GDPR의 경우, 이는 EU에 거주하는 사용자들에게만 적용되는 거라고 생각하는데, 맞나요?
1개의 좋아요
GDPR는 서비스가 어디에 위치하든, EU 사용자를 보유한 서비스/사이트를 규제합니다. 적어도 이론적으로는 그렇습니다.
물론 관리자가 EU 시민에게는 다른 규칙을 적용하는 시스템을 구축할 수는 있습니다. 하지만… 왜 그렇게 해야 할까요? GDPR은 실제로 매우 좋은 시스템이며, 전 세계적으로 도입되어야 합니다.
4개의 좋아요
GDPR에 대해 많이 알지는 못하지만, EU 회원국이 한두 명만 있어도 사이트에서 규정을 준수해야 한다는 점은 참고할 만합니다.
제 이해로는 GDPR의 주요 목적이 개인 프라이버시 보호에 있으므로, 사용자가 자신의 계정을 삭제할 수 있도록 허용하거나, 그러한 요청을 승인하는 데 찬성합니다. EU 거주자가 포함된 어떤 디스커스 포럼은 사용자에게 계정 삭제 서비스를 제공하지 않는 것으로 알고 있는데, 이는 GDPR이 항상 계정 삭제를 요구하는 것은 아니라는 점을 시사합니다.
계정 삭제를 항상 허용하는 것이 좋은 아이디어가 아닐 수 있는 주요 이유는, 포럼이 단순한 잡담의 장이 아닌 어떤 목적을 가지고 있다면, 사람들이 게시하는 내용에 대한 책임 소재가 명확해야 하기 때문입니다.
특히, 도서관 회원증을 발급받을 수 있는 누구나 가입할 수 있는 공개 포럼의 경우, 누군가가 해당 관할권에서 법 집행 기관의 검토와 대응이 필요한 내용을 게시할 수 있습니다.
1개의 좋아요
그렇습니다. 하지만 그것이 사용자가 직접 삭제를 할 수 있다는 의미는 아닙니다. 누군가 규칙을 따르지 않는 것은 완전히 다른 문제이지만요.
하지만, 제가 말했듯이 이론적으로는 그렇습니다. EU는 작은 물고기보다는 큰 물고기를 노립니다. 그래서, 미국이나 아시아의 사이트가 규정을 따르지 않더라도 EU로부터 법적 조치를 받지 못할 수 있다고 할 수 있습니다. 하지만 다시 말하지만… 왜 누군가는 스팸을 조금 보내는 것을 좋아한다고 해서 페이스북이나 X와 같아져야 하는 걸까요?
2개의 좋아요
그것은 변호사와 상의하여 결정해야 할 사항입니다. 여기서는 그 수준의 조언을 드릴 수 없으며, 근거 없는 진술을 할 때 주의해 주시기를 부탁드립니다.
우리가 말해 드릴 수 있는 것은, 사용자가 개인 정보 삭제를 요청한다고 해서 반드시 게시글까지 삭제해야 하는 것은 아니라는 점입니다. Discourse에는 뛰어난 익명화 기능이 있어, 커뮤니티 콘텐츠의 품질에 부정적인 영향을 주지 않으면서도 많은 경우 GDPR 요구사항을 충족할 수 있습니다.
12개의 좋아요
오, 흥미롭네요.
이전에 이 부분을 읽고 그렇게 생각했었는데, 말씀하신 대로 GDPR 요건을 충족한다고 하는 익명화와 일치하는 것 같습니다:
계정은 삭제할 수 없습니다. 언제든 계정을 사용하지 않을 수 있습니다. 유료 회원인 경우, 청구 주기 종료 시 구독을 취소하여 무료 구독자로 전환할 수 있습니다. 그러나 사이트와 커뮤니티의 무결성을 보호하기 위해 액세스 로그는 기록으로 보관되며, 요청에 따라 댓글은 삭제되지 않습니다. 대신 프로필 정보(자기소개, 표시 이름 등)를 수정하거나 삭제하는 것은 자유롭습니다.
(이것은 제가 관계가 없는 사이트에서 가져온 내용이며, 제 포럼에는 아직 회원이 없습니다.)
GDPR이 전 세계적으로 채택되어야 한다는 주장에 반드시 동의하지는 않습니다. 다만, 이 문제에 대해 제가 많이 아는 것도 아니지만요.
