일반 개인정보 보호법(General Data Protection Regulation, GDPR)과 브라질 Lei Geral de Proteção de Dados Pessoais(LGPD)는 개인정보의 수집, 이용, 보관, 공유를 규율하는 양대 개인정보 보호 프레임워크입니다. 두 법 모두 투명성, 목적 제한, 보안, 책임성, 개인의 권리 등의 원칙을 바탕으로 합니다. 그러나 GDPR과 LGPD는 법적 근거, 규제 구조, 정보주체의 권리, 침해 통지 요건, 국외 데이터 이전, 아동 데이터, 집행 메커니즘에서 차이가 있습니다. 유럽과 브라질에서 사업을 운영하는 조직이 컴플라이언스 업무를 불필요하게 중복하지 않으면서 두 프레임워크를 모두 충족하는 개인정보 보호 프로그램을 구축하려면 이러한 차이를 이해하는 것이 필수적입니다.
나란히 비교: GDPR 대 LGPD
| 항목 | 🇪🇺 GDPR | 🇧🇷 LGPD |
|---|---|---|
| 기본 법률 | Regulation (EU) 2016/679 | Law No. 13,709/2018 |
| 시행일 | 2018년 5월 25일 | 주요 조항은 2020년 8월부터, 행정 제재는 2021년 8월부터 시행 |
| 규제 당국 | EDPB를 통해 조율되는 EU/EEA 감독기관 | Autoridade Nacional de Proteção de Dados (ANPD) |
| 규제 대상 주체 | 컨트롤러 | 컨트롤러 |
| 프로세서 | 프로세서 | 오퍼레이터 |
| 개인 | 정보주체 | 정보주체 / Titular |
| 적법 근거 | 제6조의 6가지 근거 + 특수 범주에 대한 제9조 요건 | 제7조의 여러 법적 근거 및 제11조의 민감 개인정보 관련 특칙 |
| 정당한 이익 | 제6조 제1항 (f)호에서 명시적으로 인정 | 제7조에 따른 LGPD의 법적 근거 중 하나로 인정 |
| DPO | 정해진 경우에 한해 지정 의무 | LGPD 및 ANPD 규정(소규모 처리 주체 관련 규정 포함)에 따라 Encarregado 제도 적용 |
| 민감 정보 | 제9조의 특수 범주 | 제5조 및 제11조의 민감 개인정보 |
| 아동 개인정보 | 특별 보호조치 적용, 제8조는 동의에 기반한 일부 정보사회 서비스에 관한 규정 | 제14조에 따른 특별 보호 |
| 이동권 | 있음 | 있음 |
| 자동화된 의사결정 | 제22조에 따른 특정 권리 | 제20조에 따라 자동화된 처리에만 근거한 결정의 재검토를 요청할 권리 |
| 국외 이전 | 적정성 결정, SCCs, BCRs 및 기타 제5장 메커니즘 | ANPD 규정에 따른 적정성 결정, 계약상 메커니즘 및 기타 제33조 메커니즘 |
| 침해 통지 | 요건에 해당하면 원칙적으로 72시간 이내 감독기관에 통지 | Resolution No. 15/2024에 따라 요건에 해당하는 사고는 원칙적으로 3영업일 이내 ANPD와 피해 정보주체에게 통지 |
| 행정 과징금 상한 | 특정 위반 행위에 대해 최대 2,000만 유로 또는 전 세계 연간 매출액의 4% | 직전 회계연도 브라질 내 매출액의 최대 2%, 위반 행위 1건당 5,000만 헤알 한도 |
| 현지 대리인 | 제27조에 따라 일부 EU 역외 조직은 EU 대리인을 지정해야 할 수 있음 | GDPR 제27조에 직접 대응하는 제도 없음 |
GDPR이란 무엇입니까?
일반 개인정보 보호법(GDPR)은 EU의 포괄적인 개인정보 보호 프레임워크입니다.
컨트롤러와 프로세서의 개인정보 처리를 규율하며, 다음 사항에 관한 요건을 정하고 있습니다.
- 적법성 및 공정성
- 투명성
- 목적 제한
- 데이터 최소화
- 정확성
- 보관 기간 제한
- 보안
- 책임성
- 개인의 권리
- 국외 데이터 이전
GDPR은 영토적 적용 범위 요건이 충족되면 EU 역외 조직에도 적용될 수 있습니다.
