- Regulation (EU) 2016/679 — GDPR, Article 27
- Directive 2002/58/EC — ePrivacy
- Regulation (EU) 2022/2065 — DSA advertising transparency
- Regulation (EU) 2019/1150 for platform intermediation
누가 지정해야 하는가
유럽연합 외부에 설립된 광고 기술 공급업체, 분석 제공업체 및 SDK 운영자로서 유럽연합 내 사람들에 대한 데이터를 처리하는 업체. 대부분은 출판사가 그들을 처리자로 부르더라도 자신의 목적을 위한 데이터 관리자입니다. 이 결정은 누가 대리인이 필요하고 누가 책임을 져야 하는지를 결정합니다.
기준과 면제
임계값 없음. 대규모로 가명 식별자를 처리하는 것은 정확히 제3조(2)가 목표로 하는 대규모 모니터링이며, 제27조(2) 면제는 적용될 수 없습니다.
라벨에 표시할 사항
출판사 및 사용자 투명성: 개인정보 보호 고지서에 대리인의 신원, 목적 및 법적 근거, 보존 기간 및 공급업체 목록. DSA에 따라 광고는 광고주가 명시되고 주요 프로파일링 매개변수가 공개되어야 합니다.
마켓플레이스 항목
출판사는 데이터 관리자 또는 처리자 상태에 대한 계약상의 명확성을 요구하며, 필요한 공개를 제공할 수 없는 공급업체는 동의 관리 플랫폼에 통합되지 않습니다. 실시간 입찰 생태계에 대한 집행은 규제 기관과 소송 모두에서 이루어졌습니다.
보관해야 할 문서
모든 데이터 흐름을 매핑하는 제30조 기록. 제27조 지정. 목적별 법적 근거 분석, 출판자가 얻은 동의는 실제로 귀하의 목적을 포함해야 하며 귀하에게 전달되어야 합니다. 데이터 보호 영향 평가. 표준 계약 조항 및 전송 영향 평가. 출판사와 책임이 공유되는 제26조에 따른 공동 데이터 관리자 협정.
표준과 시험
적용되지 않지만, 트래픽 분석이 집행이 시작되는 방법입니다: 규제 기관과 NGO는 동의 전에 식별자가 전송되는지, 동의 신호가 실제 처리와 일치하는지를 조사합니다.
언어 요건
처리되는 데이터의 사용자의 언어로 된 투명성 정보.
언제부터 적용되는가
처리가 시작되기 전에 대리인. 동의는 장치에서의 읽기 또는 쓰기 전에 이루어져야 하며, 동의 전에 식별자가 포함된 입찰 요청은 이미 위반입니다.
문서 보관 기간
처리 기간 동안 기록 보관. 입찰 요청 데이터 보존은 반복적으로 발견되는 사항으로, 경매 이후 분석을 위해 보관된 데이터는 문서화된 근거가 거의 없습니다.
미준수 시 결과
불법 처리에 대해 최대 €2000만 또는 매출의 4%, 누락된 대리인에 대해 €1000만 또는 매출의 2%의 벌금. 국가 전자 개인정보 보호법 위반에 대한 벌금은 별도로 부과되며 피해 증명이 필요하지 않습니다. 이 분야는 유럽연합 내에서 가장 크고 체계적인 집행 결정 중 일부를 만들어냈습니다.
집행 기관
유럽연합 전역의 데이터 보호 당국, EU 설립이 없는 데이터 관리자는 주관 당국이 없으며, 동의 인터페이스의 어두운 패턴에 대한 소비자 보호 당국.
경계선
데이터 관리자-처리자 질문은 결정적이며 계약 문구만으로 해결될 수 없습니다: 청중 구축이나 모델 훈련과 같은 목적을 결정하는 공급업체는 계약의 제목과 관계없이 데이터 관리자입니다. 브라우징 행동에서 유도된 특별 범주 추론 — 건강, 성적 지향, 정치적 견해 — 는 광고에 대한 동의로 충족되지 않는 제9조 의무를 유발합니다.
자주 받는 질문
- 우리 출판사가 동의를 수집합니다 — 그게 충분한가요?
- 귀하의 목적을 진정으로 포함하고 귀하의 이름을 명시하며 처리 전에 귀하에게 전달되는 경우에만 가능합니다. 출판사의 일반 배너에 의존하는 것은 집행에서 반복적으로 실패했습니다.
- 가명 식별자는 개인 데이터인가요?
- 예. 쿠키 ID, 광고 ID 및 해시된 이메일은 GDPR 목적상 개인을 식별하며, 이를 익명으로 취급하는 것은 이 분야에서 가장 일반적인 구조적 오류입니다.