GDPR 준수 화상 회의(2026): 실제로 필요한 것 (그리고 번역해 주는 Zoom 대안)

화상 플랫폼 홈페이지의 "GDPR 준수"라는 문구는 사실상 내용이 없습니다. GDPR은 통과하면 받는 인증이 아니라, 데이터 컨트롤러인 여러분에게 부과되는 의무의 집합입니다. 벤더는 그 의무를 이행하도록 돕거나, 아니면 조용히 여러분의 책상 위에 남겨 둡니다. 따라서 던져야 할 질문은 "이 도구는 GDPR을 준수하는가?"가 아닙니다. "이 도구를 쓰면 나는 무엇에 책임을 지게 되고, 내 회의 데이터는 실제로 어디로 가는가?"입니다.

🔒 업데이트 — 우리 자신에게 적용해 보았습니다. 이 글이 게시된 이후 InterMIND의 코드베이스 전체를 아래 체크리스트로 점검하고, 삭제, 보관, EU 런타임, 하위 처리자 등 모든 항목을 마무리했습니다. 페이지에서 주장하는 데 그치지 않고 코드로 검증했습니다. → 감사 마무리 보고서를 항목별로 읽어 보기.

이 글은 그 질문을 쉬운 말로 풀어 쓴 버전입니다. DPO가 실제로 거치는 체크리스트, 그 위에서 Zoom의 위치(인터넷에서 알려진 것보다 규정 준수 역량이 높으므로 공정하게 평가합니다), 그리고 EU 런타임 대안이 답을 바꾸는 지점을 다룹니다. "실시간 회의는 어떻게 운영되어야 하는가"라는 더 넓은 틀이 궁금하시다면 핵심 가이드를 보세요. 이 글은 데이터 보호 계층만 다룹니다.

쉬운 말로 정리한 체크리스트

마케팅 문구를 걷어내면 "GDPR 준수 화상 회의"는 실제로 검증할 수 있는 일곱 가지로 압축됩니다.

1. 서명된 DPA. 벤더를 여러분의 처리자로 명시하고, 처리 목적과 지시 사항을 문서화한 데이터 처리 부속서(DPA)입니다. DPA가 없으면 적법한 처리도 없습니다. 예외는 없습니다.
2. 실제 하위 처리자 목록. 전사, 저장, 이메일, 분석, AI 기능 등 회의 데이터에 닿는 모든 제3자가 각자의 역할과 본사 소재지와 함께 명시되어야 합니다.
3. 런타임에서 데이터가 처리되는 위치. 오디오, 전사본, 녹화본, 메타데이터가 처리되는 물리적 리전입니다. 대부분의 데이터 상주 조항이 실제로 다루는 부분이 바로 이것입니다.
4. 국제 전송 메커니즘. 데이터가 EEA 밖으로 나간다면 어떤 법적 근거에 따릅니까? 표준계약조항(SCC), 적정성 결정, 또는 전송 자체를 피하는 상주 구성이 있습니다. 이것이 Schrems II의 질문이며, 홈페이지에 "준수"라고 적혀 있다고 사라지지 않습니다.
5. 감사할 수 있는 보안 체계. ISO 27001, ISO 27701, SOC 2처럼 자체 주장이 아닌 독립 기관의 인증입니다.
6. 정보주체 권리 처리 도구. 회의 데이터에 대한 열람, 삭제, 이동 요청을 실제로 이행할 수 있습니까, 아니면 이론상으로만 가능합니까?
7. 직접 통제하는 보관과 삭제. 녹화본, 전사본, AI 요약이 벤더의 기본값이 아니라 여러분의 일정에 따라 삭제되어야 합니다.

일곱 가지 모두에 구체적인 답이 있을 때에만 그 도구는 여러분에게 "GDPR 준수"라고 할 수 있습니다. 대부분의 홈페이지는 이 중 어느 것에도 답하지 않습니다.

Zoom의 실제 위치 (공정하게)

Zoom은 평판보다 GDPR 대응 역량이 높습니다. 값싼 점수를 따기보다 이 점을 정확히 짚는 편이 좋습니다.

