CIPP-E 문제 21
EU의 데이터 보호법 집행 지침에 따라 정부는 법률에 의해 규정되고 필요한 조치인 한 개인 데이터와 관련된 비밀 조사를 수행할 수 있습니다.
CIPP-E 문제 22
대본
다음 질문에 답하려면 다음을 사용하세요.
홍콩에 있는 장난감 제조업체에 방금 채용되었습니다. 이 회사는 다양한 종류의 인형, 액션 피규어, 봉제 인형을 판매하며, 전 세계 여러 소매점에서 만나볼 수 있습니다.
이 제조업체는 홍콩 외 지역에 지사가 없고, 실제로 직원도 고용하지 않지만, 여러 지역 유통 계약을 체결했습니다. 이 회사에서 생산되는 장난감은 유럽, 미국, 아시아 전역의 모든 유명 장난감 매장에서 구매할 수 있습니다. 회사 매출의 상당 부분은 해외 판매에서 발생합니다.
이 회사는 이제 아이들과 대화하고 소통할 수 있는 새로운 커넥티드 장난감 제품군을 출시하고자 합니다. 회사 CEO는 이 장난감이 제공하는 다양한 가능성을 차세대 빅 아이템으로 홍보하고 있습니다. 이 인형들은 수학 계산이나 날씨 등 다양한 주제에 대한 아이들의 질문에 답할 수 있습니다. 각 인형에는 마이크와 스피커가 장착되어 있으며 블루투스를 통해 스마트폰이나 태블릿과 연결할 수 있습니다. 반경 10미터 이내의 모든 모바일 기기도 블루투스를 통해 이 장난감에 연결할 수 있습니다. 또한, 이 인형들은 같은 제조사의 다른 인형들과 연동되어 서로 소통하며 더욱 향상된 놀이 경험을 제공할 수 있습니다.
아이가 장난감에 질문을 하면, 해당 요청은 분석을 위해 클라우드로 전송되고, 클라우드 서버에서 생성된 답변은 다시 장난감으로 전송됩니다. 답변은 장난감에 내장된 스피커를 통해 제공되어 장난감이 실제로 아이의 질문에 답하는 것처럼 보입니다. 장난감 포장에는 이 기능의 작동 방식에 대한 기술적 세부 정보가 제공되지 않으며, 이 기능을 사용하려면 인터넷 연결이 필요하다는 사실도 언급되어 있지 않습니다. 이에 필요한 데이터 처리는 남아프리카 공화국에 위치한 데이터 센터에 아웃소싱되었습니다. 하지만 귀사는 아직 소비자 대상 개인정보 보호정책을 개정하여 이러한 내용을 명시하지 않았습니다.
동시에, 회사는 소비자들이 게임 플레이 과정에서 획득한 캐릭터를 플레이할 수 있는 새로운 게임 시스템을 선보일 계획입니다. 이 시스템에는 근거리 무선 통신(NFC) 리더기가 포함된 포털이 함께 제공됩니다. 이 장치는 액션 피규어의 RFID 태그를 인식하여 화면에 피규어가 생생하게 나타나도록 합니다. 각 캐릭터는 고유한 기능과 능력을 가지고 있지만, 게임 목표를 달성하면 추가 기능을 획득할 수도 있습니다. 태그에 저장되는 유일한 정보는 피규어의 능력에 관한 것입니다. 게임 도중 캐릭터를 쉽게 교체할 수 있으며, 집 밖에서도 피규어를 이동시켜 캐릭터의 능력을 그대로 유지할 수 있습니다.
이 회사가 GDPR을 준수해야 하는 이유는 무엇입니까?
다음 질문에 답하려면 다음을 사용하세요.
홍콩에 있는 장난감 제조업체에 방금 채용되었습니다. 이 회사는 다양한 종류의 인형, 액션 피규어, 봉제 인형을 판매하며, 전 세계 여러 소매점에서 만나볼 수 있습니다.
