LGPD.guide

LGPD

일반 데이터 보호법 (LGPD), 법률 제 13.709/2018,은 개인 데이터 처리에 대한 지침을 설정하여 개인의 프라이버시와 권리를 보호하는 브라질 법률입니다. 2020년 9월에 공식 시행된 LGPD는 데이터가 저장된 국가, 회사 본사가 위치한 국가 또는 매체에 관계없이 개인 데이터와 관련된 모든 작업에 적용됩니다.

기원 및 영감

LGPD는 2018년에 발효된 일반 데이터 보호 규정 (GDPR) 유럽연합의 GDPR은 데이터 보호의 글로벌 기준을 설정하였으며, 다른 국가에서 유사한 법률을 제정하는 데 영향을 미쳤습니다. 또한 LGPD는 미국의 캘리포니아 소비자 개인정보 보호법 (CCPA) 의 측면도 고려하였습니다.

LGPD에서 영감을 받은 법률

LGPD 시행 이후, 많은 국가들이 데이터 보호 법률을 제정하거나 업데이트 하는 데 LGPD를 모델로 삼고 있습니다. 칠레와 아르헨티나와 같은 국가들은 LGPD를 모델로 삼아 유사한 규정을 제정해 나가고 있습니다.

주요 주의 사항

1. 동의

• 설명: 동의는 자발적, 정보 제공 및 명확하게 이루어져야 하며, 데이터 주체는 자신의 데이터가 어떻게 사용될지 정확히 알아야 합니다.
• 중요성: 동의 없이는 개인 데이터 처리의 불법으로 간주될 수 있으며, 법에서 허용하는 특정 상황(법적 의무 이행, 계약 수행, 생명 보호 등)을 제외합니다.
• 모범 사례: 명확하고 단순한 양식을 사용하여 동의를 받으며, 기술적 용어 또는 모호한 표현은 피합니다.

2. 데이터 주체의 권리

• 설명: LGPD는 데이터 주체에게 다음과 같은 권리를 보장합니다:
  • 데이터 접근: 처리 중인 데이터가 무엇인지 알 권리.
  • 수정: 부정확하거나 불완전하거나 오래된 데이터의 수정을 요구할 권리.
  • 익명화, 차단 또는 삭제: 필요하지 않거나 과도하거나 법에 맞지 않게 처리된 데이터의 익명화, 차단 또는 삭제를 요구할 권리.
  • 이동성: 자신의 데이터를 다른 서비스 제공업체 또는 제품으로 이전할 것을 요구할 권리.
  • 동의 철회: 언제든지 동의를 철회할 권리.
  • 데이터 삭제: 동의에 기반한 처리된 개인 데이터를 삭제할 것을 요구할 권리.
• 중요성: 이러한 권리를 보장함으로써 소비자의 신뢰를 강화하고 벌금을 피할 수 있습니다.
• 모범 사례: 데이터 주체가 자신의 권리를 행사할 수 있도록 명확하고 접근 가능한 채널을 설정하고, 모든 요청 및 처리 방법을 기록으로 유지합니다.

3. 특정 목적

• 설명: 데이터의 수집 및 처리는 특정하고 합법적인 목적을 가져야 하며, 데이터 주체에게 명확히 알려야 합니다.
• 중요성: 데이터 주체에게 알리지 않은 다른 목적으로 데이터를 사용하는 것은 금지되며, 새로운 동의를 받아야 합니다.
• 모범 사례: 데이터 수집 목적을 명확히 정의하고 문서화하며, 모든 처리 활동이 이러한 목적에 맞도록 보장합니다.

4. 투명성

• 설명: 기업은 데이터 수집, 사용, 저장 및 공유 관행에 대해 투명해야 합니다.
• 중요성: 투명성은 데이터 주체의 신뢰를 구축하고 유지하는 데 필수적입니다.
• 모범 사례: 데이터 처리 방법, 공유 대상 및 주체의 권리를 자세히 설명하는 명확하고 접근 가능한 개인정보 보호 정책을 제공합니다. 정책의 변경 사항에 대해 데이터 주체를 지속적으로 업데이트합니다.

5. 데이터 보안

• 설명: LGPD는 기업이 데이터의 무단 접근, 파괴, 손실, 변경 또는 부적절한 처리를 방지하기 위해 기술적 및 관리적 조치를 취할 것을 요구합니다.
• 중요성: 데이터 위반은 심각한 법적 및 재정적 결과를 초래할 수 있으며, 기업의 평판에도 악영향을 미칠 수 있습니다.
• 모범 사례: 암호화, 접근 제어, 정기적인 백업 및 강력한 정보 보안 정책을 구현합니다. 직원들에게 데이터 보안 위협을 인식할 수 있도록 교육합니다.

6. 책임

• 설명: LGPD는 책임의 원칙을 설정하며, 이는 기업이 법을 준수할 뿐만 아니라 이 준수를 입증할 수 있어야 함을 의미합니다.
• 중요성: 규제 당국은 데이터 처리 관행이 LGPD를 준수하고 있는지 증거를 요구할 수 있습니다.
• 모범 사례: 모든 데이터 처리 활동에 대한 자세한 기록을 유지하고 정기적인 감사를 수행하며, 모든 정책과 절차를 문서화하고 접근 가능하도록 합니다.

7. 데이터 보호 책임자 (DPO)

• 설명: 대규모 데이터 처리 기업에 대해 데이터 보호 책임자(DPO)의 임명이 의무화됩니다.
• 중요성: DPO는 기업과 데이터 주체, 그리고 국가 데이터 보호 기관(ANPD) 간의 연락 담당 역할을 합니다.
• 모범 사례: DPO는 LGPD에 대한 깊은 지식을 가지고 있어야 하며, 데이터 처리 관행의 검토에 참여하고, 데이터 주체 및 ANPD와 접근 가능해야 합니다.

8. 위반 통지

• 설명: 데이터 주체에게 중요한 위험이나 피해를 초래할 수 있는 보안 사고가 발생할 경우, 기업은 ANPD와 영향을 받은 주체에게 통지해야 합니다.
• 중요성: 늦거나 누락된 통지는 심각한 벌금을 초래할 수 있으며, 사건의 영향을 악화시킬 수 있습니다.
• 모범 사례: 사건 대응 계획을 수립하고, 사건이 감지되면 신속하고 적절한 통지 절차를 포함합니다.