필리핀 데이터프라이버시법 준수

규제 체계

필리핀 프라이버시 체계는 주로 다음에 기초합니다.

• Republic Act No. 10173 — Data Privacy Act of 2012
• Data Privacy Act의 Implementing Rules and Regulations
• NPC의 회람과 규정
• NPC의 권고와 지침
• 해당되는 경우의 업종별 프라이버시 요건

동의는 처리의 적법 근거 중 하나이지만 필리핀 체계에서 유일한 근거는 아닙니다. 계약, 법적 의무, 중대한 이익의 보호, 국가 비상사태 또는 공공질서를 위해 필요한 경우, 그리고 법과 시행규칙이 인정하는 그 밖의 상황에서도 처리가 적법할 수 있습니다.

NPC는 DPA를 운영·집행하며 조직과 정보주체에게 지침을 제공합니다.

법이 적용되는 조직

DPA는 개인정보 처리에 관여하는 조직과 개인에게 적용됩니다. 예를 들면:

• Personal Information Controller
• Personal Information Processor
• 민간 조직
• 법의 적용 범위에 속하는 정부기관
• 웹사이트와 앱을 운영하는 기업
• 전자상거래 플랫폼
• 금융기관
• 의료기관
• 교육기관
• 기술 기업
• 마케팅·광고 기업
• 외부 위탁 서비스 제공업체
• 개인정보를 처리하는 그 밖의 주체

필리핀에서 웹사이트, 앱, 전자상거래 플랫폼, SaaS 제품, 마케팅 시스템 또는 기타 디지털 서비스를 운영하는 기업에게 규제 준수는 쿠키 배너 동의를 받는 것에 그치지 않습니다. 조직은 적용되는 법적 근거를 이해하고, 적절한 개인정보 처리방침을 제공하며, 보안 조치를 시행하고, 정보주체의 권리에 대응하며, 제3자 처리를 평가하고, 적절한 준수 증적을 유지해야 합니다.

필리핀 DPA가 필리핀 밖의 기업에도 적용되나요?

특정한 경우에는 적용됩니다. DPA 제6조는 필리핀 밖의 행위나 처리가 필리핀 국민 또는 거주자의 개인정보와 관련되고, 해당 주체가 필리핀과 일정한 연결점을 갖는 경우 역외 적용을 규정합니다.

그러한 연결점에는 다음이 포함될 수 있습니다.

• 필리핀에서 체결된 계약
• 필리핀의 지점, 대리점, 사무소 또는 자회사
• 특정한 경우 필리핀에서의 중심적 경영과 지배
• 필리핀에서의 사업 수행
• 필리핀의 주체가 수집하거나 보유하는 개인정보

따라서 국제적으로 활동하는 기업은 필리핀 밖에 있다는 사실만으로 DPA 의무가 없어진다고 가정하지 말고, 자사의 필리핀 연결점과 처리 활동을 평가해야 합니다.

개인정보란 무엇인가요?

DPA는 직접 또는 간접적으로 개인을 식별할 수 있는 정보를 폭넓게 보호합니다. 예:

• 이름
• 연락처
• 이메일 주소
• 식별 정보
• 계정 정보
• 위치 정보
• 온라인 식별자
• 고용 관련 정보
• 금융 정보
• 건강 정보
• 식별 가능한 개인과 연결되는 그 밖의 정보

처리의 개념은 넓으며, 수집, 기록, 조직화, 저장, 갱신, 검색, 열람, 이용, 제공, 차단, 삭제, 파기 등의 행위를 포함합니다.

Sensitive Personal Information

필리핀 DPA는 Sensitive Personal Information(SPI)에 강화된 보호를 부여합니다. 법은 다음과 같은 사항에 관한 정보를 포함합니다.

• 인종
• 민족적 출신
• 혼인 상태
• 연령
• 피부색
• 종교적·철학적 또는 정치적 소속
• 건강
• 교육
• 유전 정보 또는 성생활
• 범죄 관련 절차와 그 처분
• 사회보장, 보건, 면허, 조세 정보 등 정부가 발급한 개인 고유의 정보
• 법률 또는 행정 조치로 비밀로 분류된 정보

개인정보와 Sensitive Personal Information의 구분은 중요합니다. SPI에는 추가적인 제한과 보호 조치가 적용될 수 있기 때문입니다.

동의 요건

동의에 근거하는 경우, 필리핀 프라이버시 규정은 동의가 다음 요건을 갖추도록 요구합니다.

