※ 아래 글은 정보통신기술진흥센터(IITP)가 발간하는 주간기술동향 1849호(2018. 6. 5. 발행)에 기고한 원고입니다.


▶ IITP에서 PDF 포맷으로 퍼블리싱한 파일을 첨부합니다. 가독성이 좋으니 참고하시기 바랍니다.

모든 ICT 서비스의 기본 요건이 될 일반정보보호규정(GDPR) 발효.pdf



[ 요 약 ]


향후 ICT 비즈니스에 태풍의 핵이 될 유럽연합(EU)의 일반정보보호규정(GDPR)525일 드디어 발효되었음. 규정 위반 시 글로벌 매출의 4%까지 벌금을 부과할 수 있도록 한 GDPREU 역내에서 사업을 하는 기업이 아니라, EU 시민과 관련된 데이터를 취급하는 기업을 대상으로 하고 있기에 사실상 전세계 모든 기업에 해당한다 할 수 있음. 당분간 비즈니스의 위험 요소이긴 하나 IoT, AI, 자율주행 등 미래 ICT 비즈니스의 성공을 위해서도 GDPR 준수는 반드시 필요하므로 기업들은 신속히 대응 태세를 구축해 나갈 필요가 있음



[ 본 문 ]


유럽연합이 기업의 개인정보보호 의무를 대폭 강화시킨 일반정보보호규정(GDPR)’이 발효된 첫날부터, 구글과 페이스북 등 주요 기업들에 대한 제소가 줄을 이었음


오스트리아 소재 디지털 권리 보호 비영리단체인 ‘Noyb(None of your business)’는 구글, 페이스북, 인스타그램, 왓츠앱 등이 GDPR을 위반했다고 주장하며, 이들 기업을 프랑스, 독일, 오스트리아, 벨기에 등에서 제소하였음


NoybGDPR이 서비스 이용에 필요한 개인정보 수집을 반드시 필요한 수준으로 제한하고 있으나, 구글과 페이스북 등은 광고를 위해 이용자가 개인정보 사용에 동의하도록 사실상 강제하고 있다며 제소 이유를 밝혔음


페이스북과 구글은 EUGDPR의 가이드라인 준수를 위해 1년여 넘게 최선을 다해 준비해 왔으며, 개인정보보호 규정을 지킬 것이라 약속해 왔음에도 불구하고 제소를 피하지 못했는데, Nyob 외에도 다수의 단체에서 GDPR 규정 위반을 지적하고 있음


한편 일부 미국 기업들은 이 같은 피소 사태를 우려해서인지 GDPR 발효 첫날에 아예 유럽 국가에서 서비스를 차단하기도 했는데, 특히 LA타임스, 시카고 트리뷴, 리 엔터프라이즈 등 언론사들이 웹사이트 접속을 중단시켰음


<자료> SXM IslandTime

[그림 1] 5월 25일 발표된 EU의 GDPR


규정 발효 첫날 벌어진 이러한 사태는 GDPR의 가장 무서운 점은 기업에 미치는 영향을 가늠할 수 없는 불확실성에 있다는 분석을 실제로 확인시켜 주었음


GDPREU의 데이터 보호법을 현대화하려는 노력의 일환으로 5년 이상의 작업을 거쳐 20164월에 채택되었으며, EU 거주민의 개인정보를 취급하는 경우, 그 데이터가 처리되는 장소가 어디든 상관없이 적용되는 말 그대로 장난 아닌규정임


GDPR은 또한 감독 기관에 강력한 힘을 부여하고 있으며, 무엇보다 규정을 위반한 기업이나 단체에 거액의 벌금을 부과하는데, 최대 2000만 유로 혹은 전년도 글로벌 매출4% 더 높은금액을 부과하도록 되어 있음


사이버 보안과 정보위험관리에 초점을 둔 글로벌 비영리 정보보호 기구인 ISF(Information Security Forum)GDPR이 기업들에게 치명적인 이유는 규정 위반이 언제든 발생할 수 있으나 그 발생 시기를 가늠할 수 없다는 데 있다고 보고 있음


ISF에 따르면 그동안 기업의 관행을 GDPR 조항과 비교할 때 규정 위반이 될 가능성이 높은데, 문제는 GDPR의 지속적인 준수를 위해 요구되는 기업의 근본적인 변화가 단기간에 달성되기 어렵다는 데 있음


