인도의 2023년 디지털 개인정보 보호법 업데이트

I. 서론

2025년 11월 13일, 인도 전자정보기술부(MeitY)는 2023년 디지털 개인정보 보호법 (Digital Personal Data Protection Act, 2023) (“개인정보보호법”)의 시행 일정을 통지하고 2025년 디지털 개인정보보호 시행령(Digital Personal Data Protection Rules, 2025) (“시행령”)의 최종본을 공표하였습니다. 

개인정보보호법 및 시행령의 핵심 내용은 다음과 같습니다.

1. 개인정보의 민감도에 관계없이 모든 디지털 개인정보에 일률적으로 적용된다.
2. 개인정보 처리를 위한 동의 기반 및 비동의 기반의 근거를 명시한다.
3. 데이터 수탁자(한국 개인정보보호법(PIPA)에 따른 개인정보처리자에 해당)에 대한 의무사항을 규정한다.
4. 특정 데이터 수탁자를 중요 데이터 수탁자(SDF)로 지정하고 추가 의무를 부과한다.
5. 정보주체(한국 PIPA의 정보주체에 해당)의 권리 및 의무를 규정한다.
6. 데이터의 국외 이전을 허용하되, 정부가 특정 국가로의 이전을 제한할 수 있도록 한다.
7. 다양한 중대한 위반행위에 대해 최대 2,500억 루피 (약 409억 원상당)의 행정벌금을 부과한다.
8. 정보보호위원회(“위원회”)를 설치하며, 불복 시 통신분쟁해결 항소재판소(TDSAT)에 항소할 수 있다.

개인정보보호법은 단계별 시행 일정을 규정하고 있습니다. 위원회 설립 관련 조항은 즉시 발효되어 시행되었습니다. 관련 기업들은 ‘동의 관리자’ 관련 조항 준수를 위해 12개월의 유예기간이 부여되어 2026년 11월까지 준비를 마쳐야 합니다(상세 내용은 아래 참조). 또한 기업들은 정보주체의 권리 행사를 위한 절차 구축 및 합리적인 보안조치 이행 등 개인정보보호법의 실질적인 의무 조항을 18개월 이내, 즉 2027년 5월까지 준수해야 합니다.

개인정보보호법이 시행될 때까지, 기존의 2011년 정보기술 (합리적인 보안 관행 및 절차와 민감한 개인정보) 규칙 (Privacy Rules)이 계속 적용됩니다. 따라서, 기업들은 과도기 동안 기존 규칙을 준수하는 동시에, 내부 절차와 기술 시스템에 개인정보보호법의 조항 내용이 모두 반영되도록 하고, 데이터 국외 이전 시에도 새로운 요건을 함께 고려해야 합니다. 

본 분석에서는 개인정보보호법의 핵심 조항과 그 시사점을 다루고자 하며, 특히, 한국 내에서 사업을 운영하며 개인정보보호법의 규제를 받는 개인정보를 수집하거나 처리하는 기업들이 유의해야 할 사항들을 중점적으로 살펴봅니다.  

II. 주요 내용

1. 적용 범위

1. 지리적 적용 범위

• 개인정보보호법은 (a) 인도 내에서 발생하는 모든 디지털 개인정보 처리뿐만 아니라 (b) 인도 내 정보주체에게 상품 또는 서비스를 제공하는 활동과 관련하여 인도 외부에서 이루어지는 처리활동에도 적용됩니다. 예를 들어, 인도에서 제품을 판매하고 그 과정에서 인도 현지인의 개인정보를 처리하는 한국 소재 모바일 제조사는 개인정보보호법의 규정을 준수해야 합니다.

2. 개인정보

• 개인정보보호법상 개인정보는 해당 데이터 자체로, 혹은 해당 데이터와 관련된 정보를 통하여 식별 가능한 개인에 관한 데이터를 의미합니다. 모든 형태의 개인정보에 적용되는 한국 PIPA와 달리, 개인정보보호법은 디지털 형태로 수집된 개인정보 또는 비디지털 형태로 수집되었다가 사후에 디지털화된 정보에만 국한하여 적용됩니다.

