개인정보처리자

서비스 하나에 개인정보가 지나가는 회사는 한 곳이 아닙니다. 가입 정보는 우리 데이터베이스에 있지만 그 데이터베이스는 해외 클라우드 위에서 돌고, 안내 메일은 메일 발송 업체가 대신 보내고, 고객 문의는 상담 대행사가 받습니다. 정보 한 줄이 회사 네 곳을 지나갑니다.

이 상태에서 사고가 나면 서로를 가리키게 됩니다. 클라우드 업체는 우리는 저장 공간만 빌려줬다고 하고, 발송 업체는 받은 명단을 시킨 대로 보냈을 뿐이라고 하고, 서비스를 만든 회사는 우리가 직접 만진 건 아니라고 합니다. 정작 정보가 새어 나간 사용자는 누구에게 따져야 하는지 알 수 없습니다. 네 곳 모두 자기 몫은 했다고 말하는데 책임을 지겠다는 곳은 없는 상태가 됩니다.

그래서 규정은 만지는 손이 아니라 정하는 머리를 기준으로 삼았습니다. 이 정보를 왜 모을지, 어디에 쓸지, 언제 지울지를 결정한 쪽이 개인정보처리자이고 책임도 그쪽에 남습니다. 실제 서버를 남이 굴려 주고 메일을 남이 보내 줘도 자리는 옮겨 가지 않습니다. 사용자는 이 한 자리만 알면 되고, 회사들끼리의 사정은 그들 사이의 계약 문제가 됩니다.

판별 기준은 하나입니다. 목적과 방법을 스스로 정했는가. 남이 정해 준 범위 안에서 시키는 일만 했다면 그쪽은 수탁자이고, 무엇을 위해 어떻게 쓸지 정한 쪽이 개인정보처리자입니다. 직접 만졌는지는 기준이 아닙니다.

몇 가지를 대 보면 경계가 분명해집니다.

1. 우리 서비스의 가입자 정보 — 우리가 목적을 정했으므로 우리가 처리자입니다. 저장을 해외 클라우드에 맡겼어도 그렇습니다.
2. 우리가 대신 보내 주는 고객사 직원 명단 — 목적을 정한 쪽은 고객사입니다. 우리는 그 범위 안에서 처리하는 자리에 섭니다.
3. 채용 지원자 정보 — 사용자 정보와 별개로 우리가 목적을 정했으므로 여기서도 우리가 처리자입니다. 서비스에만 신경 쓰다 빠뜨리기 쉬운 자리입니다.

이 자리에 서면 의무가 한 묶음 따라옵니다. 처리할 자격을 미리 갖추고(동의 같은 근거), 무엇을 어떻게 다루는지 개인정보처리방침으로 공개하고, 목적에 필요한 만큼만 모으고(최소 수집), 정해 둔 보유 기간이 지나면 지우고, 정보주체가 지워 달라거나 확인하겠다고 하면 기한 안에 답하고, 새어 나가면 유출 신고를 합니다.

남에게 맡긴 몫도 결국 이 자리로 돌아옵니다. 대신 처리해 주는 업체가 실수해 정보가 새어 나가도 사용자에게 통지하고 기관에 신고하는 것은 처리자의 일입니다. 맡긴 쪽이 할 수 있는 일은 책임을 넘기는 것이 아니라, 계약으로 시킨 범위를 좁히고 재위탁을 막고 사고 시 즉시 알리게 해 두는 것까지입니다.

이 말은 개념 설명보다 문서에서 먼저 마주칩니다. 어느 칸에 회사 이름을 적느냐가 곧 누가 책임지느냐이기 때문입니다.

1. 개인정보처리방침의 첫머리 — 처리자가 누구인지와 연락받을 담당자를 적습니다. 사용자가 요구를 보낼 주소가 이 칸입니다.
2. 처리 위탁 계약서 — 어느 쪽이 처리자이고 어느 쪽이 수탁자인지를 첫 조항에서 가릅니다. 여기가 헐겁게 적히면 사고가 난 뒤 책임 범위를 두고 다투게 됩니다.
3. 유출 신고서 — 신고하는 주체 칸에 들어갑니다. 서버를 빌려준 업체가 대신 신고해 주지 않고, 사고 원인이 그 업체 쪽에 있어도 기관에 내는 것은 우리 이름입니다.
4. 동의 화면 — 누가 무엇을 위해 이 정보를 받는지 밝히는 문장에 처리자가 등장합니다.
5. 해외 규정 대응 — 유럽 규정도 목적을 정한 쪽과 대신 처리하는 쪽을 같은 방식으로 가릅니다. 유럽 사용자를 받는 서비스라면 우리가 어느 쪽인지를 그 규정 기준으로도 따져 둬야 합니다.

"이 건은 우리가 처리자예요. 클라우드에 올려 뒀다고 그쪽 책임이 되지 않습니다."

저장 위치와 책임 소재는 다른 문제라는 말입니다.

"고객사 직원 명단은 고객사가 처리자고 우리는 수탁자입니다. 계약서에 그렇게 적혀 있어요."

같은 회사라도 데이터마다 서는 자리가 다르다는 뜻입니다.

"채용 지원자 정보도 우리가 처리자인데 보유 기간이 안 정해져 있어요."

서비스 밖 데이터에는 규칙이 빠져 있는 경우가 많다는 지적입니다.

페이지덱이 이 구분을 처음 따진 건 기업 고객과의 계약 검토 자리였습니다. 계약서 초안에 페이지덱이 처리자로 적혀 있었는데, 고객사가 자기 직원 계정을 만들어 올리는 데이터는 목적을 고객사가 정합니다. 규원이 이 대목을 짚었고, 데이터마다 자리를 나눠 적는 쪽으로 조항을 다시 썼습니다.

그러자 실무가 갈라졌습니다. 페이지덱 가입자 정보는 우리가 처리자이므로 지현이 보유 기간과 삭제 절차를 정합니다. 고객사 직원 데이터는 우리가 수탁자이므로 태오는 고객사가 지워 달라고 하면 지우고, 시키지 않은 용도로는 쓰지 않습니다. 같은 서버에 나란히 있는 두 데이터의 규칙이 달라진 겁니다.

서버를 직접 굴리지 않으면 처리자가 아니라고 보는 경우가 가장 많습니다. 처리라는 말이 저장하고 가공하는 작업을 가리키는 것처럼 들려서 생기는 오해입니다. 기준은 손이 아니라 결정입니다. 회사에 서버가 한 대도 없고 전부 외부 서비스로 굴러가도, 무엇을 모을지 정한 쪽은 우리이므로 처리자는 우리입니다. 이걸 거꾸로 알면 위탁 계약서에 책임 조항만 넣어 두고 안심하다가, 사고가 난 날 기관에 신고할 주체가 우리라는 사실을 그때 알게 됩니다.

회사 안의 담당자 개인이 처리자라고 읽는 것도 흔합니다. 방침 문서에 담당자 이름과 연락처가 적혀 있어서 그렇게 보입니다. 실제로 이 자리에 서는 것은 회사이고, 적힌 담당자는 연락을 받는 창구입니다. 이 구분이 흐려지면 담당자가 퇴사할 때 그 자리가 비고, 요구를 보낼 곳이 사라진 상태로 몇 달이 지나갑니다. 사람이 아니라 회사가 진다는 것을 알면 담당자가 바뀔 때 문서의 이름도 함께 바꾸게 됩니다.