LGPD란 무엇입니까?
Law No. 13,709/2018로 제정된 브라질의 Lei Geral de Proteção de Dados Pessoais(LGPD)는 공공 및 민간 조직의 개인정보 처리를 규율합니다.
LGPD는 다음 주체에게 의무를 부과합니다.
- 컨트롤러
- 오퍼레이터
- 데이터 보호 책임자 / Encarregado
- 개인정보를 처리하는 조직
- 민감 개인정보를 처리하는 조직
Autoridade Nacional de Proteção de Dados(ANPD)는 브라질의 국가 데이터 보호 당국입니다. ANPD는 Encarregado, 보안 사고 통지, 국외 데이터 이전, 제재, 소규모 처리 주체 관련 규칙 등의 분야에서 규정을 제정해 왔습니다.
GDPR vs LGPD: 주요 차이점
1. 영토적 적용 범위
GDPR
GDPR은 제3조의 요건이 충족되면 EU 역내외에 설립된 조직 모두에 적용될 수 있습니다.
여기에는 다음에 해당하는 일부 EU 역외 조직이 포함될 수 있습니다.
- EU 내 개인에게 재화 또는 서비스를 제공하는 조직
- EU 내 개인의 행동을 모니터링하는 조직
- EU 내 사업장을 통해 사업을 운영하는 조직
LGPD
LGPD는 다음의 경우에 적용될 수 있습니다.
- 브라질에서 처리가 이루어지는 경우
- 브라질에 소재한 개인에게 재화 또는 서비스를 제안하거나 제공할 목적으로 처리하는 경우
- 개인정보가 브라질에서 수집된 경우
국외 이전에 브라질 개인정보 보호법이 어떻게 적용되는지는 ANPD의 국외 이전 프레임워크에서도 다루고 있습니다.
주요 차이점: GDPR과 LGPD 모두 각자의 영토 밖에 있는 조직에 적용될 수 있지만, 법률상 판단 기준이 동일하지는 않습니다.
2. 컨트롤러 vs 컨트롤러
GDPR
GDPR은 개인정보 처리의 목적과 수단을 결정하는 조직을 컨트롤러라고 부릅니다.
GDPR의 용어:
- 프로세서
LGPD
LGPD도 이와 유사하게 컨트롤러(Controlador)를 개인정보 처리에 관한 결정을 책임지는 주체로 정의합니다.
LGPD의 용어:
- 오퍼레이터
따라서 용어 자체는 비교적 가깝지만 권리, 의무 및 규제 프레임워크는 서로 다릅니다. 두 법의 프로세서 개념은 모두 대체로 다른 조직을 대신하여 개인정보를 처리하는 주체를 가리키지만, 계약상·법률상 책임은 적용 법률에 따라 평가해야 합니다.
3. 처리의 법적 근거
두 법의 유사점과 차이점이 뚜렷하게 드러나는 중요한 영역입니다.
GDPR
GDPR 제6조는 6가지 주요 법적 근거를 규정합니다.
- 동의
- 계약
- 법적 의무
- 중대한 이익
- 공적 업무
- 정당한 이익
특수 범주의 개인정보에는 제9조에 따른 추가 요건이 적용됩니다.
LGPD
LGPD 제7조는 일반 개인정보에 대해 다음을 포함한 여러 법적 근거를 규정합니다.
- 동의
- 법률 또는 규제상 의무의 준수
- 공공 행정
- 연구
- 계약의 이행
- 권리의 행사
- 생명의 보호
- 건강의 보호
- 정당한 이익
- 신용 보호
민감 개인정보에는 제11조에 따른 별도의 법적 근거가 적용됩니다.
주요 차이점: 두 프레임워크 모두 정당한 이익을 인정하지만, 법적 구조와 세부 요건은 서로 다릅니다.
4. 동의
GDPR
동의를 법적 근거로 삼는 경우 동의는 다음 요건을 갖추어야 합니다.
- 자유로운 의사에 따를 것
- 구체적일 것
- 충분한 정보에 근거할 것
- 명확할 것
조직은 동의를 받았음을 입증할 수 있어야 하며, 동의를 철회할 수 있는 실효성 있는 수단을 제공해야 합니다.
