개인정보보호법

온라인 서비스가 늘어나던 시기에는 가입할 때 받은 정보를 어디까지 써도 되는지가 흐릿했습니다. 회원 이메일로 광고를 보내는 것은 당연한 일이었고, 제휴사에 명단을 넘기는 일도 계약서 한 줄로 끝났습니다. 사용자는 자기 정보가 어디에 가 있는지 알 방법이 없었고, 대규모 유출이 터진 뒤에야 어떤 항목이 수집돼 있었는지를 뉴스로 알게 됐습니다.

페이지덱도 같은 자리에 섰던 적이 있습니다. 현우가 무료 사용자 3만 명의 이메일로 신기능 안내를 보내려 했고, 같은 주에 수아는 기업 고객 명단을 제휴사 세미나 초청용으로 넘기려 했습니다. 둘 다 악의는 없었고, 가입할 때 받은 이메일이니 우리 것이라고 생각한 것입니다. 규원이 둘을 멈추고 확인해 보니 가입 화면의 동의는 서비스 제공에 필요한 범위뿐이었습니다.

이 법은 그 경계를 못 박아 둡니다. 정보를 모을 때 무엇을 왜 모으는지 알리고 동의를 받게 하고, 목적 밖으로 쓰거나 밖으로 넘길 때는 다시 동의를 받게 합니다. 정보를 준 사람에게는 자기 정보를 보고 고치고 지울 권리를 줍니다.

개인정보가 움직이는 모든 단계에 목적과 근거를 요구하는 방식으로 작동합니다. 단계는 다섯입니다.

1. 수집 — 무엇을 왜 수집하고 얼마나 보관하는지 알리고 동의를 받습니다. 동의는 서비스에 꼭 필요한 항목과 그렇지 않은 항목으로 나눠 따로 받습니다. 선택 항목의 동의를 거부한 사용자에게 서비스 이용을 막을 수 없습니다.
2. 더 엄격한 항목 — 건강이나 사상처럼 민감한 정보와 주민등록번호 같은 고유식별정보는 별도 동의나 법령 근거가 필요합니다. 주민등록번호는 법령에 근거가 없으면 수집 자체가 막혀 있습니다.
3. 목적 밖 이용과 제공 — 받은 목적을 벗어나 쓰거나 다른 회사에 넘길 때는 다시 동의를 받습니다. 국외로 보내는 경우도 별도입니다. 여기서 자주 놓치는 것이 광고입니다. 광고성 정보를 보내려면 광고 수신 동의를 따로 받아야 하고, 가입 동의가 그것을 대신하지 못합니다.
4. 보관과 파기 — 목적을 이루거나 정해 둔 기간이 지나면 지체 없이 지웁니다. 탈퇴한 회원의 이메일을 광고 목록에 남겨 두는 것이 흔한 위반입니다.
5. 정보주체의 권리 — 자기 정보를 열람하고 고치고 지우고 처리를 멈추게 할 수 있습니다. 어떤 항목을 어떤 목적으로 처리하는지는 개인정보 처리방침으로 공개합니다.

사고가 났을 때의 절차도 이 법에 있습니다. 유출을 알게 되면 정보주체에게 알리고 감독 기관에 신고합니다. 시한은 72시간입니다. 감독과 처분은 개인정보보호위원회가 맡고, 위반이 확인되면 전체 매출액의 3퍼센트 안에서 과징금이 부과될 수 있습니다. 온라인 사업자에게만 적용되던 조항들이 2020년 개정으로 이 법에 합쳐져, 지금은 웹 서비스와 오프라인 사업자가 같은 법을 봅니다.

마케팅에서 가장 먼저 걸리는 자리는 가입 화면의 동의 항목입니다. 필수와 선택을 나누고, 선택 항목마다 무엇에 쓰는지 한 줄로 적습니다. 광고 수신 동의를 필수 항목에 끼워 넣거나 미리 체크해 두는 것이 실무에서 가장 자주 지적되는 형태입니다.

나머지 세 자리는 이렇습니다.

1. 발송 목록을 만들 때 — 이메일 목록을 뽑는 조건에 광고 수신 동의 여부가 들어가야 합니다. 전체 목록에서 바로 뽑으면 동의하지 않은 사람이 섞입니다. 탈퇴자와 동의를 철회한 사람이 빠지는지도 봅니다.
2. 광고 도구를 붙일 때 — 사이트에 심는 추적 코드는 방문 기록을 외부 회사로 보냅니다. 그 회사가 어디이고 무엇을 보내는지 처리방침에 적고, 국외로 나가면 그 사실까지 밝힙니다.
3. 보관 기간을 정할 때 — 목적별로 기간을 정해 두고 지난 데이터가 자동으로 지워지게 만듭니다. 손으로 지우는 구조는 반드시 밀립니다.

적용 범위도 봅니다. 이 법은 한국에서 처리되는 개인정보를 다루므로, 유럽 사용자에게 서비스한다면 GDPR을 함께 봐야 합니다. GDPR은 유럽의 개인정보 보호 규정입니다.

"이 목록으로 광고 보내면 안 됩니다. 가입 동의만 받은 사람들이에요."

서비스 제공 동의가 광고 발송 근거가 되지 않는다는 지적입니다.

"제휴사에 명단 넘기려면 제3자 제공 동의를 따로 받아야 합니다."

목적 밖으로 넘기는 일에는 별도 동의가 필요하다는 정정입니다.

"탈퇴한 회원이 아직 발송 목록에 있어요. 파기 조건을 다시 봅시다."

보관 기간이 지난 정보가 지워지지 않고 있다는 보고입니다.

페이지덱은 규원이 두 건을 멈춘 뒤 세 가지를 정리했습니다. 가입 화면에서 광고 수신 동의를 선택 항목으로 분리하고, 발송 목록 조건에 동의 여부와 탈퇴 여부를 넣고, 처리방침에 추적 코드를 쓰는 외부 회사 이름을 적었습니다.

발송 가능한 목록은 3만 명에서 6천 명으로 줄었습니다. 현우가 반발했지만 한 달 뒤 생각을 바꿨습니다. 열어 보는 비율이 네 배 가까이 올라 실제로 클릭된 수는 오히려 늘었습니다.

가입할 때 동의를 받았으니 광고까지 보낼 수 있다고 보는 경우가 가장 많습니다. 동의라는 단어가 하나이니 하나로 끝난 것처럼 느껴집니다. 그런데 동의는 목적마다 따로 성립합니다. 서비스를 위해 받은 이메일은 서비스 안내에 쓰는 것이고, 광고는 다른 목적입니다. 이 오해를 그대로 두면 발송 목록이 커지는 대신 신고와 과태료로 돌아오고, 급히 정리하다 동의받은 사람까지 사라집니다.

가명처리하면 마음대로 쓸 수 있다고 보는 것도 흔합니다. 이름을 지우고 번호로 바꾸면 개인정보가 아닐 것 같으니 그렇게 읽힙니다. 하지만 다른 정보와 합쳐 다시 사람을 알아볼 수 있으면 여전히 이 법의 대상입니다. 가명처리한 데이터를 쓸 수 있는 목적도 통계나 연구처럼 법이 정한 범위로 제한됩니다. 그대로 두면 안전하다고 믿고 외부 데이터와 합치게 되고, 합친 순간 다시 알아볼 수 있는 데이터가 됩니다.