DPA

따라서 동의 배너 하나로 모든 개인정보 보호 의무가 해결된다고 가정하기보다, 각 처리 활동에 대해 적용되는 법적 근거를 판단해야 합니다.

필리핀 DPA는 필리핀 밖의 기업에도 적용됩니까?

예, 지정된 상황에서 적용됩니다.

DPA 제6조는 필리핀 밖에서 이루어진 행위나 처리가 필리핀 국민 또는 거주자의 개인정보와 관련되고 해당 주체가 필리핀과 요건에 해당하는 연결점을 가지는 경우 역외 적용을 규정하고 있습니다.

관련 연결점에는 다음이 포함될 수 있습니다.

• 필리핀에서 체결된 계약
• 필리핀 내 지점, 대리점, 사무소 또는 자회사
• 지정된 상황에서 필리핀에 있는 중앙 경영진과 통제권
• 필리핀에서의 사업 영위
• 필리핀 내 주체가 수집하거나 보유하는 개인정보

따라서 국제적으로 사업을 운영하는 기업은 물리적 소재지가 필리핀 밖이라는 이유로 DPA 의무가 없다고 가정하기보다, 자사의 필리핀 연결점과 처리 활동을 평가해야 합니다.

개인정보란 무엇입니까?

DPA는 개인을 직접 또는 간접적으로 식별할 수 있는 정보를 폭넓게 보호합니다.

예를 들면 다음과 같습니다.

• 이름
• 연락처
• 이메일 주소
• 신원 확인 정보
• 계정 정보
• 위치 정보
• 온라인 식별자
• 고용 정보
• 금융 정보
• 건강 정보
• 그 밖에 식별 가능한 개인과 결부된 정보

처리라는 개념은 폭넓으며 수집, 기록, 조직화, 저장, 갱신, 검색, 조회, 이용, 제공, 차단, 삭제 및 파기와 같은 활동을 포함합니다.

민감 개인정보

필리핀 DPA는 민감 개인정보(SPI)에 대해 강화된 보호를 규정합니다.

이 법은 다음과 같은 사항에 관한 정보를 포함합니다.

• 인종
• 민족적 출신
• 혼인 상태
• 연령
• 피부색
• 종교적, 철학적 또는 정치적 성향
• 건강
• 교육
• 유전 정보 또는 성생활
• 범죄에 관한 절차와 그 처분 결과
• 특정 사회보장, 건강, 면허 또는 세무 정보와 같이 개인에게 고유한 정부 발급 정보
• 법률이나 행정 조치에 따라 기밀로 특별히 분류된 정보

개인정보와 민감 개인정보의 구분은 SPI에 추가적인 제한과 안전조치가 적용될 수 있다는 점에서 중요합니다.

동의 요건

동의에 근거하는 경우, 필리핀 개인정보 보호 규칙은 동의가 다음과 같을 것을 요구합니다.

• 자유롭게 제공될 것
• 구체적일 것
• 충분한 정보에 기반할 것
• 증명 가능할 것

IRR은 동의가 서면, 전자적 또는 녹음된 수단으로 증명될 수 있다고 규정합니다.

따라서 실무적인 동의 방식은 다음을 입증할 수 있어야 합니다.

• 누가 동의를 제공했는지
• 그 사람이 무엇에 동의했는지
• 어떤 목적으로 동의가 제공되었는지
• 동의가 언제 제공되었는지
• 어떤 정보가 제시되었는지
• 그 사람이 이후에 동의를 철회했는지 여부
• 그 동의에 근거하여 어떤 처리가 이루어졌는지

동의를 불필요하게 일괄로 묶어서는 안 됩니다

동의가 필요한 경우, 조직은 서로 관련 없는 목적들이 하나의 모호한 허락에 의존하도록 만들어서는 안 됩니다.

예를 들어 하나의 기업이 다음과 관련된 별개의 처리 활동을 수행할 수 있습니다.

