기본적인 내용을 잘 알게 되었으므로, 이제는 몇몇 원칙과 각 원칙이 조직에 적용되는 방법에 대해 자세히 알아보겠습니다. 법적 요건은 전세계적으로 다양하지만, 여러 개인정보보호법의 기초가 되는 공통적인 원칙이 몇 개 있습니다. 이전 유닛에서 소개했던 이런 원칙에 대해 자세히 알아볼게요.

공정성과 투명성

조직은 개인 정보를 합법적이고 공정하게 투명한 방법으로 처리해야 합니다.

조직은 개인 정보를 해당 법률과 고객 및 최종 사용자를 대상으로 한 개인정보보호 약정 또는 서비스 수준 협약(SLA)에 따라 처리하여 이 원칙을 이행할 수 있습니다. 앞에서 언급한 바와 같이, 쿠키 및 애널리틱스를 통해 수집되는 정보 등 데이터 컨트롤러로서 수집하는 개인 정보와 수집 이유를 상술하는 개인정보보호 정책을 웹 사이트에 게시하는 것이 좋습니다. 개인정보보호 정책에 수집하지 않는 유형의 정보를 표시하는 것이 중요합니다. 궁극적으로는 개인 정보를 수신하는 방법에 관계없이 개인 정보를 처리하기 전에는 동의를 받아야 합니다. 

목적 제한

조직은 분명하고 합법적이며 특정한 목적으로만 개인 정보를 처리해야 합니다. 

즉, 조직에서 개인 정보를 수집할 때마다 해당 정보가 어떻게 사용되는지를 분명하고 구체적으로 알려야 합니다. 대부분의 경우, 이렇게 알린 용도가 아닌 다른 용도로 정보를 사용하려면 정당한 법적인 이유를 제시하고 정보를 처리하기 전에 허가를 받아야 합니다.

데이터 최소화

조직은 해당하는 처리 목적에 필요한 최소한의 데이터만 수집해야 합니다. 

조직은 제공하는 서비스를 이행하는 데 필요하지 않은 개인 정보를 수집하지 않아야 합니다. GDPR(General Data Protection Regulation)에서는 개인 정보가 '처리 목적에 적합하고, 해당 목적과 관련이 있고, 해당 목적에 필요한 정보로 제한되어야 한다'고 규정하는 한편, HIPAA(Healthcare Insurance Portability and Accountability Act)에서는 이를 '최소 필요' 규칙이라고 합니다.

그렇다면 데이터 최소화 규칙은 어떻게 적용될까요? 조직에서 직원에게 제공하는 무료 셔틀 버스와 관련된 사내 모바일 앱을 만드는 경우를 예로 들어보겠습니다. 앱에서 수집하고 처리해야 하는 데이터에는 직원의 집 주소, 직장 주소와 같은 개인 정보와 기타 기본적인 정보(이름과 전화번호)가 포함됩니다. 하지만 직원의 생년월일, 인종, 건강 또는 금융 정보는 앱에 필요하지 않죠. 이러한 추가 정보는 필요하지 않으므로 수집하지 않아야 합니다.

정확성

개인 정보를 정확한 최신 상태로 유지해야 합니다.

조직이 고객에게 서비스를 제공하는 업체인 경우, 시스템에 정확한 기록이 포함되고 고객 데이터가 변경되면 시스템에 반영되도록 해야 합니다. 부정확하다고 간주되는 데이터는 즉시 삭제하거나 수정할 메커니즘도 있어야 합니다.

데이터 삭제 및 보관

조직은 개인 정보를 필요할 때까지 원래 의도한 목적으로만 보관해야 합니다.

조직이 개인 정보를 향후에 사용할 수 있는 경우에도 무기한으로 보관해서는 안 됩니다. 개인 정보를 삭제할 시기를 분명히 정하고, 개인 정보를 오래 보관할 경우 근거를 제시해야 합니다. 예를 들어 악의적이고 적대적인 행위를 확인 및 추적하기 위해 보안 로그 파일을 특정 기간 동안 보관해야 할 수 있습니다. 그래도 보관 기간을 정하고 보관 근거를 제시해야 합니다. 조직은 서비스를 제공하는 국가 내에서 법률 문서 같은 특정 데이터 유형에 적용되는 데이터 보존법에 대해서도 알고 있어야 합니다.

