Q139. 시나리오
다음 질문에 답하려면 다음을 사용해 주세요:
홍콩에 본사를 둔 장난감 제조업체에 막 입사했습니다. 이 회사는 다양한 종류의 인형, 액션 피규어, 봉제 인형을 전 세계 여러 소매점에서 판매하고 있습니다. 이 제조업체는 홍콩 외부에 지사가 없고 실제로 홍콩 외부에 직원을 고용하지 않지만 다수의 현지 유통 계약을 체결했습니다. 이 회사에서 생산하는 장난감은 유럽, 미국 및 아시아 전역의 모든 유명 장난감 매장에서 찾을 수 있으며, 회사 매출의 상당 부분이 해외 판매로 인해 발생합니다.
이 회사는 이제 아이들과 대화하고 상호작용할 수 있는 새로운 범위의 커넥티드 장난감을 출시하고자 합니다. 이 회사의 CEO는 이 장난감이 제공하는 다양한 가능성으로 인해 차세대 큰 장난감으로 선전하고 있습니다: 피규어는 수학적 계산이나 날씨 등 다양한 주제에 대해 아이들의 질문에 대답할 수 있습니다. 각 피규어에는 마이크와 스피커가 장착되어 있으며 블루투스를 통해 스마트폰이나 태블릿에 연결할 수 있습니다. 반경 10미터 내에 있는 모든 모바일 장치도 블루투스를 통해 피규어에 연결할 수 있습니다. 또한 피규어를 같은 제조업체의 다른 피규어와 연결하여 서로 상호작용하며 더욱 재미있는 놀이 경험을 할 수 있습니다.
어린이가 장난감에게 질문을 하면 요청이 클라우드에 전송되어 분석되고, 클라우드 서버에서 답변이 생성되어 피규어에 다시 전송됩니다. 답변은 피겨에 내장된 스피커를 통해 전달되어 마치 피겨가 실제로 아이의 질문에 응답하는 것처럼 보입니다. 장난감 포장에는 이 기능의 작동 방식에 대한 기술적 세부 정보가 제공되지 않으며, 이 기능을 사용하려면 인터넷 연결이 필요하다는 언급도 없습니다. 이를 위해 필요한 데이터 처리는 남아프리카에 위치한 데이터 센터에 아웃소싱되었습니다. 그러나 귀사는 아직 이를 표시하기 위해 소비자 대상 개인정보 처리방침을 개정하지 않았습니다.
이와 함께 소비자가 게임을 플레이하는 과정에서 획득한 캐릭터를 플레이할 수 있는 새로운 게임 시스템도 도입할 계획입니다. 이 시스템은 근거리 무선 통신(NFC) 리더가 포함된 포털과 함께 번들로 제공될 예정입니다. 이 장치는 액션 피겨의 RFID 태그를 읽어 피겨가 화면에서 살아 움직이게 합니다. 각 캐릭터는 고유한 특징과 능력을 가지고 있지만 게임 목표를 달성하여 추가 능력을 획득할 수도 있습니다. 태그에 저장된 유일한 정보는 피규어의 능력과 관련된 것입니다. 게임 중에 캐릭터를 쉽게 바꿀 수 있으며, 피규어를 집 밖의 장소로 가져가도 캐릭터의 능력은 그대로 유지할 수 있습니다.
GDPR 제32조(처리 보안 관련)의 요건에 비추어 볼 때 회사는 어떤 관행을 도입해야 하나요?

