인도의 디지털 개인정보 보호법(Digital Personal Data Protection Act, 2023, DPDPA)과 그에 따른 2025년 규칙(Rules, 2025)은 디지털 상거래가 개인정보를 처리하는 방식을 재편할 예정이다. 이 주제에 대한 최근 Lexology 분석은 쇼핑 카트를 데이터 수집 지점으로 규정하는데, 이는 유용한 관점이다. 쇼핑 앱에서의 모든 계정 가입, 저장된 주소, 결제 선호도, 브라우징 패턴은 개인정보이다. 인도 DPDPA 온라인 쇼핑 개인정보에 관심이 있는 사람들에게 중요한 질문은 쇼핑객으로서 실제로 무엇을 얻는지, 그리고 어떤 도구도 대신 해줄 수 없는 것이 무엇인지이다.
인도 DPDPA 온라인 쇼핑 개인정보: 전자상거래 데이터에 대한 변화
DPDPA는 개인정보의 수집, 처리, 저장을 규율하는 인도 최초의 포괄적 체계이다. 이 법은 특정 용어를 사용한다. 데이터가 수집되는 사람은 "데이터 주체(Data Principal)"이고, 데이터가 사용되는 이유와 방법을 결정하는 기업은 "데이터 관리자(Data Fiduciary)"이다. 실제로 귀하가 데이터 주체이고 쇼핑 플랫폼이 데이터 관리자이다.
규칙에 대한 법률 사무소 요약에 따르면 대형 플랫폼에 대한 구체적인 의무가 명시되어 있다. 해당 요약에 따르면, 규칙은 전자상거래 업체, 소셜 미디어 플랫폼, 온라인 게임 회사를 포함한 특정 범주의 데이터 관리자에 대한 삭제 요건을 규정한다. 한 요약은 이 요건을 다음과 같이 설명한다. 비활성 사용자 데이터는 3년 후 삭제되어야 하며, 사용자에게 48시간 전 사전 통지가 이루어져야 한다. 또 다른 요약은 데이터 주체가 마지막으로 회사에 접근한 후 3년 이내에 삭제하는 것으로 설명한다.
어떤 플랫폼이 해당되는지, "비활성"이 어떻게 정의되는지에 대한 세부 사항이 중요하므로, 이 수치들은 법률 자문이 아닌 요약으로 받아들여야 한다. 방향성은 여전히 분명하다. 데이터를 무기한 수집하고 "혹시 몰라서" 보관하는 것은 정당화하기가 더 어려워진다.
소비자가 얻는 동의, 삭제, 정정 권리
이 법은 동의를 중심으로 구축되었다. 기업은 어떤 데이터를 왜 수집하는지 알려야 하며, 해당 목적을 위해 처리해야 한다. 소비자에게 이는 이용약관에 묻혀 있는 하나의 묶음 승인이 아니라, 가입 및 결제 시 더 명확한 안내를 의미해야 한다.
기대할 수 있는 권리는 다음과 같다:
- 동의 철회. 이전에 부여한 권한을 철회할 수 있어야 하며, 그 절차는 동의할 때보다 어려워서는 안 된다.
- 정정. 주소, 전화번호 또는 기타 세부 정보가 잘못된 경우 수정을 요청할 수 있다.
- 삭제. 법적 예외를 조건으로 개인정보 삭제를 요청할 수 있다.
- 불만 구제. 플랫폼은 데이터 처리 방식에 대한 불만을 제기할 수 있는 방법을 제공해야 한다.
비활성 기반 삭제 규칙은 잊고 있던 계정에 대한 안전망을 추가한다. 저장된 주소와 주문 내역이 있는 방치된 쇼핑 프로필은 수년간 남아 있다가 유출 사고에 포함되기 쉬운 바로 그런 종류의 기록이다.
온라인 쇼핑 시 VPN이 할 수 있는 것과 없는 것
VPN은 기기와 VPN 서버 간의 연결을 암호화하고 방문하는 사이트로부터 IP 주소를 숨긴다. 이는 공용 Wi-Fi에서 도움이 되며, 사이트가 위치를 추정하는 데 사용하는 하나의 신호를 제한한다. 유용한 계층이지만, DPDPA와는 다른 문제를 해결한다.
