2024년 8월 14일, 브라질은 개인정보보호법(LGPD) 시행 6주년을 기념합니다. 이 법은 브라질의 개인정보 보호에 있어 중요한 진전을 가져왔습니다. 2018년 8월 14일 승인된 LGPD는 2020년 9월부터 시행되었으며, 위반 시 제재 조치는 2021년 8월부터 적용됩니다.
브라질 일반 데이터 보호법(LGPD)은 개인 정보를 이름, CPF(브라질 개인 납세자 등록 번호), RG(브라질 신분증 번호), 이메일 주소 등과 같이 자연인 또는 법인을 식별하거나 식별 가능하게 하는 모든 정보로 정의합니다. LGPD의 주요 목적은 이러한 데이터가 안전하고 투명하게 사용되도록 보장하고, 오용을 방지하며, 시민의 법적 보호와 안전을 확보하는 것입니다.
2021년 5월, 브라질 개인정보보호법(LGPD) 제정 2년 후, 브라질 연방대법원은 개인정보 보호를 기본권으로 인정했습니다. 이러한 인정은 2022년 2월 헌법 개정안 제115/22호를 통해 연방 헌법에 포함되었습니다. 사생활 보호, 통신 비밀 유지에 대한 권리는 이미 1988년 연방 헌법에 명시되어 있었지만, 개인정보 보호는 비교적 최근에야 헌법에 포함되었습니다. 브라질 인터넷 권리장전(Marco Civil da Internet)과 정보 접근법(Lei de Acesso à Informação)과 같은 법률은 LGPD 제정에 중요한 선구적인 역할을 했습니다.
법이 제정된 후 기업들은 새로운 법규에 맞춰 구체적인 조치를 취해야 했습니다. 여기에는 개인정보 보호 정책 및 절차 수립, 직원 교육, 정보 보안 기술 도입 등이 포함되었습니다. LGPD는 법규 미준수 시 벌금 및 제재 조치를 규정하고 있어, 이론적으로는 기업들이 법을 준수하도록 장려하는 효과를 가져왔습니다.
하지만 브라질 개인정보보호법(LGPD)은 아직 일부 지역에서 완전히 준수되지 않고 있습니다. LGPD 브라질 포털에서 실시한 조사에 따르면, 법의 의무성에도 불구하고 브라질 기업 중 단 16%만이 법을 준수하고 있는 것으로 나타났습니다. 이는 법에 대한 인식이 어느 정도 존재하지만 여전히 대도시 지역에 집중되어 있음을 보여주며, 이러한 인식을 다른 지역으로 확산시킬 필요가 있음을 시사합니다.
FGV 소속 변호사이자 디지털법 전문가인 루카스 말도나도 D. 라티니는 브라질 개인정보보호법(LGPD)에 적응하는 데 있어 가장 큰 어려움 중 하나는 법에 대한 이해 부족과 기업 운영에 미치는 영향에 대한 인식이 부족하다는 점이라고 지적합니다. 많은 기업들이 여전히 해당 법률이 자신들의 사업 분야에 적용된다는 사실조차 모르고 있습니다. 라티니 변호사는 이 법이 금융, 교육, 소매업 등 다양한 분야의 기업에 적용되며, 모든 기업이 이를 준수해야 하며 그렇지 않을 경우 제재를 받을 수 있다고 강조합니다.
그에 따르면, 데이터 보호 관련 조항들이 여러 법률에 흩어져 있어 이러한 권리의 해석과 적용이 어려웠다고 합니다. "개인정보보호법(LGPD)에 의해 추진된 통합은 브라질 규제 체계에 명확성과 일관성을 가져왔습니다. 또한, 법률의 감독과 집행을 보장하기 위해 국가 데이터 보호 기관(ANPD)이 설립되었습니다."라고 그는 말합니다. 현재 ANPD는 데이터 처리 주체들이 자신들의 의무를 이해하고 준수할 수 있도록 돕는 결의안과 지침을 발표하는 역할을 담당하고 있습니다.
점점 더 기술이 발전하는 미래에서 우리는 무엇을 기대할 수 있을까요?
규제 체계는 시행 이후 상당한 발전을 이루었지만, 국가 데이터 보호 당국(ANPD)이 그 적용의 실효성을 유지하기 위해 해결해야 할 몇 가지 문제가 여전히 남아 있습니다.
주요 논의 주제 중 하나는 국제 데이터 전송 규제입니다. 2022년 브라질 개인정보보호청(ANPD)은 브라질 외 국가로 개인정보를 전송하는 방법에 대한 가이드라인 마련을 위해 공개 의견 수렴을 시작했습니다. 브라질 일반 개인정보보호법(LGPD)은 이러한 전송이 다른 국가에서도 적절한 데이터 보호를 보장하는 방식으로 이루어져야 한다고 규정하고 있습니다. 이를 위해 ANPD는 브라질 법률과 동등한 수준의 보호 체계를 갖춘 것으로 간주되는 국가들을 포함하여 명확한 규칙을 수립해야 합니다.
또 다른 중요한 점은 인공지능(AI) 규제입니다. 현재 브라질 법률은 데이터 보호와 관련하여 AI 사용을 구체적으로 다루고 있지 않습니다. 브라질 데이터 보호청(ANPD)은 AI에 대한 법적 틀을 마련하는 것을 목표로 하는 법안 제2,338/2023호에 대한 논의에 참여하고 있으며, 이 법안은 현재 연방 상원에서 심의 중입니다.
변호사는 기업들이 개인 데이터를 보호하기 위해 필요한 기술적, 관리적 보안 조치를 수립하는 것이 가장 중요한 점 중 하나라고 강조합니다. 이러한 지침에는 최소 보안 표준, 암호화 사용, 방화벽 및 접근 정책이 포함될 수 있습니다. 이러한 조치를 각각 시행함으로써 데이터 유출과 같은 보안 사고를 예방하고 무단 접근으로부터 정보를 보호할 수 있습니다.