• 2021년 EU 표준계약조항이 포함된 글로벌 DPA를 공개하고 있습니다.
• Enterprise 및 Education 고객에게 EU 데이터 상주("Zoom EU Infrastructure")를 제공하며, 범위는 Meetings, Webinar, Chat, Phone, Contact Center입니다.
• ISO 27001을 보유하고 있으며 2026년 2월부터 ISO 27701(개인정보 관리 확장 인증)도 보유합니다. EU 공공 부문 주권 통제 항목도 공개되어 있습니다.

따라서 적절한 등급에서 올바르게 구성한 Zoom 배포는 체크리스트 대부분을 충족할 수 있습니다. 솔직히 짚어야 할 단서는 역량이 아니라 기본값과 본사 소재지에 관한 것입니다.

• EU 상주는 기본값이 아니라 등급과 설정에 달린 애드온입니다. Enterprise/Education에서 제공되며 직접 켜야 합니다. 무료 및 하위 유료 등급에서는 제공되지 않습니다. "Zoom을 쓴다"와 "EU 상주로 구성한 Zoom을 쓴다"는 조달 관점에서 서로 다른 사실입니다.
• Zoom은 미국에 본사를 둔 기업입니다. SCC와 EU 상주가 있어도 벤더의 법인 소재지는 CLOUD Act 및 주권 수준 평가의 대상입니다. 일반적인 GDPR에서는 SCC로 관리할 수 있지만, 프랑스의 souveraineté numérique나 SecNumCloud 수준의 조달에서는 법인 소재지 자체가 기준이며, 이는 더 어려운 논의입니다.
• 회의는 여전히 한 가지 언어로 진행됩니다. Zoom의 번역 자막과 AI Companion이 도움은 되지만, 모든 참가자가 각자의 언어로 회의를 실시간으로 듣는 진정한 다국어 회의가 되지는 않습니다. 규정 준수 문제가 언어 문제이기도 하다면(국경 간 감사, 다중 사업장 CAPA 검토 등), 데이터가 어디에 있든 그 간극은 해결되지 않습니다.

요약하면, Zoom은 설정하면 GDPR을 준수할 수 있습니다. 그것이 충분한지는 구매 주체가 주권 문제에 얼마나 민감한지, 그리고 회의가 다국어인지에 달려 있습니다.

체크리스트에서 InterMIND의 위치

InterMIND는 호스트가 팀과 고객에게 제공하는 공간으로, 각자 자신의 언어로 회의, 채팅, 파일, 회의 요약을 이용합니다. 위 체크리스트는 설정 프로젝트가 아니라 기본값으로 답이 정해져 있습니다. 그중 약속이 아닌 구조로 보장되는 부분은 회의가 어디에서 실행되는가이며, DPO를 위해 한 줄씩 정리하고 실제 운영 환경으로 검증했습니다.

• 모든 런타임 구간이 EU 안에 있습니다. 앱과 서버 API는 프랑크푸르트(fra1)의 Vercel, 회의 WebSocket 서버는 파리(cdg)의 Fly, 애플리케이션 데이터는 AWS 프랑크푸르트(eu-central-1)의 Neon Postgres에 있습니다. 녹화본은 EU 고정이 가능한 Tigris, 오류/분석은 Sentry EU와 PostHog EU, 트랜잭션 이메일은 아일랜드의 Resend를 사용합니다.
• 번역 엔진은 프랑스(OVH)에 있는 자체 코드입니다. 재판매하는 미국산 범용 모델이 아닙니다. 회의 콘텐츠의 가장 큰 흐름은 EU 안에 머물며 제3자 LLM에 닿지 않습니다. 문서 번역은 쾰른의 DeepL로 보내지며, DeepL 역시 EU 기업입니다.
• 법인 소재지 상세가 포함된 하위 처리자 목록은 DPA와 함께 제공됩니다. 요청 시가 아니라 표준 관행입니다.

