라틴 아메리카 기업은 특정 처리 활동과 관련하여 유럽 연합(EU) 내 개인에게 상품이나 서비스를 제공하거나 해당 개인의 행동을 모니터링하는 경우, EU에 사업장이 없으면 EU GDPR 대리인을 지정해야 할 수 있습니다. 제3조 그리고 제27조 GDPR 제27조는 예외적인 경우가 아니면 비EU 기업에도 적용될 수 있습니다. DilicheckRep은 스페인에 설립된 EU 법인인 Dilicheck, SL을 통해 유럽 연합 전역에서 사업을 운영하는 비EU 기업에 GDPR 제27조 관련 대리 서비스를 제공합니다.
페루, 멕시코, 콜롬비아, 아르헨티나, 칠레, 브라질 또는 기타 중남미 시장에 있는 귀사가 유럽으로 사업을 확장하는 경우, 핵심 질문은 EU 거주자가 귀사 웹사이트를 볼 수 있는지 여부가 아닙니다. 핵심 질문은 귀사가 EU 거주자와 의도적으로 상호 작용하거나 그들의 행동을 모니터링하는 방식으로 관련 데이터 처리가 GDPR의 적용 범위에 포함되는지 여부입니다.
중남미 기업이 EU GDPR 담당자가 필요할 때
라틴 아메리카 기업은 다음과 같은 것이 필요할 수 있습니다. 중남미 기업을 위한 EU GDPR 담당자 다음 조건이 모두 충족될 때:
- 그 회사는 EU에 설립되지 않음.
- 관련 처리는 다음 범위에 속합니다. GDPR 제3조(2)항.
- 그 회사는 면제되지 않음 제27조(2)항에 따라.
이는 항상 구체적인 사실 관계에 따라 다릅니다. 일부 EU 고객이 있다고 해서 자동으로 GDPR 제27조가 적용되는 것은 아닙니다. 기본적인 분석만으로는 자동으로 모니터링으로 간주되지 않습니다. B2B 기업이라고 해서 자동으로 GDPR 적용 범위에서 제외되는 것도 아닙니다.
법률 조항은 GDPR을 참조하십시오. EUR-Lex, 그 유럽 데이터 보호 위원회(EDPB)의 관할 범위에 관한 지침 3/2018, 그리고 유럽 위원회의 지침은 다음과 같습니다. 관할 구역 및 대표자.
제3조(2)항: GDPR이 유럽 이외 지역 기업에 적용될 수 있는 경우
GDPR 제3조(2)항에 따라, 처리가 다음과 관련된 경우 비EU 조직에도 GDPR이 적용될 수 있습니다.
- 상품이나 서비스를 제공하는 것 EU 내 개인에게, 또는
- 행동 모니터링 EU 내 개인, 그리고 해당 행위가 EU 내에서 발생하는 경우
이 테스트는 본사, 서버 또는 법인 설립 여부에만 기반한 것이 아닙니다. EU 내 개인과 데이터 처리 간의 연관성을 기반으로 합니다.
EU 거주자에게 상품이나 서비스를 제공하는 것
유럽에서 웹사이트에 접속할 수 있다는 것만으로는 충분하지 않습니다. 해당 기업이 하나 이상의 EU 회원국에 있는 사람들에게 상품이나 서비스를 제공할 계획이라는 증거가 있어야 합니다.
가능한 지표는 다음과 같습니다.
- EU 국가의 고객 또는 사용자를 지칭합니다.
- EU 회원국에 배송 또는 서비스 제공
- EU 거래에 유로화 가격 적용
- EU 고객을 대상으로 하는 캠페인 운영
- EU 거주 사용자를 위한 계정 생성 활성화
- EU와 연계된 현지 시장 참조 자료를 사용합니다.
프랑스, 독일, 네덜란드로 배송하는 멕시코 기반 전자상거래 브랜드 또는 이탈리아와 스페인의 사용자와 계약을 맺는 브라질 기반 SaaS 플랫폼은 사실에 따라 제3조(2)(a)항에 해당될 수 있습니다.
