항해
GDPR > 제36조. 사전 자문
다운로드 PDF

제36조 GDPR. 사전 자문

Article 36 GDPR. Prior consultation

1. 제35조에 따른 개인정보보호 영향평가를 통해 처리가 고위험의 결과를 초래하는 경우로서 컨트롤러가 그 위험을 완화하기 위해 취한 조치가 부재한 것으로 나타나는 경우 해당 처리 전 감독기관의 자문을 구해야 한다.

1. The controller shall consult the supervisory authority prior to processing where a data protection impact assessment under Article 35 indicates that the processing would result in a high risk in the absence of measures taken by the controller to mitigate the risk.

관련 교과서

2. 감독기관이 제1항의 예정된 처리가 본 규정을 위반할 것이라는 의견을 제시하는 경우로서 특히 컨트롤러가 위험을 충분히 파악하거나 완화하지 못한 경우, 감독기관은 자문 요청을 접수한지 8주의 기간 내에 해당 컨트롤러에게 서면 형식의 권고를 제공해야 하고, 해당하는 경우 프로세서에게도 제공해야 하며, 제58조에 규정된 어느 권한이라도 사용할 수가 있다. 해당 기간은 예정된 처리의 복합성을 고려하여 6주까지 연장될 수 있다. 감독기관은 자문 요청을 접수한 후 한 달 내에 컨트롤러에게, 그리고 해당하는 경우 프로세서에게도 지연의 사유와 함께 그 같은 기간 연장에 대해 알려야 한다. 그 기간은 감독기관이 자문의 목적으로 요청한 정보를 입수할 때까지 연기될 수 있다.

2. Where the supervisory authority is of the opinion that the intended processing referred to in paragraph 1 would infringe this Regulation, in particular where the controller has insufficiently identified or mitigated the risk, the supervisory authority shall, within period of up to eight weeks of receipt of the request for consultation, provide written advice to the controller and, where applicable to the processor, and may use any of its powers referred to in Article 58. That period may be extended by six weeks, taking into account the complexity of the intended processing. The supervisory authority shall inform the controller and, where applicable, the processor, of any such extension within one month of receipt of the request for consultation together with the reasons for the delay. Those periods may be suspended until the supervisory authority has obtained information it has requested for the purposes of the consultation.

3. 제1항에 따라 감독기관의 자문을 구할 때, 컨트롤러는 다음 각 호를 감독기관에 제공해야 한다.

3. When consulting the supervisory authority pursuant to paragraph 1, the controller shall provide the supervisory authority with:

(a) 가능한 경우, 처리에 관여하는 컨트롤러, 공동 컨트롤러 및 프로세서의 개별 책임, 특히 사업체집단 내의 처리에 대한 책임

(a) where applicable, the respective responsibilities of the controller, joint controllers and processors involved in the processing, in particular for processing within a group of undertakings;

(b) 예정된 처리의 목적 및 방법

(b) the purposes and means of the intended processing;

(c) 본 규정에 따라 정보주체의 권리와 자유를 보호하기 위해 제공되는 조치 및 안전조치

(c) the measures and safeguards provided to protect the rights and freedoms of data subjects pursuant to this Regulation;

(d) 가능한 경우, 데이터보호담당관의 상세 연락처

(d) where applicable, the contact details of the data protection officer;

(e) 제35조에 규정된 개인정보보호 영향평가

(e) the data protection impact assessment provided for in Article 35; and

관련 교과서

(f) 감독기관이 요청한 기타 정보

(f) any other information requested by the supervisory authority.

4. 회원국은 자국 의회가 채택하는 입법 조치에 대한 제안서 또는 이러한 입법 조치에 근거한 처리에 관련된 규제조치를 준비하는 동안 자문기관의 자문을 구해야 한다.

4. Member States shall consult the supervisory authority during the preparation of a proposal for a legislative measure to be adopted by a national parliament, or of a regulatory measure based on such a legislative measure, which relates to processing.

5. 제1항에 관계없이, 회원국 법률은 사회 보호 및 공중 보건과 관련된 처리 등, 컨트롤러가 공익을 위해 소관업무를 수행함에 있어 정보를 처리하는 것과 관련하여, 컨트롤러가 감독기관에게 자문을 구하고 사전 승인을 획득하도록 요구할 수 있다.

