나이지리아 NDPA 준수, ConsentX와 함께

나이지리아 데이터보호법이란

나이지리아 데이터보호법 2023은 개인데이터 보호를 위한 나이지리아의 현대적 법정 체계를 마련합니다.

그 목적에는 다음이 포함됩니다.

• 정보주체의 기본권과 자유 보호
• 개인데이터 처리의 규율
• 안전하고 프라이버시를 존중하는 처리 관행의 촉진
• 공정하고 적법하며 책임 있는 처리의 보장
• 정보주체에 대한 권리와 구제 수단 제공
• 독립적인 규제 위원회의 설립
• 나이지리아 디지털 경제와 국제적 참여의 지원

NDPC는 나이지리아의 데이터보호와 프라이버시를 감독하고 규율하기 위해 이 법에 따라 설립되었습니다.

NDPC의 현행 자료는 NDPA가 나이지리아와 연관된 개인데이터를 처리하는 조직에 폭넓게 적용되며 열람, 정정, 이의, 제한, 이동, 삭제 및 자동화된 의사결정에 관한 권리를 규정한다는 점을 확인합니다.

NDPA상 개인데이터란

NDPA는 자연인에 관한 개인데이터의 처리를 규율합니다.

개인데이터에는 다음과 같은 정보가 포함될 수 있습니다.

• 이름
• 이메일 주소
• 전화번호
• 주소
• 신원 확인 정보
• 임직원 정보
• 고객 정보
• 계정 정보
• 위치 정보
• 온라인 식별자
• 식별 가능한 개인과 연결되는 경우의 IP 주소
• 기기 정보
• 금융 정보
• 인증 정보
• 행태 정보
• 마케팅 프로파일
• 건강 정보
• 생체 정보

특정 데이터 항목의 구체적 취급은 그것이 개인데이터의 법정 정의에 해당하는지와 처리되는 맥락에 따라 달라집니다.

데이터 처리란

NDPA는 처리를 폭넓게 정의합니다.

처리에는 다음이 포함될 수 있습니다.

• 수집
• 기록
• 조직화
• 구조화
• 저장
• 조정
• 변경
• 검색
• 열람
• 이용
• 공개
• 전송
• 배포
• 결합
• 제한
• 삭제
• 파기

NDPC는 이 정의가 자동화된 수단에 의한 것인지 여부와 관계없이 처리를 포괄한다는 점을 확인합니다.

NDPA의 핵심 데이터보호 원칙

개인데이터를 처리하는 조직은 NDPA가 정한 핵심 원칙에 따라 운영해야 합니다.

적법성, 공정성, 투명성. 개인데이터는 적법하고 공정하며 투명하게 처리되어야 합니다.

목적 제한. 개인데이터는 특정되고 명시적이며 정당한 목적을 위해 수집·이용되어야 합니다.

데이터 최소화. 조직은 해당 목적에 불필요한 개인데이터의 수집을 피해야 합니다.

정확성. 개인데이터는 정확해야 하며 필요한 경우 최신으로 유지되어야 합니다.

보유 제한. 개인데이터는 해당 목적이나 법적 의무에 필요한 기간을 넘겨 보유해서는 안 됩니다.

무결성과 기밀성. 적절한 보안조치로 개인데이터를 무단 접근, 분실, 파괴 또는 그 밖의 위법한 처리로부터 보호해야 합니다.

책임성. 조직은 적용되는 데이터보호 요건의 준수를 입증할 수 있어야 합니다.

NDPC의 GAID 2025는 데이터보호 원칙, 적법 근거, 영향평가, 정당한 이익, 정보주체의 권리, 보안, 국외 이전, 침해 통지에 대한 평가도 준수 체계에 포함합니다.

NDPA는 동의를 요구하나요

모든 처리 활동에 대해 요구하는 것은 아닙니다.

동의는 NDPA의 중요한 적법 근거이지만, 조직은 먼저 해당 처리 활동에 어떤 적법 근거가 적용되는지 판단해야 합니다.

상황에 따라 처리는 다음과 같은 근거로 뒷받침될 수 있습니다.

