정보주체 열람 요구, 즉 DSAR은 어떤 사람이 자신에 관해 어떤 데이터를 보유하고 있는지 묻고, 흔히 그 데이터에 대해 무언가를 요구하는 것입니다. GDPR에서는 일반적으로 30일 안에 응답해야 합니다. CCPA에서는 45일입니다. 시계는 요청이 도착한 순간부터 돌아가며, 기한을 넘기는 것 자체가 규정 위반입니다. 다행히 프로세스만 갖춰져 있으면 DSAR은 충분히 관리할 수 있습니다. 다음이 그 프로세스입니다.
0일차: 요청을 기록하십시오
요청이 도착하는 순간 기록하십시오. 개인 받은 편지함에 방치하지 마십시오. 누가 요청했는지, 무엇을 요구했는지, 접수일과 기한을 남기십시오.
- 요청 유형을 기록하십시오. 열람, 정정, 삭제, 이동성은 모두 다릅니다.
- 누군가 알아챈 날이 아니라 요청을 받은 날부터 기한을 계산하십시오.
- 접수 사실을 알려 요청자가 처리 중임을 알 수 있게 하십시오.
요청은 이메일, 양식, 심지어 고객 지원 채팅 등 어디로든 들어올 수 있습니다. 권리 요청으로 보이는 것은 무엇이든 추적 가능한 한 곳으로 전달하도록 팀을 교육하십시오.
1~3일차: 신원을 확인하십시오
개인정보를 엉뚱한 사람에게 넘겨서는 안 됩니다. 신원 확인은 요청자를 포함한 모두를 보호합니다.
- 요청이 실제 정보주체 또는 정당한 대리인으로부터 온 것인지 확인하십시오.
- 합리적인 증빙을 요구하되, 필요 이상으로 요구하지 마십시오.
- 확인이 불가능하다면 성실히 시도한 내용과 그 사유를 문서로 남기십시오.
신원 확인 서류를 과도하게 수집하는 것 자체가 프라이버시 위험입니다. 확신이 설 만큼만 확인하고 거기서 멈추십시오. 이미 보유한 이메일 주소를 확인하는 데 여권 스캔본까지 필요하지는 않습니다.
3~15일차: 데이터를 찾으십시오
여기가 실제 작업입니다. 모든 시스템에 걸쳐 그 사람에 관해 보유한 모든 것을 모아야 합니다. 데이터 맵이 잘 갖춰져 있을수록 이 과정이 빨라집니다.
- 주요 데이터베이스, CRM, 분석 도구, 이메일 도구, 백업까지 검색하십시오.
- 위탁받아 처리하는 수탁자가 보유한 데이터도 포함하십시오.
- 다른 사람의 정보가 노출되는 데이터처럼 적법하게 보류할 수 있는 항목을 표시해 두십시오.
시스템을 한 번도 매핑해 본 적이 없다면 첫 DSAR은 고통스럽습니다. 이를 계기로 데이터 맵을 만들어 다음 요청은 빠르게 처리하십시오.
15~25일차: 응답을 준비하십시오
이제 원본 데이터를 명확하고 활용 가능한 답변으로 바꿀 차례입니다.
- 요청자가 실제로 이해할 수 있는 읽기 쉬운 형식으로 데이터를 정리하십시오.
- 삭제 요청은 데이터를 제거하고 무엇을 삭제했는지 확인해 주십시오.
- 정정 요청은 기록을 갱신하고 변경 내용을 남기십시오.
- 그 사람의 데이터 옆에 함께 놓인 다른 사람의 정보는 가리십시오.
답변은 알기 쉽게 작성하십시오. 데이터베이스 내보내기 파일의 나열은 좋은 답변이 아닙니다. 무엇을 왜 보유하고 있으며 어떤 조치를 했는지 설명하십시오.
25~30일차: 발송하고 기록하십시오
응답을 안전하게 전달하고, 그렇게 했다는 증거를 남기십시오.
- 요청자가 안전하게 접근할 수 있는 경로로 발송하십시오.
- 응답한 날짜와 제공하거나 조치한 내용을 기록하십시오.
- 나중에 요청자나 규제 기관이 문의할 경우에 대비해 전체 이력을 보관하십시오.
그 기록이 곧 방어 수단입니다. 요청을 제대로 처리했는지 누군가 문제를 제기하더라도 로그가 대신 답해 줍니다.
다음 요청을 쉽게 만드십시오
첫 DSAR은 프로세스를 시험합니다. 그다음부터의 목표는 매 요청을 일상적인 업무로 만드는 것입니다. 추적되는 접수 창구, 정해진 기한, 검색할 위치의 명확화, 템플릿화된 응답, 감사 추적이 갖춰지면 스트레스 가득한 소동이 체크리스트로 바뀝니다.
DSAR 접수, SLA 타이머, 이행 워크플로, 감사 추적을 한곳에서 관리하고 싶다면 ConsentX로 무료 시작하기로 다음 요청을 두려워하지 마십시오.