사용자가 요청할 경우 포럼 계정을 삭제하거나 익명화할 수 있도록 하는 것은 찬성합니다. 하지만 게시글 수가 많은 계정의 익명화는 누군가의 신원을 숨기는 데 효과적이지 않을 수 있습니다.
한 가지 방법은 포럼 게시글에 개인 정보를 포함하지 않는 정책을 강제하는 것입니다.
제 회사는 미국에 기반을 두고 있지만 메일 서버는 스위스와 독일에서 사용하고 있으므로, 이것이 GDPR에 영향을 미치는지 확실하지 않습니다.
독일 메일 회사에는 다음과 같은 법적 고지가 게시되어 있습니다:
스위스:
Proton은 때때로 개인정보처리방침에 명시된 바와 같이 스위스 당국에 특정 사용자 정보를 공개하도록 법적 강제력을 행사받을 수 있습니다. 이는 스위스 법이 위반된 경우 발생할 수 있습니다. 개인정보처리방침에 명시된 바와 같이, 모든 이메일, 파일 및 초대장은 암호화되어 있으며 우리는 이를 복호화할 수단이 없습니다.
스위스 형법 제271조에 따라 Proton은 외국 당국에 직접 데이터를 전송할 수 없으며, 따라서 외국 당국으로부터의 모든 요청을 거부합니다. 스위스 당국은 국제적인 법적 협조 절차에 따라 유효하다고 판단되고 스위스 법에 부합한다고 결정된 경우에만 외국 당국의 요청에 대해 때때로 협조할 수 있습니다. 이러한 경우에도 합법성의 기준은 여전히 스위스 법에 기반합니다. 일반적으로 스위스 당국은 인권 침해 전력이 있는 국가의 외국 당국에는 협조하지 않습니다.
Discourse에서 대부분의 게시글을 삭제하거나 편집할 수 있는 기능이 영구적인 것 같다는 점을 알아차렸습니다. 기본 설정에서는 그런 것 같은데, 이를 변경할 수 있는 방법이 있는지 모르겠습니다. 다른 종류의 포럼에서는 게시글이 동결되기 전 1시간 동안만 편집할 수 있도록 설정을 변경한 경우를 본 적이 있습니다.
누군가 특정 게시글의 삭제를 요청했지만 사이트 관리자가 거부하는 경우 분쟁이 발생할 수 있어 보입니다. 이러한 문제는 관여된 국가에 따라 개별적으로 처리되어야 할 수도 있습니다.
CERN의 이 통계는 인상적입니다. 2022년과 2021년 모두 1,000건 이상의 법적 명령에 대해 이의가 제기되었습니다!
1개의 좋아요
여기에는 (최소) 네 가지 서로 다른 상황이 동시에 일어나고 있습니다.
네, EU 사용자를 보유하고 있다면 관리자/소유자로서 GDPR을 준수해야 합니다.
EU 사용자가 없지만, 메일이나 호스팅에 유럽 회사를 사용 중인 경우, GDPR을 직접 준수할 필요는 없습니다. 하지만 해당 유럽 회사들은 귀하가 EU에 있든 없든 GDPR을 준수해야 합니다.
아니요, GDPR은 게시물과 댓글의 삭제를 강제하지 않습니다. 비식별화(Anonymization)만으로도 충분합니다. 그리고 백업을 수정할 필요도 없지만, 백업은 절대적으로 필요한 기간 동안만 보관할 수 있습니다. 따라서 1년에서 5년 된 백업을 쌓아두면서 그것이 괜찮다고 주장하는 것은 하지 마세요 
GDPR은 개인 정보를 규제합니다. 무엇을, 어떻게, 어떤 목적으로, 얼마나 오래 질문하고, 저장하고, 사용할 수 있는지를 규정합니다. CDCK는 제 IP를 저장할 수 있습니다(아직 나를 식별할 수 있는 민감한 개인 정보는 아닙니다). 또한 이름과 국적을 물어볼 수도 있습니다. 하지만 도로 주소는 규제 대상 정보에 해당하며, 여권이나 운전면허증 사본을 보내달라고 요구하는 것은 대부분의 경우 명백한 금기 사항입니다.
크게 소리 내어 말하기는 조금 미안하지만, 미국 서비스들, 여기서 서비스란 관리자를 의미합니다, 유럽의 관점에서 보면 정말로 거대하고 탐욕스러운 문제입니다. 마케팅과 판매라는 명목으로, 개인의 모든 행동을 추적하려는 솔루션을 사용해 스팸을 보내는 것은 매우 미국적인 방식입니다. 그리고 미국인들이 얼마나 강하게 독립과 '내 집은 내 성(城)'을 주장하는지, 그 점은 항상 매우 흥미로웠습니다.
