개인정보 보호위원회

▶ 유럽 개인정보보호이사회(EDPB)는 EU 사법재판소(CJEU)의 슈렘스(Schrems II) 판결* 이후 비영리 단체NOYB가 제기한 101건의 민원 관련 조사를 수행하기 위해 유럽경제지역(EEA) 개인정보 감독기관(DPA)으로 구성된 101 태스크포스(101 Task Force) 활동 보고서 발표 (‘23.4.19.)

* CJEU는 ‘20년 7월, EU에서 미국으로의 개인정보 이전 법적 근거인 프라이버시 쉴드와 표준계약조항(SCC)의유효성을 다룬 재판에서 미국의 법률이 본질적으로 EU 법률에서 요구하는 수준과 동등한 수준의 요건을 충족하지 않는다고 판단하여 프라이버시 쉴드를 무효화

• (배경) NOYB는 ‘20년 8월 17일 웹사이트에서의 ’Google Analytics*‘ 및 ’Facebook Business Tools**‘ 사용으로 인해 발생할 수 있는 미국으로의 개인정보 이전과 이에 따른 개인정보의 후속 처리에 관련하여 유럽 DPA들에 총 101건의 민원을 제기

* 스마트한 마케팅 측정과 실적 개선을 위해 개발된 통합 마케팅 및 애널리틱스 플랫폼으로, 방문자의 유입 경로 및 온라인상에서의 행태 정보를 수집

** 마케팅 및 광고 활동을 지원하는 관리 도구이며 개인정보를 기반으로 사용자들이 관심을 가질만한 제품 및 서비스에 대한 맞춤형 광고 노출이 가능

• EDPB는 ’20년 9월 2일 총회를 통해 EU 일반개인정보보호법(GDPR) 제70조 제1항에 따라 특정 주제에 대한 DPA 간 협력과 효과적인 정보 교환을 촉진하고 해당 민원을 처리하는 데 있어 일관된 접근 방식을 보장하기 위해 동 태스크포스(TF)를 구성하기로 결정

- TF는 개인정보의 후속 처리에 대한 분석에 중점을 두고 GDPR 규정 해석에 있어 DPA들이 동의한 의견을 반영하여 제기된 민원에 대한 일관된 결정을 채택

• (개인정보 이전) TF는 웹사이트 운영자들에게 GDPR 제V장(제3국 및 국제기구로의 개인정보 이전)의 요구사항을 준수하고 이에 취약한 경우 개인정보 이전을 중지하도록 명령

- 컨트롤러는 GDPR 제V장의 의미 내에서 개인정보 이전의 합법성을 평가하기 전에 GDPR의 다른 모든 조항을 준수하고 있는지 확인해야 함

- 가령 GDPR 제V장의 요구사항을 준수하는 데 문제가 없더라도 GDPR 제6조제1항에서 명시한 법적근거 없이 웹사이트에서 개인정보를 수집하기 위해 특정 기술을 사용하였으면 해당 처리는 불법으로 간주- TF는 민원이 제기된 개인정보 이전 행위가 ‘20년 7월 16일 이후 무효화 된 EU-US 적정성 결정을 기반으로 하는 경우 GDPR 제V장을 준수하지 않았다는 데 동의

• (책임 원칙) TF는 특정 처리 작업에 있어 도구 제공자가 컨트롤러로 간주 되는 경우, 또는 도구 제공자가GDPR 제28조에 명시된 지원 의무에 따라 프로세서의 자격을 갖춘 경우, 웹사이트 운영자뿐만 아니라개인정보 처리 도구 제공자 또한 GDPR을 지속적으로 준수해야 한다고 강조

• (역할 할당) TF는 웹사이트 운영자가 웹사이트 특정 목적(예: 웹사이트 방문자의 행동 분석)을 위해 특정 기술을 사용하기로 한 경우, GDPR 제4조제7항에 따라 개인정보 처리의 ’목적 및 수단‘이 결정되는 것으로 간주한다는 데 동의


[출처]
• EDPB, “EDPB promotes consistent approach for 101 NOYB data transfers complaints”, 2023.4.19.


※ 본 번역 요약본의 저작권은 개인정보보호위원회 및 한국인터넷진흥원에 있으며, 본 요약본을 활용하실 경우에는 출처를 반드시 밝혀주시기 바랍니다.