• 동의
• 계약상 필요
• 법적 의무
• 중대한 이익의 보호
• 공익 또는 공적 권한의 행사
• 적용되는 요건을 충족하는 정당한 이익

NDPC의 현행 자료는 동의를 데이터보호의 중요한 요소로 명시적으로 인정하는 한편, 동의가 적용 근거가 아닌 경우의 적법한 처리도 인정합니다.

NDPA에서 유효한 동의란

동의에 의존하는 경우, 조직은 그 동의가 다음과 같은지 확인해야 합니다.

• 자유롭게 제공되었을 것
• 구체적일 것
• 충분한 정보에 기반할 것
• 명확할 것
• 입증할 수 있을 것
• 무관한 처리와 불필요하게 묶이지 않았을 것

동의는 정보주체에게 의미 있는 선택을 수반해야 합니다.

조직은 다음을 피해야 합니다.

• 미리 체크된 동의 항목
• 숨겨진 동의
• 모호한 목적
• 묶음 동의
• 다른 적법 근거를 적용해야 하는 상황에서의 강제 동의
• 거부를 어렵게 만드는 화면 설계
• 철회 이후에도 동의 기반 처리를 계속하는 것

잘 설계된 동의 관리 플랫폼은 이러한 요건을 실무적으로 구현하는 데 도움이 됩니다.

동의 철회

동의가 적용되는 적법 근거인 경우, 조직은 동의를 철회할 수 있는 접근 가능한 수단을 제공해야 합니다.

동의 관리 시스템은 조직이 다음을 할 수 있도록 해야 합니다.

• 동의를 기록
• 해당 목적을 기록
• 동의가 제공된 시점을 기록
• 동의를 취득한 방법을 기록
• 동의 변경을 추적
• 철회를 기록
• 갱신된 설정을 적용
• 책임성을 위한 증적을 유지

ConsentX는 이러한 업무 흐름의 기술 기반을 제공할 수 있습니다.

민감한 개인데이터

NDPA는 일정한 범주의 개인데이터에 추가적인 보호를 제공합니다.

민감정보를 다루는 조직은 적절한 안전조치를 적용하고 다음을 신중히 평가해야 합니다.

• 데이터의 성격
• 처리 목적
• 적법 근거
• 보안 요건
• 접근 통제
• 보유
• 공개
• 국외 이전
• 정보주체의 권리

민감정보 처리는 오용이나 유출 시 영향이 클 수 있으므로 추가적인 거버넌스 주의가 필요합니다.

NDPA상 프라이버시 고지

투명성은 NDPA의 핵심 요건입니다.

프라이버시 고지는 처리 활동에 관한 관련 정보를 설명해야 하며, 해당하는 경우 다음을 포함합니다.

• 관리자의 신원
• 연락처
• 처리 목적
• 개인데이터의 범주
• 적법 근거
• 수령자
• 국외 이전
• 보유
• 정보주체의 권리
• 민원 제기 수단
• 해당하는 경우 자동화된 의사결정

프라이버시 고지는 이용자 여정의 적절한 지점에서 제시되어야 합니다.

쿠키 배너를 포괄적인 프라이버시 고지의 대체물로 취급해서는 안 됩니다.

NDPA상 쿠키와 추적 기술

쿠키와 온라인 추적 기술은 그것이 수행하는 개인데이터 처리를 기준으로 평가해야 합니다.

조직은 다음을 판단해야 합니다.

• 어떤 데이터가 수집되는지
• 그것이 식별 가능한 개인과 관련되는지
• 그 기술을 왜 사용하는지
• 어떤 제3자가 정보를 수령하는지
• 어떤 적법 근거가 적용되는지
• 동의가 필요한지
• 정보가 나이지리아 밖으로 나가는지
• 정보가 얼마나 오래 보유되는지

예를 들면 다음과 같습니다.

• 애널리틱스 쿠키
• 광고 픽셀
• 소셜미디어 추적기
• 세션 녹화 도구
• 마케팅 태그
• 개인화 도구
• 전환 추적기
• 임베드된 제3자 서비스

동의가 적절한 적법 근거인 경우, ConsentX는 해당 추적기가 실행되기 전에 동의를 수집하고 이를 반영하는 데 도움이 됩니다.

NDPA상 정보주체의 권리

NDPC는 법 제34조부터 제38조까지에 따른 일련의 권리를 제시합니다.

