인도의 디지털 개인정보 보호법(Digital Personal Data Protection Act)은 공개 데이터에 대해 유럽과는 다른 접근 방식을 취한다. GDPR은 발견된 위치와 관계없이 개인정보에 적용된다. 반면 인도의 법은 이미 공개된 일부 개인정보에는 적용되지 않는다고 명시한다. 컴플라이언스를 염두에 두고 웹 데이터를 수집하는 팀에게는 이것이 단순한 답처럼 들릴 수 있다. 하지만 실제로는 그렇지 않으며, 문구만큼이나 시행 시점도 중요하다.
이 가이드에서는 공개 데이터에 관해 이 법이 규정하는 내용, 시행 시점, 예외가 적용되지 않을 때 요구되는 사항, 그리고 준비 방법을 다룬다. 이는 일반적인 정보이며 법률 자문이 아니다.
법의 현재 상태
이 법은 2023년 8월 11일 대통령의 재가를 받았다. 정부는 2025년 11월 DPDP 규칙과 시행 일정을 3단계로 나누어 고시했다.
| 단계 | 날짜 | 시행 내용 |
|---|---|---|
| 공고 즉시 | 2025년 11월 13일 | 정의 조항, 데이터보호위원회 및 설립 규칙 |
| 1년 후 | 2026년 11월 | 동의 관리자 관련 조항 |
| 18개월 후 | 2027년 5월 13일 | 적용 범위(제3조), 통지, 동의, 정당한 사용, 의무, 권리, 예외, 위원회의 집행 권한 및 처벌 |
일부 요약에서는 관보가 서명된 날짜인 11월 14일부터 계산하여 각 단계를 하루씩 늦추기도 한다. 어느 쪽이든, 주요 의무 사항들, 그리고 법의 적용 범위와 공개 데이터 예외를 규정하는 조항까지도 이미 제정되었으나 아직 발효되지는 않았다. 그때까지는 IT법 제43A조에 따른 기존 규칙이 민감한 개인정보에 계속 적용된다.
2026년 초 정부는 최대 규모의 데이터 수탁자(data fiduciaries)에 대해 일부 의무를 12개월로 앞당기는 방안에 대해 의견을 수렴했다. 이 글을 쓰는 시점까지 그러한 변경을 공식화하는 고시를 찾지 못했으므로, 2027년 날짜를 신뢰하기 전에 관보를 확인해야 한다.
공개 데이터 예외
제3조(c)(ii)는 다음 중 어느 하나에 의해 “공개되었거나 공개되도록 조치된 개인정보”에는 이 법이 적용되지 않는다고 규정한다:
- “해당 개인정보와 관련된 정보주체(Data Principal)” 본인, 또는
- “인도에서 현재 시행 중인 법률에 따라 해당 개인정보를 공개할 의무가 있는 자”
이 법은 한 가지 예시를 제시한다: “개인인 X는 자신의 견해를 블로그에 올리면서 소셜미디어에 자신의 개인정보를 공개했다. 이 경우 본 법의 규정은 적용되지 않는다.”
판단 기준은 데이터를 누가 공개했는가이지, 현재 공개되어 있는가가 아니다. 세 가지 사례가 그 차이를 보여준다.
| 데이터 | 누가 공개했는가 | 예외 적용 여부 |
|---|---|---|
| 전문가 본인의 프로필이나 블로그 게시물 | 본인 | 문구상 예, 적용됨 |
| 법정 등기부상 회사 이사의 정보 | 법적으로 공개 의무가 있는 자 | 문구상 예, 적용됨 |
| 특정인을 거명한 뉴스 기사, 리뷰 또는 재게시물 | 법적 의무가 없는 제3자 | 아니오 |
크롤러가 수집하는 데이터의 상당 부분은 세 번째 유형, 즉 다른 사람이 작성한 기사, 리뷰, 댓글, 디렉토리 속의 이름들이다. 이 예외는 그러한 데이터에는 미치지 않는다. 또한 이 법은 다른 출처와 결합되거나 특정인을 프로파일링하는 데 사용될 경우에도 데이터가 계속 예외 대상으로 남는지에 대해서는 명시하지 않으며, 이 점에 관한 공식 지침도 아직 없다.
실무적으로는 각 레코드의 출처를 파악해야 한다. 본인이 공개한 데이터와 제3자 데이터가 혼합된 데이터셋은 전체적으로 이 예외에 의존할 수 없다.
예외가 적용되지 않는 경우
예외 대상이 아닌 개인정보에 대해서는 이 법이 엄격하다.
정당한 이익(legitimate interests) 근거 없음. 처리는 동의가 있거나 “특정 정당한 사용”에 해당하는 경우에만 적법하다. 이러한 사용은 폐쇄적 목록으로 한정된다: 특정 목적을 위해 본인이 자발적으로 제공한 데이터, 국가 기능 수행, 법적 의무, 법원 명령, 의료 응급상황, 재난, 고용 관계. GDPR의 정당한 이익과 같은 일반적인 형량 테스트는 없다. GDPR과 레지덴셜 프록시에 관한 가이드에서 유럽이 동일한 문제를 어떻게 다루는지 다룬다.
동의 요건이 까다롭다. 동의는 “자유롭고, 구체적이며, 정보에 기반하고, 무조건적이며, 명확한 긍정적 행동을 수반하는 명백한” 것이어야 하며, 사전 통지가 선행되어야 한다. 웹에서 수집한 데이터에 대해서는 동의를 구하는 것이 실질적으로 거의 불가능하다.
