이라크의 게임 정책과 법제 IV - 개인정보보호 관련
1. 개인정보 수집 및 동의
1-1. 개인정보 수집 방법(동의, 고지 등)
Q. 개인정보를 적법하게 수집(처리)하기 위한 방법(근거)은 어떠한 것들이 있는지?
※ 동의, 고지, 정보주체와의 계약 처리 및 이행을 위한 경우 등
A. 이라크에는 개인정보보호 및 기밀 유지를 규율하는 성문화된 법률이 없음. 대신에 개인정보보호는 이라크 헌법, 이라크 형법, 이라크 민법, 기타 부문별 법률(예: 은행법, 증권법 등) 등을 비롯한 다양한 법률에서 간략하게 다루어짐.
부연 설명
이라크 형법에 따른 책임을 피하기 위해, 개인정보 수집에 대한 사용자의 동의(전자적 형식으로도 받을 수 있음)를 매번 얻는 것이 권장됨. 또한 이용자에게 개인정보가 사용되는 목적과 제3자에게 전송되는지 여부를 통지해야 함. 모든 경우에 해당 회사에 대한 잠재적인 형사 및/또는 민사 책임과 관련하여 비밀 정보(개인정보를 의미하는 것으로 보임)를 수집, 유지 및/또는 공개할 때 주의해야 함.
1-2. 개인정보 제3자 제공 방법(동의, 고지 등)
Q. 개인정보를 제3자에게 적법하게 제공하기 위한 방법(근거)은 어떤 것들이 있는지?
※ 동의, 고지, 정보주체와의 계약 처리 및 이행을 위한 경우 등
A. 개인정보 전송을 규율하는 성문화된 법률은 없음. 그러나 형법과 같은 다른 일반 이라크 법률에 따른 책임을 피하기 위해, 개인정보를 수집 및/또는 제3자에게 전송하기 전에 이용자의 동의를 얻는 것이 권장됨.
1-3. 아동 개인정보 수집
Q. 한국의 경우처럼 아동(한국의 경우 만 14세 미만)의 개인정보를 수집ㆍ이용ㆍ제공하려면, 법정대리인의 동의를 받아야 하는 규제가 존재하는지? 동의가 불필요하다면, 어떠한 방법을 적법 처리 근거로 활용할 수 있는지? 법정대리인의 동의를 받아야 한다면, 그 방법이 구체적으로 규정되어 있는지? (이메일 인증, 전자서명, 서면 동의, 전화 동의 등), 위 규제가 존재하는 국가의 개인정보보호법 상 아동의 연령은? 사업자는 아동의 개인정보 관련 권리를 어떻게 보장해야 하는지? (법정 대리인이 권리행사를 대신할 수 있는지 여부 등) 해당 법률을 위반했을 때 벌칙 조항은 어떻게 되는지?
A. 모든 연령대에서 동의를 받는 것이 권장되며, 미성년자는 부모 동의가 필수임. 아동은 만 18세까지 미성년자로 간주됨. 그 외의 질문에 대한 답변은 부연 설명 참고.
부연 설명
일반적으로 전자적 방식의 동의가 가능함. 미성년자 법정대리인의 동의가 있으면 법정 대리인이 권리행사를 대신할 수 있음. 또한 개인정보는 동일한 수준의 개인정보보호가 준수되는 국가로만 전송되어야 함. (이라크는 높은 수준의 개인정보 보호를 제공하지 않으므로 대다수 국가가 여기에 해당함).
이라크 형법은 다음과 같은 여러 상황에서 기밀 정보의 공개를 금지함. 형법 제437조는 직무, 직업, 거래 또는 업무의 성격상 관련 분야로 인해 기밀 정보를 접하게 되어 법에 명시된 경우가 아닌 상황에서 비밀정보를 공개하거나 이를 이용하여 자신의 이익 또는 다른 사람의 이익을 취하는 자는 2년 이하의 구류(detention) 및/또는 벌금형에 처해질 수 있다고 명시함. 그러나 그러한 공개에 대한 권한이 있거나, 해당 공개를 통해 중범죄 또는 경범죄를 신고하거나 그러한 범죄의 실행을 방지하려는 목적을 가진 경우에는 처벌받지 않음.
형법 제438조 1항에서는 타인의 사생활이나 가족생활에 관한 사진, 발언 또는 정보를 어떤 방식으로든 게시하는 자는 그러한 정보가 사실이라 하더라도 해당 게시로 인해 게시자에 의한 범죄가 성립한다고 명시함.
