CJEU의 2020년 7월 16일 Schrems II 판결은 EU-US Privacy Shield를 무효화하고, 표준계약조항(SCC)이 원칙적으로는 여전히 유효하나 목적지 국가의 법률이 그것이 제공하는 보호를 약화시키는 경우에는 의존할 수 없음을 분명히 했습니다. 컨트롤러와 처리자는 각 이전에 대해 이전 영향평가(TIA)를 수행해야 합니다.

EDPB의 권고 01/2020은 6단계 방법론을 제시합니다. 잘 수행된 TIA는 이전, 목적지 국가의 법체계, 적용된 보충 조치, 그리고 귀하의 결론을 문서화하여 — 감사 시 방어 가능합니다. 부실하게 수행되면, 집행 앞에서 무너지는 형식적 체크박스 작업에 불과합니다.

2023년 EU-US Data Privacy Framework(DPF)는 인증된 미국 수입자로의 이전에 대한 적정성을 복원했습니다. 그러나 이는 모든 이전을 포괄하지 않으며, 재차 이의제기될 수 있고(Schrems III가 제기됨), 대부분의 비미국 이전은 여전히 TIA를 요하는 SCC에 의존합니다.

이 사건(C-311/18)은 Privacy Shield를 폐기하고 SCC 사용자들에게 경고를 보냈습니다. CJEU는 다음과 같이 판시했습니다:

• SCC는 이전 수단으로서 여전히 유효하다.
• 그러나 — 컨트롤러는 이전에 앞서, 목적지 국가의 법률이 본질적으로 동등한 보호를 제공하는지 검증해야 한다.
• 제3국 법률(특히 FISA Section 702 및 EO 12333에 따른 미국의 감시 포함)이 그 동등성을 약화시키는 경우, 이를 회복하기 위해 보충 조치가 적용되어야 한다.
• 어떤 조치로도 동등성이 회복되지 않는 경우, 이전은 중단되어야 한다.

실무적으로: SCC만으로는 충분하지 않습니다. TIA는 귀하가 그 작업을 수행했다는 서면 증거입니다.

1. 귀하의 이전을 파악하라. EEA 외부로의 모든 개인정보 이전을 매핑하라 — EEA 외부로부터의 원격 접근 포함.
2. 이전 메커니즘을 식별하라. SCC, BCR, 적용 배제, 적정성 결정.
3. 제3국의 법률 및 관행을 평가하라 — 본질적으로 동등한 보호를 제공하는가?
4. 보충 조치를 식별하라 — 기술적, 계약적, 조직적.
5. 선택한 조치가 요구하는 절차적 단계를 취하라.
6. 적절한 간격으로 또는 상황이 변할 때 재평가하라.

알지 못하는 것에 대해서는 TIA를 할 수 없습니다. 다음을 인벤토리화하십시오:

• EEA 외부의 모든 처리자 및 하위 처리자.
• EEA 외부의 지원 엔지니어에 의한 원격 접근(이것은 이전입니다).
• 귀하의 데이터를 호스팅하는 클라우드 리전 — 복제 및 백업 위치 포함.
• 귀하의 처리자가 수행하는 후속 이전.

제30조 ROPA를 출발점으로 사용하되 실제 인프라와 대조하여 검증하십시오. 클라우드 제공업체는 기본적으로 비EEA 리전으로 복제하거나 장애 조치하는 경우가 많으며 — 이는 이전으로 간주됩니다.

• 적정성 결정(제45조) — TIA 불필요. 현재 적정성: 안도라, 아르헨티나, 캐나다(상업 기관), 페로 제도, 건지, 이스라엘, 맨섬, 일본, 저지, 뉴질랜드, 대한민국, 스위스, 영국, 우루과이, 미국(DPF 하). 의존하는 적정성을 문서화하는 것이 여전히 유용합니다.
• SCC(제46조(2)(c)) — 모듈 1(컨트롤러 대 컨트롤러), 모듈 2(컨트롤러 대 처리자), 모듈 3(처리자 대 처리자), 모듈 4(처리자 대 컨트롤러). 가장 일반적인 것은 모듈 2입니다. TIA 필요.
• BCR(제47조) — 승인된 구속력 있는 기업 규칙 하의 그룹 내 이전. 비EEA 목적지에 대해서는 여전히 TIA가 권고됩니다.
• 적용 배제(제49조) — 명시적 동의, 계약 이행, 중대한 이익, 중요한 공익. 좁고 예외적인 사용에 한함.
• UK IDTA / UK Addendum — 영국 이전은 IDTA 또는 EU SCC에 대한 UK Addendum을 사용합니다.

TIA의 핵심. 각 목적지 국가에 대해 평가하십시오:

• 감시 법률 및 관행. 민간 기업이 보유한 데이터에 대한 정부 접근 — 범위, 감독, 비례성, 사법적 구제.
• 목적지 국가에서의 EEA 거주자의 정보주체 권리 — 의미 있고 집행 가능한가?
• 감독기관의 독립성.
• 법치 지표 — 사법 독립성, 투명성.
• 이전되는 데이터 유형과 수입자의 부문을 겨냥한 특정 공공기관 접근 권한.

