데이터 소스
개인 데이터는 다음 중 하나에 해당하지 않는 한 데이터 주체로부터 직접 수집해야 합니다:
- 사업 목적의 특성상 다른 사람이나 단체로부터 개인 데이터를 수집해야 하는 경우가 있습니다.
- 정보 주체의 중대한 이익을 보호하거나 타인의 심각한 손실 또는 부상을 방지하기 위해 긴급한 상황에서 수집을 수행해야 합니다.
데이터 주체가 아닌 다른 사람으로부터 개인 데이터를 수집하는 경우 다음 중 하나에 해당하지 않는 한 데이터 주체에게 수집 사실을 알려야 합니다:
- 데이터 주체가 다른 방법으로 필요한 정보를 받은 적이 있습니다.
- 해당 정보는 업무상 비밀 유지 의무에 따라 기밀로 유지되어야 합니다.
- 국내법에서 명시적으로 개인 데이터의 수집, 처리 또는 전송을 규정하고 있습니다.
데이터 주체에게 통지가 필요하다고 판단되는 경우, 통지는 개인 데이터를 최초로 수집 또는 기록한 시점, 데이터 주체와의 커뮤니케이션에 사용된 경우 최초 커뮤니케이션 시점, 다른 수신자에게 공개되는 경우 공개 시점으로부터 1개월 이내에 즉시 이루어져야 합니다.
데이터 주체 통지
관련 법률, 계약에 의해 요구되거나 합리적으로 적절하다고 판단되는 경우, Malvern International은 데이터 주체에게 개인 데이터 처리 목적에 관한 정보를 제공합니다.
데이터 주체에게 개인 데이터 처리에 대한 동의를 요청하는 경우, 그리고 데이터 주체로부터 개인 데이터를 수집하는 경우 다음 중 하나에 해당하지 않는 한, 주의를 끌 수 있는 방식으로 모든 적절한 공개가 이루어집니다:
- 데이터 주체는 이미 정보를 가지고 있습니다.
- 공개 및/또는 동의 요건에는 법적 면제가 적용됩니다.
- 공개는 전자적 또는 서면으로 제공할 수 있습니다.
직원을 위한 개인정보 처리방침
말번 인터내셔널은 회사 직원에게 개인 데이터의 수집 및 처리와 관련된 개인정보 처리방침을 제공합니다.
말번 인터내셔널은 또한 회사 직원 이외의 잠재적 제3자를 위한 온라인 개인정보 고지 및 관련 법률의 요건을 충족하는 온라인 ‘쿠키 고지'를 포함할 것입니다.
프로파일링 및 자동화된 의사 결정
말번 인터내셔널은 현재 프로파일링 및 자동화된 의사 결정에 관여하지 않습니다. 프로파일링 및 자동화된 의사 결정에 관여할 필요가 있는 경우, 이는 데이터 주체와 계약을 체결하거나 계약을 이행하기 위한 경우 또는 법률에 의해 승인된 경우에만 해당됩니다. 이러한 경우 데이터 주체에게 기회가 주어집니다:
- 자신의 관점 표현하기
- 자동화된 결정에 대한 설명 받기
- 자동화된 시스템에서 사용하는 로직을 검토합니다.
- 추가 데이터로 자동화된 시스템 보완
- 자동화된 결정에 대한 검토를 사람이 수행하도록 하기
- 자동 결정에 이의를 제기하기
- 수행 중인 자동화된 의사 결정에 반대합니다.
자동화된 의사 결정에 대한 프로파일링은 데이터 보호법에서 엄격하게 제한하고 있으며 데이터 보호 영향 평가가 완료된 후에만 수행해야 합니다. 직원은 먼저 데이터 보호 책임자의 조언과 지원을 구하지 않고는 자동화된 프로파일링 또는 의사 결정과 관련된 활동을 수행할 수 없습니다.
디지털 마케팅
말번 인터내셔널은 휴대전화, 이메일, 인터넷 등 디지털 채널을 통한 홍보 또는 다이렉트 마케팅 자료를 데이터 보호법을 준수하는 경우에만 해당 연락처로 발송합니다. 정보 주체의 사전 동의 없이 디지털 마케팅 캠페인을 수행하고자 하는 Malvern International과 관련된 모든 사람은 먼저 데이터 보호 책임자의 승인을 받아야 합니다.