• 자유롭게 제공됨
• 구체적임
• 충분한 정보에 기반함
• 입증 가능함

시행규칙은 동의가 서면, 전자적 방법 또는 녹취로 입증될 수 있다고 규정합니다.

따라서 실무적인 동의 장치는 다음을 확인할 수 있어야 합니다.

• 누가 동의했는지
• 본인이 무엇에 동의했는지
• 어떤 목적으로 동의가 이루어졌는지
• 언제 동의가 이루어졌는지
• 어떤 정보가 제시되었는지
• 이후 동의가 철회되었는지
• 그 동의를 근거로 어떤 처리가 이루어졌는지

동의를 불필요하게 묶지 않아야 합니다

동의가 필요한 경우, 조직은 서로 관련 없는 목적을 하나의 모호한 허락에 의존시키지 않아야 합니다.

예를 들어 기업은 다음과 같이 서로 다른 처리 활동을 수행할 수 있습니다.

• 계정 생성
• 서비스 제공
• 분석
• 광고
• 개인화
• 직접 마케팅
• 제3자 데이터 제공

이러한 활동은 적용되는 법적 근거와 투명성 요건을 판단하기 위해 개별적으로 평가해야 합니다.

개인정보 처리방침과 투명성

DPA의 투명성 요건은 조직이 정보주체에게 자신의 개인정보 처리에 관한 적절한 정보를 제공하도록 요구합니다.

처리방침에는 다음과 같은 관련 사항을 담아야 합니다.

• 어떤 개인정보를 수집하는지
• 처리의 목적
• 처리의 방법과 범위
• 관리자 또는 그 대리인의 신원과 연락처
• 보유 기간
• 관련 제공 대상 또는 공개
• 정보주체의 권리
• 정보주체가 이러한 권리를 행사하거나 민원을 제기하는 방법

시행규칙은 처리와 관련 권리에 관하여 고지받을 정보주체의 권리를 명시적으로 인정합니다.

정보주체의 권리

National Privacy Commission은 DPA가 정보주체에게 부여하는 권리로 다음을 제시합니다.

• 고지받을 권리
• 열람권
• 이의 제기권
• 정정권
• 삭제 또는 차단권
• 데이터 이동권
• 민원 제기권
• 손해배상 청구권

따라서 조직은 다음을 수행할 수 있는 공식적인 프라이버시 요청 처리 절차를 유지해야 합니다.

• 요청을 접수
• 요청자의 본인 확인
• 관련 데이터 확인
• 적용 예외 판단
• 처리자와의 협조
• 적용 기한 내 회신
• 회신에 대한 증적 보관

열람권

열람권은 정보주체가 자신의 개인데이터 처리에 관한 정보를 얻을 수 있게 합니다. 상황에 따라 다음 정보가 포함될 수 있습니다.

• 처리 중인 개인정보
• 처리의 목적
• 처리의 방법과 범위
• 제공 대상 또는 그 유형
• 해당하는 경우 데이터의 출처
• DPA가 인정하는 그 밖의 정보

기업은 데이터베이스, 애플리케이션, 제3자 시스템 전반에서 개인정보의 소재를 확인할 수 있는 절차를 갖추어야 합니다.

정정권

정보주체는 부정확하거나 불완전한 개인정보를 정정할 권리를 행사할 수 있습니다. 조직은 다음이 가능한 절차를 유지해야 합니다.

• 해당 기록의 확인
• 요청된 정정 내용의 검증
• 내부 시스템의 갱신
• 필요한 경우 관련 처리자 또는 제공 대상에 정정 사항 전달
• 요청과 처리 결과의 기록

삭제 또는 차단권

DPA는 특정한 상황에서 삭제 또는 차단권을 인정합니다. 이는 모든 기록을 즉시 삭제할 수 있는 무조건적 권리로 해석해서는 안 됩니다.

조직은 다음 사항을 판단해야 합니다.

• 해당 데이터가 더 이상 필요하지 않은지
• 처리가 위법한지
• 정보주체의 이의가 타당한지
• 다른 법률이 보유를 요구하는지
• 해당 정보가 법적 청구에 필요한지
• 다른 법정 예외가 적용되는지

이의 제기권

정보주체는 일정한 처리에 이의를 제기할 권리가 있습니다. 시행규칙은 다음과 관련된 이의를 특히 명시합니다.

• 직접 마케팅
• 자동화된 처리
• 프로파일링

이의가 타당한 경우, 계속 처리를 허용하는 예외가 적용되지 않는 한 관리자는 해당 처리를 중단해야 합니다.

