소식

May 27, 2023

규제 문제

기사 검색

기사 검색

개인식별이 가능한 신경데이터는 목적에 상관없이 항상 개인정보로 간주됩니다. 그러나 영국 GDPR에서는 신경데이터를 특정 형태의 개인 정보 또는 특수 범주 데이터로 명시적으로 정의하지 않습니다. 따라서 조직은 다음 두 가지를 모두 신중하게 고려해야 합니다.

주요 과제는 다음과 같습니다.

예를 들어 신경 데이터가 의료 목적으로 수집되고 처리되는 경우 영국 GDPR 제9(1)조에 따른 특수 범주 건강 데이터(SCD)일 가능성이 높습니다. 따라서 제6조에 따른 처리를 위한 법적 근거와 제9조에 따른 특수 범주 데이터 처리 조건의 충족이 필요합니다. 조직은 처리에 대한 적절한 근거를 식별할 수 있으며 동의가 적절한 법적 근거이자 특수 범주 조건일 수 있습니다.

민간 기업인 Neurorights Foundation과 같은 일부 그룹에서는 모든 경우에 신경 데이터를 처리하기 전에 명시적인 동의를 제공할 것을 권장했습니다.14 우리는 그러한 요청을 신중하게 처리해야 합니다. 의료 동의는 뚜렷하고 중요한 문제로 남아 있지만, 데이터 처리에 대한 명시적 동의는 영국 GDPR에 따른 다양한 적절한 특수 범주 조건 중 하나일 뿐입니다. 본질적으로 다른 조건보다 '더 나은' 것은 아닙니다. 조직은 무엇이 가장 적절한지 신중하게 고려해야 합니다.

소비자 목적으로 개인 정보를 사용하기 위한 동의에 대한 더 넓은 자동 의존도 혼란을 야기할 수 있으며 영국 GDPR에 따라 부적절할 수 있습니다. 동의 사용에 대한 폭넓은 대화와 요구로 인해 사람들은 자신의 정보를 사용하는 조직에 대한 동의를 자동으로 철회할 권리가 있다고 가정하게 될 수 있습니다. 실제로 조직은 처리를 위해 다른 적절한 기반을 사용할 수 있으며 이에 대해 투명하게 공개해야 합니다.어느 그들이 사용한 기준과 적용 가능한 권리는 무엇입니까? 처리의 동의 투명성에 항상 초점을 맞추는 대신 조직이 정보를 사용하는 방식을 사람들이 이해하는 데 더 효과적일 수 있습니다.

드문 경우지만, 조직에서는 자연인을 식별하거나 확인하기 위해 신경 데이터를 직접 사용할 수 있습니다. 이 경우에는 특수분류이다.생체인식 GDPR 제9(1)조에도 해당하는 데이터. 그러나 기술적으로는 가능하지만 시나리오에서 살펴본 것처럼 대부분의 용도는 분류적일 가능성이 높습니다. 이는 다른 강력한 생체 인식 방법에 비해 이러한 방식으로 사람을 식별하는 데 비용이 많이 들고 복잡하기 때문입니다. 정보가 있는 곳5월 조직이 사람을 식별할 수 있도록 허용하는 경우, 신경 데이터는 영국 GDPR 제4(14)조에 따라 생체 인식 데이터일 수도 있습니다. 따라서 이는 개인정보이지만 특정 범주의 데이터는 아닙니다. (특수 범주의 생체 인식 데이터에서는 조직이 고유한 식별을 목적으로 개인 정보를 처리해야 합니다.) 개인 정보를 처리하는 조직은 자신이 사용하는 정보를 통해 개인을 식별할 수 있는 시기와 방법, 그리고 예상되는 영향이 무엇인지 고려해야 합니다.

대조적으로, 조직은 특수 범주 데이터 처리를 위한 추가 보호 장치를 적용하지 않고 일부 대규모 신경 데이터를 광범위하게 사용할 수 있습니다.

예를 들어, 위의 시나리오 중 다수에서는 고용, 웰빙 또는 오락을 포함한 목적을 위해 사람들을 감정적으로나 행동적으로 분류하는 것에 대해 논의합니다. 따라서 추가 프로파일링이나 심지어 익명화의 위험이 있습니다. 이는 수집된 정보의 복잡성과 정보를 개인과 연관시킬 수 있는 용이성이 증가했기 때문입니다. 조직은 최대한의 이익을 실현하기 위해 신원 확인 또는 검증 후 정보를 의도적으로 개인과 연결할 수 있습니다.

이러한 경우 조직은 특수 범주 데이터에 대한 영국 GDPR 9조 정의를 충족하지 못하는 정보를 보유하고 있을 수 있지만 오용될 경우 여전히 상당한 피해를 입을 수 있습니다. (특히, 자율성 상실, 차별, 냉담함, 개인적인 고통).15 그러한 정보를 대규모로 처리하는 것은 모범 사례를 장려하는 데 어려움을 겪을 가능성이 높습니다. 이는 명시적으로 특수 범주 데이터로 간주되지 않는 상황에서 사용되는 경우에도 신경 데이터를 높은 영향과 높은 위험으로 간주해야 할 필요성을 강조합니다. 마지막으로, 조직은 개인정보가 특수 범주 데이터가 될 수 있는지 여부도 인지하고 있어야 합니다. 예를 들어, 정신 건강 데이터를 공개할 수 있는 집중력과 같은 직원 정보를 추적합니다.