네덜란드 개인정보보호청(Autoriteit Persoonsgegevens, AP)은 2024년 8월 Uber에 2억 9,000만 유로의 벌금을 부과했습니다. 유효한 이전 계약 없이 운전자 데이터를 미국 서버로 전송한 것이 이유였습니다. 국경 간 데이터 이전으로 인한 GDPR 벌금으로는 역대 최대 규모입니다. AP는 2023년에만 21,400건 이상의 민원을 처리했습니다. 유럽에서 가장 바쁜 데이터 감독 기관 중 하나입니다.
AP가 Uber 사례에서 발견한 것
Uber는 네덜란드와 프랑스 운전자들의 데이터를 수집했습니다. 데이터에는 위치 이력, 신분증, 급여 기록, 운행 기록, 세금 파일이 포함되어 있었습니다. 이 모든 데이터가 미국 서버로 이전되었습니다. AP는 이전 방식이 유효하지 않다고 판단했습니다.
세 가지 결론이 결정에 영향을 미쳤습니다.
- 취약한 이전 방식: Uber는 구속력 있는 기업 규칙(BCR)을 사용했습니다. AP는 BCR이 관련 운전자 데이터의 범위와 민감성을 포괄하지 못한다고 판단했습니다.
- 이전 영향 평가(TIA) 부재: Uber는 미국 법이 합의된 이전 보호 장치를 유지한다는 것을 증명하지 못했습니다.
- 결합에 의한 민감 데이터: 위치 데이터, 급여, 실적 점수를 합치면 각 운전자에 대한 상세한 정보가 드러납니다. AP는 이러한 조합을 민감한 개인 데이터에 준하는 것으로 처리했습니다.
Uber 사례는 명확한 기준을 제시합니다. 미국으로 전송되는 직원 및 계약자 데이터에는 소비자 데이터와 동일한 TIA 및 추가 조치가 필요합니다.
2025년 AP 집행 중점 분야
2026년 기준 최신화
AP는 2025년에 세 가지 분야를 집중 감시한다고 밝혔습니다.
직원 모니터링: 재택근무 추적 도구가 최우선 대상입니다. 생산성 기록, 화면 캡처, 키스트로크 추적, 원격 위치 도구가 포함됩니다. 이러한 도구를 도입하기 전에 덜 침해적인 방법을 선택하지 않은 이유를 문서화해야 합니다.
국경 간 데이터 이전: Uber 판결 이후 AP는 이전 방식을 점검하고 있습니다. 미국, 아시아 또는 기타 적정성 결정이 없는 국가의 서비스를 이용하는 기업이 검사 대상입니다. HR, 프로젝트 업무, 고객 데이터에 미국 소프트웨어 도구를 사용하는 기업은 최신 TIA를 보유해야 합니다.
자동화된 의사결정: AI 신용 평가, 채용 필터, 성과 평가 시스템은 제22조 의무를 발생시킵니다. AP는 실질적인 인간 검토 단계 없이 자동화된 결정을 내리는 조직을 주요 대상으로 합니다. 근로자와 소비자 모두 보호되어야 합니다.
BSN: 보호받는 국가 식별 정보
시민서비스번호(Burgerservicenummer, BSN)는 네덜란드에서 사용되는 9자리 ID 번호입니다. 11진법(Elfproef) 검사로 검증됩니다. 검사 방법: 각 자리에 9부터 −1까지의 가중치를 곱하고, 결과를 합산한 값이 11로 나누어져야 합니다.
BSN법(Wet algemene bepalingen burgerservicenummer)은 BSN 사용을 특정 법적 맥락으로 제한합니다. 세금, 의료, 정부, 고용주 급여입니다. 이러한 맥락 외에서 BSN을 사용하면 BSN법 위반으로 처벌받습니다. GDPR 책임도 추가로 발생합니다.
범용 도구가 BSN을 놓치는 이유: 많은 NLP 도구에 Elfproef 검사가 포함되어 있지 않습니다. 이 검사 없이는 9자리 숫자 문자열이 가능한 BSN으로 모두 표시됩니다. 그러면 재무 및 행정 문서에서 오탐이 발생합니다. 잘못 입력된 BSN도 감지되지 않습니다. 검사에 실패하지만 유효한 패턴처럼 보이기 때문입니다. 유럽 ID 형식 전반의 비교는 EU 국가 세금 ID 및 개인정보 감지 가이드를 참고하세요.
네덜란드어 텍스트를 위한 NER
네덜란드어(Nederlands)에는 영어 학습 모델이 어려움을 겪는 특징이 있습니다.
복합어: 네덜란드어는 단어를 합성합니다. Persoonsgegevens(개인 데이터)와 Burgerservicenummer(시민 ID 번호)는 각각 하나의 단어입니다. 영어용으로 만들어진 모델은 이를 잘못된 위치에서 분리하는 경우가 많습니다. 그러면 개체 감지가 실패합니다.
이름 접미사: -je와 -tje 접미사가 이름에 등장합니다(Annetje, Hansje). 이름 모델은 기본 형태와 단축 형태를 모두 처리할 수 있어야 합니다.
주소 형식: 거리 유형에는 Straat, Laan, Weg, Plein, Gracht가 있습니다. 우편번호는 숫자 4자리에 알파벳 2자리 형식입니다(예: 1234 AB). 각 코드는 하나의 거리에 대응하므로 대부분의 유럽 우편번호보다 더 많은 정보를 드러냅니다.
IBAN 형식: 네덜란드 IBAN은 18자리입니다. NL + 2자리 검사 숫자 + 4자리 은행 코드 + 10자리 계좌번호. 이 나라는 카드 결제 사용률이 높습니다. 그 결과 재무 문서에 IBAN이 많이 등장합니다. ID 유형별 신뢰도 점수 방법에 대해서는 이진 개인정보 감지 및 신뢰도 점수 산정을 참고하세요.
AP 규정 준수를 위한 기술 체크리스트
AP의 현행 기준을 충족하려면 데이터 시스템에 다음이 필요합니다.
- Elfproef를 포함한 BSN 감지 — 패턴 일치만으로는 충분하지 않습니다
- 네덜란드어 NER — spaCy
nl_core_news같은 모델이 복합어와 단축 이름을 처리합니다 - IBAN 감지 — 형식 인식 방식, 범용 방식 아님
- 모든 국경 간 이전에 대한 처리자 기록
- 미국 공급업체에 대한 TIA — Uber 판결 이후 AP의 현행 감사 우선순위
Uber 판결 이후 미국 공급업체에 대한 TIA는 권장 사항이 아닌 기본 요건입니다. 판결 및 이전 관련 사항에 대한 자세한 분석은 AP Uber 벌금 및 국경 간 이전 집행을 참고하세요.