일반 데이터 보호 규정(GDPR) 및 데이터 보호 프레임워크
일반 데이터 보호 규정(GDPR)은 유럽연합 법률로, 소재지와 관계없이 유럽경제지역(EEA: EU 27개 회원국과 아이슬란드, 노르웨이, 리히텐슈타인)에 거주하는 사람들에게 상품이나 서비스를 제공하거나 이들의 행동을 모니터링하는 과정에서 개인정보를 처리하는 모든 조직에 적용됩니다. GDPR에 따라 조직은 개인정보 처리의 법적 근거를 명시하고, 어떤 데이터를 수집하며 이를 어떻게 사용할 것인지 정보주체에게 고지하고, 본인에 관한 정보의 열람·정정·삭제 요청을 이행해야 합니다. 또한 개인정보를 무단 접근으로부터 보호하기 위한 적절한 보안 통제를 시행하고, 개인정보 침해 발생 시 정보주체와 관계 당국에 통지하며, 개인정보 보호책임자를 지정하고, 개인정보 보호를 사후에 고려하는 것이 아니라 활동을 시작하는 단계부터 고려해야 합니다. 아울러 GDPR은 수령 관할권에서 본질적으로 동등한 수준의 보호를 보장하는 안전장치가 마련되어 있지 않은 경우, 개인정보를 EEA 외부로 이전하는 것을 제한합니다.
F5는 당사의 개인정보 처리방침에 자세히 설명된 바와 같이 GDPR을 준수합니다. F5는 컨트롤러인 Distributed Cloud Platform 고객에게 프로세서로서 서비스를 제공하며, 고객이 프로세서인 경우에는 하위 프로세서로서 서비스를 제공합니다. 이에 따라 F5는 각 Distributed Cloud 제품에 대해 제28조를 준수합니다. F5는 EU-US Data Privacy Framework에 참여하고 있습니다. 유럽연합 집행위원회는 이 프레임워크가 미국 내 참여 기업으로의 데이터 이전에 적절한 보호를 제공한다고 판단했으며, F5는 지원 목적으로 전 세계 SOC 위치로 이전되는 개인정보를 보호하기 위해 표준계약조항을 활용합니다. 또한 F5는 고객이 GDPR에 따른 의무를 이행할 수 있도록 강력한 개인정보 보호 및 보안 프로그램을 운영하고 있습니다. 매년 발행되는 F5의 SOC 2 Type II 보고서 사본을 요청하려면 영업 담당자에게 문의하십시오. 이 보고서는 NDA에 따라 제공되며, F5의 통제 항목과 GDPR 요구사항 간의 대응 관계를 보여주는 표가 포함되어 있습니다.
자주 묻는 질문
많은 서비스에서 F5는 서비스 제공에 필요한 개인정보의 ‘처리자’(관리자가 아님) 역할을 합니다. F5가 처리하는 개인정보에 대한 자세한 내용은 각 서비스의 개인정보 처리방침에 명시되어 있습니다. 서비스별 개인정보 처리방침 링크는 F5 개인정보 보호 고지의 소개 페이지에서 모두 확인할 수 있습니다. https://www.f5.com/company/policies/privacy-notice.
F5와 F5의 서비스는 개인 데이터 보호를 최우선으로 하며 최고 수준의 데이터 개인정보 보호 기준을 준수합니다.[TJ1] [AC2] F5가 수집한 개인 데이터를 보호하기 위한 기술적·조직적 통제 조치는 해당 서비스 계약(예: 당사의 최종 사용자 서비스 계약에 따라 제공되는 서비스에 적용되는 서비스별 약관 ) 및 F5의 SOC2 Type II 보고서에 명시되어 있습니다. F5 Global Support는 ISO 27001 인증을 받았으며, F5 Distributed Cloud Services는 ISO 27017 및 ISO 27018 확장이 포함된 ISO 27001 인증을 받았습니다. 또한 F5는 F5 Distributed Cloud Services에 대해 레벨 1 서비스 제공업체로서 PCI-DSS를 준수합니다. 특정 F5 서비스 및 F5 하드웨어에는 추가 보안 인증이 적용됩니다. 데이터 보안 관행에 대한 자세한 내용은 다음에서 확인할 수 있습니다. https://www.f5.com/company/policies/privacy-notice.
주요 사업장이 유럽, 중동 또는 아프리카(통칭하여 EMEA)에 있는 고객은 F5 Networks, Ltd.와 체결한 계약을 통해 서비스를 제공받습니다. 영국에 본사를 두고 영국 법률에 따라 설립된 F5 Networks는 F5의 EMEA 사업 운영을 총괄합니다. EU 및 스위스 당국은 영국 법률이 개인정보를 보호하며 GDPR 제5장 및 이에 상응하는 스위스 법률의 요건을 완전히 충족한다고 인정했습니다.
