LOPDP

법적 근거와 동의 요건

동의는 에콰도르 LOPDP에서 이용할 수 있는 법적 근거 중 하나입니다.

동의를 이용하는 경우, 그 동의는 다음과 같아야 합니다.

• 자유로울 것
• 구체적일 것
• 충분한 정보에 기반할 것
• 명확할 것

LOPDP는 동의를 정보주체가 컨트롤러에게 자신의 개인정보 처리를 허락하는 자유롭고, 구체적이며, 충분한 정보에 기반하고, 명확한 의사 표시로 정의합니다.

그러나 조직은 모든 처리 활동에 동의가 필요하다고 가정해서는 안 됩니다.

LOPDP는 개인정보 처리를 위한 여러 법적 근거를 인정합니다. 따라서 조직은 동의 전략을 시행하기 전에 각 처리 목적에 적절한 법적 근거를 결정해야 합니다.

웹사이트의 경우 분석, 광고, 개인화 및 기타 추적 기술을 관리할 때 이러한 구분이 특히 중요합니다.

민감한 개인정보

LOPDP는 특수한 범주의 개인정보에 대해 강화된 보호를 제공합니다.

민감한 정보를 처리하는 조직은 처리를 시작하기 전에 적용되는 법적 근거와 추가 요건을 평가해야 합니다.

동의 메커니즘은 동의가 필요한 경우 관련된 민감정보 처리를 명확히 밝혀야 하며, 민감정보에 대한 동의를 불명확하거나 지나치게 포괄적인 허락에 묶어서는 안 됩니다.

정보주체의 권리

LOPDP는 개인에게 자신의 개인정보에 관한 권리를 부여합니다.

여기에는 다음이 포함됩니다.

조직은 이러한 요청을 접수하고, 본인을 확인하고, 추적하고, 응답하기 위한 문서화된 프로세스를 유지해야 합니다.

개인정보 처리방침 고지와 투명성

조직은 개인정보가 어떻게 처리되는지에 대해 명확하고 이해하기 쉬운 정보를 개인에게 제공해야 합니다.

개인정보 처리방침 고지에는 다음과 같은 관련 정보가 설명되어야 합니다.

• 컨트롤러의 신원
• 수집하는 개인정보의 범주
• 처리 목적
• 적용되는 법적 근거
• 수령인 또는 수령인의 범주
• 국외 이전(해당하는 경우)
• 데이터 보관에 관한 정보
• 정보주체의 권리
• 개인이 권리를 행사하는 방법
• 개인정보 관련 요청을 위한 연락처 정보

투명성은 최초 수집 단계에 국한되지 않고 데이터 수명 주기 전반에 걸쳐 유지되어야 합니다.

데이터 보안

LOPDP는 컨트롤러와 프로세서가 개인정보를 보호하기 위한 적절한 보안 조치를 시행하도록 요구합니다.

이 법은 특히 보안 조치가 개인정보의 성격, 처리 맥락, 위험, 위협 및 취약성과 같은 요소를 고려하도록 요구합니다.

보안 조치에는 다음이 포함될 수 있습니다.

• 기술적 보호 조치
• 관리적 통제
• 접근 관리
• 적절한 경우 암호화
• 모니터링
• 데이터 최소화
• 사고 대응
• 업무 연속성 조치
• 직원 인식 제고 및 교육

조직은 처리 활동과 위험이 변화함에 따라 보호 조치가 여전히 적절한지 주기적으로 평가해야 합니다.

개인정보 영향평가

에콰도르 체계에는 개인에게 중대한 위험을 초래할 수 있는 처리 활동에 대한 개인정보 영향평가(DPIA)가 포함되어 있습니다.

DPIA는 조직이 다음 사항을 파악하는 데 도움이 됩니다.

