정보에 관한 권리를 보호하기 위해 설립된 영국의 독립 감독 기관인 Information Commissioner’s Office(ICO)는 2023년 6월 12일 현재까지 올해만 이미 31건의 집행 조치를 영국 기업에 부과했습니다. 여기에는 과징금 7건, 징계 15 건, 집행 통지 7건, 기소 2건이 포함됩니다. 올해 현재까지의 과징금 총액은 1,346만 파운드 이며, 집행 조치를 받은 대상은 대기업만이 아닙니다.
ICO의 집행 방식은 어떻게 되나요?
최근 몇 년 동안 ICO는 보다 적극적으로 법 집행을 위해 나서고 있습니다. 2022년 10월까지의 12개월 동안, ICO는 총 1,520만 파운드에 달하는 기록적인 벌금을 부과했습니다. ICO는 데이터 보호의무 위반에 관해 계속해서 강경한 기조를 유지할 것이며, 법을 위반하는 기업에게 벌금을 부과하는 것을 주저하지 않을 것이라고 밝혔습니다.
ICO의 집행 조치는 모든 기업들이 데이터 보호법을 준수해야 한다는 점을 상기시켜 줍니다. 해당 법률을 준수하지 않는 기업은 상당한 규모의 과징금 등 집행 조치에 직면할 수 있습니다.
어떤 영역에서 집행 조치가 적용되나요?
ICO의 집행 조치는 다음과 같은 광범위한 데이터 보호 위반 행위를 대상으로 적용됩니다.
- (필요시) 개인 데이터 수집 전에 동의를 얻지 않은 경우
- 개인 데이터의 보안 관리에 실패한 경우
- 개인 데이터가 수집된 본래의 목적 외에 사용된 경우
- 더 이상 필요 없는 개인 데이터를 삭제하지 않은 경우
ICO가 어떠한 제재 조치를 부과할 수 있나요?
ICO는 데이터 보호법을 위반한 기업들에게 다양한 제재 조치를 부과할 수 있습니다.
이러한 제재 조치에는 다음과 같은 것들이 있습니다.
과징금: ICO는 기업에게 최대 1,750만 파운드 혹은 글로벌 매출의 4% 중 보다 높은 금액의 과징금을 부과할 수 있습니다.
집행 통지: ICO는 기업이 법률을 준수하기 위해 특정 조치를 이행하도록 요구하는 집행 통지를 발행할 수 있습니다.
위반 사실 공개: ICO는 웹사이트에 데이터 보호법을 위반한 기업의 명단을 공개하고 비난하는 공지를 게재할 수 있습니다.
기소: 심각한 경우 ICO는 데이터 보호 위반으로 기업을 기소할 수 있습니다.
최근 ICO가 대규모 과징금을 부과한 사례에는 어떤 것이 있나요?
최근 ICO에서 대규모 과징금을 부과한 4가지 사례는 다음과 같습니다.
- 2023년 4월, TikTok Information Technologies UK Limited과 TikTok Inc. (TikTok)은 아동 데이터의 부정 사용을 포함한 여러 데이터 보호법 위반 행위로 인해 1,270만 파운드의 과징금을 부과 받았습니다.
- 2022년 10월, Interserve Group Limited는 최대 113,000명의 직원들의 개인 데이터가 유출된 데이터 보안 위반 건으로 440만 파운드의 과징금을 부과 받았습니다.
- 2022년 10월에는 카탈로그 소매업체인 Easylife Limited가 개인 데이터를 합법적이고 공정하며 투명한 방식으로 처리하지 않아 135만 파운드의 과징금을 부과 받았습니다.
- 2022년 5월 Clearview AI Inc은 인터넷에서 동의 없이 사람들의 이미지를 스크랩하거나 저장한 혐의로 755만 2,800파운드의 과징금을 부과 받았습니다.
데이터 보호 감독 기관은 대기업들만 표적으로 삼고 있나요?
종종 대기업들의 데이터 보호 위반이 뉴스 헤드라인을 장식할 때가 있는데, 특히 막대한 과징금이 부과될 때 더욱 그렇습니다. 아일랜드 데이터 보호 위원회는 최근 Facebook으로 알려진 Meta Platforms Ireland Limited (Meta IE)에 EU개인 데이터 규정 위반 혐의로 12억 유로의 과징금을 부과했습니다.
그러나 ICO는 최근 데이터 보호법을 위반한 모든 규모의 영국 기업에 대해 집행 조치를 취했습니다. ICO는 소규모 기업도 처벌과 제재에서 면제되지 않는다는 점을 분명히 했습니다.
ICO는 영국의 소규모 기업에 대해 어떤 집행 조치를 취했나요?
2023년 6월에는 ICO는 Maxen Power Supply Ltd에게 Telephone Preference Service (TPS)에 등록된 사람들에게 원치 않는 전화를 건 혐의로 12만 파운드의 과징금을 부과했습니다. TPS는 사행성 영업 전화를 받지 않기 위해 특별히 등록한 개인의 데이터베이스입니다. Maxen Power Supply Ltd는 에너지 관련 제품을 판매하고 있었는데, TPS 상에 등록된 사행성 전화를 받지 않겠다고 요청한 개인들에게 50만 건 이상의 전화를 걸어 문제 된 것입니다.
인재 채용 웹사이트 운영자인 Join the Triboo Limited는 2023년 4월 유효한 동의 없이 개인에게 마케팅 이메일을 전송한 혐의로 13만 파운드의 과징금을 부과받았습니다.
올해 5월, Ice Telecommunications Limited는 Corporate Telephone Preference Service (CTPS) 와 TPS에 등록된 기업들에게 원치 않는 업무 전화를 걸었다는 혐의로 8만파운드의 과징금을 부과받았습니다.
기업들은 영국 GDPR을 준수하기 위해 어떤 조치를 취해야 하나요?
영국 GDPR은 유럽 전역의 GDPR과 대체로 유사하며, 영국 기업이 규정을 준수하기 위해 취해야 할 몇 가지 기본적인 사항은 다음과 같습니다.
- 데이터 보호 관리자 (Date Protection Office(“DPO”)) 혹은 데이터 보호와 관련하여 책임자를 지정할 것
- 데이터 보호 영향 평가(Data Protection Impact Assessment(“DPIA”))를 수행할 것
- 수집 목적에 필요한 개인 데이터만 수집할 것
- 개인 데이터를 정확하고 최신의 상태로 유지할 것
- 개인 데이터를 안전하게 보관할 것
- 더 이상 필요 없는 개인 데이터를 삭제할 것
- ICO에 데이터 위반 사실을 보고할 것
How 3CS can help
당사가 도움을 드릴 수 있는 방법 중 하나는 관련 규정 준수 여부를 매년 점검해 드리는 것입니다. 이는 귀사의 리스크 영역을 식별하고 데이터 보호 준수 여부를 평가하는 효과적인 방법입니다.
