- Regulation (EU) No 910/2014 — eIDAS as amended by Regulation (EU) 2024/1183
- Regulation (EU) 2016/679 — GDPR, Article 27
- Regulation (EU) 2024/1689 — AI Act for biometric verification
누가 지정해야 하는가
EU 내 사용자에게 서명, 도장, 타임스탬프 또는 신원 확인 서비스를 제공하는 유럽 연합 외부에 설립된 공급자. 데이터 측면에서는 대표가 필요합니다. 신뢰 서비스 측면은 다릅니다: 자격 상태는 유럽 연합 내에 설립되고 국가 기관의 감독을 받아야 하며, 대표를 통해 얻을 수 없습니다.
기준과 면제
비자격 신뢰 서비스는 사전 승인 없이 제공될 수 있지만 보안 및 통지 의무의 적용을 받습니다. 자격 상태는 적합성 평가와 회원국의 신뢰 목록에 포함되는 것을 요구합니다.
라벨에 표시할 사항
물리적이지 않습니다. 게시해야 하는 것은 서비스 약관, 인증 관행 성명서(인증서가 발급되는 곳) 및 감독 기관의 신원입니다. GDPR 대표는 개인정보 보호 고지에 포함됩니다.
마켓플레이스 항목
유럽 연합 내 기업 구매자 및 공공 부문 조달은 많은 사용 사례에 대해 자격 상태를 요구하며, EU 디지털 신원 지갑 프레임워크는 자격 있는 전자 서명이 기대되는 상황을 확장하고 있습니다.
보관해야 할 문서
신원 문서, 생체 인식 템플릿 및 서명 로그를 포함하는 제30조 기록. 제27조 지정. 신원 확인 프로세스가 특별 범주 생체 데이터를 포함하므로 데이터 보호 영향 평가. 증거 가치와 최소화를 균형 있게 고려한 보존 일정. 신뢰 서비스의 경우 적합성 평가 보고서, 보안 정책 및 사고 통지 절차.
표준과 시험
자격 서비스에 대한 인증 기관의 적합성 평가. 생체 인식 확인의 경우, AI 법이 원격 생체 인식 식별을 고위험으로 간주하고 선언된 성능 수준을 요구하므로 정확성 및 편향 테스트.
언어 요건
서비스하는 시장의 언어로 된 약관, 인증서 정책 및 사용자 정보.
언제부터 적용되는가
처리가 시작되기 전에 대표가 필요합니다. 서비스가 제공되는 순간부터 신뢰 서비스 의무가 발생합니다. 수정된 eIDAS 프레임워크는 2026년과 2027년을 통해 유럽 디지털 신원 지갑을 단계적으로 도입합니다.
문서 보관 기간
서명 및 인증서 증거는 몇 년 후에도 확인을 지원할 수 있을 만큼 충분히 보존해야 하며, 이는 단순 최소화를 초월하는 법적 의무이며, 그렇게 문서화되어야 합니다. 생체 인식 템플릿은 확인이 완료되면 특정 근거가 보존을 정당화하지 않는 한 삭제해야 합니다.
미준수 시 결과
GDPR 위반에 대한 벌금은 최대 €2000만 또는 4%이며, eIDAS에 따른 감독 조치에는 신뢰 목록에서의 제거가 포함되어 즉시 상업적 제안을 종료합니다.
집행 기관
데이터 보호 당국, 신뢰 서비스에 대한 국가 감독 기관 및 생체 시스템에 대한 AI 법 시장 감시 기관.
경계선
서명 서비스를 제공하는 것은 자격 있는 서비스를 제공하는 것과 같지 않으며, 후자는 손으로 쓴 서명과 동등하다는 법적 추정을 가집니다. 법적으로 자격 있는 서명이 요구되는 시장에 비자격 서비스를 판매하는 것은 이 분야에서 가장 일반적인 상업적 실패입니다.
자주 받는 질문
- 비EU 공급자가 자격 있는 서명을 제공할 수 있나요?
- 직접적으로는 아닙니다. 자격 상태는 유럽 연합 내에 설립되고 회원국 기관의 감독을 받거나 국제 협정을 통해 인정받아야 합니다.
- AI 법에 따라 생체 신원 확인은 고위험인가요?
- 원격 생체 인식 시스템은 부록 III에 나열되어 있으므로, 예, 2026년 8월부터 비EU 공급자를 위한 승인된 대표를 포함한 의무가 적용됩니다.