디지털 시장법(DMA)

주요 사업장이 유럽, 중동 또는 아프리카(통칭하여 EMEA)에 있는 고객은 F5 Networks, Ltd.와의 계약을 통해 서비스를 제공받습니다. 영국에 본사를 두고 영국 법률에 따라 설립된 F5 Networks는 F5의 EMEA 사업 운영 중심지입니다. EU 및 스위스 당국은 영국 법률이 개인정보를 보호하며 GDPR 제5장 및 이에 상응하는 스위스 법률의 요건을 완전히 충족한다고 인정했습니다.

아시아 태평양(APAC) 지역에 본사를 둔 고객은 싱가포르의 F5 Networks Singapore Pte Ltd.와 계약합니다. 그 밖의 모든 고객(북미에 본사를 둔 고객 포함)은 미국의 F5, Inc.와 계약합니다. 모든 F5 서비스에 대해 서비스별 약관으로 보완되는 데이터 보호 부속서(DPA)에는 F5로의 법적으로 적용 가능한 모든 데이터 이전에 적용되는 표준 계약 조항 및 관련 규정이 포함됩니다. 이러한 표준 계약 조항에는 영국으로의 데이터 이전을 위해 영국 정부가 공표한 국제 데이터 이전 부속서와 스위스로의 데이터 이전을 위해 스위스 연방 데이터 보호 및 정보 위원회가 공표한 추가 문구가 함께 적용됩니다. 또한 F5는 관련 서비스에 대해 EU-미국 데이터 프라이버시 프레임워크, EU-미국 데이터 프라이버시 프레임워크의 영국 확장 및 스위스-미국 데이터 프라이버시 프레임워크에 따른 인증을 유지하고 있습니다.

예. 관련 서비스에 대해 F5는 EU-미국 데이터 프라이버시 프레임워크, EU-미국 데이터 프라이버시 프레임워크의 영국 확장 및 스위스-미국 데이터 프라이버시 프레임워크에 따른 인증을 유지하고 있습니다.

아니요. Schrems II 판결의 핵심 쟁점이었던 이 두 가지 미국 법률 조항은 F5에 영향을 미치지 않습니다. 또한 Schrems II 판결 이후 미국 법률이 개선됨에 따라, 유럽연합 집행위원회는 유럽의회 및 이사회의 규정(EU) 2016/679에 의거한 2023년 7월 10일자 EU-미국 데이터 프라이버시 프레임워크에 따른 적정한 개인정보 보호 수준에 관한 이행 결정에서 해당 조항에 대해 이전에 제기된 우려가 해소되었다고 판단했습니다. 유럽데이터보호위원회(EDPB)는 유럽연합 집행위원회의 결정을 분석한 후, 「2023년 7월 10일 적정성 결정 채택 이후 GDPR에 따른 미국으로의 데이터 이전에 관한 안내문」에서 “국가 안보 분야에서 미국 정부가 마련한 모든 보호 조치(구제 메커니즘 포함)는 사용된 이전 수단과 관계없이 미국으로 이전되는 모든 데이터에 적용된다”고 밝혔습니다. 즉, 데이터 프라이버시 프레임워크, 표준계약조항 또는 기타 이전 수단 중 어떤 방식을 통해 미국으로 데이터를 이전하는지와 관계없이 적용된다는 의미입니다.

F5는 FISA 702에 따른 데이터 접근 요청이나 그 밖의 어떠한 형태의 지시도 받은 적이 없습니다. 다수의 F5 서비스는 FISA 702 지시의 대상이 될 수 있는 유형의 서비스가 아닙니다. 또한 거의 모든 F5 서비스 고객의 경우, F5는 FISA 702 지시의 대상이 될 수 있는 유형의 데이터를 처리하지 않습니다. FISA 702는 대량살상무기 확산, 외국 세력의 미국 공격 계획, 외국 스파이의 비밀 활동에 관한 정보 또는 FISA에서 정의하는 기타 “외국 정보”에 해당하는 데이터에 적용됩니다.

또한 EO 12333에 따른 명령이라는 것은 존재하지 않으므로, F5는 EO 12333에 따라 고객 데이터를 제출하라는 명령을 받을 수 없습니다. EO 12333은 미국 정보공동체 내에서 특정 책임을 배분하지만 민간 부문에는 어떠한 의무도 부과하지 않습니다. F5는 전송 중인 데이터를 암호화하며, 위에서 설명한 2023년 유럽연합 집행위원회의 적정성 결정 이전에 Schrems II 재판부가 우려했던 이론적인 감청 활동으로부터 데이터를 보호하기 위해 추가적인 보안 조치를 사용합니다.

