GDPR 제35조에 따른 데이터 보호 영향평가(DPIA)는 처리가 자연인의 권리와 자유에 높은 위험을 초래할 가능성이 있는 경우 언제나 요구됩니다. 제29조 작업반(현 EDPB)은 아홉 가지 기준을 제시했습니다—두 가지 이상이 적용되면 DPIA를 수행하십시오.

방어 가능한 DPIA는 다섯 단계로 구성됩니다: 처리 활동 기술, 필요성 및 비례성 평가, 위험 식별, 완화 조치 식별, 그리고 공식 승인 및 검토 일정 수립. ICO 방법론과 EDPB 지침은 이 구조에서 긴밀히 일치합니다.

잘 수행된 DPIA는 컴플라이언스 의식이 아닌—제품을 형성하는 산출물입니다. 이는 위험을 조기에 드러내고 데이터 최소화, 보유, 접근에 관한 선택을 강제합니다. 최고의 DPIA는 첫 번째 코드 줄을 작성하기 전에 완료됩니다.

제35조(1)은 처리가 "높은 위험을 초래할 가능성이 있는" 경우 DPIA를 요구합니다. 제35조(3)은 세 가지 의무적 사례를 열거합니다:

1. 프로파일링을 포함한 자동화된 처리에 기반하여 개인적 측면을 체계적이고 광범위하게 평가하며, 이것이 법적 효과 또는 그와 유사한 중대한 영향을 발생시키는 경우.
2. 특수 범주 데이터(제9조) 또는 형사 유죄판결 데이터(제10조)의 대규모 처리.
3. 공중이 접근 가능한 구역에 대한 대규모 체계적 모니터링.

대부분의 감독기관은 항상 DPIA가 요구되는 추가 처리에 대한 국가별 목록(제35조(4))을 공표합니다. 귀사의 주도 감독기관 및 귀사가 그 회원국 거주자를 처리하는 모든 감독기관의 목록을 확인하십시오.

불명확한 경우, 아홉 가지 기준 판정을 실행하십시오. 두 가지 이상 = DPIA 필요.

1. 평가 또는 평점 — 프로파일링, 행동 분석.
2. 법적 또는 그와 유사한 중대한 영향을 미치는 자동화된 의사결정.
3. 체계적 모니터링 — 공공 구역 관찰, 직원 모니터링, 웹 추적.
4. 민감하거나 고도로 개인적인 데이터 — 특수 범주, 형사 데이터뿐 아니라 금융, 위치, 전자 통신 데이터.
5. 대규모로 처리되는 데이터.
6. 데이터세트의 매칭 또는 결합 — 서로 다른 컨트롤러로부터의 데이터 또는 서로 다른 목적의 데이터 포함.
7. 취약한 정보주체와 관련된 데이터 — 아동, 직원, 정신질환자, 망명 신청자.
8. 혁신적 사용 또는 새로운 기술적·조직적 솔루션의 적용 — AI, 생체인식, IoT.
9. 정보주체가 권리를 행사하거나 서비스/계약을 이용하는 것을 방해함.

모든 DPIA의 기초는 귀하가 데이터를 가지고 실제로 무엇을 하는지에 대한 정확한 기술입니다. 다음을 기록하십시오:

• 성격 — 개인정보의 범주, 출처, 수령인, 보유 기간, 기술적 보안, 국경 간 이전.
• 범위 — 데이터의 양, 정보주체의 수, 지리적·시간적 범위.
• 맥락 — 정보주체와의 관계의 성격, 그들이 가진 통제권, 맥락의 민감성(직장, 건강).
• 목적 — 달성하고자 하는 것, 의도된 결과, 비즈니스 가치.

이를 데이터 흐름도와 결합하십시오. 자유 서술식 기술은 데이터 흐름도가 포착하는 것을 놓칩니다.

