데이터 보호 영향 평가: Microsoft Azure를 사용하는 데이터 컨트롤러의 참고 자료

GDPR(일반 데이터 보호 규정)에 따라 데이터 컨트롤러는 "자연인의 권리와 자유에 대한 높은 위험을 초래할 수 있는" 처리 작업을 위해 DPIA(데이터 보호 영향 평가)를 준비해야 합니다. Microsoft Azure 자체에는 데이터 컨트롤러에서 DPIA를 생성해야 하는 것은 없습니다. 대신 DPIA가 필요한지 여부는 데이터 컨트롤러가 Microsoft Azure를 배포, 구성 및 사용하는 방법에 대한 세부 정보와 컨텍스트에 따라 달라집니다. 어떤 경우든 DPIA는 프로젝트 수명 초기에 시작하여 계획 및 개발 프로세스와 병행하여 실행되어야 합니다.

이 문서의 목적은 Microsoft Azure에 대한 정보와 데이터 컨트롤러를 제공하여 DPIA 필요 여부, 필요한 경우 포함할 세부 사항을 결정할 수 있도록 지원하는 것입니다.

참고

Microsoft는 이 문서에 법적 자문을 제공하지 않습니다. 이 문서는 정보 제공의 목적으로만 제공됩니다. 고객은 개인 정보 책임자와 관리 담당자(및/또는 지정된 데이터 보호 책임자(DPO)) 및/또는 법적 자문 및/또는 법률 고문과 함께 Microsoft Azure 또는 기타 Microsoft 온라인 서비스 사용과 관련된 DPIA의 필요 여부 및 콘텐츠를 결정하는 것이 좋습니다.

1부: DPIA가 필요한지 여부를 판단

GDPR 제 35조에 따라 데이터 컨트롤러는 “특히 신기술을 사용하고 처리의 특성, 범위, 컨텍스트 및 목적을 처리하는 유형이 자연인의 권리와 자유에 대한 높은 위험을 초래할 수 있는” 데이터 보호 영향 평가(DPIA)를 만들어야 합니다. 또한 다음 테이블에서 언급될 이러한 높은 위험을 나타내는 특정 요인을 다룹니다. DPIA의 필요 여부를 결정하려면 데이터 컨트롤러는 Microsoft Azure의 컨트롤러 특정 구현 및 사용에 따라 이러한 관련 요소를 고려해야 합니다.

고위험 요소	Microsoft Azure에 대한 관련 정보
프로파일링을 포함한 자동화된 처리의 기반이 되고 자연인에 관한 법적 영향을 행사하거나 유사하게 자연인에게 중대한 영향을 주는 의사 결정의 기반이 되는 자연인과 관련된 개인 측면의 체계적이고 광범위한 평가입니다.	Microsoft Azure 서비스는 개인에게 법적 또는 유사하게 중요한 영향을 미치는 결정을 기반으로 하는 처리를 수행하도록 설계되지 않았습니다. 그러나 Azure는 매우 사용자 지정 가능한 서비스이므로 데이터 컨트롤러는 잠재적으로 이러한 처리에 사용할 Azure 서비스를 구성할 수 있습니다. 컨트롤러는 Azure 사용에 따라 이 결정을 내려야 합니다.
특정 범주의 대규모 데이터(인종 또는 민족 태생, 정치적 견해, 종교적 또는 철학적 신념, 노동 조합 회원 및 유전자 데이터, 자연인을 고유하게 식별하기 위한 생체 데이터, 건강 또는 자연인의 성생활이나 성적 취향에 관한 데이터의 처리) 처리 또는 범죄 유죄 판결 및 범죄와 관련된 개인 데이터 처리.	Microsoft Azure는 대규모로 특수 범주의 개인 데이터를 처리하도록 설계되지 않았습니다. 그러나 데이터 컨트롤러는 Microsoft Azure를 사용하여 열거된 특수 범주의 데이터를 처리할 수 있습니다. Microsoft Azure는 고객이 특별한 범주의 개인 데이터를 포함하여 개인 데이터를 추적하거나 처리할 수 있는 고도로 사용자 지정 가능한 서비스입니다. 그러나 데이터 프로세서는 Microsoft가 이러한 사용을 제어할 수 없으며 이러한 사용에 대한 통찰력도 거의 또는 전혀 없습니다. 데이터 컨트롤러의 데이터를 적절하게 사용하는 것은 데이터 컨트롤러의 책임입니다.
공개적으로 액세스할 수 있는 영역을 대규모로 체계적으로 모니터링.	Microsoft Azure는 대규모로 이러한 모니터링을 수행하거나 용이하게 하도록 설계되지 않았습니다. 그러나 데이터 컨트롤러는 Azure를 사용하여 이러한 모니터링을 통해 수집된 데이터를 처리할 수 있습니다. Microsoft Azure는 고객이 모니터링 데이터를 비롯한 모든 유형의 데이터를 추적하거나 처리할 수 있는 고도로 사용자 지정 가능한 서비스입니다. 그러나 데이터 프로세서는 Microsoft가 이러한 사용을 제어할 수 없으며 이러한 사용에 대한 통찰력도 거의 또는 전혀 없습니다. 데이터 컨트롤러의 데이터를 적절하게 사용하는 것은 데이터 컨트롤러의 책임입니다.

