워크스페이스 열기

가이드 · 브라질 법

쉽게 풀어 쓴 광고 사이트를 위한 LGPD

Lei Geral de Proteção de Dados는 광고에 쓰이는 쿠키와 식별자를 포함해 브라질에 있는 사람의 데이터를 처리하는 모든 사이트에 적용됩니다. 이 가이드는 법이 요구하는 것, ANPD가 쿠키 사용에 대해 안내하는 방법, 제재, 게시자가 갖춰야 할 것을 보여 줍니다.

  • ✓Lei 13.709/2018 본문과 ANPD 쿠키 가이드 기준
  • ✓LGPD와 GDPR의 실질적인 차이
  • ✓사이트를 변경하지 않는 읽기
10개인 데이터를 처리할 수 있는 법적 근거의 수
2%브라질 매출의 일부로, 단순 과태료의 상한
R$ 5,000만위반 1건당 단순 과태료의 한도
2020LGPD가 시행된 해

정의

브라질의 개인 데이터 사용을 정리하는 법

LGPD는 2018년 8월 14일의 법률 제13.709호입니다. 기업이 개인 데이터를 언제 수집, 사용, 보관, 공유할 수 있는지, 그리고 사람들이 이 데이터에 대해 어떤 권리를 갖는지를 정합니다. 기업, 개인 사업자, 공공 기관에 적용되며 오프라인과 인터넷 모두에서 적용됩니다.

개인 데이터는 식별되었거나 식별 가능한 사람과 연결된 모든 정보입니다. 사이트에서는 양식의 이름과 이메일뿐 아니라 IP 주소, 쿠키 식별자, 광고를 보여 주는 데 쓰는 탐색 기록도 포함됩니다. 민감한 개인 데이터는 더 강하게 보호되는 범주입니다. 건강, 종교, 인종적 출신, 정치적 견해, 성생활, 유전 및 생체 데이터입니다.

정보 주체는 데이터의 주인인 사람입니다. 컨트롤러는 데이터를 무엇에 쓸지 결정하며, 보통 사이트 운영자입니다. 오퍼레이터는 이메일 플랫폼처럼 컨트롤러를 대신해 데이터를 처리합니다. 담당자는 컨트롤러, 정보 주체, 감독 기관 사이의 연락을 맡은 사람이나 회사입니다.

집행은 ANPD가 맡습니다. 원래 Autoridade Nacional de Proteção de Dados로 만들어졌으며, 지금은 같은 약자의 Agência Nacional de Proteção de Dados라고 부릅니다. 규정과 가이드를 발표하고, 민원을 접수하고, 법의 제재를 부과하는 것이 ANPD입니다.

체크리스트

꼭 지켜야 할 것

LGPD, ANPD, Google이 브라질 방문자가 있는 광고 사이트에 요구하는 것이에요.

  1. 완전한 개인정보처리방침

    법은 정보 주체에게 데이터 사용의 목적, 방식, 기간, 관리자가 누구이고 어떻게 연락하는지, 공유, 18조의 권리에 쉽게 접근할 권리를 보장해요. Google은 Google 같은 제3자가 광고를 보여 주려고 쿠키를 쓴다는 내용도 정책에 요구해요.

    예시

    자사 쿠키와 Google을 포함한 제3자 쿠키를 사용해 이 사이트와 다른 사이트에서의 방문을 바탕으로 광고를 보여 줘요.

  2. 광고 쿠키는 동의 후에만

    ANPD 가이드는 필수가 아닌 쿠키에 동의를 받고 기본값을 꺼 두라고 권고해요. Google 태그를 쓰면 Consent Mode를 브라질에서만 거부로 시작하고 사용자가 수락하면 바꿀 수 있어요.

    gtag('consent', 'default', {
      'ad_storage': 'denied',
      'ad_user_data': 'denied',
      'ad_personalization': 'denied',
      'wait_for_update': 500,
      'region': ['BR']
    });
  3. 눈에 띄는 거부 버튼

    ANPD 가이드는 필수가 아닌 쿠키를 모두 거부하는 버튼을 눈에 잘 띄게 두라고 권고해요. 관리 옵션 없이 버튼 하나만 있는 배너는 권하지 않아요.

