EU 일반 개인정보 보호법(GDPR)과 싱가포르 Personal Data Protection Act 2012(PDPA)는 조직이 개인정보를 수집, 이용, 제공, 보호 및 보관하는 방식을 규율하는 포괄적인 개인정보 보호 프레임워크입니다. 두 제도는 책임성, 목적 제한, 보안, 투명성, 개인의 권리 등의 원칙을 공유하지만 컴플라이언스 구조는 서로 다릅니다. GDPR은 적법 근거와 권리를 중심으로 한 상세한 프레임워크를 사용하는 반면, 싱가포르 PDPA는 동의, 간주 동의, 법정 예외 및 조직 차원의 책임성 의무를 결합합니다. 유럽과 싱가포르에서 모두 사업을 운영하는 조직에 GDPR 컴플라이언스는 탄탄한 기반이 될 수 있지만, 이를 곧 PDPA 준수로 간주해서는 안 됩니다.
나란히 비교: GDPR 대 PDPA
| 항목 | 🇪🇺 GDPR | 🇸🇬 PDPA |
|---|---|---|
| 기본 법령 | Regulation (EU) 2016/679 | Personal Data Protection Act 2012 |
| 주요 규제 당국 | EU 회원국 감독기관 + EDPB | Personal Data Protection Commission(PDPC) |
| 규제 모델 | 권리 기반 및 적법 근거 중심 | 책임성 및 의무 기반 |
| 적법한 처리 | 제6조의 6가지 적법 근거 | 동의, 간주 동의 및 특정 예외 |
| DPO | 특정한 경우에 지정 의무 | 모든 조직이 1명 이상의 DPO를 지정해야 함 |
| 열람권 | 있음 | 있음 |
| 정정 | 있음 | 있음 |
| 삭제 | 제17조에 따른 폭넓은 독립적 권리(예외 있음) | GDPR에 직접 대응하는 독립적 삭제권 없음 |
| 개인정보 이동권 | 제20조의 권리 | 법률에 의무가 규정되어 있으나 아직 미시행 |
| 침해 통지 | 통지가 요구되는 경우 72시간 | 통지 대상 침해를 평가하고 요건에 따라 통지해야 함 |
| 국외 이전 | 적정성 결정, SCCs, BCRs 및 기타 제5장 메커니즘 | 소정의 보호조치를 통한 동등한 보호 수준 요건 |
| 다이렉트 마케팅 | GDPR + 관련 ePrivacy 규정 | PDPA + Do Not Call Registry |
| DPO 연락처 공개 | DPO 지정 대상인 경우 필수 | 업무용 연락처 정보 공개 필수 |
| 민감 정보 | 제9조의 특수 범주 | 별도의 포괄적인 민감 정보 범주 없음 |
| 아동 개인정보 | 제8조를 포함한 특별 규칙 | 아동 개인정보에 관한 PDPC의 별도 지침 |
| 행정 과징금 상한 | 2,000만 유로 또는 전 세계 연간 매출액의 4% | 요건에 해당하는 대규모 조직의 경우 최대 100만 싱가포르 달러 또는 싱가포르 내 연간 매출액의 10% 중 더 높은 금액 |
| 인증 | GDPR 전반에 적용되는 의무 인증 제도 없음 | 자율 인증인 Data Protection Trustmark 이용 가능 |
GDPR이란 무엇입니까?
일반 개인정보 보호법(GDPR)은 개인정보 보호를 위한 EU의 핵심 프레임워크입니다.
2018년 5월 25일부터 적용되고 있으며, 적용 범위 내에서 개인정보를 처리하는 조직이 지켜야 할 요건을 정하고 있습니다.
GDPR이 다루는 사항:
- 적법한 처리
- 투명성 및 개인정보 처리 고지
- 정보주체의 권리
- 설계 및 기본 설정에 의한 데이터 보호
- 처리 활동 기록
- 데이터 보호 영향평가
- 컨트롤러와 프로세서의 책임
- 개인정보 침해 통지
- 데이터 보호 책임자
- 국외 이전
- 감독기관과의 협력
GDPR은 영토적 적용 범위 요건이 충족되면 EU 역외 조직에도 적용될 수 있습니다.
싱가포르 PDPA란 무엇입니까?
싱가포르 Personal Data Protection Act 2012는 조직의 개인정보 수집, 이용, 제공 및 보호를 규율하는 프레임워크를 정하고 있습니다.