LGPD
LGPD 역시 동의에 큰 비중을 둡니다.
동의는 법률이 정한 조건에 따라 이루어져야 하며, 정보주체는 이를 철회할 수 있습니다.
조직은 다음 사항을 보여 주는 증빙을 보관해야 합니다.
- 안내한 내용
- 개인이 동의한 내용
- 동의를 받은 시점
- 처리 목적
- 동의 철회 방법
실무 포인트: 하나의 동의 관리 플랫폼으로 GDPR과 LGPD를 모두 지원할 수 있지만, 법적 근거와 고지 요건은 각각 따로 평가해야 합니다.
5. 정당한 이익
이 부분에서 두 프레임워크는 많은 비교 페이지가 설명하는 것보다 더 유사합니다.
GDPR
제6조 제1항 (f)호의 정당한 이익은 정보주체의 이익이나 기본적 권리와 자유가 컨트롤러의 정당한 이익보다 우선하지 않는 경우 적법 근거가 될 수 있습니다.
조직은 해당 근거를 적절히 평가하고 문서화해야 합니다.
LGPD
정당한 이익은 제7조에서도 법적 근거로 명시적으로 인정됩니다.
컨트롤러는 기본적 권리와 자유를 존중하고 LGPD가 요구하는 보호조치를 적용하면서 컨트롤러 또는 제3자의 정당한 이익을 고려해야 합니다.
주요 차이점: 두 프레임워크 모두 정당한 이익을 인정하지만, 법적 판단 기준, 문서화 요구 수준 및 규제 당국의 해석은 동일하지 않습니다.
6. 정보주체의 권리
GDPR
GDPR상 권리에는 다음이 포함될 수 있습니다.
- 열람권
- 정정권
- 삭제권
- 처리 제한권
- 개인정보 이동권
- 반대권
- 동의 철회권
- 자동화된 의사결정 및 프로파일링 관련 권리
LGPD
LGPD는 다음과 같은 권리를 규정합니다.
- 처리 사실의 확인
- 개인정보 열람
- 정정
- 불필요하거나 과도한 데이터의 익명화, 차단 또는 삭제
- 개인정보 이동
- 동의에 근거하여 처리된 개인정보의 삭제(법률상 예외 있음)
- 데이터를 공유받은 공공 및 민간 기관에 관한 정보
- 동의를 거부할 수 있다는 사실에 관한 정보
- 동의 철회
- 일부 자동화된 결정의 재검토
주요 차이점: 권리는 상당 부분 겹치지만, 법문, 범위 및 이행 방식은 서로 다릅니다.
7. 자동화된 의사결정
GDPR
제22조는 법적 효과 또는 이와 유사하게 중대한 효과를 발생시키는, 자동화된 처리에만 근거한 결정에 관하여 특별한 보호를 규정합니다.
개인은 GDPR이 정한 조건과 예외의 범위 안에서 이러한 결정에 관한 권리를 가질 수 있습니다.
LGPD
제20조는 개인의 이익에 영향을 미치는, 자동화된 처리에만 근거한 결정의 재검토를 요청할 권리를 개인에게 부여합니다. 여기에는 개인, 직업, 소비자 및 신용 프로필을 규정하기 위한 결정이 포함됩니다.
따라서 브라질과 EU에서 사업을 운영하면서 AI 또는 자동화된 의사결정 시스템을 사용하는 조직은 두 프레임워크를 모두 검토해야 합니다.
8. 민감 개인정보
GDPR
GDPR은 다음을 포함한 특수 범주의 개인정보를 규정합니다.
- 인종 또는 민족
- 정치적 견해
- 종교적 또는 철학적 신념
- 노동조합 가입 여부
- 유전 정보
- 식별 목적으로 사용되는 생체 정보
- 건강 정보
- 성생활 또는 성적 지향
제9조는 이러한 범주의 처리에 대해 강화된 요건을 정하고 있습니다.
LGPD
LGPD는 민감 개인정보를 별도로 정의하며, 여기에는 다음에 관한 정보가 포함됩니다.
- 인종 또는 민족
- 종교적 신념
- 정치적 견해
- 노동조합 또는 종교적·철학적·정치적 단체 가입 여부
- 건강
- 성생활
- 유전 정보
- 생체 정보
민감 정보의 처리에는 LGPD 제11조가 정한 특정 법적 근거와 보호조치가 적용됩니다.
