대부분의 사람들은 문제가 발생한 후에야 자신의 법적 프라이버시 보호에 대해 생각한다. 기업이 개인 정보를 유출하거나, 계정 삭제를 거부하거나, 동의한 적 없는 마케팅을 보낼 때 말이다. 하지만 영국 GDPR 데이터 보호 권리는 그런 일이 일어나기 전부터 존재하며, 강제할 수 있다. The Complaining Cow의 최근 해설은 개인 데이터, 프라이버시, 정보주체 접근 요청, 불만 제기, 비밀번호를 다룬다. 이 글은 그 내용을 바탕으로 VPN, 암호화, 온라인 안전에 관한 더 넓은 영국 정책 논쟁의 맥락에 놓는다.

영국 GDPR이 보호하는 것과 개인 데이터로 간주되는 것

영국 GDPR은 일반개인정보보호규정(General Data Protection Regulation)의 국내 버전이다. 이는 조직이 개인에 관한 정보를 수집, 사용, 저장, 공유하는 방식을 규율한다. 2018년 데이터 보호법(Data Protection Act 2018)은 이 제도를 보완하는 국내법으로 함께 자리하며, 2018년 데이터 보호법과 그 일곱 가지 원칙에 관한 우리의 가이드는 이 둘이 어떻게 맞물리는지 설명한다.

개인 데이터는 간단히 말해 식별 가능한 사람과 관련된 정보이다. 여기에는 이름과 주소처럼 명백한 항목이 포함되지만, 그 개념은 많은 사람이 가정하는 것보다 넓다. 조직이 처리할 때 당신에게 연결될 수 있는 것은 무엇이든 범위에 들어갈 수 있다. 그래서 이 규칙은 상점과 은행부터 앱과 웹사이트에 이르기까지 일상적인 서비스에서 중요하다.

비밀번호도 이 그림의 일부이다. 비밀번호는 보통 조직이 그 자체를 위해 보호하는 데이터는 아니지만, 계정 안의 개인 데이터에 대한 접근을 지킨다. 조직이 자격 증명을 제대로 다루지 않으면 프라이버시 결과가 빠르게 뒤따를 수 있다.

핵심 권리: 접근, 삭제, 불만 제기

정부 지침은 개인을 위한 일련의 권리를 나열한다. 데이터가 어떻게 사용되는지 통지받고, 조직이 보유한 개인 데이터에 접근하고, 잘못된 데이터를 갱신하고, 데이터를 삭제하고, 데이터 처리를 중단하거나 제한할 수 있다. 영국 GDPR 제16조, 제17조, 제18조에 따라 개인은 정정, 삭제 또는 처리 제한을 요구할 수 있다.

이러한 권리가 실제로 어떻게 작동하는지는 다음과 같다:

  • 정보주체 접근 요청: 조직에 자신에 관해 보유한 개인 데이터가 무엇인지 물을 수 있다. 이는 종종 최선의 첫 단계인데, 무엇을 다툴지 결정하기 전에 무엇이 존재하는지 보여주기 때문이다.
  • 정정: 정보가 부정확하거나 불완전하면 수정 또는 보완을 요구할 수 있다.
  • 삭제: 잊힐 권리라고도 불리며, 적절한 상황에서 데이터 삭제를 요구할 수 있게 한다. 모든 경우에 자동으로 우선하는 것은 아니다.
  • 처리 제한: 분쟁이 해결되는 동안 조직이 데이터를 사용하는 방식을 제한하도록 요구할 수 있다.

조직이 당신을 무시하거나 요청을 잘못 처리하면 불만을 제기할 수 있다. 일반적인 경로는 먼저 조직에 문제를 제기하고, 서면 기록을 남기고, 만족스럽지 않으면 데이터 보호 규제 기관에 에스컬레이션하는 것이다. 날짜, 사본, 참조 번호를 보관하면 어떤 불만이든 제기하기 쉬워진다.

