Consent Manager란?
다른 이름: DPDPA Consent Manager, 인도의 Consent Manager, 동의 관리 중개자
Consent Manager 개념은 개인이 여러 Data Fiduciary에 걸쳐 자신의 개인정보 동의를 더 잘 통제할 수 있도록 설계되었습니다.
Consent Manager는 일반적인 동의 관리 플랫폼(CMP)과 다릅니다. CMP는 보통 개별 웹사이트나 애플리케이션이 동의를 수집하고 적용하도록 돕는 반면, DPDPA의 Consent Manager는 Data Principal이 여러 서비스에 걸쳐 동의를 관리할 수 있는 상호운용 가능한 방법을 제공하기 위한 별개의 규제 개념입니다.
DPDPA에서 Consent Manager란 무슨 뜻인가요?
Digital Personal Data Protection Act, 2023은 Consent Manager를, Data Principal이 접근하기 쉽고 투명하며 상호운용 가능한 플랫폼을 통해 동의를 주고, 관리하고, 확인하고, 철회할 수 있도록 하는 단일 창구 역할을 하는, Board에 등록된 자로 정의합니다.
쉽게 말해 Consent Manager는 개인을 위한 중앙 동의 통제 계층 역할을 하도록 의도된 것입니다.
DPDPA 모델은 모든 서비스마다 동의를 따로 관리하는 대신, Data Principal이 해당하는 동의 결정을 관리할 수 있는 상호운용 가능한 플랫폼을 구상합니다.
Consent Manager는 무엇을 하나요?
DPDPA Consent Manager는 Data Principal이 다음을 할 수 있도록 중앙 메커니즘을 제공할 수 있습니다.
동의 주기
기존 동의 확인하기
동의 설정 관리하기
동의 철회하기
어떤 동의가 유효한지 파악하기
참여하는 Data Fiduciary와 상호작용하기
접근하기 쉬운 인터페이스를 통해 동의 관리하기
그 목적은 동의 관리를 더 투명하게 만들고, 개인이 자신의 개인정보 선택을 더 잘 통제할 수 있도록 하는 것입니다.
누가 Consent Manager가 될 수 있나요?
DPDPA에서 Consent Manager는 쿠키 배너나 동의 도구를 제공하는 회사라면 누구나 해당하는 것이 아닙니다.
이 법은 Consent Manager를 Board에 등록된 자로 정의하고, 이 개념을 상호운용 가능한 동의 관리 중개자로 규정합니다.
세부적인 운영 요건, 등록 체계, 기술 요건은 적용되는 DPDPA 체계와 Rules가 규율합니다.
이 구분이 기업에 중요한 이유는 DPDPA상 “Consent Manager”라는 용어를 웹사이트 CMP의 다른 이름으로 자동으로 취급해서는 안 되기 때문입니다.
Consent Manager와 동의 관리 플랫폼의 차이
Consent Manager와 동의 관리 플랫폼(CMP)은 같은 것처럼 들릴 수 있지만, 서로 다른 역할을 합니다.
| DPDPA Consent Manager | 동의 관리 플랫폼 |
|---|---|
| 인도 DPDPA에서 정의됨 | 일반적인 프라이버시 기술 범주 |
| Board에 등록됨 | 요건을 갖춘 기술 공급업체라면 누구나 제공할 수 있음 |
| 상호운용이 가능하도록 설계됨 | 보통 웹사이트, 앱 또는 조직 단위로 구성됨 |
| Data Principal이 동의를 관리할 수 있게 함 | 동의를 수집하고 적용함 |
| 여러 Data Fiduciary에 걸쳐 작동하도록 의도됨 | 특정 디지털 자산의 동의를 관리하는 경우가 많음 |
| 동의를 주고, 관리하고, 확인하고, 철회하는 기능을 포함함 | 배너, 설정 센터, 차단, 동의 기록을 포함할 수 있음 |
따라서 CMP는 Data Fiduciary가 사용하는 기술적 동의 계층을 지원할 수 있는 반면, 법률상 Consent Manager는 별개의 DPDPA 개념입니다.
Consent Manager는 쿠키 동의 배너와 어떻게 다른가요?
쿠키 동의 배너는 웹사이트에 표시되어 방문자에게 쿠키에 대해 알리고 해당하는 동의를 수집하는 사용자 인터페이스입니다.
동의 관리 플랫폼은 설정 관리, 트래커 차단, 동의 기록, 웹사이트 기술에 대한 선택 전달까지 수행하여 한 단계 더 나아갈 수 있습니다.
