GDPR이란? AI 앱 빌더를 위한 쉬운 설명

GDPR(일반 개인정보 보호법, General Data Protection Regulation)은 유럽연합의 핵심 개인정보 보호법입니다. 조직이 개인정보, 즉 식별 가능한 살아 있는 사람에 관한 모든 정보를 수집, 사용, 보관, 공유하는 방식에 대한 규칙을 정하고, 사람들에게 자신의 데이터를 보고 삭제하도록 요구하는 등의 권리를 줍니다. 2018년 5월 25일부터 적용되고 있으며, EU 사람들에게 서비스를 제공한다면 EU 밖의 기업에도 적용될 수 있습니다.

법률 자문이 아닙니다. 이 가이드는 기본을 이해하고 더 나은 질문을 하도록 돕기 위한 일반적인 설명입니다. 여러분의 상황에 대한 자문을 대체하지 않습니다. 정확한 내용은 유럽 집행위원회의 개인정보 보호 페이지와 유럽정보보호이사회(EDPB)의 중소기업용 가이드를 참고하세요.

AI로 만들 때 GDPR이 중요한 이유

AI 빌더는 데이터를 수집하기 쉽게 만듭니다. 프롬프트 한 번으로 회원가입 양식, 문의 양식, 분석 도구, 파일 업로드, 모든 사용자를 나열하는 관리자 대시보드가 생깁니다. 이 각각은 개인정보를 수집하며, GDPR은 그 모든 것에 관심을 둡니다.

다행히 GDPR이 요구하는 대부분은 좋은 제품 관행이기도 합니다.

• 실제로 필요한 것만 수집하세요.
• 사람들에게 그 정보를 어떻게 쓰는지 알려 주세요.
• 안전하게 보관하세요.
• 더 이상 필요하지 않으면 삭제하세요.
• 사람들이 자신의 데이터를 보고, 고치고, 삭제할 수 있게 해 주세요.

이런 것들은 출시 후에 덧붙이기보다 처음부터 설계에 넣는 편이 훨씬 쉽습니다. 초기에 AI 빌더에게 올바른 질문을 해 두면 나중에 고통스러운 재작업을 피할 수 있습니다.

일상의 비유

개인정보는 사람들이 여러분에게 맡기고 가는 소지품과 같다고 생각해 보세요. 정보를 위한 물품 보관소입니다. GDPR은 그 물품 보관소의 운영 규칙입니다.

• 맡긴 사람이 동의한 것, 그리고 그들이 이해하는 이유가 있는 것만 받으세요.
• 다른 용도로 주머니를 뒤지지 마세요.
• 보관실을 잠가 두세요.
• 요청하거나 더 이상 필요하지 않을 때 돌려주거나 버리세요.
• 무언가 도난당하면 관련 기관에 즉시 알리세요.

물품 보관소 운영을 다른 사람에게 맡겼더라도, 맡겨진 동안 외투에 대한 책임은 여러분에게 있습니다.

핵심 개념

개인정보란 무엇인가

유럽 집행위원회는 개인정보를 식별되었거나 식별 가능한 살아 있는 개인과 관련된 모든 정보로 정의합니다. 범위가 넓습니다. 이름, 이메일 주소, 집 주소, IP 주소, 쿠키 ID, 사진이 모두 포함됩니다. 이름을 코드로 바꾸는 식으로 "가명 처리"된 데이터도, 다시 특정인과 연결될 수 있다면 여전히 개인정보입니다.

건강 데이터, 생체 데이터, 인종이나 민족 정보, 정치적 견해처럼 더 강하게 보호되는 범주도 있습니다.

적용 대상

집행위원회에 따르면, GDPR은 EU 내에 설립된 조직에 적용되며, EU 밖의 조직이라도 EU 내 사람들에게 (유료든 무료든) 상품이나 서비스를 제공하거나 그들의 행동을 모니터링하는 경우에 적용됩니다. EU 고객이 있는 미국이나 UAE의 스타트업은 적용 대상일 수 있습니다. 영국은 GDPR과 밀접하게 기반을 둔 자체 법인 UK GDPR을 가지고 있습니다.

원칙

GDPR은 짧은 원칙 목록을 바탕으로 합니다. 쉽게 말하면 다음과 같습니다.

법적 근거

개인정보를 사용하는 방식마다 법적 근거, 즉 "적법 근거"가 필요합니다. GDPR은 여섯 가지를 나열합니다. 동의, 계약 이행, 법적 의무, 생명 보호를 위한 이익, 공익 업무, 정당한 이익입니다. 동의는 그중 하나일 뿐입니다. 예를 들어 주문을 배송하기 위해 처리하는 것은 보통 동의가 아니라 계약에 따른 것입니다. 어떤 근거가 맞는지는 공식 지침과 대조해 확인해야 하는 판단입니다.

사람들의 권리

집행위원회는 개인에게 다음 권리가 있다고 설명합니다.

• 자신의 데이터가 어떻게 쓰이는지 알 권리
• 자신의 데이터에 접근할 권리
• 데이터를 정정받을 권리
• 데이터를 삭제받을 권리
• 처리를 제한받을 권리
• 데이터 이동권(사용 가능한 형식으로 받을 권리)
• 반대할 권리
• 자동화된 의사결정과 프로파일링에 관한 권리

데이터 유출

개인정보가 유출되고, 그 유출이 사람들의 권리와 자유를 위협할 가능성이 있다면, 조직은 일반적으로 부당한 지연 없이, 가능하다면 유출을 알게 된 시점부터 72시간 이내에 개인정보 보호 감독기관에 신고해야 합니다. 경우에 따라 영향을 받은 사람들에게도 알려야 합니다.