보안

조직은 기술 및 조직에 대한 적절한 보안 조치를 사용하여 개인 정보의 무단 처리와 우발적인 공개, 유실, 삭제 및 수정을 방지해야 합니다. 

또한 조직은 보안 시스템에서 데이터를 올바르게 보호해야 합니다. 개인정보보호를 강화할 수 있는 기법을 사용하여 보관하는 개인 정보를 보호하고 안전하게 지킬 수도 있습니다. 몇 가지 기법에 대해 알아봅시다.

• 데이터 분리는 데이터를 여러 등급으로 나누거나 데이터 등급별로 액세스를 제한할 목적으로 데이터를 여러 데이터 범주로 나누는 것입니다. 이 기법을 사용하면 조직이 데이터 집합이나 여러 사용자 그룹에 대해 각기 다른 액세스 규칙을 정하여 권한이 있는 개인만 액세스가 가능하게 할 수 있습니다.
  
• 암호화는 올바른 키를 갖고 있는 사용자만 액세스하거나 암호화할 수 있는 읽을 수 없는 형식으로 정보를 스크램블하는 보안 방식입니다. 암호화는 정보의 기밀성을 보호합니다.
  
• 가명화는 주체를 식별할 수 있는 정보를 가명 또는 식별자로 대체합니다. 가명화를 통해 개인 정보 기록 및 식별자를 사용하여 개인을 식별할 수 있는 확률을 낮출 수 있습니다.
  
• 익명화는 개인 또는 중요 정보를 삭제, 난독화(마스킹) 또는 암호화하여 보호하는 프로세스로, 개인과 연관된 모든 식별자를 제거합니다.
  

조직에는 데이터 보호를 지원하는 다른 보안 조치들이 있을 수 있습니다. 컴퓨팅 시스템에 액세스할 수 있는 모든 직원이 직책에 관계없이 개인정보보호 교육을 받고 직원 사용 제한 정책을 읽고 정책에 동의하는 것이 좋습니다.

책임

조직은 정책을 수립하고 개인정보보호 법률 및 규정과 개인정보보호 원칙을 준수하고 있음을 입증하는 프로세스를 이행해야 합니다.

Privacy through design(개인정보 보호 중심 설계)과 Privacy by default(개인정보 보호 기본 설정)를 진전시키기 위한 조치를 이행해야 합니다.

• Privacy by design(개인정보 보호 적용 설계): Privacy by design(개인정보 보호 적용 설계)은 조직이 새롭거나 개선된 프로세스 또는 활동을 계획하기 시작하거나 새로운 제품, 서비스 또는 기능을 개발할 때 이루어집니다.
  

조직은 새로운 제품을 만들 때 개인정보보호 정책 및 원칙을 계획 및 설계 단계에 고려해야 합니다. 이 계획 및 설계 프로세스에 모든 관련 이해관계자와 법무팀을 포함시켜 개인정보보호가 우선 과제가 되고 조직이 법을 준수하도록 하는 것이 중요합니다.

• Privacy by default(개인정보 보호 기본 설정): 조직이 개인 정보를 수집, 처리 또는 보관하는 경우, 개인정보보호에 가장 유리한 기본 설정을 선택해야 합니다. 예를 들어 온라인 SNS 계정을 만들고 해당 업체의 서비스를 사용할 계획인 경우, 해당 업체는 자사가 Privacy by default(개인정보 보호 기본 설정) 원칙을 준수한다고 언급하면서 기능 제공을 위해 이름과 이메일 주소만 요구할 수 있습니다. 하지만 SNS 계정에서 곧바로 사용자의 위치나 이름 및 이메일 주소 외에 다른 데이터를 공유하기 시작하면 Privacy by default(개인정보 보호 기본 설정) 원칙을 준수하지 않게 되는 것이죠.
  

개인의 권리

개인정보보호법을 통해 데이터 주체의 개인 정보에 대한 권리도 알 수 있습니다. 이런 권리는 다음과 같습니다.

