제40조 📖 GDPR. 행동강령

제40조 GDPR. 행동강령

1. 회원국, 감독기관, 유럽 데이터보호이사회, 집행위원회는 다양한 처리 부문의 명확한 특징과 영세 및 중소기업의 특정 요구를 고려하여 본 규정을 적절히 적용하기 위한 취지의 행동강령을 입안하도록 장려한다.

2. 컨트롤러나 프로세서의 각 범주를 대표하는 협회(associations) 또는 기타 기관은 다음 각 호와 관련하여 본 규정의 적용을 구체화할 목적으로 행동강령을 제정하거나 해당 강령을 수정 또는 확대할 수 있다.

전문 (Recitals)

(89) 지침 95/46/EC에서는 감독기관에 개인정보처리를 통지하라는 일반적인 의무조건을 규정하고 있었다. 이러한 의무는 행정적, 재정적 부담을 주는 반면, 항상 개인정보보호 개선에 도움이 된 것은 아니었다. 따라서 이러한 무차별적인 일반적인 통지의 의무는 철폐되어야 하며, 대신 처리 작업의 성격·범위·상황·목적에 따라 개인의 권리와 자유에 고위험을 초래할 가능성이 있는 처리작업 유형을 중점적으로 통지하는, 효과적인 절차와 메커니즘으로 대체되어야 한다. 여기에 해당되는 처리작업의 유형은 신기술을 사용하는 경우나 새로운 종류의 처리인 경우, 컨트롤러가 이전에 개인정보 영향평가를 시행한 적이 없는 경우나 혹은 최초의 처리 이후 시간이 흘러 개인정보 영향평가가 필요하게 된 경우가 포함된다.

(90) 이러한 경우, 고위험의 가능성 및 강도를 평가하기 위해 처리의 성격·범위·상황·목적 그리고 위험요소의 출처를 고려하여, 처리 이전에 개인정보보호 영향평가가 컨트롤러에 의해 수행될 수 있어야 한다. 이러한 개인정보보호영향평가는 해당 위험을 완화하고 개인정보를 보호하며, 본 규정의 준수여부를 입증하기 위한 조치, 안전장치 및 메커니즘을 특히 포함해야 한다.

(a) 공정하고 투명한 처리

관련 교과서

(b) 특정 상황에서의 컨트롤러의 정당한 이익

(c) 개인정보의 수집

(d) 개인정보의 가명처리

(e) 일반 및 정보주체에게 제공되는 정보

(f) 정보주체의 권리 행사

(g) 아동에게 제공되는 정보 및 아동의 보호, 아동에 대한 친권을 보유한 자의 동의를 획득하는 방식

(h) 제24조 및 제25조에 규정된 조치 및 절차, 제32조에 규정된 처리의 안전을 보장하기 위한 조치

관련 교과서

제24조 GDPR. 주제 및 목적

1. 컨트롤러는 개인정보의 처리가 자연인의 권리 및 자유에 미치는 위험의 다양한 가능성 및 정도와 함께 최신 기술, 실행 비용, 그리고 처리의 성격, 범위, 상황 및 목적을 고려하여, 그 처리가 본 규정에 따라 이루어졌음을 보장하고 입증할 수 있도록 적절한 기술 및 관리적 조치를 취해야 한다.

2. 처리활동과 관련하여 비례하는 경우, 제1항의 조치는 컨트롤러의 적절한 개인정보보호 정책의 이행을 포함해야 한다.

3. 제40조의 승인된 행동강령의 준수 또는 제42조의 공인 인증 메커니즘은 컨트롤러의 의무의 준수를 입증하기 위한 요소로 사용될 수 있다.

제25조 GDPR. 설계 및 기본설정에 의한 개인정보 보호

1. 컨트롤러는 개인정보의 처리가 자연인의 권리 및 자유에 미치는 위험의 다양한 가능성 및 정도와 함께 최신 기술, 실행 비용, 그리고 처리의 성격, 범위, 상황 및 목적을 고려하여, 가명처리 등의 기술 및 관리적 조치를 개인정보의 처리 방법을 결정한 시점 및 그 처리가 이루어지는 해당 시점에 이행해야 한다. 그러한 기술적 및 관리적 조치는 본 규정의 요건을 충족시키고 정보주체의 권리를 보호하기 위해 데이터 최소화 등 개인정보 보호원칙을 효율적으로 이행하고 필요한 안전조치를 개인정보 처리에 통합할 수 있도록 설계되어야 한다.

