GDPR에 대한 참조 텍스트가 주어졌을 때, GDPR이 개인 데이터 보안에 어떻게 도움이 되는지 설명해 주세요.
일반 데이터 보호 규정(2016/679, "GDPR")은 EU 및 유럽경제지역(EEA)의 데이터 보호 및 개인정보 보호에 관한 EU 법률 규정입니다. GDPR은 EU 개인정보 보호법 및 인권법, 특히 유럽연합 기본권 헌장 제8조 제1항의 중요한 구성 요소입니다. 또한 개인 데이터를 EU 및 EEA 지역 외부로 전송하는 문제도 다룹니다. GDPR의 주요 목표는 개인 데이터에 대한 개인의 통제권과 권리를 강화하고 국제 비즈니스를 위한 규제 환경을 간소화하는 것입니다. 데이터 보호 지침 95/46/EC를 대체하는 이 규정은 공식적으로 "데이터 주체"라고 불리는 EEA에 위치한 개인의 개인 데이터 처리와 관련된 조항 및 요구 사항을 포함하고 있으며, 위치 및 데이터 주체의 시민권 또는 거주지와 관계없이 EEA 내 개인의 개인 정보를 처리하는 모든 기업에게 적용됩니다.
GDPR은 2016년 4월 14일에 채택되었으며 2018년 5월 25일부터 시행되었습니다. GDPR은 지침이 아닌 규정이므로 직접 구속력이 있고 적용 가능하며, 개별 회원국이 규정의 특정 측면을 조정할 수 있는 유연성을 제공합니다.

유럽 위원회에 따르면 "개인 데이터는 식별되거나 식별 가능한 개인과 관련된 정보입니다. 해당 정보에서 개인을 직접 식별할 수 없는 경우, 해당 개인이 여전히 식별 가능한지 여부를 고려해야 합니다. 처리하는 정보와 함께 귀하 또는 다른 사람이 해당 개인을 식별하기 위해 합리적으로 사용할 가능성이 있는 모든 수단을 고려해야 합니다." "개인 데이터", "처리", "데이터 주체", "관리자", "처리자" 등의 용어에 대한 정확한 정의는 규정 4조에 명시되어 있습니다.

원칙
개인 데이터는 적어도 하나의 법적 근거가 없으면 처리할 수 없습니다. 제6조에는 합법적인 목적이 명시되어 있습니다:

(a) 데이터 주체가 자신의 개인 데이터 처리에 동의한 경우;
(b) 데이터 주체와의 계약 의무를 이행하거나 계약 체결 과정에 있는 데이터 주체의 요청에 따른 업무를 수행하기 위한 경우;
(c) 데이터 컨트롤러의 법적 의무를 준수하기 위해;
(d) 데이터 주체 또는 다른 개인의 중대한 이익을 보호하기 위해;
(e) 공공의 이익 또는 공적 권한을 위한 업무 수행;
(f) 데이터 컨트롤러 또는 제3자의 정당한 이익을 위해(단, 이러한 이익이 데이터 주체 또는 기본권 헌장에 따른 권리(특히 아동의 경우)의 이익보다 우선하지 않는 경우).

개인 데이터의 보안
개인정보 관리자 및 처리자는 데이터 보호 원칙을 이행하기 위해 적절한 기술적 및 조직적 조치를 마련해야 합니다. 개인 데이터를 처리하는 비즈니스 프로세스는 원칙을 고려하여 설계 및 구축되어야 하며, 데이터를 보호하기 위한 안전장치를 제공해야 합니다(예: 적절한 경우 가명화 또는 완전 익명화 사용). 데이터 컨트롤러는 개인정보 보호를 염두에 두고 정보 시스템을 설계해야 합니다. 예를 들어, 데이터 세트가 기본적으로 공개되지 않고 주체를 식별하는 데 사용할 수 없도록 가능한 가장 높은 수준의 개인정보 보호 설정을 기본적으로 사용하는 것입니다. 규정에 명시된 6가지 합법적 근거(동의, 계약, 공공 업무, 중대한 이익, 정당한 이익 또는 법적 요구 사항) 중 하나에 따라 처리하지 않는 한 개인 데이터를 처리할 수 없습니다. 처리가 동의를 기반으로 하는 경우 데이터 주체는 언제든지 동의를 철회할 권리가 있습니다.

