데이터 보호 영향 평가(DPIA) 수행 방법

데이터 보호 영향 평가( DPIA )를 수행하는 것은 데이터가 보안상의 공백과 취약점으로부터 안전하도록 보장하기 위해 필요한 복잡하지만 중요한 작업입니다. 또한 DPIA는 많은 규정에서 의무로 지정되어 있습니다. 특히 정기적으로 데이터 보호 영향 평가를 수행하는 것은 모든 조직에 적용되는 포괄적인 GDPR인 일반 데이터 보호 규정( General Data Protection Regulation (data privacy law )은 유럽 연합( EU ) 거주자의 데이터를 저장하거나 처리하는 모든 조직에 적용됩니다. DPIA는 영국 GDPR에서도 요구됩니다.

DPIA가 무엇을 의미하는지, 핵심 GDPR 요구사항, DPIA가 필요한 상황, 그리고 데이터 보호 영향 평가를 수행하는 방법을 알아보려면 계속 읽어보세요.

데이터 보호 영향평가(Data protection impact assessment)란 무엇인가요?

데이터 보호 영향평가(Data protection impact assessments)는 때때로 프라이버시 영향평가(privacy impact assessments, PIAs)라고도 하며, 개인정보(PII) 또는 GDPR에서 말하는 “personal data(개인정보)”가 포함된 프로젝트나 계획의 데이터 보호 위험을 식별하고 분석하며 최소화하기 위해 수행됩니다.

개인 정보에 대한 위험에는 내부 또는 외부 행위자에 의한 무단 액세스부터, 정보주체의 의사에 따라 개인 데이터를 처리하지 않는 것까지 무엇이든 포함될 수 있습니다. DPIA는 항상 조직이 확인된 위험을 해결하기 위해 취할 조치 목록으로 이어져야 합니다.

DPIA의 이점은 무엇인가요?

DPIA를 수행하는 이점은 GDPR 준수 그 이상으로 광범위합니다. 그에는 다음이 포함됩니다:

• 시스템, 쿠키, 앱, 웹사이트에서 데이터 침해 발생 가능성이 더 낮아집니다
• 법적 의무를 이행하지 못할 위험 감소
• 데이터 침해 복구, 과징금, 소송, 그리고 매출 손실로 인한 막대한 비용 위험이 더 낮아집니다
• 다른 데이터 보호 규정에 대한 준수(컴플라이언스)를 더 쉽게

우리 조직은 언제 DPIA를 수행해야 하나요?

GDPR은 개인정보와 관련된 모든 처리 작업에 대해 조직이 DPIA를 수행해야 한다고 요구하지 않습니다. 대신, 데이터 처리로 인해 개인의 권리와 자유에 대해 높은 위험이 발생할 가능성이 있을 때마다 DPIA를 수행해야 합니다( GDPR 용어는 “자연인(natural persons)”입니다).

공식 지침에서 DPIA를 수행해야 한다고 요구하는데도 이를 이행하지 않으면, 법적 집행 조치가 취해질 수 있으며, 여기에는 유럽 데이터 보호위원회(European Data Protection Board)로부터 부과되는 막대한 과태료가 포함될 수 있습니다.

DPIA는 언제 필요하나요?

다음 기준을 사용하여 The Guidelines on Data Protection Impact Assessment에 따라 DPIA가 의무인지 여부를 판단하세요:

