[논문 리뷰] Are we there yet? Understanding the challenges faced in complying with the General Data Protection Regulation (GDPR)

Sean Sirur, Jason R. C. Nurse외 1명|arXiv (Cornell University)|2018. 08. 22.

Privacy, Security, and Data Protection참고 문헌 6인용 수 18

한 줄 요약

이 논문은 다양한 조직과의 인터뷰를 바탕으로 유럽연합의 일반적 데이터보호규정(GDPR)을 준수하는 데 있어 조직들이 겪는 실제 도전 과제를 조사한다. 대규모 기업과 보안 중심 소규모기업(SME)은 준수를 효과적으로 관리한 반면, 일반적인 SME들은 규제의 광범위성, 애매한 언어, 복잡한 데이터 맵핑 요구사항으로 인해 어려움을 겪었으며, 이는 대상별 지원과 더 명확한 이행 지침이 절실하게 필요하다는 것을 시사한다.

ABSTRACT

The EU General Data Protection Regulation (GDPR), enforced from 25th May 2018, aims to reform how organisations view and control the personal data of private EU citizens. The scope of GDPR is somewhat unprecedented: it regulates every aspect of personal data handling, includes hefty potential penalties for non-compliance, and can prosecute any company in the world that processes EU citizens' data. In this paper, we look behind the scenes to investigate the real challenges faced by organisations in engaging with the GDPR. This considers issues in working with the regulation, the implementation process, and how compliance is verified. Our research approach relies on literature but, more importantly, draws on detailed interviews with several organisations. Key findings include the fact that large organisations generally found GDPR compliance to be reasonable and doable. The same was found for small-to-medium organisations (SMEs/SMBs) that were highly security-oriented. SMEs with less focus on data protection struggled to make what they felt was a satisfactory attempt at compliance. The main issues faced in their compliance attempts emerged from: the sheer breadth of the regulation; questions around how to enact the qualitative recommendations of the regulation; and the need to map out the entirety of their complex data networks.

연구 동기 및 목표

• GDPR의 해석과 이행 과정에서 조직들이 실제로 겪는 과제를 이해하기 위해, 특히 질적 요구사항을 기술적 및 운영적 관행로 번역하는 데 초점을 맞춘다.
• 제한된 자원과 복잡한 데이터 생태계의 맥락에서 조직의 크기와 보안 성숙도 수준에 따라 GDPR 준수가 가능한지 평가한다.
• 조직들이 GDPR을 어떻게 인식하고, 강제 집행 및 벌금에 대한 인식과 기대치가 어떻게 되는지 조사한다.
• 구현 과정, 구제 수단(예: 정부, 산업계, 학술계)의 요청, 준수를 검증하기 위해 사용하는 방법을 조사한다.
• 특히 SME들에게 효과적인 준수를 방해하는 체계적 장애 요인을 특정하고, 향후 규제 설계 및 지원 프레임워크에 정보를 제공한다.

제안 방법

• 다양한 부문과 규모의 조직들과의 반구조화된 인터뷰를 통해 GDPR 준수 여정에 초점을 맞춘다.
• qualitative 인터뷰 데이터를 기존 문헌과 규제 텍스트 검토와 결합하여 조직 경험의 맥락을 정리한다.
• 조직들이 GDPR의 질적 언어를 어떻게 해석하고, 데이터 플로우를 맵핑하며, 기술적 및 조직적 조치를 시행하는지 이해하기 위해 집중한다.
• 조직의 반응을 분석하여 준수 성숙도, 자원 배분, 규제의 광범위성과 애매성과 관련된 과제의 패턴을 식별한다.
• 특히 성숙도가 낮은 조직들에게 도움이 되는 외부 지원, 특히 정부 지침의 역할을 평가한다.
• 주제 분석을 통해 조직 간 공통적인 과제와 성공 요인을 식별하며, 대규모 기업과 SME 간의 차이에 주목한다.

실험 결과

연구 질문

• RQ1 조직들은 GDPR의 요구사항, 특히 질적 권고사항의 실현 가능성과 명확성에 대해 어떻게 인식하는가?
• RQ2 조직들이 데이터 플로우를 맵핑하고 GDPR 준수 조치를 이행하는 데 겪는 주요 과제는 무엇인가?
• RQ3 조직의 규모와 보안 성숙도는 GDPR 준수 능력에 어떤 영향을 미치는가?
• RQ4 조직들은 어떤 유형의 지원(정부, 산업계, 학술계)을 요청하며, 이러한 지원은 준수를 촉진하는 데 얼마나 효과적인가?
• RQ5 조직들은 어떻게 준수를 검증하는가, 그리고 이러한 검증 과정의 한계는 무엇인가?

주요 결과

• 대규모 기업과 데이터 보호에 강한 전문성을 가진 SME들은 GDPR 준수를 합리적이고 이행 가능하다고 느꼈으며, 이는 더 높은 준수 성숙도를 나타낸다.
• 보안 또는 개인정보 보호에 특별한 전문성을 갖지 않은 일반적인 SME들은 자원과 전문 지식의 제약으로 인해 만족스러운 준수 노력을 할 수 없어 심각한 어려움을 겪었다.
• 주요 과제는 규제의 광범위한 범위, 질적 요구사항의 애매성, 그리고 종종 분산된 데이터 네트워크를 맵핑하는 복잡성에서 기인했다.
• 많은 조직들이 GDPR 원칙을 해석하고 운영적으로 실행하는 데 어려움을 겪었으며, 특히 명확한 기술적 맵핑이 없는 영역에서는 이행이 일관되지 못했다.
• 외부 지원, 특히 정부 기관의 지원이 매우 중요하게 평가되었으며, 특히 성숙도가 낮은 조직들에게 특히 중요했다. 산업계 및 학술 지원도 역할을 하였다.
• 이 연구는 GDPR의 해석 유연성이 성숙한 조직에게는 유리하지만, 독립적으로 이를 해석할 수 있는 전문 역량이 부족한 SME들에게는 장벽이 되며, 조직 유형 간 준수 격차가 발생할 위험이 있음을 시사한다.