국외 이전

예전에는 회사가 쓰는 서버가 어디에 있는지 묻는 사람이 없었습니다. 전산실이 건물 지하에 있었고, 고객 명단은 그 건물을 벗어나지 않았습니다. 정보가 국경을 넘는 경우란 해외 지사에 명단을 보내는 특별한 일뿐이었고, 그럴 때만 따로 결재를 받았습니다.

클라우드, 그러니까 필요한 만큼 빌려 쓰는 원격 컴퓨팅 자원이 기본값이 되면서 이 전제가 깨졌습니다. 서버를 사는 대신 빌려 쓰게 되자 그 장비가 어느 나라에 놓여 있는지는 화면의 선택 항목 하나가 됐습니다. 여기에 메일 발송, 고객 문의 관리, 오류 수집, 사용자 행동 분석까지 외부 서비스로 붙이면 가입자 한 명의 정보가 하루에도 여러 나라를 지나갑니다. 개발자가 결제 화면에서 요금제를 고르는 30초 사이에 일어나는 일입니다.

문제는 정보의 주인이 이 사실을 알 길이 없다는 데 있었습니다. 한국 사이트에 한국어로 가입했는데 내 이메일 주소와 접속 기록이 어느 나라에 저장되어 어느 나라 법의 적용을 받는지, 화면 어디에도 적혀 있지 않았습니다. 사고가 나거나 삭제를 요구할 때에야 상대가 외국 회사였다는 사실이 드러났습니다. 국외 이전 규정은 이 사실을 미리 밝히게 하려고 만들어진 규칙입니다.

내보내기 전에 무엇이 어디로 가는지를 목록으로 만들고, 그 내용을 정보주체에게 알린 뒤, 알린 대로만 내보내는 것이 전체 흐름입니다. 순서는 다섯 단계입니다.

1. 항목을 셉니다. 이름과 이메일 주소만 가는지, 결제 정보와 문서 내용까지 가는지를 서비스별로 적습니다. 오류 수집 도구처럼 개인정보를 보내려고 붙인 게 아닌 도구에서도 로그에 사용자 아이디가 섞여 나가는 일이 흔해서, 실제로 나가는 값을 한 번 열어 봐야 합니다.
2. 받는 쪽과 목적지를 적습니다. 업체 이름, 그 업체가 데이터를 두는 나라, 무엇을 위해 처리하는지까지입니다. 업체가 다시 다른 업체에 맡기는 경우가 있어 한 단계 더 확인합니다.
3. 근거를 세웁니다. 대개 정보주체의 동의를 받는 쪽이고, 서비스 제공에 꼭 필요한 위탁이라면 계약과 공개로 갈음할 수 있는 길이 따로 있습니다. 어느 쪽이든 받는 나라와 항목을 알리지 않고 진행할 수는 없습니다.
4. 문서에 반영합니다. 개인정보처리방침에 이전받는 자, 이전되는 항목, 이전되는 국가, 이용 목적, 보유 기간을 적어 공개합니다. 도구를 하나 붙이거나 뗄 때마다 이 문서도 함께 고쳐야 합니다.
5. 받는 쪽을 묶어 둡니다. 시킨 범위 밖으로 쓰지 않을 것, 임의로 재위탁하지 않을 것, 사고가 나면 즉시 알릴 것을 계약으로 못 박습니다.

동의를 받을 때 걸리는 지점이 하나 더 있습니다. 국외 이전 동의는 가입 동의에 묻어 두면 안 되고 따로 구분해 받아야 합니다. 체크박스 하나에 이용약관과 개인정보 수집과 국외 이전을 함께 묶어 두면 동의를 받은 것으로 보기 어렵습니다.

국내 서비스만 만든다고 생각해도 대부분의 팀이 여기에 걸립니다. 넘어가는 경로는 대체로 넷입니다.

• 클라우드 리전 — 데이터베이스와 파일 저장소를 해외 리전에 두는 경우입니다. 국내 리전을 골랐더라도 백업본이 다른 나라에 복제되는 설정이 켜져 있으면 그 역시 이전입니다.
• 분석과 오류 수집 — 사용자 행동 기록이나 오류 로그가 해외 서비스로 전송됩니다. 개인을 알아볼 수 있는 값이 섞이는지가 관건입니다.
• 커뮤니케이션 도구 — 안내 메일 발송, 고객 문의 관리, 푸시 알림처럼 사용자 연락처를 넘겨야 돌아가는 도구입니다.
• 사람 — 해외에 있는 팀원이나 협력사가 고객 데이터를 열어 보는 경우입니다. 데이터가 국내 서버에 있어도 접근하는 사람이 밖에 있으면 이전으로 봅니다.

페이지덱에서는 문서 파일을 국내 리전에 두고 있지만 오류 수집과 메일 발송을 해외 서비스로 씁니다. 그래서 처리방침에는 이 두 업체의 이름과 나라가 적혀 있고, 가입 화면에는 국외 이전 동의가 별도 항목으로 놓여 있습니다. 규원이 기업 고객과 계약할 때 상대 법무팀이 가장 먼저 요구하는 자료도 이 목록입니다.

"이 도구 붙이기 전에 국외 이전 항목부터 처리방침에 넣어야 합니다."

도구 연동보다 공개 문서 갱신이 먼저라는 말입니다.

"서버는 국내인데 지원팀이 해외에 있어서 이전에 해당합니다."

저장 위치가 아니라 접근하는 사람의 위치로도 이전이 성립한다는 뜻입니다.

"그 업체가 어느 나라에 데이터를 두는지 확인해 주실 수 있나요?"

계약 전에 목적지 국가를 문서로 확인해 두겠다는 요청입니다.

태오가 새 오류 수집 도구를 붙이자고 제안하면 페이지덱에서는 도입 검토가 두 갈래로 나뉩니다. 한쪽은 기능과 비용을 보고, 다른 한쪽은 이 도구로 나가는 값에 사용자를 알아볼 수 있는 정보가 섞이는지를 봅니다. 섞인다면 처리방침을 고치고 동의 항목을 손봐야 하므로 붙이는 날짜가 2주쯤 뒤로 밀립니다. 이 과정을 건너뛰고 먼저 붙였다가 나중에 되돌리는 쪽이 훨씬 비쌉니다.

국내 사용자만 받는 서비스라 해당이 없다고 보는 경우가 가장 많습니다. 이전이라는 말이 해외 진출을 떠올리게 하니 그렇게 읽힙니다. 기준은 사업의 국적이 아니라 정보가 놓이는 위치입니다. 한국 사용자만 쓰는 한국어 서비스라도 데이터가 해외 장비에 저장되거나 외국 업체가 처리하면 그대로 해당합니다. 해당 없다고 보고 알림과 근거를 갖추지 않으면, 나중에 기업 고객의 보안 검토나 감독 기관 점검에서 한꺼번에 드러납니다.

동의만 받아 두면 끝이라고 보는 시각도 흔합니다. 동의는 다섯 단계 중 하나일 뿐입니다. 받는 업체가 데이터를 두는 나라를 바꾸거나, 새 도구를 하나 더 붙이거나, 기존 도구가 재위탁 업체를 추가하면 알린 내용과 실제가 어긋납니다. 그래서 국외 이전은 한 번 처리하고 닫는 일이 아니라 도구 목록이 바뀔 때마다 다시 맞추는 일입니다. 분기에 한 번 지금 쓰는 외부 서비스를 전부 적어 보고 처리방침의 목록과 한 줄씩 대조해 보면, 대개 문서에 없는 도구가 한두 개 나옵니다.