POPIA 규정 준수, ConsentX와 함께

Protection of Personal Information Act 4 of 2013(POPIA)은 남아프리카공화국의 개인정보 보호 법률입니다. 개인정보의 적법한 처리 요건을 정하고, 개인을 비롯한 정보주체에게 권리와 보호를 제공합니다.

POPIA는 이 법의 적용 범위 내에서 개인정보를 처리하는 책임 주체와 그 밖의 조직에 적용됩니다. 여기에는 남아프리카공화국에 소재한 조직은 물론, 남아프리카공화국 내에서 개인정보를 처리하는 일부 해외 조직도 포함될 수 있습니다.

POPIA는 책임성, 처리 제한, 목적 특정, 추가 처리 제한, 정보 품질, 공개성, 보안 안전조치, 정보주체 참여라는 여덟 가지 적법 처리 요건을 규정하고 있습니다.

동의는 POPIA에 따른 적법 처리의 근거 중 하나입니다. 다만 POPIA는 여러 적법 처리 근거를 인정하고 있으므로 모든 처리 활동에 반드시 동의가 필요한 것은 아닙니다. 조직은 각 처리 활동에 적합한 적법 근거를 판단해야 합니다.

처리가 동의에 근거하는 경우, 정보주체는 관련 법적 요건과 그 결과를 전제로 동의를 철회할 수 있습니다. 조직은 동의 선호를 관리할 수 있는 접근성 있는 수단을 제공해야 합니다.

POPIA는 정보주체에게 자신의 개인정보에 관한 다양한 권리를 부여합니다. 여기에는 정보를 열람할 권리, 해당하는 경우 정정 또는 삭제를 요청할 권리, 특정 처리에 이의를 제기할 권리, 그 밖에 이 법이 정한 권리를 행사할 권리가 포함됩니다.

POPIA는 쿠키 동의만을 다루는 법률이 아닙니다. 그 요구사항은 개인정보의 처리에 적용됩니다. 쿠키, 트래커 또는 유사 기술이 개인정보를 수집하거나 처리하는 경우, 조직은 적용되는 POPIA 요구사항과 적절한 프라이버시 통제를 검토해야 합니다.

예. POPIA는 수신자가 요청하지 않은 전자적 통신을 통한 다이렉트 마케팅에 관한 별도의 규정을 두고 있습니다. 조직은 자사의 마케팅 활동을 점검하고 적용되는 동의 및 옵트아웃 요건이 적절히 구현되었는지 확인해야 합니다.

예. POPIA는 개인정보를 남아프리카공화국 밖으로 이전하는 것에 관한 요구사항을 두고 있습니다. 조직은 이전 대상 국가, 수신자 또는 이전 수단이 적절한 수준의 보호를 제공하는지, 아니면 이 법이 허용하는 조건을 달리 충족하는지 검토해야 합니다.

POPIA는 책임 주체가 자신이 보유하거나 통제하는 개인정보의 무결성과 기밀성을 확보하도록 요구하며, 이를 위해 분실, 훼손, 무단 파기, 위법한 접근이나 처리를 방지할 수 있는 적절하고 합리적인 기술적·관리적 조치를 취해야 합니다.

ConsentX는 동의 관리, 목적 기반 선택, 동의 철회, 트래커 탐지, 사전 스크립트 차단, 동의 증적, 정보주체 요청 워크플로 등 POPIA 대응의 핵심 업무를 뒷받침하는 기술을 제공합니다. 다만 ConsentX만으로 POPIA 준수가 보장되지는 않습니다. 조직은 전체 데이터 처리 활동, 정책, 보안 통제, 계약 및 법적 의무를 종합적으로 점검해야 합니다.