데이터 프라이버시
핵심 철학
데이터 프라이버시 규정 준수(유럽의 GDPR, 캘리포니아의 CCPA/CPRA, 브라질의 LGPD)는 웹사이트 하단에 복사-붙여넣기하는 정적인 법적 고지사항이 아닙니다. 프라이버시는 공학적 아키텍처입니다. 현대 규정은 설계에 의한 프라이버시, 데이터 최소화, 적법한 처리 근거, 30일 이내의 자동화된 DSAR(데이터 주체 접근 요청) 이행, 그리고 의무적인 72시간 침해 보고 등 엄격한 원칙을 강제합니다. 데이터 프라이버시 위반 시 GDPR에 따라 전 세계 연간 매출의 4% 또는 2천만 달러에 달하는 법정 벌금이 부과될 수 있습니다.
4단계 기술적 데이터 프라이버시 아키텍처
1단계: 데이터 인벤토리 및 처리 활동 기록(ROPA / GDPR 제30조)
- 종합 데이터 흐름 지도:
- 수집 -> 저장 -> 처리 -> 공유 -> 폐기로 이어지는 수명 주기 전반에 걸쳐 모든 개인 데이터 요소를 추적합니다.
- 문서화: 데이터 범주(개인 식별 정보, IP 주소, 재무 정보, 민감 데이터), 데이터 주체(고객, 직원), 저장 위치(AWS us-east-1), 보존 기간, 하위처리자(Stripe, PostHog, AWS).
- 처리의 적법한 근거(GDPR 제6조):
- 각 처리 흐름에 대한 적법한 근거 식별: 계약상 필요성, 법적 의무, 정당한 이익(문서화된 정당한 이익 평가(LIA) 포함) 또는 명시적 동의.
2단계: 동의 관리 및 쿠키 거버넌스(ePrivacy)
- EU 내 사전 동의 의무:
- 추적, 분석 및 마케팅 쿠키는 사용자의 적극적인 옵트인 동의가 있을 때까지 절대 실행되어서는 안 됩니다.
- 사전 체크된 체크박스와 쿠키 월(동의하지 않으면 접근 차단)은 EDPB 지침에 따라 법적으로 무효입니다.
- 세분화된 동의 범주:
- 필수 쿠키(항상 활성).
- 분석/성능 쿠키(옵트인 필요).
- 광고/마케팅 쿠키(옵트인 필요).
3단계: 자동화된 데이터 주체 접근 요청(DSAR) 파이프라인
- 법정 권리 이행(역일 기준 30일 이내):
- 접근권/데이터 이동권: 사용자에게 구조화된 기계 판독 가능 형식(JSON/CSV)으로 저장된 모든 개인 데이터를 제공합니다.
- 삭제권(잊혀질 권리): 기본 데이터베이스, 로그, 백업 및 하위처리자 시스템에서 사용자 개인 식별 정보를 삭제합니다.
- "하드 삭제" 엔지니어링 프로토콜:
- 관계형 데이터베이스 레코드(
user_id -> hash)에 대해 암호화 삭제 또는 익명화를 실행합니다. - 재무/세무 감사에 법적으로 필요한 데이터(예: 7년간의 송장 기록)는 개인 식별 정보를 삭제한 상태로 엄격히 보관합니다.
- 관계형 데이터베이스 레코드(
4단계: 하위처리자 관리 및 72시간 침해 대응
- 데이터 처리 계약(DPA) 및 역외 이전:
- EU 표준 계약 조항(SCC) 및 영국 부록이 포함된 모든 타사 공급업체와 서명된 DPA를 체결합니다.
- 72시간 사고 대응 프로토콜:
- 개인 데이터 침해가 발생한 경우, GDPR 제33조에 따라 침해를 인지한 시점으로부터 72시간 이내에 주 감독 기관(DPA)에 통지합니다.
- 개인에게 높은 위험이 있는 경우: 부당한 지체 없이 영향을 받은 데이터 주체에게 통지합니다.
