Data Privacy Rubric (개인정보 보호 루브릭)

개요

학교가 쓰는 디지털 도구는 대부분 외부 공급사가 만들고 운영한다. 그 도구가 어떤 데이터를 모으고 누구와 나누는지는 공급사의 개인정보처리방침과 이용약관에 적혀 있지만, 문서마다 형식과 상세도가 달라 기관이 하나하나 읽고 비교하기는 어렵다. 그렇다고 검토를 건너뛰면 학생 데이터가 어떻게 다루어지는지 모르는 채 도구를 들이게 된다. Data Privacy Rubric은 「개인정보처리방침과 이용약관이 무엇을 담고 있어야 하는가」를 항목으로 정리한 심사 기준이다.

이 루브릭은 상호운용성 명세가 아니다. 구현하는 대상이 아니라 심사하는 도구이며, 심사 대상은 제품의 코드가 아니라 정책 문서다. K-12, 고등교육, 공급사 회원의 기대를 모아 1EdTech 커뮤니티가 협력해 설계했고, 애플리케이션의 프라이버시 보호 수준을 평가하는 기준선을 세우는 것을 목표로 한다.

「프레임워크 및 루브릭」 블록의 다섯 항목 가운데 이 한 종만 1EdTech이 직접 심사해 인증을 발급한다. 나머지 세 루브릭은 공급사의 자기평가다.

평가 대상과 범위

심사 대상은 에듀테크 애플리케이션의 개인정보처리방침과 이용약관이다. 제품의 기능이나 코드를 시험하는 것이 아니라, 공개된 정책 문서가 정해진 항목을 다루고 있는지를 본다. 원문이 「an edtech application's Privacy Policy and Terms of Service should meet」라고 적은 그대로다.

범위는 루브릭 본체와 추가 준수 영역으로 나뉜다. 본체는 아래 「평가 항목」의 다섯 묶음이며, 이와 별도로 1EdTech은 여러 규제 정책에 대한 준수 정도에 관한 정보도 함께 제공한다. 원문이 제시하는 추가 준수 영역은 GDPR(일반 개인정보 보호법), COPPA(아동 온라인 프라이버시 보호법), FERPA(가족 교육권 및 프라이버시법)다.

심사 결과의 상세 보고서는 회원을 대상으로 TrustEd Apps Directory에 공유되며, 교육기관은 이를 자체 애플리케이션 검토나 조달 의사결정에 활용할 수 있다.

평가 항목

루브릭이 묻는 항목은 다섯 묶음이다.

• 일반: 정책이 개정될 때 사용자에게 고지가 제공되는가 — 핵심 정책의 변경이 어떻게 관리되는가
• 수집 데이터: 수집하는 데이터를 모두 열거하는가 / 수집 방법을 밝히는가 / 데이터의 소유자를 명시하는가 / 사용자가 자기 데이터를 전부 삭제할 수 있는가 / 데이터 보존 기간을 밝히는가
• 보안: 데이터를 어떻게 보호하는지 밝히는가 / 기밀 및 민감 정보가 전 구간에서 암호화되는가 / 강력한 비밀번호 생성을 강제하는가 / 2단계(또는 그 밖의 다중 요소) 인증을 활용하는가 / 쿠키 사용을 밝히는가
• 제3자 데이터: 제3자를 이용하는지 밝히는가 / 각 제3자와 공유하는 정보를 밝히는가 / 사용자가 제3자 데이터 공유를 거부할 수 있는가 / 제3자에게 계약 조건 준수를 요구하는가 / 제3자가 바뀔 때 사용자에게 고지하는가
• 광고: 광고가 표시되는지 밝히는가 / 사용자가 광고 대상이 되는지 밝히는가 / 제3자가 광고 목적으로 정보를 추적 및 수집하는지 밝히는가 / 웹 비콘 등 추적 방법을 쓰는지 밝히는가 / 사용자가 광고주와의 데이터 공유를 거부할 수 있는가

각 항목은 정책 문서가 그 내용을 다루는지를 묻는 형태다. 상세한 내용은 Data Privacy Specification이 정본이다.

판정 방식과 결과 공개

판정 척도는 세 단계다 — 충족(Meets) · 부분 충족(Partially Meets) · 미충족(Does Not Meet). 원문이 「Assess Whether Your Privacy Policies Meets, Partially Meets, or Does Not Meet Expectations」로 제시하는 기준이다.