9. 아동 개인정보
GDPR
GDPR은 아동을 위한 특별한 보호를 규정합니다.
제8조는 동의에 기반한 일부 정보사회 서비스에 대해 기본 연령을 16세로 정하고 있으나, EU 회원국은 이를 13세 이상의 범위에서 낮출 수 있습니다.
GDPR은 또한 조직이 아동 특유의 취약성과 이익을 고려하도록 요구합니다.
LGPD
LGPD 제14조는 아동 및 청소년의 개인정보 처리에 관한 특별 요건을 정하고 있습니다.
처리는 아동과 청소년의 최선의 이익에 부합하도록 이루어져야 합니다.
아동의 개인정보에 대해 LGPD는 법정 프레임워크에 따라 부모 또는 법정 후견인이 관여하는 특별한 동의 요건을 규정합니다.
중요: LGPD를 “12세 미만” 아동에 대해서만 부모의 동의를 요구하는 법으로 단순화해서는 안 됩니다. 이 법은 아동과 청소년을 모두 보호하며, 구체적인 요건은 처리 맥락에 따라 달라집니다.
10. 데이터 보호 책임자 / Encarregado
GDPR
데이터 보호 책임자(DPO)는 GDPR 제37조가 정한 경우에만 의무적으로 지정해야 합니다. 여기에는 다음과 같은 일부 활동이 포함됩니다.
- 대규모 모니터링 활동
- 특수 범주 데이터의 대규모 처리
- 공공기관의 처리 활동
LGPD
LGPD는 Encarregado pelo tratamento de dados pessoais라는 역할을 규정합니다.
Encarregado는 다음 주체 간의 중요한 소통 창구 역할을 합니다.
- 정보주체
- 조직
- ANPD
ANPD Resolution No. 18/2024는 Encarregado의 지정, 책임 및 운영에 관한 추가 규칙을 정하고 있습니다.
소규모 처리 주체 관련 규칙은 별도의 간소화 및 면제 조항도 두고 있으므로, LGPD의 적용을 받는 모든 컨트롤러에게 동일한 DPO 요건이 적용된다고 말하는 것은 정확하지 않습니다.
11. 현지 대리인
GDPR
일부 EU 역외 조직은 제27조에 따라 EU 대리인을 지정해야 할 수 있습니다.
대리인은 개인과 감독기관을 위한 연락 창구 역할을 할 수 있습니다.
LGPD
LGPD에는 GDPR 제27조에 직접 대응하는 제도가 없습니다.
그렇더라도 국제 조직은 적절한 브라질 개인정보 거버넌스와 규제 당국 연락 체계를 갖추어야 할 수 있으며, 해당하는 경우 Encarregado도 필요할 수 있습니다.
중요: 상업적으로 제공되는 “브라질 대리인” 서비스를 GDPR 제27조 대리인에 상응하는 법정 제도인 것처럼 설명해서는 안 됩니다.
12. 침해 통지
GDPR
제33조에 따라 컨트롤러는 요건에 해당하는 개인정보 침해를 인지한 후 부당한 지체 없이, 가능한 경우 72시간 이내에 관할 감독기관에 통지해야 하는 것이 원칙입니다.
침해로 인해 개인에게 높은 위험이 초래될 가능성이 있는 경우 피해 정보주체에게도 통지해야 할 수 있습니다.
LGPD
ANPD Resolution No. 15/2024는 요건에 해당하는 보안 사고의 통지에 관한 규칙을 정하고 있습니다.
보안 사고가 정보주체에게 유의미한 위험이나 피해를 초래할 수 있는 경우, 컨트롤러는 관련 규칙과 예외에 따라 3영업일 이내에 ANPD와 피해 정보주체에게 통지해야 합니다.
소규모 처리 주체는 ANPD의 소규모 처리 주체 프레임워크에 따라 차등화된 기한을 적용받을 수 있습니다.
주요 차이점: GDPR은 감독기관에 대한 72시간 통지 체계를 사용하는 반면, LGPD는 요건에 해당하는 사고에 대해 ANPD Resolution No. 15/2024에 따른 3영업일 체계를 사용합니다.