• 평가 또는 점수화 — 사람을 프로파일링할 때(특히 업무 성과, 경제적 상황, 건강, 개인의 선호 또는 관심사, 행동, 위치 또는 이동을 대상으로 하는 경우) DPIA를 수행해야 합니다. GDPR은 또한 신용 점수 산정, 건강 위험을 평가하기 위한 유전 검사, 행동 기반 마케팅 프로파일링에 대해서도 DPIA를 요구합니다.
• 자동화된 의사결정 — 법적 의사결정을 자동화하는 프로세스를 도입할 때는 DPIA가 필요합니다. 또한 그러한 처리로 인해 특정 개인이 배제되거나 차별받지 않도록 해야 합니다.
• 체계적 모니터링 — 공공장소에 있는 경우를 포함하여 데이터 주체를 관찰, 모니터링 또는 통제할 때는 DPIA를 수행해야 합니다. 예로는 초인종 카메라 앱과 같은 원격 보안 모니터링이 있습니다.
• 민감 데이터 처리 — 환자의 건강 데이터와 같은 매우 개인적인 데이터를 다루는 모든 경우에 DPIA가 필요합니다.
• 대규모 데이터 처리 — 대규모 데이터 처리를 수행하는 경우 DPIA가 필요합니다. 데이터 처리가 대규모로 이루어지는지 판단하는 기준에는 데이터 주체의 수, 활동의 기간 및 지리적 범위가 포함됩니다.
• 데이터 세트의 매칭 또는 결합 — 서로 다른 목적을 위해 수집된 두 개 이상의 데이터 세트를 병합하거나 비교하는 경우 DPIA를 수행해야 합니다.
• 취약한 데이터 주체 — 데이터 주체와 데이터 처리자(컨트롤러) 사이에 권력 불균형이 존재하여 데이터 주체에게 해를 초래할 수 있는 경우 DPIA가 필요합니다. 아동, 직원, 정신 질환이나 인지적 이슈가 있는 사람 등과 같이 자신의 데이터 처리에 반대할 수 없는 데이터 주체에 대해서는 DPIA가 필요합니다.
• 혁신적 활용 — IoT 장치, 지문 스캐너, 얼굴 인식 시스템과 같은 새로운 기술에 대해서는 DPIA가 필요합니다.
• EU 또는 영국 외부로의 데이터 이전 — EU 또는 영국 밖으로 데이터를 이전하는 경우 DPIA를 수행해야 합니다. 이를 통해 적절한 보호조치가 마련되어 있는지 확인하는 데 도움이 됩니다.
• 지원자 데이터 처리 — 데이터 주체가 권리를 행사하거나 서비스 또는 계약을 이용하지 못하게 하는 프로세스를 수행하는 경우 DPIA를 수행해야 합니다. 예를 들어 은행이 대출 신청에 대해 신용 조회를 수행하는 경우가 이에 해당합니다.

DPIA는 언제 필요하지 않나요?

다음과 같은 경우에는 DPIA를 수행할 의무가 없습니다:

• 법적 의무를 이행하고 있는 경우 — 법적 의무에 따라 또는 공익을 위해 대신 데이터를 처리하는 경우 DPIA를 수행할 필요가 없습니다. 다만 이 예외는 데이터 처리가 다음 상황 중 최소 하나를 충족하는 경우에만 적용됩니다:
  • 데이터 처리에 대한 법적 근거가 있습니다.
  • 법률 조항 또는 법정 코드가 처리 작업을 규정합니다.
  • 해당 법률에 명시된 DPIA 의무의 적용을 받지 않습니다.
  • 2018년 5월 GDPR이 채택될 때 영향 평가의 일부로 데이터 보호 위험 평가는 수행되었습니다.
• 이미 유사한 DPIA를 수행했습니다. — DPIA를 완료했고 현재 상황의 성격, 설계, 범위, 맥락, 목적이 모두 유사하다는 점을 입증할 수 있다면, 새로운 DPIA를 수행하지 않아도 면제될 수 있습니다.

DPIA는 언제 수행해야 하나요?

개인정보가 포함된 신규 프로젝트에는 처음부터 DPIA를 반영하고, 계획 수립과 개발 전 과정에서 이를 활용해야 합니다. 예를 들어 IoT 앱을 만들고자 한다면, 계획 프로세스의 초기 단계부터 완료 시점까지 DPIA 의무 사항을 고려하세요.

GDPR이 시행되기 전에 이미 운영되고 있던 프로세스는 어떻게 해야 하나요?

DPIA 요구 사항은 2018년 5월 25일 또는 그 이후에 시작된 프로세스에 적용되며, 해당 날짜 이전에 시작되었더라도 규정 준수 요구 사항에 영향을 미칠 정도로 변경된 프로세스에도 적용됩니다.

