사람들이 프라이버시 재난을 떠올릴 때, 보통 해커를 상상한다. 최근 덴마크 대법원 판결은 덜 극적인 지점을 가리킨다: 잘못 처리된 일상적인 행정 요청이다. 이 사건은 승인되지 않은 데이터 공개에 대한 GDPR 보상에 관한 실질적인 질문을 제기하며, 단 한 번의 사무 실수가 얼마나 큰 피해를 초래할 수 있는지를 보여준다.

덴마크 지자체 사건에서 무슨 일이 있었나

보도에 따르면, 덴마크의 한 지자체가 한 주민에 관한 민감한 건강 정보와 재정 데이터를 그 주민의 전 배우자에게 실수로 공개했다. 이 공개는 지자체가 일상적인 파일 열람 요청을 처리하던 중에 발생했다. 공격자, 악성코드, 도난당한 자격 증명은 전혀 관련되지 않았다. 공공 기관이 받아서는 안 될 사람에게 정보를 단순히 넘겨준 것이다.

이 사건은 덴마크 최고 법원으로 갔다. 법원은 고도로 민감한 개인 데이터의 승인되지 않은 공개가 GDPR에 따른 보상으로 이어져야 하는지를 심리했다. 우리가 입수할 수 있는 요약에는 전체 논거, 최종 결과, 또는 지급된 금액이 명시되어 있지 않으므로, 우리는 그 세부 사항에 대해 추측하지 않을 것이다. 구체적인 내용을 원하는 독자는 전체 판결문이나 이에 대한 법률 분석을 참고해야 한다.

대법원이 GDPR 보상을 어떻게 접근했는가

법적 배경은 GDPR 제82조이다. 이 조항은 규정 위반의 결과로 물질적 또는 비물질적 손해를 입은 사람은 책임 있는 컨트롤러 또는 프로세서로부터 보상을 받을 권리가 있다고 명시한다. 여기서 "비물질적" 손해가 중요하다. 이는 측정 가능한 재정적 손실뿐만 아니라 정신적 고통이나 개인정보에 대한 통제 상실과 같은 피해를 포함한다.

그렇기 때문에 이와 같은 사건들이 면밀히 주시된다. 데이터가 잘못된 사람에게 전달될 때, 도난당한 돈이나 신원 사기를 지목할 수 없을 수도 있다. 법원이 직면하는 질문은 노출 자체로 인해 발생하는 피해를 어떻게 취급할 것인가이며, 특히 수신자가 영향을 받은 사람과 개인적인 관계가 있는 사람일 때 더욱 그렇다. 유럽 전역의 법원들은 그 경계가 어디에 있는지 검토해 왔으며, 한 국가 대법원의 판결은 이러한 청구가 어떻게 평가되는지에 대한 유용한 데이터 포인트를 추가한다.

주목할 만한 또 다른 점은 이 사건에서 컨트롤러가 공공 기관이었다는 것이다. 공공 기관은 주민들에 관한 대량의 데이터를 보유하는데, 이는 종종 주민들이 데이터 공유에 대해 실질적인 선택권이 없기 때문이다. 이는 신중한 처리를 예의가 아닌 법적 의무로 만든다.

민감한 건강 및 재정 데이터가 왜 위험을 높이는가

GDPR은 건강 데이터를 더 강력한 보호를 받는 특별 범주로 취급한다. 재정 정보는 공식적으로 같은 범주에 속하지 않지만, 그것만큼이나 많은 것을 드러낼 수 있다. 이 둘이 함께라면 개인의 의학적 상태, 소득, 부채 및 생활 환경을 노출시킬 수 있다.

전 배우자의 맥락에서 위험은 이해하기 쉽다. 누군가의 건강이나 재정에 관한 정보는 관계가 끝난 사람의 손에 들어가면 분쟁에 사용되거나 단순히 고통을 초래할 수 있다. 이와 같은 공개는 되돌릴 수 없다. 정보가 한 번 보이면, 그것을 회수할 방법이 없다.

이것이 또한 이 사건이 보통 헤드라인을 장식하는 유출 사고와 다른 이유이다. 해커는 일반적으로 대량의 데이터를 원한다. 잘못 전달된 공개는 한 사람의 가장 개인적인 세부 정보를 정확히 잘못된 독자에게 전달하는 것을 포함한다.

개인이 자신의 데이터에 대해 통제할 수 있는 것과 없는 것

개인 보안 도구의 한계에 대해 솔직하게 말할 필요가 있다. VPN은 연결을 암호화하고 방문하는 사이트로부터 IP 주소를 숨긴다. 그것은 지자체, 병원 또는 법원이 귀하의 기록을 잘못된 사람에게 보내는 것을 막는 데 아무런 역할도 하지 않는다. 기관이 귀하의 데이터를 보유하게 되면, 그것이 어떻게 처리되는지는 해당 기관의 프로세스, 교육 및 점검에 달려 있다.

더 큰 사고에도 마찬가지다. 11개 주의 법원에 영향을 미친 Thomson Reuters C-Track 유출 사고는 기관이 보유한 데이터가 그것이 설명하는 사람들의 통제 밖에 놓이게 되는 또 다른 예이다. 마찬가지로, 카르나타카의 소셜 미디어에 대한 Aadhaar 요구 제안과 같은 정부 데이터 수집 계획은 개인이 감사할 수 없는 공식 시스템에 얼마나 많은 개인 정보가 흘러 들어가는지를 보여준다.

이것이 귀하에게 의미하는 바

모든 기관의 실수를 막을 수는 없지만, 실수가 발생했을 때 적용되는 권리가 있다:

  • 열람권: 조직에 자신에 대해 보유하고 있는 데이터와 그것이 어떻게 사용되는지 물어볼 수 있다.
  • 불만 제기권: 데이터가 잘못 처리되었다고 생각되면, 국가 데이터 보호 기관에 불만을 제기할 수 있다.
  • 보상권: 제82조에 따라, GDPR 위반으로 인한 물질적 또는 비물질적 손해에 대한 보상을 청구할 수 있다.

전 파트너와 분쟁 중이라면, 거래하는 모든 기관에 서면으로 귀하의 기록이 확인 없이 제3자에게 공개되어서는 안 된다고 알리는 것을 고려하라. 그것이 오류를 보장하지는 않지만, 기록을 생성하고 추가 확인을 촉구할 수 있다.

핵심 요점

  • 가장 해로운 프라이버시 실패 중 많은 수가 해킹이 아닌 기관의 오류에서 비롯된다.
  • VPN은 조직이 보유하고 잘못 처리하는 데이터를 보호할 수 없다.
  • 승인되지 않은 데이터 공개에 대한 GDPR 보상은 재정적 손실뿐만 아니라 비물질적 피해도 포함할 수 있다.
  • 열람, 불만 제기 및 청구 권리를 행사하는 방법을 알아두라.

덴마크 판결은 데이터 보호법이 바로 이러한 순간을 위해 존재한다는 것을 상기시킨다. GDPR이 귀하에게 부여하는 것을 배우고, 문제가 발생하면 기록을 보관하며, Thomson Reuters C-Track 유출 사고와 같은 기관 데이터 실패의 다른 사례들에 대해 읽어서 약점이 얼마나 자주 귀하의 통제 밖에 있는지 확인하라.