2023년 디지털 개인 데이터 보호법(DPDP법)은 인도 최초의 개인 데이터 보호 전용 법률입니다. 최근 DEV 커뮤니티의 한 보안 연구원이 작성한 해설은 개발자들을 대상으로 이 법이 왜 필요했는지, 그리고 그들의 기술 스택에 어떤 의미가 있는지를 설명합니다. 이 글은 다른 각도에서 접근합니다. 일반 사용자를 위한 인도 DPDP법 설명 가이드로서, 이 법이 여러분에게 무엇을 부여하는지, 유럽의 GDPR과 어떻게 비교되는지, 그리고 여러분의 프라이버시를 위해 무엇을 할 수 있고 무엇을 할 수 없는지를 다룹니다.

데이터 주체로서 DPDP법이 여러분에게 부여하는 것

이 법은 고유한 용어를 사용합니다. 데이터가 수집되는 개인인 여러분은 "데이터 주체(data principal)"입니다. 여러분의 데이터가 왜, 어떻게 처리되는지를 결정하는 회사나 조직은 "데이터 관리자(data fiduciary)"입니다. 이 표현이 중요한 이유는 이 관계를 단순한 상업적 거래가 아니라 신뢰와 의무의 관계로 규정하기 때문입니다.

하나의 체계로서, 이 법은 기업이 인도 내 사람들의 개인 데이터를 수집, 사용, 공유 및 삭제하는 방식을 규율합니다. 실제로 일반 사용자에게 가장 중요한 보호 조치는 네 가지 영역에 해당합니다:

  • 동의: 조직은 데이터를 몰래 백그라운드에서 수집하기보다, 데이터 처리 시 여러분의 동의에 의존해야 합니다.
  • 접근: 조직이 여러분에 대해 보유하고 있는 개인 데이터가 무엇인지, 어떻게 사용되는지를 요청할 수 있습니다.
  • 정정 및 삭제: 부정확한 데이터의 수정을 요청하고, 더 이상 필요하지 않은 데이터의 삭제를 요청할 수 있습니다.
  • 유출 통지: 문제가 발생했을 때, 여러분의 데이터를 보유한 조직은 이를 보고할 의무가 있어, 여러분이 어둠 속에 방치되지 않습니다.

이러한 권리는 여러분이 사용할 때만 도움이 됩니다. 읽지 않고 클릭해 넘기는 동의 화면도 여전히 여러분을 대신해 내려진 결정입니다.

DPDP와 GDPR의 비교

EU의 일반 데이터 보호 규정(General Data Protection Regulation)에 익숙한 독자라면 그 큰 틀을 알아볼 수 있을 것입니다: 동의, 투명성, 책임성을 중심으로 한 권리 기반 모델입니다. GDPR과 마찬가지로, DPDP법은 훨씬 제한적이었던 이전 체계를 포괄적인 국가적 체계로 대체합니다.

큰 그림만 필요하더라도 그 차이점은 알아둘 가치가 있습니다. 주목할 만한 영역 중 하나는 국경 간 데이터입니다. 분석가들은 DPDP법이 중앙 정부가 제한 국가로 통보한 국가를 제외하고는 인도 외부로의 개인 데이터 이전을 허용한다고 설명합니다. 이는 많은 사람들이 GDPR과 연관 짓는 적정성 기반 접근법과는 다른 메커니즘이며, 일부 논평가들은 이것만으로 충분한 보장을 제공할 수 있을지 의문을 제기해 왔습니다.

실용적인 결론: GDPR에서 알고 있는 보호 조치가 인도에서도 동일하게 적용된다고 가정하지 마십시오. 용어, 범위, 집행 세부 사항이 다르므로, 다른 곳에서 가진 권리에 의존하기 전에 구체적인 내용을 확인하십시오.

인도 데이터를 처리하는 앱과 서비스에 대한 변화

조직의 경우, 이 법은 디지털 개인 데이터의 수집, 처리, 저장 및 이전 전반에 걸쳐 준수 의무를 도입합니다. 이는 인도에 기반을 둔 기업을 훨씬 넘어섭니다. 인도 내 사람들의 개인 데이터를 처리하는 모든 앱이나 서비스는 동의를 어떻게 수집하는지, 데이터를 얼마나 오래 보관하는지, 사용자 요청에 어떻게 대응하는지를 검토할 이유가 있습니다.