EU 내 행동 감시
모니터링의 범위는 많은 기업들이 생각하는 것보다 훨씬 좁습니다. 핵심은 기업이 EU 내 개인을 추적하고, 그 관찰 결과를 바탕으로 행동, 선호도 또는 의사결정을 분석하거나 예측하는지 여부입니다.
예시로는 다음과 같은 것들이 있습니다.
- 광고를 위한 행동 프로파일링
- 세션 또는 서비스 전반에 걸친 사용자 추적
- 세분화 또는 수익 창출을 위한 참여도 측정
- 지리 위치 기반 분석
- 관찰된 행동에 기반한 리타겟팅 캠페인
- 개인 활동을 기반으로 한 위험 점수 산정 또는 예측
EU 사용자를 대상으로 광고 타겟팅을 위해 프로파일링하는 콜롬비아 앱은 EU에 초점을 맞춘 전략이 없는 기본 집계 분석을 사용하는 일반 웹사이트와는 다른 제3조(2) 문제를 제기할 수 있습니다.
제27조: GDPR 제27조 대리인이란 무엇인가
안 비 EU 기업의 EU 대표 EU에 설립되어 특정 GDPR 의무와 관련하여 관리자 또는 처리자를 대신하여 행동하도록 서면으로 지정된 개인 또는 조직입니다.
제27조에 따라 대리인은 다음과 같은 사항에 대한 연락 창구 역할을 합니다.
- 감독 당국
- EU 내 데이터 주체
- 대상 처리 활동과 관련된 통신
대리인은 ~ 아니다 데이터 관리자가 되거나, 법률 고문을 교체하거나, 회사의 GDPR 의무를 해제하는 것입니다.
라틴 아메리카 기업에서 영업 담당자가 실제로 하는 일은 무엇일까요?
A GDPR 제27조 대표 일반적으로 다음과 같은 데 도움이 됩니다.
- 규제 관련 통신 수신
- 데이터 주체 통신 수신 및 라우팅
- 접근 가능한 EU 연락 창구 유지
- 제30조에 따라 공개해야 할 필요가 있는 기록을 보유하거나 접근을 용이하게 함
- 임무와 관련된 실질적인 의사소통 흐름 지원
GDPR 담당자 한 명이 라틴 아메리카 기업을 위해 유럽 연합 전체를 담당할 수 있나요?
많은 경우에 그렇습니다. 제27조는 일반적으로 EU 회원국이 아닌 데이터 관리자 또는 처리자가 각 회원국에 별도의 대리인을 지정하는 대신, 관련 처리 활동을 위해 EU 내에 적절하게 설립된 대리인 한 명을 지정할 수 있도록 허용합니다.
제27조(3)에 따라 대리인은 영향을 받는 데이터 주체가 위치한 회원국 중 한 곳에 설립되어야 합니다.
실제로, 제27조에 따른 서면 지정 하나로 독일, 프랑스, 이탈리아, 네덜란드, 스페인 등 여러 EU 시장에서 처리 대상과 관련된 의사소통을 지원할 수 있습니다. 단, 대리인이 적절하게 설립되고 위임 사항이 올바르게 설정된 경우에 한합니다.
라틴 아메리카 기업들에게 있어 이는 중요한 문제입니다. GDPR은 일반적으로 각 EU 국가마다 다른 대리인을 두도록 요구하지 않습니다. 진정한 쟁점은 해당 대리인이 관련 회원국에 적절하게 설립되어 제27조에서 요구하는 의사소통 역할을 수행할 수 있는지 여부입니다.
DilicheckRep은 스페인에 설립된 EU 법인인 Dilicheck, SL을 통해 유럽 연합 전역에서 사업을 운영하는 비EU 기업을 대상으로 GDPR 제27조에 따른 대리 서비스를 제공합니다.
제27조 예외 사항: 대리인이 필요하지 않을 수 있는 경우
제27조는 모든 경우에 적용되는 것은 아닙니다. 민간 기업의 주요 예외 사항은 다음과 같은 처리 방식입니다.
- 가끔씩
- 대규모로 특수 범주의 데이터를 포함하지 않습니다. 제9조에 따른 범죄 유죄 판결 데이터 또는 제10조에 따른 범죄 유죄 판결 데이터
- 위험으로 이어질 가능성은 낮음 자연인의 권리와 자유에 관하여
공공기관 및 단체도 제외됩니다.
