[논문 리뷰] The Seven Sins of Personal-Data Processing Systems under GDPR

Supreeth Shastri, Melissa F. Wasserman외 1명|arXiv (Cornell University)|2019. 03. 08.

Privacy, Security, and Data Protection참고 문헌 6인용 수 12

한 줄 요약

이 논문은 현대 데이터 처리 시스템에서 GDPR 준수와 충돌하는 일곱 가지 체계적 설계 패턴을 식별하여 '일곱 죄'로 명명한다—예를 들어 영구적으로 데이터를 저장하거나 설명할 수 없는 AI 결정을 내리는 것 등. 이는 GDPR 준수를 달성하기 위해서는 점진적인 수정이 아니라 근본적인 아키텍처 재설계가 필요하다고 주장하며, 현재의 시스템 설계가 데이터 최소화 및 책임성과 같은 핵심 개인정보 보호 원칙과 본질적으로 배치되어 있음을 시사한다.

ABSTRACT

In recent years, our society is being plagued by unprecedented levels of privacy and security breaches. To rein in this trend, the European Union, in 2018, introduced a comprehensive legislation called the General Data Protection Regulation (GDPR). In this paper, we review GDPR from a system design perspective, and identify how its regulations conflict with the design, architecture, and operation of modern systems. We illustrate these conflicts via the seven GDPR sins: storing data forever; reusing data indiscriminately; walled gardens and black markets; risk-agnostic data processing; hiding data breaches; making unexplainable decisions; treating security as a secondary goal. Our findings reveal a deep-rooted tussle between GDPR requirements and how modern systems have evolved. We believe that achieving compliance requires comprehensive, grounds up solutions, and anything short would amount to fixing a leaky faucet in a sinking ship.

연구 동기 및 목표

• 현대 시스템 설계 원칙과 GDPR의 개인정보 보호를 위한 설계 원칙 간의 근본적 불일치를 분석한다.
• GDPR 준수를 해친다는 점에서 퍼지기 쉬운 일곱 가지 시스템 수준의 반패턴을 식별하고 분류한다.
• 소규모 조정으로는 준수를 달성할 수 없으며, 통합적이고 근본적인 아키텍처 재설계가 필요하다는 것을 입증한다.
• 레거시 시스템을 GDPR에 맞게 수정하는 데 따른 기술적 및 경제적 과제를 부각한다.
• 초기 단계부터 개인정보 보호와 보안을 시스템 설계에 통합하는 방식의 체계적 변화를 촉구한다.

제안 방법

• GDPR 규정을 시스템 설계 렌즈로 분석하여 핵심 준수 요구사항을 파악하기 위해 제25조, 제24조 및 제28조에 중점을 둔다.
• 실제 시스템 패턴—예를 들어 데이터 보관, 재사용, 투명하지 않은 AI—을 특정 GDPR 조항과 연결하여 갈등을 드러낸다.
• 주요 플랫폼(예: 페이스북, 야후, 스포티파이)의 사례 연구를 통해 데이터 최소화, 책임성, 투명성 위반 사례를 제시한다.
• 각 갈등을 '죄'로 분류하여 설계의 불일치가 심각하고 체계적이라는 점을 강조한다.
• 반응형 보안 조치(예: 아마존 맥시)는 시스템 아키텍처의 근본 원인을 해결하지 못하므로 부적합하다고 주장한다.
• 준수를 달성하기 위해서는 정책이나 도구 수준이 아닌 인프라 수준의 아키텍처 재설계가 필요하다고 제안한다.

실험 결과

연구 질문

• RQ1 현대 시스템 설계 원칙은 데이터 최소화 및 개인정보 보호를 위한 설계와 어떻게 충돌하는가?
• RQ2 기존 시스템을 GDPR에 맞게 수정하는 것이 왜 부적절하거나 비효율적인가?
• RQ3 데이터 처리 시스템에서 GDPR을 위반하는 일곱 가지 체계적 반패턴은 무엇이며, 실제 플랫폼에서 어떻게 나타나는가?
• RQ4 아마존 맥시와 같은 현재의 클라우드 보안 도구는 왜 GDPR 준수 위반의 근본 원인을 해결하지 못하는가?
• RQ5 진정으로 지속 가능한 GDPR 준수를 달성하기 위해 필요한 아키텍처적 및 조직적 변화는 무엇인가?

주요 결과

• 논문은 현대 시스템 설계와 GDPR 간의 깊은 근본적 갈등을 나타내는 일곱 가지 체계적 반패턴—'일곱 죄'—를 식별한다. 이에는 영구적으로 데이터를 저장하거나 무분별하게 데이터를 재사용하는 것이 포함된다.
• 페이스북과 야후와 같은 많은 대규모 시스템은 데이터 보관 및 재사용을 핵심 원칙으로 삼아 설계되어 있어, GDPR의 데이터 최소화 및 목적 제한 원칙과 직접적으로 배치되어 있다.
• 반응형 보안 도구인 아마존 맥시는 개인정보를 탐지하는 데는 유용하지만, GDPR 준수 위반이 체계적으로 발생하는 근본적인 아키텍처 결함을 해결하지 못한다.
• 준수 문제는 단순한 법적 또는 운영 문제를 넘어서, 데이터 처리 파이프라인의 전반적인 재설계가 필요한 근본적인 시스템 공학 과제이다.
• 2018년 말 기준 GDPR 적용 대상 기업의 50% 미만이 준수 상태였으며, 이는 준수 과제의 규모와 난이도를 보여준다.
• GDPR 시행 후 8개월 이내에 유럽연합은 95,000건 이상의 민원과 41,500건 이상의 침해 통보를 접수했으며, 이는 실제 위반의 심각성을 입증한다.