기술적으로 DPIA 수행이 면제될 수는 있지만, 대부분의 컴플라이언스 전문가들은 GDPR이 시행되기 전에 이미 진행 중이던 위험 처리 작업에 대해 DPIA를 수행할 것을 권장합니다.

DPIA에 무엇을 포함해야 하나요?

DPIA의 이점을 최대한 활용하고 GDPR을 준수하려면 포괄적인 접근이 필요합니다. 다음 체크리스트는 중요한 정보나 맥락을 놓치지 않도록 도와줍니다.

DPIA 인식 체크리스트

인식 체크리스트는 회사의 현재 DPIA 프로세스를 이해하고, 모든 직원이 DPIA 필요성을 예의주시하는 문화를 정착시켜 인적 오류 가능성을 줄이는 데 도움이 됩니다. 인식 체크리스트에는 다음이 포함됩니다.

• 직원 교육 — DPIA가 개인정보를 어떻게 보호하는지, 그리고 언제 필요한지 직원들에게 안내합니다.
• 절차 및 정책 관리 — 회사의 정책이 DPIA 요구사항과 얼마나 잘 일치하는지 검토합니다.
• 구현 가이드라인 — DPIA가 필요해지는 상황을 문서로 명시하세요.

DPIA 심사 체크리스트

심사 체크리스트는 특정 프로젝트에 대해 DPIA가 필요할 때의 기준을 개괄하는 보다 철저한 분석을 제공합니다. 심사 체크리스트에는 다음이 포함됩니다:

• 문제의 데이터 이해 — 관련 데이터의 양이 얼마나 되는지, 데이터 주체가 얼마나 취약한지, 데이터가 개인정보이자 사생활에 얼마나 해당하는지에 대해 질문하는 문서를 작성하세요. 또한 고위험 데이터와 저위험 데이터를 구분하기 위한 가이드라인도 제공해야 합니다.
• 데이터 처리에 대한 세부 사항 — 데이터가 처리되는 기간, 저장 위치 및 관리·감독 체계, 접근 권한이 있는 사람, 적용되어 있는 보안 조치, 그리고 처리에 대해 데이터 주체에게 알리는 방법을 명시하세요. 또한 개인정보 관련 전문가와 규제기관에 자문을 구할 계획도 문서로 남기세요.
• DPIA가 필요하다고 판단했는지 또는 필요하지 않다고 판단했는지에 대한 명확한 설명 — DPIA를 진행하기로 결정했다면, 목적에 대한 명확하고 서면으로 된 진술을 갖추어야 합니다. 프로젝트에 대해 DPIA를 진행하지 않기로 결정했다면, DPIA를 반려한(실시하지 않기로 한) 이유에 대한 문서를 항상 포함하세요.

DPIA 처리 체크리스트

처리 체크리스트는 DPIA가 시작된 이후 수탁자(처리자)가 정확히 어떤 방식으로 수행해야 하는지를 안내하여, 시작부터 끝까지 GDPR 요구 사항을 준수할 수 있는 역량을 뒷받침합니다. 처리 단계에서 프로세스 체크리스트를 사용하지 않으면 인적 오류 및 기타 문제가 발생할 가능성이 크게 높아집니다. 처리 체크리스트에는 다음이 포함됩니다:

• 위험 식별 — 처리 개시 전에 위험을 이해하기 위해 수탁자(처리자)와 어떤 방식으로 협의할 계획인지 정의하세요. 처리의 범위가 전체 목적과 일치하는지 확인합니다. 위험을 평가한 후에는, 이를 어떻게 측정하고 완화할 계획인지에 대한 서면 조치를 포함하세요.
• 이해관계자 목록 — 모든 주요 이해관계자를 식별하고, 여러 단계에서 그들과 어떻게 소통하며 업데이트할 계획인지 명시하세요.
• 의사결정 기록 — 처리 전 및 처리 중에 누구와 상의했는지, 그리고 데이터에 접근 권한이 부여된 모든 사람에 대한 상세한 문서를 포함하세요. 또한 모든 처리 방법, 사용한 기술, 방법론의 변경 사항을 문서로 남기세요.
• 검토 절차 — DPIA를 수행하는 동안 프로젝트의 진행 상황과 변경 사항을 지속적으로 검토할 수 있도록 일정을 수립하세요. 평가의 성격, 맥락, 범위 또는 설계에 변경이 생기면, 프로세스를 처음부터 다시 시작해야 할 수 있음을 기억하세요.