이러한 면제 사항은 범위가 좁으므로 신중하게 문서화해야 합니다.
중남미 기업들은 일반적으로 EU 대표가 필요한가요?
경우에 따라 그렇고, 경우에 따라 아닙니다. 답변은 처리 활동에 따라 달라집니다.
라틴 아메리카의 기업은 다음과 같은 필요가 있을 가능성이 더 높습니다. GDPR 담당자 (중소기업) EU 사용자에게 지속적으로 서비스를 제공하거나 EU 내 사용자 행동을 적극적으로 모니터링하는 경우라면 가능성이 높습니다. EU와의 접촉이 우연적이거나 드물거나 의도적인 상업 전략의 일부가 아닌 경우에는 가능성이 낮습니다.
라틴 아메리카 기업을 위한 실용적인 국가별 사례
이 예시들은 단지 설명을 위한 것일 뿐입니다.
페루
페루에 본사를 둔 SaaS 기업이 독일, 프랑스, 스페인용 웹페이지를 현지화하고, EU 사용자들을 등록시키며, 지속적인 지원을 제공합니다. 이는 EU 내 개인에게 서비스를 제공하는 것으로 해석될 수 있습니다. 만약 이러한 활동이 지속적이고 예외 조항이 적용되지 않는다면, 제27조에 따라 EU 대리인을 지정해야 할 수도 있습니다.
멕시코
멕시코의 한 전자상거래 회사는 유로화 가격을 표시하고 여러 EU 회원국으로 배송하며 프랑스, 이탈리아, 네덜란드, 스페인의 EU 구매자를 지원합니다. 이는 GDPR 제3조(2)(a)항에 따른 영토적 적용 가능성을 뒷받침할 수 있으므로 회사는 제27조에 따른 지정이 필요한지 평가해야 합니다.
콜롬비아
콜롬비아의 한 모바일 앱은 EU 사용자의 등록을 허용하고 행동 기반 세분화, 리타겟팅 또는 수익 창출 도구를 사용합니다. 이러한 도구가 EU 내 행동 모니터링에 해당한다면, 해당 회사는 EU 대리인을 지정해야 할 수도 있습니다.
아르헨티나
아르헨티나의 한 컨설팅 회사는 영어로 된 글로벌 웹사이트를 운영하고 있지만 EU 시장을 대상으로 마케팅을 하지 않으며, EU 지역 고객으로부터 간혹 문의를 받는 정도입니다. 이러한 사실만 놓고 보면 GDPR의 적용 범위는 낮아 보일 수 있습니다. 하지만 해당 회사가 EU 시장을 겨냥한 마케팅 캠페인을 시작하거나 EU 특화 서비스를 제공하기 시작하면 상황이 달라질 수 있습니다.
칠레
칠레의 한 소프트웨어 제공업체는 독일, 스페인, 이탈리아의 기업들과 계약을 체결하고 EU 내 개인과 관련된 사용자 계정, 지원 요청 및 사용 데이터를 처리합니다. B2B 거래에서도 개인 데이터가 관련될 수 있습니다.
브라질
EU 사용자를 대상으로 하는 타겟 캠페인, 사용자 프로파일링 또는 반복적인 서비스 제공을 운영하는 브라질의 광고 기술 또는 전자상거래 기업은 유럽에서 수동적인 웹사이트 트래픽을 받는 기업보다 더 강력한 제3조(2) 분석에 직면할 수 있습니다.
라틴 아메리카 B2B 기업은 EU GDPR 담당자가 필요할까요?
가능성이 있습니다. B2B 기업이라도 다음과 같은 개인 데이터를 처리할 수 있습니다.
- 명명된 사용자 계정
- 개인과 연결된 회사 이메일 주소
- 지원 티켓
- 로그인 기록
- 사용자와 연동된 사용량 분석
- 판매 또는 계정 관리 기록
핵심 쟁점은 B2B냐 B2C냐가 아닙니다. 관련 처리 과정이 GDPR의 적용 범위에 해당하는지, 그리고 제27조가 적용되는지 여부입니다.
