기한을 놓치지 않고 DSAR 처리하는 방법

noyb가 121건의 데이터 주체 접근 요청(DSAR)을 2026 Digital Omnibus Reality Check에 대해 테스트했을 때, 83.5%는 법에 맞게 응답되지 않았고 거의 30%는 전혀 응답을 받지 못했습니다.

이 실패는 대부분의 조직이 기한 내에 대응할 만큼 자신의 데이터를 충분히 빠르게 찾지 못한다는 공통 원인에서 비롯됩니다. TrustArc의 2025 Global Privacy Benchmarks Report에 따르면 61%만 데이터 인벤토리 및 매핑을 구현했으며, Netwrix 2026 Data and Identity Security Report에 따르면 55%는 민감한 데이터 인벤토리를 지속적으로 유지하지 않습니다.

데이터 위치 문제는 한 번에 한 요청씩 발생합니다. DSAR은 화요일에 공유된 개인정보함으로 도착할 수 있고, 수요일이 되면 누군가가 다섯 부서장에게 Jane Smith에 관한 정보가 있는지 이메일을 보냅니다.

요청이 도착한 순간부터 45일 카운트가 시작되며, 누군가 검색을 시작했는지 여부와 상관없습니다.데이터 인덱스는 한 사람의 신원을 데이터가 나타나는 모든 위치와 연결하여 각 요청이 처음부터 시작되는 것을 방지합니다.

효과적인 DSAR 처리는 해당 가시성과 검증, 발견, 검토, 편집, 전달 및 감사 증거를 위한 문서화된 프로세스를 결합합니다.

DSAR이란 무엇인가요?

데이터 주체 접근 요청(DSAR)은 개인이 조직에 자신에 관한 개인 데이터를 복사해 달라고 공식적으로 요청하는 것입니다. 또한 조직이 데이터를 보유하는 이유, 데이터를 공유하는 대상, 그리고 데이터를 보유하는 기간을 포함합니다.

유럽 연합 일반 데이터 보호 규정(GDPR) 제15조에 따라 요청 시 어떤 문구도 사용할 수 있습니다. "subject access request" 또는 "Article 15"와 같은 문구는 선택 사항입니다. 접근 권한은 다음과 같은 여러 주체 권리 중 하나입니다: 수정, 삭제 및 이동성.

미국에서는 캘리포니아 소비자 개인정보 보호법과 캘리포니아 개인정보 권리법(CCPA/CPRA)에 따라 응답 기한이 45일이며, 한 번 더 45일 연장할 수 있고, 접수 확인은 10영업일 이내에 필요합니다.

다른 미국 주 법률은 일반적으로 동일한 45일 기간을 사용합니다; 아이오와의 기본 기간은 90일입니다, 45일 더 연장할 수 있습니다. 귀 조직이 EU 거주자도 대상으로 한다면 GDPR은 1개월 내에 응답할 것을 요구하며, 복잡성이나 양이 정당화될 경우 추가로 2개월 연장할 수 있습니다. 연장하는 경우 첫 달 내에 요청자에게 이유를 알려야 합니다.

DSAR 이행이 실패하는 이유

유럽 데이터 보호 위원회(EDPB)의 2024년 통합 집행 프레임워크 보고서, 2025년 1월 16일 채택, 30개 감독 기관이 1,185개 컨트롤러를 조사했습니다. 네 가지 원인이 그들의 발견에서 반복되며 미국 컴플라이언스 팀이 CCPA에서 보는 운영 패턴을 반영합니다.

개인 데이터가 흩어져 있어 단일 색인이 없습니다

한 직원의 데이터는 HR 데이터베이스, customer relationship management (CRM) 기록, 메일함, Teams 채팅, SharePoint 라이브러리, 파일 공유 및 백업에 저장되어 있으며 서로 연결되어 있지 않습니다. 조직의 처리 활동 기록(ROPA)은 처리 범주를 설명할 뿐 특정 개인의 데이터가 물리적으로 어디에 있는지는 나타내지 않으므로 해당 기록을 가리키지 않습니다.

