사우디아라비아 PDPL 준수, ConsentX와 함께

사우디아라비아 개인데이터보호법이란

사우디아라비아 개인데이터보호법, 통칭 사우디 PDPL은 개인데이터를 보호하고 그 처리를 규율하기 위한 규칙을 정하고 있습니다.

이 법은 개인데이터를 폭넓게 정의합니다. 이름, 식별번호, 주소, 연락처, 면허번호, 개인 자산, 은행 및 신용카드 번호, 사진, 동영상, 그 밖의 개인적 성격의 정보 등 개인을 직접 또는 간접적으로 식별할 수 있는 정보를 포함합니다.

처리 또한 폭넓게 정의되며 다음과 같은 행위를 포함합니다.

• 수집
• 기록
• 저장
• 조직화
• 구조화
• 수정
• 검색
• 이용
• 공개
• 이전
• 공유
• 파기

따라서 조직은 개인데이터의 전체 수명주기에 걸쳐 PDPL 준수를 고려해야 합니다.

사우디 PDPL은 언제 시행되었는가

사우디 PDPL은 2023년 9월 14일에 시행되었습니다.

이후 시행규칙과 관련 규제 문서가 이 체계를 보완했습니다. SDAIA의 현행 컴플라이언스 자료는 PDPL과 시행규칙을 사우디아라비아의 개인데이터 보호를 규율하는 핵심 체계로 다루고 있습니다.

따라서 조직은 PDPL을 장차 시행될 규제로 보지 말고, 현행 법령과 시행 요건에 비추어 준수 상태를 평가해야 합니다.

사우디 PDPL은 사우디아라비아 밖의 기업에도 적용되는가

일정한 경우에 적용됩니다.

제2조는 왕국 밖의 주체가 사우디아라비아에 거주하는 개인의 개인데이터를 처리하는 경우에도 이 법을 적용합니다.

이는 다음을 이용하는 국제 기업에 특히 중요할 수 있습니다.

• 글로벌 CRM 플랫폼
• 국제 클라우드 인프라
• 애널리틱스 서비스
• 광고 플랫폼
• 글로벌 고객지원 시스템
• 국제 인사 플랫폼
• SaaS 애플리케이션
• 마케팅 자동화 시스템

따라서 사우디아라비아 밖의 조직도 자사의 처리 활동이 PDPL의 지역적 적용 범위에 해당하는지 평가해야 합니다.

사우디 PDPL상 개인데이터란

개인데이터에는 개인을 특정하여 식별할 수 있거나 직접 또는 간접적으로 식별을 가능하게 하는 정보가 포함됩니다.

예를 들면 다음과 같습니다.

• 이름
• 국가 식별번호
• 주소
• 전화번호
• 이메일 주소
• 면허번호
• 등록 정보
• 개인 자산 정보
• 은행계좌 정보
• 신용카드 정보
• 사진
• 동영상
• 그 밖의 식별 정보

이 법은 기술 중립적이므로, 전통적인 데이터베이스나 종이 기록만이 적용 대상이라고 단정해서는 안 됩니다.

민감한 개인데이터란

민감한 개인데이터는 사우디 PDPL 체계에서 추가적인 보호를 받습니다.

민감정보에는 다음과 같은 사항에 관한 데이터가 포함될 수 있습니다.

• 인종 또는 민족적 출신
• 종교적, 철학적 또는 정치적 신념
• 범죄경력 또는 형사절차
• 식별에 사용되는 생체정보
• 유전정보
• 건강정보
• 친자관계에 관한 정보

규제 체계는 민감한 개인데이터 처리에 추가적인 제한을 부과합니다. 예를 들어 민감한 개인데이터 처리에는 정당한 이익 근거를 사용할 수 없습니다.

사우디 PDPL상 처리의 적법 근거

사우디 PDPL은 모든 처리 활동에 대해 동의를 요구하지 않습니다.