디지털 마케팅 목적으로 개인 데이터 처리가 승인된 경우, 데이터 주체는 첫 접촉 시점에 이러한 목적을 위해 자신의 데이터가 처리되는 것에 대해 언제든지 이의를 제기할 권리가 있음을 알려야 합니다. 데이터 주체가 이의를 제기하는 경우, 디지털 마케팅 관련 개인 데이터 처리는 즉시 중단되어야 하며, 해당 정보는 완전히 삭제되지 않고 수신 거부 결정에 대한 기록과 함께 수신 거부 목록에 보관되어야 합니다.
디지털 마케팅이 ‘기업 간’ 맥락에서 수행되는 경우, 개인에게 수신 거부 기회가 제공된다면 디지털 마케팅 수행에 대한 동의 표시를 받을 법적 의무가 없다는 점에 유의해야 합니다.
데이터 보존
공정한 처리를 보장하기 위해 말번 인터내셔널은 개인 데이터를 원래 수집한 목적 또는 추가 처리한 목적과 관련하여 필요 이상으로 오래 보관하지 않습니다.
말번 인터내셔널이 개인 데이터를 보유해야 하는 기간은 부록 1에 명시되어 있습니다. 여기에는 보존 기간에 영향을 미치는 법적, 계약적 및 비즈니스 요구사항이 고려됩니다. 모든 개인정보는 합법적인 목적이 없는 한 더 이상 보유할 필요가 없다고 확인된 경우 가능한 한 빨리 삭제하거나 파기해야 합니다. 부록 1의 보존 지침에 따라 개인 데이터를 파기하거나 삭제하지 않기로 결정할 경우 반드시 서면으로 문서화하여 CEO의 승인을 받아야 합니다.
데이터 보호
말번 인터내셔널은 개인 데이터의 보안을 보장하기 위해 물리적, 기술적, 조직적 조치를 취합니다. 여기에는 분실 또는 손상, 무단 변경, 액세스 또는 처리 및 사람의 행동이나 물리적 또는 자연적 환경으로 인해 노출될 수 있는 기타 위험을 방지하는 것이 포함됩니다.
말번 인터내셔널이 채택하는 최소한의 보안 조치는 다음과 같습니다:
- 권한이 없는 사람이 개인 데이터가 처리되는 데이터 처리 시스템에 액세스하지 못하도록 방지합니다.
- 데이터 처리 시스템을 사용할 권한이 있는 사람이 필요와 권한을 넘어 개인 데이터에 액세스하는 것을 방지합니다.
- 전송 중 전자 전송 과정의 개인 데이터를 승인 없이 읽거나 복사, 수정 또는 제거할 수 없도록 합니다.
- 데이터 처리 시스템에서 개인 데이터가 입력, 수정 또는 제거되었는지, 그리고 누가 개인 데이터를 입력했는지 확인할 수 있도록 액세스 로그를 보관해야 합니다.
- 데이터 처리자가 처리를 수행하는 경우 데이터 컨트롤러의 지침에 따라서만 데이터를 처리할 수 있는지 확인합니다.
- 개인 데이터가 원치 않는 파기나 손실로부터 보호되도록 합니다.
- 다른 목적으로 수집된 개인 데이터는 별도로 처리할 수 있고 처리되도록 합니다.
- 개인 데이터를 필요 이상으로 오래 보관하지 않도록 합니다.
- 적절한 회사 직원이 데이터 보호 법률에 따른 주요 규정 준수 요건과 이 정책에 따라 개인 데이터의 보안을 유지할 수 있는 방법에 대해 교육을 받도록 합니다.
회사 인사 책임
말번 인터내셔널을 위해 또는 말번 인터내셔널을 대신하여 일하는 모든 사람은 본 정책 및 관련 정책에 따라 데이터가 적절하게 수집, 저장 및 처리되도록 할 책임이 있습니다.
