관리자분들께 인사드립니다. GDPR 관련 주제를 많이(정말 많이) 찾아보았지만, 이 질문에 대한 답변이 있는 것 같지는 않았습니다. 중복된 질문이라면 죄송합니다.
저는 SSO를 사용하여 더 큰 멤버십 사이트에 연결된 Discourse를 운영하고 있습니다. 제 사이트의 멤버가 계정을 삭제할 경우 어떻게 해야 하는지 파악하려고 합니다.
일반적으로는 이렇게 말하겠습니다: 음, Discourse에 요청해서 해당 사용자의 Discourse 프로필을 익명화하면 해결됩니다. 게시물이 공개된 채로 남아있는 것은 괜찮을 것 같고, 제 서비스 약관(TOS)을 수정해서 제 사이트에서 계정을 삭제하면 공개 포럼 게시물이 익명 사용자 이름으로 남아있음을 명시할 것입니다. 그 정도는 괜찮아 보입니다.
하지만, 일주일 후 그 사람으로부터 GDPR에 근거하여 모든 데이터를 삭제해 달라는 이메일 요청을 받는다면 어떻게 해야 할까요?
이미 해당 계정을 익명화했기 때문에, Discourse에서 어떤 게시물이 그 사람이 작성한 것인지 어떻게 판단할 수 있을까요?
귀하의 데이터는 익명화된 데이터 풀에 포함되어 있어 제가 최선을 다해도 찾을 수 없습니다. 데이터 소유권을 입증해 주시면 기꺼이 삭제해 드리겠습니다.
이 작업은 사용자에게 큰 부담이 되므로 결국 흐지부지될 가능성이 큽니다. GDPR에 따르면, 사용자가 스스로 추적할 수 없는 경우에도 사용자를 잊고(forget) 그 사용자에게 귀속되거나 추적될 수 있는 모든 데이터를 삭제할 의무가 있습니다. 이는 해당 사안에 대한 매우 가벼운 해석이며, 법적 측면에서 정말로 우려된다면 항상 변호사(lawyer)에게 상담하는 것이 좋습니다.
네, 제가 정확히 생각하고 있는 것이 바로 그겁니다. 만약 누군가가 셀피나 전화번호를 게시한다면 어떻게 될까요? 사용자가 제 사이트에서 계정을 삭제하면, 그 (자동화) 과정의 일환으로 해당 사용자의 Discourse 계정이 익명화됩니다… 그리고 이틀 뒤, GDPR에 따른 데이터 삭제 요청을 받게 됩니다. 제 사이트에서 해당 사용자의 모든 개인정보를 삭제해야 하는 상황이죠. 그러면 저는 꼼짝없이 막히게 됩니다.
이 아이디어는 좋지만, 위에서 설명한 시나리오에서는 성립하지 않을 것 같습니다.
다른 옵션으로는, 익명화 대신 Discourse에서 해당 사용자를 완전히 삭제하는 것입니다. 물론 문제는 그러면 해당 사용자의 모든 이전 메시지가 사라져 토론 주제에 공백이 남게 된다는 점입니다. 음. 그것도 별로 마음에 들지 않네요.
음, 정확히 무슨 말씀인지 잘 모르겠습니다. Discourse가 익명화를 수행할 때 익명화된 사용자 이름을 반환한다는 말씀이신가요? 그렇다면… 각 익명화 작업과 익명화 전후의 사용자 이름을 기록하는 로그를 남겨 두면 기록을 확보할 수 있겠네요. 나쁜 아이디어는 아닌 것 같습니다.
아직 익명화되지 않은 멤버들의 모든 메시지를 삭제해 달라는 요청을 몇 번이나 받은 적이 있습니다… 그리고 현재는 월 2~3건 정도의 GDPR “잊혀질 권리” 요청을 정기적으로 받고 있습니다. 제가 유럽에 기반을 두고 유럽 출신 회원이 많다는 점, 그리고 제 커뮤니티가 사생활 보호에 대해 극도로 민감할 정당한 이유가 있다는 점을 고려할 때, "제 포럼 게시글은 어떻게 처리하나요?"라는 질문에 대해 잘 정리되고 잘 생각된 답변을 가지고 있는 것이 매우 중요하다고 생각합니다. 현재 저는 그 방법을 찾고 있습니다.
이 문제는 GDPR(일반 데이터 보호 규정)이 도입될 때 이미 인식되었기 때문에, 잊힐 권리(right to be forgotten)는 표현의 자유라는 기본권을 행사하는 데 필요한 경우(즉, 게시의 경우)에는 적용되지 않는다고 명시되어 있습니다(GDPR 제17조 제3항). 즉, 포럼 관리자는 원칙적으로 메시지 삭제를 거부할 수 있습니다. 사용자의 프로필이나 가입 정보는 해당 기본권의 범위 밖에 속하므로, 요청 시 삭제되어야 합니다.
친근한 알림입니다: Meta에서 활동하는 우리 대부분은 변호사가 아닙니다. 변호사인 일부 사용자에게도, 그 변호사는 _당신_의 변호사가 아닙니다. (Richard가 링크한 기사에 언급된) Arnoud 역시 당신의 변호사가 아닙니다.
GDPR 데이터 삭제 요청 처리의 기술적인 측면에 대해서는 기꺼이 논의할 수 있습니다. 커뮤니티 관리 측면에 대해서도 논의할 수 있습니다. 그러나 법률적 측면에 대한 답변은 제공할 수 없습니다. 이를 위해서는 변호사, 특히 _당신_의 변호사가 필요합니다. GDPR과 당신의 구체적인 상황을 모두 잘 아는 변호사여야 합니다. 여기에서 제공되는 정보는 법률 자문이 아니며, 법률 자문으로 간주되어서는 안 됩니다.