파키스탄의 게임 정책과 법제 V - 개인정보보호 관련
1. 개인정보 수집 및 동의
1-1. 개인정보 수집 방법(동의, 고지 등)
Q. 개인정보를 적법하게 수집(처리)하기 위한 방법(근거)은 어떠한 것들이 있는지?
※ 동의, 고지, 정보주체와의 계약 처리 및 이행을 위한 경우 등
A. 부연 설명 참고.
부연 설명
파키스탄 헌법은 프라이버시에 대한 권리를 규정하고 있음. 프라이버시에 대한 헌법의 보호 관점에서, 정보 주체의 동의는 정보주체의 개인정보를 수집, 전송 및 가공하기 전에 얻어야 함.
1-2. 개인정보 제3자 제공 방법(동의, 고지 등)
Q. 개인정보를 제3자에게 적법하게 제공하기 위한 방법(근거)은 어떤 것들이 있는지?
※ 동의, 고지, 정보주체와의 계약 처리 및 이행을 위한 경우 등
A. 위 개인정보 수집 방법(동의, 고지 등) 부분 답변 참고.
1-3. 아동 개인정보 수집
Q. 한국의 경우처럼 아동(한국의 경우 만 14세 미만)의 개인정보를 수집ㆍ이용ㆍ제공하려면, 법정대리인의 동의를 받아야 하는 규제가 존재하는지? 동의가 불필요 하다면, 어떠한 방법을 적법 처리 근거로 활용할 수 있는지? 법정대리인의 동의를 받아야 한다면, 그 방법이 구체적으로 규정되어 있는지? (이메일 인증, 전자서명, 서면 동의, 전화 동의 등), 위 규제가 존재하는 국가의 개인정보보호법 상 아동의 연령은? 사업자는 아동의 개인정보 관련 권리를 어떻게 보장해야 하는지? (법정 대리인이 권리행사를 대신할 수 있는지 여부 등) 해당 법률을 위반 했을 때 벌칙 조항은 어떻게 되는지?
A. 이와 관련한 어떠한 구체적인 규정도 발견되지 않음.
부연 설명
프라이버시에 대한 헌법적 보호 및 미성년자들의 계약 무능력을 고려할 때 미성년자의 부모나 법정 보호자의 동의를 얻어 미성년자의 개인정보를 수집, 이용, 처리 및/또는 이전하는 것이 바람직할 것임. 미성년자의 부모나 법정 보호자의 동의를 얻는 어떠한 방법에 대해서도 법에서 규정하지 않음. 위 답변들 참조. 일반적으로, 파키스탄법상 성인의 연령은 만 18세임. 구체적인 벌책 조항은 법으로 규정되지 않음.
1-4. 개인정보 처리 위탁(동의, 고지, 수탁 업체 계약방법)
Q. 개인정보 처리를 외부 업체에게 위탁하려는 경우 정보주체의 동의를 얻어야 하는지? 동의를 얻지 않아도 된다면, 그 적법성을 어떻게 확보할 수 있는지(정보주체에게 고지, 개인정보처리방침 공개 등)? 개인정보 처리를 위탁받아 수행하는 자(수탁업체)와 체결해야 하는 문서가 있는지(한국의 경우 개인정보보호법 제26조에 따라 문서로 업무를 위탁하여야 함)? 위탁업체가 수탁업체를 관리감독할 의무가 있는지? 있다면, 그 관리감독 방법은 무엇인지? 개인정보 수탁업체가 개인정보 관련 사고를 발생시킬 경우 그 책임은 누가 지는지(수탁 업체가 온전히 그 책임을 짐. 위탁업체가 그 책임을 짐 등)?