EDPB 권고 02/2020은 “필수 보장” 프레임워크를 제시합니다. 미국 이전의 경우, FISA Section 702와 Executive Order 12333이 핵심 우려 사항입니다. 비미국의 경우: 해당 국가의 법률을 구체적으로 평가하십시오 — 많은 TIA가 검토 없이 저위험 국가에 대해 포괄적인 “적정”을 기본값으로 두며, 이것이 바로 규제 당국이 지적하는 부분입니다.

세 가지 범주. 각각을 조합하여 적용하십시오:

4.1 기술적 조치

• 암호화 — 키를 EEA(또는 적정성을 갖춘 국가) 내에서만 보관하는 강력한 암호화. 수입자는 복호화된 접근 권한을 가져서는 안 됩니다.
• 가명처리 — 수입자가 EEA에 보관된 정보 없이는 재식별할 수 없는 경우.
• 분할 처리 — 수입자가 전체 데이터세트를 결코 보지 못하도록 샤딩.
• 다자간 연산, 보안 엔클레이브, 기밀 컴퓨팅 — 적용 가능한 경우의 신흥 기법.

4.2 계약적 조치

• 감사권, 정부 접근 요청에 대한 투명성 의무, 접근 요청에 이의를 제기할 의무, 정보주체에게 고지할 의무, 불법 공개에 대한 면책.
• SCC 모듈 2 부속서 II는 이미 이 중 다수를 포함하고 있습니다 — 불충분한 부분은 보완하십시오.

4.3 조직적 조치

• 당국에 대한 자발적 공개를 금지하는 내부 정책.
• 인력 대상 정부 접근 교육.
• 접근 요청 처리를 위한 문서화된 절차.
• 투명성 보고서.
• 목적지 국가에서 누가 무엇을 보는지를 제한하는 엄격한 접근 통제.

• SCC(그리고 해당되는 경우 UK Addendum)를 정식으로 체결하십시오.
• TIA를 문서화하십시오 — 서면으로, 일자를 기재하여, 이해관계자 서명과 함께.
• 이전에 대해 정보주체에게 고지하도록 개인정보 처리방침을 업데이트하십시오.
• 제30조 ROPA 항목을 업데이트하십시오.
• 제49조 적용 배제가 사용되는 경우, 명시적 근거를 문서화하고 이전이 반복적이지 않도록 보장하십시오.
• 평가 결과 어떤 보충 조치로도 본질적 동등성이 회복되지 않는다고 결론지어지면, 이전을 중단하거나 감독기관에 통지하십시오.

재평가 유발 요인:

• 목적지 국가의 법률 또는 관행의 중대한 변화.
• 평가에 영향을 미치는 새로운 감독기관 지침 또는 법원 판결.
• 수입자, 하위 처리자, 또는 처리 범위의 변경.
• 이전에 추가된 새로운 데이터 범주.
• 기본 주기로서의 연례 검토.

2023년 7월 10일, 유럽 위원회는 EU-US Data Privacy Framework(DPF)에 대한 적정성 결정을 채택했습니다. DPF에 인증한 미국 소재 기업으로의 이전에 대해, 그 법적 효과는 완전한 적정성 결정을 반영합니다 — DPF 인증 이전에 대해서는 SCC도, TIA도 불필요합니다.

• 누가 사용할 수 있는가: 미국 상무부 DPF 프로그램 하에서 인증된 미국 기업.
• 무엇을 포괄하는가: 해당 특정 인증 수입자로의 이전.
• 무엇을 포괄하지 않는가: 함께 인증되지 않은 하위 처리자; 다운스트림 이전; 인증되지 않은 기업으로의 이전.
• 위험: Schrems III(사건 C-446/23)가 2023년에 DPF 적정성에 이의를 제기하며 제기되었습니다. 대부분의 실무자는 적정성이 무효화될 경우에 대비한 이중 안전장치로서 SCC를 병행하여 유지합니다.

실무적 조언: 미국 수입자가 DPF 인증을 받은 경우 해당 이전에 대해서는 DPF 적정성에 의존하되, 백그라운드에서 체결된 SCC를 유지하고 미래 대비책으로서 어쨌든 TIA를 수행하십시오.

• Google Analytics 결정(오스트리아 DPA 2021년, 프랑스 CNIL 2022년, 이탈리아 Garante 2022년) — 보충 조치가 없는 상태에서 미국으로의 이전을 수반하는 Google Analytics 사용이 위법하다고 판단했습니다.
• Meta / Facebook(아일랜드 DPC 2023년) — 적절한 보호 조치 없이 SCC에 따라 EU 사용자 데이터를 미국으로 이전한 것에 대해 12억 유로의 과징금이 부과되었습니다.
• 노르웨이 DPA — TikTok(2023년) — 위법 이전에 대한 잠정 판단.
• NOYB가 주도한 여러 민원 — 쿠키 기반 분석 데이터 이전 전반에 대한 지속적인 압박.