제5조는 동의를 원칙으로 정하고, 제6조는 그 동의 요건이 적용되지 않는 상황을 규정합니다. 예를 들어 다음과 같은 경우입니다.

• 처리가 정보주체의 실제 이익에 부합하지만 연락이 불가능하거나 곤란한 경우
• 다른 법령에 따라 처리가 요구되는 경우
• 정보주체가 당사자인 기존 합의를 이행하기 위해 처리가 필요한 경우
• 공공기관이 보안 또는 사법상의 필요에 따라 데이터를 처리하는 경우
• 관리자의 정당한 이익을 위해 필요하고, 정보주체의 권리와 이익이 침해되지 않으며 민감데이터가 처리되지 않는 경우

시행규칙은 추가적인 통제와 조건을 규정합니다.

따라서 조직은 모든 처리가 동의에 근거해야 한다고 가정하기보다, 각 처리 활동의 적법 근거를 문서화해야 합니다.

사우디 PDPL상의 동의

동의가 적용되는 적법 근거인 경우, 조직은 PDPL과 시행규칙에 따라 동의를 받아야 합니다.

제5조는 법에서 정한 경우를 제외하고는 원칙적으로 정보주체의 동의 없이 개인데이터를 처리하거나 그 목적을 변경할 수 없다고 규정합니다. 또한 정보주체가 동의를 철회할 수 있음을 정하고 있습니다.

적법한 동의 절차는 다음을 증명할 수 있도록 설계되어야 합니다.

• 누가 동의했는지
• 언제 동의했는지
• 어떤 처리 목적이 제시되었는지
• 어떤 데이터 범주가 관련되었는지
• 어떤 선택이 이루어졌는지
• 어떤 버전의 고지 또는 동의 화면이 표시되었는지
• 이후 동의가 철회되었는지

동의는 해당 처리에 특정되어야 하며, 관련 없는 목적에 대한 포괄적 허용으로 사용되어서는 안 됩니다.

서비스 제공의 조건으로 동의를 요구할 수 있는가

항상 그렇지는 않습니다.

제7조는 해당 서비스나 혜택이 동의를 받는 처리와 직접 관련된 경우를 제외하고는, 동의를 서비스 또는 혜택 제공의 조건으로 삼을 수 없다고 규정합니다.

따라서 조직은 동의 요청이 실제로 선택적인지, 아니면 관련 없는 서비스와 부당하게 결합되어 있지는 않은지 점검해야 합니다.

동의 철회

처리가 동의에 근거하는 경우, 정보주체는 적용되는 규제상의 통제에 따라 언제든지 동의를 철회할 수 있습니다.

따라서 조직은 이용자가 다음을 할 수 있는 실질적인 수단을 제공해야 합니다.

• 자신의 동의 내역 확인
• 동의 철회
• 선택한 목적 변경
• 해당 마케팅 중단
• 설정 업데이트

동의 철회는 해당 동의에 기대어 처리를 계속하는 후속 시스템에도 반영되어야 합니다.

사우디 PDPL상의 개인정보 고지

관리자는 개인정보 처리방침을 마련하고, 개인데이터를 수집하기 전에 정보주체가 이를 확인할 수 있도록 해야 합니다.

개인정보 처리방침에는 다음과 같은 사항이 포함되어야 합니다.

• 수집 목적
• 수집하는 개인데이터
• 수집에 사용되는 방법
• 처리
• 저장
• 파기
• 정보주체의 권리
• 권리 행사 방법

제13조는 정보주체로부터 직접 데이터를 수집하는 조직에 대해 적법 근거, 목적, 필수 및 선택 데이터, 관련 제공 대상, 국외 이전, 데이터를 제공하지 않을 경우 발생할 수 있는 결과, 적용되는 권리 등 추가 정보를 제공하도록 요구합니다.