제33조에 따르면 데이터 컨트롤러는 위반이 개인의 권리와 자유에 위험을 초래할 가능성이 없는 한 부당한 지체 없이 감독 기관에 통지해야 할 법적 의무가 있습니다. 데이터 유출을 인지한 후 최대 72시간 이내에 신고할 수 있습니다. 부정적 영향의 위험이 높다고 판단되는 경우 개인에게 통지해야 합니다(34조). 또한 데이터 처리자는 개인 데이터 유출을 인지한 후 과도한 지체 없이 컨트롤러에게 통지해야 합니다(제33조). 그러나 데이터 컨트롤러가 암호화와 같이 개인 데이터에 액세스할 권한이 없는 사람이 개인 데이터를 이해할 수 없도록 하는 적절한 기술적 및 조직적 보호 조치를 구현한 경우에는 데이터 주체에 대한 통지가 필요하지 않습니다(34조).

데이터 보호 책임자

제37조에 따라 데이터 보호 책임자를 임명해야 합니다. 처리가 공공 기관(법원 또는 사법적 권한을 행사하는 독립 사법 기관 제외)에 의해 수행되거나 처리 작업에 대규모로 정보 주체에 대한 정기적이고 체계적인 모니터링이 필요한 경우 또는 특수 범주의 데이터 및 범죄 유죄 판결 및 범죄와 관련된 개인 데이터를 대규모로 처리하는 경우(9조 및 10조) 데이터 보호법 및 관행에 대한 전문 지식을 갖춘 사람인 데이터 보호 책임자(DPO)를 지정하여 컨트롤러 또는 처리자의 내부 규정 준수 모니터링을 지원하도록 해야 합니다.

지정된 DPO는 컨트롤러 또는 처리자의 현 직원이 될 수도 있고, 서비스 계약을 통해 외부 사람이나 기관에 역할을 아웃소싱할 수도 있습니다. 어떤 경우든 처리 기관은 DPO가 보유할 수 있는 다른 역할이나 이해관계와 이해 상충이 없는지 확인해야 합니다. 처리 기관은 DPO의 연락처를 개인정보 처리방침 등에 공개하고 감독 기관에 등록해야 합니다.

DPO는 규정 준수 책임자와 유사하며 IT 프로세스, 데이터 보안(사이버 공격 대응 포함) 및 개인 및 민감한 데이터의 보유 및 처리와 관련된 기타 중요한 비즈니스 연속성 문제를 능숙하게 관리할 수 있어야 합니다. 필요한 기술은 데이터 보호 법률 및 규정의 법적 준수를 이해하는 것 이상으로 확장됩니다. DPO는 조직을 대신하여 수집 및 저장된 모든 데이터에 대한 최신 데이터 인벤토리를 유지해야 합니다. 데이터 보호 책임자의 기능과 역할에 대한 자세한 내용은 2016년 12월 13일(2017년 4월 5일 개정)에 가이드라인 문서에서 확인할 수 있습니다.

EU 외부에 기반을 둔 조직도 EU에 기반을 둔 사람을 GDPR 의무를 위한 대리인 및 연락 담당자로 지정해야 합니다(27조). 이는 DPO와는 별개의 역할이지만, 책임이 중복되는 부분이 있어 지정된 DPO가 이 역할을 수행할 수도 있습니다.
일반 데이터 보호 규정은 개인 데이터 저장 및 처리에 대한 지침을 제공합니다. 개인 데이터는 식별되거나 식별 가능한 개인에 관한 모든 정보로, 데이터 주체라고도 합니다. 개인 데이터에는 다음과 같은 정보가 포함됩니다:

이름
주소
신분증/여권 번호
소득
문화적 프로필
인터넷 프로토콜(IP) 주소
병원 또는 의사가 보유한 데이터(건강 목적으로 개인을 고유하게 식별하는 데이터).

