개인정보 처리방침
I. 선언 및 목적
관련 법률은 개인정보 처리에 관해 여러 가지 의무를 부과하고 있습니다. 슈페리어 에섹스 그룹은 개인의 사생활을 존중하며, 개인정보 처리가 수반되는 사업 활동에서 관련 법률이 규정하는 법적 기준을 준수하기 위해 최선을 다하고 있습니다.
당사는 관련 법률에 명시된 주요 데이터 보호 원칙 및 핵심 요건을 준수할 책임을 지며, 이를 준수하기 위해 최선을 다하고 있습니다.
본 정책은 당사가 준수하는 주요 데이터 보호 원칙을 설명하며, 개인의 사생활 존중 및 개인정보 보호와 관련하여 당사가 취하는 접근 방식을 반영하고 있습니다.
II. 적용 범위
본 정책은 EU 내의 모든 슈페리어 에섹스 그룹 사업장은 물론, EU로부터 개인정보를 수신하거나 기타 방식으로 관련 법률의 적용을 받는 기타 모든 슈페리어 에섹스 그룹 사업장에도 적용됩니다.
개인 정보는 본 정책 및 관련 법률에 따라 처리되어야 합니다.
본 정책은 본 정책 제XIII조에 명시된 슈페리어 에섹스 그룹의 기타 정책과 함께 참조하여 읽어야 합니다. 슈페리어 에섹스 그룹은 본 정책 또는 관련 법규를 준수하기 위해 필요한 경우 추가적인 정책, 절차 또는 관행을 시행할 수 있습니다.
데이터 보호는 수페리어 에섹스 그룹의 모든 임직원 및 사업부가 공동으로 짊어져야 할 책임이며, 모든 임직원과 사업부는 본 정책에 명시된 원칙과 요건을 숙지하고 이를 준수해야 합니다.
III. 정의
본 정책의 다른 부분에서 정의된 용어 외에도, 본 문서에서 사용되는 다음 용어들은 아래에 명시된 의미를 가집니다:
- “계열사”란 해당 법인을 부분적으로 또는 전적으로 지배받거나, 해당 법인을 지배하거나, 해당 법인과 공동 지배 관계에 있는 모든 법인을 의미합니다.
- “적용 법률”이란 GDPR 및 EEA 회원국에서 GDPR을 시행하기 위한 각국의 법률을 의미합니다.
- “자동화된 의사결정”이란 프로파일링을 포함한 개인정보의 자동화된 처리에만 근거하여 의사결정을 내리는 과정을 말하며, 이로 인해 정보주체에게 법적 효과가 발생한다.
- “처리자”란 단독으로 또는 타인과 공동으로 개인정보 처리의 목적 및 수단을 결정하는 자연인, 법인, 공공기관, 기관 또는 기타 단체를 말한다.
- “데이터 주체”란 개인정보와 관련된, 식별되었거나 식별 가능한 자연인을 의미합니다. 식별 가능한 사람이란 특히 이름, 식별번호, 위치 데이터, 온라인 식별자 등의 식별자를 참조하거나, 해당 자연인의 신체적, 생리적, 유전적, 정신적, 경제적, 문화적 또는 사회적 정체성에 특유한 하나 이상의 요소를 참조함으로써 직접적 또는 간접적으로 식별될 수 있는 사람을 말합니다.
- “EEA”는 유럽경제지역(European Economic Area)을 의미하며, 여기에는 모든 EU 회원국과 아이슬란드, 리히텐슈타인, 노르웨이가 포함됩니다.
- “발효일”이란 2018년 5월 25일을 의미합니다.
- “직원”이란 정규직 직원, 시간제 직원, 임시 직원, 복직 직원, 재고용 직원, 퇴직자 및 전직 직원, 인턴 및 연수생을 의미합니다.
- “사업장”이란 안정적인 체계를 통해 활동을 효과적이고 실질적으로 수행하는 것을 의미하며, 그러한 체계의 법적 형태가 지점인지 또는 법적 인격을 갖춘 자회사인지는 중요하지 않다.
- “EU”는 유럽연합을 의미합니다.