데이터 이동권

필리핀은 데이터 이동권을 인정합니다. NPC는 정보주체가 개인데이터의 사본을 받거나, 통상적으로 사용되는 전자적·구조화된 형식으로 한 PIC에서 다른 PIC로 전송하도록 요구할 수 있다고 설명합니다.

이 권리는 다음의 경우에 적용될 수 있습니다.

• 처리가 동의 또는 계약에 근거하는 경우
• 개인데이터가 통상적으로 사용되는 구조화된 형식으로 전자적으로 처리되는 경우

이동 대상이 될 수 있는 정보의 예:

• 이름
• 주소
• 사용자 이름
• 거래 내역
• 접속 기록
• 위치 데이터

Data Protection Officer

필리핀 체계의 적용을 받는 조직은 필요한 경우 Data Protection Officer(DPO) 선임을 포함해 적절한 프라이버시 거버넌스를 구축해야 합니다. DPO는 조직의 DPA 및 NPC 요건 준수를 지원하는 역할을 맡습니다.

DPO는 다음과 같은 업무에 관여할 수 있습니다.

• 프라이버시 준수
• 데이터보호 정책
• 프라이버시 영향평가
• 정보주체 요청
• 침해 대응
• NPC 대응
• 임직원 인식 제고
• 수탁업체 관리
• 설계 단계부터의 프라이버시 과제

NPC는 PIC와 PIP가 해당하는 경우 DPO와 처리 시스템을 등록할 수 있는 등록 제도를 운영합니다.

처리 시스템 등록

등록 의무는 조직과 처리의 성격에 따라 달라집니다. NPC 요건에 따르면 특히 다음과 같은 경우 의무 등록이 적용될 수 있습니다.

• PIC 또는 PIP의 임직원이 250명 이상인 경우
• 처리에 1,000명 이상의 Sensitive Personal Information이 포함되는 경우
• 처리가 정보주체에게 위험을 초래할 가능성이 있는 경우
• 처리가 일시적이지 않은 경우
• NPC 요건이 포섭하는 상황에서 자동화된 의사결정 또는 프로파일링이 이루어지는 경우

NPC는 자동화된 의사결정이나 프로파일링이 포함된 처리 시스템이 적용 규정에 따라 등록 대상이 된다고도 밝혔습니다.

기업은 모든 조직에 등록이 의무라고 가정하지 말고 등록 요건을 점검해야 합니다.

보안 요건

DPA는 PIC와 PIP가 개인정보를 보호하기 위해 합리적이고 적절한 관리적·물리적·기술적 조치를 시행하도록 요구합니다. 보안 통제는 다음과 같은 요소를 고려해야 합니다.

• 개인정보의 성질
• 처리에 따르는 위험
• 조직이 놓인 환경
• 적용되는 산업 표준
• 구현 비용
• 정보주체에게 미칠 수 있는 영향

실무적인 프라이버시·보안 프로그램에는 다음이 포함될 수 있습니다.

• 접근 통제
• 인증
• 암호화
• 네트워크 보안
• 애플리케이션 보안
• 로깅 및 모니터링
• 취약점 관리
• 백업
• 재해 복구
• 임직원 교육
• 침해사고 대응
• 수탁업체 보안 통제

침해에 관한 NPC 지침은 침해를 예방하거나 최소화하고 신속한 탐지와 대응을 뒷받침하기 위한 관리적·물리적·기술적 조치를 명시적으로 요구합니다.

개인데이터 침해 신고

모든 보안 사고가 NPC와 영향받은 개인에 대한 신고를 요구하는 것은 아닙니다. 의무 신고는 DPA와 NPC 규정이 정한 요건이 충족될 때 적용됩니다.

NPC는 세 가지 핵심 요소를 제시합니다.

• 침해가 Sensitive Personal Information 또는 신원 도용을 가능하게 할 수 있는 다른 정보와 관련된 경우.
• 해당 정보가 권한 없는 자에 의해 취득되었다고 믿을 만한 이유가 있는 경우.
• 해당 침해가 영향받은 정보주체에게 중대한 피해의 실질적 위험을 초래할 가능성이 있다고 PIC가 판단하는 경우.

신원 도용을 가능하게 할 수 있는 정보의 예:

• 금융 또는 경제 관련 정보
• 사용자 이름과 비밀번호
• 생체 데이터
• 정부가 발급한 신분증명 서류
• 정부가 부여한 고유 식별번호
• 개인에 관한 결정에 영향을 줄 수 있는 유사한 정보

72시간 침해 신고

의무 신고가 적용되는 경우, NPC는 개인데이터 침해가 발생했음을 알게 된 때 또는 합리적으로 그렇게 믿게 된 때로부터 72시간 이내에 Personal Data Breach Notification Form을 제출하도록 요구합니다. 신고 의무가 적용되는 경우 영향받은 정보주체에게도 같은 72시간 이내에 통지해야 합니다.