2부 - DPIA의 내용

GDPR의 제35조(7)는 데이터 보호 영향 평가가 처리 목적과 구상된 처리에 대한 체계적인 설명을 지정하도록 규정하고 있습니다. 포괄적인 DPIA에 대한 체계적인 설명에는 처리된 데이터 형식, 데이터 보존 기간, 데이터가 위치 및 전송되는 위치, 데이터에 대한 액세스 권한이 있고 데이터 흐름 다이어그램에서 지원될 수 있는 타사 등의 요소가 포함될 수 있습니다. 또한 DPIA에는 다음이 포함되어야 합니다.

• 목적과 관련하여 처리 작업의 필요성과 비례성에 대한 평가;
• 자연인의 권리와 자유에 대한 위험 평가; 및
• 이 조치는 개인 데이터의 보호를 보장하고 데이터 주체 및 관련자의 권리와 합법적 이익을 고려하여 본 규정을 준수함을 입증하기 위한 보호 조치, 보안 조치 및 메커니즘을 포함한 위험을 해결하기 위해 구상되었습니다.

다음 표에는 각 요소와 관련된 Microsoft Azure에 대한 정보가 포함되어 있습니다. 1부와 마찬가지로 데이터 컨트롤러는 Microsoft Azure의 컨트롤러의 특정 구현 및 사용 컨텍스트에서 테이블에 제공된 세부 정보와 기타 관련 요소를 고려해야 합니다.