- “GDPR”이란, 개인 데이터 처리와 관련하여 자연인을 보호하고 해당 데이터의 자유로운 이동을 보장하며, 지침 95/46/EC를 폐지하는 2016년 4월 27일자 유럽의회 및 이사회 규정 (EU) 2016/679(일반 데이터 보호 규정)을 의미합니다.
- “개인정보”란 정보주체와 관련된 모든 정보를 의미합니다. 개인정보에는 특별 범주의 개인정보가 포함됩니다.
- “정책”이란 본 일반 개인정보 처리방침을 의미합니다.
- “개인정보 보호 책임자”란 아래 제XII조에 따라 지정된 자를 말한다.
- “프로파일링”이란 개인 데이터를 사용하여 자연인과 관련된 특정 개인적 측면을 평가하는, 특히 해당 자연인의 업무 수행 능력, 경제적 상황, 건강, 개인적 선호도, 관심사, 신뢰도, 행동, 위치 또는 이동 경로와 관련된 측면을 분석하거나 예측하는 것을 포함하는 모든 형태의 자동화된 개인 데이터 처리를 의미합니다.
- “처리”란 자동화된 수단을 통해 이루어지든 그렇지 않든, 개인 데이터 또는 개인 데이터 집합에 대해 수행되는 모든 작업 또는 일련의 작업을 의미하며, 여기에는 수집, 기록, 정리, 구조화, 저장, 수정 또는 변경, 검색, 열람, 이용, 전송을 통한 공개, 보급 또는 기타 방식으로의 제공, 정합 또는 결합, 제한, 삭제 또는 파기 등이 포함된다.
- “개인정보 유출”이란, 특정 주체의 시스템을 통해 전송, 저장 또는 기타 방식으로 처리된 개인정보가 우발적이거나 불법적인 방식으로 파기, 분실, 변조되거나, 무단으로 공개되거나 접근되는 결과를 초래하는 보안 침해를 의미한다.
- “특별 범주에 속하는 개인정보”에는 인종 또는 민족적 출신, 정치적 견해, 종교적 또는 철학적 신념, 노동조합 가입 여부를 드러내는 개인정보와, 자연인을 고유하게 식별할 목적으로 처리되는 유전적 데이터, 생체 인식 데이터, 건강 관련 데이터, 또는 자연인의 성생활이나 성적 지향에 관한 데이터가 포함됩니다.
- “Superior Essex Group”, “당사”, “우리”는 델라웨어주 법인인 Superior Essex Inc. (등록처: Corporation Service Company, 251 Little Falls Drive, Wilmington, DE 19808) 및 델라웨어주 법인인 Essex Solutions Inc. (등록처: Corporation Service Company, 251 Little Falls Drive, Wilmington, DE 19808 소재 Corporation Service Company에 등록된 델라웨어 법인인 Essex Solutions Inc., 델라웨어 법인인 Superior Solutions Global Inc. (등록처: Corporation Service Company, 251 Little Falls Drive, Wilmington, DE 19808), 델라웨어 법인인 Essex Brownell Inc. (등록처: Corporation Service Company, 251 Little Falls Drive, Wilmington, DE 19808 소재 Corporation Service Company에 등록된 델라웨어 법인인 Essex Brownell Inc., 251 Little Falls Drive, Wilmington, DE 19808 소재 Corporation Service Company에 등록된 델라웨어 법인인 Superior Essex International Inc., 및 각 회사의 계열사.
IV. 주요 데이터 보호 원칙
개인 데이터를 처리할 때, 당사는 다음과 같은 주요 데이터 보호 원칙을 적용할 것입니다:
- 당사는 데이터 주체와 관련하여 개인정보를 적법하고, 공정하며, 투명한 방식으로 처리할 것입니다(이하 “적법성·공정성·투명성 원칙”이라 함);
- 당사는 명시적이고 합법적인 특정 목적에 한해 개인정보를 수집하며, 해당 목적과 양립할 수 없는 방식으로 이를 추가로 처리하지 않을 것입니다(이하 “목적 제한 원칙”이라 함);
- 당사는 개인정보가 처리 목적과 관련하여 적절하고, 관련성이 있으며, 필요한 범위 내로 제한되도록 보장할 것입니다(이하 “데이터 최소화 원칙”이라 함);
- 당사는 개인정보가 정확하도록 보장하고, 필요한 경우 이를 최신 상태로 유지하며, 처리 목적에 비추어 볼 때 부정확한 개인정보가 지체 없이 삭제되거나 정정되도록 모든 합리적인 조치를 취할 것입니다(이하 “정확성 원칙”이라 함);
- 당사는 개인정보가 처리되는 목적에 필요한 기간을 초과하여 정보주체를 식별할 수 있는 형태로 개인정보를 보관하지 않을 것입니다(이하 “보관 제한 원칙”이라 함);
- 당사는 데이터 주체의 권리(이하 “데이터 주체의 권리”)에 따라 개인정보를 처리할 것이며; 그리고
- 당사는 개인정보가 처리될 때, 무단 또는 불법적인 처리로부터의 보호는 물론 우발적인 분실, 파기 또는 훼손으로부터의 보호를 포함하여, 개인정보를 보호하기 위한 적절한 기술적·조직적·보안적 조치가 마련되도록 할 것입니다(이하 “무결성, 기밀성 및 보안 원칙”이라 함).