CLOUD Act는 미국 정부에 미국에서 사업을 영위하는 기업에 데이터를 요구할 수 있는 새로운 권한을 부여하지 않았습니다. 미국 정부는 이른바 ‘CLOUD Act 명령’을 발부하지 않으며, F5도 그러한 명령을 받은 적이 없습니다. CLOUD Act는 미국 정부가 적절한 기존 법적 절차(예: 연방 지방법원 판사로부터 명령을 받는 절차)를 거쳐 기업에 해당 기업이 보유, 관리 또는 통제하는 특정 데이터를 제공하도록 지시하는 경우, 데이터의 소재지를 근거로 해당 기업이 그 명령에 이의를 제기할 수 없다는 점을 명확히 했습니다(다만 해당 소재지에서 시행 중인 법률과 충돌하는 경우에는 여전히 이의를 제기할 수 있습니다). CLOUD Act는 2020년 Schrems II 판결 이전부터 시행되어 왔습니다. Schrems II 판결 이후 미국은 정부의 데이터 접근에 관한 규정과 관행을 다양하게 개선했습니다. 이후 유럽연합 집행위원회는 이러한 개선 사항을 평가한 결과, 미국 정부의 데이터 요구에 적용되는 미국 법률이 이제 GDPR에서 의미하는 적정한 수준의 보호를 제공한다고 판단했습니다. EU-U.S. Data Privacy Framework에 따른 개인정보의 적정한 보호 수준에 관한 유럽의회 및 이사회 규정 (EU) 2016/679에 의거한 2023년 7월 10일자 이행결정을 참조하십시오. 유럽데이터보호이사회(EDPB)는 이 결정을 분석한 후, ‘2023년 7월 10일 적정성 결정 채택 이후 GDPR에 따른 미국으로의 데이터 이전에 관한 안내문’에서 “국가 안보 분야에서 미국 정부가 마련한 모든 보호조치(구제 메커니즘 포함)는 사용된 이전 수단과 관계없이 미국으로 이전되는 모든 데이터에 적용된다”고 밝혔습니다(즉, 데이터가 Data Privacy Framework, 표준계약조항 또는 다른 이전 수단을 통해 미국으로 이전되는지 여부와 관계없이 적용된다는 의미입니다).

F5의 고객 관계 특성과 F5가 고객을 위해 처리하는 데이터가 제한적이며 일반적으로 암호화되어 있다는 점을 고려할 때, 이러한 요구는 극히 드뭅니다. 고객 데이터에 대한 요구가 있을 경우 F5의 정책은 (i) 법적으로 허용되는 경우 고객에게 즉시 통지한 후 고객이 해당 사안을 해결하는 데 협조하거나, (ii) 고객에게 통지하는 것이 불법인 경우 요청 기관이 고객에게 직접 요청하도록 유도하는 것입니다. 이러한 노력으로도 사안이 해결되지 않으면 F5는 해당 요구의 적법성을 검토하고, 요청에 따르는 것이 GDPR 또는 기타 관련 법률을 위반하는지 여부를 포함하여 항소 등의 방법으로 합리적으로 제기할 수 있는 모든 이의를 제기합니다. 이 과정에서 F5는 항소 절차를 포함하여 관할 사법 당국이 해당 사안의 본안에 대해 판단할 때까지 요구의 효력을 정지해 줄 것을 요청합니다. F5는 관련 절차 규정에 따라 공개해야 할 의무가 발생하기 전까지는 이러한 상황에서 어떠한 데이터도 공개하지 않습니다. 공개 의무가 발생하더라도 F5는 원래 요구 중 최종적으로 유효한 부분을 준수하는 데 필요한 최소한의 데이터만 공개합니다.

F5 서비스에 대한 모든 고객 계약(최종 사용자 서비스 계약(EUSA))에는 F5의 데이터 보호 부속서(DPA)를 계약의 일부로 포함하고 이를 보완하는 서비스별 약관이 포함됩니다. DPA에는 영국 또는 스위스 법률의 적용을 받는 데이터 이전에 필요한 관련 추가 문구와 함께 표준 계약 조항이 포함되어 있습니다. 경우에 따라 고객과 F5는 특정 F5 지원 서비스 계약과 같이 이와 동일한 보호 조치를 포함하는 별도의 계약을 체결할 수 있습니다. 또한 고객은 https://www.dataprivacyframework.gov/list에서 F5가 EU-미국 데이터 프라이버시 프레임워크, EU-미국 데이터 프라이버시 프레임워크의 영국 확장 및 스위스-미국 데이터 프라이버시 프레임워크에 따른 인증을 취득했음을 확인할 수 있습니다.

영국을 포함한 ‘제3국’의 F5 법인으로 데이터를 이전하는 경우, F5와 고객은 EU 집행위원회의 표준계약조항에 대한 국제 데이터 이전 부속서를 따릅니다. 이 부속서는 영국 정보위원회 웹사이트에서 확인할 수 있으며, 영국 법률이 적용되는 관련 데이터 이전에 대해 F5의 DPA에 참조 방식으로 포함되어 있습니다. 또한 특정 서비스의 경우 F5는 EU-미국 데이터 프라이버시 프레임워크의 영국 확장에 따른 인증을 받았습니다.