미국에 본사를 둔 한 온라인 쇼핑몰은 유럽 고객의 브라우징 행동을 추적하고 향후 구매를 예측하기 위해 정교한 소프트웨어를 사용합니다. 또한 이 정보를 제3자와 공유합니다. GDPR에 따라 이러한 유형의 프로파일링에 참여하는 온라인 쇼핑몰의 주요 의무는 무엇입니까?
정답: A
GDPR은 프로파일링을 개인의 선호도, 행동 또는 관심사와 같은 특정 개인적 측면을 평가하기 위한 모든 형태의 자동 개인 데이터 처리로 정의합니다.1 프로파일링은 적법성, 공정성, 투명성, 목적 제한, 데이터 최소화, 정확성, 저장 제한, 무결성 및 기밀성과 같은 GDPR의 일반 원칙과 규칙의 적용을 받습니다.2 GDPR은 또한 프로파일링의 대상이 되는 정보 주체에게 정보를 받을 권리, 접근 권리, 수정 권리, 이의 제기 권리, 그리고 프로파일링을 포함한 자동 처리에만 기반한 결정이 자신에게 법적 또는 이와 유사하게 중대한 영향을 미치는 경우 그 결정을 받지 않을 권리와 같은 구체적인 권리를 제공합니다.3
주어진 시나리오에서 온라인 상점은 유럽 고객의 탐색 행동을 추적하고 향후 구매를 예측하여 프로파일링을 수행하고 있습니다. 또한 이 정보를 제3자와 공유하고 있으며, 여기에는 개인 데이터의 추가 처리가 포함될 수 있습니다. 따라서 온라인 상점은 프로파일링에 대한 GDPR 요구 사항을 준수하고 처리에 대한 유효한 법적 근거를 확보해야 합니다. GDPR 제6조에 따르면 개인 데이터 처리에는 동의, 계약, 법적 의무, 중대한 이익, 공익 또는 정당한 이익의 여섯 가지 가능한 법적 근거가 있습니다.4 그러나 이러한 근거 모두가 프로파일링 활동에 동등하게 적용되거나 적절한 것은 아니며, 특히 생체 인식, 유전 또는 건강 데이터와 같이 GDPR 제9조에 따라 추가적인 안전 조치가 필요한 민감하거나 특수한 범주의 데이터가 관련된 경우 더욱 그렇습니다.5
이 경우, 온라인 상점의 프로파일링에 대한 가장 관련성 있고 적합한 법적 근거는 동의입니다. 이는 정보 주체가 하나 이상의 특정 목적을 위한 개인 데이터 처리에 대한 명확하고 긍정적인 동의 의사를 표시했음을 의미합니다.6. 동의는 자유롭고, 구체적이며, 정보에 기반하고, 모호하지 않아야 하며, 처리가 시작되기 전에 얻어야 합니다.7. 온라인 상점은 또한 정보 주체에게 프로파일링의 성격과 목적, 관련된 논리, 결과 및 이와 관련된 정보 주체의 권리에 대해 알려야 합니다. 또한 정보 주체가 언제든지 동의를 철회하고 프로파일링에 이의를 제기할 권리를 존중해야 합니다.
따라서 온라인 상점이 이러한 유형의 프로파일링을 수행하는 데 있어 가장 중요한 의무는 웹사이트 공지를 통해 정보에 기반한 동의를 구하는 것입니다. 이 공지는 명확하고 간결하며 쉽게 접근 가능해야 하며, 다른 이용 약관과 함께 제공되어서는 안 됩니다. 또한, 온라인 상점은 체크박스, 슬라이더, 버튼 등 정보 주체가 동의를 제공하거나 철회할 수 있는 간단하고 효과적인 메커니즘을 제공해야 합니다. 또한, 온라인 상점은 수집된 동의 기록을 보관하고 GDPR의 동의 요건을 준수했음을 입증할 수 있어야 합니다.
다른 옵션(B, C, D)은 GDPR 준수와 무관하거나 불충분하므로 온라인 상점의 주요 의무가 아닙니다. 온라인 상점이 GDPR 제36조에 따라 사전 협의가 필요한 국경 간 처리에 관여하지 않는 한 유럽 감독 기관의 승인을 구할 필요는 없습니다. 고객과의 이전 사업 관계를 입증하는 것은 동의나 정당한 이익을 의미하지 않으므로 프로파일링의 유효한 법적 근거가 아닙니다. 고객 데이터를 보호하기 위해 충분한 보안 조치를 사용하고 있음을 입증하는 것은 모든 개인 데이터 처리에 대한 일반적인 의무이지만, 차별, 조작 또는 통제력 상실과 같은 프로파일링의 구체적인 문제와 위험을 다루지는 않습니다. 참고:
1: 자동화된 개인 의사결정 및 프로파일링이란 무엇입니까?
2: GDPR 제5조
3: 프로파일링을 포함한 자동화된 의사결정과 관련된 권리
4: [개인 데이터 처리와 이러한 데이터의 자유로운 이동에 관한 자연인 보호에 관한 2016년 4월 27일 유럽 의회 및 이사회 규정(EU) 2016/679(일반 데이터 보호 규정)]
5: GDPR 제9조
6: GDPR 제4조(11)항
7: GDPR 제7조
8: GDPR 제13조 및 제14조
9: GDPR 제21조
10: GDPR 제12조
11: [규정 2016/679에 따른 동의에 대한 지침]
12: GDPR 제24조
13: GDPR 제36조
14: [규정 2016/679의 목적을 위한 자동화된 개인 의사 결정 및 프로파일링에 대한 지침]
15: [https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines_202005_consent_en.pdf]
16: [https://edpb.europa.eu/sites/edpb/files/files/file1/20171104_wp251rev01_en.pdf]