회의 콘텐츠는 EU 안의 AI 게이트웨이 한 곳으로 전달되며, 이는 조직이 선택합니다. 언어 모델이 필요한 회의 파생 결과물, 즉 회의 후 AI 다이제스트(주제, 결정 사항, action items), 문서 요약, AI 노트 편집기의 생성 동작(수정, 확장, 간소화), Ask AI는 조직이 선택한 AI 게이트웨이에서 실행됩니다. 기본값은 EU Data Zone의 Azure OpenAI이며, 선택에 따라 EU 멀티 리전 엔드포인트의 Vertex AI 또는 프랑크푸르트의 Amazon Bedrock을 쓸 수 있습니다. 각각 자체 테넌트에서 데이터 보존 없이(zero data retention) 운영되고 고객 콘텐츠로 학습하지 않으며, 직접 보유한 OpenAI 호환 엔드포인트도 사용할 수 있습니다. 회의 후 요약과 편집기의 번역 동작은 언어 모델이 아니라 번역 계통을 거칩니다. 호스팅 게이트웨이 뒤의 벤더는 EU 리전을 운영하는 미국 기업이며, 이 점은 숨기지 않고 신뢰 페이지에 그대로 밝혀 두었습니다. 법인 소재지는 주권 수준의 조달이 GDPR 위에 추가하는 기준이며, 위의 Zoom에 적용되는 것과 똑같이 이 구간에도 적용됩니다. 벤더별 전체 지도는 InterMIND 회의 하나는 실제로 어디에서 실행되는가에, 직접 구축 대 도입 관점은 InterMIND 회의 하나는 무엇으로 만들어지는가에 있습니다.

한 가지 주장하지 않는 것이 있습니다. 아직 보유하지 않은 ISO 인증서를 내세우지 않습니다. 체크리스트에 대한 우리의 답은 구조적입니다. EU 런타임, 자체 엔진, 투명한 하위 처리자, 실질적인 DPA이며, 배지를 믿기보다 직접 검증하시기를 권합니다. 인증은 로드맵에 있고, 런타임은 오늘 이미 실제로 동작합니다. 우리는 이 체크리스트로 자체 코드베이스를 점검하고 각 항목을 코드로 확인하며 마무리했습니다. 마무리 보고서를 항목별로 읽어 보세요.

그리고 Zoom의 상주 설정으로는 더할 수 없는 부분이 있습니다. 회의가 설계부터 다국어라는 점입니다. 모든 참가자가 23개 언어에 걸쳐 각자의 언어로 음성, 채팅, 노트를 실시간으로 이용하며, 번역 품질은 주장이 아니라 공개적으로 게시됩니다. 작동 방식은 핵심 가이드에, 규제 대상 회의 사례는 다국어 컴플라이언스 회의에 있습니다.

표로 보는 체크리스트

이 글에서 자세히 다루는 두 도구에 대해 일곱 항목을 비교했습니다. 각 셀에는 각 벤더가 문서로 밝힌 내용만 담았습니다(Zoom 링크는 아래 출처에 있으며, InterMIND의 주장은 감사 마무리 보고서와 런타임 지도에서 항목별로 검증했습니다). 다른 벤더라면 왼쪽 열의 질문에 서면으로 답하게 하세요.

FAQ

Zoom은 GDPR을 준수합니까? 적절한 등급과 설정에서는 그렇습니다. Zoom은 2021 EU SCC가 포함된 글로벌 DPA를 공개하고, Enterprise 및 Education 고객에게 EU 데이터 상주를 제공하며, ISO 27001과 (2026년 2월부터) ISO 27701을 보유합니다. 솔직한 단서는 두 가지입니다. EU 상주는 기본값이 아니라 등급과 설정에 달린 애드온이라는 점, 그리고 Zoom은 여전히 미국에 본사를 둔 기업이라는 점입니다. 일반적인 GDPR에서는 SCC로 관리할 수 있지만, 주권 수준의 조달에서는 실제 기준이 됩니다.