실제 예시: 요가 스튜디오 예약 앱

독일에 고객이 있는 요가 스튜디오의 예약 앱을 만든다고 해 봅시다. 이때 GDPR이 앱을 어떻게 설계하게 만드는지 보겠습니다.

더 적게 수집하세요. 회원가입 양식은 이름, 이메일, 선택 사항인 전화번호를 묻습니다. 첫 초안에서는 생년월일과 집 주소도 물었지만, 앱 어디에서도 쓰지 않으므로 삭제했습니다.

건강 데이터는 신중하게 다루세요. 스튜디오는 부상 여부를 묻고 싶어 합니다. 이는 더 엄격한 규칙이 적용되는 특별 범주의 건강 데이터입니다. 스튜디오는 이를 직접 대면으로 처리하기로 하고, 앱은 이를 수집하지 않습니다.

투명하게 알리세요. 개인정보 처리방침에는 무엇을 수집하는지, 왜 수집하는지, 얼마나 보관하는지, 다른 누가 처리하는지(호스팅 제공업체, 이메일 서비스, 결제 제공업체), 그리고 스튜디오에 어떻게 연락하는지가 설명되어 있습니다.

마케팅은 따로 두세요. 수업을 예약한다고 뉴스레터 구독이 되지는 않습니다. 마케팅 수신 동의는 별도의 체크되지 않은 체크박스로 받습니다.

앱 안에서 권리를 보장하세요. 고객은 프로필을 보고 수정할 수 있고, 예약 내역을 내려받을 수 있으며, 계정 페이지에서 삭제를 요청할 수 있습니다.

보관 기간. 비활성 계정은 일정 기간이 지나면 표시되고, 고객이 응답하지 않으면 삭제됩니다. 기간은 스튜디오가 정합니다.

쿠키. 로그인 쿠키는 필수입니다. 분석 도구는 방문자가 동의한 뒤에만 로드됩니다. 쿠키란 무엇인가를 참고하세요.

보안. 비밀번호는 해시되고, 관리자 영역은 이중 인증을 요구하며, 소유자만 고객 목록을 내보낼 수 있습니다.

주요 용어

흔한 실수와 오해

• "우리는 EU에 있지 않으니 적용되지 않는다." 이용자가 어디에 있는지에 따라 적용될 수 있습니다.
• "GDPR은 모든 것에 동의를 받아야 한다는 뜻이다." 동의는 여섯 가지 적법 근거 중 하나이며, 종종 올바른 근거가 아닙니다.
• "쿠키 배너를 띄우면 준수하게 된다." 쿠키는 아주 작은 부분입니다. 데이터 수집, 보안, 권리, 보관 기간이 더 중요합니다.
• "호스트가 GDPR을 준수하니 우리도 준수한다." 제공업체는 도울 수 있지만, 앱이 무엇을 수집하고 무엇을 할지는 여러분이 결정합니다.
• "혹시 몰라서" 수집하는 경우. 필드가 하나 늘 때마다 보호하고, 설명하고, 삭제해야 할 것이 하나 늘어납니다.
• 다른 사이트의 개인정보 처리방침을 복사하는 경우. 처리방침은 여러분의 앱이 실제로 하는 일을 설명해야 합니다.
• 삭제를 불가능하게 만드는 경우. 개발자 없이는 아무도 사용자를 삭제할 수 없다면, 권리 요청은 긴급 상황이 됩니다.

AI 빌더에게 요청할 내용

• "이 앱이 수집하는 모든 개인정보, 그것이 저장되는 곳, 그리고 그것이 필요한 이유를 나열해 줘."
• "우리가 쓰지 않는 양식 필드는 모두 제거해 줘."
• "사용자가 자신의 데이터를 보고, 수정하고, 내려받고, 삭제를 요청할 수 있는 계정 페이지를 추가해 줘."
• "사용자를 완전히 삭제하고, 함께 있는 관련 레코드도 삭제하거나, 보관해야 하는 레코드는 익명화하는 관리자 기능을 만들어 줘."
• "마케팅 수신 동의는 별도의 체크되지 않은 체크박스로 유지해 줘."
• "동의 전에는 분석 도구나 마케팅 스크립트를 로드하지 마."
• "사용자 데이터를 받는 모든 제3자 서비스를 나열해 줘. 개인정보 처리방침에 추가할 수 있도록요."
• "관리자 내보내기는 소유자 역할로만 제한하고, 누가 무엇을 내보냈는지 기록해 줘."

그다음 이용약관과 개인정보 처리방침 작성 방법과 쿠키 동의 추가 방법을 읽어 보세요.

Mythex와 GDPR

Mythex는 준수 인증서가 아니라 기반 도구를 제공합니다. 기능을 켜면 앱의 데이터는 프로젝트 전용 데이터베이스와 파일 저장소에 보관되며, 코드는 여러분의 것이고, Pro 플랜에서는 필요할 때 프로젝트를 내보내 다른 곳으로 옮길 수 있습니다. 앱이 무엇을 수집하고, 얼마나 오래 보관하며, 사람들이 권리를 어떻게 행사하는지는 여러분이 결정하고 에이전트에게 구축하도록 요청하는 사항입니다. Mythex가 무엇을 호스팅하는지는 데이터 소유권 문서 페이지에서 설명하며, 여러분이 만든 앱의 보안은 실제로 갖추지 않은 준수를 주장하지 말라고 경고합니다. 데이터가 어디에 호스팅되는지나 데이터 처리 계약 같은 구체적인 내용이 필요하다면, 출시 전에 Mythex 지원팀에 문의하세요.

자주 묻는 질문