따라서 사우디 PDPL 고지는 일반적인 개인정보 문구가 아니라 조직의 실제 처리 활동에 맞추어 작성되어야 합니다.

데이터 최소화와 목적 제한

PDPL은 개인데이터 수집이 관리자의 목적과 연결되어야 한다고 규정합니다.

이 법은 수집되는 개인데이터의 양이 적절하고 수집 목적 달성에 필요한 최소한으로 제한되어야 한다고 요구합니다. 개인데이터가 원래 목적에 더 이상 필요하지 않게 되면 수집을 중단하고, 이미 수집한 데이터는 적용되는 요건에 따라 파기해야 합니다.

조직은 다음 사항을 정기적으로 검토해야 합니다.

• 어떤 항목을 수집하는지
• 각 항목을 왜 수집하는지
• 선택 정보가 실제로 필요한지
• 데이터가 다른 목적에 재사용되는지
• 보유 기간이 여전히 정당한지
• 정보를 익명화 또는 가명화할 수 있는지

데이터 정확성

관리자는 개인데이터가 다음 상태에 있는지 확인하기 위해 충분한 조치를 취해야 합니다.

• 정확할 것
• 완전할 것
• 최신일 것
• 수집 목적에 관련될 것

PDPL은 또한 적용되는 요건에 따라, 개인데이터를 이전받은 다른 주체에게 정정, 보완 또는 갱신 내용을 통지하도록 관리자에게 요구합니다.

사우디 PDPL상 정보주체의 권리

사우디 PDPL은 개인데이터와 관련하여 개인에게 여러 권리를 부여합니다.

고지받을 권리. 개인은 자신의 개인데이터 수집의 적법 근거와 목적에 관한 정보를 받을 권리가 있습니다.

열람권. 정보주체는 적용되는 제한에 따라 관리자가 보유한 개인데이터의 열람을 요청할 수 있습니다.

데이터를 제공받을 권리. 개인은 적용되는 통제에 따라 자신의 개인데이터를 읽을 수 있고 명확한 형식으로 요청할 수 있습니다.

정정권. 개인은 자신의 개인데이터의 정정, 보완 또는 갱신을 요청할 수 있습니다.

파기 요청권. 개인은 개인데이터가 더 이상 필요하지 않은 경우, 법이 정한 예외와 보관 의무에 따라 그 파기를 요청할 수 있습니다.

동의 철회권. 처리가 동의에 근거하는 경우 정보주체는 그 동의를 철회할 수 있습니다.

민원 제기권. 정보주체는 PDPL 및 그 규칙의 이행과 관련하여 주무 기관에 민원을 제기할 수 있습니다.

배상 청구권. 요건을 충족하는 위반으로 손해를 입은 개인은 관할 법원을 통해 재산적 또는 정신적 손해에 상응하는 배상을 청구할 수 있습니다.

사우디 PDPL상 데이터 공개

관리자는 원칙적으로 PDPL이 허용하는 경우를 제외하고는 개인데이터를 공개할 수 없습니다.

허용되는 경우에는 다음이 포함될 수 있습니다.

• 정보주체의 동의
• 공개된 출처에서 수집한 데이터
• 공공기관의 일정한 요구
• 공중보건 또는 공공안전 상황
• 생명 또는 건강의 보호
• 식별을 방지하는 처리
• 민감데이터를 처리하지 않는 일정한 정당한 이익 상황

국가안보, 국제관계, 형사수사, 개인의 안전, 타인의 프라이버시, 직업상 의무 또는 그 밖의 보호되는 이익에 영향을 줄 수 있는 공개에는 추가 제한이 적용됩니다.

사우디 PDPL상 다이렉트 마케팅

사우디 PDPL은 개인 통신수단을 통해 발송되는 광고 및 홍보 자료에 대해 별도의 요건을 두고 있습니다.

