I. 서론 2025년 11월 13일, 인도 전자정보기술부(MeitY)는 2023년 디지털 개인정보 보호법 (Digital Personal Data Protection Act, 2023) (“ 개인정보보호법 ”)의 시행 일정을 통지하고 2025년 디지털 개인정보보호 시행령(Digital Personal Data Protection Rules, 2025) (“ 시행령 ”)의 최종본을 공표하였습니다. 개인정보보호법 및 시행령의 핵심 내용은 다음과 같습니다. 개인정보의 민감도에 관계없이 모든 디지털 개인정보에 일률적으로 적용된다. 개인정보 처리를 위한 동의 기반 및 비동의 기반의 근거를 명시한다. 데이터 수탁자(한국 개인정보보호법(PIPA)에 따른 개인정보처리자에 해당)에 대한 의무사항을 규정한다. 특정 데이터 수탁자를 중요 데이터 수탁자(SDF)로 지정하고 추가 의무를 부과한다. 정보주체(한국 PIPA의 정보주체에 해당)의 권리 및 의무를 규정한다. 데이터의 국외 이전을 허용하되, 정부가 특정 국가로의 이전을 제한할 수 있도록 한다. 다양한 중대한 위반행위에 대해 최대 2,500억 루피 (약 409억 원상당)의 행정벌금을 부과한다. 정보보호위원회(“ 위원회 ”)를 설치하며, 불복 시 통신분쟁해결 항소재판소(TDSAT)에 항소할 수 있다. 개인정보보호법은 단계별 시행 일정을 규정하고 있습니다. 위원회 설립 관련 조항은 즉시 발효되어 시행되었습니다. 관련 기업들은 ‘동의 관리자’ 관련 조항 준수를 위해 12개월의 유예기간이 부여되어 2026년 11월까지 준비를 마쳐야 합니다(상세 내용은 아래 참조). 또한 기업들은 정보주체의 권리 행사를 위한 절차 구축 및 합리적인 보안조치 이행 등 개인정보보호법의 실질적인 의무 조항을 18개월 이내, 즉 2027년 5월까지 준수해야 합니다. 개인정보보호법이 시행될 때까지, 기존의 2011년 정보기술 (합리적인 보안 관행 및 절차와 민감한 개인정보) 규칙 (Privacy Rules)이 계속 적용됩니다. 따라서, 기업들은 과도기 동안 기존 규칙을 준수하는 동시에, 내부 절차와 기술 시스템에 개인정보보호법의 조항 내용이 모두 반영되도록 하고, 데이터 국외 이전 시에도 새로운 요건을 함께 고려해야 합니다. 본 분석에서는 개인정보보호법의 핵심 조항과 그 시사점을 다루고자 하며, 특히, 한국 내에서 사업을 운영하며 개인정보보호법의 규제를 받는 개인정보를 수집하거나 처리하는 기업들이 유의해야 할 사항들을 중점적으로 살펴봅니다. II. 주요 내용 1. 적용 범위 1) 지리적 적용 범위 개인정보보호법은 (a) 인도 내에서 발생하는 모든 디지털 개인정보 처리뿐만 아니라 (b) 인도 내 정보주체에게 상품 또는 서비스를 제공하는 활동과 관련하여 인도 외부에서 이루어지는 처리활동에도 적용됩니다. 예를 들어, 인도에서 제품을 판매하고 그 과정에서 인도 현지인의 개인정보를 처리하는 한국 소재 모바일 제조사는 개인정보보호법의 규정을 준수해야 합니다. 2) 개인정보 개인정보보호법상 개인정보는 해당 데이터 자체로, 혹은 해당 데이터와 관련된
