통지가 불필요한 경우

다음 중 하나의 경우에는 정보주체에 대한 통지 의무가 면제된다.

① 침해 당시 적절한 기술적·관리적 보호조치를 이행하였고, 피해 정보주체에게 해당 조치가 적용된 경우

※ 특히 침해된 개인정보에 접근 권한이 없는 사람이 그 정보를 알 수 없게 만드는 조치인 경우(예: 암호화 정보)

② 컨트롤러가 피해 정보주체의 권리와 자유에 높은 위험을 초래할 가능성이 없도록 만드는 후속 조치를 취한 경우

③ 통지에 과도한 노력이 수반될 수 있는 경우

※ 정보주체가 동등하게 효과적인 방식으로 연락받을 수 있는 공적 연락 수단이나 유사한 조치가 있는 경우 통지 의무를 대신할 수 있다.

2.3 위반 시 과징금

통지 의무를 위반하였을 때 전세계 매출액의 2% 또는 최대 1천만 유로 중 더 큰 금액의 과징금이 부과된다.

• 제33조(감독기구에 대한 개인정보 침해 통지)

• 제34조(정보주체에 대한 개인정보 침해 통지)

• 전문 제85~88항 GDPR 관련 규정

• 제34조(개인정보 유출 통지 등) 개인정보보호법 관련 규정

셀프 체크리스트

□ □

□ □

□ □

□ □

• 개인정보 침해가 발생하였을 때 가능한 한 신속하게 감독기구에 신고하는 절차가 수립되어 있다.

• 개인정보 침해가 발생하였을 때 프로세서가 인지한 경우 지체 없이 컨트롤러에 통보하는 내용이 위탁 계약서에 포함되어 있다.

• 개인정보 침해가 발생하였을 때 해당 정보주체에게 가능한 한 신속하게 통보할 수 있는 절차를 수립하고 있다.

• 컨트롤러는 개인정보 침해 관련 모든 사항을 문서화하고 있다.

예 아니오

Ⅷ 개인정보

침해 발생 시 조치 사항 더 알아보기 9

개인정보 침해 통지 흐름도

⁴⁰⁾

제29조 작업반의 데이터 침해 통지 가이드라인은 다음 흐름도를 통하여 개인정보가 침해되었을 때 컨트롤러가 숙지해야 하는 통지 절차를 안내하고 있습니다.

[그림 7] 개인정보 침해 통지 흐름도

40) 제29조 작업반(2018. 2. 6.), Guidelines on Personal data breach notification.

아니오

아니오 예

예

➊ 컨트롤러는 보안 사고를 탐지/인지하고 개인정보 침해 발생여부를 밝힌다.

➎ 제33조제5항에 따라 모든 개인정보 침해는 기록되어야 하며, 컨트롤러는 이를 문서화하고 기록을 유지하여야 한다.

➌ ^{개인정보 침해가} 개인의 권리와 자유에 대하여

위험을 초래할 가능성이 있는지?

➍ ^{개인정보 침해가} 개인의 권리와 자유에 대하여

높은 위험을 초래할 가능성이 있는지?

➋ 컨트롤러는 개인정보 침해를 “인지”하고, 개인에 대한

위험을 평가한다.

관할 감독기구에 통지한다.

개인정보 침해가 복수 회원국의 개인들에게 영향을 미치는 경우, 선임 감독기구에 통지한다.

감독기구 또는 개인에 대한 통지 의무 없음

개인에 대한 통지 의무 없음

영향을 받는 개인에게 통지하고, 필요 시 개인들이 개인정보 침해 결과로부터 스스로를 보호하기 위하여 취할 수 있는 조치에 대한 정보를 제공한다.

#1 보안사고 감지/인지 및 개인정보 침해(personal data breach) 발생 여부 판단 ([그림 7]의 ➊)

컨트롤러는 개인정보 침해 발생 여부를 즉시 파악하고, 감독기구 및 정보주체에게 통지할 수 있는 모든 적절한 기술적·관리적 대책이 수립되어야 합니다. 개인정보 침해가 발생되었다고 밝혀진 후에 그 위험성에 대한 평가로 이어지게 됩니다.

#2 개인정보 침해 인지 및 위험에 대한 평가([그림 7]의 ➋)

개인정보 침해가 인지되는 즉시 컨트롤러는 침해 대응 방안과 함께 침해에 대한 위험도를 평가하여야 합니다. 개인에 영향을 미칠 가능성과 심각성을 판단함으로써 효과적인 침해 대응 방안을 수립할 수 있고, 감독기구에 대한 통지 필요 여부를 결정할 수 있습니다.

#3 개인의 자유와 권리에 대한 위험을 초래할 가능성에 대한 평가([그림 7]의 ➌)

개인정보 침해가 발생하는 경우 컨트롤러는 이를 인지한 때로부터 72시간 내 가능한 한 신속하게 관할 감독기구(선임 감독기구)에게 통지하여야 합니다. 다만, 이는 개인정보 침해가 개인의 권리와 자유에 대하여 위험을 초래할 가능성이 있는 경우에 해당합니다.

