말레이시아 개인정보보호법(Personal Data Protection Act 2010) 실시

[수봉]

제목	말레이시아 개인정보보호법(Personal Data Protection Act 2010) 실시
작성일	2014-02-02	국가	말레이시아	작성자	정윤서(쿠알라룸푸르무역관)
--> --> 말레이시아 개인정보보호법(Personal Data Protection Act 2010) 실시 -상업거래에서의 개인정보 보호를 주목적으로 함- -개인정보 보호 관련 7대 원칙을 명시- □ 말레이시아 개인정보보호법(Personal Data Protection Act 2010) 실시  o 2009년에 최초로 Personal Data Protection Bill 2009가 만들어짐. 2010년에 법안이 국회에서 통과되어 2013년 1월1일부터 시행 예정이었으니 시행이 연기됨.  o 2013년 7월 커뮤니케이션 및 멀티미디어부 장관 YB Dato' Sri Ahmad Shabery bin Cheek는 2010년 말레이시아 국회에서 통과된 개인정보 보호법 2010(Personal Data Protection Act 2010) 이 2013년 8월 16일부터 시행될 것이라고 발표함.  o 이 법이 시행되면, 데이터 사용자는 3개월의 유예기간을 두고 기존의 데이터를 처리하고 새로운 데이터는 즉시 관련 규정을 준수하여 처리해야 함. □ 이 법은 상업거래(Commercial Transactions)에 초점을 맞추고 있음  o 이 법은 상업거래(Commercial Transactions)상의 개인정보 처리를 규제하는데 초점을 맞추고 있음  o 여기서 상업거래는 상업적 성격을 갖는 거래 전반을 의미하며 물품 및 서비스의 공급, 은행 및 보험, 재무, 투자, 계약 등이 포함됨. 이에 고용인-피고용인 관계, 인수 및 합병 등 다양한 상업 거래 관계에 영향을 미칠 수 있음. 한편 연방정부 및 주정부는 적용 대상이 아님.  o 사적인 목적으로 처리되는 개인정보, 여가목적으로 처리되는 개인정보 등은 이 법이 적용되지 않으며 통계작성, 연구, 문학, 예술, 언론 목적으로 처리되는 개인정보는 부분적으로 이 법이 적용됨. □ 이 법 적용의 지역적 범위는 말레이시아 국내임  o 이 법은 말레이시아 내에서 처리되는 개인정보에만 적용됨. 이에 원칙적으로 말레이시아에서 처리된 개인정보가 국외로 반출되는 것은 허용되지 않음.  o 하지만 개인정보 제공자의 동의가 있거나 개인정보 이용자가 계약을 이행하는데 필요하거나 개인정보 이용자가 법에 위반되지 않게 적절한 조치를 취하거나 개인정보 제공자의 중요한 이익을 보호하기 위해 필요하다면 제한적으로 국외반출이 가능함. □ 개인정보 및 개인정보 관련자에 대한 정의  o 이 법은 개인정보 관련자를 크게 3가지로 나뉘어 정의함.   - Data Subject: 해당 개인정보와 직접 관련이 있는 자, 개인정보 제공자   - Data Processor: Data User를 위해 개인정보를 가공하는 자   - Data User: 개인정보를 가공하는 자나 개인정보를 가공하는 것에 대해 권한을 가진 자  o 한편 개인정보로 정의되기 위해서는 해당 정보가 직접적으로나 간접적으로 Data Subject와 관련이 있어야하고 그 개인정보로 Data Subject를 특정(Identify)할 수 있어야 함.  o 민감한 개인정보(Sensitive Personal Data)는 개인정보 제공자의 명시적 동의가 필요함. 민감한 개인정보에는 의료기록, 종교, 정치적 견해 등이 포함됨. 한편 명시적 동의는 반드시 문서형태가 될 필요는 없음  o 단 개인정보 이용에 대한 동의를 철회할 때는 문서로 요청해야 함. 문서로 동의 철회를 요구하는 즉시 개인정보 사용에 대한 동의는 철회됨. □ 개인정보 보호의 7대 원칙  o 이 법에는 개인정보 보호를 위한 7개의 원칙이 정해져 있음.  ① 일반원칙: 개인정보의 보유는 동의가 필요함.  ② 고지 및 선택에 대한 원칙: Data User는 Data Subject에 개인정보 수집의 목적과 개인정보에 대한 접근 및 수정 관련 Data Subject에게 부여된 권리를 고지해야 함.  ③공개에 대한 원칙: 어떠한 개인정보도 Data Subject의 동의 없이는 공개될 수 없음.  ④보안 원칙: Data User는 개인정보를 손실, 오용, 수정, 비승인된 접근, 파괴 등을 방지하기 위한 실질적 조치를 취해야 함.  ⑤보유에 대한 원칙: 개인정보는 그 개인정보가 수집된 목적을 달성하기 위해 필요한 기간 이상 보유할 수 없음.  ⑥개인정보 무결성의 원칙: Data User는 개인정보의 정확성을 담보할 수 있는 합리적인 조치를 취해야 하고 개인정보가 수집된 목적에 맞게 항상 현행화 되어야 함.  ⑦ 접근에 대한 원칙: Data Subject는 자신의 개인정보에 접근할 수 있고 수정할 수 있는 권리를 부여 받아야 함. □ 개인정보 유출 시 해당 당사자에게 고지의 의무를 부여하고 있지는 않음.  o 개인정보가 해커 등에 의해 유출 시 큰 사회적인 문제가 됨. 이에 개인정보가 유출되었을 때 해당 당사자 및 관련 정부부처에 고지하는 것이 일반화 되어 있음.  o 말레이시아의 Personal Data Protection Act 2010은 고지의 의무에 대해서는 명기된 사항이 없음. Data User에게 개인정보 보호를 위한 실질적 조치를 취하라고만 되어 있음. 이에 실질적 조치가 어느 수준의 조치인지에 대해서는 다소 주관이 개입될 여지가 있음. □ 위반 시 처벌  o 위반에 대한 처벌은 최대 RM500,000 의 벌금 그리고/혹은 2년 미만의 징역에 처해지며 이사, CEO, COO, 관리자, 기타 임직원들은 due diligence(기업실사) 방어 정도에 따라 해당 법인의 법률 비준수 부분에 대해 책임을 지게 됨. 해당 법률 비준수에 대해 민사 소송을 진행할 명확한 권한이 정해져 있지는 않음. □ 시사점  o 이 법은 말레이시아에서 최초로 개인정보 보호에 관한 제반사항을 규정한 법령임. 온라인 상거래 업체, 유통업체 등 다수의 개인고객을 상대로 하는 업체들은 이에 대한 대비가 필요함. 자료원: Wong and Partners 등 종합