    예시

    모두 수락 | 필수 아닌 항목 거부 | 설정

  4. 미리 선택된 항목 없음

    ANPD 가이드는 허가 옵션이 미리 체크된 배너를 쓰지 말라고 해요. 각 목적은 사용자가 선택할 때까지 꺼진 상태로 시작해요.

  5. 언제든 철회하기

    법은 동의를 언제든 무료이고 쉬운 절차로 철회할 수 있다고 해요. 사용자가 선택을 바꿀 수 있도록 고정 링크를 두세요.

    예시

    모든 페이지 푸터 링크: 쿠키 설정

  6. 책임자 연락처 게시

    책임자의 신원과 연락처는 가급적 사이트에 명확하고 객관적으로 공개해야 해요. 책임자 지정이 면제되는 소규모 사업자도 정보 주체를 위한 창구를 유지해야 해요.

    예시

    데이터 보호 책임자: Maria Silva. 연락처: privacidade@seusite.com.br

  7. 정보 주체의 요청에 답하기

    확인과 데이터 열람은 즉시 간략한 형식으로 제공하거나, 요청 후 15일 안에 완전한 진술서로 제공할 수 있어요. 이런 요청을 받을 창구를 두세요.

  8. 아동과 민감 정보 주의하기

    아동의 데이터는 부모 중 한 명 이상 또는 보호자의 동의가 필요해요. 건강이나 종교 같은 민감 정보는 구체적이고 눈에 띄는 동의가 필요하며, Google은 이를 바탕으로 한 맞춤 광고를 허용하지 않아요.

실제 사례

옳은 예와 틀린 예

공식 도구

인증 CMP와 공식 링크

Google은 LGPD에 대해 인증 CMP를 요구하지 않고 전용 메시지도 없어요. ANPD 가이드를 따르는 도구를 고르고, 사이트가 유럽 방문자도 받는 경우에만 인증 CMP를 쓰세요.

적용 대상

세 가지 상황이면 내 사이트가 LGPD 안에 들어옵니다

하나만 해당되어도 됩니다. 사이트의 규모나 서버의 위치는 상관없습니다.

브라질에서 이루어지는 처리

데이터의 수집이나 사용이 국내에서 이루어지면 법이 적용됩니다.

브라질에 있는 사람에 대한 제공

브라질에 있는 사람에게 제품이나 서비스를 제공하거나 그들의 데이터를 처리하려는 것이라면, 외국 기업에도 법이 적용됩니다.

브라질에서 수집된 데이터

데이터가 국내에서 수집되었다면, 이후 해외에서 처리되더라도 LGPD가 적용됩니다.

작은 사이트도 해당

블로그와 소규모 기업도 법을 따라야 합니다. ANPD에는 소규모 주체를 위한 더 가벼운 규정이 있지만, 전반적인 면제는 아닙니다.

법적 근거

사이트에 가장 중요한 법적 근거

제7조에는 개인 데이터를 처리하는 10가지 근거가 있습니다. 광고가 있는 콘텐츠 사이트에서는 다음이 일상적으로 나타납니다.

동의

특정 목적에 대해 자유롭고, 충분한 정보에 기반하며, 명확한 의사 표시를 하는 것입니다. ANPD가 광고 쿠키 같은 비필수 쿠키에 권장하는 근거입니다.

정당한 이익

정보 주체의 권리를 침해하지 않는 한도에서 사이트에 실제로 있는 이익입니다. ANPD에 따르면 반드시 필요한 쿠키와 집계된 측정에 쓸 수 있습니다.

계약 이행

유료 구독이나 구매처럼 그 사람과의 계약을 이행하는 데 필요한 데이터입니다.

법적 또는 규제상 의무

법이 데이터를 보관하도록 의무화한 경우입니다. 예를 들어 Marco Civil da Internet은 애플리케이션 접속 기록을 일정 기간 보관하도록 요구합니다.