• 계정 생성
• 서비스 제공
• 분석
• 광고
• 개인화
• 다이렉트 마케팅
• 제3자 데이터 공유

이러한 활동은 각각 개별적으로 평가하여 적용되는 법적 근거와 투명성 요건을 판단해야 합니다.

개인정보 처리방침 고지와 투명성

DPA의 투명성 요건에 따라 조직은 정보주체에게 자신의 개인정보 처리에 관한 적절한 정보를 제공해야 합니다.

개인정보 처리방침 고지는 다음과 같은 관련 사항을 다루어야 합니다.

• 어떤 개인정보가 수집되는지
• 처리의 목적
• 처리의 방식과 범위
• 컨트롤러 또는 그 대리인의 신원과 연락처
• 보존 기간
• 관련 수령인 또는 제공 내역
• 정보주체의 권리
• 정보주체가 그러한 권리를 행사하거나 불만을 제기하는 방법

IRR은 처리와 관련 권리에 관하여 고지받을 정보주체의 권리를 명시적으로 인정하고 있습니다.

정보주체의 권리

국가개인정보위원회는 DPA에 따라 정보주체에게 부여되는 여러 권리를 다음과 같이 제시하고 있습니다.

• 고지받을 권리
• 열람권
• 이의 제기권
• 정정권
• 삭제 또는 차단 요구권
• 개인정보 이동권
• 불만 제기권
• 손해배상 청구권

따라서 조직은 다음을 수행할 수 있는 공식적인 개인정보 요청 절차를 유지해야 합니다.

1. 1요청 접수
2. 2요청자 본인 확인
3. 3관련 데이터 식별
4. 4적용되는 예외 사유 판단
5. 5프로세서와의 협조
6. 6적용되는 기간 내의 회신
7. 7회신 내용에 대한 증빙 유지

열람권

열람권은 정보주체가 자신의 개인정보 처리에 관한 정보를 확인할 수 있도록 합니다.

상황에 따라 여기에는 다음에 관한 정보가 포함될 수 있습니다.

• 처리되고 있는 개인정보
• 처리의 목적
• 처리의 방식과 범위
• 수령인 또는 수령인의 범주
• 해당하는 경우 데이터의 출처
• 그 밖에 DPA가 인정하는 정보

기업은 데이터베이스, 애플리케이션 및 제3자 시스템 전반에서 개인정보를 찾아내기 위한 절차를 갖추어야 합니다.

정정권

정보주체는 부정확하거나 불완전한 개인정보를 정정할 권리를 행사할 수 있습니다.

조직은 다음이 가능한 절차를 유지해야 합니다.

• 관련 기록의 식별
• 요청된 정정 내용의 확인
• 내부 시스템의 갱신
• 필요한 경우 관련 프로세서나 수령인에 대한 정정 사항의 전파
• 요청과 처리 결과의 문서화

삭제 또는 차단 요구권

DPA는 지정된 상황에서 삭제 또는 차단을 요구할 권리를 인정합니다.

이를 모든 기록을 즉시 삭제해야 하는 무조건적인 권리로 해석해서는 안 됩니다.

조직은 다음 사항을 판단해야 합니다.

• 데이터가 더 이상 필요하지 않은지 여부
• 처리가 위법한지 여부
• 정보주체의 이의 제기가 정당한지 여부
• 다른 법률에 따라 보존이 요구되는지 여부
• 해당 정보가 법적 청구를 위해 필요한지 여부
• 그 밖의 법정 예외가 적용되는지 여부

이의 제기권

정보주체는 일정한 처리에 대해 이의를 제기할 권리를 가집니다.

시행규칙은 특히 다음과 관련된 이의 제기를 인정하고 있습니다.

• 다이렉트 마케팅
• 자동화된 처리
• 프로파일링

이의 제기가 정당한 경우, 컨트롤러는 계속 처리를 허용하는 예외가 적용되지 않는 한 해당 처리를 중단해야 합니다.