여러분에게 이것은 더 명확한 동의 안내, 데이터 관리 또는 삭제를 위한 더 접근하기 쉬운 설정, 그리고 유출 발생 시 더 체계화된 커뮤니케이션으로 나타나야 합니다. 인도 플랫폼의 글로벌 사용자들도 해당 서비스가 데이터가 어디로 가는지, 왜 가는지를 설명하는 방식의 변화를 알아차릴 수 있습니다.

이러한 의무에 무게를 실어주는 것은 집행입니다. 최대 250 crore 루피의 DPDP법 벌금 및 과징금에 대한 저희 분석은 미준수의 재정적 결과가 어떻게 더 명확해지고 있는지를 보여주며, 이는 기업이 사용자 요청을 진지하게 받아들이도록 하는 강력한 유인입니다.

VPN이 도움이 되는 경우와 그렇지 않은 경우

VPN과 데이터 보호법은 서로 다른 문제를 해결하며, 이 둘을 혼동하기 쉽습니다.

VPN은 여러분의 기기와 VPN 서버 사이의 트래픽을 암호화하고, 여러분이 방문하는 사이트로부터 여러분의 IP 주소를 숨깁니다. 이는 공용 Wi-Fi에서의 노출을 줄이고 일부 네트워크 수준 추적을 제한할 수 있습니다.

VPN이 하지 않는 일은 여러분이 로그인한 후에 넘겨주는 정보를 바꾸는 것입니다. 앱에 이름, 전화번호 또는 연락처 목록을 제공하면, VPN은 그 앱이 그것을 처리하는 것을 막지 못합니다. 바로 그것이 DPDP법이 다루는 영역입니다: 조직이 여러분이 공유한 데이터로 무엇을 할 수 있는지, 그리고 그 후에 여러분이 어떤 구제를 받을 수 있는지입니다.

이 둘을 상호 보완적인 층으로 생각하십시오. 법은 조직이 여러분의 데이터를 어떻게 다루는지를 규율합니다. VPN은 데이터가 이동하는 연결을 보호합니다. 어느 것도 무엇을 공유할지에 대한 신중한 선택을 대체하지 못합니다.

이것이 여러분에게 의미하는 바

여러분이 인도에 살거나 인도 앱과 서비스를 사용한다면, DPDP법은 이전보다 더 명확한 도구 세트를 여러분에게 제공합니다. 여러분이 관여하지 않으면 법은 여러분을 대신해 행동할 수 없습니다. 동의 안내를 실제 결정으로 대하고, 서비스가 여러분이 더 이상 보유하기를 원하지 않는 데이터를 가지고 있을 때 접근 및 삭제 요청을 사용하십시오.

여러분이 인도 밖에 있지만 인도 플랫폼을 사용한다면, 그 서비스들이 데이터를 처리하고 이에 대해 소통하는 방식이 조정될 것으로 예상하십시오. 본국의 권리가 여러분과 함께 따라온다고 가정하지 말고, 각 서비스의 개인정보 약관을 읽으십시오.

실행 가능한 결론

  1. 동의 설정을 검토하십시오 — 사용하는 인도 앱과 서비스에서, 필요하지 않은 권한은 철회하십시오.
  2. 접근을 요청하십시오 — 서비스가 수집하는 것이 불확실하다면, 서비스가 여러분에 대해 보유한 데이터에 대한 접근을 요청하십시오.
  3. 정정 또는 삭제를 요청하십시오 — 오래되었거나 불필요한 데이터, 특히 더 이상 사용하지 않는 계정의 데이터에 대해 요청하십시오.
  4. 유출 통지를 주시하고 신속하게 대응하십시오 — 예를 들어 비밀번호를 변경하는 등.
  5. VPN을 잘하는 일에 사용하십시오 — 연결을 보호하면서, 공유한 데이터에 무슨 일이 일어나는지를 규율하는 것은 법적 권리에 의존하십시오.

이 법이 어떻게 집행되고 미준수가 어떤 비용을 초래할 수 있는지 이해하려면, DPDP법 벌금 가이드를 읽어보십시오. 그런 다음 10분을 내어 여러분의 동의 및 데이터 설정을 살펴보십시오. 인도 DPDP법 설명을 통해, 다음 단계는 그 권리를 실제로 활용하는 것입니다.