EU GDPR에 따른 적정성 평가 초기 결정(bkl)

20210415.pdf

0.12MB

bkl 보고서 목차

 

1. 개요

 

ㅇ GDPR

 

(1) '국가'에 대한 승인인 적정성 결정(Adequacy Decision)

(2) '기업 내부'의 구속력 있는 기업 규칙(Binding Corporate Rules)

(3) '기업 간'의 계약체결을 통한 국외이전 조치(이른바, 표준계약조항(Standard Contract Clauses)

(4) 승인된 행동규약(Codes of Conduct), 승인된 인증 매커니즘(Certification Mechanism)

(5) 명시적 동의를 포함한 예외 사유 등

 

ㅇ 실무적

 

(1)의 경우 => 해당 국가의 개인정보 보호 수준이 GDPR과 동등 수준임을 EU집행위원회에서 승인

(2)의 경우 => 장기간의 시간과 비용 소요

(4)의 경우 => GDPR의 동의 획득의 엄격성 및 예외조항으로 규정되어있다는 점

==> 국내 기업은 (3)표준계약조항 방식(소위 SCC)를 시용해 왔음[스타트업 또는 중소,영세 기업의 경우 data flow를 확인하여 계약구조를 마련하는데 상당한 부담

 

2. 진행경과

 

ㅇ 1단계(초기결정) -> 2단계(의견수렴) -> 3단계(최종결정) 중 1단계지만 실질적으로 8~90%의 비중

- 개인정보보호위원회의 확대 출범으로 큰 진전 ; 한국 개인정보 보호법 체계가 GDR과 동등 수준 확인

 

3. 적정성 결정의 효력 : 개인정보보호위원회가 감독하는 영역

 

4. 개인정보보호위원회 보안규정(고시) 개정

 

ㅇ 개인정보보호위원회고시 제2021-1호

 

(1) 개인정보 수집 목적 외 개인정보 이용, 제공 제한 원칙은 정보주체 국적 관계없이 대한민국 법적 관할권 미치는 영내에서 제3국으로부터 수집하는 모든 개인정보의 처리에 동일 적용

 

(2) 개인정보의 국외 제3자 제공 시, 개인정보처리자는 개인정보 보호법상 요건 및 고려사항 준수, 법에 의해 보장되는 수준의 안전조치 및 정보주체의 권리 행사 보장을 위해 계약서 등 구속력 있는 문서에 이를 반영

 

(3) 개인정보처리자가 EU로부터 개인정보 이전받아 제3자에게 조공하는 경우, 정보주체자에게 통지

 

(4) 개인정보처리자가 통계작성, 과학적 연구, 공익적 기록보존 등의 목적으로 가명정보를 처리할 때 그 구체적 처리 목적을 달성한 이후에는 해당 정보를 익명처리

 

(5) 개인정보 보호법에 따른 개인정보보호위원회의 시정조차 요건 및 개선권고 권한 명확화

 

(6) 국가안보 목적을 위한 개인정보 처리에도 개인정보 보호법 원칙 적용, 뗘 정보주체가 자신이 속한 뗘 회원국의 개인정보 감독기구, 유럽정보보호이사회를 통해 개인정보 보호위원회에 민원을 제기할 수 있음을 명시

 

5. 시사점