네. 다시 완전히 주제에서 벗어났네요. 그리고 구조적으로 Discourse는 사람들의 가상적 개인 공간을 침해하도록 설계되지 않았습니다. Discourse는 실제로 Mastodon과 비슷하며, 상당한 수준의 책임감 있는 방식으로 작동하도록 계획되어 있습니다. 그리고 비식별화는 그 일부입니다(로그인이 없는 경우 원하는 시간 경과 후 자동 삭제 기능도 포함됩니다. 이는 CDCK의 B2B 고객들이 필요로 하므로 칭찬할 만합니다).
GDPR은 개인을 식별할 수 있는 개인 정보의 문제입니다. 주제나 댓글 자체와는 무관합니다.
3개의 좋아요
작성해 주셔서 감사합니다. 유용한 정보네요.
미국 기업 중에는 확실히 크고 탐욕스러운 곳도 있지만, 이 중 대부분은 물론 유럽인들이 만든 것입니다.
네덜란드 동인도회사가 가장 나쁘죠.
제 사이트는 주로 도로 주소가 없는 사람들을 위한 것입니다. 하지만 미국과 캐나다 모두에서 건축 인허가를 받으려면 주소가 필수입니다.
트럭이나 선박으로 이동할 수 있는 제조 주택을 제외하고, 제 계획은 그 주택들을 지은 뒤 판매하는 것입니다. 판매가 완료되면 구매자가 영구 주소로 등록할 수 있지만, 이는 선택 사항입니다.
어쨌든 GDPR로 돌아가서, 다른 사이트의 포럼에서 인용한 이 고지서는 기술적으로 위반에 해당할 수 있지만, 그것은 유료로 상담해야 할 변호사의 영역입니다.
이 주제에 대해 마지막으로 언급할 것은, 이는 읽어서 답변하도록 작성된 질문들에 특히 관한 것이며, 구어와 서면은 법적으로 다를 수 있다는 점입니다.
미국에는 연방거래위원회(FTC)가 있습니다. 이는 제가 미국에서 GDPR과 가장 유사하다고 생각하는 기관입니다. GDPR이 유럽의 사람들을 보호하는 것과 마찬가지로, FTC의 목적도 '미국 소비자 보호’에 있지만, EU 시민이 아닌 사람들에게 도움을 제공할 것이라고는 생각하지 않습니다.
포럼에 관한 정책이 어디에 게시되어 있는지 찾고 있습니다. 정확한 위치를 모르겠습니다. 사이트 관리자가 요청 시 관련 내용을 삭제하지 않을 경우, 특히 포럼 게시글에 개인 정보가 포함되는 것에 대한 요구 사항이 있을 것으로 생각합니다.
이를 집행하는 FBI 부서는 다음과 같습니다:
- GDPR은 EU 내에 있는 사람들에게 적용됩니다. 물리적으로 EU 내에 있지 않다면 GDPR이 귀하에게 적용되지 않습니다.
- 참고로 스위스는 EU 회원국이 아닙니다.
2개의 좋아요
답장 주셔서 감사합니다. 스위스가 EU 회원국이 아니라는 사실은 몰랐습니다.
영국도 더 이상 회원국이 아니죠?
브렉시트 투표는 제가 암스테르담 대학교에 다닐 때 진행되었습니다. 그 대학은 귀교와 파트너십을 맺고 있어서 네덜란드 학생증을 가지고 있었지만, 지금은 만료되었습니다.
마지막 질문은, EU 회원국 국민이어야만 자격 요건을 충족할 수 있는지에 대한 것입니다.
아니요. 하지만 사용자는 EU에 거주하고 주소를 가져야 합니다.
즉, EU 비회원국 국적이신 분이 평생 동안 쌓아온 연차를 소진하여 파리에서 2주 여행을 가신다면 GDPR을 따를 필요가 없습니다.
이는 여러분이 원하시는 모든 개인 정보를 수집하고 저장할 수 있으며, 옵트아웃(opt-out) 방식의 스팸 멤버십을 사용할 수 있고, 어떤 것에 대해서도 동의를 구할 필요가 없다는 뜻입니다. 그리고 EU는 그 어떤 것도 신경 쓰지 않습니다.
