// 규제 대응

규제 대응 · LGPD

LGPD와 사이버보안: 의무, 침해 통지 기한, 그리고 실무 체크리스트

15.03.2026 작성자 OODA Intelligence

브라질 개인정보보호법(LGPD — Lei Geral de Proteção de Dados, 법률 제13.709/2018호)은 브라질에서 개인정보를 처리하는 조직이라면 누구나 따라야 하는 브라질의 개인정보 보호 법률이며, 집행은 브라질 국가데이터보호국(ANPD)이 맡습니다. 그런데 보안 실무에서 가장 큰 혼란을 일으키는 대목은 법률 본문이 아니라 하위 규정에 있습니다. 2024년 4월 24일 자 ANPD 이사회 결의 제15호가 나온 뒤로, 제48조가 말하던 “합리적인 기간”은 3영업일이라는 구체적인 숫자가 되었습니다. 지금 참고하는 자료가 이 결의를 언급하지 않는다면, 그 자료는 더 이상 유효하지 않은 제도를 설명하고 있는 것입니다.

아래는 현재 시행 중인 제도를 공식 원문과 조문 단위로 대조해 정리한 내용입니다. 법률 자문은 아닙니다. 법무 담당자와 제대로 된 대화를 하기 위한 지도라고 보시면 됩니다.

LGPD가 정보보안에 요구하는 것 (제46조~제49조)

LGPD 제7장은 짧고 명확합니다.

제46조. “개인정보를 무단 접근으로부터, 그리고 우발적이거나 위법한 파기·분실·변조·공개, 그 밖의 부적절하거나 위법한 처리로부터 보호할 수 있는 기술적·관리적 보안 조치”를 갖출 것. 제2항은 이 조치를 “제품 또는 서비스의 기획 단계부터 실행에 이르기까지” 준수하도록 요구합니다. 법의 힘을 가진 프라이버시 바이 디자인입니다.
제47조. 이 의무는 처리가 “종료된 이후에도” 유지됩니다. 운영을 멈춘 데이터베이스라고 보호까지 멈춰도 되는 것은 아닙니다.
제49조. 시스템은 “보안 요구사항과 모범 사례 및 거버넌스 기준을 충족하도록 구성되어야” 합니다.

흔히 놓치는 두 가지가 있습니다.

법으로 정해진 필수 통제 목록은 없습니다. 제46조 제1항은 ANPD가 최소 기술 기준을 정할 수 있다고만 하고, 지금까지 구속력 있는 목록은 나오지 않았습니다. 기준은 적정성입니다. 데이터의 성격, 규모, 위험, 그리고 기술 수준에 비례하는 조치여야 합니다.

조치를 갖추지 않으면 곧바로 민사 책임이 발생합니다. 제44조 단서는 이렇게 말합니다. “이 법 제46조가 정한 보안 조치를 채택하지 않아 손해를 야기한 컨트롤러 또는 프로세서는 데이터 보안 침해로 인한 손해에 대하여 책임을 진다.” 이 책임은 행정 제재와 무관하게 별도로 진행됩니다.

원칙 차원(제6조)에서는 세 개 항이 이 모든 것을 떠받칩니다. 보안(제7호), 예방(제8호), 그리고 책임성과 설명책임(제10호)입니다. 그중 제10호가 가장 까다롭습니다. 조치를 채택했다는 사실과 그 조치가 효과적이라는 사실을 증명할 수 있어야 하기 때문입니다. 기록된 증거가 없으면 규제기관 입장에서 그 통제는 존재하지 않는 것입니다.

보안 사고란 무엇이고, 언제 통지 대상이 되는가

결의 제15/2024호는 보안 사고를 “개인정보 보안의 기밀성·무결성·가용성·진정성 속성의 침해와 관련된, 확인된 모든 부정적 사건”으로 정의합니다(제3조 제12호).

ANPD가 직접 내놓은 안내에 따라, 실무적으로 세 가지가 따라옵니다.