DPIA의 요소	Microsoft Azure에 대한 관련 정보
처리 목적	Microsoft Azure를 사용하여 데이터를 처리하는 목적은 컨트롤러를 구현, 구성 및 사용하는 방식에 따라 결정됩니다. 제품 약관 및 제품 및 서비스 DPA(데이터 보호 부록)에 지정된 대로 Microsoft는 데이터 프로세서로서 고객 데이터를 처리하여 고객의 문서화된 지침에 따라 고객에게 온라인 서비스를 제공합니다. 표준 제품 약관 및 제품 및 서비스 DPA(데이터 보호 부록)에 자세히 설명된 대로 Microsoft는 개인 데이터를 사용하여 제한된 비즈니스 운영 집합을 지원합니다. Microsoft는 이러한 특정 비즈니스 작업을 지원하기 위해 개인 데이터 처리를 제어합니다. 일반적으로 Microsoft는 비즈니스 운영에 사용하기 전에 개인 데이터를 집계하고, 특정 개인을 식별하는 Microsoft의 기능을 제거하고, 비즈니스 운영에 필요한 처리를 지원하는 최소 식별 형식으로 개인 데이터를 사용합니다. Microsoft는 프로파일링, 광고 또는 유사한 상업적 목적으로 고객 데이터 또는 파생된 정보를 사용하지 않습니다. 참고: Microsoft Azure는 여러 개별 온라인 서비스 구성되는 처리를 위한 온라인 클라우드 플랫폼으로, 각각 고유한 처리 목적이 있습니다. 각 Microsoft Azure 서비스 제품에 대한 설명은 여기에서 찾을 수 있습니다. Microsoft Azure는 개인 설정, 보안, 사기 및 맬웨어 방지, 문제 해결 및 개선과 같은 서비스 제공과 호환되는 목적을 포함하여 고객에게 온라인 서비스 제공하기 위해 개인 데이터만 처리합니다.
처리된 개인 데이터의 범주	고객 데이터: 엔터프라이즈 서비스를 사용하여 고객이 Microsoft에 제공하거나 대신 Microsoft에 제공하는 모든 텍스트, 소리, 비디오 또는 이미지 파일 및 소프트웨어를 포함한 모든 데이터입니다. 고객 데이터에는 최종 사용자의 식별 가능한 정보(예: Microsoft Entra ID 사용자 이름 및 연락처 정보)와 고객이 특정 서비스에 업로드하거나 만드는 고객 콘텐츠(예: Azure Storage 계정의 고객 콘텐츠, Azure SQL Database의 고객 콘텐츠 또는 Azure의 고객 가상 머신 이미지)가 모두 포함됩니다. Virtual Machines). 서비스 생성 데이터: 사용 또는 성능 데이터와 같은 서비스 작업을 통해 Microsoft에서 생성하거나 파생한 데이터입니다. 대부분의 데이터는 Microsoft에서 생성한 가명처리 ID를 포함합니다. 지원 데이터: 온라인 서비스에 대한 기술 지원을 얻기 위해 Microsoft와의 계약을 통해 고객이 Microsoft 또는 고객을 대신하여 Microsoft에서 제공한 데이터(또는 고객이 Microsoft가 온라인 서비스에서 얻도록 허가한 데이터)입니다. Azure에서 처리되는 데이터에 대한 자세한 내용은 [제품 및 서비스 DPA(데이터 처리 계약)](https://www.microsoft.com/licensing/docs/view/Microsoft-Products-and-Services-Data-Protection-Addendum-DPA) 및 Microsoft 보안 센터를 포함한 제품 약관을 참조하세요.
데이터 보존	Microsoft는 고객이 온라인 서비스를 사용할 수 있는 권리 및 모든 고객 데이터가 고객이 검색하거나 제품 사용 약관 및 제품 및 서비스 DPA(데이터 보호 부록)의 조건에 따라 삭제될 때까지 고객 데이터를 보존하고 처리합니다. 고객의 구독 기간 동안 고객은 각 온라인 서비스에 저장된 고객 데이터를 액세스하고 추출할 수 있습니다. 무료 평가판 및 LinkedIn 서비스를 제외하고 Microsoft는 고객이 데이터를 추출할 수 있도록 고객의 구독이 만료 또는 종료된 이후 90일 동안 기능이 제한된 계정에서 온라인 서비스에 저장된 고객 데이터를 보유하게 됩니다. 90일의 보유 기간이 종료되면 Microsoft는 고객의 계정을 비활성화하고 고객 데이터를 삭제합니다. 고객은 Azure Data Subject Request GDPR 문서에 설명 된 기능을 사용하여 데이터 주체 요청에 따라 개인 데이터를 삭제할 수 있습니다.
개인 데이터의 위치 및 전송	고객은 제품 약관 및 Microsoft 제품 및 서비스 DPA(데이터 보호 부록)에 명시된 특정 예외에 따라 지정된 지리적 지역 내에서 미사용 고객 데이터를 프로비전할 수 있습니다. 서비스 배포 및 데이터 보존에 대한 추가 세부 정보는 제품 약관에 대한 Microsoft DPA(데이터 보호 부록) 및 Azure 글로벌 인프라 웹 페이지에서 찾을 수 있습니다. 유럽 경제 지역, 스위스 및 영국에서 전송되는 개인 데이터의 경우 Microsoft는 제46조 GDPR에 설명된 대로 제3국 또는 국제 organization 개인 데이터의 전송에 적절한 보호 조치를 받도록 보장합니다. Microsoft는 프로세서 및 기타 모델 계약에 대한 표준 계약 조항에 따른 Microsoft의 약정 외에도 데이터 개인 정보 프레임워크의 조건을 준수합니다.
