EU사법재판소, 가명처리 데이터의 GDPR 적용 제외 가능 판결

EU사법재판소, 가명처리 데이터의 GDPR 적용 제외 가능 판결

- 한국무역협회 브뤼셀지부/ KBA Europe 제공

EU사법재판소(CJEU)는 데이터 관리자가 가명처리한 정보를 재식별 수단이 없는 제3자에게 제공하는 경우, 해당 데이터가 일반개인정보보호규정(GDPR) 적용 대상에서 제외될 수 있다고 판시함.

이번 판결은 단일결의위원회(Single Resolution Board, SRB)가 실시한 주주 설문조사 결과를 딜로이트에 제공한 사례에서 비롯됨 당시 응답 데이터는 가명처리되었으며, 재식별 키는 제공되지 않았음

유럽데이터보호감독관(EDPS)은 2020년 당시 해당 정보가 여전히 개인정보에 해당한다고 판단했으나, 이후 EU 일반법원은 이를 기각함

CJEU는 개인 재식별 가능성이 사건별 구체적 상황에 따라 달라질 수 있음을 강조함

한편 유럽데이터보호위원회(EDPB)는 지난 1월 데이터 관리자를 위한 가명처리 가이드라인을 공개한 바 있음