아시아 태평양(APAC) 지역에 본사를 둔 고객은 싱가포르의 F5 Networks Singapore Pte Ltd.와 계약을 체결합니다. 그 밖의 모든 고객(북미에 본사를 둔 고객 포함)은 미국의 F5, Inc.와 계약을 체결합니다. 모든 F5 서비스의 경우, 데이터 보호 부속서(DPA)는 서비스별 약관으로 보완되며, 법적으로 적용되는 모든 F5로의 데이터 이전에 적용되는 표준 계약 조항 및 관련 규정을 포함합니다. 이러한 표준 계약 조항에는 영국으로의 데이터 이전을 위해 영국 정부가 발표한 국제 데이터 이전 부속서와 스위스로의 데이터 이전을 위해 스위스 연방 데이터 보호 및 정보 위원회가 발표한 추가 문구가 함께 적용됩니다. 또한 F5는 관련 서비스에 대해 EU-미국 데이터 프라이버시 프레임워크, EU-미국 데이터 프라이버시 프레임워크의 영국 확장 및 스위스-미국 데이터 프라이버시 프레임워크에 따른 인증을 유지하고 있습니다.
예. 관련 서비스에 대해 F5는 EU-미국 데이터 프라이버시 프레임워크, EU-미국 데이터 프라이버시 프레임워크의 영국 확장 및 스위스-미국 데이터 프라이버시 프레임워크에 따른 인증을 유지하고 있습니다.
아니요. Schrems II 판결의 핵심 쟁점이었던 이 두 가지 미국 법률 조항은 F5에 영향을 미치지 않습니다. 또한 Schrems II 판결 이후 미국 법률이 개선됨에 따라, 유럽연합 집행위원회는 EU-미국 데이터 프라이버시 프레임워크에 따른 적정한 개인정보 보호 수준에 관한 유럽의회 및 이사회 규정(EU) 2016/679에 의거한 2023년 7월 10일자 이행 결정에서 해당 조항에 대한 기존 우려가 해소되었다고 판단했습니다. 유럽데이터보호이사회(EDPB)는 유럽연합 집행위원회의 결정을 분석한 후, 2023년 7월 10일 적정성 결정 채택 이후 GDPR에 따른 미국으로의 데이터 이전에 관한 안내문에서 “국가 안보 분야에서 미국 정부가 마련한 모든 보호 조치(구제 메커니즘 포함)는 사용된 이전 수단과 관계없이 미국으로 이전되는 모든 데이터에 적용된다”고 밝혔습니다. 즉, 데이터 프라이버시 프레임워크, 표준계약조항 또는 기타 이전 수단 중 어느 것을 통해 데이터가 미국으로 이전되는지와 관계없이 적용된다는 의미입니다.
F5는 FISA 702에 따른 데이터 액세스 요청이나 그 밖의 어떠한 형태의 지시도 받은 적이 없습니다. 많은 F5 서비스는 FISA 702에 따른 지시의 대상이 될 수 있는 유형의 서비스가 아닙니다. 또한 거의 모든 F5 서비스 고객의 경우, F5는 FISA 702에 따른 지시의 대상이 될 수 있는 유형의 데이터를 처리하지 않습니다. 이러한 지시는 대량살상무기 확산, 외국 세력의 미국 공격 계획, 외국 스파이의 비밀 활동에 관한 정보 또는 FISA에서 정의하는 기타 ‘외국 정보’에 해당하는 데이터에 적용됩니다.
또한 EO 12333에 따른 명령이라는 것은 존재하지 않으므로, F5는 EO 12333에 따라 고객 데이터를 제출하라는 명령을 받을 수 없습니다. EO 12333은 미국 정보공동체 내에서 특정 책임을 배분하지만 민간 부문에는 어떠한 의무도 부과하지 않습니다. F5는 전송 중인 데이터를 암호화하고 추가적인 보안 조치를 사용하여, 위에서 설명한 2023년 유럽연합 집행위원회의 적정성 결정 이전에 Schrems II 재판부가 우려했던 이론적인 감청 활동으로부터 데이터를 보호합니다.
