수탁자

일을 나눠 맡기는 것이 흔해지면서 개인정보를 정한 사람과 만지는 사람이 갈라졌습니다. 회원 명단을 모은 것은 A 회사인데 그 명단으로 메일을 실제로 보내는 것은 B 업체이고, 명단이 담긴 서버를 굴리는 것은 또 다른 C 회사입니다. 사용자 한 명의 이메일 주소가 세 회사를 거칩니다.

그러다 보니 사고가 나면 누구에게 물어야 하는지가 불분명해졌습니다. 유출이 B 업체에서 일어났으니 B 가 책임지면 될 것 같지만, 사용자는 B 라는 회사를 들어 본 적도 없습니다. 가입한 곳은 A 이고 개인정보를 넘기겠다고 한 적도 없습니다. 반대로 B 가 모든 책임을 지게 하면 A 는 아무 업체에나 명단을 던져 놓고 손을 털 수 있게 됩니다. 값이 싼 업체를 고르는 쪽이 늘 유리해지고, 명단은 점점 관리가 허술한 곳으로 흘러갑니다.

그래서 기준을 만지는 쪽이 아니라 정하는 쪽에 두기로 했습니다. 무엇을 왜 모을지 정한 개인정보처리자가 사용자에 대한 책임을 지고, 그 지시를 받아 실제 처리를 하는 쪽을 수탁자라는 별도 자리로 둡니다. 수탁자는 자기 판단으로 목적을 바꿀 수 없고, 대신 사고가 나도 사용자를 상대하는 것은 맡긴 쪽입니다. 책임의 주소를 하나로 고정해 둔 설계입니다.

수탁자 자리에 서면 제약이 셋 붙습니다.

1. 지시 범위 안에서만 처리합니다. 발송을 맡았으면 발송까지입니다. 받은 명단으로 자기 서비스를 홍보하거나 다른 고객사 데이터와 합쳐 통계를 내는 것은 범위 밖입니다. 그 순간 이 회사는 스스로 목적을 정한 셈이 되어 처리자 자리로 넘어가고, 사용자에 대한 책임도 함께 따라옵니다.
2. 마음대로 재위탁하지 않습니다. 받은 일을 또 다른 업체에 넘기려면 미리 알리고 승인을 받거나, 최소한 그 목록을 공개합니다. 맡긴 쪽이 모르는 회사가 명단을 보고 있는 상태를 막으려는 것입니다.
3. 끝나면 돌려주거나 지웁니다. 계약이 끝났는데 데이터가 남아 있으면 그때부터는 아무 근거 없이 개인정보를 갖고 있는 상태가 됩니다. 지웠다는 증빙까지 맡긴 쪽에 보내는 것이 보통입니다.

누가 어느 자리인지는 목적을 정하는 쪽이 어디냐로 가립니다. 직접 만지느냐는 기준이 아닙니다. 서버를 남이 굴려 줘도 무엇을 모을지 정한 회사가 처리자입니다.

한 회사가 두 자리에 동시에 서기도 합니다. 협업 문서 서비스는 고객사 직원들이 올린 문서와 계정 정보에 대해서는 수탁자입니다. 그 데이터를 왜 다루는지 정한 것은 고객사이기 때문입니다. 동시에 그 서비스에 직접 가입한 사람들의 이메일과 결제 정보에 대해서는 처리자입니다. 같은 서버 안에 두 자리의 데이터가 섞여 있으므로, 어느 요청이 어느 자리에서 온 것인지를 구분할 수 있어야 합니다.

이 구분이 실제로 일을 바꾸는 자리는 넷입니다.

1. 계약. 처리 위탁 계약이 곧 이 자리를 문서로 확정하는 절차입니다. 넘기는 항목과 지시 범위와 사고 통지 시한이 거기 적힙니다.
2. 공개 문서. 개인정보처리방침에는 누구에게 무엇을 맡기는지가 목록으로 나갑니다. 업체를 바꾸면 이 목록도 바뀝니다.
3. 사고 대응. 수탁자 쪽에서 유출이 나면 통지는 맡긴 쪽을 거쳐 사용자에게 갑니다. 수탁자가 사용자에게 직접 연락하지 않는 것은 그 사용자와 관계를 맺은 쪽이 아니기 때문입니다.
4. 사용자 요청. 삭제 요구권 같은 요청이 수탁자에게 바로 오면 수탁자는 그 자리에서 판단하지 않고 맡긴 쪽에 넘깁니다. 지울지 말지를 정하는 것이 자기 권한이 아니기 때문입니다.

B2B 제품을 파는 회사는 이 구분을 세일즈 단계에서 만납니다. 고객사 보안 설문에 자기 회사가 어느 자리인지, 하위 업체가 누구인지, 협력사 보안 점검을 어떻게 받는지를 답해야 합니다.

"이 건에서 우리는 수탁자예요. 목적은 고객사가 정했습니다."

책임의 최종 주소가 우리가 아니라는 확인입니다.

"그 데이터로 우리 모델 학습시키면 수탁자 범위 벗어나는 거 아니에요?"

지시받은 일 밖으로 나가면 자리 자체가 바뀐다는 지적입니다.

"사용자가 우리한테 직접 삭제해 달라고 왔는데, 고객사에 넘겨야 하나요?"

요청을 받은 창구와 결정할 권한이 다른 곳에 있다는 뜻입니다.

페이지덱은 기업 고객을 받으면서 자기 자리가 둘이라는 것을 정리해야 했습니다. 수아가 고객사 보안 설문을 받아 왔는데 첫 문항이 귀사는 어느 자리인지를 묻는 것이었고, 답이 하나로 나오지 않았습니다. 고객사 직원들이 올린 문서에 대해서는 수탁자이고, 무료 플랜으로 직접 가입한 사람들에 대해서는 처리자였습니다.

규원과 지현이 데이터를 두 갈래로 나눠 적었습니다. 그리고 태오가 두 갈래에 다른 규칙을 걸었습니다. 고객사 몫의 데이터는 페이지덱 내부 분석에 쓰지 않도록 분석 도구로 나가는 경로에서 빼고, 계약이 끝나면 30일 안에 지워지도록 자동 작업을 걸었습니다. 자리를 문서에만 적어 두면 코드는 여전히 둘을 같은 데이터로 다루기 때문입니다.

업체에 맡기면 책임도 함께 넘어간다고 생각하기 쉽습니다. 계약서에 서명하고 돈을 냈으니 그 뒤에 벌어지는 일은 받은 쪽 몫이라는 감각이 자연스럽습니다. 하지만 사용자에 대한 책임은 목적을 정한 쪽에 남습니다. 수탁자에게 물을 수 있는 것은 계약을 어겼는지이고, 사용자가 신고하고 감독 기관이 조사하는 상대는 맡긴 쪽입니다.

그래서 맡긴 쪽에는 고른 책임과 지켜본 책임이 남습니다. 보안 수준을 확인하지 않고 고른 것, 계약에 적힌 대로 하는지 한 번도 점검하지 않은 것이 그대로 자기 과실이 됩니다. 이 오해를 그대로 두면 업체 선정을 가격만 보고 하게 되고, 사고가 난 뒤에 우리는 맡겼을 뿐이라고 말해도 받아들여지지 않습니다. 과징금도 사용자 통지도 맡긴 쪽 이름으로 나갑니다.