[GDPR] 일반 데이터 보호 규정이 뭐야 (개발자 가이드)

개요

GDPR은 일반 데이터 보호 규정(General Data Protection Regulation)

 

EU를 통해 2018년 5월 25일에 발표되었으며 간단하게 말하자면

EU 내 사람들과 관련된 데이터를 대상으로 삼는 한 모든 서비스는 이 의무를 지켜야 합니다.

=> 즉 EU 시장을 염두에 두고 있을 때 적용해야 합니다

 

이 규정은 EU에 거주하지 않아도 적용되기에 범위도 상당히 넓고

만약 지키지 않는 다면 최대 2,000만 유로 또는 전 세계 매출의 4% 중 더 높은 걸로 벌금이 부과됩니다

 

공식 사이트

https://gdpr.eu/what-is-gdpr/

What is GDPR, the EU’s new data protection law? - GDPR.eu

 

유의사항

1. 안전한 데이터 전송

• HTTPS 사용: GDPR에서 명시적으로 HTTPS를 쓰라고 하진 않았지만 보안을 위해 이를 적용해, 데이터가 전송 중에도 안전하게 보호되도록 HTTPS를 사용하여 통신을 암호화해야 합니다. 이는 데이터 유출이나 중간자 공격을 방지하는 데 필수적입니다.

2.  쿠키 및 세션 관리

• 쿠키에 대한 동의: 사용자의 명시적인 동의 없이 쿠키를 사용해서는 안되며 사용자가 웹사이트에 처음 방문했을 때 쿠키 사용에 대한 정보를 제공하고 동의를 요청하는 배너를 표시해야 합니다.
• 세션 관리: 세션 ID를 안전하게 관리하고, 세션 쿠키는 'HttpOnly'와 'Secure' 속성을 설정하여 클라이언트 스크립트가 접근하지 못하도록 해야 합니다

3. 개인 데이터 접근 및 관리

• API를 통한 데이터 관리: 사용자가 자신의 데이터에 접근하고, 수정하며 삭제할 수 있도록 API를 제공해야 합니다. 이러한 API는 적절한 인증과 권한 검증을 거쳐야 합니다.
• 다음 항목을 개인 정보로 취급합니다.
  • 성, 이름, 가명, 생년월일
    
  • 사진, 음성 녹음
  • 고정 전화번호 또는 휴대폰 번호, 우편 주소, 이메일 주소
  • IP 주소, 컴퓨터 연결 식별자 또는 쿠키 식별자
  • 손의 지문, 손바닥 또는 정맥 네트워크, 망막 지문
  • 차량번호, 주민등록번호, ID 번호
  • 애플리케이션 사용 데이터, 댓글 등
  • 그중 더 민감한 아래 정보를 동의서에 명시를 추가해야 함
    • 개인의 건강에 관한 데이터
    • 성생활 또는 성적 취향에 관한 데이터
    • 인종 또는 민족적 기원을 드러내는 데이터
    • 정치적 견해, 종교적 신념, 철학적 신념 또는 노동조합 가입
    • 개인을 고유하게 식별할 목적으로 사용되는 유전적 및 생체정보

4. 데이터 최소화

• 데이터 수집 최소화: 필요한 최소한의 개인 데이터만 수집하고, 명확하고 합법적인 목적 없이 추가적인 데이터를 수집하지 않도록 해야 합니다.

5. 사용자 동의 관리

• 동의 로깅: 사용자의 동의 내역을 로그로 남겨 관리해야 하며, 이 로그는 사용자가 동의를 철회하거나 변경할 때 업데이트되어야 합니다.

6. 데이터 보호 정책

• 정책 문서화: 데이터 보호 정책을 명확하게 문서화하고, 이를 공개하여 사용자가 쉽게 접근할 수 있게 해야 합니다.

7. 데이터 침해 통지

• 침해 감지 및 통지 시스템: 데이터 침해를 감지할 수 있는 시스템을 구축하고, 발생 시 GDPR 규정에 따라 72시간 이내에 관련 당국과 피해자에게 통지해야 합니다.

8. 법적 준수

• 로그 저장 및 관리: 필요한 법적 근거를 갖추기 위해 로그를 안전하게 저장하고 관리해야 합니다.