타사 하위 프로세서와 데이터 공유	Microsoft는 고객 및 기술 지원, 서비스 유지 관리 및 기타 운영과 같은 기능을 지원하기 위해 GDPR에 정의된 대로 하위 프로세서 역할을 하는 제3자와 데이터를 공유합니다. Microsoft가 고객 데이터, 지원 데이터 또는 개인 데이터를 전송하는 모든 하위 프로세서는 Microsoft 제품 및 서비스 데이터 보호 부록보다 더 적은 보호를 받지 않는 Microsoft와 서면 계약을 체결합니다. Microsoft의 핵심 온라인 서비스의 고객 데이터가 공유되는 모든 타사 하위 프로세서는 온라인 서비스 하위 프로세서 목록에 포함됩니다. 지원 데이터에 액세스할 수 있는 모든 타사 하위 프로세스(고객이 지원 상호 작용 중에 공유하도록 선택한 고객 데이터 포함)는 온라인 서비스 하위 프로세서 목록에 포함됩니다.
데이터 주체 권리	프로세서로 작업할 때 Microsoft는 GDPR에 따라 데이터 주체가 권한을 행사할 때 데이터 주체의 개인 데이터와 데이터 주체의 요청을 수행할 수 있는 기능을 고객(데이터 통제자로도 알려짐)에게 제공합니다. Microsoft는 제품의 기능 및 데이터 프로세서로서의 역할과 일치하는 방식으로 이를 수행합니다.    Microsoft가 고객의 데이터 주체로부터 요청을 받아 GDPR에 따른 하나 이상의 권한을 행사하는 경우 해당 요청이 데이터 컨트롤러로 리디렉션됩니다. Azure 데이터 주체 요청 가이드는 Azure의 기능을 사용하여 데이터 주체 권한을 지원하는 방법에 대한 데이터 컨트롤러의 설명을 제공합니다. 합법적인 비즈니스 프로세스를 지원하기 위해 처리된 개인 데이터에 대한 GDPR에 따라 권한을 행사할 수 있는 데이터의 요청은 Microsoft 개인정보처리방침에 명확히 설명된 대로 Microsoft로 전달되어야 합니다. Microsoft는 일반적으로 비즈니스 운영에 사용하기 전에 개인을 집계하며 집계에서 특정 개인에 대한 개인 데이터를 식별할 수 있는 위치에 있지 않습니다. 이 작업은 개인에 대한 개인 정보 위험을 줄입니다. Microsoft는 개인을 식별할 수 없기 때문에 데이터 주체의 엑세스, 지우기, 이식가능성 및 프로세스 제한성 및 거절권한을 지원할 수 없습니다. Azure 데이터 주체 요청 GDPR 설명서는 Azure의 기능을 사용하여 데이터 주체 권한을 지원하는 방법에 대한 설명을 제공합니다.
목적과 관련한 처리 작업의 필요성 및 비례의 원칙 평가	이러한 평가는 데이터 컨트롤러의 요구와 처리 목적에 따라 달라집니다. Microsoft는 서비스 프로비저닝을 지원하기 위해 비즈니스 운영을 지원하기 위해 Microsoft에서 사용하는 개인 데이터 집계와 같은 조치를 취하여 서비스를 사용하는 데이터 주체에 대한 이러한 처리의 위험을 최소화합니다. Microsoft에서 수행하는 처리와 관련하여 이러한 처리는 데이터 컨트롤러에 서비스를 제공하기 위해 필수적이며 비례합니다.
데이터 주체의 권리와 자유에 대한 위험 평가	Microsoft Azure 사용에서 데이터 주체의 권리와 자유에 대한 주요 위험은 데이터 컨트롤러가 Microsoft Azure를 구현, 구성 및 사용하는 방법과 컨텍스트에 따라 달라집니다. Microsoft는 서비스 프로비저닝을 지원하기 위해 비즈니스 운영을 지원하기 위해 Microsoft에서 사용하는 개인 데이터 집계와 같은 조치를 취하여 서비스를 사용하는 데이터 주체에 대한 이러한 처리의 위험을 최소화합니다. 그러나 다른 서비스와 마찬가지로 서비스에서 보관하는 개인 정보는 승인되지 않은 무단 액세스나 부주의한 공개의 위험이 있습니다. 이러한 위험을 해결하기 위해 Microsoft가 취하는 조치는 이 문서의 뒷부분에서 자세히 설명한 대로 제품 약관에 설명되어 있습니다.
위험을 해결하기 위한 세이프가드, 보안 조치 등의 계획된 조치, 개인 데이터의 보호를 보장하고 데이터 주체 및 기타 관련자의 권리와 합법적 이익을 고려하여 GDPR을 준수함을 입증하기 위한 메커니즘	Microsoft는 고객 데이터의 보안을 보호하기 위해 최선을 다하고 있습니다. Microsoft가 취하는 보안 조치는 제품 약관에 자세히 설명 되어 있습니다. Microsoft는 엄격한 보안 표준과 업계 최고의 데이터 보호 방법을 준수합니다. Microsoft는 새로운 위협에 대처하기 위해 지속적으로 시스템을 개선하고 있습니다. 클라우드 거버넌스 및 개인 정보 보호 관행에 대한 자세한 내용은 보안 센터의 클라우드 규정 준수 관리 페이지에서 확인할 수 있습니다. Microsoft는 처리하는 개인 데이터를 보호하기 위해 합리적이고 적절한 기술 및 조직적 조치를 취합니다. 이러한 조치에는 내부 개인 정보 보호 정책 및 관행, 계약 약정, 국제 및 지역 표준 인증이 포함되며 이에 국한되지는 않습니다. 자세한 내용은 보안 센터의 개인 정보 페이지에서 확인할 수 있습니다. Microsoft는 Microsoft의 개인 데이터 사용 및 처리를 설명하는 데 도움이 되는 중요하고 투명한 고객 대면 보안 및 개인 정보 보호 자료를 제공합니다. 고객은 질문 사항을 준비하여 Microsoft에 문의하는 것이 좋습니다. 또한 Microsoft가 데이터 프로세서 역할을 하는 경우 데이터 프로세서에 적용되는 GDPR의 적용 가능한 프로비저닝을 준수합니다. Microsoft는 비즈니스 운영을 위해 개인 데이터를 처리하는 경우 데이터 컨트롤러에 적용되는 GDPR 의무를 준수합니다.

자세히 알아보기

• Microsoft 보안 센터