인도의 「디지털 개인정보 보호법, 2023」(DPDP Act)을 둘러싼 새로운 컴플라이언스 활동의 물결이 일고 있다. 법무법인과 컨설팅 업체들이 기업들의 준비를 돕기 위해 경쟁에 나서면서다. ETLegalWorld의 보고서에 따르면, Foresight Law Offices는 최근 법의 세부 규칙이 완전히 발효되기 전에 조직의 컴플라이언스 격차를 식별하도록 돕기 위해 설계된 인터랙티브 준비 상태 평가 도구와 함께 전용 "DPDP 데스크"를 출범시켰다. 이 발표는 전적으로 기업 법무팀을 겨냥한 것이지만, 일반 인터넷 사용자에게도 유용한 신호다. DPDP Act가 문서상의 규정에서 실제 실행으로 옮겨가고 있으며, 인도 기업들이 개인 데이터를 수집·저장·공유하는 방식이 소비자에게 직접적인 영향을 미치는 방식으로 곧 바뀌게 될 것이라는 점을 의미하기 때문이다.

DPDP Act 자체를 읽어본 적이 없다면, 당신만 그런 것이 아니다. 대부분의 사람들은 데이터 보호법을 동의 팝업, 개인정보 처리방침, 또는 개인정보 유출 알림 이메일을 통해서만 간접적으로 접한다. 그러나 DPDP Act는 수십 년 만에 인도에서 나온 가장 중요한 개인정보 보호법 중 하나이며, 그 기본 사항을 이해하면 매일 사용하는 앱과 서비스에서 무엇을 기대해야 하는지 알 수 있다.

DPDP Act가 실제로 요구하는 것

핵심적으로, DPDP Act는 "데이터 수탁자"(본질적으로 개인 데이터를 수집하거나 처리하는 모든 조직)가 해당 정보를 어떻게 처리해야 하는지에 대한 규칙을 확립한다. 기업은 개인 데이터를 수집하기 전에 명확하고 구체적인 동의를 받아야 하며, 데이터를 수집하는 이유를 명시해야 하고, 명시된 목적에 더 이상 필요하지 않으면 데이터를 삭제해야 한다. 이 법은 또한 개인이 자신의 데이터에 접근하고, 수정하고, 동의를 철회할 수 있는 경로를 만들며, 불만 처리와 집행을 담당할 규제 기관인 데이터 보호 위원회(Data Protection Board)를 도입한다.

이는 데이터 수집 관행이 역사적으로 느슨하게 규제되어 온 국가에게는 주목할 만한 변화다. 인도의 DPDP Act가 데이터 개인정보 보호를 경영진의 책임으로 끌어올리다에 대한 보도가 보여주듯, 컴플라이언스는 더 이상 기업이 조용히 IT 부서에 위임할 수 있는 문제가 아니다. 이사회와 경영진이 직접 책임을 져야 하는 지배구조 문제가 되고 있으며, 문제가 발생하면 실제로 책임을 물을 수 있다.

GDPR과의 비교

개인정보 보호 감시자들은 DPDP Act를 유럽연합의 일반 데이터 보호 규정(GDPR)과 자주 비교해 왔으며, 의미 있는 유사점이 있다. 두 체계 모두 데이터 수집에 동의를 요구하고, 둘 다 개인에게 자신의 정보에 대한 권리를 부여하며, 둘 다 불이행에 대한 벌칙을 만든다는 점이다. 그러나 DPDP Act는 일반적으로 범위가 더 좁은 것으로 간주된다. 디지털 개인 데이터에 구체적으로 초점을 맞추는 반면, GDPR은 형식에 관계없이 더 넓은 범위의 개인 정보를 다룬다. DPDP Act는 또한 정부 기관에 대한 면제와 국경 간 데이터 전송 규칙 같은 특정 영역에서 인도 정부에 GDPR이 일반적으로 허용하는 것보다 더 많은 재량권을 부여한다.