CEO와 HR 비즈니스 파트너는 본 정책을 검토하고 Malvern International의 데이터 보호 책임과 데이터 처리와 관련된 모든 위험에 대해 이사회에 업데이트할 책임이 있습니다. 본 정책 또는 데이터 보호와 관련된 질문은 이 담당자에게 문의해야 합니다.
회사 담당자가 해야 합니다:
- 말번 인터내셔널을 위해 수행하는 업무에 필요한 경우에만 개인 데이터에 액세스하고, 그렇게 할 수 있는 권한이 있는 경우에만 개인 데이터에 액세스합니다. 이들은 데이터를 획득한 지정된 합법적인 목적으로만 데이터를 사용해야 합니다.
- 개인 데이터를 비공식적으로 공유하지 않습니다.
- 개인 데이터를 안전하게 보관하고 권한이 없는 사람과 공유하지 않습니다.
- 정기적으로 개인 데이터를 검토하고, 필요하거나 요청이 있는 경우 개인 데이터를 업데이트합니다. 여기에는 자신의 연락처 정보가 변경된 경우 당사에 알려주는 것도 포함됩니다.
- 불필요한 개인 데이터의 사본을 만들지 않으며, 사본을 안전하게 보관하고 폐기해야 합니다.
- 강력한 비밀번호를 사용하고 다른 사람과 비밀번호를 공유하지 마세요.
- 는 책상에 없을 때 컴퓨터 화면을 잠가야 합니다.
- 직속 상사 또는 HR 비즈니스 파트너의 승인 없이 회사 구내에서 개인 데이터를 외부로 반출하지 않습니다.
- 데이터 보호에 대해 잘 모르거나 개선할 수 있는 데이터 보호 또는 보안 영역을 발견한 경우 HR 비즈니스 파트너에게 도움을 요청하세요.
개인 데이터는 승인된 외부 연락처로 전자적으로 전송하기 전에 암호화해야 합니다. 이에 대한 자세한 내용은 IT 부서에 문의하세요.
데이터 주체를 식별할 수 없도록 데이터를 익명화하거나 별도의 키/코드를 사용하는 것을 고려하세요.
개인 데이터는 말번 인터내셔널에 속하지 않은 개인용 컴퓨터나 기타 장치에 저장해서는 안 됩니다.
개인 데이터는 법률과 CEO의 승인을 준수하는 경우를 제외하고는 유럽 경제 지역 외부로 전송되어서는 안 됩니다.
책상 서랍과 서류 캐비닛은 잠가야 합니다. 개인정보가 적힌 종이를 아무 곳에나 두지 마세요.
개인 데이터는 더 이상 필요하지 않은 경우 파쇄하여 안전하게 폐기해야 합니다.
정책 시행
회사 직원이 본 정책을 고의 또는 과실로 위반하는 경우, 해당 직원에 대해서는 징계 절차에 따라 징계 조치가 취해질 수 있습니다.
정보주체 접근 요청의 일부인 개인 데이터를 은폐하거나 파기하는 것은 형사 범죄에 해당합니다(아래 참조). 또한 이러한 행위는 징계 절차에 따라 중대한 위법 행위에 해당하여 해고될 수 있습니다.
이 정책은 예시를 제공하지만, 전체 목록이 아니며 수시로 다른 구체적인 규칙이 통보될 수 있습니다.
데이터 주체 권리 및 데이터 주체 요청
데이터 주체(회사 직원 포함)는 말번 인터내셔널이 처리하는 자신의 개인 데이터와 관련하여 여러 가지 권리를 갖습니다. 이러한 권리는 데이터 주체와 관련된 개인정보 취급방침에 자세히 설명되어 있습니다. 회사 직원에게는 개인정보 처리방침이 제공됩니다. 제3자는 온라인으로 개인정보 처리방침에 액세스하거나 직접 사본을 요청할 수 있습니다.
말번 인터내셔널은 다음과 관련된 정보 주체의 권리 행사를 활성화하고 촉진하기 위한 시스템을 구축합니다:
- 정보 액세스
- 처리에 대한 이의 제기
- 자동화된 의사 결정 및 프로파일링에 대한 이의 제기
- 처리 제한
- 데이터 이동성
- 데이터 정류
- 데이터 삭제
개인이 위에 열거된 권리와 관련된 요청을 하는 경우, Malvern International은 모든 관련 데이터 보호 법률 및 규정에 따라 각 요청을 검토합니다. 직원이 요청을 받은 경우, 해당 직원은 요청을 직접 관리할 수 없으며 가능한 한 빨리 데이터 보호 책임자에게 알려야 합니다.