3. 자동화된 처리

• ‘처리’란 디지털 개인정보에 대하여 수행되는 모든 자동화된 작업 (전부 또는 일부)을 의미하며, 해당 개인정보의 수집, 기록, 조직화, 저장, 검색, 이용, 색인화, 공유, 삭제 및 파기가 포함됩니다. 한편, 한국의 PIPA는 개인정보가 사람이 개입하지 않고 완전히 자동화된 시스템에 의해 처리되고 정보관리자가 정보주체의 권리 또는 의무에 영향을 미치는 최종적인 결정(이른바, “자동화된 결정”)을 내리는 경우를 별도로 규정하고 있다는 점에서 차이가 있습니다. 그러한 경우, 자동화된 결정이 정보주체의 권리 또는 의무에 중대한 영향을 미친다면 정보주체는 그러한 결정을 거부할 권리가 있습니다.

4. 공개된 정보

• 개인정보보호법은 (a) 정보주체 본인 또는 (b) 법적 의무에 따라 제3자가 공개한(또는 공개적으로 이용 가능하게 된) 개인정보에는 적용되지 않습니다. 예를 들어, (접근 제한이 없는) 소셜 미디어의 공개 프로필에 게시된 개인정보를 처리하는 경우, 개인정보보호법의 적용을 받지 않습니다. 이와 달리, 공개된 개인정보라 하더라도 한국의 PIPA에 따르면 원칙적으로 보호 대상입니다.

5. 개인적 또는 가정적 목적의 처리

• 개인정보보호법은 개인적 또는 가정적 목적을 위한 개인정보 처리에는 적용되지 않습니다. 마찬가지로, 한국의 PIPA 또한 개인정보처리자의 요건으로서 업무 목적으로 개인정보를 처리하는 경우를 규정하고 있습니다.

6. 적용 면제

• 인도 연방정부는 다음의 경우 개인정보보호법의 적용을 면제할 수 있는 바, (a) 인도의 주권과 통합, 국가 안보 및 외국과의 우호적 관계 등을 위해 정부 기관이 수행하는 처리 활동 및 (b) 해당 개인정보가 특정 정보주체 관한 결정을 내리는데 사용되지 않고, 연방정부가 정한 기준을 준수해야 함을 전제로 연구, 기록 보존 또는 통계 목적으로 필요한 경우입니다.

2. 개인정보 처리의 근거

1. 동의

• 데이터 수탁자는 정보주체로부터 얻은 동의를 토대로 개인정보를 처리할 수 있으며, 이러한 동의는 (a) 자유롭고, 구체적이며, 고지된 상태에서 무조건적이고 명확해야 하며, (b) 명확한 긍정적 행위를 통해 제공되어야 하고, (c) 지정된 목적에 필요한 개인정보로 한정되어야 합니다.

2. 고지

• 개인정보 처리에 대한 동의를 얻기 위해, 데이터 수탁자는 우선 정보주체에게 (a) 수집 항목, (b) 처리 목적(지정된 목적), (c) 위원회 신고 방법, (d) 개인정보보호법에 따른 권리행사 방법, (e) 관련 정보보호 책임자 (DPO) 또는 개인정보보호법에 따른 정보주체의 권리 행사 요청에 대응할 책임이 있는 다른 사람의 연락처를 명시한 고지서를 제시해야 합니다.
• 한국의 PIPA가 수집 목적 이외의 이용 시 법적 근거를 요구하는 것과 유사하게, 인도법에서도 원래의 수집 목적과 합리적인 연관성이 없는 용도로 처리하려는 경우, 정보주체로부터 별도의 동의를 받아야 합니다.

3. 언어

• 고지 및 동의는 명확하고 간결한 언어로 제공되어야 하며, 정보주체는 영어 또는 인도 헌법 부속서 8에 명시된 22개 지역 언어 (예: 힌디어, 펀자브어, 산스크리트어 및 타밀어) 중 하나를 선택하여 해당 고지 내용을 확인할 수 있어야 합니다.

4. 동의 철회

• 동의 철회는 동의를 하는 것만큼 쉬운 방법으로 가능해야 합니다.

5. 기존 수집 개인정보

• 정보주체가 개인정보보호법 시행 전에 개인정보의 처리에 동의한 경우, 데이터 수탁자는 정보주체가 동의를 철회할 때까지 해당 처리를 계속할 수 있습니다. 다만, 개인정보보호법 시행 후 데이터 수탁자는 합리적으로 가능한 한 신속하게 과거 동의에 근거한 처리에 대해 정보주체에게 고지해야 합니다.

