강조는 제가 한 것입니다. 이전에 링크한 동일한 문서에서 가져왔습니다.
EDPB(유럽 데이터 보호 위원회)는 그러나 서비스 제공과 관련된 처리 활동에 관하여, 해당 조항은 EU 내 개인을 우연히 또는 부수적으로 대상으로 삼는 것이 아니라 의도적으로 대상으로 삼는 활동을 대상으로 한다고 보고 있습니다. 따라서 처리가 EU 외부 개인에게만 제공되는 서비스와 관련되더라도, 해당 개인이 EU에 진입할 때 서비스가 중단되지 않는 한, 관련된 처리는 GDPR의 적용 대상이 아닙니다. 이 경우 처리는 EU 내 개인에 대한 의도적 표적이 아니라 EU 외부 개인에 대한 표적과 관련되며, 이들이 EU 외부에 머물든 연합을 방문하든 관계없이 계속됩니다.
그렇지 않으며, 추측은 토론에 도움이 되지 않습니다.
그렇지 않습니다. 영국 정부는 2018년 데이터 보호법(Data Protection Act) 개정안을 통해 GDPR에 기반한 자체 법률을 시행했습니다:
데이터 보호법
데이터 보호법 2018은 기관, 기업 또는 정부가 개인의 정보를 어떻게 사용하는지 규제합니다.
데이터 보호법 2018은 영국의 일반 데이터 보호 규정(GDPR) 이행 법안입니다.
개인 데이터를 사용하는 데 책임이 있는 모든 주체는 '데이터 보호 원칙’이라 불리는 엄격한 규칙을 따라야 합니다. 이들은 정보가 다음과 같은 방식으로 처리되도록 해야 합니다:
- 공정하고, 합법적이며, 투명하게 사용되어야 함
- 명시적이고 구체적인 목적을 위해 사용되어야 함
- 적절하고, 관련성이 있으며, 필요한 최소한으로 제한되어 사용되어야 함
- 정확하고, 필요한 경우 최신 상태로 유지되어야 함
- 필요한 기간보다 오래 보관되어서는 안 됨
- 불법적이거나 무단 처리, 접근, 유실, 파괴 또는 손상에 대한 보호를 포함한 적절한 보안이 보장되는 방식으로 처리되어야 함
다음과 같은 더 민감한 정보에는 더 강력한 법적 보호가 적용됩니다:
- 인종
- 민족적 배경
- 정치적 의견
- 종교적 신념
- 노동조합 가입 여부
- 유전 정보
- 생체 인식 정보(식별 목적으로 사용되는 경우)
- 건강 정보
- 성생활 또는 성향
형사 유죄 판결 및 범죄와 관련된 개인 데이터에 대해서는 별도의 안전장치가 마련되어 있습니다.
당신의 권리
데이터 보호법 2018에 따라, 정부 및 기타 기관이 당신에 대해 어떤 정보를 저장하고 있는지 알 권리가 있습니다. 여기에는 다음 권리가 포함됩니다:
- 데이터가 어떻게 사용되는지에 대한 정보 제공을 받을 권리
- 개인 데이터에 대한 접근 권리
- 부정확한 데이터의 수정 권리
- 데이터 삭제 권리
- 데이터 처리 중단 또는 제한 권리
- 데이터 이전성(다른 서비스를 위해 데이터를 가져와 재사용할 수 있도록 하는 것)
- 특정 상황에서 데이터 처리 방식에 대한 이의 제기 권리
또한, 조직이 당신의 개인 데이터를 다음 목적으로 사용할 때에도 당신은 권리를 가집니다:
- 자동화된 의사결정 과정(인간의 개입 없이)
- 프로파일링, 예: 행동이나 관심사를 예측하기 위한 것
EU가 GDPR을 통과시킬 때 각 회원국은 해당 규정을 자국의 법률로 구체화해야 했다는 점을 기억하세요. EU 탈퇴는 이러한 국내법을 소멸시키지 않습니다.