DPDPA Consent Manager는 또 다릅니다. 이는 Data Principal이 상호운용 가능한 플랫폼을 통해 동의를 주고, 관리하고, 확인하고, 철회할 수 있도록 DPDPA가 규정한 특정 규제 대상 중개자입니다.
즉, 다음과 같습니다.
쿠키 배너
웹사이트 동의 인터페이스
CMP
동의 수집 및 적용 기술
DPDPA Consent Manager
등록된 상호운용 동의 중개자
Consent Manager는 왜 중요한가요?
Consent Manager 개념이 중요한 이유는 Data Principal이 자신의 동의 결정을 더 잘 통제할 수 있도록 하는 것을 목표로 하기 때문입니다.
이 모델은 동의를 일회성 체크박스로 취급하는 대신, 다음과 같은 생애주기를 지원합니다.
- 제공
- 확인
- 관리
- 철회
이를 통해 프라이버시 선택이 더 투명해지고 개인이 더 쉽게 통제할 수 있게 됩니다.
기업에게는 신뢰할 수 있는 동의 기록을 유지하고, 철회 결정이 개인정보 처리를 담당하는 시스템에 전달되도록 하는 것이 중요하다는 점을 다시 한번 보여 줍니다.
Consent Manager와 Data Principal
Data Principal은 해당 개인정보의 주체인 개인입니다.
Consent Manager는 그 개인에게 동의를 관리할 수 있는 수단을 제공하도록 설계되었습니다.
예를 들면 다음과 같습니다.
- Data Principal
- Consent Manager
- Data Fiduciary
Data Principal은 Consent Manager를 이용해 동의 결정을 다룰 수 있으며, Data Fiduciary는 자신이 결정하는 처리 활동에 대한 책임을 계속 집니다.
이로써 동의를 관리하는 개인과 그 개인의 개인정보를 처리하는 조직이 분리됩니다.
Consent Manager와 Data Fiduciary
Data Fiduciary는 개인정보 처리의 목적과 수단을 결정합니다.
Consent Manager는 DPDPA가 상정하는 동의 관리 인터페이스와 상호운용 계층을 제공합니다.
단순화한 관계는 다음과 같습니다.
- Data Principal
- Consent Manager
- Data Fiduciary
- Data Processor
Data Fiduciary는 자신을 대신해 개인정보를 처리하도록 Data Processor를 이용할 수 있으며, Consent Manager는 동의 생태계에서 그와는 다른 기능을 수행합니다.
상호운용 가능한 동의란 무엇인가요?
상호운용성이란 동의 정보가 한 조직의 기술 환경 안에 갇혀 있지 않고, 참여하는 여러 시스템에 걸쳐 작동할 수 있다는 뜻입니다.
Data Principal에게 이는 여러 서비스에 걸쳐 일관된 동의 관리 수단을 이용할 수 있다는 의미가 될 수 있습니다.
기업에게 상호운용성은 적절한 보안, 진정성, 감사 가능성을 유지하면서 동의 정보를 안정적으로 교환하고 해석할 수 있는 시스템을 요구할 수 있습니다.
Consent Manager와 동의 철회
DPDPA Consent Manager의 중요한 기능 중 하나는 Data Principal이 동의를 철회할 수 있게 하는 것입니다.
DPDPA는 Data Principal이 언제든지 동의를 철회할 권리를 가지며, 동의 철회의 용이성은 동의를 주는 것의 용이성에 상응해야 한다고 규정합니다.
이에 따라 동의 철회는 나중에 덧붙이는 기능이 아니라 동의 생애주기의 중요한 일부가 됩니다.
따라서 기업은 동의 철회가 그 철회의 영향을 받는 시스템과 처리 활동에 전파될 수 있도록 해야 합니다.
Consent Manager와 DPDPA 준수
Consent Manager 개념은 인도의 더 넓은 프라이버시 및 동의 체계의 일부입니다.
DPDPA 준수를 준비하는 기업은 다음을 검토해야 합니다.
- 어떤 개인정보를 처리하는지
- 왜 그 데이터를 처리하는지
- 동의가 적용되는 근거인지
- 동의를 어떻게 수집하는지
- 동의를 어떻게 기록하는지
- 동의를 어떻게 철회할 수 있는지
- Data Principal의 권리를 어떻게 처리하는지
- 어떤 Data Processor가 개인정보를 받는지
- 시스템 간에 동의 정보를 어떻게 전달하는지
- 동의 증적을 어떻게 유지하는지
동의 도구를 사용하는 것만으로 조직이 DPDPA를 준수하게 되는 것은 아닙니다. 준수 여부는 조직의 실제 처리 활동, 고지, 동의 관행, 보안 통제, 권리 처리 절차, 그 밖의 적용 의무에 따라 달라집니다.