2. 컨트롤러는 기본설정을 통해 각 특정 처리 목적에 필요한 개인정보만 처리되도록 적절한 기술적 및 관리적 조치를 이행해야 한다. 그 의무는 수집되는 개인정보의 양, 그 처리 정도, 보관기관 및 이용가능성에 적용된다. 특히, 그러한 조치는 기본설정을 통해 개인정보가 관련 개인의 개입 없이 불특정 다수에게 열람되지 않도록 한다.

3. 제42조에 의거한 승인된 인증 메커니즘은 본 조 제1항 및 제2항에 규정된 요건의 준수를 입증하는 요소로 사용될 수 있다.

제32조 GDPR. 처리의 보안

1. 컨트롤러와 프로세서는 개인정보의 처리가 자연인의 권리 및 자유에 미치는 위험의 다양한 가능성 및 정도와 함께 최신 기술, 실행 비용, 그리고 처리의 성격, 범위, 상황 및 목적을 고려하여, 해당 위험에 적정한 보안 수준을 보장하기 위해 특히 다음 각 호 등을 포함하여 적정한 기술 및 관리적 조치를 이행해야 한다.

(a) 개인정보의 가명처리 및 암호처리

(b) 처리 시스템 및 서비스의 지속적인 기밀성과 무결성, 가용성, 복원력을 보장할 수 있는 역량

(c) 물리적 또는 기술적 사고가 발생하는 경우 개인정보에 대한 가용성 및 열람을 시의 적절하게 복원 할 수 있는 역량

(d) 처리의 보안을 보장하는 기술 또는 관리적 조치의 효율성을 정기적으로 테스트 및 평가하기 위한 절차

2. 보안의 적정 수준을 평가할 때는 처리로 인해 발생하는 위험성, 특히 이전, 저장 또는 다른 방식으로 처리된 개인정보에 대한 우발적 또는 불법적 파기, 유실, 변경, 무단 제공, 무단 열람에 대해 고려해야 한다.

3. 제40조에 규정된 공인된 행동강령 또는 제42조에 규정된 공식 인증 메커니즘을 준수하는 것은 본 조 제1항에 규정된 요건의 준수를 입증하는 요소로 활용될 수 있다.

4. 컨트롤러와 프로세서는 컨트롤러나 프로세서의 권한에 따라 개인정보를 열람하는 모든 자연인이 유럽연합 또는 회원국 법률로 요구되는 것이 아니라면 컨트롤러의 지시에 따른 경우를 제외하고는 개인정보를 처리하지 못하도록 해야 한다.

(i) 감독기관 및 정보주체에게 개인정보 침해에 대해 통지

(j) 제3국이나 국제기구로 개인정보 이전

(k) 제77조 및 제79조에 따른 정보주체의 권리를 침해하지 않고, 처리와 관련하여 컨트롤러와 정보주체 간의 분쟁을 해결하기 위한 재판 외 절차 및 기타 분쟁해결 절차

관련 교과서

제77조 GDPR. 감독기관에 민원을 제기할 권리

1. 다른 행정적 또는 법적 구제책을 침해하지 아니하여, 모든 정보주체는 본인에 관한 개인정보의 처리가 본 규정을 침해한다고 판단될 경우 특히 거주지, 근무지 또는 침해 발생 의혹이 있는 장소가 소재한 회원국의 감독기관에 민원을 제기할 권리가 있다.

2. 민원을 접수한 감독기관은 제78조에 의거한 법적 구제책의 가능성 등 민원 처리 경과 및 결과를 민원인에게 통보해야 한다.

제79조 GDPR. 컨트롤러나 프로세서를 상대로 한 효과적인 사법구제권

1. 제77조에 따른 감독기관에 민원을 제기할 권리 등 가용할 수 있는 행정적 또는 법률외적 구제책을 침해하지 아니하여, 각 정보주체는 본인에 관한 개인정보의 처리가 본 규정을 준수하지 않음으로 인해 본 규정에 의거한 본인의 권리가 침해되었다고 판단될 경우 사법적 구제책을 가질 권리가 있다.

2. 컨트롤러 또는 프로세서를 상대로 한 법적 절차는 해당 컨트롤러 또는 프로세서의 사업장이 있는 회원국의 법정에서 진행되어야 한다. 그렇지 않으면 컨트롤러 또는 프로세서가 공적 권한을 행사하는 회원국의 공공기관이 아닌 한 정보주체의 거주지가 있는 회원국의 법정에서 절차가 진행될 수도 있다.

