DPA GH

실무적으로 목적 제한, 데이터 최소화, 투명성 및 보안은 핵심적인 준수 고려 사항입니다. 조직은 정의된 목적에 적합하고 관련성이 있으며 과도하지 않은 개인정보만 수집하고, 그 목적을 명확히 설명하며, 데이터의 전체 수명 주기에 걸쳐 이를 보호해야 합니다.

처리의 적법 근거

제20조는 다른 특정 정당화 사유가 적용되지 않는 한 정보주체의 사전 동의 없이 개인정보를 처리해서는 안 된다고 규정합니다. 동의가 유일한 정당화 사유는 아닙니다. 처리는 다음에도 근거할 수 있습니다:

• 계약상 필요성 – 정보주체가 당사자인 계약에 필요한 처리
• 법률에 의한 허용 또는 요구 – 법률에 의해 허용되거나 요구되는 처리
• 정보주체의 정당한 이익 보호 – 정보주체의 정당한 이익을 보호하기 위한 처리
• 법정 의무의 이행 – 법정 의무의 적절한 이행을 위해 필요한 처리
• 정당한 이익 – 데이터 컨트롤러 또는 데이터를 제공받는 제3자의 정당한 이익을 추구하기 위해 필요한 처리

조직은 모든 처리 활동에 대해 근거로 삼는 정당화 사유를 문서화해야 합니다. 문서화된 정당화 사유는 처리가 허용되는 이유를 보여 주고, 동의를 수집하고 기록해야 하는지를 결정하며, 반대 및 권리 요청을 처리하는 방식에 영향을 줍니다.

동의 관리

동의가 적용되는 정당화 사유인 경우, 동의는 다음과 같아야 합니다:

• 충분한 정보에 기반 – 무엇에 동의하는지에 대한 명확한 정보에 근거함
• 자발적 – 자유롭게 제공됨
• 강요 없음 – 압박이나 불이익을 통해 얻어지지 않음
• 구체적 – 정의된 목적과 연결됨
• 이해 가능 – 쉬운 언어로 설명됨
• 명확한 기록 – 제공되는 시점에 기록됨
• 입증 가능 – 나중에 제시할 수 있는 증거로 뒷받침됨

디지털 동의 인터페이스는 다음 사항을 전달해야 합니다:

• 조직의 신원
• 수집 목적
• 관련된 개인정보의 범주
• 제3자와의 공유 여부
• 마케팅 및 추적 목적
• 사용자가 자신의 선호를 관리하는 방법

동의 철회 및 반대

법률 제843호는 해당되는 경우 정보주체에게 자신의 개인정보 처리에 반대할 권리를 부여하며, 반대가 유효한 경우 처리는 중단되어야 합니다. 동의가 처리의 근거인 경우, 사람들은 동의를 철회할 수도 있어야 합니다.

이러한 권리는 운영 워크플로가 이를 뒷받침할 때에만 실효성이 있습니다. 조직은 다음을 유지해야 합니다:

• 동의 기록
• 반대 기록
• 동의가 근거인 경우의 철회 메커니즘
• 선호 업데이트
• 직접 마케팅 수신 제외
• 데이터를 사용하는 모든 시스템에 대한 선호 변경 사항의 전파

특수 개인정보

법률 제843호는 특수 개인정보에 강화된 보호를 부여하며, 여기에는 다음에 관한 정보가 포함됩니다:

• 인종
• 피부색
• 민족 또는 부족적 기원
• 정치적 견해
• 종교적 또는 이와 유사한 신념
• 신체적 건강
• 의료 정보
• 정신 건강 또는 정신 상태
• DNA
• 성적 지향
• 범죄의 실행 또는 실행 혐의
• 범죄와 관련된 절차
• 형사 절차 또는 형의 선고에 관한 정보

특수 개인정보를 처리하기 전에 조직은 다음을 평가해야 합니다:

• 법적 정당화 사유
• 동의 요건
• 보안
• 접근 제한
• 보존
• 데이터 공유
• 국외 이전
• DPIA 요건
• 개인에게 미칠 수 있는 영향

개인정보 처리방침과 투명성

공개성은 이 법의 원칙 중 하나입니다. 개인정보 처리방침은 다음 사항을 설명해야 합니다:

• 컨트롤러의 신원
• 연락처 정보
• 수집 목적
• 수집하는 개인정보의 범주
• 정보가 이용되는 방식
• 데이터 수령인
• 정보주체의 권리
• 직접 마케팅
• 국외 이전
• 보존
• DPC에 민원을 제기할 권리를 포함한 민원 처리 절차

정보주체의 권리

법률 제843호는 개인에게 자신의 개인정보에 관한 권리를 부여합니다. 각 권리는 해당되는 경우 법정 요건에 따라 적용됩니다.