The International Association of Privacy Professionals는 manual ROPAs가 이렇게 구축되면 불완전하고 오래되어 버린다는 사실을 발견했습니다. 이는 각 팀이 처리하는 내용을 정확하게 보고하는 데 의존하기 때문입니다. 어떤 기술도 접근 권한에서 면제하지 않으며, 보관 및 백업된 데이터도 포함됩니다.

수동 검색이 응답 창 대부분을 차지합니다

인덱스가 없으면 누군가 시스템별로 검색합니다. 45일 기간 중 몇 주가 검색에 소요되면 검토가 마지막 며칠에 몰리고, 검토자는 40일째에도 여전히 수정 중입니다. EDPB의 집행 사례 검토에서는 관리자가 일상적으로 특정 파일 유형, 형식 또는 데이터 범주를 답변에서 제외하는 것으로 나타났습니다, 이 과정에서 비텍스트 파일, 메타데이터 및 백업을 놓치고 있습니다.

작업 시작 전에 신원 확인 및 범위 지정이 마찰을 추가합니다

GDPR는 요청자를 진정으로 의심할 때만 신원을 확인하도록 허용하며, 모든 요청에 대해 일상적인 절차로 수행하지 않습니다. CCPA도 유사하게 검증을 등급화합니다 요청의 민감도에 따라.

요청 범위를 정하는 데에도 같은 판단이 필요합니다. 왜냐하면 EDPB는 일반 요청이 요청자가 명시적으로 제한하지 않는 한 모든 개인 데이터를 포함한다고 가정하기 때문입니다. 팀이 조직이 보유한 내용을 볼 수 없다면 합리적인 명확화 질문을 구성할 수 없으며 시간이 계속 흐릅니다.

제3자 및 면제 데이터의 수동 편집은 느리고 위험합니다

응답은 타인의 데이터와 법적 면제가 적용되는 모든 내용을 제외해야 합니다. 수작업으로 할 경우 과도한 편집은 접근 권한을 침해하고, 부족한 편집은 개인 정보를 유출합니다.

Word 또는 Portable Document Format(PDF) 파일에서의 블랙박스 강조는 종종 아래 텍스트를 읽을 수 있게 남겨둡니다. 파일 메타데이터는 이전 작성자와 추적된 변경 사항을 보존하며, 스프레드시트는 행을 숨깁니다.

DSAR 대응 프로세스, 단계별로

문서화되고 반복 가능한 절차가 감사를 견디는 DSAR 이행과 각 요청마다 즉흥적으로 처리하는 것의 차이이며, 절차 부재가 EDPB의 Coordinated Enforcement Framework (CEF) 보고서에서 첫 번째로 지적한 과제입니다.

아래의 일곱 단계는 현재 EDPB 및 California Privacy Protection Agency (CPPA)의 기대를 반영합니다.

1. 요청을 기록하고 승인합니다

채널에 관계없이 요청이 도착하는 즉시 모두 기록하세요. DSAR은 구두, 웹 양식, 소셜 미디어 등 어떤 방식으로 도착하든 유효하므로 누가, 언제, 어떤 채널을 통해 받았는지 기록하세요.

EU GDPR에 따르면, 수령일은 포함되지 않으며마감일이 주말이나 공휴일인 경우 다음 영업일로 연기됩니다. CCPA에 따라 10영업일 이내에 수령을 확인하고 마감일을 X일에서 Y일까지 명시하세요.

2. 요청자의 신원을 확인하세요

요청자의 신원에 대해 합리적인 의심이 문서화되어 있을 때만 공식 신분증을 요청하세요. EDPB의 가이드라인 01/2022는 신분증 사본을 신원을 확인하는 약한 방법으로 간주합니다. 대부분의 경우 사용자 이름과 비밀번호 같은 기존 자격 증명이 요청자를 이미 확인하기 때문입니다.

신분증을 요청해야 하는 경우, 요청자에게 사진과 문서 번호를 가릴 수 있다고 알려주세요. 캘리포니아주는 요청된 내용에 따라 검증을 평가하며, 일상적인 요청에는 합리적인 확실성 수준을, 민감한 개인 정보에는 합리적으로 높은 확실성 수준을 요구합니다.