• 적법 근거 — 제6조(1)(a)~(f). 특수 범주인 경우 제9조(2) 조건도 해당.
• 검토한 덜 침해적인 대안 — 더 적은 데이터, 익명화된 데이터, 집계된 데이터 또는 더 짧은 보유 기간으로 목적을 달성할 수 있었습니까?
• 목적 제한 — 각 데이터 범주가 명시된 목적을 진정으로 뒷받침합니까?
• 데이터 최소화 — 필드의 명시적 목록과 각 필드에 대한 문서화된 사유.
• 품질 및 정확성 — 데이터를 최신 상태로 유지하는 메커니즘은 무엇입니까?
• 보유 및 삭제 — 법적/비즈니스적 근거를 포함한 정확한 기간.
• 정보 제공 및 권리 — 정보주체에게 어떻게 고지하며 그들은 어떻게 권리를 행사합니까?

식별 가능한 각 위험에 대해 다음을 문서화하십시오:

• 위험에 대한 설명(명확하고 평이한 언어로).
• 위험의 출처.
• 위협이 실현될 가능성(낮음/중간/높음).
• 정보주체에 대한 피해의 심각성(낮음/중간/높음).
• 전반적인 위험 점수.

정기적으로 다루어야 할 위협 유형: 무단 접근(내부자, 외부 공격자), 변조(무결성 손실), 손실(파괴, 가용성 상실), 차별, 신원 도용, 금전적 손실, 평판 손상, 기밀성 상실, 데이터에 대한 통제권 상실, 가명처리된 데이터의 재식별.

각 위험에 대해 계획된 처리 방식을 식별하십시오:

• 수용 — 잔여 위험이 수용 가능함. 그 이유와 승인자를 문서화하십시오.
• 감소 — 적용된 통제(암호화, 접근 관리, 교육, 보유 기간 단축).
• 회피 — 위험을 제거하도록 처리를 변경(대신 익명화된 데이터 사용, 기능 폐기).
• 이전 — 계약상 배분(주요 위험에 대해서는 드물며, 보험이나 공급업체 약관을 통한 잔여 책임에 대해서는 일반적임).

계획된 통제 이후 잔여 위험을 재평가하십시오. 잔여 위험이 높음으로 유지되는 경우, 처리를 시작하기 전에 감독기관과 협의해야 합니다(제36조).

• DPO 자문(제35조(2)) — DPO와 협의해야 하며, 컨트롤러는 자문에서 벗어날 수 있으나 그 사유를 문서화해야 합니다.
• 이해관계자 협의 — 제35조(9)는 적절한 경우 정보주체 또는 그 대표자와 협의할 것을 권고합니다.
• 승인 권한 — 일반적으로 데이터 컨트롤러의 책임 있는 고위 인사(CISO, COO, 또는 기업에 중대한 처리의 경우 CEO).
• 공개 — GDPR에서 요구하지는 않으나, ICO와 다수의 감독기관은 신뢰의 신호로서 편집된 DPIA 요약본의 공개를 권고합니다.
• 검토 주기 — 제35조(11)는 처리 작업이 나타내는 위험에 변화가 있을 때 검토를 요구합니다. 최소 연 1회의 정기 검토를 일정에 잡으십시오.

완화 조치를 적용한 후에도 권리와 자유에 대한 잔여 위험이 높음으로 유지되는 경우 제36조에 따른 사전 협의가 요구됩니다.

감독기관은 다음을 받습니다:

• DPIA 자체.
• 컨트롤러 및 모든 공동 컨트롤러/처리자의 책임.
• 의도된 처리의 목적과 수단.
• 조치 및 안전장치.
• DPO의 연락처.
• 감독기관이 요청한 기타 정보.

감독기관 응답 기간: 8주(복잡한 사안의 경우 6주 연장 가능). 이 기간 동안에는 승인 없이 처리를 시작할 수 없습니다.

