GDPR이란?

다루는 범위

일반 개인정보 보호 규정(GDPR)은 개인 데이터의 처리에 적용됩니다. 제4조(1)은 개인 데이터를 식별되었거나 식별 가능한 자연인에 관한 모든 정보로 정의하며, 여기에는 이름, 식별 번호, 위치 데이터, 온라인 식별자가 포함됩니다. 전화번호나 계정에 연결된 음성 녹음과, 이름이 언급된 전사는 모두 이 정의에 속합니다.

제3조가 적용 범위를 정합니다. EU 내 컨트롤러나 프로세서의 사업장 활동 과정에서 이루어지는 처리에는 처리가 어디에서 이루어지든 적용됩니다. 처리가 EU 내 사람들에게 상품이나 서비스를 제공하거나 그들의 행동을 모니터링하는 것과 관련될 때는 EU 밖의 컨트롤러나 프로세서에도 적용됩니다. 따라서 유럽 밖의 회사가 유럽 고객의 전화를 받는다면 적용 대상이 될 수 있습니다.

두 가지 역할이 중요합니다. 컨트롤러는 처리의 목적과 수단을 정합니다. 프로세서는 컨트롤러를 대신해 개인 데이터를 처리합니다(제4조(7), (8)). 음성 에이전트를 도입하는 기업은 보통 컨트롤러이고, 사용하는 플랫폼과 음성 벤더는 흔히 프로세서입니다.

요구 사항

• 제5조는 원칙을 정하며, 데이터는 목적에 필요한 기간을 넘어 식별 가능한 형태로 보관해서는 안 된다는 원칙도 포함됩니다(제5조(1)(e)).
• 제6조(1)은 처리의 적법 근거 여섯 가지를 열거합니다. 동의, 계약, 법적 의무, 생명 보호 이익, 공익, 정당한 이익입니다. 컨트롤러는 목적마다 적어도 하나가 필요합니다.
• 제9조는 명시적 동의 같은 예외가 적용되지 않는 한, 개인을 고유하게 식별하는 데 쓰이는 생체 데이터와 건강에 관한 데이터의 처리를 금지합니다.
• 제13조는 컨트롤러가 데이터를 수집하는 시점에 자신이 누구인지, 왜 데이터를 처리하는지 사람들에게 알리도록 요구합니다.
• 제22조는 법적 효과나 이에 준하는 중대한 영향을 주는, 오로지 자동화된 처리에만 기초한 결정의 대상이 되지 않을 권리를 사람들에게 줍니다.
• 제28조는 컨트롤러와 프로세서 사이에, 특히 프로세서가 문서화된 지시에 따라서만 행동하도록 하는 계약을 요구합니다.
• 제44조부터 제49조는 해당 장의 조건이 충족될 때만 개인 데이터를 EU 밖으로 이전하도록 허용합니다.
• 제83조(5)는 기본 원칙, 정보 주체의 권리, 이전 규칙을 위반하면 2천만 유로 또는 전 세계 연간 매출액의 4% 중 높은 금액까지 과징금을 부과할 수 있게 합니다.

이 규정은 일반적인 “GDPR 인증” 지위를 만들지 않습니다. 제42조는 승인된 인증 메커니즘을 허용하며, 제42조(4)는 인증이 컨트롤러나 프로세서의 책임을 줄이지 않는다고 말합니다.

음성 에이전트에 주는 의미

통화가 만들어내는 모든 것에 적법 근거를 하나씩 고르고, 발신자에게 일찍 알리세요. 통화 시작 때 짧은 음성 고지를 하는 것도 그래서 흔합니다. 녹음과 전사를 얼마나 오래 보관할지(데이터 보존)와 벤더가 아예 아무것도 저장하지 않는지(제로 데이터 보존)를 정하세요.

오디오가 어디로 가는지 확인하세요. 음성 벤더, LLM 제공자, 통신사는 각각 다른 나라에서 통화를 처리할 수 있고, 각각이 계약이 필요한 프로세서입니다. 에이전트가 목소리로 발신자를 식별한다면 그것은 생체 데이터 처리이며 제9조의 문제가 생깁니다. 벤더의 SOC 2 보고서는 보안 통제에 관한 것이지 제28조 계약을 대신하지 않습니다. 각국의 통화 녹음 규칙은 별개의 층입니다. 통화 녹음 동의를 참고하세요. 인프라 관점은 온프레미스 음성 AI 가이드를 읽어 보세요.

법무 담당자에게 물어볼 질문

1. 우리 사용 사례에서 통화를 녹음하고 전사하는 데는 어떤 적법 근거가 맞는가?
2. 우리는 컨트롤러인가, 프로세서인가, 둘 다인가? 우리의 프로세서와 하위 프로세서는 누구인가?
3. 오디오나 전사를 EU 밖으로 옮기는 단계가 있는가? 그것을 어떤 이전 메커니즘이 보장하는가?
4. 화자 식별이나 음성 인증은 우리에게 생체 데이터 처리에 해당하는가?
5. 에이전트의 결정 중 제22조를 발동시키는 법적 효과나 이에 준하는 중대한 영향을 주는 것이 있는가?

관련 용어

• 데이터 보존
• 제로 데이터 보존
• HIPAA
• SOC 2

가이드

• 온프레미스 음성 AI의 개념과 작동 방식

출처

• Regulation (EU) 2016/679 (General Data Protection Regulation), EUR-Lex