즉, 이는 EU에 기반을 둔 기업들이 모든 사람에게 동일한 규칙을 적용해야 한다는 의미로 규제하는 것입니다. 이는 CDCK이 인도에서 온 사용자가 이탈리아로 여행할 때 GDPR을 준수해야 하지만, 같은 사용자가 스코틀랜드로 여행할 때는 그렇지 않아도 되는 것과 다른 개념입니다.
아이슬란드 요약 가이드입니다:
법률: 개인정보 보호 및 처리에 관한 법률 90/2018(‘本法’) 및 일반 데이터 보호 규정 (EU 2016/679 규정)(‘GDPR’)
감독 기관: 아이슬란드 데이터 보호 당국(‘Persónuvernd’)
요약: 아이슬란드는 유럽 경제 지역(‘EEA’) 회원국이지만 EU 회원국은 아닙니다. GDPR은 EEA 공동위원회 결정 제154/2018호에 의해 EEA에서 적용되며, 아이슬란드에서는本法를 통해 시행되었습니다.本法의 경과 규정에 따르면, 이전의 개인정보 보호 및 처리에 관한 법률 77/2000에 따라 발효된 모든 규칙과 규정은本法와 GDPR에 위배되지 않는 한 계속 유효합니다. Persónuvernd는 GDPR 및 아이슬란드의 데이터 처리에 관한 여러 지침을 발간한 활발한 감독 기관입니다.
제19조
박물관 패스 ID 카드 같은 경우라면 아마도 사실일 것입니다:
이 댓글에 감사드립니다. 제 의도는 법률 자문을 구하는 것이 아니라, 법이 어떻게 명시되어 있는지를 알고 싶었던 것입니다.
약관이나 조건에 대해 변호사와 상담하는 것이 현명할 수 있습니다. 제가 할 수 있는 일은 관련 정부 기관에 직접 약관을 선언하는 것뿐입니다.
제가 쓴 내용을 올바르게 이해했다면, 메타(Meta)에서는 법률 자문이 특별히 금지되어 있지는 않은 것 같습니다. 하지만 질문하는 사람과 답변하는 사람 모두에게 분명히 위험한 요소입니다. 법률 자문으로 간주될 수 있는 진술을 하는 경우 말입니다.
예를 들어, 판사나 배심원에게 "핀란드의 Jakke가 이렇게 말했지만, 그가 쓴 내용이 사실 전부가 아닌 것으로 드러났다"라고 한다면, Jakke는 이로 인해 문제가 생길 수 있습니다.
법원 서기실 직원들에게는 누구에게도 법률 자문을 해서는 안 된다는 특정 법률이 적용됩니다.
참고로, 내 마을의 주요 커뮤니티 네트워크는 내가 마지막으로 들은 바로는 핀란드의 한 관리자가 운영하고 있다고 합니다. 따라서 이 문제는 핀란드 법률에 부합해야 합니다.
그들은 오래된 이메일 뉴스레터 시스템을 사용하는데, 매일 아침 약 10통의 이메일을 발송하며, 웹사이트에 게시할 수 있는 내용들을 담고 있습니다. 하지만 이 내용들은 웹사이트에 공개적으로 게시되지 않으며, 오직 이메일로만 발송됩니다.
최근 그들에게 계정을 만들려고 시도해 봤을 때 아무 응답이 없었기 때문에, 그들의 시스템에 문제가 있을 수 있습니다. 제가 차단되었을 수도 있지만, 그렇다면 그 사실에 대해 통보를 받은 적이 없습니다.
마지막으로, 제가 이 주제에 대해 질문한 이유는 계정 삭제 또는 익명화를 원하는 사람들의 정보를 보존하고 싶어서가 아닙니다. 제 명의로 등록된 웹 도메인으로 법률을 위반한 경우를 제외하고는 말입니다. 그들이 사람들을 괴롭히거나 다른 문제를 일으켜서, 어떤 이유로든 경찰이나 검찰에 정보를 전달해야 하는 상황이 발생한다면 예외일 수 있습니다. 이는 최악의 시나리오에 불과합니다.