컨트롤러는 개인에 대한 심각한 경제적·사회적 불이익 등을 고려하여 위험성 여부를 판단할 수 있으며, 이는 개인정보에 대한 통제력 상실, 권리의 제한, 차별, 신분 도용 또는 사기, 금전적 손실, 익명처리된 정보에 대한 승인되지 않은 식별, 명예 훼손, 직무상 기밀로 보호되는 개인정보의 기밀성 손실 등이 포함됩니다. 평가 결과 위험 초래 가능성이 없는 경우 감독기구 또는 개인에 대한 통지 의무는 없으나, 이후 감독기구에서 위험을 초래할 가능성이 있다고 판단할 경우 컨트롤러는 위험에 대하여 재평가할 필요가 있습니다.

Ⅷ 개인정보

침해 발생 시 조치 사항 [표 10] 개인정보 침해에 대한 감독기구 통지 필요 여부 판단 예시

통지 필요 여부 예시

통지 불필요

- 암호화된 개인정보가 유출되었을 때 암호키의 기밀성이 손상되지 않은 경우 해당 정보는 원칙적으로 파악이 불가능함에 따라 개인에 대한 부정적인 영향을 미칠 가능성이 없으므로 통지 불필요

- 비인가자가 해독할 수 없는 방식으로 개인정보가 만들어지고, 정보가 사본이거나 백업이 존재 하 는 경 우, 올 바 른 방식 으 로 암 호 화 된 개인 정 보 의 기밀 성 침 해 는 감독기구에 통지 불필요

- 언론사 시스템이 정전 등에 의해 몇 시간 동안 차단되어 독자들에게 뉴스를 발송할 수 없는 경우 가용성 침해가 발생한 것이지만 개인의 권리와 자유에 위험을 발생시킨 것으로 볼 수 없으므로 통지 불필요

통지 필요

- 개인정보가 암호화된 경우에도 컨트롤러가 적절한 백업을 하지 않아 손실 또는 변경에 따른 부정적인 영향을 정보주체에게 발생시킬 수 있는 경우 통지 필요

- 암호화된 개인정보가 유출되어 통지를 하지 않았으나, 시간이 지남에 따라 키가 훼손된 것으로 확인되거나 암호화 소프트웨어의 취약성이 노출된 경우 통지 필요

- 암호화된 정보의 손실이 발생한 침해의 경우 개인정보의 백업이 존재하는 경우에도 백업본으로부터 정보를 복구하는 데 걸리는 시간과 가용성 부족이 개인에게 미치는 악영향이 큰 경우 통지 필요

- 병원에서 일시적으로라도 환자의 중요 의료 정보에 접근할 수 없는 경우 수술 취소 등 개인의 권리와 자유에 대한 위험을 발생시킬 수 있으므로 통지 필요

- 랜섬웨어 감염에 따라 일시적인 가용성 침해가 발생하더라도 백업본에 의해 신속히 복구가 되었다면 통지가 불필요할 수 있으나, 사고 조사 결과 네트워크 침입을 통하여 기밀성 침해가 함께 발생한 것으로 확인된 경우에는 통지 필요

#4 개인의 권리와 자유에 높은 위험을 초래할 가능성에 대한 평가([그림 7]의 ➍) 개인의 권리와 자유에 높은 위험을 초래할 가능성이 있는 경우 영향을 받는 개인에게 통지하고 보호조치에 대한 정보를 제공하여야 합니다. 높은 위험에 대한 판단 여부는 개인정보의 성격, 민감도, 개인 식별의 용이성, 개인에게 미치는 영향의 심각도, 개인의 특성, 영향받는 개인의 수, 컨트롤러의 특성 등을 종합적으로 고려하여야 합니다.

컨트롤러는 통지가 지연 없이 이루어졌다는 사실을 입증하여야 하며, 통지가 수행되지 않은 경우 과징금 부과 등 감독기구의 개입이 가능합니다.

[표 11] 개인정보 침해에 대한 정보주체 통지 불필요 예시 통지 필요 여부 예시

통지 불필요

- 관리자가 위반 발생 전에 개인정보를 보호하기 위한 적절한 기술적·관리적 조치, 특히 접근 권한이 없는 자가 개인정보를 식별하지 못하도록 하는 대책을 적용한 경우 - 위반 발생 즉시 관리자가 개인의 권리와 자유에 대한 심각한 위험이 더 이상 현실화되지

못하도록 조치를 취한 경우

- 위반으로 인해 개인의 연락 정보를 분실했거나 알지 못하여 개인과 연락하는 것이 비합리적인 노력의 경우, 이 경우는 위반에 의해 영향을 받을 수 있지만 관리자가 달리 연락할 방법이 없는 경우에 해당한다.

#5 제33조제5항에 따른 문서화 및 기록 유지([그림 7]의 ➎)

컨트롤러는 모든 침해 기록과 대응 조치 등에 대한 사항을 문서화하고 기록을 유지하여야 합니다. 이는 감독기구 및 정보주체에 대한 통지 의무와는 관계 없이 내부 관리 대장을 통하여 작성되도록 권고됩니다.

1. 구제 제도(Remedies) 2. 손해배상권 및 책임(Right to compensation and liability) 3. 과징금(Administrative fines) 4. 벌칙(Penalties)