브라질에서 이루어지는 처리
데이터의 수집이나 사용이 국내에서 이루어지면 법이 적용됩니다.
가이드 · 브라질 법
Lei Geral de Proteção de Dados는 광고에 쓰이는 쿠키와 식별자를 포함해 브라질에 있는 사람의 데이터를 처리하는 모든 사이트에 적용됩니다. 이 가이드는 법이 요구하는 것, ANPD가 쿠키 사용에 대해 안내하는 방법, 제재, 게시자가 갖춰야 할 것을 보여 줍니다.
정의
LGPD는 2018년 8월 14일의 법률 제13.709호입니다. 기업이 개인 데이터를 언제 수집, 사용, 보관, 공유할 수 있는지, 그리고 사람들이 이 데이터에 대해 어떤 권리를 갖는지를 정합니다. 기업, 개인 사업자, 공공 기관에 적용되며 오프라인과 인터넷 모두에서 적용됩니다.
개인 데이터는 식별되었거나 식별 가능한 사람과 연결된 모든 정보입니다. 사이트에서는 양식의 이름과 이메일뿐 아니라 IP 주소, 쿠키 식별자, 광고를 보여 주는 데 쓰는 탐색 기록도 포함됩니다. 민감한 개인 데이터는 더 강하게 보호되는 범주입니다. 건강, 종교, 인종적 출신, 정치적 견해, 성생활, 유전 및 생체 데이터입니다.
정보 주체는 데이터의 주인인 사람입니다. 컨트롤러는 데이터를 무엇에 쓸지 결정하며, 보통 사이트 운영자입니다. 오퍼레이터는 이메일 플랫폼처럼 컨트롤러를 대신해 데이터를 처리합니다. 담당자는 컨트롤러, 정보 주체, 감독 기관 사이의 연락을 맡은 사람이나 회사입니다.
집행은 ANPD가 맡습니다. 원래 Autoridade Nacional de Proteção de Dados로 만들어졌으며, 지금은 같은 약자의 Agência Nacional de Proteção de Dados라고 부릅니다. 규정과 가이드를 발표하고, 민원을 접수하고, 법의 제재를 부과하는 것이 ANPD입니다.
체크리스트
LGPD, ANPD, Google이 브라질 방문자가 있는 광고 사이트에 요구하는 것이에요.
법은 정보 주체에게 데이터 사용의 목적, 방식, 기간, 관리자가 누구이고 어떻게 연락하는지, 공유, 18조의 권리에 쉽게 접근할 권리를 보장해요. Google은 Google 같은 제3자가 광고를 보여 주려고 쿠키를 쓴다는 내용도 정책에 요구해요.
자사 쿠키와 Google을 포함한 제3자 쿠키를 사용해 이 사이트와 다른 사이트에서의 방문을 바탕으로 광고를 보여 줘요.
ANPD 가이드는 필수가 아닌 쿠키에 동의를 받고 기본값을 꺼 두라고 권고해요. Google 태그를 쓰면 Consent Mode를 브라질에서만 거부로 시작하고 사용자가 수락하면 바꿀 수 있어요.
gtag('consent', 'default', {
'ad_storage': 'denied',
'ad_user_data': 'denied',
'ad_personalization': 'denied',
'wait_for_update': 500,
'region': ['BR']
});ANPD 가이드는 필수가 아닌 쿠키를 모두 거부하는 버튼을 눈에 잘 띄게 두라고 권고해요. 관리 옵션 없이 버튼 하나만 있는 배너는 권하지 않아요.
모두 수락 | 필수 아닌 항목 거부 | 설정
ANPD 가이드는 허가 옵션이 미리 체크된 배너를 쓰지 말라고 해요. 각 목적은 사용자가 선택할 때까지 꺼진 상태로 시작해요.
법은 동의를 언제든 무료이고 쉬운 절차로 철회할 수 있다고 해요. 사용자가 선택을 바꿀 수 있도록 고정 링크를 두세요.
모든 페이지 푸터 링크: 쿠키 설정
책임자의 신원과 연락처는 가급적 사이트에 명확하고 객관적으로 공개해야 해요. 책임자 지정이 면제되는 소규모 사업자도 정보 주체를 위한 창구를 유지해야 해요.