정보주체 접근 요청

접근 요청 및 그 밖의 권리 요청을 처리하기 위한 실무적 워크플로:

1. 1요청 접수 – 정해진 채널을 통해 요청을 받고 각 요청을 기록합니다.
2. 2신원 확인 – 요청자가 정보주체 본인 또는 권한 있는 대리인인지 확인합니다.
3. 3요청 분류 – 어떤 권리가 행사되고 있는지 판단합니다.
4. 4데이터 탐색 – 시스템과 공급업체 전반에서 관련 개인정보를 찾습니다.
5. 5면제 사유 및 제3자 정보 검토 – 법정 면제 사유를 확인하고 다른 사람의 데이터를 보호합니다.
6. 6응답 준비 – 명확하고 정확한 응답을 준비합니다.
7. 7안전한 전달 – 안전한 채널을 통해 응답을 전달합니다.
8. 8기록 보관 – 요청, 결정 및 응답에 대한 기록을 보관합니다.

ConsentX는 요청 접수를 체계화하고, 처리 상태를 추적하며, 기록을 보관함으로써 개인정보 요청 워크플로를 지원할 수 있습니다. 이 소프트웨어는 법적 결과를 결정하지 않으며, 면제 사유와 응답에 관한 결정은 조직의 몫으로 남습니다.

직접 마케팅

법률 제843호는 개인이 데이터 컨트롤러에게 직접 마케팅을 위한 자신의 개인정보 처리를 중단하거나 시작하지 않도록 요구할 수 있게 합니다. 이는 다음에 영향을 미칩니다:

• 이메일 마케팅
• SMS 마케팅
• 광고
• 그 밖의 마케팅 채널
• 마케팅 선호
• 동의 및 수신 거부 기록
• 직접 마케팅 수신 제외

ConsentX 선호 관리는 조직이 마케팅 선택을 수집하고, 동의 및 수신 거부 기록을 보관하며, 업데이트된 선호를 연결된 시스템에 전달하여 수신 제외된 연락처가 타깃팅되지 않도록 돕습니다.

자동화된 의사결정

프로파일링을 포함한 자동화된 처리는 다음과 같은 특정한 개인정보 고려 사항을 수반합니다:

• 투명성
• 목적
• 데이터 품질
• 공정성
• 보안
• 적절한 경우 사람의 관여
• 개인에게 미칠 수 있는 영향
• 고위험 처리

프로파일링과 자동화된 의사결정은 처리의 내용과 적용되는 요건에 따라 DPIA가 필요할 수 있습니다.

데이터 보호 영향평가

데이터 보호 영향평가(DPIA)는 사전적인 개인정보 위험 평가입니다. 처리가 시작되기 전에 처리 활동이 개인에게 어떤 영향을 미칠 수 있는지, 그리고 어떤 조치가 그 위험을 줄이는지를 파악합니다.

DPIA는 다음과 같은 경우에 관련될 수 있습니다:

• 새로운 처리 활동
• 새로운 기술
• 기존 처리의 중대한 변경
• 특수 개인정보
• 프로파일링
• 자동화된 의사결정
• 개인에게 상당한 위험을 초래하는 처리

데이터 보호 감독관(Data Protection Supervisor)

제58조는 데이터 컨트롤러가 이 법의 준수 여부를 모니터링하도록 자격과 인증을 갖춘 사람을 데이터 보호 감독관(Data Protection Supervisor)으로 선임할 수 있도록 규정합니다.