개인정보 이동권

필리핀은 개인정보 이동권을 인정합니다.

NPC는 정보주체가 개인정보의 사본을 받거나, 일반적으로 사용되는 전자적 또는 구조화된 형식으로 한 PIC에서 다른 PIC로 개인정보가 전송되도록 할 수 있다고 설명합니다.

이 권리는 다음의 경우에 적용될 수 있습니다.

• 처리가 동의 또는 계약에 근거하는 경우
• 개인정보가 구조화되고 일반적으로 사용되는 형식으로 전자적으로 처리되는 경우

이동 가능한 정보의 예로는 다음을 들 수 있습니다.

• 이름
• 주소
• 사용자명
• 거래 내역
• 접속 기록
• 위치 정보

개인정보 보호책임자

필리핀 개인정보 보호 체계의 적용을 받는 조직은 필요한 경우 개인정보 보호책임자(DPO) 지정을 포함하여 적절한 개인정보 거버넌스를 마련해야 합니다.

DPO는 조직이 DPA와 NPC 요건을 준수하도록 지원할 책임을 집니다.

DPO는 다음 업무에 관여할 수 있습니다.

• 개인정보 컴플라이언스
• 개인정보 보호 정책
• 개인정보 영향평가
• 정보주체 요청
• 유출 관리
• NPC 대응
• 임직원 인식 제고
• 공급업체 관리
• 프라이버시 바이 디자인 활동

NPC는 PIC와 PIP가 해당하는 경우 자신의 DPO와 개인정보 처리 시스템을 등록할 수 있는 등록 시스템을 제공합니다.

개인정보 처리 시스템 등록

등록 의무는 조직과 그 처리의 성격에 따라 달라집니다.

NPC 요건에 따르면, 특히 다음과 같은 경우에 의무 등록이 적용될 수 있습니다.

• PIC 또는 PIP가 최소 250명의 임직원을 고용하는 경우
• 처리에 최소 1,000명의 민감 개인정보가 포함되는 경우
• 처리가 정보주체에게 위험을 초래할 가능성이 있는 경우
• 처리가 일시적이지 않은 경우
• NPC 요건이 적용되는 상황에서 자동화된 의사결정이나 프로파일링이 관련되는 경우

NPC는 또한 자동화된 의사결정이나 프로파일링이 관련된 개인정보 처리 시스템이 해당 규칙에 따라 등록 요건의 적용을 받는다고 밝혔습니다.

기업은 모든 조직에 등록이 의무라고 가정하기보다 등록 요건을 직접 평가해야 합니다.

보안 요건

DPA는 PIC와 PIP가 개인정보를 보호하기 위해 합리적이고 적절한 조직적, 물리적 및 기술적 조치를 시행하도록 요구합니다.

보안 통제는 다음과 같은 요소를 고려해야 합니다.

• 개인정보의 성격
• 처리에 수반되는 위험
• 조직 환경
• 적용되는 업계 표준
• 시행 비용
• 정보주체에 대한 잠재적 영향

실무적인 개인정보 보안 프로그램에는 다음이 포함될 수 있습니다.

• 접근 통제
• 인증
• 암호화
• 네트워크 보안
• 애플리케이션 보안
• 로깅 및 모니터링
• 취약점 관리
• 백업
• 재해 복구
• 임직원 교육
• 사고 대응
• 공급업체 보안 통제

NPC의 유출 관련 지침은 특히 유출을 예방하거나 최소화하고 신속한 탐지와 대응을 뒷받침하도록 설계된 조직적, 물리적 및 기술적 조치를 요구하고 있습니다.

개인정보 유출 통지

모든 보안 사고가 NPC와 영향을 받은 개인에 대한 통지를 요구하는 것은 아닙니다.

의무 통지는 DPA와 NPC 규칙이 정한 조건이 충족되는 경우에 적용됩니다.