화상 회의 도구가 GDPR을 준수하려면 무엇이 필요합니까? 홈페이지 배지가 아니라 검증 가능한 일곱 가지입니다. 서명된 DPA, 실제 하위 처리자 목록, 문서화된 런타임 리전, 적법한 국제 전송 메커니즘, 독립적으로 감사된 보안, 작동하는 정보주체 권리 처리 도구, 직접 통제하는 보관 기간입니다. 일곱 가지 모두에 서면으로 구체적인 답이 있을 때 그 벤더는 여러분의 목적에 맞게 규정을 준수한다고 할 수 있습니다.

GDPR은 화상 회의를 EU 안에 두도록 요구합니까? 아니요. GDPR이 요구하는 것은 데이터가 EEA 밖으로 나갈 때의 적법한 전송 메커니즘(SCC, 적정성 결정)이지 상주 자체가 아닙니다. 상주가 중요한 이유는 전송 문제를 아예 없애기 때문입니다. 데이터가 나가지 않으면 Schrems II 이후의 분석도 짧아집니다. 이것이 "서류로 준수하는 것"과 "덮어야 할 것이 없는 것"의 차이입니다.

EU 안에서만 실행되는 화상 회의 도구는 무엇입니까? 어떤 벤더든 런타임 지도를 요청하세요. 앱, API, 회의 미디어, 데이터베이스, 녹화본, 분석, 이메일, AI 기능 등 구간별 리전입니다. InterMIND는 바로 그것을 공개합니다(모든 구간을 벤더별로). Vercel 프랑크푸르트, Fly 파리, Neon 프랑크푸르트, OVH 프랑스의 번역 엔진, 그리고 조직이 선택한 게이트웨이의 AI 기능은 EU 리전에서 실행됩니다(기본값은 Azure OpenAI EU Data Zone). 어떤 도구를 평가하든 답은 마케팅 페이지가 아니라 이 지도에 있습니다.

이 글이 맞는 호스트

팀이나 고객이 다른 언어를 쓰는 10~200명 규모 조직의 소유주 또는 관리자로, 이미 Teams나 Workspace를 쓰고 있으며 IT 부서 없이 공간을 직접 마련하는 분입니다. 이런 호스트에게 체크리스트는 기본값으로 답이 정해져 있어 DPO와의 논의도 짧아집니다. 나머지 결정은 회의 자체가 각 멤버의 언어로 진행되는지에 달려 있습니다. 벤더의 소재지가 사양의 일부인 주권 수준의 공공 조달은 별개의 논의이며, 과장하지 않고 그렇게 말씀드립니다.

직접 써 본 뒤 데이터 지도를 읽어 보세요

• 라이브 데모 체험하기 — 실제 회의에서 실시간 다국어 파이프라인을 직접 들어 보고, "EU 런타임 그리고 다국어"가 어떤 느낌인지 확인해 보세요. 가입은 필요 없습니다.
• InterMIND vs. Zoom — 기능별로 솔직하게 비교했습니다.
• InterMIND 회의 하나는 실제로 어디에서 실행되는가 — 빈틈까지 포함한 벤더 전체 지도입니다.

"GDPR 준수 화상 회의"는 배지가 아니라 체크리스트입니다. 우리 제품이든 다른 제품이든, 어떤 도구를 고르시더라도 벤더가 일곱 가지 질문에 모두 서면으로 답하게 하세요. 답할 수 있는 곳은 시간을 들일 가치가 있고, 답하지 못하는 곳은 홈페이지를 팔고 있는 것입니다.

— Mind.com 팀

Zoom 관련 출처: Zoom — GDPR, Zoom — EU Data Residency / privacy in Europe, Zoom — ISO 27701, 2026년 8월 확인. 벤더의 제공 내용과 등급은 변경될 수 있으므로 현재 구성은 Zoom의 신뢰 페이지에서 확인하세요. InterMIND 런타임 관련 사실은 링크된 데이터 지도 글에 설명된 대로 실제 운영 환경에서 검증한 것입니다.