특수 데이터 범주
귀하는 다른 사람의 개인 데이터를 처리할 수 없습니다:

인종 또는 민족 출신
성적 취향
정치적 의견
종교적 또는 철학적 신념
노동조합 가입 여부
특정 경우(예: 명시적 동의를 받았거나 EU 또는 국내법에 근거하여 상당한 공익상의 이유로 처리가 필요한 경우)를 제외한 유전자, 생체 인식 또는 건강 데이터
EU 또는 국내법에 의해 승인된 경우를 제외하고 형사 유죄 판결 및 범죄와 관련된 개인 데이터.

누가 개인 데이터를 처리하나요?
처리 과정에서 개인 데이터는 다양한 회사 또는 조직을 통과할 수 있습니다. 이 주기에는 개인 데이터 처리를 다루는 두 가지 주요 프로필이 있습니다:

데이터 컨트롤러 - 개인 데이터의 처리 목적과 방식을 결정합니다.
데이터 프로세서 - 데이터 컨트롤러를 대신하여 데이터를 보유 및 처리합니다.
회사 내에서 개인 데이터가 처리되는 방식을 누가 모니터링하나요?
회사에서 지정한 데이터 보호 책임자(DPO)는 개인 데이터가 처리되는 방식을 모니터링하고 개인 데이터를 처리하는 직원에게 의무 사항을 알리고 조언할 책임이 있습니다. 또한 데이터 보호 책임자는 데이터 보호 기관(DPA)과 협력하여 DPA 및 개인에 대한 연락 창구 역할을 합니다.

다른 회사를 위한 데이터 처리
데이터 컨트롤러는 충분한 보증을 제공하는 데이터 처리자만 사용할 수 있으며, 이는 관련 당사자 간의 서면 계약에 포함되어야 합니다. 또한 계약서에는 데이터 처리자가 데이터 컨트롤러의 지시가 있을 때만 개인 데이터를 처리한다는 등의 여러 필수 조항이 포함되어야 합니다.

EU 역외로의 데이터 전송
개인 데이터를 EU 외부로 전송하는 경우 GDPR이 제공하는 보호가 데이터와 함께 이동해야 합니다. 즉, 데이터를 해외로 내보내는 경우 회사는 다음 조치 중 하나를 준수해야 합니다:

EU 외 국가의 보호 조치가 EU에 의해 적절한 것으로 간주됩니다.
귀사는 개인 데이터의 비유럽 수입자와 합의한 계약에 특정 조항을 포함하는 등 적절한 보호 조치를 제공하기 위해 필요한 조치를 취합니다.
귀사는 개인의 동의와 같은 특정 근거에 따라 데이터를 전송(이전)합니다.
데이터 처리는 언제 허용되나요?
EU 데이터 보호 규칙에 따라 귀사는 공정하고 합법적인 방식으로 특정하고 합법적인 목적을 위해 데이터를 처리해야 하며, 이 목적을 달성하는 데 필요한 데이터만 처리해야 합니다. 개인 데이터를 처리하려면 다음 조건 중 하나를 충족해야 합니다:

해당 개인의 동의를 받았음.
개인과의 계약 의무를 이행하기 위해 개인 데이터가 필요한 경우
법적 의무를 이행하기 위해 개인 데이터가 필요한 경우
개인의 중대한 이익을 보호하기 위해 개인 데이터가 필요한 경우
공공의 이익을 위해 업무를 수행하기 위해 개인 데이터를 처리하는 경우
데이터가 처리되는 개인의 기본적 권리와 자유에 심각한 영향을 미치지 않는 한, 회사의 정당한 이익을 위해 행동하는 경우. 개인의 권리가 회사의 이익보다 우선하는 경우에는 개인 데이터를 처리할 수 없습니다.


