워크스페이스 열기

가이드 · 남아프리카공화국 규정

광고로 수익을 내는 사람을 위한 POPIA 설명

POPIA는 남아프리카공화국의 개인정보 보호법입니다. 개인뿐 아니라 기업도 보호하고, 이메일과 SMS 마케팅에 엄격한 규정이 있으며, 과태료와 징역형까지 규정합니다. 남아공 방문자가 있는 사이트에 이 법이 요구하는 것과 광고에 미치는 영향을 알아보세요.

내 사이트의 개인정보 보호 감사하기가이드 읽기
  • ✓법 본문과 Information Regulator의 발표 자료 기준
  • ✓브라질 사이트를 포함한 광고 사이트의 사례
  • ✓사이트를 변경하지 않는 읽기
R1,000만Information Regulator가 부과할 수 있는 최대 행정 과태료
8데이터 처리가 적법하려면 모두 충족해야 하는 조건의 수
18세: 이 연령 미만인 사람은 법에서 어린이로 취급됩니다
2021적응 기간이 끝난 해, 6월 30일

정의

개인과 기업을 모두 보호하는 법

Protection of Personal Information Act, 즉 POPIA는 남아프리카공화국의 2013년 법률 제4호입니다. 대부분의 조항은 2020년 7월 1일부터 시행되었고, 1년의 적응 기간은 2021년 6월 30일에 끝났습니다. 집행은 독립 기관인 Information Regulator가 맡으며, 이 기관은 남아공의 정보 접근법도 담당합니다.

이 법은 고유한 용어를 씁니다. 데이터를 왜, 어떻게 쓸지 결정하는 쪽은 책임 당사자로, GDPR의 컨트롤러에 해당합니다. 책임 당사자를 대신해 데이터를 처리하는 쪽은 수탁자입니다. 데이터의 주인이 되는 사람은 정보 주체이며, 여기서 중요한 차이가 있습니다. POPIA에서는 기업과 다른 법인도 보호받는 정보 주체입니다.

개인 정보는 이름, 이메일, 전화번호, 위치, 온라인 식별자, 의견처럼 누군가를 식별하는 모든 것입니다. 종교, 인종, 건강, 성생활, 정치적 견해, 생체 정보, 범죄 기록을 포함하는 특수 개인 정보도 있습니다. 법에서 18세 미만으로 정의된 어린이의 데이터에는 별도의 보호가 있습니다.

이 법은 남아프리카공화국에 설립된 책임 당사자와, 남아공 안의 수단을 이용해 데이터를 처리하는 외국의 책임 당사자에게 적용됩니다. 남아공 방문자를 받기만 하는 외국 사이트에 이 법이 미치는지는 해석의 문제입니다. 이런 방문자가 있다면 투명성, 보안, 마케팅의 기본 규칙을 따르는 것이 신중한 방법입니다.

체크리스트

꼭 지켜야 할 것

POPIA와 Information Regulator가 남아프리카공화국 방문자가 있는 광고 사이트에 요구하는 것이에요.

  1. 수집할 때 알리기

    무엇을 수집하는지, 책임자가 누구이고 주소는 어디인지, 목적, 제공이 자발적인지, 데이터가 다른 나라로 가는지, Regulator에 신고하는 것을 포함한 권리를 알려 주세요. Google은 Google 같은 제3자가 광고를 보여 주려고 쿠키를 쓴다는 내용도 정책에 요구해요.

    예시

    채용 알림을 보내려고 이메일을 수집해요. 제공은 자발적이에요. 열람, 정정, 삭제를 요청할 수 있고 Information Regulator에 신고할 수 있어요.

  2. Information Officer 등록하기

    기업에서는 Information Officer가 기본적으로 최고 경영자예요. Information Regulator 포털에 등록한 뒤에야 역할을 맡을 수 있어요.

  3. 동의를 받은 전자 마케팅

    이메일, SMS, 마케팅 메시지는 동의한 사람이나, 비슷한 상품에 대한 고객에게만 보낼 수 있어요. 동의 요청은 한 번만 할 수 있고, 그 사람이 이전에 거부하지 않은 경우에만 할 수 있어요.