DPIA를 수행하려면 어떤 단계를 거쳐야 하나요?

일반 데이터 보호 규정에 준수하기 위해 영향 평가 DPIA 프로세스에서 수행해야 할 단계는 다음과 같습니다.

1. DPIA가 필요한지 파악합니다.

위의 정보를 사용하여 DPIA가 필요한지 여부를 판단하세요. 처리에 대한 다음 사항을 문서로 남기십시오:

• 성격 — 데이터로 무엇을 하려는지
• 범위 — 어떤 데이터가 처리될 것인지
• 맥락 — 기대치 또는 영향에 영향을 줄 수 있는 내부 및 외부 요인
• 목적 — 조직이 데이터를 처리하려는 이유

2. 처리 작업과 그 목적을 설명하세요.

프로젝트 전반에 걸쳐 데이터가 어떻게 처리되는지와 데이터의 범위를 문서로 정리하세요. 다음 질문에 답하십시오:

• 데이터는 어떻게 수집되고 사용되나요?
• 데이터는 어디에, 어떻게 저장되나요?
• 데이터는 어디에서 수집되나요?
• 데이터가 제3자와 함께 저장되나요?
• 관련된 고위험 데이터 범주가 있나요?
• 얼마나 많은 데이터가 수집되며, 얼마나 많은 정보주체가 영향을 받나요?
• 데이터 처리 활동이 어디에서 이루어지나요?
• 데이터 보관(유지) 요구 사항은 무엇인가요?

다음으로, 데이터 처리 활동의 목적이 프로젝트의 목표와 어떻게 관련되는지 설명하세요. 각 데이터 처리 활동을 설명하고, 해당 활동이 이용자에게 어떤 영향을 미치는지, 그리고 프로젝트를 위해 어떻게 활용될 것인지 기술하세요.

3. 필요성과 비례성을 평가합니다.

DPIA의 중요한 부분은 프로젝트의 목표와 결과를 위해 실제로 무엇이 필요로 하는지를 설명함으로써, 발생하는 데이터 처리 활동을 정당화하는 것입니다. 먼저 다음 질문에 답해 보세요:

• 이 데이터를 수집할 법적 근거가 있나요?
• 적절한 동의 조치가 마련되어 있나요?
• 취약한 정보주체가 관련되어 있나요?
• 이와 유사한 성격의 이전 프로젝트에서 유사한 처리가 수행된 적이 있나요? 그렇다면 보안 취약점이 식별되고 시정(개선)되었나요?
• 프로젝트의 목표를 달성하기 위해 데이터 처리(data processing)가 필요한가요?
• 소비자 권리는 어떻게 보장되고 있나요?
• 소비자 데이터의 사용을 최소화할 방법이 있나요?

4. 이해관계자와 상담하세요.

DPIA 전 과정에서 여러 핵심 이해관계자와 상담해야 합니다. 여기에는 다음이 포함됩니다:

• Data Protection Officer (DPO) — 조직의 DPO는 GDPR 및 기타 개인정보 보호 법률 준수 여부를 모니터링하고, 데이터 처리에 관여하는 직원들에게 교육을 제공하며, 정보주체를 위한 연락 창구 역할을 담당합니다. DPO와 상담하면 준수 여부를 입증하고, 책임성을 높이며, 프로젝트 위험에 대한 피드백을 얻는 데 도움이 될 수 있습니다.
• 프로젝트 이해관계자 — 모든 이해관계자를 참여시키면 데이터 처리 활동의 범위와 필요성을 충분히 파악하고, 위험을 해결하기 위한 적절한 전략을 수립하는 데 도움이 됩니다.
• 정보주체 및 그 대표자 — 정보주체와 그 대표자는 데이터가 어떻게 처리되는지에 대한 피드백을 제공하고, 처리 활동의 적법성을 보장하는 데 도움을 줄 수 있습니다.
• 외부 전문가 — 데이터 개인정보 보호 전문성이 필요하다면 정보보안 전문가, 변호사, 기술자, 보안 분석가 및 사회학자와 같은 외부 전문가를 고용하는 것을 고려해 보세요.

