인도 DPDP Act, 조항별로 살펴보기
Digital Personal Data Protection Act의 주요 조항을 쉬운 말로 요약하고, 각 조항이 귀사의 동의 및 데이터 처리 관행에 어떤 의미를 갖는지 설명합니다.
고지
DPDP Act 제5조는 데이터 수탁자가 동의를 요청하기 전 또는 요청하는 시점에 정보주체에게 항목별 고지를 제공하도록 요구합니다. 이 고지에는 수집할 개인정보와 그 목적, 정보주체가 권리를 행사하고 동의를 철회하는 방법, Data Protection Board에 민원을 제기하는 방법이 명시되어야 합니다. 고지는 명확하고 쉬운 언어로 작성되어야 하며, 영어 또는 인도 헌법 제8부칙에 열거된 언어 중 하나로 열람할 수 있는 선택지를 제공해야 합니다.
읽기동의 및 철회
DPDP Act 제6조는 동의가 자유롭고, 구체적이며, 정보에 근거하고, 조건이 붙지 않으며, 명확해야 하고, 분명한 적극적 행위를 통해 이루어져야 하며, 명시된 목적에 필요한 개인정보로 한정되어야 한다고 규정합니다. 정보주체는 언제든지 동의를 철회할 수 있으며, 철회는 동의하는 것만큼 쉬워야 합니다. 철회 시 수탁자와 그 수탁 처리자는 합리적인 기간 내에 관련 처리를 중단해야 합니다. 동의는 등록된 Consent Manager를 통해서도 제공, 관리, 철회할 수 있습니다.
읽기적법한 이용
DPDP Act 제7조는 데이터 수탁자가 별도의 동의 없이 개인정보를 처리할 수 있는 특정한 적법한 이용을 열거합니다. 여기에는 정보주체가 특정 목적을 위해 자발적으로 제공한 데이터, 국가의 급부 또는 서비스 제공, 법령 또는 법원 명령의 준수, 의료 응급 상황 및 재난 대응, 특정 고용 관련 목적이 포함됩니다. 이는 좁게 해석되는 예외이며, 대부분의 일반적인 상업적·마케팅 처리는 여전히 제6조에 따른 동의에 근거해야 합니다.
읽기수탁자의 의무
DPDP Act 제8조는 데이터 수탁자의 핵심 의무를 규정합니다. 정보주체나 그에 관한 결정에 영향을 줄 수 있는 경우 데이터의 정확성과 완전성을 보장하고, 침해를 방지하기 위한 합리적인 보안 조치를 취하며, 침해 발생 시 Data Protection Board와 영향을 받은 사람에게 통지하고, 목적이 달성되거나 동의가 철회되면 개인정보를 삭제하며, 질문에 답변할 수 있는 담당자의 연락처를 공개하고, 고충 처리 절차를 갖추어야 합니다. 수탁 처리자가 데이터를 취급하더라도 수탁자의 책임은 그대로 유지됩니다.
읽기아동의 개인정보
DPDP Act 제9조는 데이터 수탁자가 아동(18세 미만)이나 법정 후견인이 있는 장애인의 개인정보를 처리하기 전에 부모 또는 법정 후견인으로부터 검증 가능한 동의를 받도록 요구합니다. 또한 아동의 복리에 해로운 영향을 미칠 가능성이 있는 처리를 금지하고, 아동을 대상으로 한 추적, 행동 모니터링, 맞춤형 광고를 금지합니다. 실무적으로 이는 연령 확인 절차와 검증 가능한 부모 동의 흐름이 필요하다는 뜻입니다.
읽기Significant Data Fiduciaries
DPDP Act 제10조는 데이터의 양과 민감도, 정보주체에 대한 위험, 주권·선거 민주주의·공공질서에 미치는 영향 등의 요소를 기준으로 중앙정부가 특정 데이터 수탁자를 Significant Data Fiduciaries(SDF)로 지정할 수 있도록 합니다. SDF에는 추가 의무가 부과됩니다. 인도에 상주하며 이사회에 보고하는 Data Protection Officer를 선임하고, 독립적인 데이터 감사인을 선임하며, 정기적인 데이터 보호 영향평가와 감사를 수행해야 합니다.
읽기정보주체의 권리
DPDP Act 제11조부터 제14조는 정보주체에게 자신의 개인정보와 처리 활동에 관한 요약 정보를 확인할 권리(제11조), 정정·보완·갱신·삭제를 요구할 권리(제12조), 수탁자 또는 Consent Manager로부터 고충 처리를 받을 권리(제13조), 사망하거나 의사능력을 상실한 경우 자신의 권리를 행사할 사람을 지정할 권리(제14조)를 부여합니다. 이러한 권리를 보장하려면 명확한 처리 기한을 갖춘 실제로 작동하는 요청 처리 절차가 필요합니다.
읽기과징금
DPDP Act 제33조에 따라 Data Protection Board는 조사를 거쳐 금전적 과징금을 부과할 수 있으며, 금액은 부칙에 규정되어 있습니다. 최고 금액은 침해 방지를 위한 합리적인 보안 조치를 취하지 않은 경우 최대 25억 루피(250 크로르)이며, 아동 관련 의무를 위반한 경우 최대 20억 루피(200 크로르)입니다. Board는 금액을 결정할 때 침해의 성격, 중대성, 지속 기간과 완화 조치를 고려합니다.
읽기