  4. 모든 메시지에 수신 거부

    마케팅 메시지에는 발신자를 밝히고 발송 중단을 요청할 연락처를 넣어야 해요.

    예시

    예시 회사에서 이 이메일을 받고 계세요. 더 이상 받지 않으려면 구독 취소를 클릭하세요.

  5. 반대 존중하기

    사람은 정당한 이익에 근거한 사용에 반대할 수 있고, 언제든 직접 마케팅에 반대할 수 있어요. 반대한 뒤에는 그 데이터의 사용이 멈춰야 해요.

  6. 특수 정보는 동의가 있어야만

    종교, 인종, 건강, 성생활, 정치적 의견, 생체 정보는 원칙적으로 금지돼요. 본인의 동의는 예외 중 하나이고, Google은 이런 데이터를 바탕으로 한 맞춤 광고를 허용하지 않아요.

  7. 아동은 사전 동의로

    아동의 데이터는 법의 예외를 제외하면 부모나 보호자 같은 적격자의 사전 동의가 있을 때만 처리할 수 있어요.

  8. 무단 접근 알리기

    권한 없는 사람이 개인 데이터에 접근했다고 믿을 이유가 있다면, 합리적으로 가능한 한 빨리 Regulator와 원칙적으로 영향을 받은 사람들에게 알리세요.

실제 사례

옳은 예와 틀린 예

공식 도구

인증 CMP와 공식 링크

Google은 남아프리카공화국에 대해 인증 CMP를 요구하지 않고 전용 메시지도 없어요. 그래서 아래 링크는 Google과 Information Regulator 자료예요.

법의 핵심

데이터 처리를 위한 8가지 조건

POPIA는 모든 것을 여덟 가지 조건으로 정리합니다. 그중 하나라도 지키지 못하면 처리는 적법하지 않게 됩니다.

책임과 품질

책임 당사자는 모든 조건을 지킬 책임이 있으며, 데이터를 완전하고 정확하며 최신 상태로 유지해야 합니다.

제한과 목적

유효한 이유를 갖고 필요한 것만, 구체적이고 명확한 목적을 위해 수집하며, 필요한 기간 동안만 데이터를 보관하세요.

추가 사용과 투명성

새로운 사용은 원래 목적과 양립할 수 있어야 합니다. 그리고 수집할 때 누가 무엇을 위해 수집하는지, 본인의 권리가 무엇인지 알려야 합니다.

보안과 참여

기술적·조직적 조치로 데이터를 보호하고, 본인이 정보를 열람하고 정정하며 삭제를 요청할 수 있게 하세요.

법적 근거, 쿠키, 마케팅

사이트가 데이터를 사용할 수 있는 경우

POPIA는 데이터를 처리하는 여섯 가지 근거를 인정합니다. 동의, 계약 이행, 법적 의무, 정보 주체의 정당한 이익 보호, 공적 의무 이행, 책임 당사자 또는 제3자의 정당한 이익입니다. 정보 주체는 정당한 이익에 기반한 처리에 반대할 수 있으며, 2025년부터 이 반대는 무료이고 여러 채널로 할 수 있습니다.

이 법에는 영국의 PECR처럼 쿠키에 관한 구체적인 규정이 없습니다. 하지만 방문자를 알아볼 수 있게 하는 쿠키와 식별자는 개인 정보이므로, 사이트에는 근거가 필요하고 고지도 해야 합니다. 광고 추적에는 동의가 가장 안전하고 입증하기도 가장 쉬운 근거입니다.

이 법에서 가장 엄격한 부분은 이메일, SMS, 자동 전화 같은 전자적 수단을 통한 직접 마케팅입니다. 동의가 있거나 이미 구매한 고객에게 비슷한 제품을 제안하는 경우에만 허용되며, 수집할 때와 모든 메시지마다 간단하고 무료로 거부할 수 있는 방법을 제공해야 합니다.