데이터 보호 책임자: Maria Silva. 연락처: privacidade@seusite.com.br
확인과 데이터 열람은 즉시 간략한 형식으로 제공하거나, 요청 후 15일 안에 완전한 진술서로 제공할 수 있어요. 이런 요청을 받을 창구를 두세요.
아동의 데이터는 부모 중 한 명 이상 또는 보호자의 동의가 필요해요. 건강이나 종교 같은 민감 정보는 구체적이고 눈에 띄는 동의가 필요하며, Google은 이를 바탕으로 한 맞춤 광고를 허용하지 않아요.
실제 사례
공식 도구
Google은 LGPD에 대해 인증 CMP를 요구하지 않고 전용 메시지도 없어요. ANPD 가이드를 따르는 도구를 고르고, 사이트가 유럽 방문자도 받는 경우에만 인증 CMP를 쓰세요.
적용 대상
하나만 해당되어도 됩니다. 사이트의 규모나 서버의 위치는 상관없습니다.
데이터의 수집이나 사용이 국내에서 이루어지면 법이 적용됩니다.
브라질에 있는 사람에게 제품이나 서비스를 제공하거나 그들의 데이터를 처리하려는 것이라면, 외국 기업에도 법이 적용됩니다.
데이터가 국내에서 수집되었다면, 이후 해외에서 처리되더라도 LGPD가 적용됩니다.
블로그와 소규모 기업도 법을 따라야 합니다. ANPD에는 소규모 주체를 위한 더 가벼운 규정이 있지만, 전반적인 면제는 아닙니다.
법적 근거
제7조에는 개인 데이터를 처리하는 10가지 근거가 있습니다. 광고가 있는 콘텐츠 사이트에서는 다음이 일상적으로 나타납니다.
특정 목적에 대해 자유롭고, 충분한 정보에 기반하며, 명확한 의사 표시를 하는 것입니다. ANPD가 광고 쿠키 같은 비필수 쿠키에 권장하는 근거입니다.
정보 주체의 권리를 침해하지 않는 한도에서 사이트에 실제로 있는 이익입니다. ANPD에 따르면 반드시 필요한 쿠키와 집계된 측정에 쓸 수 있습니다.
유료 구독이나 구매처럼 그 사람과의 계약을 이행하는 데 필요한 데이터입니다.
법이 데이터를 보관하도록 의무화한 경우입니다. 예를 들어 Marco Civil da Internet은 애플리케이션 접속 기록을 일정 기간 보관하도록 요구합니다.
신용 분석과 긍정 신용 정보에 사용됩니다. 금융 사이트에서는 흔하지만 콘텐츠 사이트에서는 드뭅니다.
공공 정책, 연구, 소송에서의 권리 행사, 생명 보호, 건강 보호가 제7조 목록을 이룹니다.
쿠키
2022년 10월에 ANPD는 쿠키 및 개인 데이터 보호 안내 가이드(Guia Orientativo Cookies e Proteção de Dados Pessoais)를 발표했습니다. 쿠키를 필수와 비필수, 자사와 제3자, 세션과 지속, 그리고 분석, 기능, 광고라는 목적으로 나눕니다.
로그인이나 장바구니를 유지하는 쿠키처럼 반드시 필요한 쿠키에는 동의가 가장 적절한 근거가 아니라고 가이드는 말합니다. 법의 요건을 지킨다면 정당한 이익을 쓸 수 있습니다. 광고 쿠키나 행동을 추적하는 쿠키 같은 비필수 쿠키에는 동의가 가장 적절한 근거입니다.
가이드는 눈에 잘 띄는 비필수 쿠키 모두 거부 버튼이 있는 배너를 권장하고, 수락 버튼 하나만 있는 배너는 권장하지 않습니다. 미리 선택된 옵션도 권장하지 않으며, 동의에 의존하는 쿠키는 기본적으로 비활성화해 두라고 안내합니다.
마지막으로 가이드는 쿠키 정책 또는 이에 준하는 문서를 요구하며, 이는 개인정보 고지의 한 부분이거나 별도의 페이지일 수 있습니다. 광고에 대해 가이드는 정당한 이익이 가장 적절한 근거가 되기는 어렵다고 합니다.
정보 주체의 권리
제18조에 정보 주체의 권리가 나열되어 있습니다. 사이트는 이 요청을 받고 응답할 채널이 있어야 합니다.
사이트가 자신의 데이터를 처리하는지 알고, 어떤 데이터인지 봅니다.