형법 제438조 2항에서는 편지, 텔렉스 또는 전화 대화에 포함된 정보를 알고 있는 자가 그러한 정보를 의도한 사람이 아닌 사람에게 공개하고 이러한 공개로 인해 다른 사람에게 손해가 발생하는 경우, 해당 공개자는 1년 이하의 구류 및/또는 벌금에 처해진다고 명시함.
1-4. 개인정보 처리 위탁(동의, 고지, 수탁 업체 계약방법)
Q. 개인정보 처리를 외부 업체에게 위탁하려는 경우 정보주체의 동의를 얻어야 하는지? 동의를 얻지 않아도 된다면, 그 적법성을 어떻게 확보할 수 있는지(정보주체에게 고지, 개인정보처리방침 공개 등)? 개인정보 처리를 위탁받아 수행하는 자(수탁업체)와 체결해야 하는 문서가 있는지(한국의 경우 개인정보보호법 제26조에 따라 문서로 업무를 위탁하여야 함)? 위탁업체가 수탁업체를 관리감독할 의무가 있는지? 있다면, 그 관리감독 방법은 무엇인지? 개인정보 수탁업체가 개인정보 관련 사고를 발생시킬 경우 그 책임은 누가 지는지(수탁업체가 온전히 그 책임을 짐. 위탁업체가 그 책임을 짐 등)?
A. 형법에 따른 잠재적인 책임을 피하기 위해, 개인정보 처리에 대한 동의를 받기 전에 정보주체에게 제3자 법인을 공개하는 것이 권장됨. 제3자 법인 위탁에 대한 동의가 엄격히 요구되는 것은 아니지만 잠재적인 책임을 회피하는 것이 권장됨. 사업자는 제3자 위탁에 대해 정보주체의 동의만 받으면 됨. 정보주체가 정보 이전에 대한 동의를 제공한 범위 내에서, 실수 발생 시 처리 당사자에 대한 책임이 있을 것으로 예상하지 않음.
1-5. 쿠키수집
Q. 쿠키를 수집(동의 등) 및 이용과 관련하여 규제가 있는지 있다면, 해당 법을 만족시키기 위한 적법한 쿠키 수집(동의 등) 방법은 무엇인지, 만약 동의를 받아야 한다면, 쿠키 동의가 면제될 수 있는 조건은 무엇이 있는지?
A. 별도 규정 없음.
2. 개인정보 처리
2-1. 개인정보 파기
Q. 개인정보를 파기해야 하는 의무가 있는지? 어떠한 경우 파기해야 하는지? 개인정보를 파기해야 한다면, 한국의 전자상거래법, 통신비밀보호법과 같이 별도의 정보를 보관하도록 하는 특별 규정이 있는지?
※ 접속기록 3개월, 표시/광고에 관한 기록 6개월, 계약 또는 청약철회 등에 관한 기록 5년, 대금 결제 및 재화공급 등에 관한 기록 5년, 소비자의 불만 또는 분쟁처리에 관한 기록 3년
A. 별도 규정 없음
2-2. 장기 미 접속 계정 휴면 처리 방법
Q. 한국의 개인정보보호법과 같이 1년간 서비스를 이용하지 않는 이용자의 개인정보를 파기 또는 분리보관 해야 하는 규제가 있는지? 휴면처리를 어떻게 처리해야 하는지?
A. 별도 규정 없음
2-3. 개인정보 처리 방침
Q. 한국의 개인정보처리방침과 같이 법적으로 필수적으로 기재해야 하는 내용을 규정하고 있는지? 필수는 아니지만 가이드라인 등을 통해 기재가 권장되는 내용이 있는지? 개인정보 처리방침을 어떻게 공개해야 한다는 사실을 정한 규제가 있는지?
A. 별도 규정 없음.
2-4. 개인정보 이용내역 통지
Q. 한국의 경우 개인정보보호법 제39조의8(개인정보 이용내역의 통지)에 따라 연 1회 이용자에게 개인정보의 이용내역을 통지해야 하는데, 이와 유사한 규제가 있는지? 있다면, 어떠한 방법으로 이용자에게 통지해야 하는지? 만약 통지 수단(이메일, 핸드폰 번호 등)이 없다면 이용내역을 통지하지 않아도 되는지?