6. 동의 관리자

• 개인정보보호법은 정보주체를 대신하여 동의를 통합 관리하는 ‘동의 관리자’ 개념을 도입했는데, 한국 PIPA에는 없는 개념입니다. 이들은 위원회에 등록된 전문 기관으로서 정보주체에게 동의에 관한 결정을 내릴 수 있는 접근 가능하고 투명하며 상호운용 가능한 플랫폼을 제공합니다. 모든 동의 관리자는 위원회에 의무적으로 등록해야 하며 정보주체에 대해 직접적인 ‘관리 책임을 집니다. 또한 동의 관리자는 정보주체의 불만 사항을 해결할 수 있는 ‘즉시 이용 가능한 수단’을 마련해야 하며, 법적 의무를 준수하지 않거나 등록 조건을 위반할 경우 과태료 등 엄격한 처벌 대상이 됩니다.

7. 정당한 이용

• 개인정보보호법은 동의 없이도 개인정보 처리가 가능한 정당한 이용 사유를 규정하고 있습니다. 여기에는 다른 국가에서 일반적으로 이용 가능한 비동의적 처리 근거가 포함되어 있는데, 예를 들어, (a) 고용관계(아래 후술), (b) 의료 처치, (c) 보건 서비스, (d) 재난 구호, (e) 판결 준수 및 (f) 긴급 상황 대응 등입니다. 마찬가지로, 한국 PIPA에서도 개인정보처리자의 정당한 이익을 위하여 필요한 경우 및 그러한 이익이 정보주체의 권리보다 명백히 우선하는 경우, 정보주체의 명시적 동의 없이도 개인정보 처리를 할 수 있도록 허용합니다.

8. 자발적 정보 제공

• 개인정보보호법은 정보주체가 특정 목적을 위해 자발적으로 제공한 개인정보의 처리를 허용합니다. 다만, 이를 위해서는, 데이터 수탁자는 해당 개인정보가 제공된 목적 내에서만 사용됨을 입증할 수 있어야 하며, 정보주체가 처리에 동의하지 않으면, 처리를 중단해야 합니다. 예를 들어, 이사를 위하여 운송업체와 계약한 개인이 연락처와 주소 등 개인정보를 자발적으로 제공할 수 있습니다. 운송업체는 이러한 이사 서비스를 제공하는 목적으로만 해당 개인정보를 처리할 수 있을 뿐, 별도의 동의를 받지 않는 한, 이 정보를 마케팅 등 홍보 메시지 발송에 이용해서는 안 됩니다. 한국 PIPA에 직접적으로 유사한 개념은 없으나, (1) 정보주체와 체결한 계약을 이행하기 위하여 필요한 경우 또는 (2) 계약을 이행하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우, 개인정보 수집 및 이용을 위한 법적 근거를 규정하고 있습니다.

9. 고용 관련 개인정보 처리

• 위에서 언급한 바와 같이, 광범위하게 적용될 다른 합법적 용도는 고용 목적 또는 고용주를 손실이나 책임으로부터 보호하기 위해 개인정보가 처리되는 경우입니다. 고용주는 직원이 조직에 합류하는 순간부터 (예: 은행 계좌 및 의료 정보) 그리고 고용 기간 동안 (예: 출근 기록 또는 접근 통제를 위해 수집된 생체 정보) 대량의 개인정보를 처리합니다. 고용주는 이러한 개인정보를 처리하기 위해 명시적인 동의를 받을 필요는 없습니다.

3. 데이터 수탁자의 의무

데이터 수탁자는 다음 의무를 준수할 책임이 있습니다.

1. 완전성, 정확성 및 일관성

• 데이터 수탁자는 (a) 정보주체에게 영향을 미치는 결정을 내리기 위해 이용되거나 (b) 다른 데이터 수탁자에게 공개되는 경우, 해당 정보의 완전성, 정확성 및 일관성을 보장해야 합니다.
• 모든 개인정보의 ‘완전한’ 세트를 보유하는 것이 어려울 수 있으며, 정확성을 판단하기 위해 요구되는 확증적 개인정보를 항상 확인할 수 없을 수 있으므로, 데이터 수탁자는 이러한 의무를 준수하기 위해 추가적인 관리 노력을 기울일 필요가 있습니다.