NPC는 세 가지 핵심 요소를 제시하고 있습니다.

1. 1유출이 민감 개인정보 또는 신원 도용을 가능하게 할 수 있는 그 밖의 정보와 관련되어 있을 것.
2. 2해당 정보가 권한 없는 자에 의해 취득되었다고 볼 만한 사유가 있을 것.
3. 3PIC가 그 유출로 인해 영향을 받은 정보주체에게 중대한 피해가 발생할 실질적 위험이 있다고 판단할 것.

신원 도용을 가능하게 할 수 있는 정보의 예는 다음과 같습니다.

• 금융 또는 경제 정보
• 사용자명과 비밀번호
• 생체 정보
• 정부 발급 신분증
• 고유한 정부 식별번호
• 개인에 관한 결정에 영향을 미칠 수 있는 유사한 정보

72시간 유출 통지

의무 통지가 적용되는 경우, NPC는 개인정보 유출이 발생했음을 인지하거나 합리적으로 그렇게 믿게 된 때로부터 72시간 이내에 개인정보 유출 통지서(Personal Data Breach Notification Form)를 제출하도록 요구합니다.

통지 요건이 적용되는 경우 영향을 받은 정보주체에게도 해당 72시간의 기간 내에 통지해야 합니다.

NPC는 유출 통지를 위한 데이터 유출 통지 관리 시스템(DBNMS)을 운영하고 있습니다.

따라서 조직은 다음을 수행할 수 있는 사고 대응 절차를 유지해야 합니다.

• 사고의 탐지
• 개인정보가 영향을 받았는지 여부의 평가
• 통지 기준의 충족 여부 판단
• 사고의 에스컬레이션
• 통지 정보의 준비
• 영향을 받은 개인에 대한 연락
• 시정 조치의 문서화
• 재발 방지

개인정보 유출 통지와 프로세서

처리를 외부에 위탁하더라도 해당 유출 통지에 대한 컨트롤러의 책임이 사라지는 것은 아닙니다.

NPC는 처리를 개인정보 프로세서에 위탁하거나 재위탁한 경우에도 통지 의무는 개인정보 컨트롤러에게 남는다고 밝히고 있습니다.

따라서 프로세서와 체결하는 계약에는 다음 사항을 규정해야 합니다.

• 보안 요건
• 사고 통지 기한
• 조사 협조
• 증거 보전
• 정보주체 지원
• 규제기관 대응 협조
• 시정 책임

데이터 공유와 제3자 프로세서

조직은 개인정보를 처리하기 위해 제3자에 의존하는 경우가 많습니다.

예를 들면 다음과 같습니다.

• 클라우드 제공업체
• CRM 플랫폼
• 분석 제공업체
• 광고 플랫폼
• 결제 처리업체
• 고객 지원 제공업체
• 마케팅 자동화 플랫폼
• 인사 시스템
• SaaS 제공업체

PIC는 다음을 파악해야 합니다.

• 어떤 정보가 공유되는지
• 왜 공유되는지
• 누가 이를 제공받는지
• 어디에서 처리되는지
• 어떤 보안 통제가 적용되는지
• 얼마나 오래 보관되는지
• 추가 프로세서가 관여하는지 여부
• 계약 종료 후에는 어떻게 되는지

NPC는 데이터 공유 약정과 개인정보 책임성에 관한 지침과 회람을 발행해 왔습니다.

국경 간 처리와 국제적 처리

DPA는 법정 역외 적용 조건이 충족되는 경우 필리핀 밖에서 수행되는 처리에도 적용될 수 있습니다.

국제적으로 사업을 운영하는 기업은 다음을 포함하여 자사의 필리핀 연결점을 평가해야 합니다.

• 필리핀 고객 또는 거주자
• 필리핀에서의 계약
• 필리핀 내 지점 또는 자회사
• 필리핀 내 사업 운영
• 필리핀에서 수집되거나 보유되는 데이터
• 해외 모회사 또는 계열사의 접근

DPA의 역외 적용 조항은 관련 법정 연결점이 존재하는 경우 필리핀 밖에서 이루어지는 처리를 명시적으로 다루고 있습니다.