NPC는 신고를 위해 Data Breach Notification Management System(DBNMS)을 운영합니다. 따라서 조직은 다음이 가능한 침해사고 대응 절차를 유지해야 합니다.

• 사고 탐지
• 개인데이터가 영향을 받았는지 평가
• 신고 기준 해당 여부 판단
• 사고 에스컬레이션
• 신고 내용 준비
• 영향받은 개인에 대한 연락
• 시정 조치 기록
• 재발 방지

침해 신고와 처리자

처리를 외부에 위탁해도 적용되는 신고에 대한 관리자의 책임은 사라지지 않습니다. NPC는 처리를 Personal Information Processor에 위탁하거나 재위탁한 경우에도 신고 의무는 Personal Information Controller에 남는다고 밝히고 있습니다.

따라서 처리자와의 계약에는 다음을 정해야 합니다.

• 보안 요건
• 사고 통지 기한
• 조사 협조
• 증거 보전
• 정보주체 대응 지원
• 규제기관 협조
• 시정 책임

데이터 제공과 제3자 처리자

조직은 개인정보 처리를 제3자에게 맡기는 경우가 많습니다. 예:

• 클라우드 제공업체
• CRM 플랫폼
• 분석 서비스 제공업체
• 광고 플랫폼
• 결제 대행업체
• 고객지원 서비스 제공업체
• 마케팅 자동화 플랫폼
• 인사 시스템
• SaaS 제공업체

PIC는 다음을 파악해야 합니다.

• 어떤 정보가 공유되는지
• 왜 공유되는지
• 누가 수령하는지
• 어디서 처리되는지
• 어떤 보안 통제가 적용되는지
• 얼마나 오래 보유되는지
• 추가 처리자가 관여하는지
• 계약 종료 후 어떻게 되는지

NPC는 데이터 제공 약정과 프라이버시 책임성에 관한 지침과 회람을 발표했습니다.

국외 및 국제적 처리

법정 역외 적용 요건이 충족되는 경우 DPA는 필리핀 밖에서 수행되는 처리에도 적용될 수 있습니다. 국제적으로 활동하는 기업은 다음과 같은 필리핀 연결점을 평가해야 합니다.

• 필리핀 고객 또는 거주자
• 필리핀에서의 계약
• 필리핀의 지점 또는 자회사
• 필리핀에서의 사업 운영
• 필리핀에서 수집되거나 보유되는 데이터
• 해외 모회사나 계열사의 접근

DPA의 역외 적용 조항은 관련 법정 연결점이 존재하는 경우 필리핀 밖에서의 처리를 명시적으로 다룹니다.

자동화된 의사결정과 프로파일링

필리핀 체계는 자동화된 처리와 프로파일링을 중요한 프라이버시 쟁점으로 인식합니다. NPC는 자동화된 의사결정의 등록과 신고에 관한 구체적 규정을 두고 있으며, DPA는 자동화된 처리와 프로파일링에 관한 정보주체의 권리를 정합니다.

다음을 활용하는 기업은 자사의 처리를 평가해야 합니다.

• AI 시스템
• 자동화된 적격성 판단
• 신용 평가
• 행동 프로파일링
• 맞춤형 광고
• 부정 탐지
• 추천 시스템
• 그 밖의 자동 의사결정 시스템

평가는 다음을 포함해야 합니다.

• 어떤 개인데이터가 사용되는지
• 자동화된 처리의 목적
• 그 시스템이 개인에게 중대한 영향을 주는지
• 투명성 요건
• 이의 제기 권리
• 등록 의무
• 보안
• 제3자 처리
• 적절한 경우 사람의 검토

NPC는 개인데이터를 처리하는 AI 시스템에 대한 DPA와 시행규칙의 적용에 관해 AI 특화 지침도 발표했습니다.

설계 단계부터의 프라이버시와 프라이버시 엔지니어링

NPC는 최근 시스템 생애주기 프로세스에서의 프라이버시 엔지니어링에 관한 지침을 발표했습니다. 기업은 다음 단계에서 프라이버시 관점을 반영해야 합니다.

