요르단의 게임 정책과 법제 V - 개인정보보호 관련
1. 개인정보 수집 및 동의
1-1. 개인정보 수집 방법(동의, 고지 등)
Q. 개인정보를 적법하게 수집(처리)하기 위한 방법(근거)은 어떠한 것들이 있는지?
※ 동의, 고지, 정보주체와의 계약 처리 및 이행을 위한 경우 등
관련 법률
개인정보보호법(Personal Data Protection Law, PDPL) 제24호(2023년 제정)
A. 2023년 정보보호법이 통과되었으며, GDPR의 내용과 거의 유사한 것으로 파악되고 있음.
1-2. 개인정보 제3자 제공 방법(동의, 고지 등)
Q. 개인정보를 제3자에게 적법하게 제공하기 위한 방법(근거)은 어떤 것들이 있는지?
※ 동의, 고지, 정보주체와의 계약 처리 및 이행을 위한 경우 등
관련 법률
개인정보보호법(Personal Data Protection Law, PDPL) 제24호(2023년 제정)
A. 데이터 주체의 명시적인 서면 또는 전자적 동의가 필수임. 동의는 제공 목적, 기간 및 처리 방식에 대해 구체적으로 명시해야 하며, 동의 받은 목적 외 사용할 수 없음.
1-3. 아동 개인정보 수집
Q. 한국의 경우처럼 아동(한국의 경우 만 14세 미만)의 개인정보를 수집ㆍ이용ㆍ제공하려면, 법정대리인의 동의를 받아야 하는 규제가 존재하는지? 동의가 불필요 하다면, 어떠한 방법을 적법 처리 근거로 활용할 수 있는지? 법정대리인의 동의를 받아야 한다면, 그 방법이 구체적으로 규정되어 있는지? (이메일 인증, 전자서명, 서면 동의, 전화 동의 등), 위 규제가 존재하는 국가의 개인정보보호법 상 아동의 연령은? 사업자는 아동의 개인정보 관련 권리를 어떻게 보장해야 하는지? (법정 대리인이 권리행사를 대신할 수 있는지 여부 등) 해당 법률을 위반 했을 때 벌칙 조항은 어떻게 되는지?
A. 민법상 미성년자(만 18세 미만)는 법적 보호자의 동의가 필수임.
1-4. 개인정보 처리 위탁(동의, 고지, 수탁 업체 계약방법)
Q. 개인정보 처리를 외부 업체에게 위탁하려는 경우 정보주체의 동의를 얻어야 하는지? 동의를 얻지 않아도 된다면, 그 적법성을 어떻게 확보할 수 있는지(정보주체에게 고지, 개인 정보처리방침 공개 등)? 개인정보 처리를 위탁받아 수행하는 자(수탁업체)와 체결해야 하는 문서가 있는지(한국의 경우 개인정보보호법 제26조에 따라 문서로 업무를 위탁하여야 함)? 위탁업체가 수탁업체를 관리감독할 의무가 있는지? 있다면, 그 관리감독 방법은 무엇인지? 개인정보 수탁업체가 개인정보 관련 사고를 발생시킬 경우 그 책임은 누가 지는지(수탁 업체가 온전히 그 책임을 짐. 위탁업체가 그 책임을 짐 등)?
관련 법률
개인정보보호법(Personal Data Protection Law, PDPL) 제24호(2023년 제정)
A. GDPR과 마찬가지로 동의를 얻어야 함.
1-5. 쿠키수집
Q. 쿠키를 수집(동의 등) 및 이용과 관련하여 규제가 있는지 있다면, 해당 법을 만족시키기 위한 적법한 쿠키 수집(동의 등) 방법은 무엇인지, 만약 동의를 받아야 한다면, 쿠키 동의가 면제될 수 있는 조건은 무엇이 있는지?
관련 법률
개인정보보호법(Personal Data Protection Law, PDPL) 제24호(2023년 제정)
A. 쿠키를 통해 수집되는 데이터도 개인 데이터로 간주될 경우, 사용자의 명확한 동의 필수임.
2. 개인정보 처리
2-1. 개인정보 파기
Q. 개인정보를 파기해야 하는 의무가 있는지? 어떠한 경우 파기해야 하는지? 개인정보를 파기해야 한다면, 한국의 전자상거래법, 통신비밀보호법과 같이 별도의 정보를 보관하도록 하는 특별 규정이 있는지?
※ 접속기록 3개월, 표시/광고에 관한 기록 6개월, 계약 또는 청약철회 등에 관한 기록 5년, 대금 결제 및 재화공급등에 관한 기록 5년, 소비자의 불만 또는 분쟁처리에 관한 기록 3년
관련 법률
개인정보보호법(Personal Data Protection Law, PDPL) 제24호(2023년 제정)
A. 개인정보가 더 이상 필요하지 않거나, 처리 목적이 달성된 경우, 데이터 주체가 요청할 경우에는 지체 없이 복구 또는 재생이 불가능한 방식으로 파기해야 함. 다만, 다른 법령에 따라 개인정보 보존해야 하는 경우에는 파기 의무가 면제될 수 있으며, 이 경우에는 다른 개인정보와 분리하여 저장·관리해야 함.