산출물 형식: 데이터 프라이버시 아키텍처 및 ROPA 명세서(PRIVACY-SPEC.md)
# 데이터 프라이버시 아키텍처 및 ROPA 등록부: [제품명]
## 1. 처리 활동 기록(ROPA - GDPR 제30조)
| 처리 활동 | 개인 데이터 범주 | 데이터 주체 | 적법한 근거 | 저장 위치 | 보존 기한 |
|---|---|---|---|---|---|
| 사용자 인증 | 이메일, 해시된 비밀번호, IP | 등록된 사용자 | 계약상 필요성 | Postgres (AWS 더블린) | 계정 수명 + 30일 |
| 결제 처리 | 청구지 주소, 카드 마지막 4자리 | 결제 고객 | 법적 의무 / 계약 | Stripe Inc. (미국) | 7년 (세법) |
| 제품 분석 | 익명화된 사용자 ID, 클릭 이벤트 | 웹 방문자 | 동의(옵트인) | PostHog (EU 클라우드) | 12개월 |
## 2. 하위처리자 명단 및 이전 메커니즘
- **Stripe, Inc.**: 결제 인프라 | DPA + EU 표준 계약 조항(SCC)
- **Amazon Web Services (AWS EMEA)**: 클라우드 호스팅 | DPA + ISO 27001 인증
## 3. DSAR 자동 삭제 프로토콜(`DELETE /api/v1/user/dsar`)
1. 활성 사용자 세션 및 인증 토큰을 무효화합니다.
2. `users` 테이블의 개인 식별 정보를 스크램블합니다: `email = anonymized_${uuid}@deleted.local`.
3. Stripe 및 PostHog에 웹훅을 전송하여 다운스트림 삭제를 트리거합니다.
4. 데이터 주체에게 확인 영수증과 함께 200 OK를 반환합니다.
## 4. 72시간 침해 통보 에스컬레이션
- 주 DPA: 아일랜드 데이터 보호 위원회(DPC)
- 에스컬레이션 팀: 법무총괄, 최고정보보안책임자(CISO), 최고기술책임자(CTO)
- 긴급 통지 템플릿: `legal/templates/breach-notification-dpa.md`
작업 예제: 자동화된 잊혀질 권리 파이프라인
- 과제: 사용자가 GDPR 제17조 삭제 요청을 제기했습니다. 엔지니어링 팀은 8개의 데이터베이스와 4개의 타사 SaaS 도구에서 수동 삭제를 해야 했습니다.
- 해결책: AWS Lambda에서 자동화된 비동기 DSAR 워커를 구축했습니다. 요청이 확인되면 워커가 소프트 삭제를 하드 암호화 익명화로 연쇄 실행하고 Stripe 및 Segment에 자동 삭제 웹훅을 전송했습니다.
- 결과: DSAR 처리 시간이 14일의 수동 엔지니어링에서 90초 자동 처리로 단축되었고, 완전한 규정 준수 감사 추적이 생성되었습니다.
검증 체크리스트
- 처리 활동 기록(ROPA)이 모든 개인 데이터 흐름과 적법한 근거를 문서화합니다.
- 쿠키 동의 배너가 EU에서 분석 또는 광고 추적기를 실행하기 전에 적극적인 옵트인이 필요합니다.
- 자동화된 DSAR 내보내기 및 삭제 엔드포인트가 작동하며 30일 이내에 요청을 이행합니다.
- 모든 타사 하위처리자에 대해 SCC가 포함된 서명된 데이터 처리 계약(DPA)이 체결됩니다.
- 72시간 법정 침해 보고 절차가 문서화되고 리더십과 함께 테스트됩니다.
안티패턴
- 사전 체크된 쿠키 배너: 묵시적 동의를 가정하거나 EDPB 판결을 위반하는 기만적인 다크 패턴을 사용하는 경우.
- 하위처리자 삭제 무시: 로컬 데이터베이스에서 사용자를 삭제하면서 CRM 및 분석 도구에 원시 개인 식별 정보를 남겨두는 경우.
- 침해 사건 은폐: 데이터 유출 사실을 3개월 동안 규제 기관에 알리지 않아 최대 법정 벌금을 초래하는 경우.