13. 국외 데이터 이전
LGPD에서 크게 발전해 온 영역입니다.
GDPR
GDPR 제5장은 다음과 같은 메커니즘을 규정합니다.
- 적정성 결정
- 표준계약조항(SCCs)
- 구속력 있는 기업 규칙(BCRs)
- 특정 상황에 대한 예외
이전 메커니즘에 따라 보완적 보호조치와 이전 위험 평가가 추가로 필요할 수도 있습니다.
LGPD
ANPD Resolution No. 19/2024는 국외 데이터 이전에 관한 브라질의 프레임워크를 정하고 있습니다. 메커니즘에는 다음이 포함될 수 있습니다.
- ANPD의 적정성 결정
- 표준계약조항
- 특정 계약조항
- 글로벌 기업 규칙
- LGPD 제33조가 정한 기타 메커니즘
이 규정은 국외 이전의 목적, 보호조치 및 문서화에 관한 요건도 정하고 있습니다.
주요 차이점: 이제 LGPD는 일반적인 계약 방식에만 의존하지 않고, ANPD가 운영하는 공식적인 국외 이전 프레임워크를 갖추고 있습니다.
14. 개인정보 이동권
GDPR
GDPR 제20조는 특정한 경우에 개인정보 이동권을 인정합니다.
이는 일반적으로 일정한 개인정보를 체계적이고 통용되며 기계 판독이 가능한 형식으로 제공받고, 기술적으로 가능한 경우 이를 다른 컨트롤러에게 전송하도록 하는 것을 의미합니다.
LGPD
LGPD 제18조 역시 관련 규제 프레임워크와 요건에 따라 개인정보 이동권을 인정합니다.
바로잡을 점: LGPD에 이동권이 없다고 말하는 것은 정확하지 않습니다.
15. 익명화
GDPR
진정으로 익명 처리되어 식별 가능한 개인과 합리적으로 연결될 수 없는 정보는 GDPR의 개인정보 정의에 해당하지 않습니다.
LGPD
LGPD 역시 익명화된 데이터를 개인정보와 구별하면서, 익명화에 관한 자체 기준과 취급 방식을 정하고 있습니다.
따라서 조직은 익명화 방법론을 문서화하고, 데이터가 특정 개인과 합리적으로 다시 연결될 수 있는지 평가해야 합니다.
16. 데이터 보호 영향평가
GDPR
데이터 보호 영향평가(DPIA)는 처리가 개인의 권리와 자유에 높은 위험을 초래할 가능성이 있는 경우에 요구됩니다. 대표적인 예는 다음과 같습니다.
- 대규모 모니터링
- 민감 정보의 대규모 처리
- 일부 AI 또는 프로파일링 활동
- 개인에 대한 체계적 평가
LGPD
LGPD는 Relatório de Impacto à Proteção de Dados Pessoais(RIPD)를 규정합니다.
ANPD는 관련 규제 프레임워크가 정한 경우 컨트롤러에게 RIPD를 작성하여 제출하도록 요구할 수 있습니다.
따라서 두 관할권에서 모두 사업을 운영하는 조직은 하나의 DPIA/RIPD가 두 제도를 자동으로 충족한다고 가정해서는 안 됩니다.
17. 제재
GDPR
특정 중대 위반 행위의 경우 GDPR 행정 과징금은 2,000만 유로 또는 직전 회계연도 전 세계 연간 매출액의 4% 중 더 높은 금액에 이를 수 있습니다.
LGPD
LGPD의 행정 제재에는 다음이 포함될 수 있습니다.
- 경고
- 직전 회계연도 브라질 내 매출액의 최대 2%에 해당하는 과징금
- 위반 행위 1건당 5,000만 헤알을 상한으로 하는 과징금
- 법정 한도 내의 일일 과징금
- 위반 사실의 공표
- 개인정보 차단
- 개인정보 삭제
- 데이터베이스의 부분 정지
- 처리 활동 정지
- 처리 관련 활동의 부분적 또는 전면적 금지
적용되는 제재는 위반의 성격과 정황에 따라 달라집니다.
주요 차이점: GDPR의 대표적인 과징금은 전 세계 연간 매출액을 기준으로 하는 반면, LGPD의 주된 행정 과징금은 브라질 내 매출액에 연동되며 법정 금액 상한이 적용됩니다.