Q140. 시나리오
다음 질문에 답하려면 다음을 사용해 주세요:
원더키즈는 보육 서비스를 위한 온라인 예약 서비스를 제공합니다. 원더키즈는 프랑스에 본사를 두고 있지만 스위스에 있는 회사를 통해 웹사이트를 호스팅합니다. 원더키즈는 서비스의 일부로 제공된 모든 개인 데이터를 시스템을 통해 예약한 보육 제공자에게 전달합니다. 웹사이트에서 수집되는 개인 데이터 유형에는 보육을 예약하는 사람의 이름, 주소 및 연락처, 이름, 나이, 성별 및 건강 정보를 포함한 돌봄 대상 아동에 대한 정보가 포함됩니다. 원더키즈 웹사이트의 개인정보 처리방침에는 다음과 같은 내용이 명시되어 있습니다:
"원더키즈는 귀하가 본 웹사이트를 통해 당사에 공개하는 정보를 일정 및 건강 및 안전상의 이유로 귀하의 보육 제공자에게 제공합니다. 또한 당사는 당사의 합법적인 사업 목적을 위해 귀하와 자녀의 개인정보를 사용할 수 있으며 스위스에 위치한 제3자 웹사이트 호스팅 회사를 고용하여 데이터를 저장합니다. 스위스에 위치한 장비에 저장된 모든 데이터는 귀하와 자녀의 개인정보에 대한 적절한 안전장치를 보장하기 위한 유럽위원회 규정을 충족합니다. 당사는 귀하와 귀하의 자녀의 개인정보를 귀하에게 실질적인 가치를 제공하는 것으로 판단되는 비즈니스와만 공유합니다. 당사에 개인정보를 제공함으로써 귀하는 해당 정보가 계열사에게 전송되고 프로모션 제안을 보내는 데 동의하는 것입니다."
"당사는 귀하와 귀하의 자녀의 개인정보를 28일 이내로 보유할 수 있으며, 이 경우 개인정보는 비개인화되며, 귀하의 개인정보가 28일을 초과하여 합법적인 사업 목적으로 사용되는 경우를 제외하고는 최대 2년 동안 보유할 수 있습니다."
"당사는 귀하의 동의 하에 귀하와 귀하의 자녀의 개인정보를 처리하고 있습니다. 특정 정보를 당사에 제공하지 않기로 선택한 경우, 당사의 서비스를 이용하지 못할 수 있습니다. 회원님에게는 다음과 같은 권리가 있습니다: 회원님 및 자녀의 개인정보에 대한 액세스 요청, 회원님 및 자녀의 개인정보를 수정 또는 삭제할 권리, 회원님 및 자녀의 개인정보 처리에 대한 이의 제기. 또한 귀하는 당사의 데이터 처리 활동에 대해 감독 기관에 불만을 제기할 권리가 있습니다." 원더키즈는 개인정보처리방침에 어떤 추가 정보를 제공해야 하나요?

Q141. WP29 지침에서 예로 든 다음 중 여러 처리 작업을 다루기 위해 단일 데이터 보호 영향 평가를 수행하는 것이 허용되는 경우는 어느 경우인가요?