소비자에게 실질적인 시사점은 DPDP Act가 더 강력한 개인정보 보호를 향한 진정한 발걸음이지만, GDPR이 유럽 사용자에게 제공한 것과 같은 수준의 권리를 반드시 제공하지는 않을 수 있다는 것이다. 이는 최소 기준이지, 반드시 최고 기준은 아니다.

기한이 중요한 이유

컴플라이언스 관련 보도에서 자주 빠지는 세부 사항 중 하나는 기업이 준비할 수 있는 시간이 얼마나 촉박한지다. 예를 들어, 스타트업은 데이터 처리 관행을 개편해야 하는 2027년 5월 기한을 앞둔 인도의 DPDP Act라는 확고한 마감일을 맞고 있다. 더 넓게는, DPDP 규칙이 2027년에 완전히 발효될 예정이어서, 현재 많은 기업이 구축하고 있는 동의 흐름, 데이터 삭제 정책, 개인정보 유출 알림 프로세스는 그때까지 완전히 작동해야 한다. 법률 분석가들은 또한 인도의 DPDPA 컴플라이언스 일정과 이사 책임을 다룬 보도에서 자세히 설명된 바와 같이, 컴플라이언스 일정과 이사급 책임이 점점 더 큰 압박 지점이 되고 있다고 지적한다. 즉, Foresight와 같은 기업이 지금 출시하는 도구와 데스크가 존재하는 이유는 이미 시계가 작동하고 있기 때문이다.

이것이 당신에게 의미하는 것

인도에 기반을 둔 앱, 웹사이트 또는 서비스를 사용하거나 고객으로서 인도 기업과 상호작용한다면, 앞으로 2~3년 안에 변화를 알아차리기 시작해야 한다. 더 명시적인 동의 요청, 데이터가 수집되는 이유에 대한 더 명확한 설명, 그리고 (결국에는) 데이터 삭제를 요청하는 더 쉬운 방법을 기대하라. 금융 앱부터 메시징 플랫폼까지 민감한 데이터를 처리하는 기업들은 2027년 기한보다 훨씬 앞서 관행을 강화하라는 압력을 점점 더 받고 있다. 방대한 인도 사용자 기반을 가진 플랫폼들이 이미 더 엄격한 조사를 예상하고 데이터 관행을 조정하고 있다는 점을 기억할 가치가 있다. WhatsApp이 약 6억 명의 인도 사용자를 위해 연령 확인 기능을 테스트하고 있는 것과 비슷하다.

그렇다고 해서 집행이 아직 법의 조항을 따라잡고 있으며, 모든 곳에서 완전한 규칙이 시행되고 있는 것은 아니다. 하룻밤 사이의 변화를 기대하지 말라. 대신 개인정보 처리방침, 동의 화면, 그리고 기업이 당신의 데이터를 어떻게 보유하고 있는지 물었을 때의 응답 방식에서 점진적인 변화를 지켜보라.

실행 가능한 핵심 요점

DPDP Act의 규칙이 단계적으로 시행됨에 따라 더 자세해질 가능성이 높으므로, 인도 앱과 서비스의 동의 요청과 개인정보 보호 고지에 더 주의를 기울이기 시작하라. 금융 또는 건강 정보와 같은 민감한 개인 데이터를 처리하는 기업과 상호작용한다면, 데이터 보유 및 삭제 정책이 어떤지 직접 물어보라. 그리고 인도에서 사업을 운영하거나 조언하는 입장이라면, DPDP Act의 2027년 기한을 먼 미래가 아닌 확고한 것으로 취급하라. 동의 관리부터 내부 책임 구조까지 컴플라이언스 기반 작업은 실제로 시간이 걸리기 때문이다. 소비자든 사업주든, DPDP Act는 인도의 데이터 개인정보 보호가 법적 사후 고려 사항에서 운영상의 요건으로 전환되고 있음을 상기시켜 주며, 지금 정보를 잘 파악해 두면 나중에 전환 과정이 훨씬 덜 혼란스러울 것이다.