데이터 처리에 대한 동의 - 동의
데이터 접근권 및 데이터 이동권
수정할 권리 및 반대할 권리
삭제할 권리(잊혀질 권리)
자동화된 의사 결정 및 프로파일링
데이터 침해 - 적절한 통지 제공
요청에 대한 응답
영향 평가
기록 유지
Given a reference text about GDPR, tell me how GDPR helps to secure personal data.
The General Data Protection Regulation (2016/679, "GDPR") is a Regulation in EU law on data protection and privacy in the EU and the European Economic Area (EEA). The GDPR is an important component of EU privacy law and of human rights law, in particular Article 8(1) of the Charter of Fundamental Rights of the European Union. It also addresses the transfer of personal data outside the EU and EEA areas. The GDPR's primary aim is to enhance individuals' control and rights over their personal data and to simplify the regulatory environment for international business. Superseding the Data Protection Directive 95/46/EC, the regulation contains provisions and requirements related to the processing of personal data of individuals, formally called "data subjects", who are located in the EEA, and applies to any enterprise—regardless of its location and the data subjects' citizenship or residence—that is processing the personal information of individuals inside the EEA.
The GDPR was adopted on 14 April 2016 and became enforceable beginning 25 May 2018. As the GDPR is a regulation, not a directive, it is directly binding and applicable, and provides flexibility for certain aspects of the regulation to be adjusted by individual member states.

According to the European Commission, "Personal data is information that relates to an identified or identifiable individual. If you cannot directly identify an individual from that information, then you need to consider whether the individual is still identifiable. You should take into account the information you are processing together with all the means reasonably likely to be used by either you or any other person to identify that individual." The precise definitions of terms such as "personal data", "processing", "data subject", "controller", and "processor" are stated in Article 4 of the Regulation. 

Principles
Personal data may not be processed unless there is at least one legal basis to do so. Article 6 states the lawful purposes are:

(a) If the data subject has given consent to the processing of his or her personal data;
(b) To fulfill contractual obligations with a data subject, or for tasks at the request of a data subject who is in the process of entering into a contract;
(c) To comply with a data controller's legal obligations;
(d) To protect the vital interests of a data subject or another individual;
(e) To perform a task in the public interest or in official authority;
(f) For the legitimate interests of a data controller or a third party, unless these interests are overridden by interests of the data subject or her or his rights according to the Charter of Fundamental Rights (especially in the case of children).

Security of personal data
Controllers and processors of personal data must put in place appropriate technical and organizational measures to implement the data protection principles. Business processes that handle personal data must be designed and built with consideration of the principles and provide safeguards to protect data (for example, using pseudonymization or full anonymization where appropriate). Data controllers must design information systems with privacy in mind. For instance, using the highest-possible privacy settings by default, so that the datasets are not publicly available by default and cannot be used to identify a subject. No personal data may be processed unless this processing is done under one of the six lawful bases specified by the regulation (consent, contract, public task, vital interest, legitimate interest or legal requirement). When the processing is based on consent the data subject has the right to revoke it at any time.

Article 33 states the data controller is under a legal obligation to notify the supervisory authority without undue delay unless the breach is unlikely to result in a risk to the rights and freedoms of the individuals. There is a maximum of 72 hours after becoming aware of the data breach to make the report. Individuals have to be notified if a high risk of an adverse impact is determined (Article 34). In addition, the data processor will have to notify the controller without undue delay after becoming aware of a personal data breach (Article 33). However, the notice to data subjects is not required if the data controller has implemented appropriate technical and organisational protection measures that render the personal data unintelligible to any person who is not authorised to access it, such as encryption (Article 34).

Data protection officer

Article 37 requires appointment of a data protection officer. If processing is carried out by a public authority (except for courts or independent judicial authorities when acting in their judicial capacity), or if processing operations involve regular and systematic monitoring of data subjects on a large scale, or if processing on a large scale of special categories of data and personal data relating to criminal convictions and offences (Articles 9 and Article 10) a data protection officer (DPO)—a person with expert knowledge of data protection law and practices—must be designated to assist the controller or processor in monitoring their internal compliance with the Regulation.

