우크라이나의 데이터 유출. EU 법률과 유사함

텔레그램 봇을 통한 운전 면허증 데이터 유출 스캔들은 우크라이나 전역에 큰 충격을 주었습니다. 처음에는 정부 서비스 애플리케이션인 'DIYA'에 대한 의혹이 제기됐지만 해당 애플리케이션이 이번 사건에 관여했다는 사실은 빠르게 부인됐다. "누가 어떻게 데이터를 유출했는지" 시리즈의 질문은 우크라이나 경찰, SBU, 컴퓨터 및 기술 전문가로 대표되는 국가에 위임될 예정이지만, 개인 데이터 보호에 관한 법률 준수 문제는 다음과 같습니다. 디지털 시대는 법률 회사 Icon Partners의 컨설턴트인 Vyacheslav Ustimenko 출판물의 저자가 고려했습니다.

우크라이나는 EU 가입을 위해 노력하고 있으며 이는 개인 데이터 보호에 대한 유럽 표준의 채택을 의미합니다.

사례를 시뮬레이션하고 EU의 비영리 단체가 동일한 양의 운전 면허증 데이터를 유출했으며 이 사실이 현지 법 집행 기관에 의해 결정되었다고 가정해 보겠습니다.

EU에는 우크라이나와 달리 개인 데이터 보호에 관한 규정인 GDPR이 있습니다.

누출은 다음에 설명된 원칙을 위반했음을 나타냅니다.

• GDPR 제25조 개인 데이터 보호 설계 및 기본;
• GDPR 제32조. 처리 보안
• GDPR 제5조 1.f항. 무결성과 기밀성의 원칙.

EU에서는 GDPR 위반에 대한 벌금이 개별적으로 계산되며 실제로는 200,000유로 이상의 벌금이 부과됩니다.

우크라이나에서 바뀌어야 할 것

우크라이나와 해외에서 IT 및 온라인 비즈니스를 지원하는 과정에서 얻은 관행은 GDPR의 문제점과 성과를 보여주었습니다.

다음은 우크라이나 법률에 도입되어야 할 XNUMX가지 변경 사항입니다.

#디지털 시대에 맞게 입법 체계를 조정하다

EU와 연합 협정을 체결한 이후 우크라이나는 새로운 데이터 보호 법안을 개발해 왔으며 GDPR은 지침이 되었습니다.

개인정보보호법 통과는 쉽지 않았다. GDPR 규정의 형태에는 "골격"이 있는 것으로 보이며 "기본"(규범 적용)만 구축하면 되지만 실무와 법의 관점에서 많은 논란의 여지가 있는 문제가 발생합니다. .

예를 들면 다음과 같습니다

• 공개된 데이터는 개인정보로 간주됩니다.
• 법이 법집행기관에 적용될 것인가,
• 법 위반에 대한 책임은 무엇이며 벌금 금액은 유럽 벌금과 비슷합니까?

핵심은 법안이 GDPR에서 복사되지 않고 조정되어야 한다는 것입니다. 우크라이나에는 EU 국가에서는 일반적이지 않은 해결되지 않은 문제가 여전히 많이 있습니다.

#용어 통일

개인 데이터와 기밀 정보가 무엇인지 확인합니다. 우크라이나 헌법 제32조는 기밀 정보 처리를 금지합니다. 기밀 정보의 정의는 최소 XNUMX개 법률에 포함되어 있습니다.

우크라이나어 원본 소스의 인용문은 여기에서 확인하세요.