신용 보호

신용 분석과 긍정 신용 정보에 사용됩니다. 금융 사이트에서는 흔하지만 콘텐츠 사이트에서는 드뭅니다.

그 밖의 근거

공공 정책, 연구, 소송에서의 권리 행사, 생명 보호, 건강 보호가 제7조 목록을 이룹니다.

쿠키

ANPD 쿠키 가이드의 내용

2022년 10월에 ANPD는 쿠키 및 개인 데이터 보호 안내 가이드(Guia Orientativo Cookies e Proteção de Dados Pessoais)를 발표했습니다. 쿠키를 필수와 비필수, 자사와 제3자, 세션과 지속, 그리고 분석, 기능, 광고라는 목적으로 나눕니다.

로그인이나 장바구니를 유지하는 쿠키처럼 반드시 필요한 쿠키에는 동의가 가장 적절한 근거가 아니라고 가이드는 말합니다. 법의 요건을 지킨다면 정당한 이익을 쓸 수 있습니다. 광고 쿠키나 행동을 추적하는 쿠키 같은 비필수 쿠키에는 동의가 가장 적절한 근거입니다.

가이드는 눈에 잘 띄는 비필수 쿠키 모두 거부 버튼이 있는 배너를 권장하고, 수락 버튼 하나만 있는 배너는 권장하지 않습니다. 미리 선택된 옵션도 권장하지 않으며, 동의에 의존하는 쿠키는 기본적으로 비활성화해 두라고 안내합니다.

마지막으로 가이드는 쿠키 정책 또는 이에 준하는 문서를 요구하며, 이는 개인정보 고지의 한 부분이거나 별도의 페이지일 수 있습니다. 광고에 대해 가이드는 정당한 이익이 가장 적절한 근거가 되기는 어렵다고 합니다.

정보 주체의 권리

방문자가 내 사이트에 요청할 수 있는 것

제18조에 정보 주체의 권리가 나열되어 있습니다. 사이트는 이 요청을 받고 응답할 채널이 있어야 합니다.

확인과 열람

사이트가 자신의 데이터를 처리하는지 알고, 어떤 데이터인지 봅니다.

수정

불완전하거나, 잘못되었거나, 오래된 데이터를 정정합니다.

익명화, 차단 또는 삭제

불필요하거나, 과도하거나, 법을 어기고 처리된 데이터를 익명화, 차단 또는 삭제해 달라고 요청합니다.

이동성

다른 서비스나 상품 공급자에게 데이터를 가져갑니다.

공유에 관한 정보

광고 네트워크처럼, 어떤 기업과 기관에 데이터가 공유되었는지 압니다.

동의 철회

언제든 무료로 쉽게 동의를 철회하고, 동의하지 않을 수 있다는 점을 안내받습니다.

해야 할 일

브라질 게시자가 갖춰야 할 것

  1. 완전한 개인정보처리방침사이트가 어떤 데이터를 수집하는지, 무엇을 위해서인지, 어떤 법적 근거인지, Google과 광고 네트워크를 포함해 누구와 공유하는지, 얼마나 보관하는지, 정보 주체가 권리를 어떻게 행사하는지 설명하세요.
  2. 쿠키 정책쿠키의 유형, 각각의 목적, 자사 쿠키인지 제3자 쿠키인지를 나열하세요. 개인정보처리방침의 한 부분이어도 됩니다.
  3. 비필수 쿠키가 있을 때의 배너사이트가 광고나 추적 쿠키를 쓴다면, 수락과 거부 버튼이 눈에 잘 띄고 옵션이 체크되지 않은 배너를 보여 주세요.
  4. 선택을 바꿀 수 있는 경로방문자가 언제든 동의를 철회하거나 조정할 수 있도록 푸터에 쿠키 환경설정 같은 고정 링크를 두세요.
  5. 담당자 또는 연락 채널담당자를 지정하고 사이트에 연락처를 게시하세요. 2024년 7월의 Resolução CD/ANPD nº 18이 이 역할을 자세히 규정합니다. 소규모 주체는 담당자 지정이 면제될 수 있지만, 정보 주체와의 소통 채널은 유지해야 합니다.
  6. 보안과 사고기술적 조치로 데이터를 보호하고, 위험이나 상당한 피해를 일으킬 수 있는 보안 사고는 ANPD와 정보 주체에게 알리세요.