3. 요청된 내용을 범위로 정하기

요청이 모호하고 많은 정보를 보유하고 있다면 요청자에게 구체화해 달라고 요청하되, 기다리는 동안 작업을 계속하세요. 명확한 답변 요청은 GDPR에 따른 기한을 중단하지 않으며, CCPA도 시간을 멈추지 않습니다. 요청자가 답변하지 않으면 원래 요청을 해석하여 조치하세요.

4. 데이터가 존재하는 모든 시스템에서 데이터를 찾으세요

요청자의 이름과 고객 또는 직원 번호와 같은 안정적인 식별자가 연결된 민감한 데이터에 대해 범위 내 모든 시스템을 검색하세요. EDPB는 검색이 단순히 팀이 습관적으로 확인하는 데이터베이스뿐만 아니라 모든 정보 기술 시스템과 비IT 문서 시스템을 포함할 것을 기대합니다.

CCPA 규정은 Teams 및 Slack과 같은 업무 협업 도구, 아카이브 및 백업된 데이터, 업무용 개인 기기를 포함하는 동등하게 철저한 검토를 요구합니다. Microsoft의 공식 문서는 로컬 컴퓨터 또는 온프레미스 파일 서버의 데이터가 DSR 도구 범위 밖임을 확인하므로, 검색 목록에 모든 파일 서버와 테넌트를 명시해야 합니다.

5. 검토, 수정 및 면제 적용

제3자 데이터 공개 전에 3단계 테스트를 적용하세요:

• 제3자를 식별하지 않고 답변할 수 있나요?
• 그 사람이 동의했나요?
• 그렇지 않다면, 그들의 동의 없이 공개하는 것이 합리적인가요?

가능한 경우 편집하고 보류한 내용을 기록하십시오. GDPR 및 미국 주법에서 일반적으로 인정되는 기타 면제에는 법률 전문가 특권, 진행 중인 협상, 영업 비밀 및 기밀 참고 문서가 포함되며, 각각은 특정 조건이 충족될 때만 적용됩니다.

다음에 따라 the EU GDPR 영업 비밀 및 지적 재산권은 요청을 완전히 거부하지 않고도 복사를 제한할 수 있습니다. 하이라이트 도구 대신 특정 편집 소프트웨어를 사용하고 모든 편집에 대해 방어 가능한 이유를 제공하세요.

6. 응답을 패키징하고 전달합니다

데이터 분석가 없이 요청자가 읽을 수 있는 형식으로 데이터를 제공하세요. GDPR은 응답이 간결하고 투명하며 일반 독자가 이해할 수 있는 언어로 작성되어야 하며, IT만 이해할 수 있는 시스템 내보내기 형식이어서는 안 됩니다. 요청이 전자적으로 접수된 경우, 요청자가 별도로 요구하지 않는 한 일반적으로 사용되는 전자 형식을 보내세요.

네덜란드 Autoriteit Persoonsgegevens가 Uber에 2024년 1월에 1,000만 유로의 벌금을 부과했습니다, 사용하기 어려운 요청 절차, 개인 데이터가 항상 구조화되어 있지 않고 해석하기 어려운 응답 파일, 보존 기간 및 데이터 전송에 대한 불명확한 공개를 이유로 들었습니다. 데이터베이스 행의 원시 내보내기는 해당 기준을 충족하지 못할 수 있습니다.

7. 수행한 작업을 문서화하세요

진행하면서 DSAR 로그를 작성하되, 조직에서 다른 곳에서도 사용하는 동일한 기록 관리 규율을 적용하여 감사자가 귀하 없이도 요청을 재구성할 수 있도록 합니다. 수신 날짜, 담당자, 마감일, 실제 응답 날짜, 지연 사유, 보류된 정보 및 이유, 적용된 면제 및 담당자, 수행된 신원 확인을 기록하십시오. CCPA에 따라 요청 및 응답 기록을 최소 24개월 동안 보관해야 합니다.

