무료 온라인 액세스 IAPP.CIPP-E.v2025-10-10.q185 모의 시험 (Page 25)

CIPP-E 문제 116

한 민간 기업이 프랑스, 폴란드, 영국, 그리고 가장 두드러지게는 본사가 있는 독일에 지사를 두고 있습니다. 이 회사는 전 세계적으로 서비스를 제공합니다. 대부분의 서비스는 독일에서 설계되고 다른 지사에서 지원됩니다. 그러나 서비스 중 하나인 SaaS(Software as a Service) 애플리케이션은 폴란드 지사에서 정의하고 구현했으며, 다른 지사에서도 지원합니다.
SaaS 서비스에 대한 주요 감독 기관은 어디인가요?

A. 독일의 연방 차원의 감독 기관.

B. 독일의 지역 수준 감독 기관.

C. 폴란드 공화국의 감독 기관.

D. 유럽연합의 감독기관.

CIPP-E 문제 117

대본
다음 질문에 답하려면 다음을 사용하세요.
이탈리아에 본사를 둔 BHealthy가 자외선 차단제에 중점을 둔 새로운 천연 제품 라인을 출시할 준비를 마쳤습니다. 제품 출시 전 마지막 단계는 BHealthy가 유럽 전역에 새로운 자외선 차단제 라인을 얼마나 광범위하게 마케팅할지에 대한 조사를 실시하는 것입니다. 이를 위해 BHealthy는 천연 제품 가격 책정 전문 회사인 Natural Insight와 협력했습니다. BHealthy는 기존 고객 정보(이름, 위치, 이전 구매 내역)를 Natural Insight와 공유하기로 결정했습니다. Natural Insight는 이 정보를 바탕으로 알고리즘을 학습시켜 BHealthy가 새로운 자외선 차단제를 판매할 수 있는 가격대를 결정할 계획입니다.
BHealthy는 고객 목록을 공유하기에 앞서 Natural Insight의 보안 관행을 검토한 결과, 연락처 정보를 보호하기 위한 충분한 보안 조치를 갖추고 있다는 결론을 내렸습니다. 또한, BHealthy와 Natural Insight 간의 데이터 처리 계약 조건에 따라 기술적 및 관리적 조치의 지속적인 이행이 요구됩니다. 또한, 계약에는 BHealthy가 제공하는 데이터를 서비스 제공 이외의 목적으로 사용하는 것에 대한 제한 사항이 명시되어 있으며, 여기에는 Natural Insight의 머신러닝 알고리즘을 지속적으로 개선하기 위한 데이터 사용이 포함됩니다.
BHealthy와 Natural Insight의 관계는 어떤 특징을 가지고 있나요?

A. 두 회사가 데이터 처리 조건을 체결했기 때문에 Natural Insight가 BHealthy의 프로세서입니다.

B. BHealthy가 고객 정보를 Natural Insight와 공유하고 있으므로 Natural Insight가 BHealthy의 프로세서입니다.

C. Natural Insight는 처리하는 데이터를 보호하기 위해 구현할 보안 조치를 결정하므로 통제자입니다. BHealthy는 새로운 자외선 차단제의 가격을 결정하기 위해 Natural Insight와 협력하므로 공동 통제자입니다.

D. Natural Insight는 BHealthy의 고객 정보를 사용하여 머신 러닝 알고리즘을 개선할 때 처리 목적을 별도로 결정하므로 관리자입니다.

CIPP-E 문제 118

미국에 본사를 둔 한 온라인 쇼핑몰은 유럽 고객의 브라우징 행동을 추적하고 향후 구매를 예측하기 위해 정교한 소프트웨어를 사용합니다. 또한 이 정보를 제3자와 공유합니다. GDPR에 따라 이러한 유형의 프로파일링에 참여하는 온라인 쇼핑몰의 주요 의무는 무엇입니까?