제재

ANPD가 부과할 수 있는 것

제52조의 제재는 2021년 8월 1일부터 적용됩니다. ANPD는 자체 산정 규정에 따라 사건마다 금액을 정합니다.

경고

사이트가 시정 조치를 취할 기한이 주어집니다.

단순 과태료

직전 사업연도의 브라질 내 기업, 그룹 또는 기업 집단 매출에서 세금을 제외한 금액의 최대 2%이며, 위반 1건당 R$ 5,000만으로 제한됩니다.

일일 과태료

위반 사항의 시정을 강제하기 위한 것이며, 같은 총한도를 따릅니다.

공개

위반이 확인된 뒤 이를 공개하는 것으로, 사이트의 평판에 영향을 줍니다.

차단 또는 삭제

위반과 관련된 개인 데이터를 차단하거나 삭제합니다.

정지와 금지

데이터베이스나 처리 활동을 정지하고, 데이터 처리를 전체 또는 일부 금지할 수도 있습니다.

타임라인

법 통과에서 규제 기관까지

브라질에 사이트가 있는 사람에게 가장 중요한 날짜입니다.

  1. 2018년 8월 14일

    LGPD 재가

    Lei nº 13.709가 시행 전 준비 기간과 함께 공포됩니다.

  2. 2020년 9월 18일

    법 시행

    법적 근거, 권리, 의무에 관한 규정이 시행됩니다.

  3. 2021년 8월 1일

    제재 시행

    ANPD가 경고, 과태료, 제52조의 다른 제재를 부과할 권한을 갖게 됩니다.

  4. 2022년 10월

    쿠키 가이드

    ANPD가 쿠키 및 개인 데이터 보호 안내 가이드를 발표합니다.

  5. 2023년 2월

    산정 규정

    ANPD가 행정 제재를 계산하고 적용하는 규정을 승인합니다.

  6. 2024년 7월

    담당자 규정

    Resolução CD/ANPD nº 18이 담당자의 지정과 활동을 자세히 규정합니다.

  7. 2026

    ANPD가 기관으로 전환

    ANPD가 규제 기관으로 전환되어 Agência Nacional de Proteção de Dados라는 이름을 갖게 됩니다.

LGPD와 GDPR

비슷하지만 같지는 않습니다

LGPD는 GDPR에서 영감을 받았지만 사이트 설정을 바꾸는 차이가 있습니다.

LGPD(브라질)

브라질에서 처리되거나 브라질에 있는 사람의 데이터에 적용됩니다.

  • 신용 보호를 포함한 10가지 법적 근거
  • 위반 1건당 R$ 5,000만으로 제한되는 과태료
  • 실용적인 권고가 있는 ANPD 쿠키 가이드
  • Google은 브라질 트래픽에 인증된 CMP나 Consent Mode를 요구하지 않음
  • 쿠키 규정은 특정 법이 아니라 안내 가이드에 있음
  • 비필수 쿠키가 있으면 배너는 여전히 필요함

GDPR (유럽)

EEA의 사람들에게 적용되며, 영국과 스위스에도 비슷한 법이 있습니다.

  • 6가지 법적 근거
  • 쿠키 규정은 별도의 법인 ePrivacy 지침에 있음
  • 동의에 관한 EDPB의 상세한 지침
  • 최대 2,000만 유로 또는 전 세계 매출의 4%의 과태료
  • Google은 맞춤 광고에 TCF가 있는 인증된 CMP를 요구함
  • 광고 기능에 Consent Mode v2 신호가 필요함

실제 사례

브라질 사이트에서 해도 되는 것과 안 되는 것

LGPD와 ANPD 쿠키 가이드의 권고에 기반한 예시입니다.

