EU GDPR

GDPR을 위반할 경우 벌금은 연간 전 세계 매출의 4% 또는 2천만 유로에 이를 수 있습니다. 이는 고객의 데이터 처리에 대한 충분한 동의를 받지 못하거나 "프라이버시 설계" 개념의 핵심을 위반하는 등 가장 심각한 위반에 대해 부과될 수 있는 최대 벌금입니다.

개인 데이터는 이름, 사진, 이메일 주소, 은행 세부정보, 소셜 네트워킹 웹사이트의 게시물, 의료 정보 또는 컴퓨터 IP 주소와 같이 개인을 직접 또는 간접적으로 식별할 수 있는 모든 정보를 의미합니다.

동의는 데이터 처리 목적이 첨부된 명확하고 쉽게 접근할 수 있는 형태로 제공되어야 합니다. 동의는 모호하지 않고 쉽게 식별 가능해야 하며, clear하고 이해하기 쉬운 언어를 사용해야 합니다. 또한 동의를 철회하는 것이 동의를 주는 것만큼 쉬워야 합니다. 민감한 개인 데이터를 처리할 때는 "옵트인" 이상의 동의가 필요합니다.

데이터 주체가 16세 미만인 경우, 아동의 개인 데이터를 처리하기 위해 부모의 동의가 필요합니다. 회원국은 부모의 동의 연령을 낮출 수 있지만 13세 이하로는 낮출 수 없습니다.

DPO는 (a) 공공 기관, (b) 대규모 또는 빅 데이터 체계적 모니터링을 수행하는 조직, 또는 (c) 민감한 개인 데이터의 대량 처리를 수행하는 조직의 경우에 임명해야 합니다(제37조). 귀하의 조직이 이러한 범주 중 하나에 해당하지 않는 경우 DPO를 임명할 필요가 없습니다.

위반 통지

GDPR에 따라 데이터 위반 통지는 "개인의 권리와 자유에 대한 위험을 초래할 가능성이 있는" 모든 회원국에서 의무화됩니다. 위반 사실을 인지한 후 72시간 이내에 통지가 이루어져야 합니다. 데이터 처리자는 데이터 위반 사실을 처음 인지한 후 "지체 없이" 데이터 관리자에게 통지해야 합니다.

접근 권리

데이터 주체는 데이터 관리자에게 자신과 관련된 개인 데이터가 처리되었는지, 어디서, 어떤 목적으로 처리되었는지 확인할 권리가 있습니다. 데이터 관리자는 개인 데이터의 사본을 무료로 전자 형식으로 제공해야 합니다.

잊혀질 권리

데이터 삭제로 알려진 잊혀질 권리는 데이터 주체가 데이터 관리자에게 자신의 개인 데이터를 삭제하고, 데이터의 추가 전파를 중단하며, 제3자가 데이터 처리를 중단하도록 요구할 수 있는 권리입니다. 데이터는 원래 처리 목적과 더 이상 관련이 없거나 데이터 주체가 동의를 철회해야 합니다. 이 권리는 요청을 고려할 때 데이터 관리자가 "데이터의 가용성에 대한 공익"과 주체의 권리를 비교해야 함을 요구합니다.

데이터 이동성

데이터 주체는 자신과 관련된 개인 데이터를 "일반적으로 사용되고 기계 판독 가능한 형식"으로 수신할 수 있으며, 해당 데이터를 다른 데이터 관리자에게 전송할 권리가 있습니다.

설계에 의한 프라이버시

데이터 프라이버시는 데이터 관리자와 처리자가 데이터 주체의 정보를 관리하는 데 사용하는 기술 시스템의 핵심에 있어야 하며, 단순한 추가 기능이 아닙니다.

데이터 수집 시 데이터 주체에게 제공해야 하는 정보는 명확하게 정의되어 있으며 다음을 포함합니다:

• 데이터 관리자 및 DPO의 신원 및 연락처
• 개인 데이터가 처리될 목적
• 처리의 법적 근거
• 해당되는 경우, 데이터 관리자 또는 제3자가 추구하는 정당한 이익
• 해당되는 경우, 개인 데이터의 수신자 또는 수신자 범주
• 개인 데이터가 저장될 기간, 또는 불가능한 경우 이 기간을 결정하는 데 사용된 기준
• 개인 데이터에 대한 접근, 수정 또는 삭제 권리의 존재
• 데이터 이동성 권리
• 언제든지 동의를 철회할 권리
• 감독 기관에 불만을 제기할 권리

중요하게도, 데이터가 데이터 주체로부터 직접 수집되지 않은 경우(아마도 제3자 목록을 사용하여), 목록은 다양하며 개인 데이터의 출처를 포함합니다:

• 프로파일링의 존재 및 관련된 논리에 대한 의미 있는 정보와 그러한 처리가 데이터 주체에게 미치는 중요성과 예상되는 결과.
• GDPR은 제3자 목록에서 데이터를 얻는 마케팅 담당자에게 상당한 문제를 나타냅니다.

1. GDPR 준수를 위한 적극적인 계획을 수립하십시오.
2. 개인정보 보호 고지 및 정책을 검토하고, GDPR 준수 수준을 충족하는지 확인하십시오.
3. 보안 위반 발생 시 계획을 준비하십시오.
4. 귀하의 동의를 감사하십시오.
5. 마케팅 동의를 선택적(opt-in)으로 만드십시오.
6. 구매자의 데이터를 처리하고 관리하기 위해 귀하의 조직을 보호하는지 확인하기 위해 법률 자문과 함께 지침의 정당한 이익 부분을 검토하십시오.
7. 개인 데이터 사용에 대한 동의 언어를 쉽게 찾고 읽을 수 있도록 만드십시오.
8. 데이터 주체 요청에 대한 행동 계획을 수립하십시오.
9. 귀하의 준수에 대해 책임을 지십시오.
10. 직원 교육을 실시하십시오.
11. clear 프로세스를 마련하고, 문서화하며 감사하십시오.
12. 필요한 경우 DPO를 임명하십시오.
13. 귀하의 관리/처리 파트너가 준수하는지 확인하십시오.

GDPR은 EU 내외부에 위치한 조직, 관리인 및 처리자에게 적용되며, EU 데이터 주체에게 상품이나 서비스를 제공하는 경우에 해당합니다. GDPR은 또한 마케팅 조직이나 EU 주체의 행동을 모니터링하는 데이터를 공급하거나 사용하는 조직에도 적용됩니다.

관리인은 개인 데이터 처리의 목적, 조건 및 수단을 결정하며, 처리자는 관리인을 대신하여 개인 데이터를 처리합니다.