자동화된 의사결정과 프로파일링

필리핀 개인정보 보호 체계는 자동화된 처리와 프로파일링을 중요한 개인정보 보호 사안으로 인식하고 있습니다.

NPC는 자동화된 의사결정에 대한 등록과 통지에 관한 구체적인 규칙을 두고 있으며, DPA는 자동화된 처리와 프로파일링에 관한 정보주체 권리를 규정하고 있습니다.

다음을 이용하는 기업은

• AI 시스템
• 자동화된 자격 판정
• 신용 평가
• 행동 프로파일링
• 개인화된 광고
• 부정행위 탐지
• 추천 시스템
• 그 밖의 자동화된 의사결정 시스템

다음을 평가해야 합니다.

• 어떤 개인정보가 이용되는지
• 자동화된 처리의 목적
• 그 시스템이 개인에게 중대한 영향을 미치는지 여부
• 투명성 요건
• 이의 제기권
• 등록 의무
• 보안
• 제3자 처리
• 적절한 경우 사람에 의한 검토

NPC는 또한 개인정보를 처리하는 AI 시스템에 DPA와 그 시행규칙을 어떻게 적용할지에 관한 AI 전용 지침을 발행했습니다.

프라이버시 바이 디자인과 프라이버시 엔지니어링

NPC는 시스템 수명주기 프로세스에서의 프라이버시 엔지니어링에 관한 최신 지침을 발행했습니다.

기업은 다음 과정에서 개인정보 보호 관점을 반영해야 합니다.

• 제품 설계
• 웹사이트 개발
• 애플리케이션 개발
• 공급업체 선정
• 데이터 아키텍처
• AI 개발
• 분석 도구 구현
• 보안 설계
• 시스템 변경

따라서 개인정보 보호는 제품 출시 이후에만 다룰 것이 아니라 개인정보 처리가 시작되기 전에 다루어야 합니다.

쿠키와 온라인 추적

필리핀 DPA는 모든 쿠키를 일률적으로 동의가 필요한 것으로 분류하지 않습니다.

적절한 접근 방식은 다음을 판단하는 것입니다.

1. 1해당 쿠키나 트래커가 개인정보를 처리하는지 여부
2. 2어떤 정보를 수집하는지
3. 3어떤 목적으로 수집하는지
4. 4누가 그 정보를 제공받는지
5. 5어떤 법적 근거가 적용되는지
6. 6그 기술이 민감정보와 관련되는지 여부
7. 7제3자 처리가 관련되는지 여부
8. 8어떤 투명성 및 선택권 요건이 적용되는지

웹사이트 운영자는 특히 다음에 주의해야 합니다.

• 광고 쿠키
• 리타기팅 픽셀
• 분석
• 소셜 미디어 픽셀
• 전환 추적
• 기기 식별자
• 행동 분석
• 세션 기술
• 제3자 SDK

동의가 적용되는 법적 근거인 경우, ConsentX는 선택한 기술이 언제 실행될지 조직이 통제하고 사용자의 선택에 대한 기록을 유지하도록 도울 수 있습니다.

다이렉트 마케팅

DPA는 정보주체에게 다이렉트 마케팅에 관한 권리를 부여합니다.

이메일, SMS, 광고 또는 그 밖의 개인화된 마케팅을 수행하는 기업은 다음을 검토해야 합니다.

• 마케팅 데이터의 출처
• 데이터가 수집된 목적
• 적용되는 동의
• 옵트아웃 수단
• 선호 설정 관리
• 제3자 제공
• 프로파일링
• 광고 플랫폼
• 데이터 보존

이의 제기권에는 다이렉트 마케팅을 위한 처리가 명시적으로 포함됩니다.