GDPR vs LGPD: 어느 쪽이 더 엄격합니까?
어느 한 프레임워크가 모든 면에서 더 엄격하다고 단정하기는 어렵습니다.
GDPR은 특히 다음 영역에서 상세하게 규정합니다.
- 6가지 법적 근거
- 특수 범주 데이터
- 개인정보 이동권
- 자동화된 의사결정
- 국외 이전
- 컨트롤러/프로세서의 책임성
- EU 대리인 요건
LGPD는 다음 영역에서 엄격한 요건을 두고 있습니다.
- 정보주체의 권리
- 동의
- 민감 개인정보
- 아동 개인정보
- Encarregado 거버넌스
- 국외 이전
- 보안
- 책임성
따라서 국제적으로 사업을 하는 기업에 맞는 접근 방식은 공통 통제 항목을 먼저 파악한 다음 관할권별 요건을 구현하는 것입니다.
GDPR 컴플라이언스가 LGPD 컴플라이언스에 도움이 됩니까?
예.
이미 구축된 GDPR 컴플라이언스 프로그램은 LGPD 컴플라이언스의 탄탄한 기반이 될 수 있습니다. 두 프레임워크 모두 다음 사항에 관한 요건을 두고 있기 때문입니다.
- 데이터 인벤토리
- 개인정보 처리 고지
- 동의
- 개인의 권리
- 보안
- 벤더 관리
- 국외 이전
- 사고 대응
- 책임성
다만 GDPR을 준수한다고 해서 LGPD 준수가 자동으로 보장되는 것은 아닙니다. 특히 다음 사항과 관련하여 브라질 고유의 통제 항목을 평가해야 합니다.
- LGPD의 법적 근거
- Encarregado 요건
- ANPD의 규제 요건
- 브라질 정보주체의 권리
- 사고 통지
- 국외 이전 메커니즘
- LGPD 제재
- 브라질용 개인정보 처리 고지 및 거버넌스
GDPR·LGPD 통합 컴플라이언스 프로그램 구축
두 관할권에서 모두 사업을 운영하는 조직은 공통의 개인정보 관리 프레임워크를 수립하여 중복 업무를 줄일 수 있습니다.
1. 데이터 매핑
매핑 대상:
- 개인정보
- 처리 목적
- 정보주체
- 컨트롤러
- 프로세서/오퍼레이터
- 수령인
- 저장 위치
- 보관 기간
- 국외 이전
2. 법적 근거 관리
다음을 포괄하는 관할권별 법적 근거 매트릭스를 작성하세요.
- GDPR 제6조
- GDPR 제9조
- LGPD 제7조
- LGPD 제11조
3. 개인정보 권리 관리
다음을 아우르는 통합 워크플로를 마련하세요.
- GDPR 정보주체 요청
- LGPD 정보주체 요청
- 본인 확인
- 요청 추적
- 응답 기한
- 증빙 및 감사 추적
4. 동의 관리
관리 대상:
- 동의 수집
- 동의 기록
- 철회
- 쿠키 설정
- 마케팅 수신 설정
- 아동의 동의(해당하는 경우)
5. 벤더 관리
평가 대상:
- GDPR 프로세서
- LGPD 오퍼레이터
- 하위 프로세서
- 클라우드 제공업체
- 분석 서비스 제공업체
- 광고 플랫폼
- 해외 벤더
6. 침해 대응
관할권별 에스컬레이션 경로를 갖춘 통합 사고 대응 프로세스를 유지하세요.
워크플로에서 다음 사항을 식별해야 합니다.
- 적용 관할권
- 위험 수준
- 통지 기준
- 규제상 기한
- 개인에 대한 통지 요건
- 증빙 요건
7. 국외 이전 관리
다음 사항을 포함하는 이전 인벤토리를 유지하세요.
- 데이터 이전자
- 데이터 수령자
- 이전 대상국
- 이전 메커니즘
- 계약상 보호조치
- 보안 조치
- 이전 평가
자주 묻는 질문
LGPD는 GDPR의 브라질판입니까?
정확히 그렇지는 않습니다. LGPD는 글로벌 개인정보 보호 원칙의 영향을 받았고 GDPR과 많은 개념을 공유하지만, 고유한 법적 근거, 권리, 규제 프레임워크 및 집행 체계를 갖춘 독립적인 브라질 법률입니다.