공공기관의 일정한 홍보 자료를 제외하고, 관리자는 원칙적으로 사전 동의 없이 이메일이나 우편과 같은 개인 통신수단을 사용하여 광고 또는 홍보 자료를 발송할 수 없습니다.

발송자는 또한 수신자가 그러한 수신의 중단을 요청할 수 있는 명확한 수단을 제공해야 합니다.

PDPL은 별도로, 정보주체로부터 직접 수집하고 동의를 받은 개인데이터에 대해 법령과 규칙에 따라 마케팅 목적의 처리가 가능함을 규정합니다. 민감데이터는 이 마케팅 규정의 적용 대상에서 제외됩니다.

쿠키와 추적 기술

웹사이트와 애플리케이션이 개인데이터를 처리하는 쿠키, 픽셀, SDK, 광고 기술, 애널리틱스 도구, 그 밖의 추적 기술을 사용하는 경우 사우디 PDPL을 고려해야 합니다.

조직은 다음을 평가해야 합니다.

• 쿠키나 추적기가 개인데이터를 처리하는지
• 어떤 정보가 수집되는지
• 처리의 목적
• 적용되는 적법 근거
• 동의가 필요한지
• 제3자가 정보를 받는지
• 정보가 사우디아라비아 밖으로 나가는지
• 해당 기술이 마케팅이나 프로파일링에 사용되는지
• 정보가 얼마나 오래 보관되는지

쿠키 배너만으로는 PDPL을 완전히 준수했다고 볼 수 없습니다. 조직은 동의 관리를 개인정보 고지, 데이터 거버넌스, 공급업체 관리, 안전조치, 정보주체 권리 대응 절차와 함께 운영해야 합니다.

사우디 PDPL상 개인데이터 보호책임자

사우디 PDPL과 시행규칙은 정해진 경우에 개인데이터 보호책임자(DPO)의 지정을 규정합니다.

SDAIA는 개인데이터 보호책임자 지정에 관한 별도의 규칙을 발행했습니다. DPO 요건은 조직의 활동과 시행규칙이 정한 상황에 따라 평가되어야 합니다.

지정이 필요한 경우 DPO는 다음과 같은 활동을 지원할 수 있습니다.

• 준수 상태 모니터링
• 개인정보 요건에 관한 자문
• 데이터 보호 정책 지원
• 정보주체 권리 대응 모니터링
• 영향평가 지원
• SDAIA와의 협조
• 침해 대응 절차 지원
• 처리 기록 모니터링

모든 관리자에게 동일한 DPO 의무가 적용된다고 가정해서는 안 됩니다.

데이터 보호 영향평가

사우디 PDPL은 관리자에게 자사 활동의 성격과 적용되는 규제 요건에 따라 제품 또는 서비스와 관련된 개인데이터 처리의 영향평가를 수행하도록 요구합니다.

평가에서는 다음과 같은 요소를 고려해야 합니다.

• 처리 목적
• 개인데이터의 유형과 규모
• 정보주체의 범주
• 처리 방법
• 잠재적 위험
• 안전조치
• 데이터 보유
• 제3자 공개
• 국외 이전
• 확인된 위험을 줄이기 위한 조치

조직은 영향평가를 사후적인 컴플라이언스 절차로 취급하지 말고 제품 및 서비스 개발 과정에 통합해야 합니다.

개인데이터의 안전성 확보

관리자는 이전 과정을 포함하여 개인데이터를 보호하기 위한 조직적, 관리적, 기술적 조치를 시행해야 합니다.

SDAIA의 현행 지침은 무결성과 기밀성 등의 원칙을 제시하며, 개인데이터를 분실, 파괴 또는 훼손으로부터 보호하기 위한 적절한 보안 통제를 요구합니다.

안전조치에는 다음이 포함될 수 있습니다.

• 접근 통제
• 인증
• 암호화
• 모니터링
• 안전한 저장
• 취약점 관리
• 사고 대응
• 임직원 비밀유지 관리
• 공급업체 보안 평가
• 백업 및 복구 절차
• 데이터 최소화
• 안전한 삭제

적절한 통제는 처리의 성격과 위험을 반영해야 합니다.