데이터 보존

조직은 처리의 목적과 성격에 적합한 보존 관행을 마련해야 합니다.

보존 프로그램은 다음을 포괄해야 합니다.

• 고객 계정
• 마케팅 데이터베이스
• 동의 기록
• 웹사이트 분석
• 쿠키 및 추적 정보
• 고객 지원 기록
• 임직원 정보
• 정보주체 요청
• 보안 로그
• 공급업체가 보유한 개인정보

저장 공간이 기술적으로 확보되어 있다는 이유만으로 데이터를 무기한 보관해서는 안 됩니다.

보존은 법률, 규제, 계약 및 소송 관련 요건과도 함께 조율되어야 합니다.

아동과 취약한 정보주체

아동이나 그 밖의 취약한 개인에 관한 정보를 처리하는 기업은 강화된 개인정보 보호 안전조치를 적용해야 합니다.

NPC의 등록 체계는 미성년자, 환자, 고령자, 그리고 정보주체와 조직 사이에 불균형이 있을 수 있는 상황에 놓인 그 밖의 사람을 포함하는 취약한 정보주체를 관련 위험 요소로 제시하고 있습니다.

따라서 아동을 대상으로 하는 제품은 다음을 평가해야 합니다.

• 연령 확인
• 적절한 고지
• 동의 요건
• 해당하는 경우 보호자의 관여
• 데이터 최소화
• 보안
• 보존
• 프로파일링
• 제3자 제공

필리핀 DPA 컴플라이언스 체크리스트

• 수집되는 모든 개인정보 식별
• 민감 개인정보 식별
• 처리 목적 매핑
• 적용되는 적법 처리 기준 판단
• 동의 방식 검토
• 동의 증빙 유지
• 적절한 개인정보 처리방침 고지 게시
• PIC와 PIP 역할 식별
• 프로세서 계약 검토
• 데이터 공유 약정 평가
• 국경 간 처리 검토
• 정보주체 요청 절차 마련
• 열람 요청 지원
• 정정 요청 지원
• 삭제/차단 요청 지원
• 이의 제기 지원
• 개인정보 이동 지원
• 다이렉트 마케팅 관행 검토
• 자동화된 의사결정 평가
• 프로파일링 활동 검토
• NPC 등록 요건 평가
• DPO 거버넌스 유지
• 합리적인 보안 조치 시행
• 유출 대응 절차 마련
• 72시간 통지 요건 평가
• 아동 및 취약계층 관련 처리 검토
• 쿠키와 트래커 스캔
• 해당 동의 이전에 선택한 기술 차단
• 웹사이트 및 공급업체 변경 사항 정기 검토

이 규제가 적용되는 국가

국가: 필리핀

필리핀 개인정보 보호법은 그 적용 범위에 속하는 개인정보 처리에 적용되며, 법정 역외 적용 조건이 충족되는 경우 필리핀 밖에서 수행되는 일정한 처리 활동에도 적용될 수 있습니다.

기타 개인정보 보호 규정

국제적으로 사업을 운영하는 기업은 다음도 함께 검토해야 할 수 있습니다.

• GDPR — 유럽연합
• UK GDPR — 영국
• CCPA / CPRA — 캘리포니아
• LGPD — 브라질
• PIPEDA — 캐나다
• DPDP Act — 인도
• PDPA — 싱가포르
• PDPA — 태국
• PIPA — 대한민국
• Malaysia PDPA — 말레이시아
• POPIA — 남아프리카공화국
• FADP — 스위스
• Law 25 — 캐나다 퀘벡주
• LFPDPPP — 멕시코
• PDPL — 아르헨티나
• Law 21.719 — 칠레
• Law 1581 — 콜롬비아
• Law 29733 — 페루
• Law 18.331 — 우루과이
• LOPDP — 에콰도르
• 베트남 개인정보 보호법

적용되는 요건은 조직, 처리 활동, 관련 개인 및 관할권에 따라 달라집니다.