A. 명확한 규정이 확인되지 않으나, 제3자를 통한 정보주체의 개인정보 처리에는 정보주체의 동의가 필요할 것으로 생각됨. 또한 서비스 제공자는 사용자의 개인 정보를 처리하는 책임을 지는 제3자와 계약을 체결해야 함. 데이터 처리자와 데이터 제어자의 역할을 설정하는 데이터 보호 법령들이 없다면, 감독 수준을 포함한 당사자들의 역할과 책임은 계약에 의해서 결정됨. 게임 서비스 제공자는 데이터 처리 기능을 위탁한 제3자의 위반에 대해 정보주체에 대하여 잠재적, 지속적으로 책임을 질 수 있음. 위탁 계약에는 수탁업체의 위반 또는 불이행이 발생한 경우에 정보주체 또는 당국의 청구로부터 게임 서비스 제공자를 보호할 수 있는 면책 및 기타 조항을 포함해야 함.
1-5. 쿠키수집
Q. 쿠키를 수집(동의 등) 및 이용과 관련하여 규제가 있는지 있다면, 해당 법을 만족시키기 위한 적법한 쿠키 수집(동의 등) 방법은 무엇인지, 만약 동의를 받아야 한다면, 쿠키 동의가 면제될 수 있는 조건은 무엇이 있는지?
A. 별도 규정 없음.
2. 개인정보 처리
2-1. 개인정보 파기
Q. 개인정보를 파기해야 하는 의무가 있는지? 어떠한 경우 파기해야 하는지? 개인정보를 파기해야 한다면, 한국의 전자상거래법, 통신비밀보호법과 같이 별도의 정보를 보관하도록 하는 특별 규정이 있는지?
※ 접속기록 3개월, 표시/광고에 관한 기록 6개월, 계약 또는 청약철회 등에 관한 기록 5년, 대금 결제 및 재화공급등에 관한 기록 5년, 소비자의 불만 또는 분쟁처리에 관한 기록 3년
A. 현재 개인 정보를 파기할 법적 의무는 없음.
2-2. 장기 미 접속 계정 휴면 처리 방법
Q. 한국의 개인정보보호법과 같이 1년간 서비스를 이용하지 않는 이용자의 개인정보를 파기 또는 분리보관 해야 하는 규제가 있는지? 휴면처리를 어떻게 처리해야 하는지?
A. 별도 규정 없음
2-3. 개인정보 처리 방침
Q. 한국의 개인정보처리방침과 같이 법적으로 필수적으로 기재해야 하는 내용을 규정하고 있는지? 필수는 아니지만 가이드라인 등을 통해 기재가 권장되는 내용이 있는지? 개인정보 처리방침을 어떻게 공개해야 한다는 사실을 정한 규제가 있는지?
A. 어떠한 유사한 규정도 파키스탄에서는 시행되지 않고 있음. 프라이버시 정책에 포함되어야 할 사항을 규정하는 가이드라인도 없음.
2-4. 개인정보 이용내역 통지
Q. 한국의 경우 개인정보보호법 제39조의8(개인정보 이용내역의 통지)에 따라 연 1회 이용자에게 개인정보의 이용내역을 통지해야 하는데, 이와 유사한 규제가 있는지? 있다면, 어떠한 방법으로 이용자에게 통지해야 하는지? 만약 통지 수단(이메일, 핸드폰 번호 등)이 없다면 이용내역을 통지하지 않아도 되는지?
A. 별도 규정 없음
2-5. 해외 사업자의 국내 대리인 지정
Q. 한국의 경우 개인정보보호법 제39조의11(국내대리인의 지정)에 따라 국내에 주소 또는 영업소가 없는 정보통신서비스 제공자는 이용자수/매출액을 고려하여 국내 대리인을 지정할 의무가 있는데 이와 유사한 규제가 있는지? 있다면 국내 대리인을 지정해야 하는 기준은 어떻게 되는지? 국내 대리인을 지정해야 한다면 그 사실을 관계 당국에 보고해야 하는 의무가 있는지 아니면 개인정보처리방침에 공개만 해 두어도 되는지?