사이트는 이 동의를 한 번만 요청할 수 있으며, 그 사람이 이전에 거부하지 않은 경우에 한합니다. 2025년 4월에 개정된 규정에 따르면 동의는 접근 가능한 어떤 수단으로도 받을 수 있지만, 침묵이나 미리 체크된 상자로 추정할 수는 없습니다. 모든 메시지에는 발신자가 표시되고, 수신 중단을 요청할 연락처가 있어야 합니다.

개인의 권리

정보 주체가 요청할 수 있는 것

사이트가 데이터를 처리하는 개인과 기업 모두에게 적용됩니다.

고지받기

데이터가 수집되고 있다는 것을 알고, 무단 접근이 있었는지 통지받습니다.

열람

사이트가 자신에 대한 데이터를 보관하는지 묻고, 어떤 데이터가 있고 누가 접근했는지에 대한 설명을 받습니다.

정정 및 삭제

잘못되었거나, 과도하거나, 부정한 방법으로 얻은 데이터의 정정이나 삭제를 요청합니다. 2025년부터 요청은 무료이며, 30일 이내에 답변해야 합니다.

반대하기

정당한 이익에 기반한 처리를 거부하고, 언제든 직접 마케팅을 위한 데이터 사용을 거부합니다.

기계에만 의존하지 않기

법에 정한 예외를 제외하고, 자동화된 시스템만으로 내려진 중대한 결정의 대상이 되지 않습니다.

민원 제기 및 소송

Information Regulator에 민원을 제기하고, 법원에 배상을 청구합니다.

의무

남아공 방문자가 있는 사이트가 해야 할 일

  1. 수집할 때 고지하기개인정보처리방침과 양식에는 누가 수집하는지, 무엇을 위해서인지, 제공이 의무인지, 누구와 공유하는지, 다른 나라로 가는지, 규제 기관에 민원을 제기할 권리를 포함해 정보 주체의 권리가 무엇인지를 알려야 합니다.
  2. Information Officer 두기모든 책임 당사자에게는 담당자가 있으며, 기본적으로 최고 경영자가 맡습니다. 이 사람은 업무를 맡기 전에 Information Regulator 포털에 등록해야 합니다.
  3. 동의가 근거인 곳에서는 동의 요청하기광고 쿠키와 이메일 목록에는 날짜, 출처, 표시된 문구와 함께 동의를 기록하세요. 미리 체크된 상자는 안 됩니다.
  4. 데이터 보호하기적절한 보안 조치를 취하고, 호스팅이나 이메일 도구 같은 수탁자와도 같은 수준의 주의를 요구하는 계약을 맺으세요.
  5. 사고 통지하기개인 데이터에 무단 접근이 있었다면 규제 기관과 영향을 받은 사람들에게 가능한 한 빨리, 스스로를 보호할 수 있을 만큼의 정보와 함께 알리세요.
  6. 전송 관리하기데이터를 국외로 보내려면 받는 곳이 적절한 보호를 제공하거나, 보호 장치가 담긴 계약이 있거나, 정보 주체의 동의가 있어야 합니다. 그 밖에도 법에 정한 경우가 있습니다.

집행과 과태료

법을 지키지 않으면 일어나는 일

규제 기관은 민원을 접수하고, 조사하고, 준수 통지를 발급합니다. 통지를 무시하는 것이 과태료를 받는 가장 빠른 길입니다.

행정 과태료

규제 기관은 위반 통지를 통해 최대 1,000만 랜드의 과태료를 부과할 수 있습니다. 2025년부터는 분할 납부를 협의할 수 있습니다.

징역형이 있는 범죄

규제 기관을 방해하거나 준수 통지를 따르지 않으면 최대 10년의 징역, 벌금 또는 둘 다에 처할 수 있습니다. 다른 위반에는 최대 12개월의 형이 있습니다.

첫 과태료

2023년 7월, 규제 기관은 이 법의 첫 과태료를 부과했습니다. 보안 문제와 관련된 통지를 따르지 않은 법무부에 500만 랜드였습니다.

법원 소송

정보 주체 또는 그를 대신한 규제 기관은 부적절한 처리로 입은 손해에 대한 배상을 청구할 수 있습니다.