VPN과 암호화가 법적 권리와 나란히 놓이는 위치

법적 권리와 기술적 도구는 서로 다른 일을 한다. 영국 GDPR 데이터 보호 권리는 이미 당신의 정보를 보유한 조직에 대해 당신에게 지렛대를 준다. 반면 VPN은 연결을 암호화하고 방문하는 사이트로부터 IP 주소를 가려 전송 중에 노출되는 것을 줄인다. 어느 것도 다른 것을 대체하지 않는다.

VPN은 기업이 이미 보유한 기록을 삭제하게 만들 수 없고, 정보주체 접근 요청은 인터넷 제공업체가 암호화되지 않은 트래픽을 보는 것을 막을 수 없다. 법은 데이터가 수집된 후의 구제책으로, 암호화, 신중한 설정, 강력하고 고유한 비밀번호 같은 도구는 애초에 데이터를 덜 수집하는 방법으로 생각하라.

이 구분이 중요한 이유는 영국 정책 논쟁이 점점 더 VPN, 암호화, 온라인 안전 규칙을 같은 대화에 놓기 때문이다. 법적 권리가 실제로 무엇을 포괄하는지 이해하면, 한 조치가 다른 조치의 역할을 한다고 가정하지 않고 그 논쟁의 양쪽에서 제기되는 주장을 판단하는 데 도움이 된다.

영국 데이터 보호법이 어떻게 바뀔 수 있는가

법적 체계는 고정되어 있지 않다. Reform UK는 기업 규제를 줄이려는 더 넓은 계획의 일환으로 GDPR을 폐기하고, 당이 데이터에 대한 "가벼운 규제(light-touch)" 접근이라고 부르는 것으로 대체하겠다고 공약했다. 우리는 Reform UK의 GDPR 폐기 공약과 그 프라이버시 영향을 다룬 기사에서 세부 사항을 검토했다.

공약은 법이 아니며, 실제로 법안이 통과되기 전까지 현재의 권리에 아무것도 바뀌지 않는다. 그래도 위에서 설명한 권리가 정치적 선택에 달려 있다는 유용한 알림이다. 체계가 재작성된다면 접근, 삭제, 불만 제기에 대한 구체적 보호가 달라질 수 있으며, 그래서 오늘 당신이 무엇을 가지고 있는지 아는 것이 가치 있다.

이것이 당신에게 의미하는 것

당신은 이미 영국 GDPR에 따라 실용적인 도구를 가지고 있다. 그것을 사용하기 위해 변호사가 될 필요는 없다. 명확하고 날짜가 적힌 서면 요청이 종종 절차를 시작하기에 충분하다. 권리를 사용하는 것은 프라이버시 도구를 사용하는 것과 충돌하지 않는다. 두 접근은 서로를 강화하며, 결합하면 어느 하나에만 의존하는 것보다 더 많은 통제를 얻게 된다.

실행 가능한 핵심 사항

  • 보유해야 할 것보다 더 많은 데이터를 가지고 있다고 의심되는 조직에 정보주체 접근 요청을 하라.
  • 당신에 관한 정보가 틀렸을 때 정정을 요구하고, 더 이상 계정이나 서비스를 원하지 않을 때 삭제를 요청하라.
  • 불만을 제기해야 할 경우에 대비해 모든 요청, 답변, 기한의 서면 기록을 남겨라.
  • 각 계정마다 강력하고 고유한 비밀번호를 사용하라. 그것이 당신의 권리가 적용되는 데이터를 보호하기 때문이다.
  • VPN과 암호화를 법적 권리의 대체가 아니라 보완으로 여겨라.

법적 체계가 어떻게 맞물리는지 이해하려면 2018년 데이터 보호법 해설을 읽고, 영국 GDPR 데이터 보호 권리가 앞으로 어떻게 달라질 수 있는지 보려면 Reform UK GDPR 공약 보도를 따라가라.