무료 온라인 액세스 IAPP.CIPP-US.v2024-06-10.q101 모의 시험 (Page 18)

CIPP-US 문제 81

다음 중 Gramm-Leach-Bliley Act(GLBA)의 적용을 받는 조직에 대해 법인 면제를 적용하는 주법은 무엇입니까?

A. 네바다주 개인정보 보호법.

B. 캘리포니아 개인정보 보호법.

C. 캘리포니아 소비자 개인 정보 보호법.

D. 버지니아 소비자 데이터 보호법

정답: B

버지니아 소비자 데이터 보호법(VCDPA)은 버지니아의 소비자와 기업에 대한 포괄적인 개인 정보 보호 권리와 의무를 제공하는 주법입니다. VCDPA는 버지니아에서 사업을 수행하거나 버지니아 주민을 대상으로 하는 제품 또는 서비스를 생산하고 다음 중 하나에 해당하는 모든 법인에 적용됩니다. (a) 최소 100,000명의 소비자의 개인 데이터를 관리하거나 처리합니다. 또는 (b) 최소 25,000명의 소비자의 개인 데이터를 관리 또는 처리하고 개인 데이터 판매로 총 수익의 50% 이상을 얻습니다. 그러나 VCDPA는 금융 기관에 대한 법인 면제 또는 Gramm-Leach-Bliley Act(GLBA)가 적용되는 데이터를 포함하여 특정 유형의 법인 및 데이터에 대해 여러 가지 면제를 제공합니다. 이는 GLBA의 규제를 받는 조직이 수집하거나 처리하는 데이터의 유형이나 소스에 관계없이 VCDPA의 적용을 받지 않는다는 것을 의미합니다. GLBA는 금융 기관 및 그 계열사의 개인 금융 정보 수집, 사용 및 공개를 규제하는 연방법입니다. GLBA는 은행, 신용 조합, 증권 회사, 보험 회사, 특정 핀테크 회사 등 금융 활동에 크게 관여하는 모든 기업에 적용됩니다. GLBA는 금융 기관이 개인 정보 보호 관행에 대해 소비자에게 통지 및 선택권을 제공하고, 소비자 정보의 보안 및 기밀성을 보호하고, 소비자 정보가 제3자와 공유되는 것을 제한하도록 요구합니다. 또한 GLBA는 주법이 소비자에게 더 큰 보호를 제공하지 않는 한 GLBA와 일치하지 않는 범위까지만 주법을 우선합니다.
질문에 나열된 다른 주법에는 GLBA가 적용되는 조직에 대한 법인 면제가 없지만 GLBA가 규제하는 특정 유형의 정보에 대해서는 부분 면제 또는 데이터 면제가 있을 수 있습니다. 예를 들어, 캘리포니아 소비자 개인 정보 보호법(CCPA) 및 캘리포니아 개인 정보 보호 권리법(CPRA)은 캘리포니아의 소비자와 기업에 대한 포괄적인 개인 정보 보호 권리와 의무를 제공하는 주법입니다. CCPA 및 CPRA는 캘리포니아 주민의 개인 정보를 수집하거나 판매하고 다음 기준 중 하나 이상을 충족하는 모든 사업에 적용됩니다. (a) 연간 총 수익이 2,500만 달러를 초과합니다. (b) 단독으로 또는 결합하여 매년 50,000명 이상의 소비자, 가구 또는 장치의 개인 정보를 상업적 목적으로 구매, 수령, 판매 또는 공유합니다. 