이 제조업체는 홍콩 외 지역에 지사가 없고, 실제로 직원도 고용하지 않지만, 여러 지역 유통 계약을 체결했습니다. 이 회사에서 생산되는 장난감은 유럽, 미국, 아시아 전역의 모든 유명 장난감 매장에서 구매할 수 있습니다. 회사 매출의 상당 부분은 해외 판매에서 발생합니다.
이 회사는 이제 아이들과 대화하고 소통할 수 있는 새로운 커넥티드 장난감 제품군을 출시하고자 합니다. 회사 CEO는 이 장난감이 제공하는 다양한 가능성을 차세대 빅 아이템으로 홍보하고 있습니다. 이 인형들은 수학 계산이나 날씨 등 다양한 주제에 대한 아이들의 질문에 답할 수 있습니다. 각 인형에는 마이크와 스피커가 장착되어 있으며 블루투스를 통해 스마트폰이나 태블릿과 연결할 수 있습니다. 반경 10미터 이내의 모든 모바일 기기도 블루투스를 통해 이 장난감에 연결할 수 있습니다. 또한, 이 인형들은 같은 제조사의 다른 인형들과 연동되어 서로 소통하며 더욱 향상된 놀이 경험을 제공할 수 있습니다.
아이가 장난감에 질문을 하면, 해당 요청은 분석을 위해 클라우드로 전송되고, 클라우드 서버에서 생성된 답변은 다시 장난감으로 전송됩니다. 답변은 장난감에 내장된 스피커를 통해 제공되어 장난감이 실제로 아이의 질문에 답하는 것처럼 보입니다. 장난감 포장에는 이 기능의 작동 방식에 대한 기술적 세부 정보가 제공되지 않으며, 이 기능을 사용하려면 인터넷 연결이 필요하다는 사실도 언급되어 있지 않습니다. 이에 필요한 데이터 처리는 남아프리카 공화국에 위치한 데이터 센터에 아웃소싱되었습니다. 하지만 귀사는 아직 소비자 대상 개인정보 보호정책을 개정하여 이러한 내용을 명시하지 않았습니다.
동시에, 회사는 소비자들이 게임 플레이 과정에서 획득한 캐릭터를 플레이할 수 있는 새로운 게임 시스템을 선보일 계획입니다. 이 시스템에는 근거리 무선 통신(NFC) 리더기가 포함된 포털이 함께 제공됩니다. 이 장치는 액션 피규어의 RFID 태그를 인식하여 화면에 피규어가 생생하게 나타나도록 합니다. 각 캐릭터는 고유한 기능과 능력을 가지고 있지만, 게임 목표를 달성하면 추가 기능을 획득할 수도 있습니다. 태그에 저장되는 유일한 정보는 피규어의 능력에 관한 것입니다. 게임 도중 캐릭터를 쉽게 교체할 수 있으며, 집 밖에서도 피규어를 이동시켜 캐릭터의 능력을 그대로 유지할 수 있습니다.
이 회사가 GDPR을 준수해야 하는 이유는 무엇입니까?
CIPP-E 문제 23
대본
다음 질문에 답하려면 다음을 사용하세요.
안나와 프랭크는 둘 다 그랜체스터 대학교에서 근무하고 있습니다. 안나는 데이터 보호를 담당하는 변호사이고, 프랭크는 공학과 강사입니다. 그랜체스터 대학교는 다음과 같은 다양한 유형의 기록을 보관합니다.
* 이름, 학번, 집 주소, 대학 입학 전 정보, 대학 출석 및 성적 기록, 특수 교육 요구 사항 및 재정 정보를 포함한 학생 기록.
* 자서전적 자료(커리큘럼, 전문가 연락처 파일, 학생 평가 및 기타 관련 교육 파일 등)를 포함한 교직원 기록.
* 출생지, 출생 연도, 입학일, 학위 수여일을 포함한 동문 기록.
이러한 기록은 Granchester의 동문 포털을 통해 등록한 졸업생에게만 제공됩니다.
특정 인구통계학적 집단(예: 1세대 학생)의 평균적인 학업 성취도를 보여주는 교육부 기록입니다. 이 기록에는 이름이나 식별 번호가 포함되어 있지 않습니다.