A. 목적 제한의 원칙
당사는 사업 수행 과정에서 다양한 목적을 위해 여러 범주의 데이터 주체로부터 다양한 유형의 개인정보를 수집 및 처리합니다. 당사는 구체적이고 명시적이며 정당한 처리 목적을 사전에 확정하고, 이를 ‘처리 활동 기록부’(제VIII절 참조)에 기재할 것입니다. 당사는 관련 예외 사항이 적용되지 않는 한, 개인정보를 최초로 수집할 때 또는 그 후 가능한 한 빨리(다음 B항 참조) 데이터 주체에게 이러한 처리 목적을 알릴 것입니다.
당사는 관련 법률에서 허용하는 경우를 제외하고, 특정 목적으로 수집된 개인정보를 그 목적과 양립할 수 없는 다른 목적으로 처리하지 않습니다.
초기에 명시된 목적과 다른 목적으로 개인정보를 처리하고자 하는 경우, 처리 활동을 시작하기 전에 개인정보 보호 담당자와 상의해 주시기 바랍니다.
B. 적법성, 공정성 및 투명성 원칙
1. 적법성과 공정성
개인정보 처리는 관련 법률에 의해 허용되는 경우에만 합법적입니다.
- 당사는 관련 법률에 명시된 허용된 법적 근거 중 하나에 의거하여만 개인정보를 처리합니다. 당사가 가장 일반적으로 근거로 삼는 개인정보 처리의 법적 근거에는 다음이 포함되나, 이에 국한되지는 않습니다:
- 정보주체가 당사자인 계약을 이행할 필요성;
- 당사가 준수해야 하는 EU에서 비롯된 법적 의무를 이행해야 할 필요성;
- 당사(데이터 관리자) 또는 제3자가 추구하는 정당한 이익을 위한 필요성; 및/또는
- 정보주체가 제공한 동의.
- 당사는 처리하는 ‘특별 범주의 개인정보’의 양을 최소화하는 것을 목표로 합니다. 당사는 관련 법률에 따라 허용되는 경우, 예를 들어 법적으로 처리 의무가 있거나 정보주체의 명시적인 동의를 얻은 경우에만 특별 범주의 개인정보를 처리할 것입니다.
- 당사는 사전에 적절한 법적 근거를 파악하고, 이를 ‘처리 활동 기록부’(아래 제VIII항 참조)에 기재할 것입니다.
2. 투명성
관련 법률에 따라, 당사는 개인정보를 처리하기 전에 해당 개인에게 소위 ‘개인정보 처리 고지서’를 제공하며, 이 고지서에는 수신자가 이해하기 쉬운 방식으로 최소한 다음 사항을 명시합니다:
- 관련 데이터 관리자인 Superior Essex Group 계열사의 신원 및 연락처 정보;
- 당사가 처리하는 개인정보의 범주;
- 당사가 개인정보를 처리하는 목적 및 그 법적 근거;
- 당사가 개인정보를 누구에게 공개하는지;
- 당사가 개인 데이터를 EEA 외부로 이전하는지 여부(이전 대상 국가 및 사용된 이전 방식 포함);
- 당사가 개인정보를 보관하는 기간(또는, 이것이 불가능한 경우, 해당 기간을 결정하는 데 사용한 기준);
- 개인정보 주체가 자신의 개인정보 처리에 관하여 행사할 수 있는 권리;
- 개인정보 제공이 법적 또는 계약상 요건인지, 아니면 계약 체결에 필요한 요건인지 여부, 또한 정보주체가 해당 개인정보를 제공해야 할 의무가 있는지 및 해당 정보를 제공하지 않을 경우 발생할 수 있는 결과; 그리고
- 프로파일링을 포함한 자동화된 의사결정의 존재 여부, 그리고 GDPR에서 요구하는 경우, 해당 논리에 관한 실질적인 정보와 더불어 그러한 처리가 데이터 주체에게 미치는 중요성 및 예상되는 결과.