Q142. 시나리오
다음 질문에 답하려면 다음을 사용해 주세요:
Joe는 DNA 분석을 제공하는 캐나다 기업 Who-R-U의 새로운 개인정보 보호 관리자입니다. 이 회사는 몬트리올에 본사를 두고 있으며 모든 직원이 캐나다에 거주하고 있습니다. 이 회사는 캐나다인에게만 서비스를 제공하며, 웹사이트는 영어와 프랑스어로만 제공되고, 캐나다 통화로만 결제할 수 있으며, 캐나다 이외의 지역에서 오는 인터넷 트래픽을 차단합니다(이 솔루션이 캐나다 이외의 모든 트래픽을 차단하지는 않음). 또한 DNA 보고서를 캐나다 외부로 보내달라고 요청하는 주문은 처리를 거부하고, 캐나다 이외의 반송 주소가 표시된 주문은 반송합니다.
Who-R-U의 사장인 Bob은 EU에서 이 제품에 대한 관심이 많다고 생각하며 고객 기반을 확대하기 위한 여러 가지 계획을 모색하고 있습니다.
We-Track-U라고 불리는 첫 번째 계획은 현재 캐나다 고객층에 대한 정보를 수집하기 위해 앱을 사용할 것입니다. 이 확장을 통해 캐나다 고객들은 해외 여행 중에도 앱을 사용할 수 있게 될 것입니다. 그는 회사가 이 앱을 사용하여 위치 정보를 수집할 것을 제안합니다. 이 계획이 성공할 경우, Bob은 푸시 알림과 문자 메시지를 사용하여 기존 고객이 유럽 버전 서비스에 사전 등록하도록 독려할 것을 제안합니다. Bob은 이 작업 계획을 We-Text-U라고 부릅니다. 사전 등록자가 충분히 모이면 회사는 EU 전용 콘텐츠와 서비스를 개발할 것입니다.
또 다른 계획은 '평생 고객'입니다. 이 아이디어는 회사의 앱을 통해 다른 애플리케이션 및 의료 제공자와의 DNA 정보 저장 및 공유와 같은 추가 서비스를 제공하는 것입니다. 이 회사의 계약에 따르면 고객의 DNA를 무기한 보관하고 이를 사용하여 새로운 서비스를 제공하고 고객에게 마케팅할 수 있다고 합니다. 또한 고객은 직접 마케팅 동의를 철회하지 않는 데 동의한다고 명시되어 있습니다. 마케팅 책임자인 Paul은 회사가 이러한 조항을 충분히 활용해야 하며, 계약이 무효화되므로 고객이 동의를 철회하려는 시도를 우회할 수 있다고 제안합니다.
최종 계획은 EU에서 브랜드 입지를 구축하는 것입니다. 회사는 이미 이 과정을 시작했습니다. 독일에 있는 한 건물의 명명권을 구입하는 중이며, 이 건물에는 Who-R-U 경영진이 해외 출장 시 사용할 수 있는 사무실 몇 개가 들어설 예정입니다. 이 사무실에는 어떤 기술이나 인프라도 포함되지 않으며, 단순히 책상과 의자가 있는 방입니다.
최근 명명권 계약과 관련된 출장 중 Bob의 노트북을 도난당했습니다. 노트북에는 캐나다 거주자인 5,000명의 Who-R-U 고객에 대한 암호화되지 않은 DNA 보고서가 들어 있었습니다. 보고서에는 고객 이름, 생년월일, 민족, 인종, 친척 이름, 성별, 때로는 건강 정보가 포함되어 있었습니다.
Who-R-U가 노트북 도난 사실을 독일 현지 DPA에 알릴 필요가 없는 이유는 무엇인가요?

Q143. GDPR 제9조는 생체 데이터 처리에 대한 일반적인 금지에 대한 예외를 나열하고 있습니다. 다음 중 이러한 예외가 아닌 것은 무엇인가요?

Q144. 데이터 수집의 특정 지점에서 처리 정보를 제공하는 방식 때문에 원래 제29조 작업반이 옹호하는 개인정보 보호 고지의 종류 중 Al 기반 기술에 대해 일반적으로 권장되는 것은 무엇인가요?

Q145. 다음 중 GDPR 조항에 명시된 대로 역외 효력이 발생할 가능성이 가장 높은 것은 무엇인가요?
3?

Q146. 유럽 데이터 보호 위원회에 따르면 데이터 주체는 운영 중인 모든 영상 감시에 대해 알고 있어야 합니다. 소매점 운영자는 EU 데이터 보호법에 따라 데이터 주체가 이러한 목적에 필요한 정보를 받을 수 있도록 어떻게 보장해야 하나요?

Q147. 많은 기업에서 직원의 사진을 건물 출입증에 인쇄하여 보안 담당자가 직원을 식별할 수 있도록 합니다. 이는 GDPR에 따라 얼굴 이미지가 잠재적으로 생체 인식 데이터에 해당할 수 있음에도 불구하고 허용됩니다. 이러한 관행이 허용되는 이유는 무엇일까요?

Q148. 유럽인권재판소(ECHR)와 유럽사법재판소(CJEU)의 역할 및 기능과 관련하여 중요한 차이점은 무엇인가요?