* 대학은 보안 정책에 따라 모든 개인 데이터 기록을 전송 중 및 저장 중에 암호화합니다.
프랭크는 교육 개선을 위해 공과대학 학생들의 학업 성취도가 교육부의 기대치와 어떻게 비교되는지 조사하고자 합니다. 그는 안나의 데이터 보호 교육 과정에 참석했으며, 목표 달성에 필요한 개인 정보 외에는 더 이상 사용해서는 안 된다는 것을 알고 있습니다. 그는 이전에 다녔던 학교, 처음 받은 성적, 현재 받은 성적, 그리고 첫 대학 진학 기록 등 일부 학생 데이터만 내보내는 프로그램을 개발했습니다. 그는 기록을 개별 학생 단위로 관리하고자 합니다. 안나의 교육을 염두에 두고, 프랭크는 학생 번호를 알고리즘을 통해 처리하여 여러 참조 번호로 변환합니다. 그는 매번 동일한 알고리즘을 사용하여 시간이 지남에 따라 각 기록을 업데이트합니다.
안나의 업무 중 하나는 GDPR에서 요구하는 처리 활동 기록을 작성하는 것입니다. GDPR에서 요구하는 대로 안나가 이메일 알림을 받은 후, 프랭크는 안나에게 자신의 성과 데이터베이스에 대한 정보를 알려줍니다.
앤은 프랭크에게 개인 정보의 최소화뿐 아니라, 대학 측에서 기존 데이터의 새로운 활용이 허용되는지 확인해야 한다고 설명합니다. 또한 GDPR에 따라 데이터 처리 전에 위험 분석을 수행해야 할 수도 있다고 생각합니다. 앤은 추가 조사를 마친 후 프랭크와 이 문제에 대해 더 자세히 논의하기로 했습니다.
프랭크는 여가 시간에 분석 작업을 하고 싶어서 암호화되지 않은 집 노트북으로 데이터를 옮깁니다. 하지만 안타깝게도 프랭크가 노트북을 대학교에 가져가려다가 기차에서 잃어버리고 맙니다. 프랭크는 그날 안나를 만나 호환 처리 방식에 대해 논의해야 합니다. 보안 사고를 보고해야 한다는 것을 알고 있었기에, 분실된 노트북에 대해서도 안나에게 동시에 알리기로 했습니다.
안나가 프랭크의 성과 데이터베이스가 허용되는지 판단하기 전에, 그녀에게 필요한 추가 정보는 무엇입니까?
다음 질문에 답하려면 다음을 사용하세요.
안나와 프랭크는 둘 다 그랜체스터 대학교에서 근무하고 있습니다. 안나는 데이터 보호를 담당하는 변호사이고, 프랭크는 공학과 강사입니다. 그랜체스터 대학교는 다음과 같은 다양한 유형의 기록을 보관합니다.
* 이름, 학번, 집 주소, 대학 입학 전 정보, 대학 출석 및 성적 기록, 특수 교육 요구 사항 및 재정 정보를 포함한 학생 기록.
* 자서전적 자료(커리큘럼, 전문가 연락처 파일, 학생 평가 및 기타 관련 교육 파일 등)를 포함한 교직원 기록.
* 출생지, 출생 연도, 입학일, 학위 수여일을 포함한 동문 기록.
이러한 기록은 Granchester의 동문 포털을 통해 등록한 졸업생에게만 제공됩니다.
특정 인구통계학적 집단(예: 1세대 학생)의 평균적인 학업 성취도를 보여주는 교육부 기록입니다. 이 기록에는 이름이나 식별 번호가 포함되어 있지 않습니다.
* 대학은 보안 정책에 따라 모든 개인 데이터 기록을 전송 중 및 저장 중에 암호화합니다.