DSAR을 잘못 처리했을 때의 비용

DSAR 집행은 세 가지 반복되는 패턴을 따르며, 마감일 미준수, 요청자가 사용할 수 없는 응답, 법에서 허용하지 않는 신원 확인 요구를 포함합니다. 규제 당국은 각 패턴에 대해 조직에 벌금을 부과했습니다.

마감일을 놓치면 직접 벌금이 부과됩니다

벨기에 데이터 보호 당국은 통신 사업자에게 10만 유로의 벌금을 부과했습니다 2024년 8월 DSAR 요청에 14개월 후에 답변한 것에 대해. GDPR은 벌금을 제한합니다 접근 실패에 대해 2천만 유로 또는 전 세계 연간 매출의 4% 중 높은 금액으로, CCPA는 고의 위반당 최대 7,500달러의 민사 처벌을 허용합니다.

그 한도는 다른 GDPR 벌금에서 보이는 동일한 집행 패턴을 따르므로, 늦은 대응은 사건이 도달하기 훨씬 전에 실제 노출을 초래합니다.

불완전하거나 불명확한 응답도 벌금을 부과합니다

네덜란드 데이터 보호 당국은 Netflix에 4,750,000유로의 벌금을 부과했습니다 (2024년 11월 결정). 당국은 Netflix의 개인정보 처리방침이 목적, 수신자 및 보유 기간을 명확히 설명하지 않았으며, 고객이 자신에 대한 Netflix의 데이터 보유 현황을 문의했을 때 충분한 정보를 제공하지 않아 GDPR 제15조의 접근권을 위반했다고 판단했습니다. 요청자가 원하는 정보를 얻지 못하는 경우 적시 응답이라도 책임이 발생합니다.

법이 허용하는 것보다 더 많은 검증을 요구하는 것은 자체적인 책임을 만듭니다

아일랜드 DPC는 Groupon Ireland Operations Limited를 2024년 3월에 이메일 인증이 가능한 상황에서 사진 신분증을 요구한 점에 대해 질책했으며, 가입 시에는 신분증이 필요하지 않았습니다. 2025년 네덜란드 국무회의는 DPG Media에 대한 벌금을 €525,000에서 €262,500로 감액하면서, 회사가 이메일 인증과 같은 덜 침해적인 대안이 가능한지 검토하지 않고 신분증 사본을 요구한 것은 과실 행위임을 확인했습니다.

규제 기관은 액세스 요청 처리를 일상적인 집행 우선순위로 간주합니다

캘리포니아에서 CPPA는 American Honda에 632,500달러의 벌금을 부과했습니다 2025년 3월에 모든 개인정보 요청에 최소 8개의 데이터 필드를 요구하고 법에서 허용하지 않는 확인을 요구하여 최소 20건의 옵트아웃 및 제한 요청을 거부한 혐의로. 개인정보 열람 요청은 2025년 아일랜드의 Data Protection Commission (DPC)에 접수된 불만 중 42%로 가장 큰 비중을 차지했으며, 이러한 사례가 예외가 아닌 일반적임을 보여줍니다.

DSAR 도구 평가 시 확인할 사항

두 번째 또는 세 번째 급박한 상황 이후, 대부분의 컴플라이언스 책임자들은 DSAR 소프트웨어에 대해 문의하기 시작합니다. 이 카테고리는 요청의 전체 수명 주기를 다루며, 캡처 및 기록부터 신원 확인, 분류, 수집, 검증, 커뮤니케이션까지 포함합니다. Discovery가 4단계 소요 시간을 결정하므로 먼저 평가하세요.

데이터가 존재하는 모든 위치에서 검색

도구는 개인 데이터의 존재를 파일, 행, 메시지 수준에서 입증해야 하며, 설문지에 시스템을 나열하는 사람들에게 의존해서는 안 됩니다. 직접 스캔이 그 증거를 제공하며, 개인 데이터 발견 및 분류가 주요 기준이어야 합니다.

하이브리드 커버리지는 77%의 조직이 하이브리드 IT 환경에서 운영하고 있다는 Netwrix의 Cybersecurity Trends Report 2025에 따르면 중요합니다.