여기에는 다음이 포함됩니다.

• 고지받을 권리
• 열람권
• 정정권
• 이의 제기권
• 처리 제한 요구권
• 데이터 이동권
• 삭제권
• 감독기관에 민원을 제기할 권리
• 자동화된 의사결정에 관한 권리

조직은 이러한 요청을 접수, 확인, 평가, 처리하기 위한 운영 절차를 갖추어야 합니다.

열람권

정보주체는 자신에 관해 보유된 개인데이터와 그 처리에 관한 정보의 열람을 요청할 수 있습니다.

NDPC도 정보주체 열람요청 양식을 제공하며, 요청 또는 필요한 추가 정보를 받은 날로부터 신속하게, 늦어도 30일 이내에 응답하는 것을 목표로 한다고 밝히고 있습니다.

따라서 조직은 다음과 같은 업무 흐름을 구현해야 합니다.

• 요청 접수
• 필요한 경우 신원 확인
• 범위 확정
• 관련 시스템 검색
• 정보 검토
• 적용 가능한 예외 적용
• 회신 준비
• 결과 기록

정정권

정보주체는 부정확하거나 불완전한 개인데이터의 정정을 요청할 권리를 가질 수 있습니다.

조직은 다음을 위한 절차를 유지해야 합니다.

• 부정확한 정보 식별
• 정정 요청 확인
• 관련 시스템 갱신
• 필요한 경우 수탁처리자와 정보 동기화
• 변경 내용 문서화

삭제권

해당하는 경우 정보주체는 개인데이터의 삭제를 요청할 수 있습니다.

조직은 다음을 식별하기 위한 절차를 유지해야 합니다.

• 어떤 정보를 삭제해야 하는지
• 법적으로 보유가 요구되는지
• 어떤 시스템에 정보가 있는지
• 어떤 수탁처리자가 사본을 보유하는지
• 백업에 특별한 처리가 필요한지

따라서 삭제는 더 넓은 데이터 수명주기 거버넌스에 포함되어야 합니다.

데이터 이동권

NDPC는 데이터 이동권을 NDPA상 정보주체에게 인정되는 권리 중 하나로 제시합니다.

조직은 다음을 어떻게 수행할지 검토해야 합니다.

• 이동 가능한 정보 식별
• 요청자 인증
• 관련 데이터 추출
• 적절한 구조화 형식으로 데이터 생성
• 필요한 경우 정보를 안전하게 전송

이의 제기권과 처리 제한권

정보주체는 특정 형태의 처리에 이의를 제기하거나 제한을 요구할 권리를 가질 수 있습니다.

조직은 다음을 위한 수단을 유지해야 합니다.

• 이의 접수
• 적법 근거 평가
• 필요한 경우 처리 제한
• 결과 통지
• 판단 기록

자동화된 의사결정

NDPC는 자동화된 의사결정과 관련된 정보주체의 권리를 제시합니다.

이는 다음을 사용하는 조직에게 점점 더 중요해지고 있습니다.

• 인공지능
• 자동 프로파일링
• 신용 스코어링
• 채용 시스템
• 부정 탐지
• 개인화
• 추천 엔진
• 자동화된 자격 판단

자동화된 의사결정 시스템을 사용하는 조직은 투명성, 적법 근거, 정보주체의 권리, 공정성, 위험을 평가해야 합니다.

데이터보호 영향평가

NDPA 준수 체계는 해당하는 경우 데이터보호 영향평가를 포함합니다.

GAID 2025는 영향평가의 필요 여부에 대한 검토를 준수 체계의 일부로 명시적으로 포함합니다.

영향평가는 중대한 프라이버시 위험을 초래할 수 있는 처리를 평가하는 데 도움이 됩니다.

영향평가는 다음을 검토할 수 있습니다.

• 처리 목적
• 데이터 범주
• 정보주체 범주
• 관련 기술
• 잠재적 프라이버시 위험
• 보안 통제
• 완화 조치
• 잔여 위험
• 정보주체의 권리

조직은 모든 활동에 일률적으로 요구되는 요건으로 보기보다 처리의 성격과 위험에 따라 영향평가의 필요 여부를 판단해야 합니다.