Q149. 회사가 유럽 연합(EU)에서 적절한 수준의 데이터 보호가 이루어지지 않는 국가에 소재하고 있습니다. 다음 중 회사가 표준 계약 조항에 따라 유럽 경제 지역(EEA)의 다른 조직으로부터 개인 데이터를 가져오는 경우 회사가 지켜야 할 의무는 무엇인가요?

Q150. 시나리오
다음 질문에 답하려면 다음을 사용해 주세요:
ABC 호텔 체인과 XYZ 여행사는 미국에 본사를 둔 다국적 기업입니다. 이들은 마케팅 활동을 통합하기 위해 인터넷 기반의 공통 플랫폼을 사용하여 고객 데이터를 수집하고 서로 공유합니다. 또한 저장할 데이터, 예약 예약 및 확인 방법, 저장된 데이터에 액세스할 수 있는 사람에 대해 동의합니다.
유럽 연합 거주자인 Mike는 과거에 XYZ 여행사를 통해 ABC 호텔 체인 지점에서 숙박하는 여행 일정을 예약한 적이 있습니다. XYZ 여행사는 고객이 가입하여 나중에 무료 여행에 사용할 수 있는 포인트를 적립할 수 있는 리워드 프로그램을 제공합니다. Mike는 리워드 프로그램 회원이 되기 위해 계약서에 서명했습니다.
이제 Mike는 회사가 자신에 대해 어떤 개인 정보를 보유하고 있는지 알고 싶어합니다. 그는 자신의 데이터 주체 권리를 행사하기 위해 자신의 데이터에 대한 액세스 권한을 요청하는 이메일을 보냅니다.
이 관계에서 ABC 호텔 체인과 XYZ 여행사의 역할은 무엇인가요?

Q151. GDPR 21조에 따라 컨트롤러는 개인의 이익보다 우선하는 강력한 합법적 근거를 입증할 수 없는 한, 데이터 주체의 요청이 있는 경우 프로파일링을 중단해야 합니다. 자동화된 개인 의사 결정 및 프로파일링에 관한 가이드라인 29에서는 컨트롤러가 이러한 정당한 근거가 있음을 입증하기 위해 다음을 모두 수행해야 한다고 명시하고 있습니다.

Q152. 동의 문제와 관련하여 GDPR은 회원국이 무엇을 선택할 수 있도록 허용하고 있나요?

Q153. 다음 중 대부분의 처리자가 데이터 처리 활동과 관련하여 유지해야 하는 기록에 포함할 필요가 없는 것은 무엇인가요?

Q154. 시나리오
다음 질문에 답하려면 다음을 사용해 주세요:
독일에 본사를 둔 티셔츠 전문 회사인 T-Craze는 독일의 대도시에 성공적으로 판매하고 있었습니다. 그러나 최근 더 넓은 유럽 시장에 판매하던 다른 독일 기반 회사와 합병한 후, T-Craze는 더 많은 고객에게 판매하기 위해 마케팅 활동을 개선했습니다. 이러한 노력에는 최근 합병을 반영하여 로고를 완전히 새롭게 디자인하고 쿠키를 사용하여 방문자에 대한 더 많은 정보를 수집하기 위한 웹사이트 개선이 포함되었습니다.
또한 T-Craze는 사업 확장을 위해 유럽 전역에 다양한 사무소를 개설했습니다. 독일에 본사와 주요 제품 디자인 사무소를 두고 있는 동안 프랑스 계열사는 모든 마케팅 및 영업 활동을 담당하게 되었습니다. 프랑스 계열사는 최근 필리핀에 본사를 둔 유명 마케팅 회사인 Right Target의 서비스를 조달하여 최신 마케팅 캠페인을 진행했습니다. 철저한 조사 끝에 Right Target은 18세에서 22세 사이의 고객층에서 T-Craze가 가장 큰 성공을 거둘 수 있다고 판단했습니다. 따라서 첫 번째 캠페인은 유럽의 여러 수도에서 대학생을 대상으로 진행되었으며, 그 결과 한 분기에 약 401만 3천 명의 신규 고객이 T-Craze에 가입했습니다. Right Target은 T-Craze를 위한 후속 캠페인도 진행했지만 성공률은 훨씬 낮았습니다.
지난 두 번의 캠페인에서는 더 광범위한 인구통계학적 그룹을 대상으로 진행되었으며, 스페인에서 많은 수의 구독 취소 요청이 있었습니다. 실제로 스페인 데이터 보호 당국은 중견 투자 은행가인 소피아로부터 불만을 접수했습니다. 소피아는 T-Craze를 대신하여 Right Target의 마케팅 커뮤니케이션을 수신 거부한 후에도 마케팅 커뮤니케이션을 받은 후 화가 났습니다.
다음 중 T-Craze의 주요 감독 권한은 무엇인가요?