Microsoft 중심 환경에서는 온프레미스 파일 서버, Exchange, SharePoint 및 SQL Server를 Microsoft 365와 함께 점검하세요. Microsoft의 Microsoft 365용 DSR 지침은 온프레미스 파일 서버를 범위 밖으로 간주합니다.

워크플로에 통합된 신원 확인 및 접수

단일 접수 경로는 수령을 자동으로 기록하고, 기한(CCPA 승인 기간 또는 GDPR 연장 통지 포함)을 추적하며, 2단계의 검증 단계를 적용하여 모든 신원 확인 요청에 문서화된 합리적 의심이 필요하도록 해야 합니다.

이메일 및 스프레드시트 워크플로는 개별 담당자가 타임스탬프를 수동으로 보존해야 하는 감사 부담을 지우며, 누군가 떠나면 증거가 사라집니다.

모든 파일에 수동 검토가 필요 없는 편집

도구가 1,000개의 문서에서 제3자 이름을 어떻게 처리하는지, 출력물이 가역적으로 가려지는 대신 영구적으로 편집되는지 문의하세요. 일부 eDiscovery 도구의 문서는 편집 메타데이터의 한계에 대해 경고합니다. 제3자 데이터와 면제 범주를 인간 검토 전에 표시하는 도구는 검토자에게 최종 판단을 위한 마지막 주를 제공합니다.

자동으로 생성된 감사 추적

워크플로우는 자동으로 audit trail을 생성하여 모든 검색, 검토자 작업 및 전달을 행위자와 타임스탬프와 함께 기록하여 감사 필드가 자동으로 채워지도록 해야 합니다. CCPA의 24개월 감사 로그 보존 기간을 확인하세요.

Netwrix가 혼란 없이 DSAR을 처리하는 데 어떻게 도움이 되는지

Netwrix Access Analyzer는 데이터 검색, 분류 및 데이터 액세스 거버넌스 엔진을 제공합니다 Netwrix DSPM 뒤에 있으며, 하이브리드 환경을 위한 이러한 기능을 통합합니다.

요청이 도착하기 전에 개인 데이터가 어디에 있는지 알기

Netwrix Access Analyzer는 개인 식별 정보(PII)를 하이브리드 환경 전반에서 발견하고 태그하여, 누군가 요청을 제출하기 전에 DSAR 워크플로우가 의존하는 인덱스된 인벤토리를 구축합니다.

Windows 파일 서버, SharePoint Online을 포함하여 40개 이상의 지원되는 데이터 소스에서 작동합니다, SQL Server 및 Oracle.

나머지 워크플로우가 존재하는 곳

Netwrix DSPM은 개인 데이터가 어디에 위치하며 누가 접근할 수 있는지에 대한 검색 및 접근 계층을 제공합니다. 요청 접수, 신원 확인, 편집 및 응답 로그는 여전히 개인정보 요청 또는 티켓 워크플로우에 속하므로 위 기준에 따라 평가해야 합니다.

서두름에 의존하지 않는 DSAR 프로세스를 구축하세요

요청이 도착하기 전에 인덱스를 구축하면 서두를 필요가 없어집니다. 검색이 병목 현상이 아니게 되고 네 번째 단계가 모든 시스템을 수동으로 훑는 대신 조회가 되기 때문입니다. HR 공유, 메일박스, 고객 데이터베이스 등 개인 데이터가 집중된 저장소를 분류하는 것부터 시작하세요.

그런 다음 2단계와 7단계에서 검증 계층과 로그 템플릿을 작성하고, 연습 요청을 처음부터 끝까지 실행하여 시간을 측정하세요. 만약 이 연습에서 검색이 여전히 창을 차지하고 있다면, indexed discovery가 데이터 소스를 검색하고 검토를 위해 증거를 보존하는 방법을 확인하세요.

데모 요청하여 Netwrix가 하이브리드 시스템 전반에서 개인 데이터를 인덱싱하고, 시스템별 수동 조회 없이 DSAR 검색을 실행하며, 자동으로 감사 증거를 생성하는 방법을 확인하세요.