유럽 시민으로서 데이터 보호 당국(DPA)에 신고해야 할까요? GDPR 제17조에 따른 권리를 행사할 수 없습니다
As European citizen should I report it to Data Protection Authority (DPA), can't exercise right under Art. 17 GDPR
핵심 요약
Anthropic의 데이터 삭제 거부에 대해 유럽 시민이 GDPR 권리 행사를 위해 당국 신고를 고려하는 상황입니다.
- GDPR 권리 행사 — 데이터 삭제 요청이 거부된 상황에 대한 대응 방안 논의함
- 개인정보 처리 — Anthropic과 Persona의 데이터 보유 정책 및 법적 근거를 검토함
- 당국 신고 절차 — 공식적인 서면 요청 후 DPA에 신고하는 단계적 대응을 권장함
- 개인정보 보호 우려 — AI 서비스의 과도한 데이터 수집 및 신원 확인 절차에 대한 회의적 반응
결론부터 말하자면, 내가 로우 레벨 코딩을 워낙 많이 해서 AI가 자꾸 거부하는 게 존나 짜증 나길래 'Cyber Verification'이라는 걸 받아보려고 했거든. 근데 첫 번째 시도는 광탈했고, 레딧 좀 뒤져보니까 이거 그냥 사기나 다름없다는 글이 수두룩하더라. 승인받기도 빡센 데다, 설령 승인받아도 모델이 여전히 요청을 밥 먹듯이 거부해서 사실상 아무짝에도 쓸모가 없다는 거지. 그래서 이딴 거 받아봤자 의미도 없겠다 싶어서, GDPR 제17조 1항 (a)호에 따라 인증에 썼던 내 데이터 삭제를 요청했어. 목적 자체가 사라졌으니까 당연히 지워야 하는 거 아님? 근데 돌아온 답변이 가관인 게, 자기들은 데이터 안 가지고 있고 "Persona"라는 업체가 가지고 있으니까 거기다 직접 문의하라는 거야. 어떻게 문의하는지 방법도 안 알려주고 그냥 나 몰라라 하더라고. 그래서 다시 따졌더니 저런 답변이 온 거임. 물론 GDPR 제17조 3항 (b)호가 있긴 한데, 아마 그걸 근거로 들이미는 것 같거든? 근데 정확한 이유도 안 알려줌. 애초에 Cyber Verification에 무슨 법적 의무가 있다는 건지 이해가 안 가네. 폴란드 시민으로서 그런 법은 들어본 적도 없거든. 이건 그냥 지들 내부 규정 같은데, 내부 규정이 법 위에 있을 순 없잖아???
UPDATE:
다들 GDPR 제17조 3항 (b)호에 따라 사기 방지 목적으로 데이터를 보관할 권리가 있다고 떠드는데, 그런 주장을 뒷받침할 만한 EU 법안이 있긴 한 거냐? 이건 그냥 Anthropic 내부 규칙 같은데, 법보다 위에 있을 순 없지.
둘째로, 설령 보관할 필요가 있다 쳐도 내 데이터를 전부 다 가지고 있을 이유는 없잖아. GDPR 제5조에 '데이터 최소화 원칙'이라는 게 있는데 말이야. 이 원칙대로라면 Anthropic은 그냥 내 데이터를 해싱해서 데이터베이스에 해시값만 저장하면 되는 거 아님? 그러면 똑같은 사람이 또 신청하는지 확인은 가능하면서도, 내 실제 신분증 정보는 안 남으니까 데이터 유출 걱정도 없잖아.