기업들로서는 서비스 접속 자체를 아예 중단하거나 아니면 서비스를 유지하되 최단 기간 내에 비즈니스 시스템을 규정에 맞도록 변화시켜야 하는데, 후자의 경우 패러다임 전환 완료 전까지 언제든 규정 위반 처분을 받을 수 있는 불확실성이 상존하게 됨


반면 딜로이트 컨설팅은 자체 정보망을 통해 규제 당국이 조사를 완료하기까지는 시간이 좀 걸릴 것이며, 규제 처분이 나오기까지는 6~8개월이 걸릴 것이기 때문에, 실제 사건이 발생하기 전까지는 문제가 없을 것이라는 분석을 내놓은 바 있음


이 말은 GDPR 준수 프로그램을 기업 내부적으로 마련하는데 좀 늦었다 하더라도, 조사에 시간이 걸리기 때문에 지금이라도 시작하는 게 낫다는 권고의 의미를 담고 있는 것이었는데, 발효 첫날 벌어진 상황은 예상보다 시간이 훨씬 부족할 수 있음을 시사


비즈니스 불확실성 제거를 위한 신속한 GDPR 대응 시스템의 구축은 규정에 대한 이해에서부터 시작해야 하는데, GDPR은 다음 6개 원칙에 따른 개인 데이터 처리를 규정하고 있음


[1] GDPR의 개인 데이터 처리 6원칙

개인 데이터는 적법하고 공정하게, 투명한 방식으로 처리되어야 함

구체적으로 명시되어 있고, 명확하며 합법적인 목적을 위해 수집되어야 함

조직의 요구를 충족하는데 필요한 것으로 제한되어야 함

정확해야 하고, 최신성을 필요로 하는 곳에서는 최신성을 유지해야 함

데이터 주체를 식별할 수 있는 형식으로 개인 데이터를 보관하는 것은 필요한 기간을 넘겨서는 안 됨

개인 데이터의 적절한 보안을 확보할 수 있는 방식으로 데이터를 처리해야 함

<자료> IITP 정리

한마디로 GDPR은 유럽인의 개인 데이터를 보유하고 있는 조직이 그 데이터를 합리적인 방식으로 사용하는 동시에, 그 개인 데이터의 선한 관리인이 될 것을 강제하는 규정임


GDPR은 유럽 시민이 기대하는 바와 일치되도록 기업과 조직이 개인 데이터를 사용할 것을 확실히 하기 위한 것이었으나, 최근에는 GDPR의 컨셉이 비단 유럽뿐만 아니라 예상을 뛰어 넘어 전세계적으로 확산되어 가는 움직임이 나타나고 있음


가령 GDPR의 개념은 현재 아시아 지역의 규제 기관들에 의해서도 도입되고 있으며, 자국민의 데이터를 처리하고 사용하는데 있어 하나의 기준점이 되고 있음


이에 따라 현재 누구나 다 GDPR 준수를 준비하고 있는데, 기업들은 데이터 주권의 관점에서 그 데이터가 물리적으로 어디에서 나온 것인지 주의를 기울일 필요가 있으며, 금융기관, 의료기관, 심지어 석유와 가스 회사들도 GDPR에 대응하고 있음


아직 GDPR 준수 프로그램을 도입하지 않은 기업은 자신들이 적용 대상인지 여부를 신속히 검토할 필요가 있는데, EU 지역에 사업장이 없어도 대상이 될 수 있다는 것이 포인트


ISF‘GDPR 구현 가이드(Implementation Guide)’에 따르면 다음과 같은 기업이나 단체는 모두 GDPR이 적용 대상이 됨


▸ ① EU 역내에 본사를 둔 기업이나 단체, EU 역외에 본사를 두지만 EU 역내의 데이터 주체를 상품과 서비스의 대상으로 하고 있는 기업이나 단체, EU 역외에 본사를 두지만 EU 역내 개인의 행동을 파악하거나 추적하고 있는 기업이나 단체


여기서 주의 깊게 볼 것은 GDPR의 보호 대상은 EU 시민의 개인 데이터라는 점이며, 이러한 데이터를 취급하는 기업이라면 사업장 소재지와 상관없이 GDPR을 준수할 의무가 있다는 사실