2. 개인정보 침해 통지

• 데이터 수탁자는 모든 개인정보 침해를 위원회와 그 침해의 영향을 받는 각 정보주체에게 통지해야 합니다. 해당 통지에 대한 중대성 기준이 없는 경우, 개인정보 침해의 정의에 해당하는 사례는 본질적으로 민감한 개인정보가 포함되지 않거나 정보주체에 부정적인 영향을 미치지 않는 경우에도 보고되어야 합니다. 데이터 수탁자는 규정된 방식으로 정보주체 또는 위원회에 통지하지 않을 경우, 최대 200억 인도 루피(약 327억 원)의 행정벌금이 부과될 수 있습니다. 특히, 현행 사이버 보안법은 특정 유형의 사이버 보안 사건을 인도 국가 사이버보안 비상대응팀 (CERT-In)에 보고하도록 하고 있습니다. 이러한 보고의무는 추가적인 고지나 변경이 없는 한 유지될 가능성이 있습니다.

3. 기술적 보호조치 및 합리적인 보안조치

• 데이터 수탁자는 개인정보보호법 규정 준수를 위한 적절한 기술적 및 조직적 조치(예: 데이터 보관 표준 운영 절차; 고지 및 동의 기록 시스템)를 도입해야 하며, 개인정보 침해를 방지하기 위한 합리적인 보안조치(예: 적절한 경우 암호화)를 취해야 합니다. 이러한 용어의 범위는 데이터 수탁자가 이러한 경우 ‘적절한’ 조치 또는 보호조치가 무엇인지 결정할 때 어느 정도의 재량이 주어지지만 개인정보 침해를 방지하기 위한 합리적인 보안 조치를 취하지 않을 경우 최대 2,500억 인도 루피(약 409억 원)의 행정벌금(Administrative Penalty)이 부과될 수 있습니다.

4. 개인정보 보관 금지

• 데이터 수탁자는 정보주체가 동의를 철회하거나 개인정보 수집 목적이 달성되어 보관이 불필요하다고 판단되는 즉시 해당 개인정보를 삭제해야 합니다. 개인정보보호법은 정보주체가 특정 기간 동안 특정 목적의 수행을 위하여 데이터 수탁자에게 연락하여 해당 정보 처리와 관련된 자신의 권리를 행사하지 않는 경우, 수집 목적이 달성된 것으로 간주합니다.
• 시행령에서는 인도 내 사용자 2,000만 명 이상의 전자상거래/SNS 업체, 500만 명 이상의 온라인 게임 중개업체 등 특정 이용자 수 기준을 충족하는 기업에 대한 보관 요건을 규정하고 있습니다.
• 한국 PIPA에 따르면, 보관 기간이 경과하였거나 처리 목적이 달성되었거나 익명 정보 처리 기간이 만료되어 개인정보를 더 이상 보관할 필요가 없는 경우, 해당 개인정보는 지체 없이 파기되어야 합니다. 만약 다른 법규정에 의하여 보관이 요구되는 경우, 파기 의무는 적용되지 않습니다. 다만, 다른 법규에서 정한 보관 기간이 경과된 경우, 해당 개인정보는 파기되어야 합니다.

5. 고충처리 담당자 정보 공개

• 데이터 수탁자는 개인정보의 처리와 관련하여 정보주체의 문의에 답변할 수 있는 사람 (데이터 수탁자가 SDF 자격을 갖춘 경우, DPO 등)의 업무 연락처 정보를 공개해야 합니다.

4. 특정 보호대상 정보주체에 관한 데이터

아동 및 보호자가 있는 장애인의 개인정보 처리에 대하여 개인정보보호법은 추가 의무를 부과합니다. 개인정보보호법상 아동은 18세 미만의 개인으로 정의되지만(한국 PIPA상 기준은 만 14세), '장애인'을 명시적으로 정의하지 않습니다. 다만, 이 용어의 정의가 포함된 2016년 장애인권리법을 참조할 수 있습니다. 