타임라인

승인에서 집행까지

POPIA가 실행에 옮겨지기까지는 몇 년이 걸렸습니다. 주요 날짜는 다음과 같습니다.

  1. 2013

    법 통과

    POPIA가 2013년 법률 제4호로 서명되었지만, 거의 모든 조항은 시행일을 기다리게 됩니다.

  2. 2014년 4월 11일

    규제 기관의 기반

    정의와 Information Regulator를 만드는 규정이 시행됩니다.

  3. 2020년 7월 1일

    법이 시행됩니다

    주요 의무가 시행되며, 기업에는 적응할 12개월이 주어집니다.

  4. 2021년 6월 30일

    적응 기간 종료

    유예 기간이 끝나고 법이 전면적으로 집행됩니다.

  5. 2023년 7월

    첫 과태료

    규제 기관이 법무부에 500만 랜드의 과태료를 부과합니다.

  6. 2025년 4월 17일

    개정된 규정

    무료 반대, 정정 요청, 직접 마케팅 동의, 민원에 관한 새 규정이 즉시 시행됩니다.

AdSense나 Ad Manager를 쓰는 사람에게

수익에 실제로 달라지는 점

Google은 남아프리카공화국에 대해 인증된 CMP나 IAB TCF를 요구하지 않습니다. 이 요구는 유럽 경제 지역, 영국, 스위스에 적용됩니다. 그래서 남아공 트래픽은 TCF 메시지 없이도 계속 맞춤 광고를 받습니다.

그렇다고 사이트의 POPIA 의무가 없어지는 것은 아닙니다. 개인정보처리방침에는 쿠키 사용과 광고 파트너가 언급되어야 하고, 방문자가 반대하고 자신의 권리를 행사할 방법이 있어야 합니다. 사이트가 남아공에서 광고 쿠키에 대한 동의를 받고 싶다면 CMP가 지역별로 처리할 수 있고, Consent Mode가 그 선택을 Google 태그에 전달합니다.

요하네스버그와 케이프타운에서 방문자가 오고 이메일 구인 알림을 제공하는 영어 브라질 구인 사이트를 생각해 보세요. 쿠키 배너는 단순해도 되지만, 알림 신청 양식에는 체크하지 않은 상태에서의 분명한 동의가 필요하고, 모든 이메일에는 구독 취소 링크가 있어야 합니다.

POPIA는 기업도 보호하므로, 예를 들어 광고주를 위해 기업 연락처를 수집하는 사이트는 그 데이터도 개인의 데이터만큼 신중하게 다뤄야 합니다.

실제 사례

POPIA에서 해도 되는 것과 안 되는 것

남아공 방문자가 있는 콘텐츠, 구인, 금융 사이트의 일상적인 예시입니다.

허용

  • 남아프리카공화국 방문자에게 TCF 메시지 없이 Google 맞춤 광고 표시하기
  • 직접 가입하고 스스로 상자를 체크한 사람에게 뉴스레터 보내기
  • 이미 구매한 고객에게 비슷한 제안을 보내되, 모든 메시지에 수신 거부 옵션 넣기
  • 한 번도 거부하지 않은 사람에게 마케팅 동의를 한 번만 요청하기
  • 삭제 요청과 반대 요청을 이메일, WhatsApp, 양식으로 무료로 받아 주기

허용 안 됨

  • 이메일 목록에 이미 체크된 상자로 방문자 등록하기
  • 거부한 뒤에도 계속 동의를 요청하기
  • 이메일이나 휴대폰 번호 목록을 사서 제안을 대량 발송하기
  • 발신자를 밝히지 않고 구독 취소 링크도 없이 마케팅 보내기
  • 보호자의 동의 없이 18세 미만의 데이터 수집하기

흔한 오류

사이트들이 가장 많이 실수하는 부분

남아공 방문자가 있는 사이트에서 자주 발생하는 실수입니다.

Google이 요구하지 않으니 규칙도 없다고 생각하기

이 나라에서 CMP가 의무가 아니라고 해서 개인정보처리방침, 반대할 권리, 마케팅 규정이 면제되는 것은 아닙니다.

