- Regulation (EU) 2016/679 — GDPR, Articles 27 and 35
- Directive 2002/58/EC for device identifiers
- Regulation (EU) 2024/1689 — AI Act for biometric categorisation
누가 지정해야 하는가
EU 소매업체에 매장 내 분석을 제공하는 유럽연합 외부의 공급업체. MAC 주소 수집, 카메라 기반 카운팅 및 비콘 추적은 모두 집계 전에 개인 데이터를 처리하며, 공급업체는 일반적으로 자사 제품 개선 목적을 위한 데이터 관리자입니다.
기준과 면제
없음. 데이터 보호 당국은 소매업체가 단순히 수치를 원할 경우에도 장치 식별자와 카메라 이미지가 개인 데이터라고 지속적으로 판단해왔습니다.
라벨에 표시할 사항
물리적이지는 않지만, 고객에게 알리는 표지가 실제로 필요하며, 여러 당국은 의미 있는 세부정보를 포함한 표지를 모든 출입구에 요구합니다.
마켓플레이스 항목
소매 구매자는 신뢰할 수 있는 데이터 보호 영향 평가를 요구하며, 여러 배포는 공개되지 않은 추적에 대한 불만 후 당국에 의해 중단되었습니다.
보관해야 할 문서
제30조 기록, 소매업체와의 제28조 조건, 제27조 지정, 데이터 보호 영향 평가, 한계가 있는 익명화 또는 가명화 방법의 문서화, 보존 및 삭제 절차.
표준과 시험
주장된 익명화가 실제로 재식별을 방지하는지 확인하는 것으로, 이는 당국이 가정하는 것이 아니라 테스트합니다. AI 기반 인구 통계 추정의 경우 정확성과 편향 평가가 필요합니다.
언어 요건
매장 위치의 언어로 된 고객 대상 표지.
언제부터 적용되는가
배포 전에. 영향 평가는 처리에 앞서야 하며, 불만 후에 이루어져서는 안 됩니다.
문서 보관 기간
원시 식별자와 이미지를 가능한 짧은 기간, 이상적으로는 몇 초 동안만 보관하고, 집계만 유지합니다. 나중에 분석을 위해 원시 데이터를 보관하는 것은 익명화 주장을 무효화합니다.
미준수 시 결과
최대 €2000만 또는 매출의 4%, 그리고 처리 중단 명령이 여러 회원국의 방문자 수 시스템에 대해 발행되었습니다.
집행 기관
데이터 보호 당국.
경계선
카메라 이미지를 통해 나이 또는 성별을 추정하는 것은 생체 인식 분류로, AI 법에 따라 민감한 속성을 추론하는 경우 금지되며, 그 외에도 엄격하게 규제됩니다. 사람을 식별하지 않고 세는 것은 가능하지만, 이미지를 저장하지 않는 진정한 장치 내 처리만으로 가능합니다.
자주 받는 질문
- MAC 주소 추적은 익명인가요?
- 아니요. 무작위화가 상업적으로 약화되었지만, 식별자가 장치를 특정할 수 있는 경우 데이터는 개인 데이터이며, 당국은 이러한 시스템 운영자에게 벌금을 부과했습니다.
- 카메라로 고객의 나이를 추정할 수 있나요?
- 민감한 특성을 추론하기 위한 생체 인식 분류는 AI 법에 따라 금지되며, 인구 통계 추정은 일반적으로 강력한 근거가 필요하고 마케팅에는 종종 불균형적입니다.