효과적인 데이터 보호 감독관은 다음을 갖추어야 합니다:

• 해당 역할에 대한 인증 및 자격
• 준수 모니터링에 대한 책임
• 적절한 교육
• 조직 내 충분한 권한
• 역할 수행에 필요한 지식과 자원

데이터 보안

컨트롤러는 다음으로부터 개인정보를 보호하기 위해 적절하고 합리적인 기술적·관리적 조치를 취해야 합니다:

• 무단 접근
• 무단 공개
• 우발적 손실
• 파기
• 변경
• 부적절한 이용
• 불법적인 처리

실무적 조치는 다음과 같습니다:

• 암호화
• 접근 통제
• 인증
• 다중 인증
• 네트워크 보안
• 안전한 백업
• 로깅 및 모니터링
• 데이터 유출 방지
• 직원 교육
• 공급업체 통제
• 사고 대응

데이터 침해 관리

실무적인 침해 대응 절차:

1. 1사고 탐지
2. 2봉쇄
3. 3위험 평가
4. 4영향을 받은 데이터 식별
5. 5영향을 받은 개인 평가
6. 6요구되는 경우 규제기관 통지
7. 7요구되는 경우 개인 통지
8. 8개선 조치
9. 9문서화
10. 10사후 검토

DPC 등록

데이터 컨트롤러는 일반적으로 개인정보를 처리하기 전에 데이터 보호 위원회에 등록해야 합니다. 등록 신청에는 다음이 포함될 수 있습니다:

• 사업체 명칭 및 주소
• 대리인 정보
• 처리하는 개인정보에 대한 설명
• 개인의 범주
• 특수 개인정보
• 처리 목적
• 예정된 수령인
• 데이터가 이전될 수 있는 국가
• 데이터가 보유되는 사람의 범주
• 보안 조치에 대한 일반적인 설명

법률 제843호에 따라 데이터 컨트롤러로 등록하지 않고 개인정보를 처리하는 것은 범죄이며, 이 법에 규정된 바에 따라 약식 유죄 판결 시 벌금, 징역 또는 이를 병과하는 처벌을 받을 수 있습니다. 조직은 적용되는 처벌을 법률 자문가와 확인해야 합니다.

평가 대상 처리

법률 제843호에는 평가 대상 처리(assessable processing) 체계가 포함되어 있습니다. 정보주체에게 상당한 손해나 상당한 고통을 초래할 수 있거나 정보주체의 프라이버시 권리를 현저히 침해할 수 있는 처리는 DPC의 추가 검토 대상이 될 수 있습니다.

고위험 처리를 계획하는 조직은 처리를 시작하기 전에 이 체계가 적용되는지 검토해야 합니다.

국외 데이터 이전

가나 밖으로 개인정보를 이전하기 전에 조직은 다음을 포함하여 적용되는 요건을 평가해야 합니다:

• 이전 대상 국가
• 해외 수령인
• 데이터 범주
• 이전 목적
• 보안 보호조치
• 계약상 보호 장치
• 적용되는 외국 개인정보 보호법

DPC 등록 정보에는 데이터 컨트롤러가 개인정보를 이전하려는 국가가 포함되므로, 이전 방식과 등록 세부 사항은 서로 일치하도록 유지해야 합니다.

데이터 보존 및 삭제

보존은 개인정보가 수집된 목적 및 적용되는 법적 요건과 연계되어야 합니다. 보존 프로그램은 다음을 포함해야 합니다:

• 보존 기간
• 삭제 절차
• 보관(아카이빙)
• 법적 보존 조치
• 적절한 경우 자동 삭제
• 안전한 파기
• 정기적인 보존 검토

데이터 프로세서 및 공급업체

컨트롤러는 제3자가 자신을 대신하여 처리하는 개인정보에 대해 계속 책임을 집니다. 공급업체 계약은 다음 사항을 다루어야 합니다:

• 처리 지시
• 목적 제한
• 기밀 유지
• 보안
• 하위 프로세서
• 보존
• 삭제
• 사고 관리
• 정보주체 요청
• 국외 이전
• 준수 지원

프라이버시 중심 설계

프라이버시는 처음부터 제품과 프로세스에 내재화될 때 더 쉽게 달성됩니다. 유용한 관행은 다음과 같습니다:

