무료 온라인 액세스 IAPP.CIPP-E.v2025-08-11.q240 모의 시험 (Page 13)

CIPP-E 문제 56

GDPR은 노트북이나 종이 파일에 저장된 정보와 같이 물리적 형태로 존재하는 개인 데이터에 어떤 상황에서 적용됩니까?

A. 인쇄, 라벨링, 스탬핑과 같은 특정 자동화된 처리 활동의 물리적 출력으로 개인 데이터가 생산되는 경우에만 해당됩니다.

B. 개인 데이터가 이미지 스캐닝이나 광학 문자 인식과 같이 특정한 컴퓨터 처리를 거치는 경우에만 해당됩니다.

C. 개인 데이터가 컴퓨터화된 배포나 보관과 같이 자동화된 수단을 통해 처리되는 경우에만 해당됩니다.

D. 개인 데이터가 보관 시스템의 일부를 형성할 만큼 충분히 구조화된 방식으로 처리되는 경우에만 해당됩니다.

CIPP-E 문제 57

대본
다음 질문에 답하려면 다음을 사용하세요.
Anna와 Frank는 둘 다 Granchester University에서 일합니다. Anna는 데이터 보호를 담당하는 변호사이고 Frank는 공학과 강사입니다. 이 대학은 여러 유형의 기록을 보관합니다.
이름, 학번, 집 주소, 대학 입학 전 정보, 대학 출석 및 성취 기록, 특수 교육 요구 사항 및 재정 정보를 포함한 학생 기록.
자서전적 자료(커리큘럼, 전문가 연락처 파일, 학생 평가 및 기타 관련 교육 파일 등)를 포함한 교직원 기록.
출생지, 출생 연도, 입학 날짜 및 학위 수여를 포함한 동문 기록. 이 기록은 Granchester의 동문 포털을 통해 등록한 후 이전 학생이 이용할 수 있습니다. 교육부 기록은 특정 인구 통계 그룹(예: 1세대 학생)이 평균적으로 어떻게 발전할 것으로 예상할 수 있는지 보여줍니다. 이 기록에는 이름이나 식별 번호가 포함되어 있지 않습니다.
대학은 보안 정책에 따라 모든 개인 데이터 기록을 전송 중 및 보관 중에 암호화합니다.
프랭크는 교육을 개선하기 위해 엔지니어링 학생들이 교육부 기대치와 관련하여 어떤 성과를 보이는지 조사하고자 합니다. 그는 안나의 데이터 보호 교육 과정 중 하나에 참석했으며 목표를 달성하는 데 필요한 것 이상의 개인 데이터를 사용해서는 안 된다는 것을 알고 있습니다. 그는 일부 학생 데이터만 내보내는 프로그램을 만듭니다. 이전에 다녔던 학교, 원래 취득한 성적, 현재 취득한 성적, 처음 대학에 다녔던 시간입니다. 그는 기록을 개별 학생 수준에서 유지하려고 합니다. 프랭크는 안나의 교육을 염두에 두고 알고리즘을 통해 학생 번호를 실행하여 다른 참조 번호로 변환합니다. 그는 시간이 지남에 따라 각 기록을 업데이트할 수 있도록 매번 동일한 알고리즘을 사용합니다.
Anna의 업무 중 하나는 GDPR에서 요구하는 대로 처리 활동 기록을 완료하는 것입니다. GDPR에서 요구하는 대로 그녀의 이메일 알림을 받은 후. 그녀의 이메일 알림을 받은 후, Frank는 Anna에게 자신의 성과 데이터베이스에 대해 알립니다.
앤은 프랭크에게 개인 데이터를 최소화하는 것 외에도 대학은 기존 데이터의 새로운 사용이 허용되는지 확인해야 한다고 설명합니다. 그녀는 또한 GDPR에 따라 데이터 처리를 시작하기 전에 위험 분석을 수행해야 할 수도 있다고 의심합니다. 앤은 추가 조사를 한 후 프랭크와 이에 대해 더 논의하기로 합니다.
프랭크는 여가 시간에 분석을 하고 싶어서, 그것을 집 노트북(암호화되지 않음)으로 옮깁니다. 불행히도 프랭크가 노트북을 대학으로 가져갔을 때 기차에서 잃어버립니다. 프랭크는 그날 안나를 만나 호환 처리에 대해 논의해야 합니다. 그는 보안 사고를 보고해야 한다는 것을 알고 있기 때문에, 동시에 안나에게 분실된 노트북에 대해 말하기로 합니다.
안나가 처리 활동 기록에 포함시킬 필요가 없는 대학 기록은 무엇입니까?