Q155. 회사 X는 급여 데이터 처리를 제공업체 Y에 위탁했습니다.
공급업체 Y는 이 암호화된 데이터를 서버에 저장합니다. 공급업체 Y의 IT 부서는 누군가 시스템을 해킹하여 서버에서 데이터 사본을 가져간 사실을 알게 됩니다. 이 시나리오에서 제공업체 Y는 누구에게 통지해야 할 의무가 있나요?

Q156. 시나리오
다음 질문에 답하려면 다음을 사용해 주세요:
조는 2000년에 미국 버몬트에 있는 자택에서 구미 베어 컴퍼니를 설립했습니다.
오늘날 이 회사는 모든 대륙에서 수십억 달러 규모의 사탕 회사를 운영하고 있습니다. 회사의 모든 IT 서버는 버몬트에 있습니다. 올해 Joe는 아들 Ben을 입사시켜 단 5년 만에 총 매출을 3배로 늘리기 위한 주요 마케팅 전략인 '프로젝트 빅'을 이끌게 했습니다. Ben은 명문 대학에서 컴퓨터 소프트웨어 박사 학위를 받았습니다. Ben은 아버지의 회사에 합류하기로 결정했지만, 비밀리에 Ben Knows Best라는 새로운 글로벌 온라인 데이트 웹사이트 회사를 설립하기 위해 노력하고 있습니다.
벤은 구미 베어 컴퍼니에 수백만 명의 고객이 있다는 사실을 알고 있으며, 그 중 많은 고객이 자신의 완벽한 짝을 찾는 데 관심이 있을 것이라고 생각합니다. 벤은 프로젝트 빅을 위해 회사의 온라인 웹 포털을 재설계하고 유럽 연합 및 기타 지역의 고객에게 고객 유지를 위해 추가 개인 정보를 제공하도록 요구합니다. 프로젝트 벤은 고객의 철학적 신념, 정치적 의견, 결혼 여부에 대한 데이터를 수집하기 시작합니다.
고객이 독신으로 확인되면 벤은 해당 고객의 모든 개인 데이터를 별도의 데이터베이스에 복사하여 벤 노우즈 베스트에 저장합니다. 벤은 각 고객에게 정보를 수락하기 전에 확인란을 선택하도록 하여 명시적으로 동의를 구하기 때문에 자신이 잘못하고 있는 것이 없다고 생각합니다. 프로젝트 빅이 중요한 프로젝트인 만큼 회사에서는 컴퓨터 공학을 전공하는 대학생 1학년 샘을 고용하여 벤을 돕게 합니다.
벤의 전화를 받은 샘은 벤 노우즈 베스트 데이터베이스를 발견합니다. 샘은 친구 10명과 함께 스프링 비크를 통해 아일랜드를 방문할 계획이므로 아일랜드에 거주하는 사람들의 모든 고객 정보를 복사하여 자신과 친구들이 아일랜드에 있을 때 사람들에게 연락할 수 있도록 합니다.
또한 Joe는 미국에서 로스쿨을 갓 졸업한 절친한 친구의 딸 Alice를 회사의 새로운 법률 고문으로 고용합니다. Alice는 GDPR에 대해 들어본 적이 있어서 이에 대해 조사를 해봅니다. 앨리스는 조에게 다가와 유럽 연합에 있는 회사 사업장에서 미국으로 데이터를 내부적으로 전송하는 법적 메커니즘을 마련하는 것이 중요하기 때문에 회사 내 모든 사람이 따라야 할 구속력 있는 기업 규칙 초안을 작성했다고 알려줍니다.
조는 앨리스가 훌륭한 일을 하고 있다고 믿고 앨리스에게 미국 연방법원에 회사를 상대로 제기된 주요 소송을 담당하게 될 것이라고 알려줍니다. 소송에 대비하기 위해 앨리스는 회사 IT 부서에 유럽 연합을 포함한 전 세계 영업팀의 컴퓨터 하드 드라이브 사본을 만들어서 모든 정보를 검토할 수 있도록 모든 것을 자신에게 보내달라고 지시합니다. 앨리스는 외부 로펌에 지불해야 할 많은 비용을 절약할 수 있기 때문에 조가 자신이 1차 검토를 한 것에 만족할 것이라고 믿습니다.
임박한 소송에 대비하여 회사 IT 부서에 대한 앨리스의 지시는 회사가 먼저 무엇을 하지 않았기 때문에 GDPR 5조를 위반한 것입니까?

