PDPL의 법적 체계

PDPL은 UAE 거주자의 개인정보 처리에 적용되며, 처리가 UAE 내부에서 이루어지든 외부에서 이루어지든, 그리고 컨트롤러 또는 처리자가 UAE에 설립되어 있든 해외에서 운영하든 관계없습니다. 따라서 영토적 적용 범위는 GDPR과 마찬가지로 역외 적용됩니다 — 런던이나 싱가포르에서 운영하면서 UAE 거주자의 데이터를 처리하는 퍼블리셔도 적용 대상에 포함됩니다. 감독 기관은 동일한 입법 패키지 하에 설립된 UAE Data Office로, 절제되면서도 점점 적극적인 집행 입장을 취해 왔습니다.

PDPL의 핵심 원칙들은 GDPR을 다루어본 사람이라면 누구에게나 친숙할 것입니다: 적법한 근거, 목적 제한, 데이터 최소화, 정확성, 보유 기간 제한, 무결성과 기밀성, 책임성. Article 4에 따른 적법한 근거에는 동의, 계약 이행, 법적 의무, 생명에 관한 이익, 공공 이익, 정당한 이익이 포함되며, 각각 고유한 범위와 조건을 가집니다. 온라인 추적의 경우 관련 근거는 동의이며, 제한적인 상황에서는 정당한 이익입니다. 동의 없이 개인정보를 수집하는 사전 설치된 쿠키는 GDPR과 마찬가지로 위반에 해당합니다.

PDPL에서 개인정보로 간주되는 것

PDPL의 개인정보 정의는 광범위하며 GDPR을 밀접하게 따릅니다: 온라인 식별자를 포함하여 식별되거나 식별 가능한 자연인과 관련된 모든 데이터. 장치를 지속적으로 식별하는 쿠키, 다른 데이터와 함께 처리되는 IP 주소, 광고 ID, 핑거프린트 방식 식별자는 모두 적용 범위에 포함됩니다. UAE Data Office의 이행 지침은 EU에서 행동 및 광고 쿠키에 적용되는 분석이 UAE에서도 본질적으로 동일한 형태로 적용된다는 것을 확인했습니다 — 다른 것은 집행 아키텍처이지, 실질적인 기준이 아닙니다.

PDPL은 또한 건강 정보, 유전 및 생체인식 데이터, 종교적 신념, 범죄 기록 및 유사 범주를 포함하는 더 엄격한 처리 요건이 있는 민감한 개인정보 범주를 정의합니다. 이러한 데이터를 수집하는 쿠키는 명시적 동의와 추가 보호 장치를 필요로 합니다.

PDPL에서의 쿠키 동의

PDPL은 EU의 ePrivacy 지침처럼 쿠키에 특정한 조항을 포함하지 않습니다. 대신, 동의 요건은 유효한 동의의 일반 기준을 규정하는 Article 6에서 파생됩니다: 구체적이고, 명확하며, 정보에 기반하고, 자유롭게 주어져야 하며, 정보주체는 동의를 제공한 것만큼 쉽게 철회할 수 있어야 합니다. UAE Data Office는 이 기준을 다음을 요구하는 것으로 해석했습니다:

• 명시적인 긍정적 행위: 비필수 쿠키가 실행되기 전에 필요합니다. 탐색 계속, 스크롤 또는 묵시적 동의는 충분하지 않습니다.
• 세분화된 범주 제어: 엄격히 필요한 쿠키를 분석 및 광고 쿠키와 분리하여 방문자가 일부는 수락하고 다른 것은 거부할 수 있도록 합니다.
• 명확한 철회 메커니즘: 추적이 활성화된 모든 페이지에서 접근 가능하며, 철회는 즉시 효력이 발생합니다.
• 동의 결정의 문서화: Article 5에 따른 책임성 요건을 충족하기에 충분해야 합니다.

실질적으로 이는 퍼블리셔가 GDPR을 위해 구축할 것과 동일한 운영 기준입니다. EDPB 쿠키 배너 태스크포스 기준을 통과하는 배너는 PDPL을 충족합니다; 실패하는 배너는 PDPL 검토 하에서도 실패합니다.

국경 간 데이터 이전

PDPL의 가장 독특한 특징 중 하나는 국경 간 이전 체계입니다. PDPL의 Article 22와 Article 23은 개인정보가 UAE 외부로 이전될 수 있는 조건을 규정하며, GDPR의 제5장에 평행하지만 동일하지는 않은 구조로 되어 있습니다.

적정성 방식 지정

PDPL은 UAE Data Office가 적절한 보호를 제공하는 국가로 지정할 수 있도록 허용합니다. 현재 목록은 유럽위원회의 것보다 짧으며 발전할 것으로 예상됩니다. 국가가 지정될 때까지, 이전은 다른 적법한 메커니즘 중 하나를 필요로 합니다.

표준 계약 약정

PDPL은 EU SCCs의 구조와 유사한 적절한 계약적 보호 장치를 갖춘 이전을 허용합니다. 많은 UAE 컨트롤러들이 UAE Data Office가 요청에 따라 검토하는 맞춤형 계약 부록으로 운영합니다.

특정 예외 조항

명시적 동의, 계약 이행, 생명에 관한 이익 예외 조항은 이용 가능하지만 좁게 해석됩니다. 이전을 위한 동의에 대한 일상적 의존 — GDPR 하에서는 종종 체계적이기보다 예외적인 것으로 간주됨 — 은 여기서도 유사하게 취급됩니다.