허용

  • 로그인과 보안 같은 필수 쿠키를 동의 요청 없이 로드하기
  • 광고 쿠키에 대해 수락과 거부를 같은 수준으로 놓은 배너 보여 주기
  • 유럽 TCF 메시지는 유럽 방문자에게만 쓰고, 브라질에는 자체 배너 쓰기
  • 모든 페이지의 푸터에 개인정보처리방침과 쿠키 정책 게시하기
  • 담당자의 연락용 이메일이나 정보 주체 지원 채널 안내하기
  • 브라질 방문자에게 일반 Google 광고 유지하기

허용 안 됨

  • 광고 쿠키에 수락 또는 확인 버튼 하나뿐인 배너
  • 방문자에게 이미 체크되어 있는 쿠키 옵션
  • Google과 파트너를 언급하지 않고 다른 사이트에서 복사한 개인정보처리방침
  • 광고와 Analytics가 있는데 사이트가 데이터를 수집하지 않는다고 말하기
  • 콘텐츠를 보려면 모든 쿠키를 수락하도록 요구하기
  • 필요 없이 브라질에 대해 모든 동의 신호를 거부하기

ConsentMode에서

내 사이트의 LGPD에 대해 감사에서 확인하는 항목

  • 브라질 방문자로 사이트에 접속해서 배너가 있는지, 어떤 버튼이 있는지, 옵션이 체크되어 있는지 캡처 화면으로 보여 줍니다.
  • 선택 전후에 로드되는 쿠키와 광고 및 분석 태그를 나열합니다.
  • 개인정보처리방침이 있는지, 푸터에 있는지, Google, 쿠키, 파트너, 권리, 담당자 연락처가 언급되는지 확인합니다.
  • 유럽식 설정이 브라질로 새어 들어가 필요 없이 광고를 막고 있지 않은지 확인합니다.
  • 법률 자문을 대신하지 않는 우선순위별 수정 계획을 제공합니다.

LGPD에 대한 자주 묻는 질문

모든 브라질 사이트에 쿠키 배너가 필요한가요?

LGPD는 배너를 언급하지 않습니다. ANPD 가이드는 광고 같은 비필수 쿠키에 동의를 요청하라고 권장합니다. 사이트가 필수 쿠키만 쓴다면 동의 배너는 필요하지 않지만, 방침의 투명성은 여전히 필요합니다.

Google이 브라질 트래픽에 Consent Mode를 요구하나요?

아니요. Google의 EU 사용자 동의 정책은 EEA, 영국, 스위스에 적용됩니다. 브라질에서는 Google 정책이 광고의 쿠키와 데이터 사용을 설명하는 개인정보처리방침을 요구합니다.

담당자를 지정해야 하나요?

컨트롤러는 담당자를 지정해야 합니다. ANPD는 소규모 주체가 정보 주체와의 소통 채널을 유지하면 지정하지 않아도 되도록 허용합니다. 내 사업이 해당되는지는 법무팀에 확인하세요.

광고에 정당한 이익을 근거로 쓸 수 있나요?

ANPD 가이드는 광고에는 정당한 이익이 가장 적절한 근거가 되기 어렵다고 말합니다. 광고 쿠키에는 동의가 권장되는 근거입니다.

GDPR에 맞춘 설정이 LGPD에도 맞나요?

상당 부분 그렇습니다. 원칙이 비슷하기 때문입니다. 지역을 사용하는 데 주의하세요. 유럽 TCF 메시지는 브라질에서 나타날 필요가 없고, 개인정보처리방침에는 LGPD와 제18조의 권리가 언급되어야 합니다.

ConsentMode가 법률 의견을 주나요?

아니요. 감사는 사이트가 하는 일을 캡처 화면과 함께 보여 주고 보통 고치는 항목을 알려 줍니다. 법적 판단은 내 변호사나 담당자의 몫입니다.

자료실

공식 출처

이 가이드는 아래 공식 페이지를 바탕으로 작성했어요. 출처에서 직접 읽어 보세요:

브라질 방문자가 보는 대로 내 사이트를 확인해 보세요

감사는 배너, 쿠키, 개인정보처리방침, 광고를 확인하고 수정 계획을 제공합니다.

감사 시작하기