• 처리의 성격과 목적
• 개인에 대한 잠재적 위험
• 보안 및 개인정보 보호 통제
• 처리의 필요성과 비례성
• 파악된 위험을 줄이기 위한 조치

고위험 처리를 수행하는 조직은 처리를 시작하기 전에 DPIA가 필요한지 평가해야 합니다.

개인정보 보호책임자

에콰도르 체계는 특정 조직과 처리 활동에 대해 개인정보 보호책임자(DPO)의 지정에 관한 요건을 규정합니다.

DPO의 역할에는 다음과 같은 책임이 포함될 수 있습니다.

• 개인정보 보호 의무에 관한 자문
• 컴플라이언스 모니터링
• DPIA 지원
• 감독 당국과의 협력
• 정보주체의 권리에 관한 지침 제공
• 조직 내 개인정보 보호 거버넌스 증진

조직은 자신의 규모, 활동, 데이터 범주 또는 처리 운영이 DPO 요건에 해당하는지 평가해야 합니다.

개인정보 침해 통지

LOPDP 체계는 개인정보 보안 침해에 관한 의무를 규정합니다.

조직은 다음을 위한 절차를 유지해야 합니다.

1. 1보안 사고를 탐지합니다.
2. 2개인정보가 영향을 받았는지 평가합니다.
3. 3사고를 문서화합니다.
4. 4적용되는 통지 요건을 결정합니다.
5. 5필요한 경우 관할 당국에 통지합니다.
6. 6해당하는 경우 영향을 받은 개인에게 알립니다.
7. 7시정 조치를 시행합니다.

따라서 개인정보 보호 프로그램은 보안 사고 관리를 개인정보 보호 컴플라이언스와 연계해야 합니다.

국외 데이터 이전

에콰도르 체계는 국외 이전을 포함하여 개인정보의 이전 및 전달을 규제합니다.

SPDP는 2025년에 개인정보의 국내 및 국외 이전 또는 전달에 관한 구체적인 규정을 발령했습니다. 이 규정은 조직이 국외 데이터 이전을 수행할 때 LOPDP와 그 일반 규정의 관련 조항을 적용하도록 요구합니다.

조직은 다음 사항을 평가해야 합니다.

• 개인정보가 이전되는 곳
• 데이터를 수령하는 자
• 이전의 목적
• 관련된 데이터의 범주
• 이전 대상 국가
• 적용되는 보호 조치
• 계약상 요건
• 이전의 법적 근거

국외 데이터 흐름은 조직의 보다 광범위한 데이터 매핑 프로그램의 일부로 문서화되어야 합니다.

데이터 보관 및 삭제

개인정보는 적절한 목적 없이 무기한 보관되어서는 안 됩니다.

조직은 다음을 기준으로 보관 기간을 정해야 합니다.

• 처리 목적
• 적용되는 법적 의무
• 계약상 요건
• 보안상 고려 사항
• 정보주체의 권리
• 규제 요건

개인정보가 더 이상 필요하지 않은 경우, 조직은 적절한 삭제, 익명화 또는 기타 법적으로 요구되는 조치를 적용해야 합니다.

에콰도르의 SPDP는 또한 개인정보의 익명화, 차단, 정지 및 삭제에 관한 구체적인 규정을 발령하여 체계의 이 측면을 더욱 발전시켰습니다.

쿠키 및 온라인 추적

쿠키, 픽셀, 광고 트래커, 분석 도구 및 기타 기술은 개인정보 처리를 수반할 수 있습니다.

따라서 에콰도르에서 웹사이트를 운영하는 조직은 다음 사항을 파악해야 합니다.

• 배포된 쿠키와 트래커
• 각 기술이 수집하는 데이터
• 처리 목적
• 제3자 수령인
• 국외 이전
• 적용되는 법적 근거
• 동의가 필요한지 여부
• 동의 전에 트래커를 차단해야 하는지 여부

동의가 적용되는 법적 근거인 경우, ConsentX는 해당 추적 기술이 활성화되기 전에 조직이 유효한 동의를 받을 수 있도록 도와줍니다.