GDPR가 실제로 무엇을 규정하고 있는지 알고 싶다면, 가장 좋은 곳은 원문입니다 - https://gdpr.eu/
또한 이 법의 의미를 일반적인 요지로 정리해 주는 사이트들도 많이 있습니다. 표준 웹 검색 엔진을 통해 찾을 수 있습니다.
제 해석에 따르면, 임의의 인물(Discourse나 다른 곳에서)로부터 받는 법적 조언의 상태는 ‘매수인의 주의 의무’(caveat emptor, 즉 구매자가 알아서 할 것)입니다. EU의 민감한 개인 정보를 포함하는 시스템을 운영 중이라면, 법을 준수할 책임은 오직 당신(또는 당신의 회사)에게 있습니다. 잘못된 조언을 받아 따랐다가 그것이 틀렸음이 밝혀지면, 그 대가는 당신이 치르게 됩니다. 예를 들어, 시속 30마일 제한 도로에서 시속 100마일로 운전하다가 경찰에 적발되었다고 상상해 보세요. "임의의 인물 X가 이 도로에서 그 속도로 운전해도 된다고 말했다"고 말하면 경찰이 어떻게 반응할 것 같습니까? 조언을 받아도 그것이 정확한지 확인하는 것은 당신의 책임입니다. 만약 GDPR에 대한 법적 조언을 제공하도록 합의된 계약이 있는 임의의 인물 X와 계약 관계가 있더라도, 그것조차 방패가 되지 않습니다. 최소한 그 사람이 조언을 제공할 자격이 있는지 확인했어야 합니다.
퇴직하기 전 저는 사이버 보안 매니저였습니다. 사내 법률 고문과 GDPR 조정관과 함께 법의 모호한 부분들을 논의하며 너무도 긴 시간들을 보냈습니다. 그 경험을 통해, 이 법은 몇 마디로 요약할 수 없으며, 자신의 시스템이나 그 안에 포함된 정확한 데이터, 그리고 누가 어떤 이유로 데이터에 접근할 수 있는지 모르는 외부인이 제대로 고려할 수 없다는 것을 알게 되었습니다.
공공 도로법과의 비유가 좋다고 생각합니다. 말씀하신 대로 그 방식으로는 항변이 될 수 없다는 점에도 동의합니다.
법률은 정말 지루하고 혼란스러울 수 있습니다. 저는 몇몇 변호사들을 만나서 이야기해 본 적은 있지만, 유료로 법률 자문을 받은 적은 없습니다. 자문은 공식적인 도장이 찍힌 서한이라 해도 그 범위가 꽤 제한적입니다. 법원에서의 법적 절차를 완료하는 것이 더 중요하며, 때로는 이를 위해 변호사가 필요합니다.
차량과 관련된 더 극적인 예를 들자면, 만약 자동차 대여 업체가 고객에게 잘못된 정보를 제공했다면, 예를 들어 도로의 반대편으로 운전하라고 지시했다면, 그것은 또 다른 문제입니다.
공식 사이트 링크를 올려주셔서 감사합니다. 이전에는 검색으로 그 사이트를 찾지 못했거든요. 해당 사이트가 스위스의 Proton AG에 의해 운영된다는 내용이 명시되어 있다는 사실은 놀랍습니다. 스위스는 EU 회원국이 아니니까요.
메타에서 제시되는 조언은 다음과 같은 범주로 보는 것이 적절합니다:
“대부분의 도로에는 속도 제한이 있으며, 경찰이 이를 적극적으로 감시하고 있으니 주의하세요.”
“일반적으로 오른쪽으로 주행해야 합니다.”
“대부분의 EU 국가에서는 자전거를 타고 음주 운전을 하는 것도 금지됩니다.”