정당한 이익 평가

NDPC의 GAID 2025는 해당하는 경우 정당한 이익 평가(LIA)를 명시적으로 언급합니다.

LIA는 정당한 이익이 적절한 적법 근거인지 조직이 판단하는 데 도움이 됩니다.

일반적인 평가는 다음을 검토할 수 있습니다.

• 목적 테스트: 어떤 정당한 이익을 추구하는가?
• 필요성 테스트: 그 목적 달성을 위해 해당 처리가 필요한가?
• 이익형량 테스트: 조직의 이익이 정보주체의 관련 이익, 권리, 자유보다 우선하는가?

조직은 평가 내용을 문서화하고 처리가 변경될 때 이를 다시 검토해야 합니다.

데이터 보호책임자(DPO)

NDPA는 데이터 보호책임자에 관한 요건을 정하고 있습니다.

DPO의 책무에는 다음이 포함될 수 있습니다.

• 조직에 대한 자문
• 준수 지원
• 데이터보호 의무 모니터링
• 영향평가 지원
• 정보주체 권리 대응 지원
• 규제기관과의 협력
• 프라이버시 거버넌스 지원
• 준수 활동 모니터링

GAID 2025는 DPO 자격 평가와 인증에 관한 추가 요건을 제시합니다.

조직은 자사의 상황이 DPO를 요구하는지 판단하고, 지정된 사람이 직무에 필요한 역량과 독립성을 갖추었는지 확인해야 합니다.

데이터 관리자와 수탁처리자

NDPA는 데이터 관리자와 수탁처리자를 구분합니다.

데이터 관리자는 개인데이터 처리의 목적과 수단을 결정합니다. 예를 들면 다음과 같습니다.

• 사용자
• 전자상거래 사업자
• 은행
• SaaS 기업
• 의료기관
• 온라인 플랫폼

수탁처리자는 관리자를 대신하여 개인데이터를 처리합니다. 예를 들면 다음과 같습니다.

• 클라우드 제공업체
• 호스팅 제공업체
• CRM 플랫폼
• 이메일 제공업체
• 애널리틱스 서비스
• 고객지원 플랫폼
• 급여 처리 업체

관리자는 수탁처리자를 적절히 감독하고 적절한 계약적·보안적 통제를 마련해야 합니다.

주요 관리자와 수탁처리자

NDPA는 주요 데이터 관리자·수탁처리자(DCPMI)의 지정과 등록을 규정합니다.

현행 NDPC 등록 지침에 따르면 6개월 동안 200명을 초과하는 정보주체의 데이터를 처리하는 경우, 개인데이터 저장을 수반하는 일정한 상업적 ICT 서비스를 제공하는 경우, 또는 특정 분야에서 사업을 운영하는 경우 등의 요소에 따라 조직이 주요 조직으로 간주될 수 있습니다.

현행 지침은 다음과 같은 분야도 제시합니다.

• 항공
• 통신
• 교육
• 그 밖에 지정된 분야와 상황

NDPC의 지정 체계는 구체적인 활동과 적용되는 지침에 따라 달라질 수 있으므로, 조직은 최신 NDPC 요건에 비추어 현재 상태를 평가해야 합니다.

NDPA 등록

주요 조직 등록 체계에 해당하는 관리자와 수탁처리자는 NDPC에 등록해야 할 수 있습니다.

등록 요건에는 다음이 포함될 수 있습니다.

• 조직 정보
• 처리 활동
• 데이터 범주
• 정보주체 범주
• DPO 정보
• 준수 관련 문서
• 위원회가 정하는 그 밖의 정보

NDPC는 현재 주요 관리자·수탁처리자를 위한 등록 서비스를 제공합니다.

준수 감사 보고

NDPC는 해당 조직이 법과 규제 체계가 정한 준수 절차에 참여하도록 요구합니다.

위원회는 일정한 DCPMI가 준수 감사 보고(CAR) 요건의 대상이라고 밝히고 있습니다.

NDPC는 또한 해당하는 경우 CAR 제출이 인가된 데이터보호 준수기관(DPCO)을 통해 이루어진다고 밝히고 있습니다.

따라서 조직은 다음을 구분해야 합니다.