심사를 거쳐 기준을 충족한 제품은 Data Privacy Certification 인장을 받는다. 인증받은 제품은 TrustEd Apps Directory에 등재되고, 기관 회원은 TrustEd Apps Management Suite(TAMS)에서 이를 조회할 수 있다. 상세 심사 결과는 Directory에서 회원에게 공개된다. 에듀테크 공급사 회원은 인증을 바탕으로 TrustEd Apps Partner가 될 수 있다.

수행 주체

1EdTech이 직접 심사하고 인증을 발급한다. 원문은 「The rubric is used by 1EdTech to vet and certify applications」라고 명시한다. 공급사가 스스로 점수를 매겨 제출하는 자기평가가 아니라, 1EdTech이 공급사의 정책 문서를 검토하고 협의하는 절차다.

이 점이 같은 블록의 다른 세 루브릭과 결정적으로 다르다. Accessibility Rubric, Generative AI Data Rubric, Security Practices Rubric은 공급사의 자기평가이며 인증이 아니다. 그 셋에 대해서는 「자기평가를 완료하고 공개했다」가 정확한 표현이고, 「인증을 취득했다」는 표현은 성립하지 않는다.

1EdTech Korea는 이 인증을 발급하지 않는다. 인증 주체는 1EdTech이다. 1EdTech Korea는 표준 제정 기관이 아니라 지역 협력 허브이며, 국내에서 이 인증을 안내하고 연결하는 역할을 맡는다.

신청 자격은 회원 자격에 걸려 있다. 인증 절차와 신청 요건은 Data Privacy Certification 페이지와 그 FAQ에 정리되어 있다.

관련 표준 및 루브릭

• Security Framework: 1EdTech 스펙이 공통으로 따르는 기술 계층의 보안 패턴이다. 이 루브릭이 정책 문서를 본다면 그쪽은 구현을 다룬다. 둘은 서로를 대체하지 않는다.
• Security Practices Rubric: 공급사의 보안 실무 관행을 다루는 자기평가 도구다. 심사 주체가 다르다는 점을 함께 확인해야 한다.
• Generative AI Data Rubric: 생성형 AI 데이터 관행을 다루는 자기평가 도구다. AI 사용 사실을 개인정보처리방침에 담도록 요구하는 지점에서 이 루브릭과 이어진다.
• Accessibility Rubric: 접근성 성숙도를 다루는 자기평가 도구다. 같은 TrustEd Apps 프로그램의 구성 요소다.
• LTI: 플랫폼과 도구를 연결한다. 런치 과정에서 사용자 데이터가 오가므로, 연결하는 도구의 정책 심사 결과가 도입 검토의 근거가 된다.

국내 활용 시나리오

국내 대학이나 교육청이 외부 도구를 도입할 때 공급사의 개인정보처리방침을 담당자가 직접 읽고 판단하는 경우, 검토 기준이 담당자마다 달라진다. 이 루브릭의 항목 목록을 검토 체크리스트로 삼으면 기관 내부의 판단 기준을 하나로 맞출 수 있다. TrustEd Apps Directory에 인증 결과가 있는 제품이라면 검토 시간을 줄일 수도 있다.

국내 에듀테크 기업이 해외 기관에 제품을 공급하려는 경우, 이 인증은 조달 검토에서 제시할 수 있는 근거가 된다. 다만 인증은 회원 자격을 갖춘 조직이 신청할 수 있으므로 회원 가입이 선행된다.

중요한 한정이 하나 있다. 이 인증은 GDPR, COPPA, FERPA 같은 미국 및 유럽 법제를 기준으로 준수 정도를 살핀다. 국내 「개인정보 보호법」 준수를 보증하지 않으며, 국내 법령 적합성은 별도 검토가 필요하다. 인증 보유를 국내 법령 충족의 근거로 제시해서는 안 된다. 국내 기관이 이 결과를 활용할 때는 국내 법령 검토를 병행하는 것을 전제로 삼아야 한다.

원문 자료

• 게이트웨이: https://www.1edtech.org/standards/data-privacy
• Data Privacy Rubric 상세: https://www.1edtech.org/standards/data-privacy/rubric
• Data Privacy Specification: https://www.imsglobal.org/spec/privacy/v1p0
• Data Privacy Certification 절차: https://www.1edtech.org/certification/data-privacy
• 인증 면책·FAQ: https://www.1edtech.org/certification/data-privacy/faq
• DPSA 템플릿: https://www.1edtech.org/resource/dpsa
• TrustEd Apps 프로그램: https://www.1edtech.org/program/trustedapps

이 요약은 1EdTech의 공개 자료를 바탕으로 1EdTech Korea가 작성했습니다. 기술적 세부사항은 원문 스펙을 기준으로 합니다.