A. 학생 기록

B. 교직원 및 동문 기록

C. Frank의 성과 데이터베이스

D. 교육부 기록

CIPP-E 문제 58

Murla HB Club은 새로운 접근 시스템을 설치하기 전에 DPIA를 수행했어야 했으며, 다른 시점에는 언제 수행했어야 했습니까?

A. 지지자의 불만 제기 후

B. 주기적으로 새로운 위험이 예상될 때

C. 시즌의 모든 경기가 끝날 때.

D. AEPD가 조사에 대한 통보를 한 후.

CIPP-E 문제 59

다음 중 데이터 보호 책임자를 지정해야 하는 것은 무엇입니까?

A. 250명 이상의 직원을 고용한 조직에서 처리를 수행합니다.

B. EU 내 개인에게 이익이 되는 상품이나 서비스를 제공할 목적으로 처리가 수행됩니다.

C. 통제자 또는 처리자의 핵심 활동은 금융 정보 또는 어린이와 관련된 정보의 처리 작업으로 구성됩니다.

D. 통제자 또는 처리자의 핵심 활동은 대규모로 데이터 주체에 대한 체계적인 모니터링을 필요로 하는 처리 작업으로 구성됩니다.

정답: D

GDPR 제37조에 따르면, 데이터 보호 책임자(DPO) 지정은 세 가지 경우에 컨트롤러와 프로세서에게 필수입니다.1
법원이 사법적 역할을 하는 경우를 제외하고, 공공 기관이나 단체가 처리를 수행하는 경우; 통제자 또는 처리자의 핵심 활동이 그 성격, 범위 및/또는 목적상 대규모로 데이터 주체에 대한 정기적이고 체계적인 모니터링을 요구하는 처리 작업으로 구성되는 경우; 또는 통제자 또는 처리자의 핵심 활동이 제9조에 따른 특수 범주의 데이터와 제10조에 언급된 형사 유죄 판결 및 범죄와 관련된 개인 데이터를 대규모로 처리하는 경우.
GDPR은 "정기적이고 체계적인 모니터링" 또는 "대규모"를 구성하는 것이 무엇인지 정의하지 않지만, 제29조 작업반(현재는 유럽 데이터 보호 위원회로 대체됨)은 이러한 개념에 대한 몇 가지 지침을 제공했습니다.2 지침에 따르면 "정기적이고 체계적인 모니터링"에는 행동 광고의 목적을 포함하여 인터넷에서의 모든 형태의 추적 및 프로파일링은 물론 CCTV 또는 건강 데이터 모니터링과 같은 오프라인 활동도 포함됩니다. 이 지침은 또한 관련 데이터 주체의 수, 처리되는 데이터 양 또는 데이터 항목의 범위, 처리 활동의 기간 또는 영구성, 처리의 지리적 범위와 같이 처리가 대규모로 수행되는지 여부를 평가하기 위한 몇 가지 기준을 제안합니다.
주어진 시나리오에서 옵션 D는 필수 DPO 지정의 두 번째 사례에 분명히 해당하는 유일한 옵션입니다. 이는 통제자 또는 처리자가 핵심 활동의 일환으로 대규모로 데이터 주체를 정기적이고 체계적으로 모니터링하는 것을 의미하기 때문입니다. 여기에는 예를 들어 온라인 행동 광고, 위치 추적, 로열티 프로그램 또는 건강 데이터 분석이 포함될 수 있습니다. 다른 옵션은 대규모 또는 처리의 높은 위험을 나타내는 다른 요소와 결합되지 않는 한 DPO를 임명해야 하는 의무를 유발하기에 충분하지 않습니다. 예를 들어, 옵션 A는 GDPR이 조직의 규모 또는 직원 수에 따라 임계값을 설정하지 않기 때문에 관련이 없습니다. 옵션 B도 GDPR이 처리의 영리 또는 비영리 목적을 구별하지 않기 때문에 결정적이지 않습니다. 옵션 C는 금융 정보 또는 아동과 관련된 정보 처리가 대규모로 이루어지고 특수 범주의 데이터가 포함되는 경우 DPO를 요구할 수 있지만 일반적인 규칙은 아닙니다. 참조:
1: GDPR 제37조
2: 데이터 보호 책임자(DPO)에 대한 지침
3: 개인 데이터 처리와 이러한 데이터의 자유로운 이동에 관한 자연인 보호에 관한 2016년 4월 27일 유럽 의회 및 이사회 규정(EU) 2016/679(일반 데이터 보호 규정) 및 지침 95/46/EC 폐지
4: https://edpb.europa.eu/sites/edpb/files/files/file1/wp243rev01_en.pdf
5: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A32016R0679
6: [https://edpb.europa.eu/sites/edpb/files/files/file1/wp243rev01_en.pdf]
7: [https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A32016R0679]

