EU GDPR 담당자가 필요합니까? 제27조 설명

귀사가 유럽 연합(EU) 외부에 기반을 두고 있지만 EU 내 고객에게 제품이나 서비스를 판매하는 경우에도 GDPR이 귀사에 적용될 수 있습니다.

국제 기업들이 때때로 간과하는 요구 사항 중 하나는 다음과 같습니다. 일반 데이터 보호 규정(GDPR) 제27조. 특정 상황에서는 EU에 사업장을 두지 않은 회사도 유럽 연합 내에 공식적으로 대리인을 지정해야 합니다.

이는 온라인 쇼핑몰, 소프트웨어 회사, 서비스 제공업체, 국제 브랜드 및 유럽 고객을 대상으로 하는 기타 기업에 영향을 미칠 수 있습니다.

이 가이드에서는 언제 EU GDPR 담당자 어떤 요건이 요구될 수 있는지, 대리인이 하는 일, 그리고 비EU 기업이 이 요건을 어떻게 충족할 수 있는지에 대해 설명합니다.

EU GDPR 담당자란 무엇인가요?

EU GDPR 대리인은 EU 외부에 위치한 특정 데이터 관리자 또는 데이터 처리자가 공식적으로 지정한 유럽 연합 내에 설립된 개인 또는 조직입니다.

담당자는 회사의 개인 데이터 처리와 관련된 문제에 대해 EU 내에서 접근 가능한 연락 창구를 제공합니다.

제27조는 대표자를 지정하도록 규정하고 있다. 서면으로. 대리인은 개인정보 처리 대상인 관련 개인이 소재하는 EU 회원국에 설립되어야 합니다.

그러면 EU 감독 당국과 데이터 주체는 회사의 처리 활동과 관련된 문제에 대해 해당 대리인에게 문의할 수 있습니다.

GDPR은 왜 EU 외부에 있는 회사에도 적용될 수 있을까요?

흔히 GDPR이 유럽 연합 내에 설립된 회사에만 적용된다고 오해하고 있습니다.

하지만 항상 그런 것은 아닙니다.

GDPR 제3조(2)항에 따라, 본 규정은 EU에 설립되지 않은 컨트롤러 및 프로세서의 특정 처리 활동에도 적용될 수 있으며, 이러한 활동은 다음과 관련됩니다.

• EU 내 개인에게 상품을 제공하는 것;
• EU 내 개인에게 서비스를 제공하는 것; 또는
• EU 내에서 발생하는 개인의 행동을 모니터링하는 것.

이러한 지역적 범위는 국제 전자상거래에 특히 중요합니다.

예시: 미국 온라인 쇼핑몰이 독일 시장에 상품을 판매하는 경우

미국에 설립되었지만 유럽 연합(EU)에 지사를 두지 않은 회사를 생각해 보세요.

해당 회사는 독일 고객을 대상으로 하는 온라인 쇼핑몰을 운영하며, 독일 내 주문을 받고, 독일로 제품을 배송하며, 이름, 주소, 이메일 주소 및 주문 정보와 같은 고객 정보를 처리합니다.

회사 자체가 미국에 위치해 있다는 사실만으로 해당 처리 활동이 GDPR의 적용 범위에서 자동으로 제외되는 것은 아닙니다.

제3조(2)항이 적용되는 경우 기업은 제27조에 따라 유럽 연합 내에 대리인을 임명해야 하는지 여부를 평가해야 합니다.

GDPR 제27조 대리인이 필요한 사람은 누구인가요?

일반적으로 제27조는 GDPR 제3조(2)에 해당하는 컨트롤러 또는 프로세서가 예외가 적용되지 않는 한 유럽 연합에 대리인을 지정하도록 요구합니다.

이는 해당 요건이 다음과 같은 국가에 기반을 둔 기업에 영향을 미칠 수 있음을 의미합니다.

• 미국;
• 영국;
• 스위스;
• 캐나다;
• 호주;
• 일본;
• 중국;
• 싱가포르; 그리고
• 유럽 ​​연합(EU) 이외의 다른 국가들.

평가해야 할 것은 단순히 설립 국가가 아니라 회사의 활동과 처리 작업입니다.

EU 비회원국 기업은 모두 대리인을 지정해야 합니까?

아니요.

제27조는 처리 과정이 다음과 같은 경우 예외를 규정하고 있습니다. 가끔씩, 이는 특수 범주의 개인 데이터 또는 형사 유죄 판결 및 범죄와 관련된 개인 데이터의 대규모 처리를 포함하지 않으며, 처리의 성격, 맥락, 범위 및 목적을 고려할 때 개인의 권리와 자유에 대한 위험을 초래할 가능성이 낮습니다.

제27조에서는 공공기관 및 단체에 대해서도 별도로 규정하고 있습니다.

