파일 공유 서비스의 데이터 유출 통지 규칙

GDPR 33조는 컨트롤러에게 개인 데이터 침해를 인지한 후 72시간 내에 관할 감독 기관에 통지하도록 요구합니다. 자연인에게 위험을 초래할 가능성이 없는 경우는 예외입니다. 34조는 위험이 높을 때 영향을 받은 정보 주체에게도 부당한 지연 없이 직접 통지를 추가로 요구합니다. 파일 공유 플랫폼에서 침해는 로그를 통해 노출된 유출된 다운로드 링크, 잘못 구성된 S3 버킷, 손상된 관리자 계정, 또는 암호화되지 않은 캐시가 저장된 분실 노트북을 의미할 수 있습니다. 정당한 이유 없이 72시간 기한을 놓치면 83(4)조 과태료(전 세계 매출의 2%)에 직면합니다.

"개인 데이터 침해"로 인정되는 것

4(12)조는 이를 개인 데이터의 우발적 또는 불법적 파기, 손실, 변경, 무단 공개 또는 접근으로 이어지는 보안 침해로 정의합니다. EDPB 가이드라인 9/2022(2022년 10월 채택, WP250 대체)는 침해를 기밀성(무단 공개 또는 접근), 무결성(무단 변경), 또는 가용성(손실 또는 파기)으로 분류합니다. 공개 트위터에 우발적으로 공유된 파일 전송 링크: 기밀성 침해. 전송 데이터베이스를 암호화하는 랜섬웨어: 가용성 침해. 인사이더가 배송 전에 청구서 PDF를 편집: 무결성 침해. 세 가지 모두 33조 분석을 유발합니다.

72시간 시계의 시작점

시계는 컨트롤러가 "인지"할 때, 즉 보안 사고가 발생하여 침해로 이어졌다는 합리적인 확실성이 있을 때 시작됩니다. 합리적인 확실성에 이르기 전의 조사 시간은 시계에 포함되지 않지만, 시계를 늦추기 위해 조사를 지연할 수는 없습니다. ICO와 CNIL 모두 과도한 조사 지연에 대해 컨트롤러에게 과태료를 부과한 바 있습니다. 경험 법칙: 첫 신호(SOC 경고, 직원 보고, 외부 통지)로부터 24시간 내에 인지 결정. 더 많은 시간이 필요하다면 이유를 문서화하십시오. 처리자의 컨트롤러 통지는 별도이며 DPA에 따라 일반적으로 24-48시간입니다.

통지가 필요 없는 침해

33(1)조는 권리와 자유에 위험을 초래할 가능성이 없는 침해를 제외합니다. 컨트롤러가 위험 평가를 기반으로 결정합니다. EDPB 가이드라인 9/2022는 예시를 제공합니다. 암호화가 강력하고 키가 손상되지 않은 경우 도난된 암호화 데이터(공개 위험 없음), 빠른 복구와 데이터 손상 없는 순간적인 가용성 손실. AES-256-GCM 클라이언트 측 암호화를 사용하는 파일 전송 서비스가 도둑에게 암호문을 잃어도 공개 침해가 없습니다. 도둑이 쓸모없는 blob을 가지기 때문입니다. 평가를 문서화하십시오. 규제 기관은 단순한 결론이 아니라 근거를 보고 싶어합니다.

33(3)조 통지 내용

감독 기관에 대한 통지는 다음을 포함해야 합니다. 영향을 받은 정보 주체와 기록의 범주 및 대략적인 수를 포함한 침해 성격, DPO 또는 다른 연락처의 이름과 연락처, 가능한 결과, 침해를 해결하고 영향을 완화하기 위해 취한 또는 제안된 조치. 72시간 내에 모든 사실을 가지지 못한 경우 33(4)조는 단계적 통지를 허용합니다. 알고 있는 것으로 초기 통지를 제출하고, 예비로 표시하며, 조사가 계속됨에 따라 후속 조치를 취하십시오. 대부분의 DPA(CNIL, ICO, BfDI)는 구조화된 양식이 있는 온라인 포털을 제공합니다.

