- Regulation (EU) 2016/679 — GDPR, Articles 27 and 8
- Regulation (EU) 2024/1689 — AI Act, Annex III education
- Directive 2002/58/EC — ePrivacy
- Regulation (EU) 2022/2065 — DSA where content is hosted
누가 지정해야 하는가
EU 내 학교, 대학 또는 학습자에게 학습 플랫폼, 평가 도구 또는 교실 소프트웨어를 제공하는 연합 외부에 설립된 공급자. 학교는 일반적으로 데이터 관리자이며 공급자는 처리자지만, 제품 개선이나 광고를 위해 데이터를 사용하는 공급자는 이러한 목적을 위해 데이터 관리자가 되어야 하며 자체 대표자가 필요하다.
기준과 면제
GDPR 기준 없음. AI 법에 따라 교육 접근 결정, 학습 결과 평가, 학생 배정 또는 시험 중 금지된 행동 모니터링에 사용되는 시스템은 부록 III에 따라 고위험으로 간주되며, 의무는 2026년 8월 2일부터 적용된다.
라벨에 표시할 사항
개인정보 보호 고지 및 학교에 제공되는 계약 문서에서 대표자의 신원. 평가에 AI가 사용되는 경우 AI 법에 의해 요구되는 투명성 정보 및 학습자에게 AI 시스템과 상호작용하고 있음을 알리는 정보.
마켓플레이스 항목
교육 분야의 공공 조달에서 실제로 시행됨: 여러 회원국의 부처 및 학교 당국은 전송, 텔레메트리 및 광고 문제로 플랫폼을 차단하거나 제한했으며, 조달 질문서는 이제 대표자, 전송 분석 및 AI 분류를 요구한다.
보관해야 할 문서
제30조 기록, 학교와의 처리 조건을 포함한 제28조, 제27조 지정, 아동 데이터에 대한 데이터 보호 영향 평가, 전송 메커니즘 문서 및 학교의 지시에 따라 처리된 데이터와 공급자의 자체 목적을 위해 사용된 데이터 간의 명확한 분리. 고위험 AI의 경우: 기술 문서, 위험 관리, 데이터 거버넌스 및 적합성 평가.
표준과 시험
플랫폼에는 적용되지 않지만, 감독 시스템은 정확성 및 차별 문제를 제기하며, AI 법은 정확성, 견고성 및 사이버 보안 수준을 선언하고 테스트할 것을 요구한다.
언어 요건
아동이 이해할 수 있는 형태의 개인정보 보호 정보, 학습자의 언어로, 제12조는 아동에게 제공되는 정보에 대해 명시적으로 요구한다.
언제부터 적용되는가
처리가 시작되기 전에 대표자. AI 법의 고위험 의무는 2026년 8월 2일부터 적용된다.
문서 보관 기간
학교와 합의한 기간 동안만 학습자 데이터를 보유하며, 계약 종료 시 삭제. 계약 종료 후 제품 개선을 위한 데이터 보유는 반복적으로 발견되는 문제이다.
미준수 시 결과
최대 €2000만 또는 매출의 4%, 그리고 이는 데이터 주체가 아동이며 교실에서 동의가 자유롭게 주어지지 않기 때문에 당국이 단호하게 행동한 분야이다. 고위험 시스템에 대해서는 AI 법의 처벌이 추가로 적용되며, 최대 €1500만 또는 3%이다.
집행 기관
데이터 보호 당국, 조달 결정권자로서의 교육부 및 2026년부터 AI 법 시장 감시 당국.
경계선
처리자-관리자 경계에서 사건이 패소하는 경우가 많음: 텔레메트리, 제품 분석 및 광고는 공급자를 이러한 목적을 위한 관리자로 만든다, 처리 계약과 관계없이. 학생의 얼굴, 방 또는 키 입력을 모니터링하는 감독은 고위험 AI이며, 일부 설계에서는 감정 인식 시스템이 포함되어 있으며, 이는 제5조에 따라 교육에서 금지된다.
자주 받는 질문
- 학교가 관리자인 경우 — 여전히 대표자가 필요합니까?
- 당신이 제3조(2)에 따라 연합 내 학습자의 개인 데이터를 처리하는 경우, 당신은 자체 대표자가 필요하다. 그리고 당신이 스스로 결정하는 목적에 대해서는 당신이 관리자가 된다.
- AI 감독이 허용됩니까?
- 시험 중 모니터링은 부록 III에 따라 고위험이다. 교육 환경에서 감정을 추론하는 시스템은 제5조에 따라 전면적으로 금지되므로, 설계가 규제되는지 또는 금지되는지를 결정한다.