정당한 이익

개인정보를 다루려면 먼저 동의를 받으라는 것이 오랫동안 유일한 답이었습니다. 동의는 무엇을 어떤 목적으로 모으는지 알린 뒤 미리 허락을 받아 두는 절차입니다. 그런데 허락을 구하는 일 자체가 앞뒤가 맞지 않는 처리가 있습니다. 가짜 계정을 대량으로 만드는 사람에게 "부정 가입인지 확인하게 접속 기록을 봐도 될까요" 하고 묻는다면, 허락하지 않은 사람은 검사에서 빠지므로 검사가 성립하지 않습니다.

페이지덱에서도 같은 장면이 있었습니다. 하루에 수백 개씩 만들어진 무료 계정이 광고 문서를 뿌리자 태오가 가입 시점의 접속 기록을 대조해 걸러 내자고 했는데, 동의 항목을 하나 더 넣자는 말이 나오는 순간 회의가 멈췄습니다. 동의를 누른 사람만 검사받는 장치는 아무것도 막지 못합니다.

동의 항목을 늘리는 쪽에도 값이 붙습니다. 체크박스가 아홉 개 놓이면 사용자는 읽지 않고 전체 선택을 누르고, 받아 둔 허락은 아무것도 확인해 주지 못하게 됩니다.

정당한 이익은 이 둘을 함께 풀려고 둔 자리입니다. 회사가 꼭 해야 하고 주인도 예상할 만한 처리는 묻지 않고 하되, 왜 그래도 되는지를 회사가 스스로 따져 기록으로 남기게 했습니다. 판단의 책임을 사용자의 체크박스에서 회사 쪽으로 옮긴 셈입니다.

세 가지 질문에 차례로 답하고 그 답을 문서로 남기면 이 근거가 섭니다. 앞 질문에서 걸리면 뒤로 넘어가지 않습니다.

1. 목적이 정당한가 — 무엇을 위한 처리인지 한 문장으로 적습니다. "부정 가입을 막으려고 가입 시점의 접속 주소와 기기 정보를 30일 동안 보관한다" 정도로 좁아야 합니다. "서비스 개선" 처럼 넓으면 다음 질문에 답할 수 없습니다.
2. 그 목적에 꼭 필요한가 — 덜 침해적인 방법으로도 목적을 이루면 여기서 탈락합니다. 한 사람이 며칠 사이에 계정을 몇 개 만들었는지 세는 것만으로 걸러진다면 기기 정보까지 모을 이유가 없습니다.
3. 정보주체의 권리보다 앞서는가 — 정보주체는 그 정보의 주인이 되는 사람입니다. 회사가 얻는 것과 그 사람이 잃는 것을 나란히 놓고 견줍니다. 사용자가 예상할 만한 처리인지, 항목이 건강이나 신념처럼 민감한지, 대상이 아동인지가 여기서 갈립니다.

판정은 사실상 세 번째 질문에서 납니다. 한국의 개인정보 보호법은 정보주체의 권리보다 명백하게 우선할 때만 인정하므로, 팽팽하면 인정되지 않는 쪽으로 봅니다.

판단하는 쪽은 개인정보처리자, 곧 무엇을 왜 모을지 정하는 회사입니다. 서버를 남이 굴려 주더라도 목적을 정한 쪽이 이 자리에 섭니다. 이 판단을 적어 둔 문서를 균형 테스트 기록이라고 부릅니다. 감독 기관이나 기업 고객이 왜 허락 없이 처리했는지 물을 때 내놓는 것이 이 문서이고, 판단은 했는데 적어 두지 않았다면 판단하지 않은 것과 구분되지 않습니다.

근거가 섰다고 나머지 의무가 사라지지는 않습니다. 개인정보처리방침에 무엇을 어떤 근거로 처리하는지 적어 공개해야 하고, 최소 수집 원칙대로 필요한 항목만 모아야 하고, 보유 기간을 정해 그때가 되면 지워야 합니다. 이 근거가 면제해 주는 것은 허락을 묻는 절차 하나뿐입니다.