• 국적, 교육, 가족 문화, 종교 변화, 건강 상태, 주소, 생년월일 및 출생지에 관한 정보(우크라이나 "정보에 관한 법률" 제2조 11항)
• 거주지에 관한 정보(우크라이나 법률 "우크라이나 내 이동의 자유 및 자유로운 거주 선택에 관한" 제8조 6항)
• 공동체의 잔인함을 통해 얻은 공동체의 삶의 특성에 관한 정보(우크라이나 법률 제10조 "공동체의 잔혹함에 관한")
• 인구 조사를 수행하는 과정에서 제거된 기본 데이터(우크라이나 법률 "전 우크라이나 인구 조사에 관한" 제16조)
• 추가 보호가 필요한 난민 또는 특별 보호 인정을 받기 위해 신청자가 제출한 진술서(우크라이나법 "추가 보호 또는 적시 보호가 필요한 난민 및 특별 보호에 관한" 제10조 7항)
• 연금기금 가입자의 개인연금계좌, 실물자산의 연금예금계좌에 배분된 연금예금, 연금지급 및 투자소득(잉여금)에 관한 정보, 노령연금 보험계약(법 제3조 제53항) 우크라이나의 "비정부 연금 보험에 관한 법률") ;
• 피보험자의 누적 연금 계정에 투자된 연금 자산 상태에 대한 정보(우크라이나 "법적 국가 연금 보험에 관한 법률" 제1조 98항)
• 과학 연구 또는 연구 개발 및 기술 로봇 개발 계약의 주제, 진행 상황 및 결과에 대한 정보(우크라이나 민법 제 895조)
• 미성년 범죄자의 신원을 확인하는 데 사용할 수 있는 정보 또는 미성년자의 자살 사실을 구성하는 정보(우크라이나 "TV 및 라디오 통신"법 제3조 62항)
• 고인에 관한 정보(우크라이나 법률 제7조 "장례식 서비스")
  노동 지불에 관한 진술서(우크라이나 "노동 지불에 관한" 법 제31조 노동 지불에 관한 진술은 입법의 경우에만 발행되지만 근로자의 재량에 따라 발행됩니다)
• 특허 발급을 위한 출원 및 자료(우크라이나 "제품 및 모델에 대한 권리 보호에 관한 법률" 제19조)
• 법원 판결문에서 찾을 수 있고 실제 개인을 식별할 수 있게 해주는 정보에는 다음이 포함됩니다. 실제 사람의 이름(아버지의 별명에 따른 이름) 지정된 주소, 전화번호 및 기타 연락처 정보, 이메일 주소, 식별 번호(코드)를 통한 거주지 또는 신체 활동 장소 운송 차량의 등록 번호(우크라이나 법률 제7조 "선박 결정 접근에 관한").
• 형사 소송으로부터 보호를 받는 사람에 관한 데이터(우크라이나 법률 제15조 "형사 소송에 참여하는 사람의 안전 보장에 관한")
• Roslin 품종 등록을 위한 실제 또는 법인 신청 자료, Roslin 품종 조사 결과(우크라이나 법률 제23조 "Roslin 품종에 대한 권리 보호에 관한")
• 보호를 받는 법원 또는 법 집행 기관에 제출된 변호사 관련 데이터(우크라이나 법률 제10조 "법원 및 법 집행 기관에 대한 경찰관의 주권적 보호에 관한")
• 등록부에 있는 폭력을 당한 개인에 관한 일련의 기록(개인 데이터)과 공유 접근이 가능한 정보입니다. (우크라이나 "가정폭력 예방 및 예방에 관한" 법률 제10조 16조);
• 우크라이나 군 경계선을 통과하여 이동하는 물품의 기밀 유지에 관한 정보(우크라이나 군법 제1조 263항)
• 의약품 및 보충제의 국가 등록 신청에 포함되어야 하는 정보(우크라이나 "의약품에 관한 법률" 제8조 9항)

#평가적인 개념에서 벗어나세요

GDPR에는 많은 평가 개념이 있습니다. 판례법이 없는 국가(우크라이나)의 평가 개념은 국민과 국가 전체에 유용하기보다는 "책임 회피"를 위한 공간에 가깝습니다.

#DPO의 개념을 소개합니다

데이터 보호 책임자(DPO)는 독립적인 데이터 보호 전문가입니다. 법안은 평가 개념 없이 명확하게 DPO 직위에 전문가를 의무적으로 임명해야 하는 필요성을 규제해야 합니다. 유럽연합에서는 어떻게 하는가 여기에 적힌.

#개인정보 분야 위반에 대한 책임 수준을 결정하고, 회사의 규모(이익)에 따라 벌금을 차등화합니다.

• 34그리브냐

  우크라이나에는 아직 개인 데이터 보호 문화가 없습니다. 현재의 "개인 데이터 보호에 관한 법률"에서는 "위반에는 법에 의해 설정된 책임이 수반됩니다"라고 명시되어 있습니다. 개인 데이터에 대한 불법 접근 및 주체의 권리 침해에 대한 행정법에 따른 벌금은 최대 UAH 34,000입니다.

• 20 천만 유로

  GDPR 위반에 대한 벌금은 최대 20,000,000유로 또는 이전 회계 연도 회사의 연간 총 매출액의 최대 4%로 세계 최대 규모입니다. Google은 프랑스 시민과 관련된 데이터 개인 정보 보호 위반으로 처음으로 50천만 유로의 벌금을 받았습니다.

• 114 천만 유로

  GDPR은 지난 2월 114주년을 맞아 XNUMX억XNUMX만유로의 벌금을 징수했다. 규제 기관은 수백만 개의 사용자 데이터를 보유한 거대 기업을 표적으로 삼는 경우가 많습니다.

