EU의 클라우드컴퓨팅 관련 입법 정책 연구
Eine Studie zur EU-Gesetzgebungspolitik zum Cloud Computing
0
조회
0
다운로드
0
인용
0
참고문헌
키워드
초록
클라우드컴퓨팅은 기존의 IT인프라에서 대응하기 어려운 경영환경의 급격한 변화에 대해서 저렴한 구축비용을 들이면서도 적시에 유연한 시스템을 제공할 수 있고, 사용자의 피드백에 따른 개선이 용이하면서도 신속하다는 점에서 큰 장점을 가지고 있다. 그렇지만 외주화된 기반설비를 바탕으로 구축된 클라우드와 그 환경에서 이루어지는 대량의 정보 집적 및 처리로 인해 정보의 노출위험성과 미흡한 개인정보 보호체계에 대해 많이 지적되고 있다. 탈레스의 ‘2022 클라우드 보안 보고서’(2022 Thales Cloud Security Report)에 따르면 전 세계적으로 멀티클라우드가 지속적인 증가추세에 있고, 이들 클라우드에서 개인정보와 데이터를 보호하는 것은 더욱 복잡하고 어렵다고 한다. 그 보고서는 최근 12개월 간 한국기업의 32%가 클라우드 데이터의 침해를 경험하거나 감시에 실패하였고 여러 사이버범죄로부터 민감정보를 보호함에 있어 우려를 밝히고 있다. 실제 클라우드 내 민감정보의 보호를 위해 주로 암호화와 키 관리가 이용되지만 이들 데이터의 유출과 악성코드 감염이라는 여러 리스크에 노출되어 있다. 우리는 클라우드환경상 개인정보 보호문제에 대해서 개별법률에 따라 클라우드컴퓨팅법과 개인정보보호법령이 중복적용 가능성이 있다. 그렇지만 2015년 제정된 클라우드컴퓨팅법(「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률」)에 따르면 클라우드컴퓨팅서비스의 개인정보 보호부분에 대해서는 「개인정보 보호법」을 우선 적용하고 있으므로, 현행법제에서는 신용정보법의 적용대상이 되는 신용정보의 경우를 제외하고는 개인정보보호에 대한 사항은 「개인정보 보호법」을 우위에 두고, 클라우드컴퓨팅법은 보충적으로 적용하고 있다고 볼 수 있다. GDPR의 주요 특징은 디지털 단일시장에 적합하고 통일된 프레임워크와 메커니즘, 정보주체의 권리를 강화, 컨트롤러의 책임성 강화, 개인정보 침해통지 제도의 확대와 제재 강화, 국제협력의 증진 등을 들 수 있다. 그리하여 클라우드컴퓨팅에 대해서도 GDPR의 데이터 컨트롤러와 프로세서의 관계, 의무, 책임 규정이 분명하게 적용된다. 개인정보 침해로 인한 침해사실의 신고 및 통지와 관련하여서는 침해사고와 관련된 법적 쟁점의 측면에서 GDPR은 우리와 유사한 부분이 있지만, GDPR이 합리적 예외규정을 두고 있는 반면 「개인정보 보호법」은 침해통지의 예외조항이 마련되어 있지 않다는 점에서 차이가 있다. 이에 복수의 컨트롤러에게 CSP가 클라우드컴퓨팅서비스를 제공하는 경우를 대비하여 지체없이 통지할 수 있는 경우뿐만 아니라 동시에 통지할 수 있는 규약을 준비할 필요가 있다. 아울러 데이터 삭제와 관련하여 클라우드컴퓨팅환경에서는 보통 백업데이터가 구성되기 때문에 사용자의 개인정보 삭제요구에 대응하여 처리하기 위해서는 프로세서인 CSP는 데이터의 유형, 보관장소, 저장형태를 항시 파악하여 보유기간이 경과한 후에 적절한 삭제를 할 수 있도록 명확한 기준이 필요하다.