C. 데이터 최소화 원칙
당사는 처리하는 모든 개인정보가 적절하고 관련성이 있으며, 처리 목적에 필요한 범위 내에서만 제한되도록 보장하기 위해 합리적인 기술적 및 조직적 조치를 시행할 것입니다.
D. 정확성 원칙
당사는 처리하는 모든 개인정보가 정확하고 최신 상태로 유지되도록 합리적인 기술적 및 조직적 조치를 시행할 것입니다. 당사는 개인정보를 수집하는 시점과 그 이후 정기적으로 해당 정보의 정확성을 확인할 것입니다. 또한 부정확하거나 최신 상태가 아닌 데이터에 대해서는 이를 파기하거나 수정하기 위해 모든 합리적인 조치를 취할 것입니다.
E. 저장 용량 제한 원칙
당사는 수집 목적에 필요한 기간 이상으로, 또는 관련 법률에서 달리 요구하거나 허용하는 기간 이상으로 개인정보를 보관하지 않도록, ‘슈페리어 에섹스 그룹 기록 보존 정책’에 따라 합리적인 기술적 및 조직적 조치를 시행할 것입니다. 당사는 더 이상 필요하지 않은 모든 개인정보를 안전하게 파기하거나 당사 시스템 및 기록에서 삭제하기 위해 모든 합리적인 조치를 취합니다.
F. 정보주체의 권리
당사는 관련 법률에 따라 정보주체에게 부여된 권리를 존중하며, 특히 다음과 같습니다:
- 열람권: 정보주체는 당사가 관리하는 본인의 개인정보에 대한 정보를 요청하고, 해당 데이터의 사본을 요청할 수 있습니다.
- 정정권: 데이터 주체는 부정확한 개인정보의 정정을 요청하거나 불완전한 데이터의 보완을 요청할 수 있습니다.
- 삭제권: 데이터 주체는 자신의 개인정보가 부정확하거나 당사가 추구하는 목적과 부합하지 않는 방식으로 처리되는 경우, 해당 개인정보의 삭제를 요청할 수 있습니다.
- 데이터 이동권: 당사가 정보주체와의 계약 또는 정보주체의 동의를 근거로 개인정보를 처리하는 경우, 정보주체는 자신의 개인정보를 구조화되고, 일반적으로 사용되며, 기계가 읽을 수 있는 형식으로 제공받을 것을 요청할 수 있으며, 기술적으로 가능한 경우 당사에 해당 데이터를 제3자에게 이전해 줄 것을 요청할 수 있습니다.
- 처리 제한 권리: 데이터 주체는 자신의 개인정보 처리를 제한해 줄 것을 요청할 수 있습니다.
- 이의 제기권: 데이터 주체는 자신의 개인정보 처리에 대해 이의를 제기하거나 반대할 수 있습니다.
- 불만 제기 권리: 데이터 주체는 자신의 상주지, 근무지 또는 침해 혐의가 발생한 장소에 소재한 EU 내 관할 감독 기관에 불만을 제기할 수 있습니다.
- 동의 거부 또는 철회 권리: 데이터 주체는 자신의 개인정보 처리에 대한 동의를 거부할 수 있으며, 어떠한 불이익도 받지 않고 언제든지 동의를 철회할 수 있습니다.
- 오로지 자동화된 처리에만 근거한 결정의 대상이 되지 않을 권리: 데이터 주체는 GDPR에서 정한 예외 사항을 제외하고, 프로파일링을 포함하여 오로지 자동화된 처리(즉, 자동화된 의사결정)에만 근거하여 이루어지며, 본인에게 법적 효력을 발생시키거나 이와 유사하게 본인에게 중대한 영향을 미치는 결정의 대상이 되지 않을 권리를 가진다.