또는 연간 수익의 50% 이상을 소비자의 개인정보 판매로 얻습니다. 그러나 CCPA 및 CPRA는 GLBA와 충돌하는 경우 GLBA에 따라 수집, 처리, 판매 또는 공개된 개인 정보에 대한 데이터 면제를 포함하여 특정 유형의 법인 및 데이터에 대해 여러 가지 면제를 제공합니다. 이는 GLBA가 적용되는 정보가 CCPA 및 CPRA의 개인 정보 보호 요구 사항에서 면제되지만 데이터 위반 책임 조항에서는 면제되지 않음을 의미합니다. CCPA 및 CPRA는 GLBA의 적용을 받는 정보만 수집하거나 처리하지 않는 한 GLBA의 규제를 받는 금융 기관 또는 기타 법인을 해당 범위에서 면제하지 않습니다.
네바다주 개인정보 보호법은 네바다주의 웹사이트 또는 온라인 서비스 소비자와 운영자에게 개인정보 보호 권리와 의무를 제공하는 주법입니다. 네바다주 개인정보 보호법은 네바다주에 거주하는 소비자로부터 해당 정보를 수집 및 유지하고 인터넷 웹사이트나 온라인 서비스를 사용하거나 방문하는 상업적 목적으로 인터넷 웹사이트나 온라인 서비스를 소유하거나 운영하는 모든 사람에게 적용됩니다.
해당 정보에는 운영자가 인터넷 웹사이트나 온라인 서비스를 통해 수집하고 운영자가 액세스 가능한 형식으로 유지 관리하는 소비자에 대한 다음 항목 중 하나 이상의 개인 식별 정보가 포함됩니다. (a) 이름과 성; (b) 거리 이름과 도시 또는 마을 이름을 포함하는 집이나 기타 실제 주소; 전자 메일 주소; (d) 전화번호; (e) 사회보장번호; (f) 특정인과 물리적으로 또는 온라인으로 연락할 수 있는 식별자; 또는 (g) 운영자의 인터넷 웹사이트나 온라인 서비스를 통해 개인으로부터 수집되고 개인 식별이 가능한 형태의 식별자와 함께 운영자가 유지하는 개인에 관한 기타 정보. 그러나 네바다주 개인정보 보호법은 GLBA가 적용되는 모든 데이터에 대한 데이터 면제를 포함하여 특정 유형의 법인 및 데이터에 대해 여러 가지 면제를 제공합니다. 이는 GLBA가 규제하는 정보가 데이터 유형이나 소스에 관계없이 네바다 개인 정보 보호법에서 면제된다는 것을 의미합니다. 네바다주 개인정보 보호법은 GLBA의 적용을 받는 정보만 수집하거나 처리하지 않는 한 GLBA의 적용을 받는 금융 기관 또는 기타 법인을 해당 범위에서 면제하지 않습니다. 참고자료:
* VCDPA, 섹션 59.1-572 (A) (1)
* GLBA, 15 USC § 6801 et seq.
* CCPA, 섹션 1798.145 (e)
* CPRA, 섹션 1798.121
* 네바다 개인 정보 보호법, 섹션 603A.340 (1) (a)