주제에서 좀 더 벗어난 이야기라 죄송합니다. 이번 주早些에 친구와 족보에 대해 이야기하고 있었거든요. 그 친구는 그의 고조숙부 중 한 분이 당나귀를 몰고 술에 취해 있다는 이유로 두 번이나 법정에 불려갔다고 했어요. 다시 본론으로 돌아가자면, 그의 전과 기록이 GDPR에 의해 보호되고 있기를 바랍니다 
이 주제는 게시글 안에 AI 요약을 포함하는 작은 실험을 해보기에 좋은 주제인 것 같습니다(다만 이번에는 수동으로 수행했습니다 
):
토론은 Wombat이 GDPR이 EU 내 사용자들에게만 적용되는지 묻는 1번 게시글로 시작되었습니다. Jagster는 2번 게시글에서 GDPR은 위치와 관계없이 EU 사용자를 가진 서비스/사이트를 규제한다고 명확히 했습니다.
Wombat은 3번 게시글에서 GDPR이 사용자 계정 삭제를 허용해야 한다고 이해하고 있다는 점을 언급하며 추가 질문을 했습니다. Jagster는 4번 게시글에서 GDPR 하에서는 완전한 삭제보다 비식별화(익명화)가 충분하다고 답변했습니다.
10~25번 게시글에서는 GDPR의 영토적 적용 범위에 대한 세부 사항이 논의되었으며, RGJ와 Jagster는 EU 내 물리적 존재 여부가 적용 여부를 결정하며 시민권은 결정하지 않는다고 명확히 했습니다.
Wombat은 16번 게시글에서 영국의 EU 탈퇴가 그곳의 GDPR에 영향을 미치는지 질문했습니다. Stephen은 26번 게시글에서 영국이 2018년 데이터 보호법 개정에서 GDPR 기반 법률을 도입했다고 설명했습니다.
Jagster는 27번 게시글에서 기업은 모든 사용자에게 동일한 규칙을 동등하게 적용해야 한다고 지적했습니다. 토론은 32~36번 게시글에서 RGJ와 packman이 비공식적인 GDPR 조언에 의존하는 것에 대한 경고로 마무리되었습니다.
9월 16일 AI로 요약
일부 게시글 병합으로 인해 게시글 번호가 약간 어긋난 것 같고, 당나구(의미상)도 포함되지 않았지만, 여기 있습니다.
법률 자문을 구하라는 이전의 언급을 반복할 가치가 있는 것 같습니다:
그 요약에서 A.I.가 범한 실수를 찾아보실 분 계신가요? 제가 발견한 것만 해도 최소한 하나 이상 있습니다.
약관 초안을 작성 중인데, 이렇게 하면 괜찮을 것 같습니다:
포럼에 공개적으로 게시되지 않은 모든 정보는 법원의 합법적인 절차에 협조하라는 법원 명령이 있는 경우를 제외하고, 회사 관리부에 의해 기밀로 유지됩니다. 요청 시 계정이 삭제되거나 익명 처리될 수 있습니다. GDPR 법에 따라 계정 삭제가 요청되면 개인 정보를 보존할 수 없으나, 관리부는 계정을 완전히 삭제하는 대신 익명 처리할 권리가 있으며, 이를 통해 공개된 댓글을 영구 기록으로 유지하게 됩니다.
회사에서 Discourse 시스템에 대해 GDPR을 준수해야 한다면, 반드시 전문가의 법률 자문을 구하는 것이 좋습니다. 삭제에 관한 약관(ToS) 문구는 준수 요건의 아주 작은 일부에 불과합니다.
또한 데이터 주체를 식별하고, 그들에 대해 어떤 개인 정보를 보유하고 있는지, 데이터가 어디서 출처가 되는지 어디로 전달되는지, 보유 중인 개인 데이터를 어떻게 처리/사용하는지, 그리고 해당 규정의 모든 적용 가능한 요건을 준수하는 방법에 대한 공식적인 절차를 마련해야 합니다.
아마도 더 많은 사항이 있겠지만, 마지막으로 이 분야에 관여한 지 4년 이상 되어 고통스러운 세부 사항들이 많이 잊혀져 있습니다.
이 문제를 해결하기 위해 변호사 몇 명을 찾아보겠습니다. 감사합니다.
처음 Discourse 호스팅으로 새 포럼을 설정했을 때, 일반적인 이용약관 문서가 함께 제공되었는데, 이는 좋은 시작점이 될 것 같아서 그 내용을 읽으며 일부는 수정해 왔습니다.