CIPP-E 문제 60

대본
다음 질문에 답하려면 다음을 사용하세요.
인력이 급속히 확대됨에 따라 회사 A는 자사의 급여 기능을 회사 B에 아웃소싱하기로 결정했습니다. 회사 B는 상당한 고객 기반과 업계에서 탄탄한 평판을 갖춘 정립된 급여 서비스 제공업체입니다.
회사 B의 회사 A에 대한 급여 솔루션은 회사 A의 각 공장에 설치된 생체 인식 입력 시스템을 통해 얻은 근무 시간 및 출석 데이터 수집에 의존합니다. 회사 B는 생체 인식 데이터를 직접 보유하지 않지만 관련 데이터는 회사 B의 영국 서버에 업로드되어 급여 서비스를 제공하는 데 사용됩니다. 회사 B의 라이브 시스템에는 회사 A의 각 직원에 대한 다음 정보가 포함됩니다.
이름
주소
생일
급여번호
국민보험번호
병가 수당 자격
출산휴가/육아휴가 수당 자격
휴가 권리
연금 및 혜택 기여금
노동조합 기부금
제니는 회사 A의 규정 준수 책임자입니다. 그녀는 먼저 회사 A가 새로운 근무 시간 및 출석 시스템과 관련하여 데이터 보호 영향 평가를 실시해야 하는지 고려하지만, 이것이 필요한지 여부는 확신하지 못합니다.
하지만 제니는 GDPR에 따라 회사 B가 급여 서비스를 제공하는 목적으로만 근무 시간 및 출석 데이터를 사용하고 데이터를 보호하기 위한 적절한 기술적, 조직적 보안 조치를 적용하도록 요구하는 공식적인 서면 계약이 있어야 한다는 것을 알고 있습니다. 제니는 회사 B가 데이터 보호 책임자로부터 조언을 구하도록 제안합니다. 회사에는 DPO가 없지만 계약을 마무리하기 위해 조항에 전부 서명하는 데 동의합니다. 회사 A가 계약을 체결합니다.
몇 주 후, 회사 A와 계약 중인 회사 B는 급여 서비스 기능을 개선하기 위한 별도의 프로젝트에 착수하고 회사 C의 도움을 받습니다. 회사 C는 회사 B의 라이브 시스템에서 모든 개인 데이터를 추출하여 회사 B의 새 데이터베이스를 만드는 데 동의합니다.
이 데이터베이스는 회사 C의 미국 서버에 호스팅된 테스트 환경에 저장됩니다. 두 회사는 데이터가 IT 테스트 목적으로만 사용되므로 서비스 계약에 데이터 처리 조항을 포함하지 않기로 동의합니다.
안타깝게도 회사 C의 미국 서버는 오래된 IT 보안 시스템으로만 보호되고 있으며, 회사 C가 프로젝트를 시작한 직후 사이버 보안 사고가 발생했습니다. 그 결과 회사 A의 직원과 관련된 데이터는 회사 C의 웹사이트를 방문하는 모든 사람에게 표시됩니다. 회사 A는 제니가 조사와 관련하여 감독 기관으로부터 편지를 받을 때까지 이를 알지 못했습니다. 제니는 침해 사실을 알게 되자마자 영향을 받은 모든 직원에게 알립니다.
GDPR에 따르면 회사 B의 어떤 행위가 잠재적인 집행 조치를 촉발할 가능성이 없겠습니까?

