ISMS-P 컨설팅 & 보안 솔루션 | 뉴딜코리아: Privacy

레이블이 Privacy인 게시물을 표시합니다. 모든 게시물 표시

2018년 4월 22일 일요일

GDPR 개인정보보호 최적화 설계의 7가지 기본원칙

2018년 도입될 유럽연합의 일반정보 보호규정(General Data Protection Regulation, GDPR)에서는 개인정보보호 최적화 설계(또는 프라이버시 중심 디자인, privacy by design)를 통해 예방(prevention)과 경계(vigilance) 그리고 회복력(resilience)을 중심으로 개인정보를 보호하겠다고 함.

■ 개인정보보호 최적화 설계의 7가지 기본원칙은 아래와 같음

1) 사후 대책보다 사전 대비를 중심으로 데이터를 관리해야 함.

2) 개인정보가 자동적으로 보호되도록 개인정보보호를 기본설정에 포함해야 함.

3) 개인정보보호를 시스템에 추가적인 요소로 여기지 않고, 설계 단계부터 개인정보보호를 빅데이터 시스템에 포함해야 함.

4) 개인정보보호 최적화 설계(privacy by design)에서 개인정보보호(privacy)의 보안(security)은 중요함.

5) 사용되는 모든 데이터는 안전하게 보관되어야 하며, 필요하지 않은 데이터는 파괴 되어야 함(Data lifecycle security).

6) 기업은 투명성(transparency)과 가시성(visibility)을 유지하여야 함:
- 데이터의 주인은 사용자이므로 이해당사자들에게 기업의 운영과 기술에 대해 투명하게 공개하여야함.

7) 사용자 중심(user-centric) 운영:
- 기업은 개인정보보호에 대한 적절한 공지 및 사용자 친화적인 서비스를 제공해야 함.

☞ 그러나 개인정보보호 최적화 설계(privacy by design)의 기본 원칙은 여전히 모호하고 많은 의문점이 있다는 비판이 있음.

○ 개인정보보호 최적화 설계란 : 설계단계에서 제조사가 제품의 잠재적 프라이버시 위험성을 평가하고 제품 개발 및 제조단계에서 이와 관련된 문제를 수정하는 방식을 뜻함.

○ 이 개념은 GDPR의 주요 컴플라이언스 방침 중 하나이며, 2018년부터 새로운 제품, 기기 및 비즈니스 과정에 도입될 예정임.

☎ 참고자료 : http://cafe.naver.com/rapid7/3166

GDPR 교육 및 컨설팅 | ISMS 인증 컨설팅
(070-7867-3721, ismsbok@gmail.com)

2018년 3월 24일 토요일

EU 일반개인정보보호규정(GDPR)으로 인한 조직 정보보호 문화의 변화

뉴딜코리아 홈페이지

EU 일반개인정보보호규정(GDPR)으로 인한 조직 정보보호 문화의 변화
GDPR: ICO chief says new law should change culture around data protection within business

영국 정보보호위원회(ICO)의 엘리자베스 데넘(Elizabeth Denham) 위원은 유럽연합의 일반정보보호규정(GDPR)이 2018년 5월 25일 유럽 전역에서 효력이 발효됨에 따라 조직의 데이터 프라이버시에 대한 태도 자체가 변화할 것이라고 주장했다.

데넘 위원은 개인정보보호 실무자 컨퍼런스(Data Protection Practitioners Conference) 2017에서 기조연설을 통해 새로운 법률이 데이터 프라이버시와 보안 이슈가 모든 유형의 조직에 공통 이슈로 다루어지기를 희망한다고 말했다.

그녀는 보다 포괄적인 개인정보 보호 프로그램을 표준으로 상정하고, 이를 기업이 이용자 정보를 보다 잘 보호하도록 하는 문화가 만들어지기를 바란다고 말했다.

유럽연합의 GDPR은 모든 기업과 조직이 프라이버시 문화를 고양하는데 활용될 수 있는 프레임워크이며, 단순히 기술자들이 아닌 조직 전체 구성원이 취해야 하는 임무와 책임에 관한 것이라고 그녀는 강조했다.

그럼에도 불구하고, 아직 많은 수의 개인정보보호 담당자들이 개인정보 유출에 따른 고지 의무 및 불이행 시 따르는 처벌 등 개인정보 보호와 관련된 주요 법률적 내용과 중요성을 조직 차원에 널리 인식시키기 위해 노력하고 있다고 그녀는 말했다.

아울러 그녀는 장기적으로 개인정보보호 의무를 충실히 이행하지 않을 경우 브랜드 명성과 비즈니스 활동에 부정적인 영향이 미칠 수 있다고 경고했다.

만일 기업이 자신의 비즈니스 정책과 이행에 있어 데이터 보호를 위한 모범을 보이지 못한다면, 기업의 공적 명성과 경제적 이익에 피해를 입을 것이라고 그녀는 말했다.

그러나 GDPR를 준수함으로써 보다 책임있는 기관, 조직으로서의 위상과 그에 따른 혜택이 있기를 바란다고 그녀는 덧붙였다.

그녀는 개인정보를 보다 철저히 보호함으로써 더 나은 법적 컴플라이언스 환경을 구축하게 되고, 이를 통해 경쟁우위를 차지할 수 있을 것이라고 지적했다.

GDPR은 유럽연합 전역에서 강력한 집행력을 갖게될 것으로 전망된다.

이 법률을 어길 경우 전 세계 매출액의 최대 4%까지 벌금이 부과될 수 있다.

그러나 법률 위반이 발견될 경우 처음부터 엄격한 벌칙 조항이 적용되지는 않을 것으로 보이며, 조직이 개인정보를 보호하기 위해 어떠한 노력을 했는가에 따라 벌금 규모가 줄어들 수도 있을 것으로 보인다.

유럽 지역에서는 GDPR을 비롯하여 향후 수년내 데이터 보호, 개인정보 보호 및 컴퓨터 보안과 관련된 여러 가지 새로운 법률이 제정되어 적용될 전망이다.

역자의견:
기술의 발전에 따라 데이터 유출 규모와 양이 증가함에 따라 이를 방지하기 위한 법제 노력이 전 세계적으로 이루어지고 있다.

특히 유럽연합은 GDPR과 더불어 네트워크 정보보호 법률, 프라이버시 보호 법률 등의 제정과 이행을 추진 중이다.

이러한 국제적 추세에 맞추어 법규 전반에 걸친 끊임없는 검토와 개정이 필요할 것으로 보인다.