1단계: 권리가 있는지 확인
소유권부터 확인하십시오. 회사가 자체 업무 과정에서 생성한 기록은 보통 라이선스할 수 있습니다. 고객을 위해 보관하는 기록, NDA가 적용되는 공급업체 도면, 타인에게서 라이선스받은 콘텐츠는 보통 동의 없이는 불가능합니다. 고객 계약, NDA, 고용 조건, 소프트웨어 라이선스에서 데이터 사용 관련 조항을 검토하십시오.
2단계: 개인정보 처리
| 관할 지역 | 핵심 사항 | 출처 |
|---|---|---|
| EU / 영국 (GDPR) | 가명 처리된 데이터는 여전히 개인정보이며, 완전한 익명 데이터는 GDPR 적용 대상이 아닙니다. 감독기관은 AI 모델의 익명성에 대해 높은 기준을 둡니다. | 전문 26항; EDPB 의견 28/2024 |
| 일본 (APPI) | 가명가공정보는 일반적으로 제3자에게 제공할 수 없지만, 익명가공정보는 항목과 가공 방법을 공표하면 제공할 수 있습니다. | DLA Piper |
| 홍콩 (PDPO) | 개인정보를 새로운 목적으로 사용하려면 법정 동의가 필요하며, 감독기관은 데이터 판매를 새로운 목적으로 봅니다. | PCPD, DPP3 |
| 대만 (PDPA) | 원래 목적을 넘어선 사용에는 법적 근거나 동의가 필요하며, 비식별화 기준은 덜 명확합니다. | 해설 |
| 중국 본토 (PIPL) | 익명화된 정보는 개인정보에서 제외되며, 국외 이전 시 동의 및 평가 의무가 발생합니다. | Jones Day |
| 싱가포르 (PDPA) | PDPC의 2024년 지침은 AI 시스템에서의 동의, 예외, 익명화를 다룹니다. | PDPC |
이 내용은 일반 정보이며 법률 자문이 아닙니다. 서명 전에 해당 관할 지역의 변호사에게 자문을 받으십시오.
3단계: 비식별화 계획
누가, 언제, 어떤 기준으로 개인정보를 제거할지 정하십시오. 관행은 다양합니다. Google은 Spirit Airlines 기록에서 개인정보를 삭제하도록 요구했지만, 이전 후 자체적으로 개인정보를 제거하거나 변환한다고 밝히는 구매자도 있습니다. 원본 개인정보가 회사 밖으로 나가는 것이 귀사에 적용되는 법률상 문제가 된다면, 납품 전에 비식별화하도록 요구하십시오.
4단계: 범위를 문서화
- 포함되는 시스템, 부서, 기간.
- 제외되는 고객, 프로젝트, 인물, 기록 유형.
- 사본의 형식과 양.
- 추출 담당자와 처리 장소.
5단계: 내부 승인 준비
라이선스를 승인할 수 있는 사람을 확인하십시오. 오너, 이사, 경우에 따라 모회사나 대출 기관이 해당됩니다. IT 부서와 고객 계약 담당자에게도 미리 알리십시오. Calto Data 진단에서는 귀사가 기록의 사용을 승인할 수 있는지 여쭈어, 권한 문제를 초기에 짚어 드립니다.
자주 묻는 질문
라이선스 전에 데이터를 반드시 익명화해야 하나요?
법적으로 항상 그런 것은 아니지만 가장 안전한 방법입니다. 개인정보가 남아 있으면 관할 지역에 따라 적법한 근거와 대개 동의가 필요합니다.
GDPR에서는 가명 처리만으로 충분한가요?
아닙니다. GDPR에서 가명 처리된 데이터는 여전히 개인정보입니다. 더 이상 개인을 식별할 수 없는 데이터만 적용 대상에서 벗어납니다.
일본 기업이 미국 AI 기업에 데이터를 라이선스할 수 있나요?
가능하지만, 개인정보는 제3자 제공 및 국외 제공 규정을 포함한 일본 개인정보보호법(APPI)에 따라 처리해야 합니다. 익명가공정보에는 더 완화된 규정이 적용됩니다.
고객의 동의가 필요한가요?
기록에 고객의 개인정보나 기밀 정보가 포함되어 있다면, 해당 정보를 삭제하거나 기존 계약이 이미 그 사용을 허용하지 않는 한 대개 필요합니다.