CIPP-US 문제 82

다음 중 조직이 일반적으로 법 집행 기관에 공개할 필요가 없는 정보 유형은 무엇입니까?

A. 식품의약품화장품법에 따른 투약 오류에 대한 정보

B. 1970년 은행비밀법에 따른 자금세탁 정보

C. OSHA 요구 사항에 따른 작업 공간 부상에 대한 정보

D. HIPAA 개인정보 보호 규칙에 따른 개인 건강 정보

CIPP-US 문제 83

2014년 Google은 Apps for Education 도구 제품군을 통해 가족 교육 권리 및 개인 정보 보호법(FERPA)을 위반했다는 주장을 받았습니다. 학생들은 어떤 구체적인 행위로 회사를 고소했나요?

A. 학생이 주고받은 이메일 검사 중

B. 학생 교육 기록을 공개적으로 제공

C. 교육 기록 공개에 대한 구두 동의에 의존

D. 필수 동의 없이 교육 기록 공개

CIPP-US 문제 84

다음 중 주법에 따라 기업이 위반 통지를 제공하지 못하도록 면제하기에 충분하지 않은 조건은 무엇입니까?

A. 관련 데이터가 암호화된 경우.

B. 관련 데이터에 액세스했지만 내보내지 않은 경우.

C. 엔터티가 GLBA 보호 규칙의 적용을 받는 경우.

D. 해당 기업이 주법에 부합하는 내부 통지 절차를 따랐을 경우.

정답: B

대부분의 주 위반 통지법은 개인 정보의 보안, 기밀성 또는 무결성을 손상시키는 개인 정보에 대한 무단 접근 또는 획득이 있는 경우 기업이 영향을 받는 개인 및/또는 규제 기관에 통지하도록 요구합니다. 그러나 일부 주에서는 다음과 같은 특정 조건에서 이 요구 사항에 대한 예외를 제공합니다.
* 관련 데이터가 암호화되었거나 읽을 수 없거나 사용할 수 없게 변경되었으며 암호화 키 또는 기타 액세스 수단이 손상되지 않은 경우. 이는 승인되지 않은 당사자가 데이터를 획득하더라도 암호화된 데이터에 접근할 수 없다는 가정에 기초합니다.
* 해당 기업이 GLBA 보호 규칙 또는 HIPAA 위반 통지 규칙과 같이 유사하거나 더 높은 수준의 보호 및 통지 요구 사항을 제공하는 다른 연방법 또는 주법의 적용을 받고 이를 준수한 경우. 이는 이미 다른 법률에 의해 규제되는 기업의 의무가 중복되거나 불일치하는 것을 방지하기 위한 것입니다.
* 기업이 위험 평가를 수행하고 데이터의 성격과 범위, 위반 상황, 오용의 증거 및 능력과 같은 요소를 기반으로 영향을 받는 개인에게 해를 끼칠 합리적인 가능성이 없다고 판단한 경우 위험을 완화하기 위해. 이는 기업이 위반의 잠재적 영향을 평가할 때 재량권과 판단을 행사할 수 있도록 하기 위한 것입니다.
그러나 어떤 주법도 수출 없이 단순히 데이터에 접근하는 것에 대한 예외를 규정하지 않습니다. 다른 조건 중 하나가 적용되지 않는 한 액세스 자체는 알림 요구 사항을 트리거하는 위반으로 간주됩니다. 따라서 옵션 B는 주법에 따라 위반 통지를 제공하지 않은 것에 대한 충분한 변명이 되지 않습니다.
참고자료:
* [IAPP CIPP/US 학습 가이드], 9장: 국가 데이터 보안법, pp. 209-211.
* CIPP/US 연습 문제(샘플 문제), 질문 29.

CIPP-US 문제 85

텔레마케팅 판매 규칙에서는 법인이 조직 전체에 전화 금지 요청을 공유하도록 요구하는 경우는 언제입니까?

A. 해당 부서에서 판매하는 상품과 서비스가 매우 유사한 경우

B. 부서의 운영 구조가 투명하지 않은 경우

C. 개체가 여러 플랫폼을 통해 사용자 선호도를 관리하는 경우

D. 호출이 오류 또는 기타 예상치 못한 원인의 결과가 아닌 경우

다른 버전: 1023IAPP.CIPP-US.v2025-10-20.q137; 813IAPP.CIPP-US.v2024-09-16.q152; 788IAPP.CIPP-US.v2023-06-24.q65; 836IAPP.CIPP-US.v2023-03-17.q60; 1570IAPP.CIPP-US.v2022-04-28.q62

최근 업로드: 118NLN.NEX.v2026-06-04.q54; 119Microsoft.AZ-500-KR.v2026-06-04.q213; 115Microsoft.DP-600-KR.v2026-06-04.q98; 146Microsoft.AZ-204-KR.v2026-06-04.q237; 144Microsoft.PL-600-KR.v2026-06-04.q112; 203Microsoft.SC-300-KR.v2026-06-03.q151; 164Microsoft.DP-600-KR.v2026-06-03.q70; 941PMI.PMP-KR.v2026-06-01.q1069; 250Microsoft.MS-102-KR.v2026-06-01.q252; 167Microsoft.AZ-104-KR.v2026-06-01.q197