부정 이용을 막고 서비스를 굴러가게 하는 자리에서 가장 자주 씁니다. 사용자가 굳이 허락할 이유는 없지만 하지 않으면 그 사용자까지 손해를 보는 처리들입니다.

1. 부정 가입과 결제 사기 탐지 — 가입과 결제 시점의 접속 기록을 짧게 보관해 같은 패턴을 걸러 냅니다. 이 처리가 막히면 정상 사용자가 스팸 문서와 도용된 카드값을 떠안습니다.
2. 서비스 운영과 장애 대응 기록 — 누가 언제 어떤 화면에서 오류를 만났는지를 남겨 둬야 원인을 찾습니다. 기록이 없으면 같은 장애를 재현할 방법이 없습니다.
3. 회사 안의 정보 보안 — 사내 계정의 접근 기록을 확인해 권한 밖의 열람을 잡아냅니다.

반대로 이 근거가 서지 않는 자리가 더 분명합니다. 새 광고 대상을 뽑으려고 행동 기록을 모으는 일, 건강이나 정치 성향 같은 민감한 항목을 다루는 일, 아동의 정보를 다루는 일, 모은 정보를 다른 회사에 넘기는 일은 이 근거로 덮이지 않습니다.

나라마다 인정 범위가 다른 점도 걸립니다. 유럽의 GDPR은 이 근거를 여섯 처리 근거 중 하나로 두고 폭넓게 인정하지만 한국은 범위가 좁습니다. 페이지덱처럼 양쪽 사용자를 함께 받는 제품은 더 좁은 쪽에 맞춰 두는 편이 뒤탈이 적습니다.

"이거 동의 항목 늘리지 말고 정당한 이익으로 가면 안 돼요?"

가입 화면에 체크박스를 하나 더 붙이는 대신 다른 근거로 처리할 수 있는지 묻는 말입니다.

"정당한 이익으로 잡을 거면 균형 테스트 기록부터 남겨 주세요."

판단한 내용을 문서로 남겨 두지 않으면 나중에 설명할 방법이 없다는 뜻입니다.

"그건 형량이 안 서요. 마케팅 목적이면 동의를 받는 게 맞습니다."

회사가 얻는 것보다 사용자가 입는 불이익이 커서 이 근거를 쓸 수 없다는 판단입니다.

페이지덱에서 부정 가입 차단 기능을 올릴 때 이 말이 오갔습니다. 태오가 모을 항목을 접속 주소와 브라우저 정보 둘로 줄여 오자 규원이 세 질문에 답을 적어 남겼고, 지현이 처리방침에 한 줄을 더하고 30일 지난 기록을 자동으로 지우는 작업을 다음 주기에 넣었습니다. 기능은 하루면 붙는데 붙이는 조건을 맞추는 데 그만큼이 더 들어갔습니다.

이름 때문에 회사에 이익이 되면 쓸 수 있는 근거로 읽는 경우가 가장 많습니다. 동의 화면을 줄이고 싶은 실무 사정까지 겹치면 더 그렇게 보입니다. 실제로는 이익이 있다는 것이 첫 번째 질문을 통과했다는 뜻일 뿐이고 필요성과 균형이 남아 있습니다. 이 둘을 건너뛰면 근거 없는 수집이 되어 시정 명령과 과태료가 따르고, 그 데이터로 만든 기능은 데이터째 들어내야 합니다.

알리지 않아도 된다고 읽는 오해도 잦습니다. 묻지 않으니 통지도 생략된다고 생각하기 쉽지만 면제되는 것은 묻는 절차뿐입니다. 무엇을 어떤 근거로 처리하는지는 처리방침에 적어 공개해야 하고, 이 처리를 멈춰 달라고 요구할 창구도 있어야 합니다. 이걸 빼먹으면 사용자는 유출 사고가 난 다음에야 자기 정보의 쓰임을 알게 되고, 그때는 근거가 적법했는지와 무관하게 신뢰가 먼저 깨집니다.