A. 별도 규정 없음
2-6. 국외 이전 방법(동의, 방법, 동의 시 고지사항)
Q. 해외 이용자의 개인정보를 국외로 이전하기 위한 방법은 무엇이 있는지?
※ 동의, 개인정보처리방침 공개, 특별한 규제 없이 자유롭게 이전 가능 등
A. 정보주체의 개인 정보를 전송하기 위해서는 정보주체의 동의를 얻어야 함.
2-7. 광고성 정보(수신, 동의, 고지, 발송, 방법)
Q. 한국의 정보통신망법과 같은 광고성 정보(이메일, 핸드폰 번호, 모바일 앱 푸쉬) 발송에 적용되는 규제가 있는지? 있다면 광고성 정보를 보낼 때 지켜야 하는 표기 의무가 있는지(제목 맨앞 (광고) 표기, 수신거부 조치, 사업자의 물리적 주소 등)? 이용자에게 광고성 정보를 보내기 위한 조건은 어떻게 되는지(명시적인 사전 수신동의 등)?
A. 2016 전자범죄방지법에 따르면, 타인의 동의 없이 원치 않는 정보를 전송하거나, 수신자에게 구독취소 또는 탈퇴의 선택권을 제공하지 않고 직접 마케팅하는 행위는 위법임. 이 법은 직접 마케팅에 종사하는 개인, 기관 또는 단체에게 수신자에게 마케팅 정보 수신의 구독을 취소할 수 있는 선택권, 즉 옵트 아웃 옵션을 제공해야 한다고 요구함.
부연 설명
파키스탄 통신국(PTA)은 스팸성, 불원성, 사기성, 불쾌성 통신을 차단함으로써 소비자들의 이익 보호를 목적으로 모든 “사업자”(PTA가 부여한 통신 허가 또는 등록권자)에 적용되는 2009 스팸성, 불원성, 사기성, 불쾌성 통신으로부터의 보호 규정(Protection from Spam, Unsolicited, Fraudulent and Obnoxious Communication Regulations 2009, “2009 규정40”)을 두고 있음.
“Spamming”이라는 용어는 수신자의 명시적 동의 없이 또는 전자 시스템이 그러한 메시지를 표시하도록 하지 않고 임의의 사람에게 대량으로 원치 않는 메시지를 전송하는 행위를 포함하도록 2009 규정에서 정의됨.
2009 규정은 사업자가 스팸을 통제하기 위한 표준 운영 절차를 수립하도록 요구하고 있음. 사업자들은 승인을 위하여 이러한 절차를 PTA에 제출하여야 하며, “스팸을 통제하기 위한 모든 최신 및 효과적인 기술적 조치가 구현되고 있음”을 보장하기 위해 매 180일마다 PTA의 승인과 받아 갱신되어야 함.
해당 절차는 최소한 아래의 내용을 포함해야 함:
지능적이고 강력한 안티-스팸 솔루션으로 변화하는 스팸 내용에 대응하기 위해 정기적으로 업데이트 됨.
안티-스팸 필터는 어떤 경쟁적인 활동을 위해서도 사용되지 않음. 안티-스팸 필터는 소비자 프라이버시를 침해하지 않음.
안티-스팸 필터는 같은 망 또는 다른 망(on net or off net)으로부터의 메시지에 대해서도 필터링을 제한하지 않음.
마케팅 활동에 PTA에 등록된 단축코드를 사용하는 기업
가입자가 스팸 메시지 수신을 선택한 경우, 사업자는 스팸 메시지 발송을 활성화하도록 요구되지만, 정상적인 영업시간 내에 가입자들이 수신하도록 보장해야 함.
사업자들은 또한 가입자들을 위해 24시간 불만해결 메커니즘을 구축하고, 전자 및 인쇄 매체에서 가입자들과 일반 대중들을 대상으로 스팸에 대처하기 위해 사용 가능한 예방 및 불만제기 메커니즘을 교육하는 미디어 캠페인을 시작해야 하며, ‘컨슈머 매뉴얼’에 2009 통신소비자보호규정(Telecom Consumers Protection Regulations 2009)의 요건에 따른 예방적인 조치와 절차들을 공개해야 함.