정보 주체에 대한 34조 통지

침해가 개인에게 높은 위험을 초래할 가능성이 있을 때 34조는 명확하고 평이한 언어로 직접 통지를 요구합니다. 34(3)조의 예외: 데이터가 암호화되어 이해 불가능해진 경우, 후속 조치로 높은 위험이 발생하지 않을 경우, 개별 통지에 불균형한 노력이 필요한 경우(공개 통지로 대체). 암호화되지 않은 HR 파일의 파일 전송 유출의 경우 직접 통지가 필수입니다. 손상되지 않은 키를 가진 암호문 유출의 경우 통지는 일반적으로 필요하지 않습니다. 34(3)(a)를 인용하십시오.

침해 대응 런북 구축

작동하는 런북은 다음을 포함합니다. (1) 탐지 소스(SIEM 경고, 사용자 보고, 외부 통지)와 에스컬레이션 경로, (2) 심각도 분류를 위한 트리아지 체크리스트, (3) 봉쇄 단계(키 취소, IP 차단, 시스템 격리), (4) 포렌식과 규제 조사를 위한 증거 보존(디스크 이미지, 로그 내보내기), (5) 33조 기준에 연결된 통지 결정 트리, (6) DPA, 정보 주체, 고객, 대중을 위한 커뮤니케이션 템플릿, (7) 문서화된 교훈을 담은 사후 검토. 분기별 런북을 검토하고 연간 테이블탑 훈련으로 테스트하십시오.

규제 기관이 요구하는 증거

CNIL, ICO, BfDI는 침해 후 일관된 질문을 합니다. 탐지와 대응의 타임라인, 영향을 받은 데이터의 범위, 침해 전 기술적 및 조직적 조치, 침해 후 취한 조치, 정보 주체에 대한 커뮤니케이션, 침해를 예방할 수 있었는지. 다음 증거를 보관하십시오. 사고 기간의 SIEM 로그, 영향을 받은 시스템의 변경 로그, 비정상적 활동을 보여주는 접근 로그, 보안 태세 문서(ISO 27001 SoA, DPIA), 상세 사후 분석. 불완전한 로깅을 발견하면 규제 기관은 엄중히 과태료를 부과합니다. 일반적으로 취약한 보안을 신호하기 때문입니다.

처리자-컨트롤러 통지

파일 전송 서비스가 처리자인 경우 33(2)조는 침해 인지 후 "부당한 지연 없이" 컨트롤러에게 통지하도록 요구합니다. 대부분의 DPA는 24-48시간을 명시합니다. 처리자의 통지는 컨트롤러가 스스로 33(1)조를 제출할 수 있는 충분한 정보를 제공해야 합니다. 무슨 일이 있었는지, 언제, 범위, 영향을 받은 데이터 범주, 초기 대응. 그런 다음 컨트롤러가 규제 통지를 제출합니다. 처리자 통지를 48시간 이상 지연하거나 컨트롤러가 통지를 요청해야 하는 DPA는 규정 위반입니다.

국경 간 침해 조정과 72시간 규정 준수 일정

다국적 컨트롤러의 경우 56조에 따라 주 감독 기관을 확인하십시오(주 사업장 관할 기관). 주 기관에 제출하면 원스톱샵 메커니즘을 통해 관련 기관과 조율합니다. EU 내 사업장은 없지만 EU 거주자에게 상품 또는 서비스를 제공하는 비EU 컨트롤러의 경우 영향을 받은 정보 주체가 거주하는 모든 관련 기관에 제출하십시오. 이는 빠르게 복잡해집니다. 커뮤니케이션을 중앙화하는 27조 대표자 임명을 고려하십시오.

규정 준수 타임라인: 0시간 - 침해 신호 수신. 4시간 - 초기 트리아지 완료, 사고 지휘관 배정. 12시간 - 범위 평가 완료, 예비 33조 결정. 24시간 - 처리자가 컨트롤러에게 통지(해당 시). 48시간 - DPO와 법무 검토 완료 초안 33조 통지. 72시간 - 주 DPA에 통지 제출. 5-7일 - 34조 정보 주체 통지 발송. 30일 - 내부 사후 검토 완료. 90일 - 개선 계획 완료 및 문서화.

한국 PIPA의 경우 72시간보다 더 짧은 시간(5일 이내 정보 주체 통지 등) 내에 통지 의무가 있을 수 있으므로 개인정보보호위원회 기준을 함께 확인하십시오.

일찍 제출하고 자주 제출하며 서류 추적을 깔끔하게 유지하십시오.

hexatransfer.com에서 사용해 보세요 — 무료, 계정 불필요, 최대 10GB.