3. 본 규정을 적용 받는 컨트롤러 또는 프로세서의 규정 준수와 더불어, 제3조에 따라 본 규정을 적용 받지 않는 컨트롤러 또는 프로세서는 제46조(2) (e)호의 조건에 따라 제3국 또는 국제기구로의 개인정보 이전에 대한 프레임워크 안에서 적정한 안전조치를 제공하기 위해 본 조 제5항에 따라 승인된 행동강령과 본 조 제9항에 따라 일반적인 효력을 가지는 행동강령을 준수할 수 있다. 해당 컨트롤러 또는 프로세서는 계약 증서 또는 기타의 법적 구속력이 있는 장치를 통해, 정보주체의 권리에 관해서 등 상기의 적정한 안전조치를 적용하기 위해 구속력 있고 강제할 수 있는 약속을 해야 한다.

관련 교과서

제3조 GDPR. 영토의 범위

1. 본 규정은 유럽연합 역내의 컨트롤러 또는 프로세서의 사업장의 활동에 수반되는 개인정보의 처리에 적용되고, 이 때 해당 처리가 유럽연합 역내 또는 역외에서 이루어지는지 여부는 관계없다.

2. 본 규정은 개인정보의 처리가 다음 각 호와 관련되는 경우, 유럽연합 역내에 설립되지 않은 컨트롤러 또는 프로세서가 유럽연합 역내에 거주하는 정보주체의 개인정보를 처리할 때도 적용된다.

(a) 정보주체가 지불을 해야 하는지에 관계없이 유럽연합 역내의 정보주체에게 재화와 용역을 제공

(b) 유럽연합 역내에서 발생하는 정보주체의 행태를 모니터링

3. 본 규정은 유럽연합 역내에 설립되지 않았으나 국제 공법에 의해 회원국의 법률이 적용되는 장소에 설립된 정보주체가 개인정보를 처리하는 데 적용된다.

제46조 GDPR. 적정한 안전조치에 의한 이전

[…]

2. 제1항의 적정한 안전조치는 감독기관의 특별한 승인을 요하지 아니하고 다음 각 호에 의해 제공될 수 있다.

[…]

(e) 정보주체의 권리에 관한 것 등 적정한 안전조치를 적용하기 위한 것으로 법적 구속력 및 강제력이 있는 제3국의 컨트롤러나 프로세서의 약속을 포함한 제40조에 의거한 공인 행동강령

4. 본 조 제2항의 행동강령은 제41조(1)에 규정된 기관이 제55조와 제56조에 따른 감독기관의 업무와 권한을 침해하지 않고, 행동강령을 적용하기로 약속한 컨트롤러와 프로세서가 해당 조문을 준수하는 것을 의무적으로 모니터링 할 수 있도록 하는 메커니즘을 포함해야 한다.

관련 교과서

제41조 GDPR. 승인된 행동강령의 모니터링

1. 제57조와 제58조에 따른 관련 감독기관의 업무와 권한을 침해하지 않으면서, 제40조에 따른 행동강령의 준수에 대한 모니터링은 행동강령의 주제와 관련하여 적정 수준의 전문지식을 보유하고, 관련 감독기관이 그 목적으로 승인한 기관이 실시할 수 있다.

[…]

제55조 GDPR. 법적 자격(competence)

제56조 GDPR. 선임 감독기관의 법적 자격

5. 행동강령을 작성하거나 기존 강령을 개정 또는 확대할 의도인 본 조 제2항의 협회 또는 기타 기관은 제55조에 따른 권한을 가지는 감독기관에 강령 초안이나 개정 또는 확대 강령을 제출해야 한다. 감독기관은 강령 초안이나 개정 또는 확대 강령이 본 규정에 부합하는지 여부에 대한 의견을 제시하고 적정한 안전조치를 제공한다고 판단되는 경우, 해당 초안이나 개정 또는 확대 강령을 승인해야 한다.

관련 교과서

제55조 GDPR. 법적 자격(competence)

6. 강령 초안이나 개정 또는 확대 강령이 제5항에 따라 승인되는 경우, 또한 해당 행동 강령이 복수 회원국에서의 처리 활동과 관련되지 않을 경우, 감독기관은 그 강령을 등록 및 공개해야 한다.