• 내부 프라이버시 준수
• NDPC 등록
• 준수 감사 보고
• DPCO 검증
• DPO 거버넌스

이들은 서로 관련되지만 별개의 활동입니다.

데이터보호 준수기관(DPCO)

NDPA는 인가된 데이터보호 준수기관을 규정합니다.

DPCO는 다음과 같은 서비스를 제공할 수 있습니다.

• 데이터보호 교육
• 감사
• 컨설팅
• 준수 서비스
• 준수 제출서류의 검증

NDPC는 법에 따른 관리자의 제출서류에 해당하는 경우 DPCO의 검증 확인서가 필요할 수 있다고 밝히고 있습니다.

ConsentX는 동의, 추적기, 프라이버시 관리의 기술 인프라를 제공함으로써 전문적인 준수 서비스를 보완할 수 있습니다.

NDPA상 데이터 보안

데이터 관리자와 수탁처리자는 적절한 보안조치를 구현해야 합니다.

보안 프로그램은 다음과 같은 영역을 다루어야 합니다.

• 접근 통제
• 인증
• 암호화
• 네트워크 보안
• 데이터 최소화
• 보안 개발
• 공급업체 관리
• 백업과 복구
• 사고 대응
• 임직원 인식 제고
• 보안 모니터링

NDPA는 보안을 별도의 기술적 사안이 아니라 데이터보호의 핵심 요소로 다룹니다.

데이터 침해 통지

NDPA는 개인데이터 침해에 관한 의무를 규정합니다.

침해가 개인의 권리와 자유에 위험을 초래할 가능성이 있는 경우, 관리자는 인지한 때로부터 72시간 이내에 위원회에 통지해야 합니다.

이 체계는 적절한 경우 영향을 받은 정보주체에 대한 통지도 다룹니다.

조직은 다음을 포함하는 문서화된 사고 대응 절차를 유지해야 합니다.

• 탐지
• 확산 차단
• 조사
• 위험 평가
• 규제기관 통지
• 정보주체 통지
• 시정 조치
• 문서화

국외 데이터 이전

NDPA는 나이지리아 밖으로의 개인데이터 이전을 규율합니다.

개인데이터를 국제적으로 이전하는 조직은 다음을 평가해야 합니다.

• 이전 대상 국가
• 수령 조직
• 이전 목적
• 개인데이터의 범주
• 정보주체에 대한 위험
• 적용되는 안전조치
• 계약상 보호
• 규제 요건

GAID 2025는 국외 이전의 법적 근거 평가를 준수 활동에 명시적으로 포함합니다.

따라서 국제적으로 활동하는 조직은 전반적인 이전 거버넌스 체계에 나이지리아를 포함해야 합니다.

데이터 보유와 삭제

조직은 다음을 기준으로 적절한 보유 기간을 설정해야 합니다.

• 처리 목적
• 법적 의무
• 계약상 요건
• 규제 요건
• 소송 관련 요건
• 보안 요건
• 정보주체의 권리

개인데이터가 더 이상 필요하지 않고 보유할 법적 이유도 없는 경우, 조직은 적절한 삭제, 파기 또는 익명화 절차를 시행해야 합니다.

문서화된 보유 일정은 책임성을 입증하는 데 도움이 됩니다.

아동과 미성년자

아동의 개인데이터를 처리하는 조직은 각별히 주의하고 다음을 고려해야 합니다.

• 연령
• 판단 능력
• 해당하는 경우 부모나 보호자의 관여
• 처리의 성격
• 아동에 대한 위험
• 처리 목적
• 적절한 안전조치
• 투명성

아동 데이터는 특히 온라인 서비스, 교육, 게임, 소셜 플랫폼, 광고 영역에서 프라이버시와 안전 위험을 크게 높일 수 있습니다.

NDPA상 다이렉트 마케팅

마케팅 활동은 광범위한 개인데이터 처리를 수반할 수 있습니다.

예를 들면 다음과 같습니다.

• 이메일 마케팅
• SMS 마케팅
• 고객 프로파일링
• 행태 기반 광고
• 리타게팅
• 오디언스 세분화
• 개인화 광고

조직은 적용되는 적법 근거를 식별하고 해당 처리가 투명성과 정보주체의 권리에 부합하도록 해야 합니다.