Abstract
Die Datenpolitik und die Gesetzgebung der EU zu Cloud Computing wurden überprüft, und die Bestimmungen der DSGVO-Verordnungen(GDPR) zu Cloud Computing und Diskussionen über deren Verbesserung wurden überprüft. Dementsprechend wurden die EU-Vorschriften zum Rahmen für den freien Fluss nicht personenbezogener Daten, die Leitlinien zur Wiederverwendung offener Daten und Informationen des öffentlichen Sektors und die ESMA-Leitlinien zum Cloud-Outsourcing vorbereitet.Vor kurzem ist das Data Governance Act in Kraft getreten , und mehrere andere Legislativvorschläge wurden vorgeschlagen. Dennoch sind im Einklang mit neuen technologischen Veränderungen noch Aufgaben zu lösen, wie z. B. die Lösung von Konflikten mit bestehenden Normen und die Neuordnung des Normensystems, um darauf zu reagieren, und die Verbesserung wird kontinuierlich diskutiert. Zu den Hauptmerkmalen der DSGVO gehören ein einheitlicher Rahmen und Mechanismus, der für den digitalen Binnenmarkt geeignet ist, die Stärkung der Rechte der betroffenen Personen, die Stärkung der Verantwortung der für die Verarbeitung Verantwortlichen, die Ausweitung des Meldesystems für Datenschutzverletzungen und die Stärkung von Sanktionen sowie die Förderung der internationalen Zusammenarbeit. Dementsprechend werden die Beziehung, Pflichten und Verantwortlichkeiten der DSGVO zwischen Datenverantwortlichen und Auftragsverarbeitern eindeutig auf Cloud Computing angewendet. Die DSGVO hat einige Ähnlichkeiten mit unserer in Bezug auf die Meldung und Benachrichtigung von Verstößen aufgrund der Verletzung personenbezogener Daten, aber der Unterschied besteht darin, dass die DSGVO angemessene Ausnahmen hat, während das Gesetz zum Schutz personenbezogener Daten keine Ausnahmen für die Meldung von Verstößen vorsieht Falls der CSP Cloud-Computing-Dienste für mehrere Verantwortliche bereitstellt, sollte es eine Regel geben, die nicht nur unverzüglich, sondern auch gleichzeitig benachrichtigen kann. Da Sicherungsdaten in der Regel in einer Cloud-Computing-Umgebung erstellt werden, sind im Hinblick auf die Datenlöschung klare Standards erforderlich, um die Anfragen der Benutzer zur Löschung personenbezogener Daten zu bearbeiten. Der CSP, der Auftragsverarbeiter, sollte in der Lage sein, Daten nach Ablauf der Aufbewahrungsfrist ordnungsgemäß zu löschen, indem er Art, Speicherort und Speicherformat der Daten ständig identifiziert.
참고문헌 (18)
- 클라우드 컴퓨팅과 국경간 개인정보 이전, "강태욱", 정보통신산업진흥원, ~ (2020)
- 클라우드 컴퓨팅과 개정 데이터 3법, "강태욱", 정보통신산업진흥원, ~ (2021)
- 클라우드컴퓨팅 이용관계 및 이용자 보호제도에 대한 해석, "권창범", 정보통신산업진흥원, ~ (2019)
- 권헌영, "EU, 미국과의 ‘세이프 하버’ 협정 전면 무효화와 정보주권", KISO저널, (21) (2015)
- 김인숙, "데이터 정책의 새로운 접근방식: 애자일", 재정칼럼 (2021), 한국재정정보원
- 김형섭, "클라우드컴퓨팅에서의 개인정보 보호에 관한 법정책적 검토", 법과정책연구, 21(4), pp.93~122 (2021), 한국법정책학회[DOI]
- 박노형, "EU 개인정보보호법 – GDPR을 중심으로 -", ~ (2017)
- 미국의 클라우드 법정책, 클라우드컴퓨팅 법제도 연구 보고서, "성승제", ~ (2021)
- 신종철, "개인정보보호법 해설", ~ (2020)
- EU GDPR과 클라우드 서비스의 유럽연합 진출, "이진규", 정보통신산업진흥원, ~ (2021)
- 이호중, "유럽연합 개인정보보호 규정(GDPR) 등 국제인권기준에 따른 개인정보보호 법제도 개선 방안 연구", ~ (2020)
- "클라우드컴퓨팅 주요법령 해설서", 대한민국 정부, ~ (2017)
- EU 디지털 단일 시장 전략 추진을 위한 법제 수립 경과와 현황 분석: 개인정보보호 및 디지털 시장 관련 법률, EU 개인정보보호 법제현황, "한국인터넷진흥원", ~ (2021)
- "2022 Thales Cloud Security Study – The Challenges of Data Protection ina Multicloud World", APAC Edition, ~ (2022)
- "Article 29 Data Protection Working Party, Opinion 1", 2010 on the concepts of “controller” and “processor”, 2010
- Council of Europe, "Handbook on European data protection law", ~ (2014)
- EC, "Communication from the Commission to the European Parliament, the Council, the European Economic and Social Committee and the Committee of the Regions, A European strategy for data", ~ (2020)
- Irend Data Protection Commission, "Guidance for Organisations Engaging Cloud Service Providers", ~ (2019)