가령 미국의 호텔이 EU 역내에 사는 숙박자의 정보를 보유하는 경우나, 미국의 병원이 유럽에서 치료를 받기 위해 건너온 환자의 상태 정보를 주기적으로 모니터링 하는 경우에도 GDPR의 적용 대상이 된다는 것임


유럽 시민이 관련된 비즈니스를 하는 기업은 그 사업 내용이 무엇이든 GDPR에 단단히 주의를 기울일 필요가 있다는 것인데, 이는 사람의 이동이 자유화되고 글로벌화 된 이런 시대에는 사실상 모든 기업이 잠재적 대상이 될 수 있음을 의미함


IT 엔지니어들의 커뮤니티를 운영하는 스파이스웍스는 GDPR에 대해 아직 잘 모르겠다며 대응에 손을 놓고 있는 기업이 많은데, 아직 준비를 시작하지 않은 기업들은 지금이라도 관심을 갖고 더 많은 주의를 기울여야 한다고 권고하고 있음


GDPR의 적용 대상이 되는 기업이나 단체는 우선 EU 역내의 주요 감독 기관이 어디인지를 확인할 필요가 있는데, ISFGDPR 구현 가이드에 따르면 확인 방법은 다음과 같음


EU 역내에 설립된 기업이나 단체는 본사 소재지를 기준으로 자신들의 주요 감독 기관이 어디인지 확인해야 함


본사가 EU 역내에 없는 경우, 데이터 주체의 대부분이 존재하거나 개인 데이터 처리가 이루어지는 EU 회원국의 감독 기관이 주요 감독 기관이 되어야 함


EU 지역에 거점이 없는 기업이나 단체가 GDPR의 적용 대상이 되는 개인 데이터를 처리하는 경우, 데이터 주체의 대부분이 존재하거나 개인 데이터의 처리가 이루어지는 EU 회원국 내에 반드시 대리인을 선임해야 함


기업 차원에서 GDPR 준수 프로그램의 첫 단계는 발견(discovery)’하는 것인데, 자신들이 처리하는 개인 정보의 범위와 본질적 특성을 명확히 확인할 필요가 있음


GDPR 규정에 따르면 식별된 또는 식별 가능한 자연인(데이터 주체)과 관련된 어떤 정보(any information)’라도 모두 개인 데이터(personal data)가 됨


또한 특별 카테고리에 속하는 개인 정보로 인종 또는 민족적 배경, 정치적 견해, 종교적 또는 철학적 신념, 노동조합원 자격 등을 드러내는 데이터, 자연인은 고유하게 식별하기 위해 처리하는 유전자 혹은 생체 데이터, 건강에 관한 데이터, 자연인의 성생활 또는 성적 취향에 관한 데이터' 등을 규정하고 있음


다음 단계로는 모든 개인 데이터 처리에 관해 최신의 정확한 세부 내역을 제공할 수 있도록 관련 기록을 유지하는 것인데, 이 요구사항은 다음의 경우에 적용됨


기업이나 조직의 직원 수가 250명 이상인 경우


기업이나 조직의 직원이 250명 미만이더라도, 그 개인 데이터의 처리가 데이터 주체의 권리와 자유에 위험을 초래할 수 있는 경우, 데이터 처리가 간헐적으로 발생하는 것이 아니라 정기적으로 발생하는 경우, 데이터 처리가 개인 데이터의 특별 카테고리를 포함하거나 전과 기록 및 범죄와 관련된 경우


GDPR의 요구 사항은 기업이나 단체가 개인 데이터의 관리자(controller)’인지 처리자 (processor)’인지에 따라 달라지기는 하나, 많은 기업이 양자 모두에 해당함


관리자는 개인 데이터 처리의 목적과 수단을 결정하는 개체를 말하며, 처리자은 관리자를 대신하여 개인 데이터를 처리하는 개체를 의미함


일반적으로 GDPR은 동의의 취득, 동의 철회 관리, 개인 데이터에 접근할 수 있는 권리의 활성화와 관련된 사항에서는 데이터 관리자에게 책임을 부과하고 있으며, 따라서 데이터 관리자는 GDPR을 충족하는 데이터 처리자를 선택할 책임이 있음