취약점은 사고가 아닙니다. 결함이 존재한다는 사실만으로는 아무 의무도 발동하지 않습니다. 그 결함이 악용되면 사고가 될 수 있습니다.
가용성 침해도 포함됩니다. 유출만이 아닙니다. 환자 데이터 접근을 잠가 버린 랜섬웨어는 외부로 데이터가 빠져나가지 않았어도 사고입니다.
익명 처리된 데이터는 해당하지 않습니다. 익명 데이터만 관련된 사고, 또는 식별되었거나 식별 가능한 자연인과 무관한 사고는 통지 대상이 아닙니다.

사고가 확인되면 다음 질문은 이것입니다. 이 사고가 중대한 위험이나 손해를 초래할 수 있는가? 제5조는 누적 요건 방식의 판단 기준을 둡니다. 사고가 정보주체의 이익과 기본권에 중대한 영향을 줄 수 있어야 하고, 동시에 아래 여섯 가지 중 최소 하나에 해당해야 합니다.

민감정보
아동, 청소년 또는 고령자의 데이터
금융 데이터
시스템 인증 데이터
법률·재판·직업상 비밀에 의해 보호되는 데이터
대규모로 처리되는 데이터

제1항은 “중대한 영향”이 무엇인지 예를 듭니다. 권리 행사나 서비스 이용을 방해하는 경우, 또는 차별, 신체적 완전성 침해, 이미지와 평판 침해, 금융 사기, 신원 도용 같은 재산상·정신적 손해를 일으키는 경우입니다. 제2항은 “대규모”를 판단할 때 정보주체 수, 데이터 양, 지속 기간, 빈도, 지리적 범위를 고려한다고 설명합니다.

네 번째 기준을 눈여겨보세요. 아이디와 비밀번호 데이터베이스가 노출되었다면 판단 기준의 후반부는 이미 충족된 것입니다. 남은 것은 전반부인데, 유출된 자격증명은 대개 제1항이 예시로 든 바로 그 사기와 신원 도용으로 이어집니다.

기한, 접수 창구, 통지 내용

ANPD에 대한 통지 — 제6조

3영업일입니다. 기산점은 사고가 개인정보에 영향을 미쳤다는 사실을 컨트롤러가 인지한 시점입니다(제6조 제1항). 사고가 발생한 날도 아니고, 조사가 끝난 날도 아닙니다. 토요일, 일요일, 공휴일은 세지 않습니다. 소규모 처리자는 이 기한이 두 배입니다(제8항). 다만 자주 잊히는 단서가 있습니다. 결의 제2/2022호 제14조 제2호에 따라, 정보주체의 신체적·정신적 완전성이나 국가 안보가 훼손될 수 있는 경우에는 두 배 기한이 적용되지 않습니다. 그때는 다른 처리자와 똑같이 3영업일입니다.

통지는 SEI!ANPD 전자 접수 시스템을 통해 “ANPD – 사고 통지(ANPD – Comunicados de Incidentes)” 절차 유형으로 제출하며, Encarregado(개인정보보호책임자) 또는 선임된 대리인이 제출해야 합니다. Encarregado가 제출할 때는 그 지위를 증명하는 문서를 첨부합니다. 같은 기한 안에 이 증명이 없으면 ANPD가 직권으로 사고 조사 절차를 개시할 수 있습니다.

제2항은 열두 가지 필수 정보를 열거합니다.

영향받은 데이터의 성격과 범주
영향받은 정보주체 수(아동, 청소년, 고령자는 별도 구분)
사고 전과 후에 취한 기술적·보안적 조치
정보주체에게 미치는 위험과 예상 영향
지연이 있었다면 그 사유
영향을 되돌리거나 완화하기 위한 조치
발생 일자(확정 가능한 경우)와 인지 일자
Encarregado 또는 컨트롤러를 대리하는 자의 정보
컨트롤러의 식별 정보, 해당하는 경우 소규모 처리자 선언
해당하는 경우 프로세서의 식별 정보
사고에 대한 설명(식별 가능한 경우 주된 원인 포함)
영향받은 활동에서 처리되는 정보주체 총수

3영업일 안에 전부를 갖출 수 없다면 예비 통지를 할 수 있고, 근거를 갖춘 보완을 20영업일 안에 같은 절차의 추가 서면으로 제출합니다(제3항). ANPD는 자주 묻는 질문에서 분명히 밝히고 있습니다. 예비 통지만으로는 제48조의 의무를 이행한 것이 되지 않으며, 기한 안에 반드시 보완해야 합니다.