Personal Data Protection Commission(PDPC)이 PDPA를 운영하고 집행합니다.
PDPA의 프레임워크에는 다음 사항에 관한 의무가 포함됩니다.
- 책임성
- 고지
- 동의
- 목적 제한
- 정확성
- 보호
- 보관 제한
- 이전 제한
- 열람 및 정정
- 개인정보 침해 통지
- 개인정보 이동(관련 조항 시행 시)
PDPA는 일부 마케팅 커뮤니케이션에 적용되는 싱가포르의 Do Not Call Registry(수신 거부 등록) 제도와도 함께 운영됩니다.
GDPR vs PDPA: 서로 다른 컴플라이언스 철학
가장 큰 차이점 중 하나는 두 법이 컴플라이언스를 구조화하는 방식입니다.
GDPR
GDPR은 조직이 제6조에 따라 처리에 적용할 적법 근거를 특정하도록 요구합니다.
적법 근거는 다음과 같습니다.
- 동의
- 계약
- 법적 의무
- 중대한 이익
- 공적 업무
- 정당한 이익
특수 범주의 개인정보를 처리할 때는 추가 요건이 적용됩니다.
싱가포르 PDPA
PDPA는 조직의 책임성, 그리고 개인정보를 수집·이용·제공하는 목적의 적절성을 크게 강조합니다.
동의는 여전히 중요한 메커니즘이지만, 싱가포르의 프레임워크는 다음도 함께 규정합니다.
- 간주 동의
- 계약상 필요에 따른 간주 동의
- 고지에 의한 간주 동의
- 정당한 이익
- 사업 개선 및 기타 법정 예외
- 기타 규정된 예외
따라서 조직은 GDPR 제6조와 싱가포르 PDPA를 일대일로 대응시키려 해서는 안 됩니다.
GDPR vs PDPA: 책임성과 거버넌스
두 프레임워크 모두 조직이 개인정보 거버넌스를 운영 전반에 내재화할 것을 요구합니다.
GDPR
조직과 처리 활동에 따라 GDPR은 다음을 요구할 수 있습니다.
- 데이터 보호 책임자
- 처리 활동 기록
- DPIA
- 설계에 의한 개인정보 보호
- 프로세서 계약
- 개인정보 침해 대응 절차
- 정보주체 요청 처리 절차
- 이전 영향평가 및 보호조치
싱가포르 PDPA
싱가포르는 조직이 적절한 정책, 관행 및 거버넌스를 통해 책임성을 입증하도록 요구합니다.
조직은 1명 이상의 데이터 보호 책임자(DPO)를 지정하고 DPO의 업무용 연락처 정보를 일반에 공개해야 합니다. DPO 직무는 전담 직책으로 둘 수도 있고 기존 직책과 겸임하게 할 수도 있습니다.
이는 특정한 경우에만 DPO 지정이 의무인 GDPR과 구별되는 중요한 차이점입니다.
개인의 권리: GDPR vs PDPA
두 프레임워크 모두 개인에게 자신의 개인정보에 관한 권리를 부여하지만, GDPR의 권리 체계가 더 폭넓고 상세합니다.
GDPR상 권리
GDPR상 권리에는 다음이 포함됩니다.
- 열람권
- 정정권
- 삭제권
- 처리 제한권
- 개인정보 이동권
- 반대권
- 자동화된 의사결정 및 프로파일링 관련 권리
싱가포르 PDPA
싱가포르 PDPA는 다음을 규정합니다.
- 열람권
- 정정권
- 해당하는 경우 개인정보의 이용 및 제공에 관한 정보를 제공받을 권리
PDPA에는 개인정보 이동 의무(Data Portability Obligation)도 포함되어 있으나, PDPC는 관련 규정이 제정되는 시점에 이 의무가 시행된다고 밝히고 있습니다. 따라서 현재로서는 이를 GDPR 제20조와 동등하게 운영되는 제도로 소개해서는 안 됩니다.
GDPR vs PDPA: 개인정보 침해 통지
두 제도 모두 조직이 적절한 개인정보 침해 대응 프로세스를 수립하도록 요구합니다.
GDPR
개인정보 침해가 통지 대상인 경우, 컨트롤러는 침해를 인지한 후 부당한 지체 없이, 가능한 경우 72시간 이내에 관할 감독기관에 통지해야 하는 것이 원칙입니다.
침해로 인해 개인의 권리와 자유에 높은 위험이 초래될 가능성이 있는 경우에는 GDPR의 예외에 해당하지 않는 한 해당 개인에게도 알려야 합니다.