관련 법률에 따라 당사는 유효한 정보주체의 요청에 대해 제한된 기간 내에 응답해야 합니다. 정보주체로부터 접수된 모든 요청은 즉시 개인정보 보호 책임자에게 전달되어야 합니다(제XII조 참조).
G. 무결성, 기밀성 및 보안 원칙
당사가 처리하는 개인정보를 보호하기 위해, 당사는 개인정보의 무단 또는 불법적인 처리 및 개인정보의 우발적인 분실, 파기 또는 훼손을 방지하기 위한 합리적인 기술적·조직적 조치를 시행할 것입니다.
이러한 조치에는 적절한 경우 다음이 포함되어야 한다:
- 개인정보의 가명화 및 암호화;
- 처리 시스템 및 서비스의 기밀성, 무결성, 가용성 및 복원력을 지속적으로 보장할 수 있는 능력;
- 물리적 또는 기술적 사고가 발생한 경우, 개인 데이터의 가용성과 접근성을 적시에 복구할 수 있는 능력;
- 처리 과정의 보안을 보장하기 위한 기술적 및 조직적 조치의 효과성을 정기적으로 테스트, 평가 및 검토하는 절차.
V. 설계 및 기본 설정에 의한 데이터 보호
당사는 처리 방법을 결정할 때와 실제 처리 시 모두, 본 정책 제3조에 명시된 핵심 데이터 보호 원칙을 효과적으로 이행하고, 관련 법률의 요건을 충족하기 위해 필요한 안전장치를 처리 과정에 반영할 수 있도록, 가명화 등과 같은 적절한 기술적·조직적 조치를 시행하기 위해 합리적인 노력을 기울일 것입니다.
당사는 기본적으로 처리의 각 특정 목적에 필요한 개인정보만 처리되도록, 적절한 기술적 및 조직적 조치를 이행하기 위해 합리적인 조치를 취할 것입니다.
당사가 수행하는 일부 처리 활동은 개인의 사생활 및 권리와 자유에 대한 위험을 초래할 수 있으며, 관련 법률에서 요구하는 경우, 당사는 계획된 처리 활동이 개인정보 보호에 미치는 영향, 처리 목적에 비추어 볼 때 해당 처리 활동의 필요성과 비례성, 관련 개인의 권리와 자유에 대한 위험, 그리고 이러한 위험을 해소하기 위해 계획된 조치 등을 평가하기 위해 개인정보 처리 영향 평가를 실시할 것입니다.
VI. 개인정보 공개 방침
당사는 정당한 접근 목적이 있고 업무 수행을 위해 해당 개인정보에 대한 접근이 필요한 자에게만 접근을 허용하기 위해 합리적인 예방 조치를 취할 것이며, 해당되는 경우 적절한 보호 조치를 적용할 것입니다.
A. 그룹 내
슈페리어 에섹스 그룹 내에서 개인정보를 공유할 경우, 당사는 본 정책 제4조에 명시된 주요 개인정보 보호 원칙을 준수하기 위해 합리적인 조치를 취할 것입니다. 이를 위해 당사는 ‘글로벌 그룹 내 데이터 처리 및 이전 계약’을 마련해 두었습니다.
B. 제3자
당사가 제3자와 개인정보를 공유할 경우, 적절한 경우 실사를 수행하고, 개인정보의 무결성, 가용성 및 기밀성을 보장하기 위한 조항을 포함하는 적절한 계약상 또는 기타 보호 조치를 마련하기 위해 합리적인 조치를 취할 것입니다.
VII. 국제 데이터 전송 관행
당사가 개인정보를 다른 국가 또는 지역으로 이전할 경우, 당사는 원산국에서 해당 개인정보에 적용되는 보호 조치가 이전된 개인정보에도 동일하게 적용되도록 하고, 해당 이전이 관련 법률에 따라 이루어지도록 합리적인 조치를 취할 것입니다.
