싱가포르 PDPA 개인정보보호 가이드: 개인정보보호법에 따른 당신의 권리

싱가포르의 개인정보보호법(PDPA)은 2014년부터 시행되고 있지만, 많은 싱가포르 시민들은 이 법이 부여하는 권리를 여전히 모르고 있습니다. 택시를 타거나 버블티를 사는 것까지 거의 모든 거래에 어떤 형태로든 데이터 수집이 수반되는 도시 국가에서, 개인정보보호 권리를 이해하는 것은 선택이 아닌 필수입니다.

PDPA는 조직이 개인 데이터를 수집, 사용, 공개 및 저장하는 방법을 규율합니다. 개인정보보호위원회(PDPC)가 집행을 담당하며, 불만 조사, 지시 발행, 위반 건당 최대 100만 싱가포르 달러의 과징금을 부과할 권한을 가지고 있습니다.

PDPA가 적용되는 범위

PDPA에 따른 개인 데이터

개인 데이터란 단독으로 또는 다른 정보와 결합하여 개인을 식별할 수 있는 모든 데이터를 의미합니다. 여기에는 다음이 포함됩니다:

유형	예시
식별자	NRIC 번호, FIN, 여권 번호
연락처 정보	전화번호, 이메일 주소, 집 주소
금융 데이터	은행 계좌 번호, 신용카드 정보, 소득
고용 데이터	직함, 고용주, 급여, 업무 평가
건강 데이터	의료 기록, 처방전, 보험 청구
생체 데이터	지문, 안면 인식 데이터
디지털 식별자	IP 주소, 기기 ID, 브라우징 기록
이미지 및 녹화	CCTV 영상, 사진, 음성 녹음

적용되지 않는 경우

PDPA는 다음에 적용되지 않습니다:

• 정부 기관 (정부 지침 매뉴얼에 의해 규율)
• 개인적 또는 가정 목적 (개인 연락처 목록)
• 업무 목적으로 사용되는 비즈니스 연락처 정보
• 사망자 데이터 (사망 후 10년 이상 경과)

PDPA에 따른 5가지 핵심 권리

1. 동의권

조직은 개인 데이터를 수집, 사용 또는 공개하기 전에 동의를 얻어야 합니다. 수집 목적을 고지받아야 하며, 동의는 자발적이어야 합니다. 언제든지 동의를 철회할 수 있으나, 조직은 그에 따른 결과를 알릴 수 있습니다.

실용적 팁: 가게에서 로열티 프로그램 가입을 위해 NRIC를 요구하면 거부할 수 있습니다. 불필요한 개인 데이터 없이도 서비스를 제공해야 합니다.

2. 접근권

조직이 보유한 개인 데이터와 지난 1년간 데이터가 어떻게 사용 또는 공개되었는지에 대한 정보에 대해 접근을 요청할 수 있습니다. 조직은 30일 이내에 응답해야 합니다.

실용적 팁: 어떤 회사든 자신에 대해 어떤 개인 데이터를 보유하고 있는지 서면으로 질의할 수 있습니다. 법적으로 답변할 의무가 있습니다.

3. 정정권

조직이 보유한 개인 데이터가 부정확하거나 불완전한 경우, 정정을 요청할 권리가 있습니다. 조직은 데이터를 수정하고 지난 1년간 공유된 다른 조직에도 수정 버전을 보내야 합니다.

4. 동의 철회권

조직이 개인 데이터를 수집, 사용 또는 공개하는 것에 대한 동의를 언제든지 철회할 수 있습니다. 조직은 합리적인 기간 내에 이행해야 하며, 결과(특정 서비스 제공 불가 등)를 알려야 합니다.

5. 데이터 이동권 (2021년 개정)

2021년 PDPA 개정에서 도입된 데이터 이동 의무는 데이터를 일반적으로 사용되는 형식으로 다른 조직에 전송하도록 요청할 수 있게 합니다. 이는 본인이 제공한 전자 형식의 데이터에 적용됩니다.

NRIC 수집 규칙

가장 영향력 있는 PDPA 지침 중 하나는 NRIC 수집에 관한 것입니다. 2019년 9월 이후:

상황	전체 NRIC 수집 가능 여부
은행 계좌 개설	가능 — 법적 요구 사항
병원 등록	가능 — 법적 요구 사항
고용 기록	가능 — 법적 요구 사항
건물 방문자 기록	불가 — 마지막 4자리 또는 대체 ID 사용
소매 로열티 프로그램	불가 — 대체 식별자 사용
경품 추첨 등록	불가 — 대체 식별자 사용
헬스장 회원 가입	불가 — 대체 식별자 사용

대처 방법: 비필수 서비스에서 전체 NRIC를 요구하면, 거부하고 NRIC 번호에 관한 PDPA 자문 지침을 인용할 수 있습니다.