현재 변호사를 고용할 예산은 없지만, 법률 학위를 가진 전문가들이 공식적인 법적 문서를 검토해 주는 것이 분명히 좋은 아이디어일 것입니다. 예산이 마련되면 웹사이트 개발과 함께 여기 마켓플레이스 카테고리에서 관련 게시글을 올릴 수도 있습니다. 원래 질문은 이미 꽤 전에 답변이 되었으므로, 이 스레드를 닫아도 될 것 같습니다.
저는 이것이 AI 요약에서 발생한 오류라고 생각합니다. 제가 Jagster의 발언을 해석한 바로는, GDPR은 실제로 계정 소유자가 요청하는 경우 사용자 계정을 완전히 삭제해야 한다고 요구하지만, 이것이 반드시 완전히 사실인지는 의문입니다.
해석의 문제일 수 있습니다. 포럼 계정을 익명화하는 것이 일종의 계정 삭제 형태로 간주될 수 있기 때문입니다.
계정이 악의적인 목적으로 사용되고 있을 경우, 완전한 계정 자체 삭제를 허용하는 것은 위험이 될 수 있으므로, 일부 계정 기록을 유지해야 한다는 법률이 존재한다고 생각합니다.
어쨌든 좋은 논의 감사합니다. 여러분 모두에게 감사드립니다.
이 주제는 별도의 토론 스레드로 다루는 것이 더 적절할 수도 있지만, GDPR(일반 데이터 보호 규정)과 다소 관련이 있습니다.
특정 개인이 포럼 커뮤니티에서 문제를 일으켜 영구 정지 처분을 받았지만, 새로운 계정을 생성하려고 하는 상황을 생각해 보겠습니다.
해당 개인에게는 새 이메일 주소를 만들고, 도서관의 컴퓨터를 이용하거나 새로운 인터넷 서비스 제공업체를 등록하거나, VPN/Tor 네트워크를 통해 주소를 가리거나 하는 방식으로 새 IP 주소를 확보하는 것이 쉬울 것입니다.
Discourse 플랫폼에서는, 그 사람의 말투에서 명백한 단서가 드러나지 않는 한, 이전에 정지된 개인이 새로운 사용자 계정을 생성했다는 사실을 알 수 있는 방법이 없습니다.
포럼에 유료 구독(페이월)이 있는 경우, 카드나 기타 결제 수단을 통해 결제 시 개인의 법적 이름(성명)과 같은 일부 개인 정보가 수집됩니다. 페이월이 없더라도 포럼 정책상 이를 요구할 수 있습니다.
따라서 관리자가 해당 개인이 도메인에서 영구 정지되었다는 통보를 받은 후에도 동일한 사람이 더미(가짜) 계정을 생성하려 한다는 증거를 확보한 경우, 스토킹이나 통신 시스템 파괴 의도 등의 혐의로 법원에 고소장을 제출할 수 있습니다.
GDPR은 계정에 대해 어떤 문서를 유지할 수 있는지에 관련이 있을 수 있습니다. 심지어 정부 발행 신분증을 요구하는 것조차 불법일 수 있다는 언급이 있었는데, 이는 누군가의 신원을 확인하기 위한 목적을 넘어 그 기록을 보관하는 경우를 포함합니다.
카드 결제 처리 업체인 Stripe는 제게 신분증 제시뿐만 아니라, 그날의 날짜가 적힌 손글씨 메모와 신분증을 함께 들고 있는 셀카 사진을 촬영하도록 요구했습니다. 이는 매우 까다로운 요구였습니다. 이는 제 계정 이메일에 접근할 수 없었던 경우에만 발생했는데, Stripe의 보안 정책상 비밀번호 없이 로그인용 이메일을 변경하는 유일한 방법이 이메일이었기 때문입니다.
어쨌든, 변호사에게 질문할 수 있는 부분은 이러한 중요한 공식적인 법적 통지서를 어떻게 작성해야 하는지에 관한 것입니다.