EU GDPR 담당자 vs DPO
EU 대표와 데이터 보호 책임자는 서로 다른 역할입니다.
| 역할 | 주요 목적 | 설립 장소 | 주요 기능 |
|---|---|---|---|
| EU GDPR 담당자 | 제27조에 따른 외부 연락처 | EU에서 | 당국 및 정보 주체와의 통신을 수신하고 전달합니다. |
| 디포 | 제37조~제39조에 따른 독립적인 감독 역할 | 구조에 따라 내부 또는 외부 | 규정 준수에 대한 자문을 제공하고 데이터 보호 거버넌스를 모니터링합니다. |
대리인이 데이터보호책임자(DPO)를 대체하는 것은 아니며, 데이터보호책임자가 자동으로 제27조를 충족하는 것도 아닙니다.
EU GDPR 대리인 임명 방법
제27조가 적용되는 경우, 해당 조직은 대표자를 임명해야 합니다. 서면으로.
실무 과정에는 일반적으로 다음이 포함됩니다.
- 요구사항을 발생시키는 처리 활동을 확인합니다.
- 영향을 받는 데이터 주체와 가장 관련성이 높은 EU 회원국을 결정합니다.
- EU에 기반을 둔 대표자 선정
- 대리 범위가 명시된 서면 위임장에 서명함
- 제13조 및 제14조에 따른 개인정보 보호 고지를 담당자의 신원 및 연락처 정보로 업데이트합니다.
- 규제 기관 및 데이터 주체와의 소통을 위한 내부 프로세스 정렬
- 대상 처리와 관련된 기록 유지
공식적인 설정이 필요한 조직의 경우, DilicheckRep 제27조 서비스 비EU 조직을 위한 구조화된 EU 기반 임명 모델을 설명하십시오.
서면 임명장에는 어떤 정보가 포함되어야 할까요?
제대로 된 제27조 위임 사항은 다음과 같이 명확히 명시해야 합니다.
- EU 이외 지역의 데이터 관리자 또는 데이터 처리자의 이름 및 세부 정보
- 임명된 대리인의 이름 및 세부 정보
- 위임 범위에 포함되는 처리 활동
- 규제기관 및 정보주체를 위한 의사소통 절차
- 내부 문제 해결 담당자 및 대응 책임
- 기록 접근 및 문서 처리 관련 기대 사항
- 시작일, 기간 및 해지 조건
DilicheckRep을 EU GDPR 대리인으로 선택해야 하는 이유는 무엇일까요?
DilicheckRep은 다음과 같은 서비스를 제공합니다. 중남미 기업을 위한 EU GDPR 관련 업무 대행 스페인에 설립된 EU 법인인 Dilicheck, SL을 통해.
참여 범위에 따라 조직은 다음과 같은 이점을 얻을 수 있습니다.
- 제27조에 따른 공식 서면 임명
- 감독 당국 및 정보 주체를 위한 EU 기반 연락 창구
- 수신되는 개인정보 관련 통신에 대한 구조화된 라우팅
- 개인정보 보호 고지 및 관리 워크플로에 담당자를 통합하기 위한 실질적인 지원
- EU에 사무소를 두지 않고 운영되는 국제기구를 위해 설계된 시스템입니다.
- EU 회원국 여러 곳에 걸쳐 개인과 교류하는 조직에 적합한 대표 모델
EU GDPR 담당자가 필요하신가요? DilicheckRep은 해외 기업이 유럽 연합 전역에 걸쳐 GDPR 제27조에 따른 담당자를 설립할 수 있도록 지원합니다.
서비스 제공업체를 평가하는 기업은 다음 사항을 검토할 수 있습니다. DilicheckRep의 EU GDPR 제27조 대리 서비스 표현 모델이 어떻게 구성되어 있는지 이해하기 위해서입니다.
EU 대표가 하지 않는 일
혼동을 피하기 위해 EU 대표는 자동으로 다음을 수행하지 않습니다.
- 회사를 GDPR 준수 기업으로 만드세요
- 내부 개인정보보호 거버넌스를 대체합니다.