이러한 보호대상 정보주체의 개인정보를 처리할 때에는 다음 각 호의 사항을 유념해야 합니다. 

1. 검증 가능한 동의

• 데이터 수탁자는 법정 후견인이 있는 아동 또는 장애인의 개인정보를 처리하기 전에 부모 또는 법정 후견인의 검증 가능한 동의를 받아야 합니다. 부모의 경우, 이는 (i) 데이터 수탁자가 이미 이용 가능한 신뢰할 수 있는 연령 및 신원 정보, (ii) 자발적으로 제공된 정보 또는 (iii) 해당 세부사항과 연결된 가상 토큰을 통해 검증할 수 있습니다. 법정 후견인의 경우, 데이터 수탁자는 후견에 관한 법률에 따라 적절한 권한 기관 또는 법원에 의하여 후견인이 선임되었는지 확인해야 합니다.

2. 처리, 추적 및 행태 모니터링 금지

• 데이터 수탁자는 아동의 복지에 부정적인 영향을 미칠 수 있는 처리 활동과 아동에 대한 추적, 행태 모니터링 및 타겟 광고를 엄격히 금지합니다. 이 금지 사항은 부모의 동의를 받더라도 면제되지 않으므로, 기업은 기존 시스템을 수정해야 할 필요가 있습니다.

3. 아동 정보 처리의 예외사항

• 본 시행령에 따라 교육기관 및 임상시설과 같은 특정 유형의 데이터 수탁자 및 실시간 아동 위치 추적과 같은 특정 목적의 경우 (i) 검증 가능한 부모의 동의 취득 및 (ii) 아동에 대한 추적, 행태 모니터링 또는 타겟 광고 제한 규정의 적용을 받지 않습니다.
• 단, 장애인 정보처리에는 이러한 예외가 적용되지 않습니다.

5. 중요 데이터 수탁자 (SDF)

개인정보보호법은 데이터 수탁자에게 부과하는 의무 외에도 ‘주요 데이터 수탁자’에 대하여 추가적인 의무를 부과하고 있으며, 연방정부는 처리되는 개인정보의 양과 민감도, 정보주체의 권리에 미치는 위험, 인도의 주권과 통합에 미치는 잠재적 영향, 선거 민주주의에 미치는 영향, 국가안보, 공공질서 등을 고려하여 SDF를 별도로 지정하여 통지합니다. 예를 들면, 대규모 결제를 처리하는 결제 앱 또는 통신 사업자 등이 여러 요인들(예를 들면, 정보주체의 권리에 미치는 위험뿐만 아니라 처리되는 개인정보의 용량과 민감도)의 조합 또는 단일 요인(즉, 정보주체의 권리에 대한 위험 등)에 근거하여 SDF로 분류될 수 있습니다. 한국 PIPA에는 이러한 기준이 없지만, 정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하 “정보통신망법”)은 관련 규정에 ‘대규모 정보통신서비스 제공자’라는 유사한 개념이 포함될 예정이며, 이는 2026년 7월 7일 시행 예정입니다. 
SDF로 지정된 기관은 아래의 의무를 추가 부담합니다. 

• DPDPA의 준수 여부를 평가하기 위한 외부의 독립적인 데이터 감사인을 선임해야 합니다.
• SDF 지정일로부터 매년 정보보호 영향평가 및 감사를 수행하고, 주요 결과 보고서를 위원회에 제출해야 합니다.
• 연방정부가 명시한 특정 범주의 개인정보와 그에 수반되는 트래픽 데이터는 반드시 인도 내에서만 처리되도록 해야 합니다.

6. 정보주체의 권리와 의무

정보주체는 자신의 개인정보와 관련하여 일정한 권리를 가집니다. 아래에서 논의되는 이러한 모든 권리는 데이터 수탁자를 상대로 행사할 수 있으나, 그 중 고충처리 요구권은 동의 관리자가 데이터 수탁자가 아닌 경우 동의 관리자를 대상으로 행사할 수 있습니다. 

1. 열람권

• 개인정보보호법은 정보주체에게 처리 중인 개인정보의 요약본, 처리 내역, 자신의 개인정보가 공유된 모든 데이터 수탁자 및 정보 처리자의 신원 및 해당 개인정보 또는 그 처리와 관련된 기타 정보를 요구하여 확보할 수 있는 권리를 부여하고 있습니다. 그러한 요청은 정보주체가 연방정부가 정하는 방식에 따라 하여야 합니다.