데이터 주체는 서면으로만 자신의 권리와 관련된 요청을 할 수 있습니다. 그러나 데이터 주체는 데이터 주체 요청 양식(HR에서 제공)을 요청하여 사용하고 이를 HR 부서에 제출할 것을 권장합니다. 이렇게 하면 요청이 말번 인터내셔널 내의 적절한 개인에게 접수되어 신속하게 처리될 수 있습니다.
데이터 주체는 요청을 제출할 때 신원을 확인해야 합니다. 그렇지 않을 경우 요청이 완료되지 않을 수 있습니다.
데이터 주체는 자신의 개인 데이터에 대해 다음과 같은 정보를 얻을 권리가 있습니다:
- 개인 데이터의 수집, 처리, 사용 및 저장 목적.
- 개인 데이터의 출처(데이터 주체로부터 획득한 것이 아닌 경우).
- 데이터 주체를 위해 저장된 개인 데이터의 범주입니다.
- 개인 데이터가 전송되었거나 전송될 수 있는 수신자 또는 수신자 범주와 해당 수신자의 위치.
- 개인 데이터의 예상 보관 기간 또는 보관 기간 결정의 근거.
- 프로파일링을 포함한 모든 자동화된 의사 결정의 사용.
- 데이터 주체가 자신의 개인 데이터 처리에 반대하여 데이터 보호 기관에 불만을 제기하고, 개인 데이터의 수정 또는 삭제를 요청하고, 개인 데이터의 처리 제한을 요청할 수 있는 권리입니다.
개인 데이터에 대한 액세스 또는 수정에 대한 모든 요청은 접수된 대로 각 요청을 기록할 인사 부서에 전달해야 합니다. 각 요청에 대한 답변은 데이터 주체의 서면 요청을 받은 날로부터 30일 이내에 제공됩니다. 적절한 확인을 통해 요청자가 데이터 주체 또는 그 권한을 위임받은 법정 대리인임을 확인해야 합니다. 데이터 주체는 부정확하거나 오해의 소지가 있거나 오래되었거나 불완전한 개인 데이터를 수정하거나 보완하도록 Malvern International에 요구할 권리가 있습니다.
말번 인터내셔널은 30일 이내에 요청에 응답할 수 없는 경우 지정된 시간 내에 다음을 제공할 것을 약속합니다:
- 요청 수신에 대한 확인입니다.
- 현재까지의 모든 정보.
- 정보 주체에게 제공되지 않을 요청된 정보 또는 수정에 대한 세부 사항, 거부 사유 및 결정에 이의를 제기할 수 있는 절차.
- 나머지 답변이 제공될 것으로 예상되는 날짜(최초 요청이 제출된 날로부터 3개월 이내).
- 데이터 주체가 지불해야 하는 모든 비용의 추정치(예: 요청이 본질적으로 과도한 경우).
- 데이터 주체가 후속 조치를 위해 연락해야 하는 개인의 이름과 연락처 정보입니다.
정보 주체가 요청한 정보를 제공하면 다른 개인의 개인정보가 공개되는 상황이 발생할 수 있다는 점에 유의해야 합니다. 이러한 경우 해당 개인의 권리를 보호하기 위해 필요하거나 적절한 경우 정보를 수정하거나 보류해야 합니다.
법 집행 기관의 요청 및 공개
특정 상황에서는 데이터 주체가 알지 못하거나 동의하지 않은 상태에서 개인 데이터를 공유하는 것이 허용됩니다. 다음 목적 중 하나를 위해 개인 데이터의 공개가 필요한 경우가 이에 해당합니다:
- 범죄 예방 또는 탐지.
- 범죄자의 체포 또는 기소.
- 세금 또는 관세의 부과 또는 징수.
- 법원의 명령 또는 법규에 따라.