기업도 정보 주체라는 점 잊기

광고주, 공급업체, 파트너의 연락처도 POPIA가 보호하는 데이터입니다.

실질적인 동의가 없는 뉴스레터 양식

미리 체크된 상자나 숨겨진 문구는 인정되지 않습니다. 2025년 규정에서 이를 명시했습니다.

등록되지 않은 Information Officer

이 법은 담당자가 업무를 맡기 전에 규제 기관 포털에 등록하도록 요구합니다.

국제 전송이 빠진 방침

방문자 데이터가 국외에 있는 Google 서버와 다른 파트너의 서버로 갑니다. 방침에 이를 밝혀야 합니다.

응답하지 않은 요청

정정과 삭제 요청은 30일 이내에 답해야 하며, 사이트에는 요청을 받는 명확한 채널이 있어야 합니다.

ConsentMode에서

POPIA에 대해 감사에서 확인하는 항목

  • 남아공 방문자로 사이트에 접속해서 배너가 있는지, 어떤 버튼을 제공하는지, 선택 전에 무엇이 실행되는지 기록합니다.
  • 있는 경우 페이지 코드로 CMP를 식별하고, Google로 전송되는 Consent Mode 신호를 읽습니다.
  • 개인정보처리방침에 책임 당사자, 목적, 광고 파트너, 국제 전송, 권리, 담당자 연락처가 있는지 확인합니다.
  • 뉴스레터와 가입 양식에서 미리 체크된 상자와 목적 안내가 있는지 확인합니다.
  • 캡처 화면과 심각도 순으로 우선순위를 정한 수정 계획을 제공합니다.
감사 실행하기확인하는 항목 모두 보기

자주 묻는 질문

남아공 방문자를 위해 쿠키 배너가 필요한가요?

POPIA에는 배너에 관한 구체적인 규정이 없습니다. 사이트는 쿠키에 대해 고지해야 하고 사용할 근거가 있어야 합니다. 광고 추적에는 동의를 요청하는 것이 가장 안전하며, 지역별로 설정한 CMP를 쓰면 다른 방문자에게 영향을 주지 않고 해결할 수 있습니다.

Google이 이 트래픽에 대해 요구하는 것이 있나요?

남아프리카공화국에는 인증된 CMP 요구 사항이 없습니다. 쿠키와 광고 파트너를 언급하는 개인정보처리방침을 두는 것처럼, Google의 일반 게시자 정책은 계속 적용됩니다.

댓글에 연락처를 남긴 사람에게 이메일을 보내도 되나요?

마케팅 목적으로는 안 됩니다. 그 연락처는 다른 목적으로 제공된 것입니다. 제안을 보내려면 동의가 있거나 비슷한 제품에 대한 고객 관계가 있어야 합니다.

누가 Information Officer가 될 수 있나요?

기본적으로 회사의 최고 경영자이며, 부담당자를 지정할 수 있습니다. 등록은 Information Regulator 포털에서 합니다.

POPIA는 LGPD와 비슷한가요?

많은 부분에서 그렇습니다. 법적 근거, 권리, 담당자가 그렇습니다. 가장 눈에 띄는 차이는 기업을 정보 주체로 보호한다는 점, 어린이의 기준이 18세라는 점, 전자 마케팅에 대한 엄격한 규정입니다.

정말 징역형이 있나요?

네, 규제 기관을 방해하거나 준수 통지를 따르지 않는 것처럼 특정한 범죄에 한해서입니다. 일상적인 대부분의 위반은 통지와 행정 과태료로 처리됩니다.

자료실

공식 출처

이 가이드는 아래 공식 페이지를 바탕으로 작성했어요. 출처에서 직접 읽어 보세요:

내 사이트가 남아공 방문자를 맞을 준비가 되었는지 확인해 보세요

감사는 남아프리카공화국에서 사이트에 접속해, 아무것도 바꾸지 않고 배너, 양식, 방침에서 무엇을 고쳐야 하는지 보여 줍니다.

감사 시작하기