5. 개인정보에 대한 위험을 식별하고 평가합니다.

자산의 우선순위 목록을 만들고 잠재적 취약점을 식별하세요. 예를 들어 자산 중 하나가 고객 데이터를 저장하는 서버라면, 해당 데이터에 대한 위험에는 자연재해, 하드웨어 장애 및 악의적인 공격이 포함될 수 있습니다.

귀하의 위험 분석 에서 다음 사항을 고려하세요:

• 손실 또는 유출될 경우 운영에 영향을 미치는 데이터
• 해당 데이터 자산을 사용하는 주요 비즈니스 프로세스
• 데이터가 익명화되고 있는지 여부
• 데이터 보관(유지) 정책이 적용되는지 여부
• 데이터가 안전하지 않은 위치에 저장되고 있거나, 그러한 위치로 이동될 가능성이 있는지 여부
• 프로젝트 진행 중에 데이터 처리 범위가 변경될지 여부
• 적절한 접근 제어가 적용되고 있는지 여부
• 조직이 운영을 수행하는 능력을 저해할 수 있는 위협과 각 위협의 심각도 및 발생 가능성

6. 위험을 해결하기 위한 조치를 식별합니다.

프로젝트와 관련된 잠재적 위험에 대해 충분히 파악했다면, 전략적으로 적절한 위험 완화 조치를 수립하고 실행하세요. 데이터 보안 솔루션을 통해 다음 사항을 보장할 수 있습니다:

• 내부 또는 외부 행위자가 개인 데이터에 대해 무단으로 접근하지 못하도록 필요한 보안 조치가 마련되어 있습니다.
• 데이터 보관 정책이 마련되어 더 이상 필요하지 않은 데이터를 삭제합니다.
• 검색 및 모니터링 기술은 개인 데이터가 어디에 존재하는지, 누가 이를 액세스하는지, 어떻게 사용되고 있는지, 그리고 조직 전체에서 어떻게 이동하고 있는지에 대한 가시성을 제공합니다.
• 시정 조치(불필요한 데이터 삭제, 액세스 정리 등)는 자동화하고 대규모로 수행할 수 있습니다.

특정 완화 조치가 어떤 정보 보호 위험을 어떻게 해결하는 데 도움이 되는지 반드시 문서화해야 합니다. 다음은 두 가지 예시입니다:

예시 1

위험: 조직이 필요 이상으로 PII(개인정보)를 보관합니다.

해결 방법: 자동화된 데이터 보관(리텐션) 도구를 사용하여 필요한 대로 데이터를 삭제합니다.

예시 2

위험: 승인되지 않은 사용자가 서버에 액세스한 뒤 규제 대상 데이터를 열람할 수 있습니다.

해결 방법: 의심스러운 활동을 예방하고 탐지할 수 있도록 서버에 대한 보안 테스트와 모니터링을 강화합니다.

7. 승인 받기.

모든 위험이 식별되고 적절한 보안 전략이 수립되면, 관련 당사자들로부터 실행에 대한 승인을 받으세요. 승인 대상 목록은 조직과 프로젝트에 따라 달라지지만, 대개 개인정보보호 책임자(Data Protection Officer)와 경영진 팀의 구성원이 포함됩니다.

8. 위험을 해결하기 위한 조치를 실행합니다.

다음으로, 위험을 줄이기 위해 식별한 솔루션과 기타 조치를 배포하세요.

9. 최종 DPIA 보고서를 작성합니다.