7. 행동강령 초안이 복수 회원국에서의 처리 활동에 관련될 경우, 제55조에 따른 권한을 가지는 감독기관은 강령 초안이나 개정 또는 확대 강령을 승인하기 전에 제63조에 규정된 절차에 따라 유럽 데이터보호이사회에 이를 제출해야 하며, 이사회는 강령 초안이나 개정 또는 확대 강령이 본 규정을 준수하는지 여부, 또는 제3항에 규정된 상황에서, 적정한 안전조치를 제공하는지 여부에 대한 의견을 제시해야 한다.

관련 교과서

제55조 GDPR. 법적 자격(competence)

제63조 GDPR. 일관성 메커니즘

1. 유럽연합 전역에 본 규정을 일관되게 적용하기 위해, 감독기관들은 본 절에 명시된 일관성 메커니즘을 통해 상호 간에, 그리고 적정한 경우 집행위원회와 협력해야 한다.

8. 제7항에 명시된 의견이 해당 강령 초안이나 개정 또는 확대 강령이 본 규정을 준수한다고 확정하거나 제3항에 규정된 상황에서 적정한 안전조치를 제공한다고 확정하는 경우, 유럽 데이터보호이사회는 본 의견을 집행위원회에 제출해야 한다.

9. 집행위원회는 이행 법률을 통해 제8항에 따라 제출된 승인된 행동강령이나 개정 또는 확대 강령이 유럽연합 내 일반적인 효력을 가진다고 결정할 수 있다. 그 이행 법률은 제93조(2)에 규정된 심사 절차에 따라 채택되어야 한다.

관련 교과서

제93조 GDPR. 위원회(Committee) 절차

[…]

2. 본 항을 참조하는 경우, 규정서 (EU) No 182/2011의 제5조가 적용되어야 한다.

[…]

10. 집행위원회는 제9항에 따라 일반적 효력을 가진다고 결정이 내려진 승인된 강령이 적절히 홍보되도록 해야 한다.

11. 유럽 데이터보호이사회는 승인된 행동강령과 개정 또는 확대된 강령 일체를 등록부에 취합하고 적절한 수단을 통해 이를 공개해야 한다.

유럽연합 일반 데이터 보호 규칙(EU GDPR)

Source: http://www.pipc.go.kr/cmt/not/ntc/selectBoardArticle.do?nttId=5969&bbsId=BBSMSTR_000000000121&bbsTyCode=BBST03&bbsAttrbCode=BBSA03&authFlag=Y&pageIndex=6

ISO 27701 전문 (Recitals) 지침 및 사례 법률 코멘트를 남겨주세요

ISO 27701

(EN) ISO/IEC 27701, adopted in 2019, added a requirement additional to ISO/IEC 27001, section 4.1.

Here is the relevant paragraph to article 40 GDPR:

5.2.1 Understanding the organization and its context

The organization shall include among its interested parties (see ISO/IEC 27001:2013, 4.2), those parties having interests or responsibilities associated with the processing of PII, including the PII principals.

…

로그인
전체 텍스트에 액세스하려면

전문 (Recitals)

(98) 컨트롤러 또는 프로세서의 범위를 대표하는 협회나 기타 기구는 이 법에서 정한 제한선에 따라 행동강령을 정하도록 권장되며, 이를 통해 특정분야에서 수행되는 처리의 구체적인 특성과 영세 및 중소기업의 구체적인 니즈(needs)를 고려하여 이 규정을 효과적으로 적용할 수 있게 된다. 특히, 이러한 행동강령은 처리가 개인의 권리와 자유에 초래할 수 있는 위험을 고려하여, 컨트롤러와 프로세서의 의무를 계산할 수 있다.

(99) 행동강령을 정할 때 또는 이러한 강령의 범위를 변경하거나 확대할 때, 컨트롤러 또는 프로세서의 범위를 대표하는 협회 또는 기타 기구들은, 가능한 경우 정보주체를 포함한 관련 이해관계자와 상의해야하며, 해당 자문에 대한 제출자료 및 견해를 참작해야 한다.

지침 및 사례 법률

(EN)

Document

EDPB, Guidelines 1/2019 on Codes of Conduct and Monitoring Bodies under Regulation 2016/679 (2019).

EDPB, Guidelines 4/2021 on Codes of Conduct as Tools for Transfers (2021).

코멘트를 남겨주세요

[js-disqus]