  호텔 체인인 메리어트 인터내셔널(Marriott International)과 영국항공(British Airways)은 올해 데이터 유출로 인해 수백만 달러의 벌금을 물게 되었으며, Google을 제치고 최고 벌금이 부과될 것으로 예상됩니다. 영국 규제 당국은 이들에게 총 366억 XNUMX만 달러에 달하는 벌금을 부과할 계획이라고 경고했습니다.

  우리가 매일 사용하는 서비스를 제공하는 글로벌 기업에는 XNUMX이 XNUMX개 있는 벌금이 부과됩니다. 그러나 이것이 작고 생소한 기업이 처벌 대상이 아니라는 것을 의미하지는 않습니다.

  오스트리아의 한 우편회사는 주소, 개인 취향, 정치적 성향에 대한 정보가 포함된 18만 명의 프로필을 생성하고 판매한 혐의로 3만 유로의 벌금을 받았습니다.

  리투아니아의 한 결제 서비스는 더 이상 처리할 필요가 없을 때 고객의 개인 데이터를 삭제하지 않아 61,000유로의 벌금을 받았습니다.

  벨기에의 한 비영리 단체는 수신자가 수신을 거부하고 €1000의 벌금을 받은 후에도 직접적인 이메일 마케팅을 보냈습니다.

  1000유로는 명예훼손에 비하면 아무것도 아닙니다.

#행복은 벌금에 있지 않다

"나에 대한 정보를 알고 싶은 사람은 법에도 불구하고 어쨌든 알게 될 것입니다."-불행히도 우크라이나와 CIS 국가에서 많은 사람들이 말하는 것입니다.

그러나 “여권 사진을 훔쳐 내 이름으로 대출을 받을 것이다”라는 오해를 믿는 사람은 점점 줄어들고 있습니다. 왜냐하면 다른 사람의 여권 원본을 손에 쥐고 있어도 법적으로 그렇게 하는 것이 불가능하기 때문입니다.

사람들은 2개의 캠프로 나뉩니다:

• 개인 데이터의 종교를 믿는 "편집증"은 확인란을 선택하고 데이터 처리에 동의하기 전에 생각해야 합니다.
• "관심하지 않는 사람들", 즉 자신의 개인 데이터를 네트워크에 자동으로 유출하는 사람들은 결과에 대해 생각하지 않습니다. 그런 다음 신용 카드를 도난 당하거나, 반복 결제를 신청하거나, 메신저 계정을 도난 당하거나, 이메일이 해킹되거나, 암호화폐가 지갑에서 인출됩니다.

자유와 민주주의

개인정보 보호는 개인의 선택의 자유, 사회 문화 및 민주주의에 관한 것입니다. 더 많은 데이터로 사회를 관리하는 것이 더 쉽고, 개인의 선택을 예측하고 원하는 행동을 하도록 유도할 수 있습니다. 사람이 감시를 받으면 자신이 원하는 대로 하기가 어렵고, 그 결과 편안해지며, 결과적으로 통제됩니다. 즉, 사람은 무의식적으로 자신이 원하는 대로 하지 않고 확신한 대로 합니다.

GDPR은 완벽하지는 않지만 EU의 주요 아이디어와 목표를 충족합니다. 유럽인들은 독립적인 개인이 자신의 개인 데이터를 독립적으로 소유하고 관리한다는 것을 깨달았습니다.

우크라이나는 이제 막 여정의 시작 단계에 있으며 기반이 준비되고 있습니다. 주민들은 국가로부터 새로운 법문, 아마도 독립적인 규제 기관을 받게 될 것이지만 우크라이나인들은 현대 유럽의 가치와 2020년의 민주주의가 디지털 공간에도 존재해야 한다는 것을 이해해야 합니다.

PS 저는 소셜 미디어에 글을 쓰고 있습니다. 법학 및 IT 비즈니스에 관한 네트워크입니다. 내 계정 중 하나를 구독해 주시면 감사하겠습니다. 이는 확실히 귀하의 프로필을 개발하고 콘텐츠 작업에 대한 동기를 부여할 것입니다.

페이스북
인스타그램

등록된 사용자만 설문 조사에 참여할 수 있습니다. 로그인제발

개인 데이터에 관한 러시아 연방 법률에 대해 쓰시겠습니까?

• 51,4%예 19

• 48,6%다른 주제를 선택하는 것이 좋습니다18

37명의 사용자가 투표했습니다. 19명의 사용자가 기권했습니다.

출처 : habr.com