정보주체에 대한 통지 — 제9조

ANPD에 알린 것으로 끝나지 않습니다. ANPD 스스로 제48조는 “ANPD에 보안 사고를 통지하는 것만으로 이행되지 않는다”고 명시합니다. 중대한 위험이나 손해가 있는 경우 컨트롤러는 영향받은 정보주체에게도 반드시 통지해야 합니다. 하나의 의무가 아니라 두 개의 의무입니다.

기한은 같습니다. 인지 시점부터 3영업일이고, 소규모 처리자는 마찬가지로 두 배입니다(제9조 제6항). 다만 내용은 다릅니다. 일곱 개 항목으로, 영향받은 데이터의 성격과 범주, 사용 중인 보안 조치, 위험과 예상 영향, 완화 조치, 인지 일자, 그리고 추가 정보를 얻을 수 있는 연락처(해당하는 경우 Encarregado 정보 포함)가 들어갑니다.

내용만큼 형식도 중요합니다.

쉽고 이해하기 편한 언어로 쓸 것
정보주체를 식별할 수 있는 경우에는 직접, 개별적으로 알릴 것. 전화, 이메일, 전자 메시지 또는 서면
그것이 불가능하면 이용 가능한 채널(웹사이트, 앱, 소셜 미디어)에 바로 눈에 띄고 찾기 쉽게 게시하되, 최소 3개월 유지할 것
그리고 통지를 실제로 했다는 진술서를 절차에 제출할 것. 사용한 수단을 명시하며, 기한 종료 후 3영업일 안에 제출합니다(제4항)

제5항은 실질적인 유인을 하나 더 둡니다. 정보주체가 피해를 줄이는 데 도움이 되는 권고를 함께 제공하면 제재 수위 산정에서 모범 사례로 평가될 수 있습니다(LGPD 제52조 제1항 제9호).

프로세서라면?

통지의 법적 의무는 컨트롤러에게 있습니다. 사고가 발생하면 프로세서는 부당한 지체 없이 컨트롤러에게 알리고 통지에 필요한 모든 정보를 제공해야 합니다. ANPD는 컨트롤러와 프로세서 사이의 이런 의무를 계약으로 정할 것을 명시적으로 권고합니다. 기한의 언어로 옮기면 이렇습니다. 컨트롤러의 3영업일 시계는 협력업체를 기다려 주지 않으므로, 프로세서의 통지 기한은 그보다 훨씬 짧아야 합니다.

거의 아무도 남기지 않는 기록 (제10조)

이것이 규정에서 가장 많이 무시되는 의무입니다. 컨트롤러는 모든 보안 사고에 대한 기록을, 통지하지 않기로 결정한 사고까지 포함해 최소 5년간 보관해야 합니다.

기록에는 최소한 다음이 들어가야 합니다. 인지 일자, 정황에 대한 개괄적 설명, 영향받은 데이터의 성격과 범주, 영향받은 정보주체 수, 위험과 예상 손해에 대한 평가, 시정과 완화 조치, 통지를 했다면 그 방식과 내용, 그리고 통지하지 않은 경우 그 사유입니다.

풀어 말하면, 통지하지 않기로 한 결정도 문서로 남기고 방어할 수 있어야 한다는 뜻입니다. ANPD가 조사 절차를 열면 요구하는 것이 바로 이 기록입니다. ANPD는 언제든 처리 활동 기록(제37조), 영향평가 보고서(제38조), 사고 처리 보고서를 요구할 수 있습니다.