마지막으로, 최종 DPIA 보고서를 작성해야 합니다. 보고서에는 다음 정보가 포함되어야 합니다:

• 프로젝트 및 그 목적에 대한 자세한 설명
• 데이터 처리 필요성과 범위에 대한 평가
• 데이터 보호 및 소비자 프라이버시 위험에 대한 평가
• 조직이 위험을 완화하고 GDPR 요구사항을 준수하기 위해 어떤 조치를 취할 것인지에 대한 설명

GDPR에서 의무로 요구하지 않더라도, DPIA를 전부 또는 일부라도 공개하는 것이 모범 사례입니다. 이를 통해 처리 작업에 대한 신뢰를 높이고, 모든 이해관계자에게 책임성과 투명성을 보여줄 수 있습니다.

Netwrix는 데이터 보호 영향 평가에 어떻게 도움을 줄 수 있나요?

DPIA를 수행하는 일은 시간이 많이 걸릴 수 있으며, 특히 IT 인력이 제한된 조직의 경우 더욱 그렇습니다. 다행히 Netwrix가 도와드립니다. 우리는 보안을 강화하고, 감사 대응을 충족하며, 모든 규모의 조직을 안전하게 지킬 수 있는 compliance audit solutions를 제공합니다. 당사 서비스로 다음을 수행할 수 있습니다:

• 규제 대상 데이터를 식별하고 접근을 엄격히 통제 — 조직이 보유한 규제 대상 콘텐츠가 무엇인지 정확히 파악하고, 반드시 안전한 위치에만 저장되도록 보장합니다.
• 데이터에 대한 액세스를 제어 — 자동화된 액세스 요청 및 승인 워크플로, 데이터 소유자의 정기 검토 및 승인(attestation), 효과적인 least privilege principle을 통해 이를 엄격히 적용하고, Group Policy 관리, 보안이 강화된 시스템 구성, 강력한 password policies를 마련합니다. 또한 위협을 초기 단계에서 감지하고 신속하게 대응해 차단할 수 있습니다.
• 감사 준비 시간을 몇 주 또는 며칠에서 몇 분으로 단축 — 시스템 구성, 데이터 접근, 사용자 계정 등 사전 정의된 보고서로 규제 준수에 대한 확실한 증거를 빠르게 생성하세요.

자주 묻는 질문

1. DPIA는 의무인가요?

GDPR 제35조 는 개인의 권리 또는 자유에 대한 위험을 증가시킬 가능성이 있는 처리 작업을 수행하는 경우마다 DPIA를 요구합니다. DPIA 요구 사항은 2018년 5월 25일 이후 또는 그 당일에 시작된 처리 작업과, 해당 날짜 이전에 시작했지만 규제 준수 요건에 영향을 미치는 방식으로 변경된 처리 작업에 적용됩니다.

2. 예외가 있나요?

법적 의무에 따라 또는 공익을 위해 데이터를 처리하는 경우, 또는 이미 유사한 DPIA를 수행한 경우에는 DPIA가 반드시 필요하지 않을 수 있습니다.

3. DPIA를 수행할 책임은 누구에게 있나요?

DPIA를 촉발한 프로젝트를 이끄는 담당자와 관련된 데이터 처리자뿐만 아니라, 해당 조직에 데이터 보호 책임자(Data Protection Officer)가 있는 경우 그도 DPIA에 참여해야 합니다.

4. DPIA는 언제 수행해야 하나요?

조직은 어떤 새로운 프로젝트를 시작할 때부터 DPIA를 반영하고, 기획 및 개발 과정 전반에 걸쳐 DPIA를 수행해야 합니다.

5. DPIA에는 무엇이 포함되어야 하나요?

정보보호 책임관실(Information Commissioner’s Office, ICO) 은 DPIA 평가에 포함할 내용을 설명합니다. 특히 데이터 처리에 대해 다음 요소를 문서화해야 합니다:

• 성격 — 데이터로 무엇을 하려는지
• 범위 — 처리가 포함하는 내용
• 맥락 — 기대나 영향에 영향을 줄 수 있는 내부 및 외부 요인
• 목적 — 조직이 데이터를 처리하려는 이유