싱가포르 PDPA
조직은 개인정보 침해가 통지 대상인지 평가해야 합니다.
침해가 해당 통지 요건을 충족하는 경우, 조직은 요건에 따라 가능한 한 신속하게 PDPC와 피해 개인에게 통지해야 합니다. PDPC는 통지 의무를 판단할 때 중대한 피해와 중대한 규모를 핵심 고려 요소로 제시합니다.
핵심 요점: 실무상 시사점: 글로벌 사고 대응 프로세스는 공유할 수 있지만, 통지 여부를 판단하는 의사결정 트리는 관할권별로 유지해야 합니다.
국외 데이터 이전
국외 이전은 GDPR과 싱가포르 PDPA에서 서로 다르게 규율됩니다.
GDPR
GDPR 제5장은 다음과 같은 메커니즘을 규정합니다.
- 적정성 결정
- 표준계약조항(SCCs)
- 구속력 있는 기업 규칙(BCRs)
- 해당하는 경우 승인된 행동 강령 또는 인증 메커니즘
- 특정 상황에 대한 예외
싱가포르 PDPA
PDPA의 이전 제한 의무(Transfer Limitation Obligation)에 따라, 개인정보를 싱가포르 밖으로 이전하는 조직은 관련 요건과 면제 규정의 범위 안에서 이전된 데이터가 PDPA에 준하는 수준으로 보호되도록 해야 합니다.
싱가포르의 규정은 법적으로 집행 가능한 의무, 계약상 보호조치, 구속력 있는 기업 규칙, 인정된 인증 메커니즘 등 이러한 요건을 충족할 수 있는 여러 메커니즘을 두고 있습니다.
핵심 요점: GDPR SCCs에 기반한 이전 프로그램이라도 당연히 충분하다고 가정하지 말고 싱가포르의 이전 요건에 비추어 검토해야 합니다.
GDPR vs PDPA: 다이렉트 마케팅
다이렉트 마케팅 역시 두 제도가 크게 갈리는 중요한 영역입니다.
GDPR
마케팅 활동에는 일반적으로 GDPR에 따른 적절한 적법 근거가 필요하며, 관련 국내법 및 EU 전자통신 규정도 함께 적용됩니다.
싱가포르
싱가포르는 싱가포르 전화번호로 발신되는 특정 마케팅 커뮤니케이션에 적용되는 Do Not Call Registry를 운영합니다.
따라서 싱가포르에서 다이렉트 마케팅을 수행하는 조직은 다음 두 가지를 모두 평가해야 합니다.
- PDPA 요건
- 관련 Do Not Call 의무
그렇기 때문에 이미 GDPR을 준수하는 마케팅 프로그램을 운영하는 조직이라도 싱가포르 고유의 마케팅 컴플라이언스를 챙기는 것이 중요합니다.
GDPR vs PDPA: 민감 개인정보
GDPR
GDPR은 제9조에서 특수 범주의 개인정보라는 공식적인 범주를 두고 있습니다.
여기에는 다음과 같은 영역에 관한 정보가 포함됩니다.
- 건강
- 특정한 경우의 생체 정보
- 유전 정보
- 인종 또는 민족
- 종교적 또는 철학적 신념
- 정치적 견해
- 노동조합 가입 여부
- 성생활 또는 성적 지향
싱가포르 PDPA
싱가포르 PDPA는 이에 상응하는 “민감 개인정보”라는 포괄적인 법정 범주를 사용하지 않습니다.
그 대신 조직은 적절한 보호조치를 정할 때 정보의 성격, 처리 목적, 제반 상황 및 위험 수준을 평가해야 합니다.
GDPR vs PDPA: 아동 개인정보
GDPR
GDPR은 아동에 관한 특별 규칙을 두고 있습니다. 여기에는 정보사회 서비스와 관련한 동의에 관한 제8조의 프레임워크가 포함되며, 기본 연령은 16세이고 회원국은 이를 13세 이상의 범위에서 낮출 수 있습니다.
싱가포르 PDPA
싱가포르 PDPC는 디지털 환경에서의 아동 개인정보에 관한 별도 지침을 발표했습니다.
이 지침에 따르면 아동이 13세 미만인 경우 조직은 아동의 부모 또는 후견인에게서 동의를 받아야 합니다.