• 데이터 주체 액세스 요청: 데이터 주체는 컨트롤러가 보유하고 있는 개인 정보의 사본에 액세스하고 자신의 개인 정보를 컨트롤러가 처리하고 있다는 확인을 받을 권리가 있습니다. 또한 처리 목적, 처리되는 정보의 범주, 정보 보관 기간, 그리고 개인 정보가 누구와 공유되었는지에 대한 세부 정보를 알 권리도 있습니다.
  
• 거부할 권리: 데이터 주체는 특정한 경우에 자신의 개인 정보가 사용되는 방법을 거부할 수 있습니다.
  
• 정보 수정: 데이터 주체는 자신의 개인 정보가 부정확하거나 불완전한 경우 정보를 수정하거나 완전하게 해달라고 요청할 수 있습니다.
  
• 금지: 제한적인 상황에서, 데이터 주체는 자신의 개인 정보 처리를 중단할 것을 회사에 요청할 수 있습니다.
  
• 삭제할 권리: GDPR에서 '잊혀질 권리' 또는 지울 권리라고도 하는 이 권리를 통해 데이터 주체는 특정한 상황에 자신의 개인 정보 삭제를 컨트롤러에게 요청할 수 있습니다. 미국은 개인정보보호에 관해 부문별로 접근하기 때문에 미국 대부분의 개인정보보호법에는 이 권리가 없습니다. 유일한 예외는 COPPA(아동 온라인 개인정보보호법)입니다.
  
• 데이터 이동성: 처리가 가능한 경우, 데이터 주체는 자신의 개인 정보를 다른 컨트롤러에게 전송할 수 있도록 데이터를 내보내기 가능한 형식으로 제공해 달라고 컨트롤러에게 요청할 권리가 있습니다.
  

서비스 제공업체 조직은 고객이 이런 요청을 관리할 수 있게 지원해야 할 의무가 있습니다. 데이터 컨트롤러는 데이터 주체의 요청을 따라야 할 책임이 있고, 개인 정보를 관리하기 위해 사용하는 시스템은 이런 요청(액세스, 수정, 삭제 및 이동성)을 지원해야 합니다.

국제 전송

특정 국가 및 지역(유럽 연합 등)에서는 개인 정보를 생성 국가 또는 지역 밖으로 전송하는 것을 금지합니다. 단, 대상 국가 또는 지역에서 정보 보호를 보장하는 충분한 안전 장치를 구현한 경우는 예외입니다. 국제적으로 운영하는 조직에서는 개인 정보를 합법적으로 국가 또는 지역 경계 밖으로 전송할 수 있도록 보장하는 조치를 이행해야 합니다.

데이터 보호에 대한 영향 평가 

조직에서 개인 정보를 수집, 보관 또는 사용하는 경우, 처리되는 정보의 소유자는 위험에 노출됩니다. 이런 위험은 개인을 사칭할 목적으로 정보가 도용될 위험부터 정보가 실수로 공개될 위험까지 광범위합니다. GDPR에서는 조직이 데이터 보호 영향 평가(DPIA)를 실시해야 한다고 규정합니다. 국가 정보 자유 위원회(CNIL)에 따르면, DPIA를 통해 사람의 권리와 자유에 큰 위험을 초래할 수 있는 데이터를 평가하고 이런 위험을 최대한 조기에 확인하고 최소화할 수 있습니다. 조직은 데이터 주체가 높은 위험에 노출될 수 있는 데이터 수집 또는 처리 활동을 시작하기 전에 DPIA를 실시하는 것이 좋습니다.  

요약

개인정보보호 원칙과 이 원칙을 조직에 적용하는 방법에 대해 더 자세하게 확인해 봤습니다. 다음 유닛에서는 고객 데이터와 데이터 관리자가 고객 데이터를 보호하기 위해 수행하는 역할에 대해 알아봅니다.

리소스

• 외부 사이트: CNIL: 개인정보보호 영향 평가 매뉴얼
  
• 외부 사이트: Forcepoint: 데이터 암호화란 무엇인가
  
• 외부 사이트: Trend Micro: 가명화란 무엇인가
  
• 외부 사이트: Imperva: 데이터 익명화란 무엇인가