개인데이터 침해 통지

관리자는 개인데이터의 침해, 훼손 또는 불법적 접근을 인지한 경우, 적용되는 규제 요건에 따라 주무 기관에 통지해야 합니다.

또한 해당 사고가 정보주체의 데이터에 손해를 끼치거나 그 권리와 이익을 침해할 수 있는 경우에는 영향을 받은 정보주체에게도 통지해야 합니다.

조직은 다음을 포함하는 문서화된 침해 대응 절차를 유지해야 합니다.

• 탐지
• 확산 차단
• 초기 평가
• 위험 분석
• 문서화
• 규제기관 통지
• 필요한 경우 정보주체 통지
• 시정 조치
• 사후 검토

적용되는 통지 기한과 기준은 현행 시행규칙과 SDAIA 절차에 비추어 확인해야 합니다.

처리 활동 기록

관리자는 법령과 시행규칙에 따라 개인데이터 처리 활동에 관한 기록을 유지해야 합니다.

SDAIA의 현행 지침은 처리 활동 기록을 각 처리 활동 종료 후 5년간 보관해야 한다고 밝히고 있습니다.

기록에는 다음과 같은 정보가 포함되어야 합니다.

• 관리자의 연락처
• 처리 목적
• 정보주체의 범주
• 데이터를 공개했거나 공개할 주체
• 국외 이전
• 예상 보유 기간

이 기록은 주무 기관이 요청할 때 제출할 수 있어야 합니다.

관리자 국가등록부

SDAIA는 국가데이터거버넌스플랫폼을 통해 관리자 국가등록부를 운영합니다.

현행 등록 규칙은 등록이 필요한 관리자 유형을 다음과 같이 정하고 있습니다.

• 공공기관
• 주된 활동이 개인데이터 처리에 기반한 관리자
• 민감데이터를 처리하는 관리자
• 개인적 또는 가정 내 이용을 넘는 목적으로 개인데이터를 처리하는 개인

SDAIA는 국가등록부가 관리자와 그 PDPL 및 시행규칙 준수 상황에 대한 감독과 후속 관리를 지원하기 위한 것이라고 설명합니다. SDAIA는 국외 조직을 위한 등록 절차도 제공합니다.

관리자와 수탁처리자

사우디 PDPL은 개인데이터를 어떻게, 왜 처리할지 결정하는 조직과 그 위탁을 받아 처리하는 조직의 책임을 구분합니다.

관리자는 PDPL과 시행규칙을 이행하는 데 필요한 보장을 제공하는 수탁처리자를 선정하고, 그 준수 상태를 감독해야 합니다.

따라서 조직은 수탁처리자에 대한 적절한 실사를 수행하고, 계약에 다음 사항이 반영되도록 해야 합니다.

• 처리 지시
• 비밀유지
• 보안
• 재위탁
• 데이터 보유
• 데이터 삭제
• 정보주체 요청 대응
• 침해 관리
• 국외 이전
• 감사 및 준수 의무

국외 데이터 이전

사우디 PDPL은 사우디아라비아 밖으로의 개인데이터 이전 및 공개를 규율하는 별도의 규정을 두고 있습니다.

제29조는 정해진 경우에 왕국 밖으로의 이전 또는 공개를 허용하면서 다음에 관한 조건을 부과합니다.

• 국가안보
• 왕국의 중대한 이익
• 적절한 보호
• 데이터 최소화

이 법은 또한 정보주체의 생명이나 중대한 이익과 관련되거나 질병의 예방, 검사 또는 치료와 관련된 극히 필요한 경우에 대한 예외도 규정합니다.