전화 거부 등록부 (DNC)

PDPA는 싱가포르의 전화 거부(DNC) 등록부를 설립하여 텔레마케팅 전화, SMS, 팩스를 거부할 수 있게 합니다. dnc.gov.sg에서 번호를 등록할 수 있습니다.

등록	보호
전화 거부 등록	텔레마케팅 음성 전화 차단
문자 거부 등록	텔레마케팅 SMS 차단
팩스 거부 등록	텔레마케팅 팩스 차단

조직은 무단 마케팅 메시지당 최대 10,000 싱가포르 달러의 과태료에 직면합니다.

PDPA 불만 제기 방법

조직이 개인 데이터를 부적절하게 취급했다고 판단되면:

1단계: 조직에 직접 연락

조직의 데이터 보호 담당자(DPO)에게 서면으로 연락합니다. PDPA 적용 대상인 모든 조직은 DPO를 지정해야 합니다. 무슨 일이 발생했는지, 어떤 조치를 원하는지 명확히 기술합니다.

2단계: PDPC에 불만 제기

조직이 30일 이내에 만족스럽게 응답하지 않으면, pdpc.gov.sg에서 PDPC에 불만을 제기합니다. 포함 사항:

• 본인의 개인 정보
• 조직의 정보
• 사건 설명
• 증거 (스크린샷, 이메일, 서신)
• 원하는 해결 방안

3단계: PDPC 조사

PDPC가 불만을 평가하고 조사를 개시할 수 있습니다. 가능한 결과:

• 조직에 데이터 관행 중단 지시
• 부적절하게 수집된 데이터 파기 지시
• 최대 100만 싱가포르 달러 과징금
• 공개 집행 결정 (PDPC 웹사이트에 게시)

주요 PDPA 집행 사례

연도	조직	위반	제재
2019	SingHealth	150만 환자 기록 유출	S$250,000
2019	IHiS (IT 벤더)	SingHealth 유출 사고 보안 조치 실패	S$750,000
2020	Integrated Health Information Systems	비인가 데이터 공개	S$50,000
2021	다수 중소기업	부적절한 NRIC 수집	경고 및 지시
2022	다수 조직	부적절한 보안으로 인한 데이터 유출	다양한 제재

일상생활을 위한 실용적 PDPA 팁

1. 개인정보처리방침을 읽으세요 — 서비스 가입 전 어떤 데이터가 수집되는지 파악
2. DNC 등록부를 활용하세요 — 원치 않는 마케팅 메시지 차단
3. 데이터 삭제를 요청하세요 — 더 이상 사용하지 않는 서비스에서
4. NRIC 수집을 거부할 때를 아세요 — PDPA 자문 지침 인용
5. 데이터 유출을 신고하세요 — 발견 시 PDPC에 보고
6. DPO 연락처를 요청하세요 — 조직이 데이터를 수집할 때
7. 접근 권리를 행사하세요 — 기업이 보유한 데이터 확인

개인 데이터를 안전하게 공유하기

PDPA에 따라 조직은 데이터를 보호해야 합니다. 하지만 본인의 정보를 보호하는 데 있어 본인의 역할도 있습니다. 은행 신청을 위한 NRIC, 거래를 위한 금융 정보, 또는 의뢰를 위한 의료 기록을 공유해야 할 때, 카카오톡으로 일반 텍스트로 보내는 것은 피하세요.

LOCK.PUB을 사용하여 민감한 정보가 담긴 비밀번호 보호 자동 삭제 링크를 만드세요. 수신자가 비밀번호를 입력하면 열람할 수 있고, 설정된 만료 시간 후 데이터가 사라집니다. 이렇게 하면 해킹된 메신저 계정이나 기기 도난을 통해 개인 데이터가 노출될 위험을 최소화할 수 있습니다.

핵심 요약

PDPA는 싱가포르에서 개인 데이터에 대한 실질적이고 강제할 수 있는 권리를 부여합니다. 가장 중요한 점: 조직이 어떤 데이터를 수집하는지 알 권리, 불필요한 수집을 거부할 권리, 데이터가 잘못 관리될 때 불만을 제기할 권리가 있습니다.

이러한 권리를 적극적으로 행사하세요. 불필요한 NRIC 수집을 거부하고, DNC 등록부에 등록하고, 사용하지 않는 서비스에서 데이터 삭제를 요청하고, 개인 정보를 공유해야 할 때는 LOCK.PUB을 사용하여 안전하게 하세요. 프라이버시는 사치가 아닙니다 — 싱가포르 법이 보호하는 권리입니다.