A. 별도 규정 없음
2-5. 해외 사업자의 국내 대리인 지정
Q. 한국의 경우 개인정보보호법 제39조의11(국내대리인의 지정)에 따라 국내에 주소 또는 영업소가 없는 정보통신서비스 제공자는 이용자수/매출액을 고려하여 국내 대리인을 지정할 의무가 있는데 이와 유사한 규제가 있는지? 있다면 국내 대리인을 지정해야 하는 기준은 어떻게 되는지? 국내 대리인을 지정해야 한다면 그 사실을 관계 당국에 보고해야 하는 의무가 있는지 아니면 개인정보처리방침에 공개만 해 두어도 되는지?
A. 별도 규정 없음
2-6. 국외 이전 방법(동의, 방법, 동의 시 고지사항)
Q. 해외 이용자의 개인정보를 국외로 이전하기 위한 방법은 무엇이 있는지?
※ 동의, 개인정보처리방침 공개, 특별한 규제 없이 자유롭게 이전 가능 등
A. 국외 이전 및 이전 목적에 대한 동의가 권장됨.
2-7. 광고성 정보(수신, 동의, 고지, 발송, 방법)
Q. 한국의 정보통신망법과 같은 광고성 정보(이메일, 핸드폰 번호, 모바일 앱 푸쉬) 발송에 적용되는 규제가 있는지? 있다면 광고성 정보를 보낼 때 지켜야 하는 표기 의무가 있는지(제목 맨앞 (광고) 표기, 수신거부 조치, 사업자의 물리적 주소 등)? 이용자에게 광고성 정보를 보내기 위한 조건은 어떻게 되는지(명시적인 사전 수신동의 등)?
A. 별도 규정 없음
2-8. 데이터 국지화
Q. 자국민의 개인정보를 반드시 현지에 저장해야 한다는 현지화 규제가 있는지, 있다면 그 대상이 되는 개인정보의 범위가 있는지? (모든 개인정보, 특정 정보만 현지에 저장 등)
A. 별도 규정 없음
2-9. 개인정보보호법 적용가능성
Q. 자국내 사업장이 없는 해외사업자에게 해당 국가의 개인정보보호법률이 적용되는지?
A. 별도 규정 없음
3. 개인정보보호
3-1. 이용자 개인정보 권익보호방법
Q. 이용자에게 보장해 주어야 하는 개인정보 관련 권리가 있는지(열람권, 정정권, 이동권, 처리정지권, 삭제권)? 있다면 각 권리를 행사하기 위한 조건이 있는지(무제한으로 행사가능, 사업자가 합리적인 이유가 있다면 제한 가능 등)?
A. 별도 규정 없음
3-2. 개인정보 침해에 대한 보상보험 요건
Q. 정보주체의 개인정보 관련 사고(유출, 노출, 훼손, 분실 등)가 발생될 경우 정보 주체에게 고지해야 하는 의무가 있는지? 고지 의무가 있다면 몇명 이상의 개인정보 사고 시 그러한 의무가 부과되는지? 고지 방법이 규정되어 있는지(홈페이지에 사고 사실 공개, 개별 연락(이메일, 전화 등))? 정보주체에게 고지해야 할 경우 고지 시간이 규정되어 있는지(사고 사실을 인지한 순간부터 1주일 이내 등)? 정보 주체의 개인정보 관련 사고(유출, 노출, 훼손, 분실 등)가 발생될 경우 관계당국에 신고해야 하는 의무가 있는지? 신고 의무가 있다면 몇명 이상의 개인정보 사고 시 그러한 의무가 부과되는지? 신고 기간이 정해져 있는지(사고 사실을 인지한 순간부터 1주일 이내 등)?
A. 별도 규정 없음
3-3. 데이터 침해에 대한 보상
Q. 한국은 개인정보보호법 제39조의9(손해배상의 보장)에 따라 손해배상책임의 이행을 위해 보험 또는 공제에 가입하거나 준비금을 적립하는 등 필요한 조치를 하여야 하는데 이와 유사한 규제가 있는지?
A. 별도 규정 없음.
3-4. 개인정보 유출 손해배상 보험
Q. 개인정보 규제(법령)를 위반하거나 개인정보 사고가 발생된 경우 과태료, 과징금 등은 최대 얼마까지 부과되는지?
A. 별도 규정 없음