GDPR에 따른 '데이터 유출 사고' 보고 방법 총정리

일반데이터보호규정(이하 GDPR)은 기업에서 유럽연합 내 시민의 개인 데이터를 취급하는 방법을 관할하는 광범위한 규정이다. GDPR의 33항과 34항은 데이터 침해가 발생하는 경우 감독 기관과 영향을 받는 데이터 주체에게 이를 알려야 할 요구사항을 다룬다.

침해 발생 시 조직이 보고해야 하는 세부사항은 규정 내에 명시되어 있는 반면 언제 데이터 침해를 보고해야 하는지, 어느 기관에 보고해야 하는지는 명확하지 않다. 현재 자신은 GDPR 준수를 유지하기 위해 언제 데이터 침해를 보고해야 하는지, 무엇을 보고해야 하는지, 어디에 보고해야 하는지 알고 있는가?

 

GDPR에 따라 데이터 침해를 보고해야 할 시점

GDPR 규정에 따르면, 조직은 사람의 권리와 자유를 침해할 위험이 있는 "개인 데이터의 우발적이거나 불법적인 파손, 손실, 변경, 무단 공개 또는 접근으로 이어지는" 사고가 발생하는 경우 데이터 보호 기관(DPA, 감독 기관(SA)이라고도 함)에 데이터 침해 사실을 보고해야 한다. 유럽데이터보호감독기구(EUDPS)는 모든 정보 보안 사고가 개인 데이터 침해는 아니지만 모든 개인 데이터 침해는 정보 보안 사고임을 강조한다.

GDPR의 설명조항 85에 따르면, 침해가 "개인 데이터에 대한 스스로의 통제력 상실 또는 권리의 제한, 차별, 신원 도용 또는 사기, 재무적 손실, 무단 익명화 원상복구, 평판 손상, 직업적 비밀 유지로 보호되는 개인 데이터의 기밀성 손실, 또는 관련 자연인에 대한 기타 중대한 경제적 사회적 불이익"으로 이어질 수 있는 경우 기업은 사고를 보고해야 한다. EDPS가 제시한 해당되는 사건 목록은 다음과 같다. 

- 고객 데이터베이스 손실 또는 도난(USB 스틱과 같은 이동식 스토리지 손실 포함)
- 개인 데이터의 유일한 복사본이 랜섬웨어에 의해 암호화되거나, 관리 주체가 키를 사용해 암호화했지만 그 키를 더 이상 갖고 있지 않을 경우
- 우발적인 또는 권한없는 사람에 의한 데이터 삭제
- 분산 서비스 거부(DDoS) 공격으로 개인 데이터를 일시적으로 사용할 수 없고 이 데이터에 대한 액세스가 중대한 경우(예를 들어 병원)

침해 사실을 데이터 보호 기관에 알리지 않을 경우 1,000만 유로(1,130만 달러) 또는 회사 전 세계 매출액의 2%에 해당하는 벌금이 부과될 수 있다.

EDPS가 제시한, 기업이 DPA에 알릴 필요가 없는 사례의 예를 들면 “관리 주체의 콜센터에서 발생해 몇 분 동안 지속된 짧은 정전으로 인해 고객이 관리 주체에 전화를 걸어 자신의 기록에 접근할 수 없는 경우”가 있다. 기업은 침해가 DPA에 보고해야 하는 범주에 포함되지 않는 것으로 판단하는 경우에도 데이터 보호 담당자(DPO)에게 알리고 침해를 공식 문서화해야 한다.

영국 ICO는 기업이 사고를 보고해야 하는지 여부를 판단하기 위한 자체 평가 서비스를 제공한다.

GDPR에 따라 침해사고를 보고해야 할 곳

침해를 보고해야 할 필요가 있다고 판단되는 경우, 기업은 해당 DPA에 연락해야 한다. 침해를 보고해야 할 DPA는 조직에 따라 다르다. 회사가 한 국가에서만 사업을 하거나 모든 데이터 수집, 처리 및 해당 데이터 관련 의사 결정이 현지에서만 이뤄지는 경우 현지 DPA에만 보고하면 된다.

데이터가 국경을 넘어 이동하는 경우 보고 대상은 해당 데이터의 처리에 관한 의사 결정이 이뤄지는 국가의 DPA다(이를 주 감독 기관, 또는 LSA라고 함). 예를 들어 유럽 본사는 런던에 위치하지만 데이터가 처리되는 위치는 독일인 경우 독일에서 사고가 발생하면 데이터에 관한 의사 결정이 이뤄지는 영국 ICO에 침해를 보고해야 한다. 그러나 데이터에 대한 의사 결정이 여러 위치로 분산된다면(예를 들어 직원 데이터는 런던, 고객 데이터는 프랑스) 직원 데이터 관련 사고의 LSA는 영국 ICO가 되고, 고객 정보와 관련된 사고의 LSA는 프랑스 CNIL이 된다.

EU 지역에 공식적인 사무실이 없는 기업에서 EU 시민 데이터와 관련한 사고가 발생하는 경우 EU 조언에 따르면, 비즈니스 활동을 하는 모든 회원국의 현지 감독 기관과 상의해야 한다. 국제프라이버시전문가협회(IAPP)는 각각의 관련 양식 또는 연락처 정보가 포함된 모든 EU DPA가 정리된 목록을 제공한다.

사고가 발생한 조직은 침해 사고를 인지한 시점을 기준으로 72시간 이내에 DPA에 알려야 한다. 조항 문구에 “가능한 경우”라는 애매한 표현이 있지만 보고가 지연되는 경우 타당한 이유를 제공해야 한다. 필요한 모든 세부 정보를 즉각 제공하지 못한다면 단계별로 DPA에 알리고 보다 자세한 내용이 파악되는 대로 DPA에 보고할 수 있다.