GDPR의 대상이 되는 데이터를 식별하고 보존할 필요가 있는 기록과 데이터를 어디서 어떻게 처리할 지를 결정한 다음에는 GDPR의 요구 사항 (Gap) 분석을 실시해야 함


갭 분석은 기업이나 조직의 현재 GDPR 준수 상태를 정확히 평가하는 것으로, 이 작업은 GDPR 준수 프로그램의 범위의 식별과 목표에 도달하기 위해 실행해야 하는 핵심 조치들을 식별하는 데 도움을 줌


ISFGDPR 구현 가이드에서, GDPR 준수 갭 분석을 통해 식별한 과제를 해결하기 위한 우선순위를 결정할 때 고려해야 할 4가지 요소를 다음과 같이 제안하고 있음


[2] GDPR 준수를 위한 기업의 실행 우선순위 결정시 주요 고려 요소

위험성이 높을 것으로 보이는 개인 데이터 처리(예를 들면, 개인 데이터의 특별 카테고리, 전과 경력이나 범죄에 관련된 데이터, 아동과 관련한 개인 데이터 등)

감독 기관이 대규모 페널티를 부과할 수 있는 특정 분야에서의 위반 사항

긴 시간을 필요로 하는 수정(예를 들어, 시스템 개발이 반드시 필요하고, 새로운 IT 서비스가 구비되어야 하고, 상당한 변화가 구현되어야 가능한 수정)

기업이나 조직의 위험 수용범위(risk appetite)를 벗어나는 관행들

<자료> ISF GDPR Implementation Guide, IITP 정리


GDPR 요구사항의 대부분은 오랜 시간동안 논의되어 온 것이므로 가장 주의 깊게 볼 부분은 새롭게 등장한 요구사항인데, 대표적인 것이 개인 데이터 처리 인벤토리(inventory)’


딜로이트 컨설팅은 GDPR 중에는 오래 전부터 적용되어 온 내용도 많다는 점을 지적하며 GDPR의 전신인 ‘1995EU 데이터 보호 지침을 기반으로 발전시켜 오다, 보호 지침을 대체하기에 이른 것이라 보고 있음


따라서 딜로이트는 이전 보호 지침에 없었던 새로운 요구사항에 주목하는데, 기업이 가장 크게 우려해야 할 내용으로 개인 데이터 처리 인벤토리를 꼽고 있음


인벤토리에는 기업이 EU 시민으로부터 모은 모든 정보, 그것을 어떻게 사용했는지, 누구와 공유했는지, 어떻게 전송했는지, 어떻게 보호하고 있는지가 모두 기록되어야 함


또한, 데이터 이동성(portability) 및 제거에 대한 요구사항도 큰 위험요소인데, EU 시민의 요구가 있다면 기업은 의무적으로 자신들이 보유하고 있는 그 시민에 관한 모든 개인 데이터를 하나의 데이터 파일로 생성해야만 함


이 파일은 다른 주체에 양도 가능해야 하고, 요청이 있을 경우에는 그 시민의 개인 정보 일체를 제거

할 수 있어야 하는데, 여기에는 서비스 이용자뿐 아니라 기업 및 조직의 직원 데이터도 포함됨


, 직원 한 명이 회사에 대하여, 회사가 자신에 대해 어떤 데이터를 보유하고 있는지를 물어보고, 그 데이터의 삭제를 요청하며, 삭제했다는 증거를 보여 달라고 할 때 기업은 이에 응해야 할 의무가 있다는 것임


이러한 상황을 종합해볼 때, 딜로이트 컨설팅은 기업의 CIO와 최고 정보보안책임자(CSO)GDPR 준수를 위해 고려해야 할 4가지 핵심 사항으로 다음의 4가지를 제시하고 있음


[3] GDPR 준수를 위한 IT 설계시 CIOCSO가 고려해야 할 요소

핵심 고려요소

내용

개인 정보 처리 인벤토리

기업이나 조직이 필요로 하는 데이터의 대부분은 구조화 및 비구조화된 데이터 저장소에 보관되어 있으므로, IT 부서는 이러한 데이터가 어디에 있는지 목록화를 하는데 핵심 역할을 수행할 수 있어야 함