A. 그룹 내
당사는 유럽연합 집행위원회의 표준 계약 조항을 바탕으로 체결한 ‘글로벌 그룹 내 데이터 처리 및 이전 계약’에 따라, EEA 외부에 설립된 Superior Essex Group 계열사로 개인정보를 이전합니다. 경우에 따라 EU 표준 계약 조항과 같은 대체 데이터 이전 메커니즘을 이용하거나, 허용되는 법적 예외 조항에 근거하여 이전이 이루어질 수도 있습니다.
B. 제3자
EEA 외부에 소재한 제3자로의 데이터 전송은, 해당 제3국이 적절한 수준의 보호를 보장하거나, 자체 인증을 받은 미국 기관으로의 전송에 적용되는 ‘EU-미국 프라이버시 실드(Privacy Shield)’, 유럽연합 집행위원회의 표준 계약 조항, 구속력 있는 기업 규칙(Binding Corporate Rules), 승인된 행동 강령 및 인증과 같은 허용 가능한 데이터 전송 메커니즘을 활용하는 경우, 또는 허용되는 법적 예외 조항에 근거하여 예외적인 상황에서만 이루어져야 합니다.
VIII. 처리 기록
당사는 관련 법률에 따라 모든 처리 활동에 대한 최신 기록을 유지할 것입니다. 이러한 기록에는 최소한 다음 내용이 포함되어야 합니다:
- 개인정보 처리 책임자의 성명 및 연락처;
- 처리 목적 및 법적 근거;
- 데이터 주체의 범주 및 개인정보의 범주에 대한 설명;
- 개인 데이터가 공개되었거나 공개될 예정인 수령인의 범주(제3국 또는 국제기구의 수령인 포함);
- 개인 데이터를 국제적으로 이전하는 데 사용되는 이전 방식 및 해당 데이터가 이전된 국가/국제 기구;
- 각종 범주의 개인정보 삭제에 대해 예정된 기한; 및
- 개인정보를 보호하기 위한 기술적 및 조직적 보안 조치에 대한 일반적인 설명.
IX. 교육
당사는 직원들에게 당사의 데이터 보호 정책 및 절차에 대해 교육을 실시할 것입니다.
X. 감사
당사는 자체 평가 절차를 수립 및 유지 관리하고, 본 정책 및 관련 정책의 준수 여부를 감사하여 규정 미준수 사항을 완화하고 시정할 것입니다.
XI. 문의 및 불만 사항
본 정책과 관련하여 궁금한 점이 있으시면 개인정보 보호 담당자에게 문의해 주시기 바랍니다.
본 방침이 위반되었다고 판단하는 사람(정보주체를 포함)은 개인정보보호책임자에게 민원을 제기할 수 있습니다.
본 개인정보 처리방침에 대해 질문, 우려 사항 또는 의견이 있으시면 legal@spsx.com으로 이메일을 보내주시거나 770.657.6485로 연락해 주십시오. 서면 의견은 다음 주소로 보내주십시오: Superior Essex 법무부, 5770 Powers Ferry Road, Suite 400, Atlanta, GA 30327.
XII. 데이터 보호 네트워크
당사는 관련 법률 준수에 대한 책임을 경영진 수준에서, 사업부, 기능별 그룹 및 지역 전반에 걸쳐 배분하고 있습니다. 본 정책, 관련 데이터 보호 정책 또는 관련 법률과 관련된 요청, 문의 또는 불만 사항은 적절한 경우 글로벌 인사 담당 부사장에게 제기할 수도 있습니다. 글로벌 인사 담당 부사장은 해당 요청, 문의 또는 불만 사항과 관련된 슈페리어 에섹스 그룹 계열사의 지정된 개인정보 보호 책임자와 협의할 수 있습니다.
XIII. 관련 정책, 기준, 지침 및 참고 자료
관련 정책, 기준, 지침 및 참고 자료는 인트라넷을 통해 제공해 드리겠습니다.
XIV. 규정 미준수
본 정책 위반으로 인해 개인정보가 무단으로 사용되거나 유출될 경우, 해고를 포함한 징계 조치가 내려질 수 있습니다. 또한, 해당 개인은 민사적, 계약상 또는 형사적 책임을 질 수 있습니다.
XV. 본 정책의 변경
당사는 법률, 당사의 관행 및 절차의 변경, 또는 감독 당국이 부과하는 요건을 반영하기 위해 필요에 따라 본 정책을 수정할 권리를 보유합니다.
XVI. 윤리 강령