따라서 해당 면제는 일반적인 소기업 면제로 간주되어서는 안 됩니다. 사업체는 대리인이 필요하지 않다고 결론짓기 전에 실제 처리 활동을 고려해야 합니다.

EU 대표는 어디에 위치해야 합니까?

제27조(3)항에 따라 대리인은 관련 데이터 주체가 위치한 EU 회원국 중 하나에 설립되어야 합니다.

예를 들어, EU 비회원국의 전자상거래 기업이 독일 소비자에게 적극적으로 제품을 판매하고 해당 판매와 관련하여 소비자의 개인 데이터를 처리하는 경우, 독일에 설립된 대리인이 적절한 EU 연락 창구 역할을 할 수 있습니다.

유럽 ​​데이터 보호 위원회(EDPB)는 또한 모범 사례로서 영향을 받는 데이터 주체의 상당수가 위치한 회원국에 대리인을 배치할 것을 권장합니다.

EU GDPR 담당자는 어떤 일을 하나요?

대리인은 단순히 개인정보 처리방침에 추가할 수 있는 주소 이상의 의미를 지닙니다.

이 직책은 비EU 기업과 EU 내 개인 및 관할 데이터 보호 당국 간의 EU 연락 창구 역할을 합니다.

1. EU 연락 창구 역할을 수행합니다.

대리인은 대표 기업의 데이터 처리 활동과 관련된 GDPR 문제에 대해 유럽 연합 내에서 식별 가능한 연락 담당자를 제공합니다.

2. 데이터 주체와의 의사소통을 용이하게 합니다.

EU 데이터 주체는 관련 처리 문제 및 GDPR에 따른 권리 행사와 관련하여 담당자에게 연락할 수 있어야 합니다.

담당자는 관련 연락을 수신하고 이를 담당 회사와 조율할 수 있습니다.

3. 감독 당국과 소통합니다

대리인은 또한 임명에 포함된 처리 활동과 관련하여 관할 EU 감독 당국에 협조할 수 있어야 합니다.

이를 통해 데이터 관리자 또는 데이터 처리자가 EU 외부에 위치하더라도 유럽 당국은 쉽게 연락할 수 있는 창구를 확보할 수 있습니다.

4. 제30조 처리 기록 지원

GDPR 제30조는 데이터 처리자 및 해당되는 경우 그 대리인이 데이터 처리 활동에 대한 기록을 유지하도록 요구합니다.

조직 및 그 역할에 따라 이러한 기록에는 다음과 같은 정보가 포함될 수 있습니다.

• 관리자 및 대리인;
• 처리 목적;
• 데이터 주체의 범주;
• 개인 데이터의 범주;
• 수혜자 범주;
• 국제 송금;
• 가능한 경우 보존 기간;
• 가능한 경우 관련 기술적 및 조직적 보안 조치에 대한 일반적인 설명.

이러한 기록은 필요할 경우 관할 감독 당국에 제공되어야 합니다.

EU GDPR 담당자는 데이터 보호 책임자와 동일한 사람인가요?

아니요. GDPR 제27조 대리인과 데이터 보호 책임자(DPO)는 별개의 기능입니다.

EU 대리인은 EU 비회원국 데이터 관리자 또는 처리자의 위임을 받아 유럽 연합 내에서 관련 GDPR 사안에 대한 대표자 역할을 수행합니다.

데이터보호책임자(DPO)는 GDPR 제37조부터 제39조에 따라 별도의 역할을 가지며, 필요한 독립성을 가지고 해당 역할을 수행해야 합니다.

유럽 ​​데이터 보호 위원회(EDPB)는 EU 대표의 역할은 일반적으로 동일 조직의 외부 데이터 보호 책임자(DPO) 역할을 동시에 수행하는 것과 양립할 수 없다고 명확히 밝혔습니다.

대리인 지정은 GDPR 책임 이전으로 이어지는가?

아니요.

EU 대리인을 임명한다고 해서 데이터 관리자 또는 데이터 처리자의 GDPR 의무가 대리인에게 이전되는 것은 아닙니다.

EU 비회원국 기업은 자사의 데이터 처리 활동에 적용되는 GDPR 요건을 준수할 책임이 있습니다.

예를 들어, 기업은 다음과 같은 문제들을 해결해야 할 수도 있습니다.

• 처리의 법적 근거;
• 개인정보 보호 정보;
• 데이터 주체의 권리;
• 프로세서 관계;
• 국제 데이터 전송;
• 데이터 보존;
• 보안 조치;
• 데이터 유출 관련 의무; 및
• 기타 적용 가능한 GDPR 요건.

따라서 EU 대표는 조직의 광범위한 GDPR 준수 체계의 한 부분을 구성합니다.

개인정보 처리방침에 어떤 정보가 포함되어야 할까요?