A. 웹사이트에 공지사항을 게재하여 정보 제공자의 동의를 구해야 합니다.

B. 유럽 감독 기관의 승인을 받아야 합니다.

C. 고객과의 이전 사업 관계를 입증할 수 있어야 합니다.

D. 고객 데이터를 보호하기 위해 충분한 보안 장치를 사용하고 있음을 입증해야 합니다.

정답: A

GDPR은 프로파일링을 개인의 선호도, 행동 또는 관심사와 같은 특정 개인적 측면을 평가하기 위한 모든 형태의 자동 개인 데이터 처리로 정의합니다.1 프로파일링은 적법성, 공정성, 투명성, 목적 제한, 데이터 최소화, 정확성, 저장 제한, 무결성 및 기밀성과 같은 GDPR의 일반 원칙과 규칙의 적용을 받습니다.2 GDPR은 또한 프로파일링의 대상이 되는 데이터 주체에게 정보를 받을 권리, 접근 권리, 수정 권리, 이의 제기 권리 및 프로파일링을 포함한 자동 처리에만 기반한 결정이 자신에게 법적 또는 이와 유사하게 중대한 영향을 미치지 않도록 할 권리와 같은 구체적인 권리를 제공합니다.3
주어진 시나리오에서 온라인 상점은 유럽 고객의 탐색 행동을 추적하고 향후 구매를 예측하여 프로파일링을 수행하고 있습니다. 또한 이 정보를 제3자와 공유하고 있으며, 여기에는 개인 데이터의 추가 처리가 포함될 수 있습니다. 따라서 온라인 상점은 프로파일링에 대한 GDPR 요구 사항을 준수하고 처리에 대한 유효한 법적 근거를 확보해야 합니다. GDPR 제6조에 따르면 개인 데이터 처리에는 동의, 계약, 법적 의무, 중대한 이익, 공익 또는 정당한 이익의 여섯 가지 가능한 법적 근거가 있습니다.4 그러나 이러한 근거 모두가 프로파일링 활동에 동등하게 적용되거나 적절한 것은 아니며, 특히 생체 인식, 유전 또는 건강 데이터와 같이 GDPR 제9조에 따라 추가적인 안전 조치가 필요한 민감하거나 특수한 범주의 데이터가 관련된 경우 더욱 그렇습니다.5
이 경우, 온라인 상점의 프로파일링에 대한 가장 관련성 있고 적합한 법적 근거는 동의입니다. 이는 정보 주체가 하나 이상의 특정 목적을 위한 개인 데이터 처리에 대한 명확하고 긍정적인 동의 의사를 표시했음을 의미합니다.6. 동의는 자유롭고, 구체적이며, 정보에 기반하고, 모호하지 않아야 하며, 처리가 시작되기 전에 얻어야 합니다.7. 온라인 상점은 또한 정보 주체에게 프로파일링의 성격과 목적, 관련된 논리, 결과 및 이와 관련된 정보 주체의 권리에 대해 알려야 합니다. 또한 정보 주체가 언제든지 동의를 철회하고 프로파일링에 이의를 제기할 권리를 존중해야 합니다.
따라서 온라인 상점이 이러한 유형의 프로파일링을 수행하는 데 있어 가장 중요한 의무는 웹사이트 공지를 통해 정보에 기반한 동의를 구하는 것입니다. 이 공지는 명확하고 간결하며 쉽게 접근 가능해야 하며, 다른 이용 약관과 함께 제공되어서는 안 됩니다. 또한, 온라인 상점은 체크박스, 슬라이더, 버튼 등 정보 주체가 동의를 제공하거나 철회할 수 있는 간단하고 효과적인 메커니즘을 제공해야 합니다. 또한, 온라인 상점은 수집된 동의 기록을 보관하고 GDPR의 동의 요건을 준수했음을 입증할 수 있어야 합니다.
다른 옵션(B, C, D)은 GDPR 준수와 무관하거나 불충분하므로 온라인 상점의 주요 의무가 아닙니다. 온라인 상점이 GDPR 제36조에 따라 사전 협의가 필요한 국경 간 처리에 관여하지 않는 한 유럽 감독 기관의 승인을 구할 필요는 없습니다. 고객과의 이전 사업 관계를 입증하는 것은 동의나 정당한 이익을 의미하지 않으므로 프로파일링의 유효한 법적 근거가 아닙니다. 고객 데이터를 보호하기 위해 충분한 보안 조치를 사용하고 있음을 입증하는 것은 모든 개인 데이터 처리에 대한 일반적인 의무이지만, 차별, 조작 또는 통제력 상실과 같은 프로파일링의 구체적인 문제와 위험을 다루지는 않습니다. 참고문헌:
* 1: 자동화된 개인 의사결정 및 프로파일링이란 무엇입니까?
* 2: GDPR 제5조
* 3: 프로파일링을 포함한 자동화된 의사결정과 관련된 권리
* 4: [개인 데이터 처리 및 이러한 데이터의 자유로운 이동과 관련하여 자연인을 보호하는 것에 관한 2016년 4월 27일 유럽 의회 및 이사회 규정(EU) 2016/679(일반 데이터 보호 규정)]
* 5: GDPR 제9조
* 6: GDPR 제4조(11)항
* 7: GDPR 제7조
* : GDPR 제13조 및 제14조
* : GDPR 제21조
* : GDPR 제12조
* : [규정 2016/679에 따른 동의에 대한 지침]
* : GDPR 제24조
* : GDPR 제36조
* : [규제 목적을 위한 자동화된 개인 의사결정 및 프로파일링에 대한 지침]
2016/679]
* : [https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines_202005_consent_en.pdf]
* : [https://edpb.europa.eu/sites/edpb/files/files/file1/20171104_wp251rev01_en.pdf]

