핵심 요약
인도의 Digital Personal Data Protection Act 2023은 2025년 11월 13일 규칙이 고시되었으며, 인도 내 개인의 디지털 개인정보 처리를 규율합니다. 핵심 의무(동의, 안전조치, 유출 통지, 정보주체 권리)는 2027년 5월 13일경부터 적용되며, 위반 건당 최대 250크로어 루피의 제재금이 부과됩니다.
적용 대상
DPDP법은 인도 내 개인의 디지털 개인정보를 처리하는 모든 Data Fiduciary에 적용되며, 인도를 대상으로 하는 일부 역외 처리도 포함합니다.
Significant Data Fiduciary로 지정된 조직에는 개인정보 영향평가, 연간 감사, 개인정보보호책임자 및 독립 데이터 감사인 선임 등 추가 의무가 부과됩니다.
단계별 일정
2025년 DPDP 규칙은 단계적으로 시행되어, 의무가 18개월에 걸쳐 발생합니다.
- 2025년 11월 13일: 규칙 고시, 기본 조항 시행
- 2026년 11월 13일경: Consent Manager 등록 개시
- 2027년 5월 13일경: 실질 의무(고지, 동의, 보안, 유출, 권리, 보관) 적용
제재금
제재금은 Data Protection Board가 위반 건별로 부과하며 금액이 큽니다.
- 합리적 안전조치를 취하지 않은 경우 최대 250크로어 루피
- 유출 통지 의무 또는 아동 정보 관련 위반 시 최대 200크로어 루피
- Significant Data Fiduciary 의무 위반 시 최대 150크로어 루피
준비 방법과 GDPR과의 차이
DPDP는 더 간결하고 동의 중심입니다. GDPR과 달리 정당한 이익 근거가 없고, 기본적인 데이터 현지화 의무가 없으며, 매출 비율이 아닌 루피 기준 상한으로 제재금을 정하고, 개인정보보호책임자 요건은 Significant Data Fiduciary에만 적용됩니다. GDPR 준수는 도움이 되지만 DPDP 준수와 같지는 않습니다.
동의와 유출 대응 체계를 구축하는 데 12~18개월이 걸리므로 지금 시작해야 합니다. IntelligenceX는 DPDP 준비도 평가, 영향평가, 동의 아키텍처 검토, SDF를 위한 독립 데이터 감사를 제공합니다.
자주 묻는 질문
단계적으로 시행됩니다. 규칙은 2025년 11월 13일 고시되었고, Consent Manager 등록은 2026년 11월경 시작되며, 핵심 의무는 2027년 5월 13일경부터 적용됩니다.
합리적 안전조치를 취하지 않은 경우 건당 최대 250크로어 루피이며, 실제 피해가 입증되지 않아도 부과될 수 있습니다. 다른 위반에는 최대 200크로어 루피의 제재금이 적용됩니다.