EU 대표가 임명된 경우, 해당 조직은 데이터 주체에게 제공하는 GDPR 정보에 대표의 신원이 적절하게 명시되도록 해야 합니다.

이는 일반적으로 개인이 쉽게 연락할 수 있는 유럽 내 담당자를 찾을 수 있도록 담당자의 신원과 연락처 정보를 제공하는 것을 의미합니다.

임명 기간 동안에는 해당 정보를 최신 상태로 유지해야 합니다.

EaseCert EU GDPR 대리인 서비스

EaseCert는 이제 다음을 제공합니다. EU GDPR 제27조에 따른 대리인 서비스 유럽 ​​연합 외부에 설립된 적격 기업의 경우.

EaseCert GmbH, 독일에 설립된 당사는 귀사의 EU 대표로 공식 임명되어 대표 기능에 필요한 유럽 연락 창구를 제공할 수 있습니다.

이 서비스에는 다음이 포함됩니다:

• EU GDPR 관련 법률 자문: GDPR 제27조에 따라 EaseCert GmbH를 귀사의 EU 대표로 임명합니다.
• EU 연락처: EU 데이터 주체와 관할 데이터 보호 당국 간의 소통 창구;
• 제30조 기록: 귀사에서 제공하는 정보를 기반으로 처리 활동 기록을 설정하고 유지 관리합니다.

매년 구독료를 내는 대신 일회성 요금을 지불하세요.

해외 기업들은 유럽 시장 진출 시 이미 수많은 반복적인 비용에 직면하고 있습니다.

따라서 EaseCert는 간단한 방식을 사용하여 표준 EU GDPR 대리인 서비스를 제공합니다. 일회성 수수료 모델.

표준 서비스에는 연간 대리인 구독료가 없습니다.

EaseCert 예약 절차는 어떻게 진행되나요?

1단계: 주문하기

EU GDPR 대리인 서비스를 주문하고 회사 정보를 제공해 주세요.

2단계: 처리 정보를 제공하세요

당사는 귀하의 EU 활동 및 임명에 포함된 처리 작업을 이해하는 데 필요한 정보를 수집합니다.

3단계: 검토 및 대표자 위임

EaseCert는 제공된 정보를 검토하고 대리인 관계에 필요한 문서를 준비합니다.

4단계: 공식 임명

본 서면 위임장은 GDPR 제27조에 따라 EaseCert GmbH를 귀사의 EU 대표로 공식 지정합니다.

5단계: 개인정보 정보를 업데이트하세요

저희는 귀하의 개인정보 보호 문서에 EU 담당자를 포함시킬 수 있도록 관련 EaseCert 담당자 정보를 제공합니다.

6단계: 정보를 관리하세요

귀 기관은 지정된 처리 활동에 중대한 변경 사항이 있을 경우 EaseCert에 알려 관련 담당자 기록이 최신 상태로 유지되도록 해야 합니다.

EU 제품 규정 준수 및 데이터 보호를 한 곳에서 해결하세요

해외 전자상거래 기업에게 GDPR은 유럽 시장 진출의 여러 요소 중 하나일 뿐입니다.

제품 및 관련 국가에 따라 기업은 제품 안전, EU 책임자, 공인 대리인, 제품 라벨링, 기술 문서, 생산자 책임 확대(EPR) 및 기타 시장 진출 의무와 관련된 요구 사항을 충족해야 할 수도 있습니다.

EaseCert는 독일 법인을 통해 실질적인 EU 규정 준수 서비스를 제공하여 기업들이 단일 공급업체를 통해 여러 유럽 규정 준수 요건을 조율할 수 있도록 지원합니다.

EU 고객에게 판매를 시작하기 전에 준비하세요

귀사의 사업체가 유럽 연합 외부에 설립되어 EU 내 고객을 대상으로 사업을 진행하려는 경우, 사업 시작 전에 제27조가 적용되는지 여부를 판단해야 합니다.

EU 대리인이 필요한 경우, 조기에 대리인 선임을 확정하면 처음부터 개인정보 보호 문서에 적절한 대리인 정보를 포함시킬 수 있습니다.

EaseCert GmbH는 적격한 비EU 기업을 대상으로 독일에서 EU GDPR 관련 대리 서비스를 일회성 수수료로 제공합니다.

공식 참고 자료

• 유럽연합 일반 데이터 보호 규정(EU) 2016/679 – EUR-Lex
• 유럽 ​​데이터 보호 위원회 - GDPR의 적용 범위에 관한 지침 3/2018

이 문서에서는 EU GDPR 대리인 요건에 대한 일반적인 정보를 제공합니다. 제27조의 적용 여부는 각 조직의 상황과 데이터 처리 활동에 따라 달라집니다. EaseCert의 제27조 서비스는 EU 대리인 서비스이며, 법률 자문이나 데이터 보호 책임자(DPO) 서비스를 제공하지 않습니다.