- 법적 근거의 필요성을 없애다
- 제13조 및 제14조에 따른 투명성 의무를 폐지한다.
- 계약을 프로세서 또는 컨트롤러로 대체하세요
- 국제 송금 문제를 자체적으로 해결합니다.
- 소송 방어 기능을 수행합니다.
필요한 경우 대리인 선임은 중요하지만, 더 광범위한 규정 준수 프로그램을 대체할 수는 없습니다.
자주 묻는 질문
남미 기업이 유럽에 지사를 두지 않은 경우, EU GDPR 담당자가 필요한가요?
가능성이 있습니다. 멕시코, 브라질, 콜롬비아, 아르헨티나, 칠레, 페루 또는 기타 중남미 국가에 있는 귀사의 회사가 EU에 설립되지 않은 경우, 관련 처리가 제3조(2)항에 해당하는 경우 제27조가 적용될 수 있습니다. 핵심 질문은 단순히 웹사이트에 유럽에서 접속할 수 있는지 여부가 아니라, 귀사가 의도적으로 EU에 있는 개인에게 서비스를 제공하거나 그들의 행동을 모니터링하는지 여부입니다.
만약 제가 남미에 있는 회사에 유럽 고객이 있다면, 자동으로 유럽 지사가 필요한가요?
아니요. 일부 EU 고객이 자동으로 제27조를 적용받는 것은 아닙니다. 예를 들어, 유럽에서 가끔 문의를 받는 아르헨티나 컨설팅 회사는 프랑스, 스페인 또는 독일로 적극적으로 제품을 배송하는 멕시코 전자상거래 브랜드와는 상황이 다릅니다. 분석은 의도적인 EU 고객 타겟팅, 처리 방식, 그리고 예외 조항 적용 여부에 따라 달라집니다.
제 SaaS 사업체가 브라질, 칠레 또는 페루에 기반을 두고 있는 경우에도 제27조가 적용될 수 있나요?
네. SaaS 기업이 EU에서 사용자를 등록하거나, EU 거주 사용자의 계정을 지원하거나, EU 내 사용자 행동을 추적하는 경우 GDPR의 적용을 받을 수 있습니다. 이는 해당 기업이 EU 지사를 두지 않고 라틴 아메리카에서 원격으로 판매하는 경우에도 적용될 수 있습니다.
구글 애널리틱스나 유사한 도구를 사용한다고 해서 라틴 아메리카 기업이 자동으로 EU 내 행동을 모니터링하고 있다는 의미인가요?
자동으로 되는 것은 아닙니다. 기본적인 집계 분석만으로는 충분하지 않을 수 있습니다. 기업이 쿠키, 추적 도구, 프로파일링, 리타겟팅, 세션 분석 또는 이와 유사한 방법을 사용하여 EU 내 개인의 행동을 관찰하고 영향을 미치는 경우 분석이 더욱 강력해집니다.
중남미의 B2B 기업도 여전히 EU GDPR 담당자가 필요할까요?
네. 콜롬비아, 칠레, 브라질 또는 기타 중남미 시장의 B2B 기업이라도 EU 내에서 사용자, 직원, 구매 담당자, 지원 요청자 또는 계정 관리자에 대한 개인 데이터를 처리할 수 있습니다. B2B 기업이라는 사실만으로 GDPR 적용 범위에서 제외되는 것은 아닙니다.
만약 우리 회사가 EU 기업에만 제품을 판매하고 소비자에게는 판매하지 않는다면, 제27조가 여전히 적용될까요?
네, 그렇습니다. 귀사가 직원 연락처, 사용자 로그인 정보, 지원 기록 또는 사용 데이터와 같이 EU 거주자와 관련된 개인 정보를 처리하는 경우 GDPR 관련 문제가 발생할 수 있습니다. 핵심 쟁점은 계약이 B2B로 명시되어 있는지 여부가 아니라 해당 정보 처리가 EU 거주자와 관련이 있는지 여부입니다.
EU 담당자는 라틴 아메리카 기업의 데이터 보호 책임자(DPO)와 동일한 인물인가요?