말번 인터내셔널이 이러한 목적 중 하나로 개인 데이터를 처리하는 경우, 본 정책에 명시된 처리 규칙에 예외를 적용할 수 있지만 그렇게 하지 않을 경우 해당 사건에 영향을 미칠 가능성이 있는 범위 내에서만 예외를 적용할 수 있습니다.
데이터 보호 교육
개인 데이터에 접근할 수 있는 모든 Malvern International 직원은 직원 입문 교육의 일환으로 본 정책에 따른 책임을 설명받게 됩니다. Malvern International은 직원을 대상으로 정기적인 데이터 보호 교육 및 절차 지침을 제공하며, 이 교육은 필수적으로 이수해야 합니다.
말번 인터내셔널 사이트 간 환승
말번 인터내셔널이 다양한 사이트에서 운영을 효과적으로 수행하기 위해 해외 위치에서 개인 데이터에 액세스할 수 있도록 한 사이트에서 다른 사이트로 개인 데이터를 전송해야 하는 경우가 있을 수 있습니다. 이러한 경우 개인 데이터를 전송하는 사이트는 해당 개인 데이터를 보호하고 유럽경제지역 외부로의 데이터 전송에 대한 규정 준수를 보장할 책임이 있습니다. 모든 직원은 공식적이고 승인된 수단을 사용하여 데이터를 전송해야 합니다. 직원은 WhatsApp 또는 기타 인스턴트 메시징 서비스와 같은 개인 플랫폼을 사용하여 비공식적으로 데이터를 공유할 수 없습니다,
제3자로의 이전
Malvern International은 제3자가 개인정보를 합법적으로 처리하고 수신자가 적절하게 보호할 것이라는 확신이 있는 경우에만 개인정보를 제3자에게 전송하거나 제3자의 접근을 허용합니다. 제3자 처리가 이루어지는 경우 Malvern International은 먼저 해당 법률에 따라 제3자가 전송되는 개인정보의 데이터 컨트롤러 또는 데이터 처리자로 간주되는지 여부를 확인합니다.
제3자가 데이터 컨트롤러로 간주되는 경우, 전송된 개인 데이터에 대한 각 당사자의 책임을 명확히 하기 위해 컨트롤러와 적절한 계약을 체결합니다.
제3자가 데이터 처리자로 간주되는 경우, Malvern International은 해당 데이터 처리자와 적절한 처리 계약을 체결하기 위해 노력할 것입니다. 이 계약은 데이터 처리자가 개인정보가 더 이상 공개되지 않도록 보호하고 Malvern International의 지침에 따라서만 개인정보를 처리하도록 요구합니다. 또한 이 계약은 데이터 처리자가 개인 데이터를 보호하기 위한 적절한 기술적 및 조직적 조치와 개인 데이터 침해에 대한 통지 절차를 구현하도록 요구합니다.
말번 인터내셔널이 제3자에게 서비스를 아웃소싱하는 경우, 제3자가 당사를 대신하여 개인정보를 처리할지 여부와 아웃소싱에 개인정보의 제3국 이전이 수반되는지 여부를 파악합니다. 두 경우 모두 이러한 처리 및 제3국 전송에 대한 적절한 조항을 아웃소싱 계약에 포함하도록 합니다.
불만 처리
개인 데이터 처리에 대한 불만 사항이 있는 데이터 주체는 데이터 보호 우편함으로 연락해야 합니다. gdpr@malvernplc.com
침해 보고
개인 데이터의 도난 또는 노출로 인해 개인 데이터 침해가 발생했다고 의심되는 개인은 즉시 데이터 보호 책임자에게 사건에 대한 설명을 포함하여 통지해야 합니다. 사고 통지는 다음 주소로 이메일을 통해 할 수 있습니다. gdpr@malvernplc.com
데이터 보호 책임자는 보고된 모든 사건을 조사하여 개인정보 침해가 발생했는지 여부를 확인합니다. 개인 데이터 침해가 확인되면 데이터 보호 책임자는 관련 개인 데이터의 중요도와 양에 따라 승인된 관련 절차를 따릅니다. 심각한 개인 데이터 침해의 경우, 말번 인터내셔널은 개인 데이터 침해 대응을 조율하고 관리하기 위해 비상 대응팀을 구성하고 위원장을 맡습니다.