A. 회사 C와의 계약에서 데이터 보호 조항을 생략했습니다.

B. 회사 A의 데이터에 대한 충분한 보안 장치를 제공하지 못한 경우.

C. 회사 C의 급여 서비스 개선을 위해 협력했습니다.

D. 데이터 보호 책임자 없이 운영하기로 한 결정.

정답: C

회사 B가 회사 A의 직원 데이터를 처리하는 데 여러 가지 실수를 저질렀지만, 그 중 일부가 GDPR에 따라 잠재적인 집행 조치를 유발할 가능성은 없습니다. 각 옵션에 대한 분석은 다음과 같습니다.
A) 회사 C와의 계약에서 데이터 보호 조항 누락: 이는 GDPR을 명백히 위반한 것입니다. 데이터 관리자인 회사 B는 모든 제3자 처리자가 데이터 보호 요구 사항을 준수하도록 보장할 책임이 있습니다. 회사 B는 계약에서 데이터 보호 조항을 누락함으로써 개인 데이터의 보안 및 개인 정보 보호를 보장하기 위한 적절한 조치를 취하지 못했습니다. 이는 강제 조치의 트리거가 될 가능성이 큽니다.
B) 회사 A의 데이터에 대한 충분한 보안 보호 장치를 제공하지 못함: 이는 GDPR의 또 다른 위반입니다. 회사 B는 개인 데이터를 무단 액세스, 사용, 공개, 변경 또는 파괴로부터 보호하기 위해 적절한 기술적 및 조직적 보안 조치를 구현할 법적 의무가 있습니다. 회사 C의 미국 서버에 있는 오래된 IT 보안 시스템은 이 의무를 충족하지 못했음을 보여줍니다. 이는 또한 강제 조치의 가능성이 있는 트리거가 될 것입니다.
C) 급여 서비스 개선을 위한 회사 C의 참여: GDPR에 따라 데이터 처리의 특정 측면을 아웃소싱하는 것은 허용되지만, 데이터 관리자는 궁극적으로 준수에 대한 책임이 있습니다. 그러나 단순히 서비스 자체를 개선하기 위해 다른 회사를 참여시키는 것은 반드시 위반이 아닙니다. 적절한 보호 장치가 마련되고 데이터 처리가 GDPR에 따라 수행되는 한, 이 조치만으로는 강제 조치가 발동되지 않을 것입니다.
D) 데이터 보호 책임자 없이 운영하기로 한 결정: GDPR은 특정 조직이 데이터 보호 책임자(DPO)를 임명하도록 요구합니다. 회사 B는 규모와 활동에 따라 DPO가 필요할 수 있지만, DPO가 없다고 해서 자동으로 집행 조치가 발동되지는 않습니다. 그러나 이는 규정 준수 문화가 부족함을 나타낼 수 있으며 다른 위반에 기여하여 집행 조치의 가능성을 높일 수 있습니다.
따라서 회사 B가 여러 가지 실수를 저질렀지만, 계약에서 데이터 보호 조항을 누락하거나 적절한 보안 조치를 이행하지 않는 등 구체적인 데이터 보호 요구 사항을 직접 위반하는 경우에만 강제 조치를 유발할 가능성이 높습니다. 서비스를 개선하기 위해 제3자를 참여시키는 것은 규정을 준수하는 방식으로 수행되는 한 그 자체로 위반이 아닙니다.