2. 정정 및 삭제권

• 정보주체는 데이터 수탁자에게 자신의 개인정보의 정정, 보완 또는 업데이트를 요청할 수 있습니다. 또한, 정보주체는 연방정부가 정하는 양식으로 자신의 개인정보 삭제를 요청할 권리가 있습니다. 데이터 수탁자는 해당 개인정보가 특정 목적에 필요하거나 시행 중인 법률을 준수하기 위하여 필요한 경우를 제외하고는 해당 요청에 따라 조치해야 합니다.
• 정보 열람, 정정 및 삭제권은 동의 또는 자발적 합법적 이용 근거에 따라 처리되는 개인정보에 대해서만 적용됩니다.

3. 지명권

• 정보주체는 자신의 사망 또는 행위불능 시 자신의 권리를 행사할 개인을 지명할 권리가 있습니다.

4. 고충처리권

• 데이터 수탁자 및 동의 관리자는 정보주체에게 개인정보보호법과 관련된 모든 사안에 대한 쉽게 이용 가능한 고충처리 수단을 제공해야 합니다.

5. 정보주체의 의무

• 개인정보보호법은 정보주체에게 특정 의무를 부과하고 있습니다. 여기에는 타인을 사칭하지 않을 의무와 정정 또는 삭제 권리 행사 시 검증 가능한 진정한 정보만을 제공할 의무가 포함됩니다.

7. 개인정보의 국외 이전

개인정보보호법은 데이터 수탁자가 한국을 비롯한 다른 국가로 개인정보를 이전하는 것을 제한하지는 않으나, 연방정부에게는 개인정보 이전이 제한될 수 있는 특정 국가 또는 지역을 지정할 수 있도록 허용하고 있습니다. 연방정부는 이와 관련하여 국가 또는 지역에 대한 블랙리스트를 공표할 것으로 예상되며, 이 블랙리스트에는 인도가 비우호적이라고 판단하는 국가들만 포함될 가능성이 큽니다. 

해당 조항의 문언은 광범위하게 규정되어 있어, 연방정부가 이 고시를 통해 개인정보의 국외 이전에 추가 조건을 부과할 여지를 남기고 있습니다. 예를 들어, 외국의 데이터 수탁자 또는 정보처리자가 인도 거주자로부터 직접 수집한 개인정보가 ‘이전’에 해당하는 지 여부에 대해서는 개인정보보호법에서 명확히 규정하고 있지 않습니다.

다만, 개인정보보호법은 결제 데이터 또는 통신 데이터에 대하여 부과된 데이터 현지화 요건과 같은 더 높은 수준의 정보 보호 기준을 규정하는 다른 법률의 적용을 배제하지 않습니다. 

인도와 한국의 오랜 기간 동안의 비지니스 및 경제적 협력 관계를 고려할 때, 양국 간 데이터 이전은 연방정부가 발표할 데이터 이전 제한 블랙리스트 또는 관련 규제 대상이 될 가능성은 낮을 것으로 합리적으로 예상됩니다. 다만 데이터 수탁자는 여전히 부문별 데이터 현지화 요건을 준수해야 합니다. 예를 들어, 인도 중앙은행 (인도의 금융 규제기관)을 포함한 산업별 규제기관은 결제 데이터에 대한 현지화 요건을 부과하였으며, 이러한 요건은 국외 이전 규정보다 우선하여 적용됩니다.

특정 정보를 “민감한 개인정보”로 명시적으로 분류하는 한국 PIPA와 달리, 개인정보보호법은 “민감한” 또는 “민감한 개인정보”에 대한 법적 정의를 별도로 두고 있지 않습니다. 그러나, 개인정보보호법이 모든 디지털 개인정보에 일률적으로 적용된다고 해서, 특정 부류의 데이터에 대하여 추가적인 준수 요건을 부과하는 기존의 산업별 데이터 보호 의무가 사라지는 것은 아닙니다. 