Encarregado의 역할

LGPD 제41조는 컨트롤러에게 Encarregado를 지정하고 그 신원과 연락처를 “가급적 웹사이트에” 공개하도록 의무화합니다. 2024년 7월 16일 자 ANPD 이사회 결의 제18호가 이 역할을 구체화했습니다.

자연인(내부 인력이든 외부 인력이든)일 수도, 법인일 수도 있습니다. 지정에는 활동 방식과 업무를 기술한, 서면·일자·서명을 갖춘 공식 문서가 필요하며, ANPD는 언제든 이 문서를 요구할 수 있습니다.
처리자는 인적·기술적·관리적 자원을 제공하고, 기술적 자율성과 최고 경영 계층에 대한 직접 접근을 보장해야 합니다.
Encarregado는 사고 기록과 통지, 처리 활동 기록, 개인정보 영향평가 보고서(RIPD), 내부 감독 체계, 계약 문서에 관여해야 합니다.
처리의 수단과 목적을 결정하는 직무를 겸하면 이해충돌이 발생합니다. ANPD가 전형적인 예로 드는 것은 IT, 인사, 재무, 보건 부문의 책임자입니다. 이해충돌이 확인되면 제재 사유가 될 수 있습니다.
다행인 점도 하나 있습니다. Encarregado는 처리의 적법성에 대해 ANPD 앞에서 책임을 지는 주체가 아닙니다. 책임을 지는 것은 컨트롤러입니다.

소규모 처리자는 지정 의무가 면제될 수 있습니다(결의 제2/2022호). 다만 고위험 처리를 수행하거나, 규정이 정한 한도를 넘는 총매출을 올리거나, 그 한도를 넘는 기업집단에 속하는 경우는 예외입니다. 면제되더라도 정보주체와 소통할 창구는 유지해야 합니다.

실무적으로 말하면, ANPD에 서면을 제출하는 사람이 Encarregado입니다. 그가 사고 대응 계획에 들어 있지 않다면, 그 계획은 첫날부터 작동하지 않습니다.

제재: ANPD가 부과할 수 있는 것 (제52조)

법 조문에서 그대로 가져온 정확한 수치입니다.

제재	내용
경고	시정 조치 기한을 함께 부과
단순 과징금	사법인, 그룹 또는 기업집단이 브라질 국내에서 올린 직전 회계연도 매출액의 2%까지(세금 제외), 총액은 위반 1건당 5,000만 헤알(R$ 50.000.000,00) 한도
일일 과징금	총액 한도는 위와 동일
위반 사실 공표	조사와 확인을 마친 뒤
데이터 차단	시정될 때까지
데이터 삭제	위반과 관련된 데이터
데이터베이스 부분 정지	최대 6개월, 같은 기간만큼 연장 가능
처리 활동 정지	최대 6개월, 연장 가능
처리 활동의 부분 또는 전면 금지	—

마지막 세 가지(부분 정지, 처리 활동 정지, 금지)는 같은 사안에서 과징금, 공표, 차단, 삭제 중 최소 하나가 이미 부과된 뒤에야 적용할 수 있습니다(제52조 제6항).

한도만큼이나 제재 수위 산정이 중요합니다. 제52조 제1항은 여러 기준을 고려하도록 하는데, 그중에는 위반의 중대성과 성격, 선의, 협조, 손해를 최소화할 수 있는 내부 장치의 지속적 운영, 모범 사례와 거버넌스 정책, 그리고 시정 조치의 신속한 채택이 있습니다. ANPD 이사회 결의 제4/2023호는 위반을 경미·중간·중대로 분류하고 단순 과징금의 산정 방법을 제시합니다. 절차 진행 중에도 ANPD는 즉시적인 예방 조치를 명하고 그 이행을 담보하기 위해 일일 과징금을 정할 수 있습니다(결의 제15/2024호 제15조).