시나리오: 한 물류 회사가 독일과 스페인의 12개 사업장에 걸쳐 4,500명의 창고 근로자를 대상으로 얼굴 인식 기반 출퇴근 기록을 도입할 계획입니다.

임계값 테스트: 민감 데이터(식별을 위한 제9조 생체인식 데이터) + 대규모 + 취약한 대상(직원) + 혁신적 사용 = 명백한 DPIA 영역. 독일 및 스페인 감독기관 목록 또한 직장 내 생체인식 신원 확인을 의무 DPIA로 열거하고 있습니다.

기술(1단계): 사업장 입구의 정면 카메라로부터 도출된 얼굴 템플릿; 사업장별 장치에 저장된 등록 템플릿과 대조; 일치 결과는 타임스탬프 및 근로자 ID와 함께 기록; 생체인식 템플릿은 고용 기간 + 30일 동안 보유; 대조 로그는 3년간 보유.

필요성(2단계): 적법 근거는 제6조(1)(b) 고용 계약 + 제9조(2)(b) 노동법상 의무(독일) 및 명시적 동의(스페인, 노사협의회 공동 결정 포함). 검토한 대안: PIN 카드 스와이프(거부 — 대리 출근 기록), NFC 배지(거부 — 동일), 지문(거부 — 위생). 대안 대비 얼굴 템플릿의 필요성을 정당화함.

위험(3단계): (a) 생체인식 템플릿의 중앙집중화는 침해를 위한 미끼를 만듭니다. (b) 잘못된 불일치로 인한 임금 공제. (c) 기능 확장 — 출퇴근 기록 데이터가 성과 평가에 사용됨. (d) 직원 강요: 생체인식 수집 거부 시 더 열악한 조건으로의 강제 옵트아웃.

처리(4단계): (a) 사업장별 온프레미스 장치; HSM 관리 키로 암호화된 템플릿; 클라우드 사본 없음. (b) 불일치에 대한 수동 재정의 워크플로; 급여 부서는 출퇴근 기록 실패만을 근거로 공제할 수 없음. (c) 계약상 금지 + 출퇴근 기록 데이터와 HR 성과 시스템 간의 기술적 분리. (d) 불이익 없는 진정한 옵트아웃 경로(배지 대체 수단), 노사협의회 합의서에 문서화됨.

승인: DPO 자문 획득 — 고용 종료 후 얼굴 템플릿을 30일이 아닌 7일 후에 삭제할 것을 권고. 컨트롤러가 수용. 노사협의회 공동 결정 획득. 잔여 위험: 중하. 감독기관 협의 불필요.

• 임계값 테스트 건너뛰기. DPIA를 일찍 수행했으나, 나중에 필요하지 않았음을 깨달음. 반대의 경우(수행하지 않았는데 집행 과정에서 필요성이 드러남)가 훨씬 더 나쁩니다.
• 필요성을 형식적 승인으로 취급하기. “검토한 덜 침해적인 대안”은 규제 당국이 가장 면밀히 읽는 부분입니다. 형식적인 언급은 감사를 통과하지 못합니다.
• 위험 담당자의 모호성. 지정된 책임자가 없는 위험은 처리되지 않은 채 남는 경향이 있습니다.
• 정보주체 협의 단계 누락. 적절한 경우(직원, 대규모 사용자 기반), 제35조(9) 협의는 방어 가능성을 강화합니다.
• 잔여 위험 재평가 미실시. 처리 후 재평가하지 않으면 제36조가 발동되는지 여부를 입증할 수 없습니다.
• DPIA를 일회성 산출물로 취급하기. 중대한 변경(새로운 데이터 범주, 새로운 처리자, 새로운 관할권, 새로운 목적)은 평가를 재발동시킵니다.
• 엔지니어링 부서가 DPIA를 직접 완료하도록 두기. 개인정보 전문가의 참여는 제35조(2)에 의해 요구됩니다. 이것이 없으면 평가는 법적 근거가 결여됩니다.