8. 개인정보보호법상 의무에 대한 부분적 면제

1. 특정 처리 활동에 대한 면제

• 다음 각 호의 경우에 특정 처리 활동은 개인정보보호법의 적용이 면제될 수 있습니다.

a.    사법, 규제 또는 감독 기능을 수행하는 사법 당국에 의한 처리; 

b.    범죄의 예방, 탐지, 수사 또는 기소, 금융기관 대출 또는 선급금 등을 연체한 자의 재무상태 파악, 승인된 인수합병 및 법적 권리의 집행을 위한 정보 처리; 

c.    외국 당사자와의 계약에 따른, 인도 외부에서 정보주체의 개인정보 처리.

• 이러한 경우에 처리되는 개인정보는 별도의 통지 또는 처리의 법적 근거를 필요로 하지 않습니다. 개인정보 보호를 위한 합리적인 보안 조치를 시행해야 할 의무를 제외하고는, SDF 또는 보호 대상 정보주체와 관련된 의무를 포함하여 어떠한 데이터 수탁자로서의 의무도 지지 않습니다. 또한, 정보주체의 권리 또는 의무도 적용되지 않습니다.

2. 개인정보의 양과 성격에 따른 면제

• 연방정부는 처리되는 정보의 양과 성격을 기준으로 특정 데이터 수탁자 또는 데이터 수탁자 그룹에 대해 개인정보보호법의 다양한 조항의 적용을 면제할 권한을 가집니다. 소규모 기업 또는 스타트업과 같이 적은 양의 데이터 또는 저 위험 데이터를 처리하는 기업은 이 면제대상에 포함될 수 있습니다. 면제를 받는 기업은, 동의 수집 전 통지 의무, 개인정보의 완전성, 정확성 및 일관성 보장, 요청 시 또는 목적 달성 시 개인정보 삭제, SDF로서 의무 이행, 정보주체의 개인정보 열람권 보장 등의 의무를 면제받습니다. 한국 PIPA에는 이러한 권한과 면제 조항이 없습니다.

3. 국가에 대한 면제

• 모든 국가 기관 또는 기관은 개인정보의 완전성, 정확성 또는 일관성을 보장하지 않고도 데이터를 처리할 수 있으며, 요청에 따른 데이터 삭제 의무가 없으며, 정보주체의 요청에 따른 정정, 보완 또는 업데이트를 제공할 의무도 없습니다. 다만, 해당 데이터는 관련 정보주체에게 영향을 미칠 수 있는 결정을 내리는데 사용되지 않는 경우에 한합니다.

4. 잔여 면제 권한

• 연방연방정부는 필요하다고 판단되는 경우, 특정 기간 동안 데이터 수탁자 또는 데이터 수탁자 그룹에 대하여 개인정보보호법의 특정 규정 적용의 면제를 통지할 수 있습니다.

9. 개인정보 침해 및 보고 의무

‘개인정보 침해’라는 용어는 개인정보의 비밀성, 무결성 또는 가용성을 훼손하는 개인정보의 무단 처리, 우발적 노출, 취득, 공유, 사용, 변경, 파기 또는 열람권 상실을 포함하여 광범위하게 정의됩니다. 

1. 개인정보 침해 보고

• 개인정보 침해가 발생한 경우, 데이터 수탁자는 각 피해 정보주체와 위원회에 침해사실을 지체 없이 알려야 합니다.

2. 규제 중복

• 데이터 침해 보고 의무를 부과하는 개인정보보호법만이 아닙니다. 기존의 사이버 보안 체계에 따라 특정 유형의 사이버 보안 사고 (데이터 침해 포함)는 이미 국가 사이버보안 비상대응팀(CERT-In)에 보고하도록 되어 있습니다. 별도의 상반되는 규정이 없는 한 두 규정 모두 적용됩니다. 따라서, 데이터 수탁자는 침해 보고와 관련된 관행 및 절차를 재점검해야 하며, 각 사례를 개인정보보호법 및 사이버 보안법상 지침에 비추어 비교 검토하여, 어느 규정에 따라 보고해야 하는지 판단해야 합니다. 또한, 데이터 수탁자는 해당 기한 내에 사이버 보안 사고를 식별하고 보고하기 위한 적절한 조직 역량을 갖추어야 합니다.

저자: 박종백, 이강혜, 손가람 변호사