써드파티 위험 관리 프로그램

정보보호 기능이 써드파티의 보안 평가를 받아들이는 데 양호한 프로세스를 갖추고 있지 못한 상태라면 서둘러 대응할 필요가 있음

데이터 이동성과 제거

CIO는 이 요구사항을 어느 정도 높은 수준까지 채택할 것인지 생각할 필요가 있는데, 대부분의 기업이 수백 개는 아니더라도 수십 개의 개인 데이터 저장소를 가지고 있기 때문임

CIO는 개인 정보 이동 및 제거에 대한 요청을 접수하고, 그러한 요청을 수용하며, 각 개인에 대응할 수 있는 절차를 문서화할 수 있어야 함

수준의 문제는 또 하나가 있는데, 모든 산재한 데이터 소스로부터 단일 파일을 생성하거나 서로 다른 소스에 있는 정보를 모두 삭제할 수 있는 기능의 구현을 위해 어느 정도 수준의 기술적 수단을 도입할 것인지를 결정해야 함

개인정보보호를 위한 시스템 설계

CIOIT 변경 관리 프로세스가 시스템 설계에 의해 개인정보보호가 구현될 것임을 확신시켜 줄 수 있는 절차를 확실히 포함하도록 대응할 필요가 있으며, 여기에는 데이터 보호 영향 평가도 포함됨

<자료> CIO, IITP 정리

 


한편 GDPR은 일견 사람과 무관해 보이는 IoT(사물인터넷) 서비스와도 매우 깊은 관계가 있기 때문에, 이 분야 사업을 준비하는 기업들도 면밀한 검토와 대응을 할 필요가 있음


앞서 살펴보았듯 GDPR은 다양한 장면에서 발생할 수 있는 개인정보 데이터를 보호하는 데 목적이 있으므로, 사람을 직접 대상으로 하지 않는 비즈니스를 영위하는 기업이라도 자신들의 데이터가 개인정보와 연관될 관련성에 대한 검토가 필요함


전문가들은 스마트홈 등 가정에서의 IoT 서비스는 결국 일상생활의 편리함을 목적으로 하는 것이며, 이 편의성은 어느 정도 개인정보 공여를 전제로 하기 때문에 IoT는 본질적으로 GDPR의 주요 대상이 될 가능성이 아주 높다고 보고 있음


또한 개인정보 데이터와 무관하더라도 IoT 데이터의 분석을 통해 얼마든지 개인정보를 유추할 수 있는 가능성이 있기 때문에, 기본적으로 사업을 하려면 GDPR 규정은 무조건 준수해야 한다는 입장을 견지하는 것이 필요할 수 있다고 조언하고 있음


개인정보와 무관한 IoT 데이터가 GDPR을 위반할 가능성이 발생할 수 있는 대표적인 예로는 스마트 미터( smart meter) 서비스가 꼽힘


현재 전력, 가스, 수도 등의 공급 회사들은 스마트 미터를 통해 이용자의 사용량을 측정하여 네트워크를 통해 기업에 전송하고 있는데, 스웨덴이나 이탈리아 등에서는 스마트 미터가 주택의 100% 가까이 보급되어 있음


스마트 미터를 설치하면 이용자와 기업 모두 아무것도 할 필요가 없는데, 이용자는 스마트폰 앱으로 사용량을 실시간으로 확인할 수 있고, 기업은 조사원을 보낼 필요가 없으며 요금이 자동으로 계산되어 청구서를 보내고 받을 수 있음


그런데 스마트 미터는 주택과 연결되어 있고, 따라서 주택 거주자의 데이터와 연결될 수밖에 없는데, 자동화 서비스가 작동하려면 기업의 빌링 시스템에서 관리하는 개인 데이터와 스마트 미터로 계측한 데이터가 상호 연결되어 있어야 함


따라서 만일 대시보드가 해킹 당한다면 중대한 개인 정보가 누출될 수 있는데, 가령 여느 때는 전기와 가스 사용량이 많은 집에서 사용량이 확 줄어든 현상이 나타난다면, 여행 등을 갔기 때문에 집에 부재중일 것이란 사실을 쉽게 짐작할 수 있게 됨