A designated DPO can be a current member of staff of a controller or processor, or the role can be outsourced to an external person or agency through a service contract. In any case, the processing body must make sure that there is no conflict of interest in other roles or interests that a DPO may hold. The contact details for the DPO must be published by the processing organisation (for example, in a privacy notice) and registered with the supervisory authority.

The DPO is similar to a compliance officer and is also expected to be proficient at managing IT processes, data security (including dealing with cyberattacks) and other critical business continuity issues associated with the holding and processing of personal and sensitive data. The skill set required stretches beyond understanding legal compliance with data protection laws and regulations. The DPO must maintain a living data inventory of all data collected and stored on behalf of the organization. More details on the function and the role of data protection officer were given on 13 December 2016 (revised 5 April 2017) in a guideline document.

Organisations based outside the EU must also appoint an EU-based person as a representative and point of contact for their GDPR obligations (Article 27). This is a distinct role from a DPO, although there is overlap in responsibilities that suggest that this role can also be held by the designated DPO.
General Data Protection Regulation provides guidelines on storing and processing personal data. Personal data is any information about an identified or identifiable person, also known as the data subject. Personal data includes information such as their:

name
address
ID card/passport number
income
cultural profile
Internet Protocol (IP) address
data held by a hospital or doctor (which uniquely identifies a person for health purposes).

Special categories of data
You may not process personal data about someone's:

racial or ethnic origin
sexual orientation
political opinions
religious or philosophical beliefs
trade-union membership
genetic, biometric or health data except in specific cases (e.g. when you've been given explicit consent or when processing is needed for reasons of substantial public interest, on the basis of EU or national law)
personal data related to criminal convictions and offences unless this is authorised by EU or national law.

Who processes the personal data?
During processing, personal data can pass through various different companies or organisations. Within this cycle there are two main profiles that deal with processing personal data:

The data controller - decides the purpose and way in which personal data is processed.
The data processor - holds and processes data on behalf of a data controller.
Who monitors how personal data is processed within a company?
The Data Protection Officer (DPO), who may have been designated by the company, is responsible for monitoring how personal data is processed and to inform and advise employees who process personal data about their obligations. The DPO also cooperates with the Data Protection Authority (DPA), serving as a contact point towards the DPA and individuals.

Processing data for another company
A data controller can only use a data processor who offers sufficient guarantees, these should be included in a written contract between the parties involved. The contract must also contain a number of mandatory clauses, e.g. that the data processor will only process personal data when instructed to do so by the data controller.

Data transfer outside the EU
When personal data is transferred outside the EU, the protection offered by the GDPR should travel with the data. This means that if you export data abroad, your company must ensure one of the following measures are adhered to:

The non-EU country's protections are deemed adequate by the EU.
Your company takes the necessary measures to provide appropriate safeguards, such as including specific clauses in the agreed contract with the non-European importer of the personal data.
Your company relies on specific grounds for the transfer (derogations) such as the consent of the individual.
When is data processing allowed?
EU data protection rules mean you should process data in a fair and lawful manner, for a specified and legitimate purpose and only process the data necessary to fulfil this purpose. You must ensure that you fulfil one of the following conditions to process the personal data; you:

have been given the consent of the individual concerned
need the personal data to fulfil a contractual obligation with the individual
need the personal data to satisfy a legal obligation
need the personal data to protect the vital interests of the individual
process personal data to carry out the task in the interest of the public
are acting in your company's legitimate interests, as long as the fundamental rights and freedoms of the individual whose data are processed are not seriously impacted. If the person's rights override your company's interests, then you cannot process the personal data.


Agreeing to data processing - consent
Right to access and right to data portability
Right to correct and right to object
Right to erasure (right to be forgotten)
Automated decision-making and profiling
Data breaches – providing proper notification
Responding to requests
Impact assessments
Keeping a record