프랭크는 교육 개선을 위해 공과대학 학생들의 학업 성취도가 교육부의 기대치와 어떻게 비교되는지 조사하고자 합니다. 그는 안나의 데이터 보호 교육 과정에 참석했으며, 목표 달성에 필요한 개인 정보 외에는 더 이상 사용해서는 안 된다는 것을 알고 있습니다. 그는 이전에 다녔던 학교, 처음 받은 성적, 현재 받은 성적, 그리고 첫 대학 진학 기록 등 일부 학생 데이터만 내보내는 프로그램을 개발했습니다. 그는 기록을 개별 학생 단위로 관리하고자 합니다. 안나의 교육을 염두에 두고, 프랭크는 학생 번호를 알고리즘을 통해 처리하여 여러 참조 번호로 변환합니다. 그는 매번 동일한 알고리즘을 사용하여 시간이 지남에 따라 각 기록을 업데이트합니다.
안나의 업무 중 하나는 GDPR에서 요구하는 처리 활동 기록을 작성하는 것입니다. GDPR에서 요구하는 대로 안나가 이메일 알림을 받은 후, 프랭크는 안나에게 자신의 성과 데이터베이스에 대한 정보를 알려줍니다.
앤은 프랭크에게 개인 정보의 최소화뿐 아니라, 대학 측에서 기존 데이터의 새로운 활용이 허용되는지 확인해야 한다고 설명합니다. 또한 GDPR에 따라 데이터 처리 전에 위험 분석을 수행해야 할 수도 있다고 생각합니다. 앤은 추가 조사를 마친 후 프랭크와 이 문제에 대해 더 자세히 논의하기로 했습니다.
프랭크는 여가 시간에 분석 작업을 하고 싶어서 암호화되지 않은 집 노트북으로 데이터를 옮깁니다. 하지만 안타깝게도 프랭크가 노트북을 대학교에 가져가려다가 기차에서 잃어버리고 맙니다. 프랭크는 그날 안나를 만나 호환 처리 방식에 대해 논의해야 합니다. 보안 사고를 보고해야 한다는 것을 알고 있었기에, 분실된 노트북에 대해서도 안나에게 동시에 알리기로 했습니다.
안나가 프랭크의 성과 데이터베이스가 허용되는지 판단하기 전에, 그녀에게 필요한 추가 정보는 무엇입니까?
CIPP-E 문제 24
대본
다음 질문에 답하려면 다음을 사용하세요.
하비에르는 피트니스 클럽 EVERFIT의 회원입니다. 이 회사는 여러 EU 회원국에 지점을 두고 있지만, GDPR의 목적상 프랑스에 주 사업장을 두고 있습니다. 하비에르는 영국령 북아일랜드 뉴리에 거주하며, 아일랜드 던독에서 일하기 위해 국경을 넘습니다. 2년 전 출장 중 독일 프랑크푸르트에 있는 EVERFIT 지점에서 운동하는 하비에르의 모습이 사진으로 찍혔습니다. 당시 하비에르는 사진이 홍보 목적으로만 사용된다는 말을 듣고 사진에 포함되는 데 동의했습니다. 그 후 이 사진은 클럽의 영국 브로셔에 사용되었고, 영국 웹사이트의 랜딩 페이지에도 게재되었습니다. 그러나 최근 여러 EU 회원국에 있는 클럽의 여러 지점에서 회원들에 대한 광범위한 부당 대우로 인해 피트니스 클럽의 평판이 나빠졌습니다. 결과적으로 하비에르는 자신의 사진이 피트니스 클럽과 공개적으로 연관되는 것을 더 이상 원하지 않습니다.
이 문제를 논의하기 위해 지역 지점장과 약속을 잡으려 여러 번 시도했지만 실패한 하비에르는 EVETFIT에 자신의 이미지를 웹사이트와 모든 홍보 자료에서 삭제해 달라고 요청하는 편지를 보냅니다. 몇 달이 지났지만, 요청에 대한 답변을 받지 못한 하비에르는 이 문제에 대해 매우 불안해합니다. 다른 채널을 통해 EVETFIT에 여러 번 연락했지만 실패하자, 그는 회사를 상대로 조치를 취하기로 결심합니다.