계정을 만들 때 정부 발급 신분증 제출을 요구한다면, 가입자 수는 극히 적을 것이라고 생각합니다. 저는 그 방식이 포럼 가입을 완전히 포기하게 만들 것입니다. 모르는 개인이나 단체에게 신분증을 제공하지 않을 것이기 때문입니다. 더 중요한 질문은 "제가 신분증을 제공한다고 가정할 때, 그것을 안전하게 처리할 것이라고 확신할 수 있도록 당신은 나에게 당신이 누구인지 어떻게 증명할 것인가?"일 것입니다.
만약 제가 신분증을 제공하도록 설득되었다면, GDPR(유럽 일반 데이터 보호 규정)의 적용 대상이 될 가능성이 높다고 생각합니다.
불쾌한 경험을 주는 사용자는 불행히도 현실적인 문제입니다. 20년 넘게 포럼을 운영해 오면서 단 몇 명만 금지 조치를 취해야 했으니 운이 좋았다고 할 수 있지만, '불쾌한 사용자’에 대한 표준적인 정의는 없습니다. 기억나는 사용자가 세 명 있습니다…
한 사용자는 금지 조치를 받고 이를 받아들여 멀리 있었습니다. 몇 년 후, 규칙을 지킬 것을 약속하면 다시 들어와도 되는지 물었습니다. 재가입이 허용되었지만, 결국 누군가와 논쟁을 벌이면서 다시 문제를 일으키기 시작했습니다. 그는 금지 조치를 받거나 퇴거를 요구받지 않은 채로 스스로 계정을 삭제했습니다.
다른 한 사용자는 금지 조치를 받았지만, 다른 정보로 몰래 다시 들어왔습니다. 재가입 후 수년이 지나서야 이 사실을 알게 되었고, 그는 재가입 후 모범적인 포럼 시민으로서 활동하고 있었습니다.
세 번째로 기억나는 사용자는 금지 조치에 불만이 많았습니다(다른 대부분의 사용자는 그렇지 않았습니다). 그는 여러 차례 다른 정보로 재가입했습니다. 재가입하여 문제를 일으키는 것의 문제는, 곧바로 눈에 띄어 다시 금지 조치를 당하기 쉬운 표적이 된다는 점입니다. 그는 5~6회 정도 재가입한 후 지루해졌고, 그 이후로는 모습을 보이지 않았습니다. 이 유형의 사용자에 대해서는 같은 사람인지 여부가 중요하지 않습니다… 누군가가 정책을 위반하여 금지 조치가 필요한 방식으로 문제를 일으킨다면, 같은 사람이든 아니든 금지 조치를 취해야 합니다.
네, 그걸 할 계획은 없어요. 특히 이유를 모르겠지만 불법이라서 더더욱요. 두 가지 다른 주제에 대해 혼동스럽게 쓴 마지막 게시글에 대해 죄송합니다.
당신의 친구의 고모부(또는 삼촌)와 당나귀에 관한 이야기, 정말 멋진 이야기네요! 길리너를 사려고 해도 신분증을 보여줘야 한다는 점이 정말 짜증나네요.
지금은 GDPR에 대해 너무 걱정할 필요는 없을 것 같아요. 제 포럼은 EU 국가에 열려 있지만, 관리자가 계정 이메일을 변경해 달라는 요청이 들어오는 경우(예: 계정 접근 권한을 잃은 경우)를 제외하고는 법적 이름이나 기타 정보를 요청할 이유는 없으니까요.
서부 해안 지역의 정부들은 많이 다릅니다. 새로운 정부들은 아직 200년밖에 안 되었거든요!
원주민 부족들은 독립적인 정부와 사법 체계를 가지고 있으며, 그곳의 주택 프로젝트에서 협력하기를 희망합니다. 많은 난민들이 피난처가 필요하거든요.
기업과 개인에 대한 규정은 완전히 다릅니다. 저는 더 이상 완전히 익명을 유지할 수 없어요.
Stripe Terminal은 여전히 많은 EU 국가에서 베타 버전입니다:
