가나 데이터보호법 준수

가나 데이터보호법이란?

Data Protection Act, 2012(Act 843)은 가나에서 개인데이터를 보호하기 위한 법적 틀을 정합니다. 개인데이터의 수집, 이용, 공개, 보관, 보안, 파기를 규율하며 다음 사항을 다룹니다.

• 적법한 처리
• 데이터 최소화
• 목적 제한
• 투명성
• 데이터 품질
• 보안
• 정보주체의 참여
• 등록
• 데이터 처리 감독
• 국제적 처리
• 특별 개인데이터
• 규제기관의 집행

Data Protection Commission은 이 법에 따라 설립된 규제기관입니다. 데이터 관리자 등록부를 관리하고, 준수 여부를 감시하며, 민원을 조사하고, 집행 조치를 취하며, 가나 내 데이터보호 인식을 높입니다.

동의는 중요하지만 가나 DPA는 동의만에 의존하는 법이 아닙니다. 제20조는 동의와 함께 명시된 대안적 근거를 규정하므로, 각 처리 활동은 그 처리에 실제로 부합하는 근거에 기초해야 합니다.

데이터 관리자와 데이터 처리자

데이터 관리자는 개인데이터를 처리하는 목적과 방법을 결정합니다. 관리자는 DPC 등록을 포함해 준수에 대한 1차적 책임을 집니다. 예:

• 전자상거래 기업
• 은행 및 금융기관
• 보험회사
• 사용자(고용주)
• 의료기관
• 대학 및 학교
• 통신사업자
• SaaS 기업
• 마케팅 회사
• 정부기관
• 온라인 플랫폼

데이터 처리자는 관리자의 지시에 따라 관리자를 위해 개인데이터를 처리합니다. 예:

• 클라우드 제공업체
• 급여 처리 업체
• CRM 플랫폼
• 호스팅 제공업체
• 분석 서비스 제공업체
• 마케팅 플랫폼
• 고객지원 서비스 제공업체

적용 지역 범위

Act 843은 가나에 설립되어 가나에서 개인데이터를 처리하는 데이터 관리자에게 적용됩니다. 또한 가나에 설립되지 않은 관리자라도 가나 내 설비 또는 가나에서 사업을 수행하는 데이터 처리자를 이용해 개인데이터를 처리하는 경우 적용될 수 있습니다(단순히 가나를 경유하는 목적은 제외).

제18조는 외국 정보주체에 대해서도 규정합니다. 외국 법역에서 생성된 개인데이터가 처리를 위해 가나로 전송되는 경우, 데이터 관리자는 해당 외국 법역의 데이터보호 법령에 따라 그 데이터가 처리되도록 보장해야 합니다.

따라서 국제적으로 활동하는 조직은 자사의 정보주체, 시스템, 서비스 제공업체에 적용되는 다른 개인정보 보호 법령과 함께 가나의 요건을 평가해야 합니다.

Act 843에서 개인데이터란?

Act 843에서 개인데이터란, 해당 데이터만으로 또는 관리자가 보유하거나 취득할 가능성이 높은 다른 정보와 결합하여 식별될 수 있는 개인에 관한 데이터를 말합니다. 예:

• 이름
• 이메일 주소
• 전화번호
• 식별번호
• 계정 정보
• 고용 관련 정보
• 위치 정보
• 온라인 식별자
• 금융 정보
• 건강 정보
• 생체정보 또는 유전정보

쿠키 ID나 기기 식별자와 같은 기술적 식별자가 개인데이터에 해당하는지는, 해당 맥락에서 식별 가능한 개인과 연결될 수 있는지에 따라 달라집니다.

처리의 적법 근거

제20조는 명시된 다른 근거가 적용되지 않는 한 정보주체의 사전 동의 없이 개인데이터를 처리해서는 안 된다고 정합니다. 동의는 유일한 근거가 아닙니다. 처리는 다음 근거에도 기초할 수 있습니다.

• 계약상 필요 – 정보주체가 당사자인 계약을 위해 필요한 처리
• 법률상 허용 또는 요구 – 법률이 허용하거나 요구하는 처리
• 정보주체의 정당한 이익 보호 – 정보주체의 정당한 이익을 보호하기 위한 처리
• 법정 의무의 이행 – 법정 의무를 적절히 이행하기 위해 필요한 처리
• 정당한 이익 – 데이터 관리자 또는 데이터를 제공받는 제3자의 정당한 이익을 추구하기 위해 필요한 처리

조직은 모든 처리 활동에 대해 근거를 문서화해야 합니다. 문서화된 근거는 그 처리가 허용되는 이유를 보여주고, 동의를 수집·기록해야 하는지를 결정하며, 이의 제기와 권리 행사 요청 처리 방식을 정합니다.

동의 관리

동의가 적용 근거인 경우, 그 동의는 다음 요건을 갖추어야 합니다.

• 충분한 정보에 기반 – 무엇에 동의하는지에 관한 명확한 정보에 기초
• 자발성 – 자유롭게 제공
• 강요 없음 – 압력이나 불이익을 통해 취득되지 않음
• 구체성 – 정해진 목적과 연결
• 이해 가능 – 평이한 표현으로 설명
• 명확한 기록 – 동의한 시점에 기록
• 입증 가능 – 나중에 제시할 수 있는 증거로 뒷받침

디지털 동의 화면에서는 다음 사항을 알려야 합니다.

• 조직의 신원
• 수집 목적
• 관련된 개인데이터 항목
• 제3자 제공 여부
• 마케팅 및 추적 목적
• 이용자가 설정을 관리하는 방법

동의 철회와 이의 제기

Act 843은 해당하는 범위에서 정보주체에게 자신의 개인데이터 처리에 이의를 제기할 권리를 부여하며, 이의가 정당한 경우 처리는 중단되어야 합니다. 동의를 근거로 처리하는 경우, 개인은 이를 철회할 수 있어야 합니다.

이러한 권리는 운영 절차가 뒷받침될 때에만 작동합니다. 조직은 다음을 유지해야 합니다.

• 동의 기록
• 이의 제기 기록
• 동의를 근거로 하는 경우의 철회 수단
• 설정 업데이트
• 직접 마케팅 수신 차단 목록
• 설정 변경을 해당 데이터를 사용하는 모든 시스템에 전파

특별 개인데이터

Act 843은 특별 개인데이터에 강화된 보호를 부여하며, 여기에는 다음에 관한 정보가 포함됩니다.

• 인종
• 피부색
• 민족적 또는 부족적 출신
• 정치적 견해
• 종교적 또는 유사한 신념
• 신체 건강
• 의료 정보
• 정신 건강 또는 정신 상태
• DNA
• 성적 지향
• 범죄 행위 또는 그 혐의
• 범죄에 관한 절차
• 형사 절차 또는 형량 관련 정보

특별 개인데이터를 처리하기 전에 조직은 다음을 평가해야 합니다.

• 적법 근거
• 동의 요건
• 보안
• 접근 제한
• 보유 기간
• 데이터 제공
• 국외 이전
• DPIA 필요 여부
• 개인에게 미칠 수 있는 영향

개인정보 처리방침과 투명성

공개성은 이 법의 원칙 중 하나입니다. 개인정보 처리방침에는 다음 내용을 설명해야 합니다.

• 관리자의 신원
• 연락처 정보
• 수집 목적
• 수집하는 개인데이터 항목
• 정보의 이용 방식
• 데이터 제공 대상
• 정보주체의 권리
• 직접 마케팅
• 국외 이전
• 보유 기간
• DPC에 민원을 제기할 권리를 포함한 민원 처리 절차

정보주체의 권리

Act 843은 개인에게 자신의 개인데이터에 관한 권리를 부여합니다. 각 권리는 해당하는 경우에 법정 요건에 따라 인정됩니다.

• 고지받을 권리 – 개인은 자신의 개인데이터 수집, 수집 목적, 그리고 처리를 투명하게 만드는 그 밖의 사항에 대해 안내받아야 합니다.
• 열람권 – 개인은 본인 확인과 법정 요건에 따라, 관리자가 자신의 개인데이터를 보유하고 있는지 확인하고 그 데이터에 대한 설명을 요구할 수 있습니다.
• 정정권 – 개인은 부정확하거나 관련성이 없거나 과도하거나 오래되었거나 불완전하거나 오해를 유발하는 개인데이터의 정정을 요구할 수 있습니다.
• 차단·삭제·파기권 – 해당하는 경우 개인은 관리자가 더 이상 보유할 권한이 없는 데이터나 부정확한 데이터를 포함해 개인데이터의 차단, 삭제 또는 파기를 요구할 수 있습니다.
• 이의 제기권 – 개인은 법정 요건에 따라 자신의 개인데이터 처리, 그리고 부당한 손해나 고통을 초래할 우려가 있는 처리에 이의를 제기할 수 있습니다.
• 직접 마케팅 관련 권리 – 개인은 직접 마케팅을 위한 자신의 개인데이터 처리를 중단하거나 시작하지 않도록 관리자에게 요구할 수 있습니다.
• 손해배상 청구권 – 이 법의 위반으로 손해나 고통을 입은 개인은 법정 요건에 따라 배상을 받을 수 있습니다.

정보주체의 열람 요청

열람 요청 및 기타 권리 행사 요청을 처리하는 실무 절차:

• 요청 접수 – 정해진 창구로 요청을 접수하고 각 건을 기록합니다.
• 본인 확인 – 요청자가 정보주체 본인 또는 정당한 대리인인지 확인합니다.
• 요청 분류 – 어떤 권리를 행사하는지 판단합니다.
• 데이터 확인 – 시스템과 수탁업체에 걸쳐 해당 개인데이터를 찾습니다.
• 예외 사유와 제3자 정보 검토 – 법정 예외를 확인하고 타인의 데이터를 보호합니다.
• 회신 준비 – 명확하고 정확한 회신을 준비합니다.
• 안전한 전달 – 안전한 경로로 회신을 전달합니다.
• 기록 보관 – 요청, 판단, 회신에 관한 기록을 남깁니다.

ConsentX는 접수 정리, 진행 상황 추적, 기록 보관을 통해 프라이버시 요청 업무를 지원할 수 있습니다. 소프트웨어가 법적 판단을 내리는 것은 아니며, 예외 사유와 회신 내용에 대한 결정은 조직에 남습니다.

직접 마케팅

Act 843은 직접 마케팅을 위한 개인데이터 처리를 중단하거나 시작하지 않도록 관리자에게 요구할 수 있게 합니다. 이는 다음에 영향을 줍니다.

• 이메일 마케팅
• SMS 마케팅
• 광고
• 기타 마케팅 채널
• 마케팅 설정
• 동의 및 수신 거부 기록
• 직접 마케팅 수신 차단 목록

ConsentX의 설정 관리는 조직이 마케팅 선택을 수집하고, 동의와 수신 거부 기록을 보관하며, 갱신된 설정을 연동 시스템에 전달해 차단된 연락처에 발송되지 않도록 돕습니다.

자동화된 의사결정

프로파일링을 포함한 자동화된 처리는 다음과 같은 고유한 프라이버시 쟁점을 일으킵니다.

• 투명성
• 목적
• 데이터 품질
• 공정성
• 보안
• 적절한 경우 사람의 개입
• 개인에게 미칠 수 있는 영향
• 고위험 처리

프로파일링과 자동화된 의사결정은 처리 내용과 적용 요건에 따라 DPIA가 필요할 수 있습니다.

데이터보호 영향평가

데이터보호 영향평가(DPIA)는 프라이버시 위험을 선제적으로 평가하는 절차입니다. 처리 활동이 개인에게 어떤 영향을 줄 수 있는지, 처리 시작 전에 어떤 조치로 그 위험을 낮출 수 있는지를 식별합니다.

DPIA는 다음의 경우에 관련될 수 있습니다.

• 새로운 처리 활동
• 새로운 기술
• 기존 처리의 중대한 변경
• 특별 개인데이터
• 프로파일링
• 자동화된 의사결정
• 개인에게 중대한 위험을 초래하는 처리

Data Protection Supervisor

제58조는 데이터 관리자가 법 준수 여부를 감독하는 Data Protection Supervisor로서 인증받은 유자격자를 선임하도록 규정합니다.

효과적인 Data Protection Supervisor에게는 다음이 필요합니다.

• 해당 역할에 필요한 인증과 자격
• 준수 여부 감독에 대한 책임
• 적절한 교육
• 조직 내 충분한 권한
• 역할 수행에 필요한 지식과 자원

데이터 보안

관리자는 다음으로부터 개인데이터를 보호하기 위해 적절하고 합리적인 기술적·관리적 조치를 취해야 합니다.

• 무단 접근
• 무단 공개
• 우발적 분실
• 파괴
• 변경
• 부적절한 이용
• 위법한 처리

실무적인 조치에는 다음이 포함됩니다.

• 암호화
• 접근 통제
• 인증
• 다중 인증
• 네트워크 보안
• 안전한 백업
• 로깅 및 모니터링
• 데이터 유출 방지
• 임직원 교육
• 수탁업체 관리
• 침해사고 대응

데이터 침해 관리

실무적인 침해 대응 절차:

• 사고 탐지
• 확산 차단
• 위험 평가
• 영향받은 데이터 확인
• 영향받은 개인 평가
• 필요한 경우 규제기관 신고
• 필요한 경우 개인 통지
• 시정 조치
• 문서화
• 사고 후 검토

Act 843은 침해 신고에 관해 일률적인 72시간 기한을 두지 않습니다. 조직은 현행법에 따라 DPC 신고와 영향받은 개인에 대한 통지가 필요한지 평가해야 합니다.

Data Protection Bill, 2025 초안에 담긴 신고 기한은 제안일 뿐입니다. 대체 입법이 정식으로 시행되기 전까지 현행 의무로 취급해서는 안 됩니다.

DPC 등록

데이터 관리자는 원칙적으로 개인데이터를 처리하기 전에 Data Protection Commission에 등록해야 합니다. 등록 신청에는 다음이 포함될 수 있습니다.

• 사업자명과 주소
• 대표자 정보
• 처리하는 개인데이터에 대한 설명
• 개인의 구분
• 특별 개인데이터
• 처리 목적
• 예상 제공 대상
• 데이터가 이전될 수 있는 국가
• 보유 중인 데이터의 개인 구분
• 보안 조치의 개요

Act 843에 따르면 데이터 관리자로 등록하지 않고 개인데이터를 처리하는 것은 범죄로, 약식 절차에서 법이 정하는 바에 따라 벌금, 구금 또는 두 가지 병과로 처벌됩니다. 조직은 적용되는 제재를 법률 자문을 통해 확인해야 합니다.

평가 대상 처리

Act 843에는 평가 대상 처리에 관한 틀이 있습니다. 정보주체에게 실질적인 손해나 실질적인 고통을 초래할 수 있거나 그 프라이버시 권리를 현저히 침해할 수 있는 처리는 DPC의 추가 심사 대상이 될 수 있습니다.

고위험 처리를 계획하는 조직은 처리를 시작하기 전에 이 틀이 적용되는지 검토해야 합니다.

데이터의 국외 이전

개인데이터를 가나 외로 이전하기 전에 조직은 다음을 포함한 적용 요건을 평가해야 합니다.

• 이전 대상 국가
• 국외 수령자
• 데이터 항목
• 이전 목적
• 보안 보호조치
• 계약상 보호
• 적용되는 외국의 개인정보 보호 법령

DPC 등록 정보에는 관리자가 개인데이터를 이전하려는 국가가 포함되므로, 이전 관련 약정과 등록 내용은 서로 일치하도록 유지해야 합니다.

데이터 보유와 삭제

보유는 개인데이터를 수집한 목적과 적용되는 법적 요건에 연결되어야 합니다. 보유 관리 체계는 다음을 포함해야 합니다.

• 보유 기간
• 삭제 절차
• 아카이빙
• 분쟁 등에 따른 보존 의무
• 적절한 경우 자동 삭제
• 안전한 파기
• 보유 정책의 정기 점검

데이터 처리자와 수탁업체

관리자는 제3자가 자신을 위해 처리하는 개인데이터에 대해서도 계속 책임을 집니다. 수탁 계약에는 다음을 규정해야 합니다.

• 처리 지시
• 목적 제한
• 비밀유지
• 보안
• 재수탁업체
• 보유 기간
• 삭제
• 침해사고 관리
• 정보주체의 요청
• 국외 이전
• 준수 지원

설계 단계부터의 프라이버시

프라이버시는 제품과 절차에 처음부터 내재화할 때 달성하기 쉬워집니다. 유용한 실무에는 다음이 있습니다.

• 데이터 최소화
• 목적 제한
• 프라이버시 친화적 기본 설정
• 접근 통제
• 암호화
• 보유 기간 상한
• 동의 제어
• 감사 로그
• 안전한 삭제

쿠키와 온라인 추적

Act 843은 개인데이터 처리를 규율합니다. 쿠키에 대해 일률적인 단일 규칙을 만들지는 않습니다. 웹사이트와 앱은 일반적으로 다음을 사용합니다.

• 필수 쿠키
• 분석 쿠키
• 광고 쿠키
• 소셜미디어 픽셀
• 리타게팅 기술
• 개인화
• 기기 식별자
• 제3자 스크립트

조직은 각 추적 기술이 개인데이터를 처리하는지 판단하고, 처리하는 경우 이 법에 따른 적절한 적법 근거를 확인해야 합니다.

쿠키 동의와 스크립트 사전 차단

추적의 적용 법적 근거가 동의인 경우, 다음 장치가 그 동의를 실질적으로 만드는 데 도움이 됩니다.

• 명확한 동의 안내
• 목적별 선택
• 사전 선택되지 않은 선택적 항목
• 해당 추적기의 사전 차단
• 동의 철회
• 설정 관리
• 동의 기록
• 방침 버전 관리

ConsentX는 이러한 선택의 기술적 실행을 지원합니다. 스크립트 사전 차단은 방문자가 동의하기 전에 해당 추적기가 실행되지 않도록 하고, 설정 관리를 통해 방문자는 언제든 선택을 변경할 수 있습니다.

준수 모니터링과 감사

조직은 다음과 같은 준수 증적을 제시할 수 있어야 합니다.

• DPC 등록
• 개인정보 처리방침
• 동의 기록
• 데이터 흐름도
• 처리 활동 목록
• DPIA
• 보안 평가
• 수탁 계약
• 침해 기록
• 정보주체의 요청
• 마케팅 설정
• 보유 기간표
• 교육 기록
• Data Protection Supervisor 관련 기록

DPC의 집행

가나의 Data Protection Commission은 다음을 담당합니다.

• 규제 감독
• 관리자 등록
• 조사
• 민원 처리
• 준수 모니터링
• 집행
• 가이드라인
• 교육
• 인식 제고

Commission은 민원을 조사하고 현장점검을 실시하며, 조직에 법을 준수하기 위한 조치를 요구하는 명령을 발부할 수 있습니다.

Act 843의 위반과 제재

Act 843은 각각 고유한 제재가 따르는 개별 위반을 규정합니다. 모든 위반에 공통으로 적용되는 단일 상한은 없습니다. 법은 다음을 구분합니다.

• 등록 의무 위반 – 데이터 관리자로 등록하지 않고 개인데이터를 처리하는 행위에는 법에 고유한 제재가 있습니다
• 특정 명령 불이행 – Commission이 발한 특정 명령을 이행하지 않는 행위에는 고유한 제재가 있습니다
• 그 밖의 법정 위반 – 법에 규정된 다른 위반에는 각각 정해진 제재가 적용됩니다
• 제95조의 일반 제재 – 고유한 제재가 정해지지 않은 경우, 위반자는 약식 절차에서 5,000페널티유닛 이하의 벌금, 10년 이하의 구금 또는 두 가지 병과로 처벌됩니다

조직은 제95조의 상한이 당연히 적용된다고 가정하지 말고, 해당 각 조항에 정해진 제재를 확인해야 합니다.

가나 데이터보호법안 2025

Data Protection Bill, 2025는 Act 843을 대체하기 위한 초안입니다.

• 이 법안은 초안이며 현행법으로 취급해서는 안 됩니다.
• Act 843이 여전히 가나의 현행 데이터보호 체계입니다.
• 조직은 입법 동향을 주시해야 합니다.
• 대체 입법이 정식으로 시행되면 준수 점검을 갱신해야 합니다.

가나에서 동의 관리가 중요한 이유

동의 관리는 등록, 보안, 정보주체의 권리, 거버넌스와 함께 가나의 더 넓은 프라이버시 체계를 구성하는 한 요소입니다. 동의에 의존하는 경우, 조직은 다음을 입증할 수 있어야 합니다.

• 이용자에게 무엇을 알렸는지
• 이용자가 동의한 목적
• 동의가 이루어진 시점
• 선택된 항목
• 제시된 개인정보 처리방침
• 이후 동의가 철회되었는지
• 설정이 어떻게 실행되었는지

ConsentX는 이러한 질문을 기술적 장치와 연결합니다. 스크립트 사전 차단이 선택을 실행하고, 동의 기록과 영수증이 증적을 보존하며, 방침 버전 관리가 각 결정을 이용자가 본 안내와 연결합니다.

가나 DPA 준수 체크리스트

이 체크리스트를 준수 프로그램의 출발점으로 활용하세요.

• Act 843 적용 여부 판단
• 관리자와 처리자 역할 정리
• 개인데이터 처리 현황 도식화
• 적법 근거 확인
• 동의 취득 방식 점검
• 개인정보 처리방침 제공
• 특별 개인데이터 식별
• 아동 데이터 처리 평가
• 필요한 경우 데이터 관리자로 등록
• Data Protection Supervisor 요건 검토
• 보안 조치 시행
• 침해사고 대응 체계 수립
• DPIA 요건 검토
• 국외 이전 평가
• 보유·삭제 규칙 수립
• 정보주체 요청 처리 절차 마련
• 직접 마케팅 설정 유지
• 자동화된 의사결정 점검
• 수탁 계약 유지
• 준수 증적 유지
• 2025년 법안 주시