동의가 적용 근거인 경우, 그 동의는 적절히 취득되고 기록되어야 합니다.

설계 단계의 프라이버시 보호

프라이버시는 처음부터 시스템과 프로세스에 반영되어야 합니다.

설계 단계의 프라이버시 보호 프로그램에는 다음이 포함될 수 있습니다.

• 데이터 최소화
• 목적 제한
• 동의 관리
• 프라이버시 고지
• 접근 통제
• 보유 통제
• 암호화
• 공급업체 거버넌스
• DSAR 업무 흐름
• 감사 로그
• 국외 이전 통제

NDPC도 혁신 및 디지털 환경에서 설계 단계의 프라이버시 보호를 촉진하는 자료를 발표했습니다.

NDPA의 집행

NDPC는 나이지리아 데이터보호법의 감독과 집행을 담당합니다.

위원회는 위반 가능성을 조사하고 규제 조치를 적용할 수 있습니다.

미준수의 결과로 다음이 발생할 수 있습니다.

• 시정 명령
• 행정 제재
• 배상
• 시정 수수료
• 그 밖의 집행 조치
• 민사 절차
• 해당하는 경우 형사상 결과

NDPC는 정보주체가 자신의 권리 침해와 관련해 민사 소송을 제기할 수도 있다고 밝히고 있습니다.

NDPA의 제재

제48조는 조직이 주요 관리자 또는 수탁처리자인지에 따라 서로 다른 최고 제재 수준을 정합니다.

NDPC에 따르면 DCPMI의 경우 과징금 또는 시정 수수료는 1,000만 나이라와 직전 회계연도 연간 총수입의 2% 중 더 큰 금액까지 부과될 수 있습니다.

주요 조직에 해당하지 않는 경우, NDPC는 표준 상한을 200만 나이라와 직전 회계연도 연간 총수입의 2% 중 더 큰 금액으로 제시합니다.

이는 모든 위반에 자동으로 부과되는 과태료가 아니라 법정 상한 체계입니다. 실제 규제 결과는 개별 사정과 집행 규정에 따라 달라집니다.

NDPA 준수 체크리스트

이 체크리스트로 조직의 준비 상태를 점검해 보세요.

• 개인데이터 처리 현황 파악
• 데이터 관리자 식별
• 수탁처리자 식별
• 적용되는 적법 근거 판단
• 민감하거나 고위험인 처리 식별
• 프라이버시 고지 검토
• 쿠키와 추적기 검토
• 동의가 필요한 지점 판단
• 동의가 자유롭고 충분한 정보에 기반하도록 보장
• 동의 기록 유지
• 해당하는 동의 철회 수단 제공
• DSAR 절차 수립
• 적용되는 30일 응답 기한 관리
• 보안 통제 구현
• 침해 대응 절차 수립
• 영향평가 요건 평가
• 해당하는 경우 LIA 수행
• 필요한 경우 DPO 지정
• DCPMI 해당 여부 평가
• 필요한 경우 NDPC 등록 완료
• 준수 감사 보고 의무 검토
• 국외 이전 평가
• 보유 기간 설정
• 삭제 절차 구현
• 수탁처리 계약 검토
• 준수 문서 유지
• NDPC 지침과 규제 동향 모니터링

NDPA에서 동의 관리가 중요한 이유

현대 웹사이트의 프라이버시 준수는 개인정보 처리방침을 게시하는 수준을 넘어섭니다.

웹사이트에는 다음이 포함될 수 있습니다.

• 애널리틱스 도구
• 광고 픽셀
• 소셜미디어 추적기
• 마케팅 태그
• 세션 녹화 소프트웨어
• 개인화 도구
• 임베드된 콘텐츠
• CRM 연동
• 제3자 API

가시성과 통제가 없으면 이러한 기술은 프라이버시 위험을 만들 수 있습니다.

동의 관리 플랫폼은 조직이 탐지 → 분류 → 동의 취득 → 차단 → 기록 → 설정 관리 → 증적 제시로 이어지는 흐름을 수행하도록 도울 수 있습니다.

ConsentX는 여러 프라이버시 법역에서 활동하는 조직을 위해 이러한 통제를 한데 모읍니다.