별도의 왕국 외 개인데이터 이전에 관한 규칙은 국외 이전에 대한 추가 요건과 수단을 정하고 있습니다. SDAIA는 이 규칙을 현행 사우디 데이터 보호 체계의 일부로 제시합니다. 국제 클라우드 제공업체, 애널리틱스 플랫폼, CRM 시스템, 광고 서비스, 글로벌 SaaS 인프라를 사용하는 조직은 국제 데이터 흐름을 정리해야 합니다.

데이터 보유와 파기

조직은 개인데이터를 무기한 보유해서는 안 됩니다.

PDPL은 개인데이터가 수집 목적에 더 이상 필요하지 않게 된 경우, 적용되는 요건과 예외에 따라 수집을 중단하고 이미 수집한 데이터를 파기하도록 관리자에게 요구합니다.

조직은 다음을 포함하는 보유 기준을 수립해야 합니다.

• 고객 정보
• 임직원 데이터
• 마케팅 데이터
• 동의 기록
• 애널리틱스 정보
• 지원 기록
• 재무 기록
• 법무 기록
• 정보주체 요청
• 처리 기록

SDAIA는 개인데이터의 파기, 익명화 및 가명화에 관한 지침도 공개하고 있습니다.

건강 데이터와 신용 데이터

일정한 유형의 개인데이터에는 추가적인 규제가 적용됩니다.

PDPL은 건강 데이터에 관한 추가 통제를 규정하며, 여기에는 보건 서비스나 의료보험 프로그램 제공에 필요한 최소한의 범위로 임직원의 접근과 처리를 제한하는 내용이 포함됩니다.

이 법은 신용 데이터에 대해서도 명시적 동의 및 일정한 경우의 통지 요건을 포함한 추가 요건을 두고 있습니다.

따라서 의료, 금융서비스, 보험, 신용 및 관련 분야에서 사업을 운영하는 조직은 PDPL을 사우디의 분야별 요건과 함께 고려해야 합니다.

사우디 PDPL은 누가 집행하는가

사우디 데이터·AI청(SDAIA)이 PDPL 및 그 개정 사항의 이행을 감독하며 국가데이터거버넌스플랫폼을 운영합니다.

SDAIA는 조직에 다음을 제공합니다.

• PDPL 법령
• 시행규칙
• 국외 이전 규칙
• 컴플라이언스 지침
• 관리자 등록
• DPO 관련 지침
• 처리 기록 관련 지침
• 침해 관련 서비스
• 데이터 보호 자료

SDAIA의 현행 지식센터는 PDPL, 시행규칙, 국외 이전 규칙을 사우디 데이터 보호 체계의 핵심 요소로 제시하고 있습니다.

사우디 PDPL 준수 체크리스트

사우디아라비아에서 사업을 운영하는 조직은 다음 사항을 고려해야 합니다.

• PDPL 적용 여부 판단
• 개인데이터 처리 현황 파악
• 관리자와 수탁처리자 식별
• 처리 목적 문서화
• 적용되는 적법 근거 식별
• 동의 취득 방식 점검
• 필요한 경우 명시적 동의 취득
• 적절한 개인정보 처리방침 제공
• 필요한 수집 시 고지 사항 제공
• 민감한 개인데이터 식별
• 다이렉트 마케팅 관행 점검
• 정보주체 권리 대응 절차 마련
• 동의 철회 수단 제공
• 데이터 보유 기간 점검
• 안전한 파기 절차 구현
• 처리 활동 기록 유지
• DPO 요건 평가
• 국가등록부 요건 평가
• 필요한 영향평가 수행
• 보안 통제 구현
• 침해 대응 절차 수립
• 국외 데이터 이전 점검
• 적용되는 이전 보호조치 구현
• 수탁처리 계약 점검
• 웹사이트의 쿠키와 추적기 스캔
• 마케팅 및 애널리틱스 기술 식별
• 필요한 동의 전에 해당 기술이 작동하지 않도록 차단
• 감사 가능한 동의 기록 유지