쇼핑 앱에 로그인하면 플랫폼은 여전히 귀하가 누구인지 안다. IP 주소가 무엇을 말하든 플랫폼은 귀하의 계정, 배송 주소, 결제 정보, 구매 내역을 본다. VPN은 기업이 귀하가 자발적으로 제공한 데이터를 수집하는 것을 막지 못하며, 해당 데이터가 얼마나 오래 저장되는지 또는 삭제되는지를 통제하지 못한다. 이는 법적 문제이며, DPDPA가 그를 위한 도구이다.
실질적인 한계도 있다. VPN은 작동하는 연결에 의존하며, 접속 자체가 차단되면 도움이 되지 않는다. 인터넷 차단 시 VPN이 할 수 있는 것과 없는 것에 대한 우리의 설명은 다른 시나리오를 다루지만, 같은 원리를 보여준다. VPN은 정의된 경계가 있는 하나의 도구이지, 포괄적인 방패가 아니다.
그 반대도 마찬가지이다. 법은 감시하는 네트워크나 암호화되지 않은 핫스팟으로부터 귀하를 보호하지 않는다. 두 가지는 함께 사용할 때 가장 효과적이다.
이것이 귀하에게 의미하는 것: 결제 시 추적을 제한하는 단계
모든 조항이 완전히 시행될 때까지 기다릴 필요 없이 습관을 강화할 수 있다. 다음 단계를 고려해 보라:
- 쇼핑 앱의 동의 설정을 검토하라. 개인정보 또는 데이터 설정을 찾아 필요하지 않은 선택적 추적, 맞춤형 광고, 연락처 동기화를 꺼라.
- 더 이상 사용하지 않는 계정을 삭제하라. 비활성 기간 후 자동 삭제에만 의존하지 마라. 앱 내 삭제 또는 삭제 요청 옵션이 있으면 사용하라.
- 저장된 세부 정보를 확인하고 정정하라. 오래된 주소와 전화번호는 개인정보 문제이자 배송 문제이다.
- 가능하면 게스트 결제를 사용하라. 저장된 프로필이 적을수록 보호할 기록이 적다.
- 필요한 것만 공유하라. 양식이 배송과 결제에 필요한 것보다 더 많은 것을 요구하면, 선택적 필드는 선택 사항으로 취급하라.
- 브라우저 설정을 강화하라. 제3자 쿠키를 차단하고, 사이트 데이터를 주기적으로 삭제하며, 브라우저에 내장된 추적 방지 기능을 사용하라.
- 신뢰할 수 없는 네트워크에서는 VPN을 사용하라. VPN은 연결을 보호하지, 계정 데이터를 보호하지 않는다.
- 요청 기록을 보관하라. 삭제 또는 정정 요청을 제출한 경우, 불만을 제기해야 할 경우를 대비해 확인서를 저장하라.
이러한 한계가 쇼핑을 넘어 왜 중요한가? 개인정보는 좀처럼 한 곳에 머물지 않기 때문이다. 인도에서 신원 데이터와 감시에 대한 논쟁은 활발하며, 헌법 제21조에 따른 얼굴 인식 개인정보 논쟁부터 카르나타카주 소셜 미디어 가입 시 아드하르 요건 제안에 대한 우려까지 이어진다. 상업 플랫폼이 수집하는 것을 제한하는 것은 누가 귀하의 정보를 얼마나 오래 보유하는지에 대한 더 큰 논의의 한 부분이다.
핵심 요점
인도 DPDPA 온라인 쇼핑 개인정보는 역할 분담으로 귀결된다. 법은 동의, 정정, 삭제에 대한 권리를 부여하고, 대형 전자상거래 플랫폼에 보존 한도를 설정한다. VPN과 합리적인 브라우저 설정은 네트워크와 제3자 추적자로부터의 노출을 줄이지만, 소매업체가 귀하가 알려준 것을 잊게 만들 수는 없다.
이번 주에 가장 많이 사용하는 쇼핑 앱을 열어 동의 토글을 검토하고, 계정 삭제 또는 데이터 삭제 옵션을 찾아라. 더 이상 필요하지 않은 프로필을 제거하고, 규칙이 시행됨에 따라 권리를 행사하라. 시행 세부 사항은 진화할 수 있으므로, 최신 요건은 플랫폼의 개인정보 고지 및 공식 지침을 확인하라.