보안 업무를 하는 사람에게 가장 중요한 대목은 제48조 제3항에 있습니다. 중대성을 판단할 때 ANPD는 “영향받은 개인정보를 권한 없는 제3자가 이해할 수 없도록 만드는 적절한 기술적 조치가 채택되었다는 증명이 있는지”를 평가합니다. 제대로 구현된 암호화는 기술적 위생 수준의 문제가 아니라, 법에 규정된 감경 사유입니다.

최근의 제도 변화도 기록해 둘 만합니다. 2026년 2월 25일 자 법률 제15.352호(잠정조치 제1.317/2025호의 법률 전환)는 LGPD에 제55-A조를 신설하고, 국가데이터보호국(ANPD)을 법무·공공안전부 소속의 특수 법인격 기관으로 창설했습니다. 기능적·기술적·의사결정적·행정적·재정적 자율성과 고유 재산을 가지며 소재지는 연방구입니다. 같은 법으로 개인정보 보호 규제·감독 공무원 직군도 신설되었습니다. 실무적으로는 이렇게 요약됩니다. 같은 약칭, 더 강해진 집행력.

구체적인 기술 조치

ANPD의 정보보안 안내서(소규모 처리자를 대상으로 쓰였지만 규모를 가리지 않고 유용합니다)는 조치를 관리적인 것과 기술적인 것으로 나눕니다. 이 안내서를 제48조가 3영업일 안에 답할 수 있어야 한다고 요구하는 것과 겹쳐 보면 다음과 같습니다.

암호화. 전송 구간은 전부 TLS/HTTPS로. 내부 연동과 인사·보건 데이터가 오가는 이메일도 예외가 아닙니다. 저장 구간은 민감 필드와 백업을 암호화합니다. 제48조 제3항을 기억하세요. 유출된 데이터를 읽을 수 없다면 중대성이 낮아집니다.

접근 통제. ANPD는 접근 통제를 세 기능으로 나눕니다. 인증(누가 접근하는가), 인가(무엇을 할 수 있는가), 감사(무엇을 했는가). 실무로 옮기면 최소 권한(need to know), 개인정보를 다루는 시스템의 MFA, 비밀번호 복잡도 정책, 공급업체가 준 기본 비밀번호 교체, 그리고 계정과 비밀번호 공유 금지입니다. ANPD는 계정 공유를 “치명적인 취약점 벡터”라고 부릅니다.

감사 추적. 인증 성공과 실패, 개인정보 접근, 권한 변경, 내보내기, 관리자 작업을 기록하세요. 시험 방법은 간단합니다. 3영업일 안에 영향받은 정보주체가 몇 명이고, 어떤 범주의 데이터이며, 주된 원인이 무엇이었는지 말할 수 있습니까? 그 답을 얻으려고 애플리케이션 로그를 발굴해야 한다면, 사고는 이미 당신의 기한을 잡아먹었습니다.

보관과 파기. 필요한 것만 수집하고(제6조 제3호) 활성화된 목적이 없는 데이터를 지우면, 다음 사고의 공격면과 영향받는 정보주체 수가 함께 줄어듭니다. 여기에 저장 매체의 안전한 폐기를 더하세요.

랜섬웨어에 견디는 백업. ANPD의 권고는 명시적입니다. 정기적이고 완전한 백업을, 주 저장소와 다른 장소에, 그리고 실시간으로 동기화하지 않는 형태로. 공격자가 걸어 놓은 암호화까지 그대로 복제하지 않기 위해서입니다.

취약점 관리. 시스템과 애플리케이션을 최신으로 유지하고, 패치를 적용하고, 하드닝(불필요한 서비스 비활성화, 모든 기본 비밀번호 교체, 인터넷에 노출된 것을 지속적으로 점검)을 수행하고, 안티멀웨어를 설치·갱신하세요. 사용자에게 보안 설정을 끄지 말라고 명확히 안내하는 것까지 포함됩니다. ANPD 안내서는 CERT.br과 Cetic.br이 함께 수행한 조사를 인용합니다. 모든 것을 최신으로 유지하기, 하드닝 수행하기, 식별과 인증 강화하기(비밀번호 재사용 금지 포함)가 효과가 가장 큰 세 가지 조치에 든다는 내용입니다.