GDPR에 따라 보고해야 할 내용

사고를 보고하는 조직은 다음과 같은 사항을 포함해 침해에 관한 일련의 질문에 답해야 한다.

- 침해 발생 시점
- 침해 발견 시점 및 발견 방법
- 침해에 포함된 개인 데이터의 범주
- 손실된 기록과 영향을 받는 사람, 두 가지 측면에서 침해의 규모
- 침해가 데이터 주체에 미칠 수 있는 영향
- 사용자에게 서비스를 제공하는 조직의 역량에 미치는 영향
- 복구 시간
- 영향을 받는 시민에게 침해를 알렸는지 여부
- 회사가 사건을 해결하고 미래에 이러한 사고의 발생을 방지하기 위해 취하고 있거나 취할 조치

대부분의 DPA 사이트에는 사고 보고 방법 템플릿을 제공하는 침해 알림 양식이 있다.
기업은 침해의 영향을 받는 사람에게도 침해 사실을 알려야 한다. EDPS는 개인의 권리 및 자유에 영향을 미칠 “위험이 큰” 경우 개인에게 “과도한 지연 없이” 침해 사실을 알릴 것을 강조한다. 또한 EDPS에 따르면, 사고의 영향을 받는 사람에게 알릴 때 조직은 개인 데이터 침해의 성격을 설명하고, 가능한 부정적 영향을 완화하기 위한 권장 사항을 해당 자연인에게 제공해야 한다.

GDPR에 따라 사고 보고를 한다는 것은 업종에 따라서는 HIPAA, PIPEDA, eIDAS와 같은 다른 데이터 보호 규정에 따른 사고 보고도 필요할 수 있음을 의미한다. 
 
침해 알림, "어렵다" 레드스캔(Redsca)의 정보 자유(Freedom of Information) 요청 자료에 따르면 GDPR 이전에는 기업에서 영국 ICO에 침해를 보고하기까지 평균 21일이 걸렸으며 한 기업은 142일 이후에 보고하기도 했다. 93%는 침해의 영향을 명시하지 않았거나 보고 시점에 영향의 정도를 파악하지 못했다.

2019년 2월 EDPS가 발행한 보고서에 의하면, 2018년 5월 GDPR이 발효된 이후 EDPS에 보고된 침해 보고는 총 6만 4,600건이다. CSO의 수치를 보면 2017년 6월부터 10월 사이 ICO에 제출된 데이터 침해 자진 신고는 월 평균 250건이다. GDPR 발효 이후 같은 기간 동안의 월 평균 건수는 1,400건이다.

한편 기업은 여전히 GDPR 침해 보고를 어렵게 여기는 것으로 보인다. 데이터 침해 해결에 관한 익스피리언(Experian)과 포네몬(Ponemon) 보고서에 따르면 설문에 참여한 기업의 절반 이상은 자체 데이터 침해 대응 계획의 효과가 “매우 높다”고 답했지만 GDPR의 데이터 침해 보고 규칙을 준수할 역량을 충분히 지녔다고 응답한 기업 비율은 30%가 채 되지 않았다.

익스피리언의 데이터 침해 해결 그룹 부사장인 마이클 브루머는 "72시간 내에 DPA에 알리는 것은 정말 쉬운 일이다. [GDPR 준수 알림에 대한 기업의 자신감 부족은] 이해의 부족보다는 인지의 부족에 가깝다. 모든 포렌식을 완료한 상태일 필요는 없다. 그 시점에 소비자에게 알려야 한다는 조항도, 세세한 것 하나까지 모든 정보를 빠짐없이 확보해야 한다는 조항도 없다. 그저 ‘침해가 발생한 것으로 보인다, 현재 이러이러한 단계를 진행 중이다, 언제까지 결론을 내릴 수 있을 것이다, 침해로 확인되면 보고하겠다’ 정도면 충분하다”고 말했다.

불확실성에 직면한 많은 기업은 알림 요건을 준수하고자 “마구잡이로 보고하는” 방식을 택한다. 영국 정보위원회 부위원장인 제임스 디플 존스톤은 2018년 9월 CBI 사이버보안: 비즈니스 인사이트 컨퍼런스에서 ICO가 기업의 “과도한 보고” 문제에 직면해 있다면서 “5월 25일 이후 침해 보고 전화로 매주 500통 내외의 전화가 오고 있다. 이 가운데 약 1/3은 ICO 담당자와 대화한 후 침해가 보고 기준에 해당하지 않는다는 사실을 확인한다”고 말했다.

72시간에 대비하기

GDPR이든 다른 규정이든 데이터 침해 보고 요건을 준수하기 위한 최선의 방법은 사전 계획이다. 누구에게 무엇을 보고해야 하는지 파악하고 사고 대응 계획에 이러한 요건을 반영하고 정기적으로 테스트해야 한다.

익스피리언의 브루머는 “단순히 계획을 마련하고 서류상으로 점검하는 것으로는 충분하지 않다. 어떤 데이터가 있고 어떻게 그 데이터가 보호되는지를 알아야 한다. 계획을 수립하는 데 그치지 않고 그 계획을 반복 연습하면서 매 분기 업데이트하고 최대한 현실과 가깝게 모의 훈련을 해야 한다. 소방 훈련과 다를 것이 없다. 비즈니스 연속성과 재해 복구 담당자는 이를 잘 이해하고 있지만 이해가 실제 사이버 보안, 계획, 침해 대응으로 이어지지 않는 경우도 있다”고 지적했다. editor@itworld.co.kr