사업자들은 또한 파키스탄 통신국(PTA)에서 요구하는 경우 2009 규정에 따라 “모든 조항의 모든 측면”에 관한 정보를 PTA에 제공해야 함. 사업자들은 또한 2009 규정에 따라 가입자들이 공개한 정보의 비밀유지를 보장해야 함.
2-8. 데이터 국지화
Q. 자국민의 개인정보를 반드시 현지에 저장해야 한다는 현지화 규제가 있는지, 있다면 그 대상이 되는 개인정보의 범위가 있는지? (모든 개인정보, 특정 정보만 현지에 저장 등)
A. 포괄적인 데이터 현지화 요건은 없음. 특정 분야에 국한된 데이터 현지화 요건이 있음(예: 금융, 은행 및 보험 분야)
2-9. 개인정보보호법 적용가능성
Q. 자국내 사업장이 없는 해외사업자에게 해당 국가의 개인정보보호법률이 적용되는지?
A. 현재 파키스탄에서는 포괄적인 데이터 보호 법령이 시행되고 있지 않음.
3. 개인정보보호
3-1. 이용자 개인정보 권익보호방법
Q. 이용자에게 보장해 주어야 하는 개인정보 관련 권리가 있는지(열람권, 정정권, 이동권, 처리정지권, 삭제권)? 있다면 각 권리를 행사하기 위한 조건이 있는지(무제한으로 행사가능, 사업자가 합리적인 이유가 있다면 제한 가능 등)?
A. 현재 파키스탄에서는 포괄적인 데이터 보호 법령이 시행되고 있지 않음. 그러나, 사용자 데이터의 비밀은 지켜져야 하며, 사용자 데이터는 반드시 사용자에게 식별된 목적으로 처리되어야 함.
3-2. 개인정보 침해에 대한 보상보험 요건
Q. 정보주체의 개인정보 관련 사고(유출, 노출, 훼손, 분실 등)가 발생될 경우 정보 주체에게 고지해야 하는 의무가 있는지? 고지 의무가 있다면 몇명 이상의 개인정보 사고 시 그러한 의무가 부과되는지? 고지 방법이 규정되어 있는지(홈페이지에 사고 사실 공개, 개별 연락(이메일, 전화 등))? 정보주체에게 고지해야 할 경우 고지 시간이 규정되어 있는지(사고 사실을 인지한 순간부터 1주일 이내 등)? 정보 주체의 개인정보 관련 사고(유출, 노출, 훼손, 분실 등)가 발생될 경우 관계당국에 신고해야 하는 의무가 있는지? 신고 의무가 있다면 몇명 이상의 개인정보 사고 시 그러한 의무가 부과되는지? 신고 기간이 정해져 있는지(사고 사실을 인지한 순간부터 1주일 이내 등)?
A. 개인정보와 관련하여 사고가 발생한 경우 이를 정보주체에 통지할 법적 의무는 없음. 그러나, 모범 사례로서 이러한 사고는 정보주체에게 통지되어야 하고 사고의 영향을 줄일 수 있도록 조치들이 취해져야 함.
3-3. 데이터 침해에 대한 보상
Q. 한국은 개인정보보호법 제39조의9(손해배상의 보장)에 따라 손해배상책임의 이행을 위해 보험 또는 공제에 가입하거나 준비금을 적립하는 등 필요한 조치를 하여야 하는데 이와 유사한 규제가 있는지?
A. 별도 규정 없음.
3-4. 개인정보 유출 손해배상 보험
Q. 개인정보 규제(법령)를 위반하거나 개인정보 사고가 발생된 경우 과태료, 과징금 등은 최대 얼마까지 부과되는지?
A. 벌금의 금액이나 상한선은 규정되지 않았음.