• 제품 설계
• 웹사이트 개발
• 애플리케이션 개발
• 수탁업체 선정
• 데이터 아키텍처
• AI 개발
• 분석 도구 도입
• 보안 설계
• 시스템 변경

따라서 프라이버시는 제품 출시 이후가 아니라 개인데이터 처리를 시작하기 전에 다루어야 합니다.

쿠키와 온라인 추적

필리핀 DPA는 모든 쿠키를 일률적으로 동의가 필요한 것으로 분류하지 않습니다. 적절한 접근은 다음을 판단하는 것입니다.

• 해당 쿠키 또는 추적기가 개인정보를 처리하는지
• 어떤 정보를 수집하는지
• 어떤 목적으로 수집하는지
• 누가 정보를 수령하는지
• 어떤 법적 근거가 적용되는지
• 그 기술이 민감정보와 관련되는지
• 제3자 처리가 관여하는지
• 어떤 투명성과 선택 요건이 적용되는지

웹사이트 운영자는 특히 다음에 주의해야 합니다.

• 광고 쿠키
• 리타게팅 픽셀
• 분석
• 소셜미디어 픽셀
• 전환 추적
• 기기 식별자
• 행동 분석
• 세션 관련 기술
• 제3자 SDK

동의가 적용되는 법적 근거인 경우, ConsentX는 선택된 기술이 언제 실행되는지 통제하고 이용자의 선택 기록을 유지하도록 지원할 수 있습니다.

직접 마케팅

DPA는 직접 마케팅과 관련한 정보주체의 권리를 정합니다. 이메일, SMS, 광고 또는 그 밖의 맞춤형 마케팅을 수행하는 기업은 다음을 점검해야 합니다.

• 마케팅 데이터의 출처
• 수집 당시의 목적
• 적용되는 동의
• 수신 거부 수단
• 설정 관리
• 제3자 제공
• 프로파일링
• 광고 플랫폼
• 데이터 보유

이의 제기권은 직접 마케팅을 위한 처리를 명시적으로 포함합니다.

데이터 보유

조직은 처리의 목적과 성격에 맞는 보유 방침을 수립해야 합니다. 보유 프로그램은 다음을 포괄해야 합니다.

• 고객 계정
• 마케팅 데이터베이스
• 동의 기록
• 웹사이트 분석
• 쿠키 및 추적 정보
• 고객지원 기록
• 임직원 정보
• 정보주체 요청
• 보안 로그
• 수탁업체가 보유한 개인데이터

저장 공간이 기술적으로 있다는 이유만으로 데이터를 무기한 보유해서는 안 됩니다.

보유 기간은 법령상·규제상·계약상 요구와 분쟁 대응 요구와도 조율해야 합니다.

아동과 취약한 정보주체

아동이나 그 밖에 취약한 개인의 정보를 처리하는 기업은 강화된 프라이버시 보호 조치를 적용해야 합니다. NPC의 등록 체계는 미성년자, 환자, 고령자, 그리고 정보주체와 조직 사이에 불균형이 있을 수 있는 그 밖의 상황에 있는 사람을 취약한 정보주체로서 관련 위험 요인으로 제시합니다.

따라서 아동을 대상으로 하는 제품은 다음을 평가해야 합니다.

• 연령 확인
• 적절한 고지
• 동의 요건
• 해당하는 경우 보호자의 관여
• 데이터 최소화
• 보안
• 보유 기간
• 프로파일링
• 제3자 제공

필리핀 DPA 준수 체크리스트

이 체크리스트를 준수 프로그램의 출발점으로 활용하세요.

• 수집하는 모든 개인정보 파악
• Sensitive Personal Information 식별
• 처리 목적 도식화
• 적용되는 적법 처리 요건 판단
• 동의 취득 방식 점검
• 동의 증적 유지
• 적절한 개인정보 처리방침 게시
• PIC와 PIP 역할 정리
• 처리자 계약 점검
• 데이터 제공 약정 평가
• 국외 처리 점검
• 정보주체 요청 절차 수립
• 열람 요청 대응
• 정정 요청 대응
• 삭제·차단 요청 대응
• 이의 제기 대응
• 데이터 이동권 대응
• 직접 마케팅 관행 점검
• 자동화된 의사결정 평가
• 프로파일링 활동 점검
• NPC 등록 요건 평가
• DPO 거버넌스 유지
• 합리적인 보안 조치 시행
• 침해 대응 절차 수립
• 72시간 신고 요건 평가
• 아동 및 취약한 개인의 데이터 처리 점검
• 쿠키와 추적기 스캔
• 적용되는 동의 이전에 선택된 기술 차단
• 웹사이트와 수탁업체 변경 사항 정기 점검