2-2. 장기 미 접속 계정 휴면 처리 방법
Q. 한국의 개인정보보호법과 같이 1년간 서비스를 이용하지 않는 이용자의 개인정보를 파기 또는 분리보관 해야 하는 규제가 있는지? 휴면처리를 어떻게 처리해야 하는지?
A. 요르단 개인정보보호법에서 휴면 처리에 대한 명시적인 규정이 있지는 않음.
2-3. 개인정보 처리 방침
Q. 한국의 개인정보처리방침과 같이 법적으로 필수적으로 기재해야 하는 내용을 규정하고 있는지? 필수는 아니지만 가이드라인 등을 통해 기재가 권장되는 내용이 있는지? 개인정보 처리방침을 어떻게 공개해야 한다는 사실을 정한 규제가 있는지?
관련 법률
개인정보보호법(Personal Data Protection Law, PDPL) 제24호(2023년 제정)
A. 요르단의 개인정보보호법은 GDPR에 부합하는 체계를 따르고 있다고 이해하면 됨. 개인정보 처리 방침은 정보주체가 쉽게 접근할 수 있도록 웹사이트, 앱, 또는 기타 서비스 메뉴에 게시하도록 하고 있음.
2-4. 개인정보 이용내역 통지
Q. 한국의 경우 개인정보보호법 제39조의8(개인정보 이용내역의 통지)에 따라 연 1회 이용자에게 개인정보의 이용내역을 통지해야 하는데, 이와 유사한 규제가 있는지? 있다면, 어떠한 방법으로 이용자에게 통지해야 하는지? 만약 통지 수단 (이메일, 핸드폰 번호 등)이 없다면 이용내역을 통지하지 않아도 되는지?
관련 법률
개인정보보호법(Personal Data Protection Law, PDPL) 제24호(2023년 제정) 제14조 및 제15조, 제20조
A. 데이터 처리자는 개인정보 처리 활동을 기록하고, 정보주체의 요청이 있으면 처리 내역을 제공해야 함. 또한 데이터 침해가 발생한 경우, 정보주체와 규제 당국에 이를 통지해야 하며, 침해의 성격과 영향을 명확히 설명해야 하는 의무가 있음.
2-5. 해외 사업자의 국내 대리인 지정
Q. 한국의 경우 개인정보보호법 제39조의11(국내대리인의 지정)에 따라 국내에 주소 또는 영업소가 없는 정보통신서비스 제공자는 이용자수/매출액을 고려하여 국내 대리인을 지정할 의무가 있는데 이와 유사한 규제가 있는지? 있다면 국내 대리인을 지정해야 하는 기준은 어떻게 되는지? 국내 대리인을 지정해야 한다면 그 사실을 관계 당국에 보고해야 하는 의무가 있는지 아니면 개인정보처리방침에 공개만 해 두어도 되는지?
관련 법률
개인정보보호법(Personal Data Protection Law, PDPL) 제24호(2023년 제정)
A. 요르단 국민의 개인정보를 처리하는 경우에는 현지 대리인을 지정해야 함.
2-6. 국외 이전 방법(동의, 방법, 동의 시 고지사항)
Q. 해외 이용자의 개인정보를 국외로 이전하기 위한 방법은 무엇이 있는지?
※ 동의, 개인정보처리방침 공개, 특별한 규제 없이 자유롭게 이전 가능 등
관련 법률
개인정보보호법(Personal Data Protection Law, PDPL) 제24호(2023년 제정)
A. 개인정보를 이전하려는 국가가 요르단과 동등한 수준의 데이터 보호를 제공해야 하며, 만약 보호 수준이 낮은 국가라면 추가적인 보안 조치를 마련할 것을 규정하고 있음(요르단 규제 당국의 사전 승인을 받아야 함). 또한 정보주체의 명시적 동의(서면 또는 전자적 방식으로)를 받아야 함. 또한 동의 받은 목적 내에서만 사용해야 함.
2-7. 광고성 정보(수신, 동의, 고지, 발송, 방법)
Q. 한국의 정보통신망법과 같은 광고성 정보(이메일, 핸드폰 번호, 모바일 앱 푸쉬) 발송에 적용되는 규제가 있는지? 있다면 광고성 정보를 보낼 때 지켜야 하는 표기 의무가 있는지(제목 맨앞 (광고) 표기, 수신거부 조치, 사업자의 물리적 주소 등)? 이용자에게 광고성 정보를 보내기 위한 조건은 어떻게 되는지(명시적인 사전 수신동의 등)?