집을 비운다는 사실은 개인에게는 아주 기밀에 해당하는 것이지만, 결과적으로 스마트 미터 데이터를 통해 손쉽게 빈집털이 피해를 당할 가능성이 생길 수 있는 것임


만일 이런 상황이 발생한다면 영락없이 범죄에 악용될 소지가 있는 프라이버시 침해이기 때문에 GDPR과 무관할 수 없게 되는데, 유럽에서 빠르게 보급되고 있는 스마트 미터는 절대적으로 GDPR 준수 의무를 지켜야 할 IoT 사업 분야라 할 수 있음


스마트 미터의 사례는 사용자의 주행기록을 통해 운전자의 취미와 취향, 경우에 따라서는 종교와 같이 개인 데이터의 특별 카테고리 정보까지 높은 확률로 추측할 수 있는 커넥티드 카에도 해당되는 것이며, AI 스피커 서비스 등에도 해당될 수 있는 것임


아마존의 경우 AI 가상비서 알렉사의 개인정보보호 설정 기능을 두고 있지만, 트레이드-오프 관계에 있는 프라이버시와 기능성 사이에서 GDPR을 어떻게 준수해 나갈 지에 대한 새로운 고민을 부여받고 있음


<자료> Paul Coulton

[그림 2] 아마존 알렉사의 프라이버시 설정


이렇듯 GDPR이 비즈니스에 상당한 위험요인인 것은 사실이나, 어차피 준수해야만 하는 상황이므로, 데이터 관리 개선의 전기로 삼아 신속한 대응에 나설 것이 요구되고 있음


IBM517일 발표한 자체 조사 결과에 따르면 전세계 기업의 약 60%GDPR을 단순히 규정 준수의 문제나 위험 요소로 보지 않고, 개인정보 및 보안 데이터 관리를 개선 할 수 있는 기회, 혹은 새로운 비즈니스 모델의 기폭제로 파악하고 있음


이번 조사는 IBM20182월부터 4월에 걸쳐 34개국 15개 산업에 속하는 1,500개 기업의 최고 개인정보보호 책임자 및 최고 데이터 책임자, 법률 고문, 최고 정보보안 책임자, 정보보호 담당자 등을 대상으로 실시하였음


조사 결과 발효일인 525일까지 GDPR을 완전히 준수할 수 있다고 생각하는 응답자는 전체의 36%에 그쳤지만, 84%의 응답자는 GDPR 준수가 소비자에게 플러스 요인이 될 것이라 생각하고 있음


또한 76%의 응답자는 GDPR 의해 데이터 보호와 관련해 개인과 기업간 신뢰 관계 강화가 가능하다고 답변했으며, 많은 기업이 관리하는 데이터의 양을 전체적으로 감소시킬 기회로 GDPR을 활용하고 싶어 한다는 점도 드러났음


70% 이상의 응답자는 보유 중인 개인 데이터의 양을 줄이거나 개인 데이터에 접근할 수 있는 권한을 가진 사람의 수를 줄이거나, 필요 없는 데이터를 폐기하겠다고 밝혔으며, GDPR의 시행을 기다리지 않고 수집·관리하는 데이터의 범위를 줄이겠다는 기업도 다수 있었음


이는 그 동안 마케팅과 영업, 광고 비즈니스 등을 위해 기업들이 최대한 많은 고객 데이터의 확보를 위해 갖은 애를 썼지만, 이러한 관행은 최소한 기업의 IT 부서와 보안 부서에는 적잖은 업무 부담이었음을 시사함


기업들에게 GDPR 준수 의무는 현재 비즈니스 관행에 비추어 과도하게 느껴질 수 있겠으나, 규정의 발효 배경이 바로 그간 비즈니스 관행에 의해 피해를 호소한 시민들의 요구를 배경으로 한 것임을 감안할 때 기업들로서도 재정비 시간을 마련할 필요가 있음


그 간의 관행이 소비자뿐 아니라 기업 내부적으로도 상당한 부담을 야기하고 있었다면 개선의 전기를 마련하는 것이 당연하며, 또한 AIIoT, 자율주행차 등 미래 산업이 제대로 꽃피우게 하기 위해서라도 GDPR에 능동적으로 대응해 나갈 필요가 있음