따라서 아동에게 디지털 서비스를 제공하는 조직은 연령에 적합한 개인정보 보호, 동의 및 보호자 통제 프로세스를 싱가포르 컴플라이언스 프로그램에 반영해야 합니다.
GDPR vs PDPA: 제재
두 제도의 제재 구조는 크게 다릅니다.
GDPR
특정 위반 행위의 경우 GDPR 행정 과징금은 다음 금액에 이를 수 있습니다.
2,000만 유로 또는 전 세계 연간 매출액의 4% 중 더 높은 금액.
싱가포르 PDPA
요건에 해당하는 개인정보 보호 위반 행위의 경우 과징금 상한은 다음과 같습니다.
조직의 싱가포르 내 연간 매출액이 1,000만 싱가포르 달러를 초과하는 경우, 100만 싱가포르 달러 또는 싱가포르 내 연간 매출액의 10% 중 더 높은 금액.
실제로 부과되는 제재는 위반의 성격과 중대성, 피해, 귀책 정도, 조직의 대응 등 제반 사정에 따라 달라집니다.
GDPR vs PDPA: 데이터 보호 책임자
싱가포르의 요건이 더 직접적인 영역입니다.
GDPR
DPO는 다음과 같이 제37조의 요건이 충족되는 경우에만 의무적으로 지정해야 합니다.
- 공공기관의 처리
- 대규모의 정기적·체계적 모니터링
- 특수 범주 데이터 또는 범죄 관련 데이터의 대규모 처리
싱가포르 PDPA
모든 조직은 1명 이상의 DPO를 지정하고 관련 업무용 연락처 정보를 공개해야 합니다. DPO는 직원일 수도 있고 적절히 선임된 외부 인사일 수도 있으며, DPO의 일부 책임은 외부에 위탁할 수 있습니다.
GDPR vs PDPA: 데이터 중개자와 프로세서
용어 또한 다릅니다.
GDPR
GDPR은 다음을 구분합니다.
- 컨트롤러
- 공동 컨트롤러
- 프로세서
프로세서는 컨트롤러를 대신하여 처리하며, 특정한 계약상·법률상 요건의 적용을 받습니다.
싱가포르 PDPA
싱가포르는 다음을 구분합니다.
- 조직
- 데이터 중개자
데이터 중개자(data intermediary)는 다른 조직을 대신하여 개인정보를 처리하며, 처리의 목적과 수단을 결정하는 조직과는 다른 법정 의무를 부담합니다.
따라서 조직은 “프로세서”와 “데이터 중개자”가 법적으로 호환되는 개념이라고 가정하지 말고 계약상·운영상 책임을 하나하나 매핑해야 합니다.
싱가포르 PDPA는 GDPR보다 엄격합니까?
어느 프레임워크도 모든 면에서 더 엄격하다고 정확히 말할 수는 없습니다.
GDPR은 대체로 다음 영역에서 더 상세합니다.
- 개인의 권리
- 적법 근거
- 데이터 보호 영향평가
- 자동화된 의사결정
- 설계에 의한 데이터 보호
- 국외 이전
싱가포르 PDPA는 다음 영역에서 고유한 요건을 두고 있습니다.
- 조직 전반의 책임성
- DPO 의무 지정
- 동의 및 간주 동의 메커니즘
- 국외 이전 시 동등한 보호 수준
- Do Not Call 의무
- 싱가포르 고유의 집행 및 통지 요건
따라서 적절한 컴플라이언스 접근 방식은 각 관할권이 더 높거나 다른 요건을 부과하는 지점을 파악하는 것입니다.
하나의 개인정보 보호 프로그램으로 GDPR과 싱가포르 PDPA에 모두 대응할 수 있습니까?
예. EU와 싱가포르에서 모두 사업을 운영하는 조직은 관할권별 통제 항목을 갖춘 하나의 글로벌 개인정보 보호 프로그램을 구축할 수 있습니다.
공통 프로그램으로 다룰 수 있는 영역:
- 데이터 인벤토리
- 개인정보 거버넌스
- 벤더 관리
- 보안 통제
- 개인정보 처리 고지
- 정보주체 요청 관리
- 개인정보 침해 대응
- 국외 이전
- 임직원 교육
- 기록 관리
- 규제 모니터링
그 위에 관할권별 추가 요건을 얹어 다음 사항에 대응할 수 있습니다.
GDPR
적법 근거, 해당하는 경우 EU 대리인 요건, DPIA, 제9조, 제22조, EU 이전 메커니즘 및 GDPR상 권리.