연구에는 별도의 예외가 있다. 제17조(2)(b)는 “개인정보가 정보주체에 대한 특정 결정을 내리는 데 사용되지 않는 경우”에 한해 소정의 기준에 따라 수행되는 “연구, 기록보존 또는 통계 목적에 필요한” 처리에는 이 법이 적용되지 않는다고 규정한다. 규칙은 그 기준을 정한다: 적법한 처리, 필요한 데이터만 사용, 합리적 정확성, 제한된 보유 기간, 보안 안전장치, 명확한 책임 소재. 이 예외 역시 2027년 5월부터 시행된다.
인도 밖으로의 적용 범위. 이 법은 “인도 영토 내 정보주체에게 재화나 서비스를 제공하는 활동과 관련된” 경우 인도 밖에서 이루어지는 처리에도 적용된다. 인도 소비자들에게 판매하기 위해 그들에 관한 데이터셋을 구축하는 해외 팀은 자신들도 이 법의 적용을 받을 수 있다고 가정해야 한다.
처벌
처벌은 위반 건별로 정해지며, “최대”는 아래 금액까지다. 2027년 5월부터 적용된다.
| 위반 | 최대 |
|---|---|
| 합리적인 보안 안전장치 미이행 | 250 crore 루피 |
| 개인정보 침해 미통지 | 200 crore 루피 |
| 아동 관련 의무 위반 | 200 crore 루피 |
| 중요 데이터 수탁자(significant data fiduciaries)의 의무 위반 | 150 crore 루피 |
| 기타 조항 위반 | 50 crore 루피 |
250 crore 루피는 25억 루피다. 금액은 위원회가 사건별로 결정한다.
기억해야 할 또 다른 법
DPDP법만이 웹 데이터에 관련된 인도 법은 아니다. IT법 제43조는 컴퓨터 시스템의 “소유자의 허가 없이” 접근하거나 그로부터 데이터를 다운로드, 복사 또는 추출하는 자에게 손해배상 책임을 지운다. 이는 개인정보 여부가 아니라 허가 여부에 달려 있으므로, 사이트의 이용약관과 접근 통제는 DPDP법과는 별개로 중요하게 고려해야 한다. 스크래핑 프로젝트 전에 법무팀이 물을 질문에 관한 가이드에서 이러한 질문들을 함께 평가하는 방법을 다룬다.
데이터 팀의 준비 방법
- 인도 개인정보를 매핑하라. 어떤 소스와 필드가 인도 내 사람들에 관한 개인정보를 담고 있는지, 그리고 그 용도가 그들에게 재화나 서비스를 제공하는 것과 관련이 있는지를 파악한다.
- 각 레코드를 누가 공개했는지 기록하라. 데이터를 본인 공개, 법적 공개, 제3자 공개로 태그한다. 앞의 두 가지만 예외에 의존할 수 있다. AI 학습 파이프라인에서의 출처 추적에 관한 가이드에서 이를 보존하는 레코드 형식을 보여준다.
- 필요하지 않은 것은 버려라. 적법한 근거가 없는 제3자 개인정보는 수집 이후가 아니라 수집 시점에 걸러내야 한다.
- 연구 근거 주장을 검증하라. 연구 예외에 의존하는 경우, 목적을 문서화하고 개인에 대한 결정이 내려지지 않음을 확인하며 규칙에 명시된 기준을 충족시켜야 한다.
- 2027년 5월을 대비하라. 이를 마감일로 간주하고, 날짜를 앞당기거나 특정 국가로의 이전을 제한하는 고시가 있는지 주시한다.
프록시의 역할
프록시는 요청이 어디서 오는지를 바꿀 뿐, 법이 허용하는 범위를 바꾸지는 않는다. 인도 IP든 다른 IP든 이를 통해 인도 개인정보를 수집한다고 해서 DPDP법의 적용 여부나 의존할 수 있는 예외가 달라지지 않는다. 레지덴셜 프록시는 인도 현지 방문자가 보는 것과 동일하게 공개 페이지를 확인하는 데 유용하며, 가격 모니터링, 광고 검증, 현지화 점검 등 대체로 개인정보가 거의 또는 전혀 관련되지 않는 작업에 적합하다.
결론
인도의 DPDP법은 사람들이 스스로 공개한 개인정보는 예외로 하지만, 타인이 그들에 관해 공개한 개인정보는 예외로 하지 않으며, 의존할 수 있는 일반적인 정당한 이익 근거도 없다. 대부분의 의무는 예외 조항 자체를 포함해 2027년 5월 13일부터 시행된다. 이 기간을 활용하여 보유 중인 인도 개인정보를 매핑하고, 각 레코드를 누가 공개했는지 기록하며, 정당화할 수 있는 데이터만 유지하는 수집 체계를 구축하라. 최근의 또 다른 변화와 비교하려면 영국의 데이터(사용 및 접근)법에 관한 가이드를 참고하라.
출처 및 참고자료
- Digital Personal Data Protection Act, 2023, Gazette of India (11 August 2023): egazette.gov.in
- Commencement notification, G.S.R. 843(E) (November 2025): egazette.gov.in
- Establishment of the Data Protection Board, G.S.R. 844(E) (November 2025): egazette.gov.in
- Digital Personal Data Protection Rules, 2025, G.S.R. 846(E): egazette.gov.in
- Press Information Bureau, DPDP Rules backgrounder (November 2025): pib.gov.in
- S.S. Rana and Co., MeitY plans to cut short the DPDP compliance timeline (13 February 2026): ssrana.in
- Information Technology Act, 2000, section 43 (text via CIS): cis-india.org
- General Data Protection Regulation, Regulation (EU) 2016/679: eur-lex.europa.eu