GDPR을 준수하면 자동으로 LGPD도 준수하게 됩니까?
아닙니다. GDPR 컴플라이언스는 탄탄한 기반이 되지만, 조직은 LGPD 고유의 요건과 ANPD 규정을 별도로 평가해야 합니다.
LGPD에도 GDPR처럼 6가지 법적 근거가 있습니까?
아닙니다. LGPD는 제7조에서 더 폭넓은 법적 근거를 규정하며, 민감 개인정보에 대해서는 제11조에 별도의 규칙을 두고 있습니다.
LGPD는 정당한 이익을 인정합니까?
예. 정당한 이익은 LGPD 제7조에 따른 법적 근거 중 하나입니다. 다만 그 요건이 GDPR 제6조 제1항 (f)호와 동일하지는 않습니다.
LGPD는 DPO 지정을 요구합니까?
LGPD는 Encarregado 역할을 규정하며, 세부 요건은 ANPD Resolution No. 18/2024에서 정하고 있습니다. 구체적인 의무는 조직의 상황과 소규모 처리 주체 관련 규칙을 포함한 ANPD 규정에 따라 달라질 수 있습니다.
LGPD에도 72시간 침해 통지 규칙이 있습니까?
아닙니다. LGPD의 보안 사고 통지 체계는 GDPR의 72시간 규칙과 달리, 요건에 해당하는 사고에 대해 ANPD Resolution No. 15/2024에 따른 3영업일 기한을 적용합니다.
LGPD는 브라질 대리인 지정을 요구합니까?
GDPR 제27조의 EU 대리인 요건에 직접 대응하는 제도는 없습니다. 그 대신 조직은 Encarregado, 거버넌스 및 규제 당국 연락 체계 관련 요건을 평가해야 합니다.
LGPD에 개인정보 이동권이 있습니까?
예. LGPD 제18조는 관련 규제 프레임워크에 따라 개인정보 이동권을 정보주체의 권리 중 하나로 규정합니다.
LGPD는 국외 데이터 이전을 규제합니까?
예. ANPD Resolution No. 19/2024는 적정성 결정과 계약상 메커니즘을 포함하여 국외 이전에 관한 상세한 규제 프레임워크를 정하고 있습니다.
어떤 기업이 GDPR 및 LGPD 컴플라이언스 평가를 고려해야 합니까?
통합 평가는 특히 SaaS 기업, 기술 기업, 전자상거래 기업, 글로벌 유통업체, AI 기업, 광고·마케팅 플랫폼, 의료 기관, 핀테크 기업, 클라우드 서비스 제공업체, 그리고 EU 및 브라질 고객 데이터를 처리하는 조직에 적합합니다.
RegulatoryBridge와 함께하는 GDPR·LGPD 컴플라이언스
GDPR과 LGPD를 완전히 분리된 프로세스로 관리하면 불필요한 중복이 생기고 개인정보 통제의 일관성이 떨어질 수 있습니다.
RegulatoryBridge는 조직이 유럽, 브라질 및 그 밖의 글로벌 관할권 전반에서 체계적으로 조율된 개인정보 컴플라이언스 프로그램을 구축하도록 지원합니다.
지원 범위는 다음과 같습니다.
- GDPR 컴플라이언스 평가
- LGPD 컴플라이언스 평가
- 데이터 매핑 및 인벤토리
- 개인정보 처리 고지 검토
- 법적 근거 평가
- 동의 관리
- 정보주체 권리 워크플로
- Encarregado 지원
- 벤더 및 프로세서/오퍼레이터 평가
- 국외 이전 평가
- DPIA 및 RIPD 지원
- 보안 및 침해 대응 계획
- 규제 모니터링
- 국경 간 개인정보 대리 서비스
- 상시 개인정보 컴플라이언스 관리
하나의 프로그램으로 GDPR와 LGPD를 모두 커버합니다.
통제 항목을 한 번 매핑하면 두 번 준수합니다. RegulatoryBridge는 단일 DSAR 파이프라인, 단일 DPO, 단일 침해 대응 매뉴얼을 제공하여 - 두 프레임워크를 모두 커버합니다.