5. Notwithstanding paragraph 1, Member State law may require controllers to consult with, and obtain prior authorisation from, the supervisory authority in relation to processing by a controller for the performance of a task carried out by the controller in the public interest, including processing in relation to social protection and public health.

ISO 27701 전문 (Recitals) 코멘트를 남겨주세요
ISO 27701

(EN) ISO/IEC 27701, adopted in 2019, added a requirement additional to ISO/IEC 27001, section 4.2.

Here is the relevant paragraph to article 36 GDPR:

5.2.2 Understanding the needs and expectations of interested parties

The organization shall include among its interested parties (see ISO/IEC 27001:2013, 4.2), those parties having interests or responsibilities associated with the processing of PII, including the PII principals.


전체 텍스트에 액세스하려면

전문 (Recitals)

(94) 개인정보보호 영향평가가, 위험요인을 완화할 수 있는 안전장치, 보안조치 및 메커니즘이 부재한 상황에서, 해당 처리가 개인의 권리와 자유에 고위험을 초래한다고 판단하고, 컨트롤러가 해당 위험은 가용할만한 기술과 이행의 비용 면에서 합리적인 수단으로 완화될 수 없다는 의견인 경우, 처리활동 시작 이전에 감독기관에 자문을 요청해야 한다. 이러한 고위험은 특정 유형의 개인정보처리와 처리의 범위 및 빈도수에 따라 촉발될 수 있으며 이는 개인의 권리와 자유를 방해하거나 손상을 초래할 수 있다. 해당 감독기관은 지정된 기간 안에 자문 요청에 응답해야 한다. 그러나 해당 기간 동안 감독기관이 자문요청에 응답하지 않더라도, 처리작업에 대한 금지 권한 등, 이 법에 규정된 감독기구의 업무와 권한에 따른 감독기관의 어떠한 개입도 가능해야 한다. 이러한 자문과정의 일환으로, 문제가 되는 처리와 관련해 수행되는 개인정보보호 영향평가의 결과는, 특히 개인의 권리와 자유에 관한 위험을 완화하기 위해 예상되는 조치는, 감독기관에 제출될 수 있다.

(94) Where a data protection impact assessment indicates that the processing would, in the absence of safeguards, security measures and mechanisms to mitigate the risk, result in a high risk to the rights and freedoms of natural persons and the controller is of the opinion that the risk cannot be mitigated by reasonable means in terms of available technologies and costs of implementation, the supervisory authority should be consulted prior to the start of processing activities. Such high risk is likely to result from certain types of processing and the extent and frequency of processing, which may result also in a realisation of damage or interference with the rights and freedoms of the natural person. The supervisory authority should respond to the request for consultation within a specified period. However, the absence of a reaction of the supervisory authority within that period should be without prejudice to any intervention of the supervisory authority in accordance with its tasks and powers laid down in this Regulation, including the power to prohibit processing operations. As part of that consultation process, the outcome of a data protection impact assessment carried out with regard to the processing at issue may be submitted to the supervisory authority, in particular the measures envisaged to mitigate the risk to the rights and freedoms of natural persons.

(95) 프로세서는, 필요 시 또는 요청에 따라, 개인정보보호 영향평가의 수행에서 파생되거나 감독기관과의 사전자문 활동에서 파생되는 의무를 준수하기 위해 컨트롤러를 도와야 한다.

(95) The processor should assist the controller, where necessary and upon request, in ensuring compliance with the obligations deriving from the carrying out of data protection impact assessments and from prior consultation of the supervisory authority.

(96) 감독기관과의 자문은 개인정보의 처리를 위해 제공되는 법적, 규제적 조치의 준비 과정에서도 이루어져야 하며, 이는 이 법에 맞는 의도된 처리를 준수하고 특히 정보주체에 관련된 위험을 완화하기 위함이다.

(96) A consultation of the supervisory authority should also take place in the course of the preparation of a legislative or regulatory measure which provides for the processing of personal data, in order to ensure compliance of the intended processing with this Regulation and in particular to mitigate the risk involved for the data subject.

코멘트를 남겨주세요
[js-disqus]