사실… GDPR이 무서운가요? 데이터를 적절하게 처리하고 사용자의 기본 프라이버시를 존중하며, 무엇을 얼마나 오래 저장하는지 알리고 투명성과 개방성을 유지한다면 GDPR을 준수하게 됩니다. 그렇게 한다면 누가, 어디서, 왜 그런지를 걱정할 필요가 없습니다.
영국은 여전히 GDPR 스타일의 규정을 유지하고 있습니다. 따라서 광고 관리자나 기업으로서 우리는 원하는 대로 옵트인(opt-in)하거나 따를 수 없습니다. 그리고 AFAIK(제가 아는 한) 스위스도 GDPR 규정을 따르고 있으며, 노르웨이도 확실히 GDPR 규정을 따르고 있습니다. 이 두 나라도 EU에 속하지 않는데 말이죠.
1개의 좋아요
그 당시 당신은 GDPR(일반 데이터 보호 규정)의 보호를 받았습니다.
GDPR를 두려워하는 것은 아니에요. 다만, 그들의 정책이 무엇인지 명확하지 않았을 뿐입니다.
포럼에서의 법적 조언은 다소 위험할 수 있다는 점을 유념해 주세요. 제가 아는 한, 여기에 답글을 남긴 사람들 중 변호사는 없으며, 누구도 공식적인 법적 조언을 제공하지는 않습니다.
GDPR 관할권에 관한 미묘한 문제를 해결하려면 변호사와 상담하시는 것을 권장합니다.
10개의 좋아요
더 넓게 말하면, 사용자는 EU 내에 있어야 합니다. 거주민일 필요는 없습니다.
본 규칙은 연합(Union) 내에 있는 데이터 주체의 개인 정보 처리에 적용됩니다.
글쎄요, 이 부분은 다소 모호하지만, 다행히 Recital 14가 이를 좀 더 명확히 해줍니다:
본 규칙이 제공하는 보호는 데이터 주체의 국적이나 거주지와 관계없이, 그들의 개인 정보 처리에 관련하여 자연인에게 적용되어야 합니다.
하지만 여전히 모호할 수 있으므로, 매우 명확한 추가 가이드라인이 있습니다. 바로 GDPR의 영토적 적용 범위에 관한 가이드라인 3/2018 (제3조) 2.a 섹션입니다.
제3조(2)항의 문구는 “연합 내에 있는 데이터 주체의 개인 정보”를 언급합니다. 따라서 타겟팅 기준의 적용은 처리되는 개인 정보를 가진 데이터 주체의 시민권, 거주지 또는 기타 법적 지위로 제한되지 않습니다.
(…)
데이터 주체가 연합 영토 내에 위치하는 것은 제3조(2)항에 따른 타겟팅 기준 적용을 위한 결정적 요인이나, (…) 데이터 주체가 연합 내에 위치하는지 여부는 관련 트리거 활동이 발생하는 시점에 평가되어야 합니다.
따라서 파리에서 휴가를 보내는 미국 시민은 그 체류 기간 동안 GDPR의 적용 대상이 됩니다 - 단, 체류 중 시작된 서비스의 경우에만 해당됩니다. 기존 미국 휴대전화 계약이 갑자기 GDPR의 적용 대상이 되는 것은 아닙니다.
1개의 좋아요
미국의 T-Mobile은 유럽에서도 서비스를 제공하지만, 2개월 후에 해당 서비스가 단기 이용 전용이며 유로존 내에서 2~3개월을 초과할 수 없다는 알림을 받았습니다.
그건 GDPR과 관련이 있어 보이지 않아요.
2개의 좋아요
글쎄요, 그렇지 않을 수도 있겠지만, 미국 휴대폰 약정이 프랑스나 유럽의 다른 국가로 여행하는 사람에게 GDPR의 적용 대상이 아니라는 당신의 발언에 대한 답변이었을 뿐입니다.
이는 유럽에서 제공되는 모든 서비스가 GDPR의 적용 대상이라는 이전의 다른 사람들의 발언과 모순됩니다.
핵심은 서비스가 유럽에서 시작되는지 아닌지에 있습니다.
T-Mobile 또는 기타 미국 통신사들이 GDPR이나 기타 규정으로 인해 유럽에서 서비스를 제공할 수 있는 일수가 제한된 특정 약정을 가지고 있을 수 있습니다.
국제 통화를 피하기 위해 여행지의 국가코드를 가진 현지 전화번호를 가지는 것이 도움이 됩니다.
어쨌든 저는 누구에게도 법적 조언을 구하고 있지 않으며, 더 이상 언급하지 않겠습니다.