Consent Manager와 DPDP Rules
DPDP Rules, 2025는 DPDPA 체계를 뒷받침하는 추가적인 운영 요건을 규정합니다.
규칙은 2025년 11월 13일에 공포되었으며, 동의, 고지, 아동의 데이터, 보안 안전조치, 개인정보 유출, Consent Manager 체계 등의 영역에 관한 요건을 도입합니다.
규칙에는 단계적 시행 규정이 포함되어 있으므로, 기업은 해당 시행일을 지속적으로 확인해야 합니다.
Consent Manager는 CMP와 같은가요?
아닙니다.
이는 이해해야 할 가장 중요한 구분 중 하나입니다.
CMP는 조직이 동의를 수집·관리·보관·적용하는 데 사용하는 프라이버시 기술 플랫폼입니다.
DPDPA의 Consent Manager는 Data Principal이 동의를 주고, 관리하고, 확인하고, 철회할 수 있는 등록된 상호운용 플랫폼을 수반하는 특정한 법률상 개념입니다.
두 가지는 함께 작동할 수 있지만, 동일한 개념으로 취급해서는 안 됩니다.
웹사이트에 Consent Manager가 필요한가요?
웹사이트는 일반적인 CMP를 설치했다고 해서 DPDPA Consent Manager가 된다고 가정해서는 안 됩니다.
DPDPA는 Consent Manager를 특정한 등록 주체로 정의하고, 그 역할에 관한 요건을 정하고 있습니다.
다만 웹사이트와 애플리케이션은 스스로 Consent Manager가 아니더라도 탄탄한 동의 관리가 필요할 수 있습니다.
기업은 자사의 처리 활동, 동의 요건, Data Principal의 권리, 적용되는 DPDPA 의무를 별도로 평가해야 합니다.
Consent Manager와 동의 영수증의 차이
Consent Manager는 Data Principal이 동의를 관리할 수 있게 하는 주체/플랫폼입니다.
동의 영수증은 동의 결정의 증거 또는 기록입니다.
예를 들면 다음과 같습니다.
Consent Manager
동의를 관리하기 위한 수단을 제공합니다.
동의 영수증
어떤 동의가 언제 주어졌는지와 그 밖의 관련 정보에 대한 증거를 기록합니다.
이 개념들은 함께 작동할 수 있지만 서로 다른 목적을 가집니다.
ConsentX의 Consent Manager
ConsentX는 기업이 DPDPA 동의를 둘러싼 기술 계층을 구축하도록 도울 수 있는 동의 관리 기술을 제공합니다.
ConsentX는 조직이 다음을 할 수 있도록 지원합니다.
목적 기반 동의 고지 제시하기
적극적인 동의 확보하기
동의 설정 관리하기
동의 철회 지원하기
위변조 감지 가능한 동의 기록 유지하기
동의 전에 해당 트래커 차단하기
Data Principal 요구 관리하기
DPDPA 전용 동의 흐름 지원하기
감사 대응이 가능한 증적 유지하기
지역별 프라이버시 규칙 적용하기
ConsentX는 동의 관리 플랫폼이며, 동의 관리 기능을 제공한다는 이유만으로 자동으로 법률상 DPDPA Consent Manager가 되는 것은 아닙니다.
이 구분 덕분에 기업은 ConsentX를 조직의 동의 관리 계층으로 사용하면서도, DPDPA의 별도 개념인 Consent Manager를 명확히 구분할 수 있습니다.
관련 용어
디지털 개인정보의 처리와 그에 관련된 프라이버시 권리 및 의무를 규율하는 인도의 법 체계입니다.
DPDPA에서 해당 개인정보의 주체인 개인입니다.
개인정보 처리의 목적과 수단을 결정하는 자입니다.
Data Fiduciary를 대신하여 개인정보를 처리하는 자입니다.
조직이 이용자 동의와 프라이버시 설정을 수집·관리·적용·기록하도록 돕는 기술입니다.
DPDPA의 요건에 따른 개인정보 처리와 관련된 동의입니다.
이용자의 동의 결정에 대한 증거와 관련 동의 정보를 담은 기록입니다.
DPDPA가 개인에게 제공하는 권리로, 열람, 정정, 삭제, 민원 구제, 지명, 동의 철회에 관한 해당 권리를 포함합니다.
필요한 허락을 받을 때까지 해당하는 필수가 아닌 처리나 추적을 막는 동의 방식입니다.