CIPP-E 문제 119

향후 유럽 위원회에서 이와 반대되는 결정을 내리지 않는 한, GDPR에 따라 적정성 지위를 계속 유지할 국가는 어디일까요?

A. 그리스

B. 스위스

C. 노르웨이

D. 호주

CIPP-E 문제 121

북미 지역의 사건을 주로 보도하는 뉴스 웹사이트입니다. 웹사이트 운영자가 미국 외부에서의 연결을 차단하지 않으므로 위치에 관계없이 모든 사용자가 웹사이트에 접속할 수 있습니다. 웹사이트는 사용자 계정을 만들어야 하는 패드 구독을 제공하며, 이 구독료는 미국 달러로만 결제할 수 있습니다.
계정 생성 및 구독과 관련된 모든 처리에 대한 책임이 있는 웹사이트 운영자가 GDPR을 준수할 필요가 없는 이유를 설명하는 것은 무엇입니까?

A. 유럽연합 통화로 결제할 수 없습니다.

B. 통제자는 유럽 연합에 사업장이 없습니다.

C. 웹사이트는 회원국에 대한 유럽연합의 여러 공식 언어로 제공되지 않습니다.

D. 웹사이트는 미국 위치를 시뮬레이션하기 위해 가상 사설망(VPN)을 사용하는 미국 외부의 연결을 차단할 수 없습니다.

다른 버전: 3199IAPP.CIPP-E.v2025-08-11.q240; 1525IAPP.CIPP-E.v2024-09-16.q211; 716IAPP.CIPP-E.v2023-07-24.q44; 1680IAPP.CIPP-E.v2023-02-11.q108; 1770IAPP.CIPP-E.v2022-06-11.q104; 1982IAPP.CIPP-E.v2022-01-26.q100

최근 업로드: 695Cisco.300-435.v2026-09-03.q259; 351Oracle.1Z0-1045-26.v2026-09-03.q17; 628IIA.IIA-CIA-Part1.v2026-09-03.q627; 482Fortinet.NSE6_OTS_AR-7.6.v2026-09-03.q95; 474Snowflake.DAA-C01.v2026-09-03.q67; 3499Salesforce.AP-223.v2026-09-01.q94; 2603Splunk.SPLK-5001.v2026-09-01.q60; 3929Cisco.300-540.v2026-09-01.q62; 5170Microsoft.MS-102-KR.v2026-09-01.q239; 3549Microsoft.AI-900-KR.v2026-09-01.q162