CLOUD Act는 미국에서 사업을 영위하는 기업에 데이터를 요구할 수 있는 새로운 권한을 미국 정부에 부여하지 않았습니다. 미국 정부는 이른바 ‘CLOUD Act 명령’을 발부하지 않으며, F5도 그러한 명령을 받은 적이 없습니다. CLOUD Act는 미국 정부가 적절한 기존 법적 절차(예: 연방 지방법원 판사의 명령을 받는 절차)를 거쳐 기업에 해당 기업이 보유, 관리 또는 통제하는 특정 데이터를 제공하도록 지시하는 경우, 데이터의 소재지를 근거로 해당 기업이 그 명령에 이의를 제기할 수 없다는 점을 명확히 했습니다(다만 해당 소재지에서 시행 중인 법률과 충돌하는 경우에는 여전히 이의를 제기할 수 있습니다). CLOUD Act는 2020년 Schrems II 판결 이전부터 시행되어 왔습니다. Schrems II 판결 이후 미국은 정부의 데이터 접근에 관한 규정과 관행을 다양하게 개선했습니다. 이후 유럽연합 집행위원회는 이러한 개선 사항을 평가한 결과, 미국 정부의 데이터 요구에 적용되는 미국 법률이 이제 GDPR에서 의미하는 적정한 수준의 보호를 제공한다고 판단했습니다. 유럽의회 및 이사회의 규정(EU) 2016/679에 따른 2023년 7월 10일 자 이행 결정 EU-미국 데이터 프라이버시 프레임워크에 따른 개인정보의 적정한 보호 수준에 관하여 (https://eur-lex.europa.eu/eli/dec_impl/2023/1795/oj)를 참조하십시오. 유럽데이터보호이사회(EDPB)는 이 결정을 분석하고 2023년 7월 10일 적정성 결정 채택 이후 GDPR에 따른 미국으로의 데이터 이전에 관한 안내문에서 “국가 안보 분야에서 미국 정부가 마련한 모든 보호 조치(구제 메커니즘 포함)는 사용된 이전 수단과 관계없이 미국으로 이전되는 모든 데이터에 적용된다”고 언급했습니다. 즉, 데이터 프라이버시 프레임워크, 표준계약조항 또는 기타 이전 수단 중 어느 것을 통해 데이터가 미국으로 이전되는지와 관계없이 적용된다는 의미입니다.
F5의 고객 관계 특성과 F5가 고객을 위해 처리하는 데이터가 제한적이고 일반적으로 암호화되어 있다는 점을 고려할 때, 이러한 요구는 극히 드뭅니다. 고객 데이터에 대한 요구가 있을 경우 F5의 정책은 (i) 법적으로 허용되는 경우 고객에게 즉시 알린 후 고객이 해당 사안을 해결하는 데 협조하거나, (ii) 고객에게 알리는 것이 불법인 경우 요구 기관이 고객에게 직접 요청하도록 유도하는 것입니다. 이러한 노력으로도 사안이 해결되지 않으면 F5는 해당 요구의 적법성을 검토하고, 요청에 따르는 것이 GDPR 또는 기타 관련 법률을 위반하는지 여부를 포함하여 항소 등의 모든 합리적인 이의를 제기합니다. 이 과정에서 F5는 항소 절차를 포함하여 관할 사법 당국이 해당 사안의 본안에 대해 판단할 때까지 요구의 효력을 정지해 달라고 요청합니다. 이러한 상황에서 F5는 관련 절차 규정에 따라 공개해야 할 의무가 발생하기 전까지 어떠한 데이터도 공개하지 않습니다. 그러한 단계에 이르더라도 F5는 원래 요구 중 여전히 유효한 부분을 준수하는 데 필요한 최소한의 데이터만 공개합니다.
F5 서비스에 대한 모든 고객 계약(최종 사용자 서비스 계약(EUSA))에는 F5의 서비스별 약관을 포함하고 보완하는 데이터 보호 부속서(DPA)가 포함되며, 이 부속서에는 영국 또는 스위스 법률이 적용되는 이전에 관한 관련 추가 문구가 포함된 표준 계약 조항이 수록되어 있습니다. 경우에 따라 고객과 F5는 특정 F5 지원 서비스 계약과 같이 동일한 보호 조치를 포함하는 별도의 계약을 체결할 수 있습니다. 고객은 https://www.dataprivacyframework.gov/list에서도 F5가 EU-미국 데이터 프라이버시 프레임워크, EU-미국 데이터 프라이버시 프레임워크의 영국 확장 및 스위스-미국 데이터 프라이버시 프레임워크에 따라 인증을 받았음을 확인할 수 있습니다.
영국을 포함한 ‘제3국’의 F5 법인으로 데이터를 이전하는 경우, F5와 그 고객은 EU 집행위원회 표준계약조항에 대한 국제 데이터 이전 부속서에 의거합니다. 이 부속서는 영국 정보위원회 웹사이트에서 확인할 수 있으며, 영국 법률이 적용되는 관련 데이터 이전에 대해 F5의 DPA에 참조로 포함되어 있습니다. 또한 F5는 일부 서비스에 대해 EU-미국 데이터 프라이버시 프레임워크의 영국 확장에 따른 인증을 받았습니다.