아니요. EU 대표는 감독 당국 및 정보 주체를 위한 제27조에 따른 현지 연락 창구입니다. 데이터 보호 책임자(DPO)는 데이터 보호 거버넌스에 대한 감독, 자문 및 모니터링에 중점을 둔 별도의 규정 준수 담당자입니다. 라틴 아메리카 기업은 상황에 따라 둘 중 하나, 둘 다 또는 둘 다 필요하지 않을 수도 있습니다.
EU 대표 한 명이 라틴 아메리카 기업을 위해 여러 EU 국가를 담당할 수 있나요?
대부분의 경우 그렇습니다. 라틴 아메리카에 기반을 둔 회사는 일반적으로 EU 국가별로 대리인을 둘 필요가 없습니다. 적절하게 설립된 대리인 한 명이 여러 회원국에 걸쳐 관련 데이터 처리를 담당할 수 있으며, 단, 해당 대리인의 설정은 관련 데이터 주체의 위치와 커뮤니케이션 방식을 반영해야 합니다.
라틴 아메리카 기업은 EU와 영국에 각각 별도의 대리인이 필요한가요?
가능성이 있습니다. EU GDPR과 영국 GDPR은 별개의 법적 체계입니다. EU와 영국 모두에서 개인을 대상으로 사업을 하는 브라질, 멕시코 또는 페루 기업은 각각 별도의 대리인 계약을 체결해야 할 수도 있습니다.
중남미 기업이 확신이 서지 않는다면 무엇부터 해야 할까요?
EU를 대상으로 하는 판매, 온보딩 흐름, 배송 구역, 마케팅 캠페인, 쿠키, 분석 및 사용자 추적에 대한 문서화된 검토부터 시작하십시오. 그런 다음 처리가 제3조(2)에 부합하는지, 제27조가 적용되는지, 그리고 면제를 실제로 적용할 수 있는지 평가하십시오.
한 명의 담당자가 저희 라틴 아메리카 회사의 고객이 있는 모든 EU 국가를 담당할 수 있나요?
가능성은 있습니다. 제27조에 따른 단일 대리인이 여러 EU 국가에 걸쳐 적용되는 데이터 처리에 대한 EU 내 연락 창구 역할을 수행할 수 있습니다. 단, 대리인 지정은 관련 담당자의 소재지 및 규제 기관 또는 데이터 주체와의 소통 방식과 일치해야 합니다.
중남미 기업이 제27조를 무시할 경우 어떤 일이 발생할까요?
이는 명백한 규정 준수 공백을 초래합니다. EU 내 감독 당국이나 담당자가 해당 처리와 관련하여 회사에 연락을 시도할 때 EU 내에 적절한 대리인이 없다면, 이러한 공백이 즉시 드러날 수 있습니다. 유럽으로 사업을 확장하는 라틴 아메리카 기업의 경우, 제27조는 사후 고려 사항이 아니라 조기에 검토해야 합니다.
최종 결론
유럽과 관계를 맺고 있는 모든 라틴 아메리카 기업이 EU 대표를 둘 필요는 없습니다. 그러나 EU 비회원국 기업이 EU 거주자에게 상품이나 서비스를 의도적으로 제공하거나 그들의 행동을 감시하는 경우에는 제27조가 실질적인 법적 요건이 될 수 있습니다.
다음으로 가장 안전한 단계는 관할 구역, 면제 사항 및 운영 준비 상태에 대한 문서화된 평가를 수행하는 것입니다. 사업에 공식적인 대리인이 필요할 가능성이 높다면 다음 사항을 검토하십시오. DilicheckRep의 EU GDPR 제27조 대리 서비스 또한 Dilicheck, SL을 통한 EU 전역 채용이 귀사의 조직 구조에 적합한지 평가해 보십시오.
DilicheckRep은 국제 조직을 위해 EU 및 영국 규제 기관에 대한 공식적인 대리 서비스를 제공하며, 감독 당국 및 데이터 주체와의 소통을 체계적으로 처리합니다. 라틴 아메리카 사업에 제27조 지정 또는 공식적인 현지 연락 채널이 필요한 경우, DilicheckRep 웹사이트를 방문하세요. 딜리체크렙 유럽 연합 전역에 걸쳐 적절한 대표 체계를 평가하기 위해.