개인정보처리방침

서비스에 가입하면서 이름과 전화번호를 넘기는 일은 오래전부터 있었지만, 넘긴 뒤에 그 정보가 어디로 가는지 알 방법은 없었습니다. 가입 화면에는 필요하다는 말만 적혀 있었고, 무엇에 쓰는지도 언제까지 갖고 있는지도 회사 안에서만 알았습니다.

그래서 이런 일이 되풀이됐습니다. 쇼핑몰에 가입한 지 석 달 뒤부터 모르는 번호로 보험 권유 전화가 걸려 옵니다. 어디서 번호가 나갔는지 짐작은 되지만 확인할 길이 없습니다. 고객센터에 물으면 적법하게 처리하고 있다는 답이 돌아오고, 그 말이 맞는지 틀렸는지 확인할 문서가 애초에 없습니다.

개인정보처리방침은 이 상황을 문서 하나로 고정한 제도입니다. 법이 담아야 할 항목을 정해 두고 회사가 그것을 채워 공개하게 했습니다. 문서가 밖에 나와 있으면 두 가지가 생깁니다. 사용자는 물어볼 근거를 갖고, 감독 기관은 실제 처리와 대조할 기준을 갖습니다.

담을 항목은 회사가 고르지 않고 법이 정해 둡니다. 빠진 항목이 있으면 그 자체로 위반이 되므로 순서와 표현은 바꿔도 항목은 지킵니다.

1. 수집하는 항목과 수집 방법 — 이름, 이메일, 결제 정보처럼 실제로 받는 항목을 적습니다. 가입 화면에서 직접 받는 것만이 아니라 접속 기록이나 기기 정보처럼 자동으로 쌓이는 것도 들어갑니다.
2. 처리 목적 — 항목마다 무엇에 쓰는지 붙입니다. 목적 제한 원칙 때문에 여기 적지 않은 용도로는 쓸 수 없어서, 실무에서 가장 신중하게 적는 칸입니다.
3. 보유 기간 — 항목별로 따로 적습니다. 보유 기간은 결제 기록처럼 법이 5년을 정해 둔 것과 접속 로그처럼 회사가 3개월로 정하는 것이 섞여 있어서, 회원 정보 일괄 삭제라고 뭉쳐 적으면 실제와 어긋납니다.
4. 제3자 제공과 처리 위탁 — 정보를 넘기거나 대신 처리하게 맡기는 곳을 회사 이름까지 적습니다. 메일 발송 도구, 결제 대행사, 고객 문의 상담 업체가 전부 여기에 들어갑니다.
5. 국외 이전 — 해외에서 처리되는 경우 어느 나라의 어느 회사로 가는지 적습니다. 해외 클라우드를 쓰면 국내 서비스만 만들어도 해당됩니다.
6. 정보주체의 권리와 행사 방법 — 정보주체가 자기 정보를 열람하거나 지워 달라고 요구할 수 있다는 것과, 어디로 어떻게 요청하는지를 적습니다.
7. 보호 조치와 책임자 — 암호화나 접근 통제 같은 안전 조치를 적고, 개인정보 보호책임자의 직책과 연락처를 밝힙니다.
8. 개정 이력 — 바뀐 날짜와 이전 버전, 언제부터 적용되는지를 남깁니다.

작성은 법무를 맡은 사람이 하고, 그 자리가 없는 회사에서는 대표가 개발자와 함께 초안을 잡습니다. 순서는 문서를 쓰는 것이 아니라 세는 것부터입니다. 지금 쓰고 있는 외부 도구를 전부 나열하고 각각에 어떤 정보가 들어가는지 확인한 다음 그것을 문서로 옮깁니다. 인터넷에서 찾은 양식을 먼저 붙이면 실제로 쓰지 않는 항목이 남고 실제로 쓰는 도구는 빠집니다.

읽는 쪽은 넷입니다.

1. 일반 사용자 — 가장 적게 읽습니다. 다만 광고 전화나 계정 문제를 겪은 사용자는 이 문서를 꼼꼼히 읽고 문의 메일에 문장을 인용해 옵니다.
2. 감독 기관 — 신고나 조사가 시작되면 가장 먼저 확인하는 문서입니다. 실제 처리와 다른 부분이 곧 조사 항목이 됩니다.
3. 기업 고객 — 계약 전 보안 검토에서 이 문서를 요구합니다. 위탁사 목록이 비어 있거나 개정 날짜가 2년 전이면 그 자리에서 질문을 받습니다.
4. 플랫폼 심사 — 앱 스토어 등록이나 외부 계정 연동 권한을 신청할 때 방침 주소를 제출해야 합니다.

갱신 시점은 기능이 아니라 데이터 흐름이 바뀔 때입니다. 새 분석 도구를 붙였을 때, 위탁 업체를 바꿨을 때, 받는 항목을 늘렸을 때가 그렇습니다. 내용이 사용자에게 불리하게 바뀌면 시행 전에 미리 공지하고, 보통 7일 이상의 기간을 둡니다.

"이 기능 붙이면 처리방침도 같이 고쳐야 해요. 수집 항목이 늘어나서요."

기능 개발 일정에 문서 개정을 끼워 넣자는 말입니다.

"고객사에서 위탁사 목록 달라는데 방침에 적힌 게 지금이랑 달라요."

문서가 현재 상태를 따라오지 못했다는 뜻입니다.

"방침에 적어만 두면 쓸 수 있는 게 아니에요. 동의 항목을 따로 받아야 합니다."

공개와 근거를 구분하라는 지적입니다.

페이지덱은 기업 고객과 첫 계약을 진행하다가 이 문서를 처음 제대로 손봤습니다. 상대 회사의 보안 검토 담당자가 위탁사 목록과 국외 이전 항목을 요구했고, 당시 방침에는 가입 때 만들어 둔 문장만 있었습니다. 규원이 태오에게 지금 데이터가 나가는 외부 서비스를 전부 뽑아 달라고 했고, 해외 저장소와 메일 발송 도구를 포함해 아홉 개가 나왔습니다. 그중 넷이 방침에 없었습니다.

문서를 고치는 데 걸린 시간은 이틀이었지만, 목록을 만드는 데 일주일이 들었습니다. 무엇이 어디로 가는지 아는 사람이 회사에 없었고 결제 내역을 훑어야 드러나는 도구가 섞여 있었기 때문입니다.

형식만 갖추면 되는 문서라고 생각하기 쉽습니다. 법이 항목을 정해 두었으니 양식을 받아 채우는 일처럼 보이는 것입니다. 그런데 이 문서의 위험은 빈칸이 아니라 실제와 다른 문장에 있습니다. 보관 기간을 1년으로 적어 두고 실제로는 지우지 않고 있으면, 그 문장이 회사가 스스로 공개한 기준이 되어 위반을 증명하는 자료로 쓰입니다. 아무것도 적지 않은 회사보다 실제와 다르게 적은 회사가 더 곤란해지는 구조입니다.

방침에 적어 두면 그 처리를 해도 된다고 읽는 오해도 잦습니다. 공개했으니 알린 셈이라는 감각 때문입니다. 알리는 일과 자격을 얻는 일은 별개입니다. 마케팅에 쓰려면 그 목적으로 동의를 따로 받아야 하고, 동의 없이 처리하려면 회사의 필요가 사용자가 입는 불이익보다 크다는 근거를 세워야 합니다. 방침에 마케팅 활용을 한 줄 적어 둔 것만으로 광고 문자를 보내면, 문서가 있다는 사실이 오히려 알고도 했다는 기록이 됩니다.