협력업체. 프로세서와의 계약에는 정보보안 조항, 컨트롤러와 프로세서 역할의 명확한 구분, 그리고 당신의 3영업일과 맞아떨어지는 내부 통지 기한이 있어야 합니다.

실무 체크리스트

사전 (상시 유지할 태세)

Encarregado 지정, 웹사이트에 연락처 공개, 이해충돌 없음, 최고 경영진에 대한 직접 접근 보장
처리 활동 기록(제37조) 최신 유지 — 열두 번째 항목인 “정보주체 총수”가 여기서 나옵니다
민감정보, 금융 데이터, 인증 데이터, 아동·청소년·고령자 데이터가 어디에 있는지 지도화
문서화된 정보보안 정책과 정기 검토
MFA, 최소 권한, 정기적인 접근 권한 재검토
전송·저장 구간 암호화와 키 관리
인증·접근·변경·내보내기에 대한 감사 추적, 제10조의 5년에 맞춘 보관 기간
검증된 백업, 오프라인 또는 비동기 사본 확보
프로세서 계약의 보안 조항과 통지 기한
사고와 취약점을 보고할 내부 창구와 교육

대응 (처음 3영업일)

부정적 사건이 있었고 개인정보가 영향을 받았음을 확인 — 시계는 여기서 시작합니다
봉쇄하고 증거를 보존 — 환경을 “정리”한다고 로그를 지우지 마세요
제5조 판단 적용: 권리에 중대한 영향을 주는가, 그리고 여섯 기준 중 하나에 해당하는가?
Encarregado를 호출하고 제6조 제2항의 12개 항목을 모으기
대리 자격 증명과 함께 SEI!ANPD에 제출 — 필요하면 예비 통지로
정보주체에게 쉬운 언어로, 개별적으로, 완화 권고와 함께 통지
전원을 특정할 수 없다면 도달 범위가 넓은 채널에 게시하고 3개월간 유지

사후

20영업일 안에 근거를 갖춰 통지 보완
정보주체 통지를 실행했다는 진술서를 절차에 제출
제10조의 8개 항목으로 사고 기록 — 통지하지 않기로 했더라도 반드시
근본 원인과 시정 조치를 문서화한 사후 분석(제재 수위 산정에 직접 반영됩니다)
영향평가 보고서와 영향받은 통제 재검토

플랫폼이 도울 수 있는 것과 없는 것

도구는 거버넌스 프로그램을 대신하지 않고, Encarregado를 지정해 주지 않으며, 당신을 대신해 ANPD에 서면을 내지 않습니다. 도구가 할 수 있는 일은 “무언가를 발견했다”와 “열두 개 항목이 다 채워졌다” 사이의 거리를 줄이는 것입니다. OODA Intelligence에서 이 흐름에 닿는 구성 요소는 다음과 같습니다.

Audit & Compliance — 50가지가 넘는 이벤트 유형(인증, 데이터 접근, 설정 변경, 사고), 설정 가능한 보관 기간, 무결성 해시 체인, 변경 불가 내보내기(WORM).
Users & Access — 모듈과 작업 단위 RBAC, MFA(TOTP, WebAuthn, SMS), SAML 2.0/OIDC SSO, 접근 권한 재검토.
Incident Management — 변경 불가 타임라인과 암호화된 첨부를 갖춘 대응 수명 주기. 제10조의 기록을 만들 때 유용합니다.
조직 단위 격리와 민감 필드 암호화. 자세한 내용은 LGPD 안내 페이지에 있습니다.

나머지 — 처리 활동 매핑, 법적 근거 정리, 프로세서 계약, 통지 여부 판단 — 는 여전히 사람의 몫입니다.