하비에르는 이 문제에 대한 불만을 제기하기 위해 영국 정보위원회 사무소(ICO, 영국 감독기관)에 연락했습니다. ICO는 GDPR 제56조(3)항에 따라 EVERFIT의 주요 사업장 감독기관인 CNIL에 이 사실을 알렸습니다. EVERFIT은 영국에 사업장을 두고 있음에도 불구하고, CNIL은 GDPR 제60조에 따라 이 사건을 처리하기로 결정했습니다. CNIL은 협력 절차에 따라 관련 ICO와 연락을 취했습니다. 감독기관 간의 결정 과정에서 문제가 발생하자 유럽 데이터 보호 위원회(European Data Protection Board)가 개입하여 일관성 메커니즘에 따라 구속력 있는 결정을 내렸습니다.
또한 하비에르는 자신의 사진을 브로셔와 웹사이트에서 삭제해 달라는 요청을 EVERFIT이 이행하지 않아 발생한 손해에 대해 EVERFIT을 고소했습니다.
협력 메커니즘에 따라, 주관 기관(CNIL)은 문제에 대한 의견을 형성한 후 무엇을 해야 합니까?
다음 질문에 답하려면 다음을 사용하세요.
하비에르는 피트니스 클럽 EVERFIT의 회원입니다. 이 회사는 여러 EU 회원국에 지점을 두고 있지만, GDPR의 목적상 프랑스에 주 사업장을 두고 있습니다. 하비에르는 영국령 북아일랜드 뉴리에 거주하며, 아일랜드 던독에서 일하기 위해 국경을 넘습니다. 2년 전 출장 중 독일 프랑크푸르트에 있는 EVERFIT 지점에서 운동하는 하비에르의 모습이 사진으로 찍혔습니다. 당시 하비에르는 사진이 홍보 목적으로만 사용된다는 말을 듣고 사진에 포함되는 데 동의했습니다. 그 후 이 사진은 클럽의 영국 브로셔에 사용되었고, 영국 웹사이트의 랜딩 페이지에도 게재되었습니다. 그러나 최근 여러 EU 회원국에 있는 클럽의 여러 지점에서 회원들에 대한 광범위한 부당 대우로 인해 피트니스 클럽의 평판이 나빠졌습니다. 결과적으로 하비에르는 자신의 사진이 피트니스 클럽과 공개적으로 연관되는 것을 더 이상 원하지 않습니다.
이 문제를 논의하기 위해 지역 지점장과 약속을 잡으려 여러 번 시도했지만 실패한 하비에르는 EVETFIT에 자신의 이미지를 웹사이트와 모든 홍보 자료에서 삭제해 달라고 요청하는 편지를 보냅니다. 몇 달이 지났지만, 요청에 대한 답변을 받지 못한 하비에르는 이 문제에 대해 매우 불안해합니다. 다른 채널을 통해 EVETFIT에 여러 번 연락했지만 실패하자, 그는 회사를 상대로 조치를 취하기로 결심합니다.
하비에르는 이 문제에 대한 불만을 제기하기 위해 영국 정보위원회 사무소(ICO, 영국 감독기관)에 연락했습니다. ICO는 GDPR 제56조(3)항에 따라 EVERFIT의 주요 사업장 감독기관인 CNIL에 이 사실을 알렸습니다. EVERFIT은 영국에 사업장을 두고 있음에도 불구하고, CNIL은 GDPR 제60조에 따라 이 사건을 처리하기로 결정했습니다. CNIL은 협력 절차에 따라 관련 ICO와 연락을 취했습니다. 감독기관 간의 결정 과정에서 문제가 발생하자 유럽 데이터 보호 위원회(European Data Protection Board)가 개입하여 일관성 메커니즘에 따라 구속력 있는 결정을 내렸습니다.
또한 하비에르는 자신의 사진을 브로셔와 웹사이트에서 삭제해 달라는 요청을 EVERFIT이 이행하지 않아 발생한 손해에 대해 EVERFIT을 고소했습니다.
협력 메커니즘에 따라, 주관 기관(CNIL)은 문제에 대한 의견을 형성한 후 무엇을 해야 합니까?
CIPP-E 문제 25
GDPR 제9조에 따르면, 다음 중 어떤 데이터 범주가 데이터 처리가 명시적으로 금지되어 있지 않습니까?