싱가포르 PDPA
DPO 지정, 동의/간주 동의, DNC 컴플라이언스, 싱가포르 이전 요건, PDPC 침해 통지 및 싱가포르 고유의 책임성 요건.
권장 운영 모델
- 하나의 데이터 맵
- 하나의 개인정보 통제 프레임워크
- 관할권별 법적 추가 요건
- 지속적인 모니터링
이 접근 방식을 따르면 GDPR과 PDPA를 동일한 법으로 취급하지 않으면서도 일관성을 확보할 수 있습니다.
자주 묻는 질문
싱가포르 PDPA는 GDPR과 유사합니까?
예. 두 프레임워크 모두 개인정보의 수집, 이용, 제공 및 보호를 규율하며 책임성, 보안, 투명성, 개인의 권리 및 국외 이전에 관한 요건을 포함합니다. 다만 법적 구조와 구체적인 의무는 서로 다릅니다.
GDPR을 준수하는 기업은 자동으로 PDPA도 준수하게 됩니까?
아닙니다. GDPR 컴플라이언스는 유용한 기반이 되지만, 조직은 DPO 지정, DNC 의무, PDPA 이전 요건, 동의 메커니즘, 싱가포르의 침해 통지 프레임워크 등 싱가포르의 요건을 별도로 평가해야 합니다.
싱가포르 PDPA는 DPO 지정을 요구합니까?
예. 조직은 1명 이상의 DPO를 지정하고 DPO의 업무용 연락처 정보를 일반에 공개해야 합니다.
싱가포르 PDPA에 개인정보 이동권이 있습니까?
PDPA에는 개인정보 이동 의무(Data Portability Obligation)가 포함되어 있으나, PDPC는 관련 규정이 제정되는 시점에 시행된다고 밝히고 있습니다. 따라서 현재로서는 이를 GDPR 제20조와 동등하게 운영되는 제도로 취급해서는 안 됩니다.
싱가포르 PDPA는 72시간 이내 침해 통지를 요구합니까?
PDPA에는 의무적인 개인정보 침해 통지 프레임워크가 있지만, 이 요건을 일률적인 “72시간 규칙”으로 단순화해서는 안 됩니다. 조직은 침해가 통지 대상인지 평가하고 해당 통지 요건을 준수해야 합니다.
싱가포르 PDPA는 해외 기업에도 적용됩니까?
싱가포르 PDPA는 법의 적용 범위와 관련 면제 규정에 따라 싱가포르에서 개인정보를 취급하는 조직에 적용될 수 있습니다. 조직은 설립지만을 기준으로 판단하지 말고 PDPA상 자사의 활동과 역할을 평가해야 합니다.
싱가포르에 Do Not Call Registry가 있습니까?
예. 싱가포르는 싱가포르 전화번호로 발신되는 특정 마케팅 커뮤니케이션에 대해 Do Not Call Registry를 운영합니다. 다이렉트 마케팅을 수행하는 기업은 일반적인 개인정보 컴플라이언스 프로그램과 별도로 관련 DNC 요건을 평가해야 합니다.
PDPA의 제재 상한은 얼마입니까?
요건에 해당하는 개인정보 보호 위반 행위의 경우, 싱가포르 내 연간 매출액이 1,000만 싱가포르 달러를 초과하는 조직에는 싱가포르 내 연간 매출액의 10% 또는 100만 싱가포르 달러 중 더 높은 금액까지 과징금이 부과될 수 있습니다.
GDPR + 싱가포르 PDPA 컴플라이언스 프로그램 구축하기
유럽과 싱가포르에서 모두 사업을 운영하려면 공통 원칙과 관할권별 요건을 함께 반영한 개인정보 보호 프로그램이 필요합니다.
RegulatoryBridge는 개인정보 컴플라이언스, 규제 대리, 거버넌스 및 상시 규제 모니터링을 통해 조직이 GDPR, 싱가포르 PDPA 및 그 밖의 글로벌 개인정보 보호 요건에 체계적으로 대응하도록 지원합니다.
하나의 글로벌 개인정보 보호 프로그램. 모든 관할권에 맞는 통제.
하나의 프로그램으로 GDPR와 PDPA를 모두 커버합니다.
통제 항목을 한 번 매핑하면 두 번 준수합니다. RegulatoryBridge는 단일 DSAR 파이프라인, 단일 DPO, 단일 침해 대응 매뉴얼을 제공하여 - 두 프레임워크를 모두 커버합니다.