불완전하거나, 잘못되었거나, 오래된 데이터를 정정합니다.
불필요하거나, 과도하거나, 법을 어기고 처리된 데이터를 익명화, 차단 또는 삭제해 달라고 요청합니다.
다른 서비스나 상품 공급자에게 데이터를 가져갑니다.
광고 네트워크처럼, 어떤 기업과 기관에 데이터가 공유되었는지 압니다.
언제든 무료로 쉽게 동의를 철회하고, 동의하지 않을 수 있다는 점을 안내받습니다.
해야 할 일
제재
제52조의 제재는 2021년 8월 1일부터 적용됩니다. ANPD는 자체 산정 규정에 따라 사건마다 금액을 정합니다.
사이트가 시정 조치를 취할 기한이 주어집니다.
직전 사업연도의 브라질 내 기업, 그룹 또는 기업 집단 매출에서 세금을 제외한 금액의 최대 2%이며, 위반 1건당 R$ 5,000만으로 제한됩니다.
위반 사항의 시정을 강제하기 위한 것이며, 같은 총한도를 따릅니다.
위반이 확인된 뒤 이를 공개하는 것으로, 사이트의 평판에 영향을 줍니다.
위반과 관련된 개인 데이터를 차단하거나 삭제합니다.
데이터베이스나 처리 활동을 정지하고, 데이터 처리를 전체 또는 일부 금지할 수도 있습니다.
타임라인
브라질에 사이트가 있는 사람에게 가장 중요한 날짜입니다.
Lei nº 13.709가 시행 전 준비 기간과 함께 공포됩니다.
법적 근거, 권리, 의무에 관한 규정이 시행됩니다.
ANPD가 경고, 과태료, 제52조의 다른 제재를 부과할 권한을 갖게 됩니다.
ANPD가 쿠키 및 개인 데이터 보호 안내 가이드를 발표합니다.
ANPD가 행정 제재를 계산하고 적용하는 규정을 승인합니다.
Resolução CD/ANPD nº 18이 담당자의 지정과 활동을 자세히 규정합니다.
ANPD가 규제 기관으로 전환되어 Agência Nacional de Proteção de Dados라는 이름을 갖게 됩니다.
LGPD와 GDPR
LGPD는 GDPR에서 영감을 받았지만 사이트 설정을 바꾸는 차이가 있습니다.
브라질에서 처리되거나 브라질에 있는 사람의 데이터에 적용됩니다.
EEA의 사람들에게 적용되며, 영국과 스위스에도 비슷한 법이 있습니다.
실제 사례
LGPD와 ANPD 쿠키 가이드의 권고에 기반한 예시입니다.
ConsentMode에서
LGPD는 배너를 언급하지 않습니다. ANPD 가이드는 광고 같은 비필수 쿠키에 동의를 요청하라고 권장합니다. 사이트가 필수 쿠키만 쓴다면 동의 배너는 필요하지 않지만, 방침의 투명성은 여전히 필요합니다.
아니요. Google의 EU 사용자 동의 정책은 EEA, 영국, 스위스에 적용됩니다. 브라질에서는 Google 정책이 광고의 쿠키와 데이터 사용을 설명하는 개인정보처리방침을 요구합니다.
컨트롤러는 담당자를 지정해야 합니다. ANPD는 소규모 주체가 정보 주체와의 소통 채널을 유지하면 지정하지 않아도 되도록 허용합니다. 내 사업이 해당되는지는 법무팀에 확인하세요.
ANPD 가이드는 광고에는 정당한 이익이 가장 적절한 근거가 되기 어렵다고 말합니다. 광고 쿠키에는 동의가 권장되는 근거입니다.
상당 부분 그렇습니다. 원칙이 비슷하기 때문입니다. 지역을 사용하는 데 주의하세요. 유럽 TCF 메시지는 브라질에서 나타날 필요가 없고, 개인정보처리방침에는 LGPD와 제18조의 권리가 언급되어야 합니다.
아니요. 감사는 사이트가 하는 일을 캡처 화면과 함께 보여 주고 보통 고치는 항목을 알려 줍니다. 법적 판단은 내 변호사나 담당자의 몫입니다.
자료실
이 가이드는 아래 공식 페이지를 바탕으로 작성했어요. 출처에서 직접 읽어 보세요:
감사는 배너, 쿠키, 개인정보처리방침, 광고를 확인하고 수정 계획을 제공합니다.