Q157. 유럽 데이터 보호법에서는 법 집행 목적의 통신 트래픽 데이터 보존을 어떻게 다루나요?

Q158. 플래닛 49 사건에서 쿠키 문제에 대한 유럽사법재판소(CJEU)의 주요 판결은 무엇인가요?

Q159. 시나리오
다음 질문에 답하려면 다음을 사용해 주세요:
Jack은 다국적 제약회사의 아일랜드 지사에서 약물감시 운영 전문가로 근무하며 코로나19 관련 임상시험에 참여했습니다. 잭은 온보딩 과정의 일환으로 개인정보 보호 교육을 받았으며, 업무 과정에서 기밀 환자 데이터를 처리해야 하지만 어떠한 경우에도 업무 수행 이외의 목적으로 이 데이터를 사용할 수 없다는 사실을 명시적으로 통보받았습니다(이 내용은 교육을 마친 후 잭이 서명한 개인정보 보호정책에도 명시되어 있습니다).
근무한 지 몇 달 후, 잭은 한 환자와 전화로 말다툼을 벌였습니다. 화가 난 그는 나중에 소셜 미디어 웹사이트에 환자의 이름과 병명 정보를 비방하는 댓글과 함께 게시했습니다. 이 사실이 그의 약물감시 감독관에게 발각되었습니다. 잭은 즉시 해고되었고 잭의 변호사는 해고는 불균형적인 제재이며 14일 이내에 잭이 복직하지 않으면 회사를 상대로 법적 소송을 시작할 수밖에 없다는 내용의 서한을 회사에 보냈습니다. 이 서신에는 'Jack이 주고받았거나 내용에서 직접 또는 간접적으로 Jack을 식별할 수 있는 내부 이메일을 포함한 모든 개인 데이터'의 사본을 요청하는 데이터 접근 요청서가 첨부되어 있었습니다. 이메일과 관련하여 Jack은 받은 편지함의 액세스 권한이 필요한 관리 팀원 6명을 나열했습니다.
잭의 잊혀지고 싶다는 요청에 회사는 어떻게 대응해야 할까요?

Q160. 컨트롤러를 대신하여 수행되는 처리와 관련하여 컨트롤러와 처리자 간의 서면 계약에는 어떤 내용이 포함되어야 하나요?

Q161. 유럽 위원회 외에 모든 필수 조건이 충족된다는 가정 하에 표준 계약 조항을 채택할 수 있는 기관은 어디인가요?

Q162. GDPR은 이제 '처리'를 어떻게 정의하나요?

Q163. 다국적 기업이 유럽에 있는 직원을 포함한 모든 현재 및 잠재적 직원에 대해 신원 조회를 실시하고자 한다면 어떤 주요 조항을 따라야 하나요?