온라인 퍼블리셔에게 실질적인 영향은 쿠키 동의 기록이 이제 이전 책임성 의무도 지원해야 한다는 것입니다. UAE의 방문자가 데이터를 미국 광고 기술 공급업체로 전송하는 쿠키를 수락하면, CMP는 해당 흐름을 승인하는 이전 수단을 제시할 수 있어야 합니다.

부문별 및 자유무역지대 고려사항

UAE의 개인정보보호 환경은 다층적입니다. 연방 PDPL은 광범위하게 적용되지만, 일부 자유무역지대 — Dubai International Financial Centre (DIFC), Abu Dhabi Global Market (ADGM), Dubai Healthcare City — 는 PDPL 이전부터 자체 개인정보보호 체제를 운영하고 있습니다. DIFC Data Protection Law No. 5 of 2020과 ADGM Data Protection Regulations 2021은 모두 GDPR에 부합하며 각각의 구역 내에서 적용됩니다. 여러 구역에 걸쳐 운영하는 퍼블리셔는 연방 PDPL을 적용 가능한 자유무역지대 체계와 조화시켜야 합니다; 대부분의 경우 실질적인 기준은 수렴하지만 감독 채널이 다릅니다.

UAE Data Office의 시그널

UAE Data Office는 집행 입장에서 신중하여, 고량의 벌금 체계보다 역량 구축, 부문별 협의, 고프로파일 사건을 우선시해 왔습니다. 공개 지침 문서들은 다음을 강조했습니다:

배너 설계

UAE Data Office는 배너 설계에 대해 EDPB 방식 기준과 일치하며, 거부 버튼 누락, 기만적인 링크 스타일링, 사전 체크된 체크박스를 시정이 필요한 일반적 결함으로 취급합니다. 기대는 유럽 규범과의 수렴입니다.

국경 간 투명성

UAE Data Office는 국제적 이전, 특히 개인정보가 적정성이 지정되지 않은 관할권으로 라우팅되는 경우에 특별히 주목할 것임을 시사했습니다. 이전 메커니즘의 문서화는 선택적이 아닌 책임성 요건으로 취급됩니다.

아랍어 고지

PDPL이 아랍어를 의무화하지는 않지만, UAE Data Office는 청중이 주로 아랍어를 사용하는 경우 접근성과 증거 목적 모두를 위해 아랍어로도 고지가 제공되어야 함을 시사했습니다.

실용적인 컴플라이언스 체크리스트

UAE 트래픽을 제공하는 쿠키 배너에 답해야 할 6가지 구체적인 질문.

1. 추적 전 긍정적 동의

방문자가 긍정적인 행동을 취할 때까지 비필수 쿠키가 스크립트 로더 수준에서 차단됩니까? 이미 실행 중인 추적기 위에 배너를 사전 로드하는 것은 그 자체로 위반입니다.

2. 세분화된 범주

배너가 독립적인 토글로 필수, 분석, 광고 범주를 분리합니까? 세분화 없는 일괄 전체 수락은 결함입니다.

3. 아랍어 사용 가능 여부

배너가 아랍어를 사용하는 방문자를 감지하고 기본적으로 아랍어로 제공되며, 영어는 전환 가능한 대안으로 제공됩니까? UAE Data Office는 언어 접근성을 명시적으로 지적했습니다.

4. 철회 접근성

철회 제어가 지속적이며 모든 페이지에서 접근 가능합니까? 푸터 링크에 묻혀 있는 다단계 설정은 "제공하는 것만큼 쉽게 철회" 기준을 충족하지 못합니다.

5. 국경 간 이전 문서화

국제 이전을 트리거하는 각 쿠키에 대해, 이전 메커니즘(적정성, 계약적 보호, 예외 조항)이 문서화되고 요청 시 제시 가능합니까?

6. 동의 로깅

시스템이 각 동의 결정을 타임스탬프, 배너 버전, 선택 사항, 방문자 관할권과 함께 기록하여 퍼블리셔가 UAE Data Office 문의에 증거로 답변할 수 있도록 합니까?

지역적 맥락에서 PDPL의 위치

UAE PDPL은 지난 몇 년간 시행된 여러 걸프 개인정보보호 체계 중 하나입니다 — 사우디아라비아의 PDPL, 바레인의 개인정보보호법, 카타르의 개인정보 프라이버시법, 오만의 개인정보보호법이 모두 함께 작동합니다. 지역 전반의 실질적인 기준들은 감독 아키텍처, 이전 메커니즘, 부문별 면제에서의 국가적 변형과 함께 GDPR에 부합하는 원칙들로 수렴되고 있습니다. 걸프 지역 전반에서 운영하는 퍼블리셔들에게, 더 높은 기준 — 세분화된 동의, 지속적인 철회, 문서화된 이전, 아랍어 지원, 감사 수준 로깅 — 을 한 번 구축하면 유럽 컴플라이언스를 처리하는 동일한 CMP 인프라를 통해 지역 컴플라이언스가 처리됩니다. UAE는 여러 면에서 지역의 선도자입니다: UAE Data Office가 나아가는 방향으로 인근 규제 기관들이 따르는 경향이 있습니다.