• 데이터 최소화
• 목적 제한
• 프라이버시 친화적 기본 설정
• 접근 통제
• 암호화
• 보존 제한
• 동의 통제
• 감사 로그
• 안전한 삭제

쿠키 및 온라인 추적

법률 제843호는 개인정보의 처리를 규율합니다. 이 법은 모든 경우에 일률적으로 적용되는 쿠키 규칙을 두고 있지 않습니다. 웹사이트와 앱은 일반적으로 다음을 사용합니다:

• 필수 쿠키
• 분석 쿠키
• 광고 쿠키
• 소셜 미디어 픽셀
• 리타깃팅 기술
• 개인화
• 기기 식별자
• 제3자 스크립트

조직은 각 추적 기술이 개인정보를 처리하는지 판단하고, 처리하는 경우 이 법에 따른 적절한 법적 정당화 사유를 확인해야 합니다.

쿠키 동의 및 사전 스크립트 차단

동의가 추적에 적용되는 법적 근거인 경우, 다음 통제는 그 동의를 실질적인 것으로 만드는 데 도움이 됩니다:

• 명확한 동의 고지
• 목적별 선택
• 미리 선택되지 않은 선택적 범주
• 해당 트래커의 사전 차단
• 동의 철회
• 선호 관리
• 동의 기록
• 정책 버전 추적

ConsentX는 이러한 선택의 기술적 시행을 지원합니다. 사전 스크립트 차단은 방문자가 동의하기 전까지 해당 트래커가 실행되지 않도록 하며, 선호 관리를 통해 방문자는 언제든지 자신의 선택을 변경할 수 있습니다.

준수 모니터링 및 감사

조직은 다음을 포함한 준수 증거를 제시할 수 있어야 합니다:

• DPC 등록
• 개인정보 처리방침
• 동의 기록
• 데이터 맵
• 처리 활동 목록
• DPIA
• 보안 평가
• 공급업체 계약
• 침해 기록
• 정보주체 요청
• 마케팅 선호
• 보존 일정
• 교육 기록
• 데이터 보호 감독관 관련 기록

DPC 집행

가나의 데이터 보호 위원회는 다음을 담당합니다:

• 규제 감독
• 컨트롤러 등록
• 조사
• 민원
• 준수 모니터링
• 집행
• 지침
• 교육
• 인식 제고

위원회는 민원을 조사하고, 검사를 실시하며, 조직에 이 법을 준수하기 위한 조치를 취하도록 요구하는 통지를 발할 수 있습니다.

처벌

법률 제843호에는 각각 고유한 처벌이 정해진 구체적인 범죄가 포함되어 있습니다. 모든 범죄에 적용되는 단일한 최대치는 없습니다. 이 법은 다음을 구분합니다:

• 등록 불이행 – 데이터 컨트롤러로 등록하지 않고 개인정보를 처리하는 행위에는 이 법에 따른 고유한 처벌이 적용됩니다
• 특정 통지 불이행 – 위원회가 발한 특정 통지를 준수하지 않는 행위에는 고유한 처벌이 적용됩니다
• 그 밖의 법정 범죄 – 이 법에 규정된 그 밖의 범죄에는 각각에 대해 정해진 처벌이 적용됩니다
• 제95조에 따른 일반 처벌 – 구체적인 처벌이 규정되지 않은 경우, 범죄를 저지른 자는 약식 유죄 판결 시 5,000 벌금 단위(penalty units) 이하의 벌금, 10년 이하의 징역 또는 이를 병과하는 처벌을 받습니다

조직은 제95조의 최대치가 적용된다고 가정하기보다 각 구체적 조항에 부과된 처벌을 확인해야 합니다.

가나 2025년 데이터 보호 법안

2025년 데이터 보호 법안(Data Protection Bill, 2025)은 법률 제843호를 대체하기 위한 초안 제안입니다.

• 이 법안은 초안 제안이며 현재 시행 중인 법률로 취급되어서는 안 됩니다.
• 법률 제843호가 가나의 현행 데이터 보호 체계로 유지됩니다.
• 조직은 입법 동향을 모니터링해야 합니다.
• 대체 법률이 공식적으로 시행되는 경우 준수 검토를 갱신해야 합니다.