관련 법률
개인정보보호법(Personal Data Protection Law, PDPL) 제24호(2023년 제정)
A. 수신자의 명시적 동의(서면 또는 전자적 방식으로)를 받아야 함. 또한 동의 받지 않은 추가적인 광고 발송은 금지됨. “(광고)” 문구를 포함하여 광고임을 명확히 해야 함. 오후 9시부터 다음 날 오전 8시까지는 별도의 사전 동의를 받아야 함. 동의 없이 광고성 정보를 발송하거나 규정을 위반할 경우에는, 최대 3년 이하의 징역 또는 3,000 요르단 디나르 이하의 벌금이 부과될 수 있음.
2-8. 데이터 현지화
Q. 자국민의 개인정보를 반드시 현지에 저장해야 한다는 현지화 규제가 있는지, 있다면 그 대상이 되는 개인정보의 범위가 있는지? (모든 개인정보, 특정 정보만 현지에 저장 등)
A. 명시적인 의무 없음.
2-9. 개인정보보호법 적용가능성
Q. 자국내 사업장이 없는 해외사업자에게 해당 국가의 개인정보보호법률이 적용되는지?
관련 법률
개인정보보호법(Personal Data Protection Law, PDPL) 제24호(2023년 제정)
A. 해외사업자에게 적용될 수 있음. 법상 역외적용 범위에 따라 결정될 것임. 이는 요르단 국민을 대상으로 하는 데이터를 직접적으로 처리하거나, 요르단 국민을 대상으로 하는 온라인 서비스, 광고 활동을 할 경우 적용됨. 따라서 요르단 시장을 대상으로 사업을 하려는 해외사업자는 요르단의 개인정보보호법을 준수하는 것이 권장됨.
3. 개인정보보호
3-1. 이용자 개인정보 권익보호방법
Q. 이용자에게 보장해 주어야 하는 개인정보 관련 권리가 있는지(열람권, 정정권, 이동권, 처리정지권, 삭제권)? 있다면 각 권리를 행사하기 위한 조건이 있는지(무제한으로 행사가능, 사업자가 합리적인 이유가 있다면 제한 가능 등)?
관련 법률
개인정보보호법(Personal Data Protection Law, PDPL) 제24호(2023년 제정)
A. 개인정보 열람권, 동의 철회권, 정정 및 삭제 요청권, 처리 제한권, 반대권, 데이터 이동권, 데이터 침해 통지권, 투명성과 불만 제기권, 개인정보 처리에 대한 사전 동의권이 법적으로 보호 받는 권리임.
3-2. 개인정보 침해에 대한 보상보험 요건
Q. 정보주체의 개인정보 관련 사고(유출, 노출, 훼손, 분실 등)가 발생될 경우 정보 주체에게 고지해야 하는 의무가 있는지? 고지 의무가 있다면 몇명 이상의 개인정보 사고 시 그러한 의무가 부과되는지? 고지 방법이 규정되어 있는지(홈페이지에 사고 사실 공개, 개별 연락 (이메일, 전화 등))? 정보주체에게 고지해야 할 경우 고 지 시간이 규정되어 있는지(사고 사실을 인지한 순간부터 1주일 이내 등)? 정보 주체의 개인정보 관련 사고(유출, 노출, 훼손, 분실 등)가 발생될 경우 관계당국에 신고해야 하는 의무가 있는지? 신고 의무가 있다면 몇명 이상의 개인정보 사고 시 그러한 의무가 부과되는지? 신고 기간이 정해져 있는지(사고 사실을 인지한 순간 부터 1주일 이내 등)?
관련 법률
개인정보보호법(Personal Data Protection Law, PDPL) 제24호(2023년 제정)
A. 개인정보 침해 사고가 발생한 경우, 24시간 이내에 이를 정보주체에게 통지(이메일, 문자 또는 기타 신속한 연락수단을 활용하여)해야 하며, 72시간 이내에 요르단 개인정보보호위원회 또는 관련 규제 기관에 신고해야 함. 고지 시에는 사고발생 방식, 영향을 받는 데이터, 피해를 최소화하기 위해 정보주체가 취해야 하는 조치, 데이터 처리자가 사고를 해결하기 위해 취하고 있는 조치에 대한 내용이 포함되어야 함.
3-3. 데이터 침해에 대한 보상
Q. 한국은 개인정보보호법 제39조의9(손해배상의 보장)에 따라 손해배상책임의 이행을 위해 보험 또는 공제에 가입하거나 준비금을 적립하는 등 필요한 조치를 하여야 하는데 이와 유사한 규제가 있는지?
A. 별도 규정 없음.
3-4. 개인정보 유출 손해배상 보험
Q. 개인정보 규제(법령)를 위반하거나 개인정보 사고가 발생된 경우 과태료, 과징금 등은 최대 얼마까지 부과되는지?
A. 데이터 처리자가 데이터 침해를 적절히 관리하지 못하거나, 정보주체에게 피해를 보상하지 않을 경우, 위반 정도에 따라 1,000~10,000 요르단 디나르(JOD)의 벌금이 부과될 수 있으며, 재발 시 벌금이 두 배로 증가할 수 있음. 또한 데이터베이스 삭제, 라이선스 취소, 또는 운영 중단 등의 행정적 조치가 취해질 수 있음.