목적 제한

한 번 넘어간 정보는 오랫동안 받은 쪽의 것처럼 다뤄졌습니다. 배송을 위해 받은 주소로 몇 달 뒤 카탈로그가 왔고, 결제를 위해 받은 번호로 신상품 문자가 왔습니다. 사용자에게는 같은 정보였지만 쓰인 자리는 전혀 달랐습니다.

항의를 받은 회사의 답은 대개 하나였습니다. 가입할 때 동의를 받았다는 것입니다. 실제로 동의 화면에는 서명이 남아 있었고, 거기 적힌 목적은 서비스 제공 및 개선처럼 무엇이든 담을 수 있는 문장이었습니다. 그렇게 한 번 받은 동의가 무기한 무제한 사용 허가처럼 작동했습니다.

문제는 사용자가 정보를 넘길 때 머릿속에 있던 용도와 회사가 실제로 쓴 용도가 달랐다는 데 있습니다. 주소를 적은 사람은 물건을 받으려고 적었고, 그 주소로 광고가 올 것이라고는 생각하지 않았습니다.

목적 제한은 이 간격을 규칙으로 막은 원칙입니다. 정보를 다룰 자격을 정보 자체가 아니라 목적에 붙였습니다. 이메일 주소를 갖고 있다는 사실이 그 주소로 무엇이든 보낼 수 있다는 뜻이 되지 않고, 결제 안내를 보내기 위해 받았다면 그 목적 안에서만 유효합니다.

개인정보 보호에서 원칙에 해당하는 말은 셋인데, 각각 다른 순간에 걸립니다. 최소 수집은 모으는 순간에, 목적 제한은 쓰는 순간에, 보유 기간은 버리는 순간에 걸립니다. 세 개가 한 흐름의 세 지점을 나눠 맡는 구조입니다.

정보를 받기 전에 쓸 목적을 정해 밝히고, 받은 뒤에는 그 목적 안에서만 쓰고, 다른 용도가 필요해지면 그 목적으로 근거를 새로 세웁니다.

1. 목적을 구체적으로 정합니다. 여기서 실무가 갈립니다. 서비스 제공 및 개선이라고 적으면 나중에 어떤 용도도 그 안에 넣을 수 있는데, 그렇게 적은 목적은 감독 기관이 목적을 밝힌 것으로 보지 않습니다. 주문한 상품의 배송과 배송 상태 안내 정도로 좁혀 적어야 제한이 성립합니다.
2. 밝힙니다. 수집하는 화면에서 항목마다 목적을 붙이고, 같은 내용을 개인정보처리방침에도 적습니다. 두 곳의 문장이 다르면 좁은 쪽이 기준이 됩니다.
3. 쓰는 동안 맞춰 봅니다. 새 용도가 생길 때마다 원래 목적과 이어지는지를 따집니다. 결제를 위해 받은 이메일로 결제 실패를 알리는 것은 같은 목적 안이고, 같은 주소로 신규 기능 출시 소식을 보내는 것은 밖입니다. 둘의 차이는 사용자가 그 정보를 줄 때 그 메일을 예상했겠느냐입니다.
4. 밖으로 나가야 하면 근거를 새로 세웁니다. 그 목적으로 동의를 다시 받거나, 동의 없이 하려면 회사의 필요가 사용자가 입는 불이익보다 크다는 것을 설명할 수 있어야 합니다.

목적은 기간도 끌고 갑니다. 보유 기간의 근거가 목적이라서, 목적이 끝난 정보는 갖고 있을 이유가 함께 없어집니다. 탈퇴한 회원의 배송 주소를 3년 더 갖고 있을 근거는 법이 따로 정해 두지 않았다면 남지 않습니다.

이 원칙이 실제로 부딪히는 자리는 대개 넷입니다.

1. 동의 화면 설계 — 서비스에 꼭 필요한 항목과 마케팅용 항목을 갈라 따로 받습니다. 하나로 묶어 전체 동의를 받으면 목적이 섞여 둘 다 근거가 흔들립니다.
2. 데이터 분석 — 제품 개선을 목적으로 밝혀 두었으면 이용 로그를 분석에 쓸 수 있습니다. 다만 화면에 표시할 이름이나 연락처까지 분석 테이블에 복사해 두는 것은 그 목적에 필요하지 않습니다.
3. 마케팅 — 가장 흔한 위반 자리입니다. 결제를 위해 받은 연락처를 신규 기능 홍보에 쓰는 것이 전형입니다. 유료 고객 목록은 회사가 가장 쉽게 꺼낼 수 있는 목록이라서 손이 자주 갑니다.
4. 외부 도구 연결 — 고객 이메일 목록을 광고 플랫폼에 올려 비슷한 사용자를 찾게 하는 작업이 여기 걸립니다. 정보가 회사 밖으로 나가고 용도도 원래와 다릅니다.

판단이 애매할 때 쓰는 질문은 하나입니다. 이 사용을 사용자에게 그대로 설명하면 납득할 것인지입니다.

"이 목록 광고 타깃으로 쓰려면 목적 제한 걸려요. 결제용으로 받은 정보라서요."

같은 데이터를 다른 용도에 쓰려는 계획을 멈추는 말입니다.

"처리방침에 적힌 목적이 서비스 제공 및 개선 한 줄인데, 이건 다시 써야 합니다."

목적을 넓게 적어 둔 것이 보호가 아니라 위험이라는 지적입니다.

"분석용 테이블에서 이메일 컬럼은 빼고 내보내 주세요. 그 목적엔 필요 없어요."

같은 목적 안에서도 항목을 줄일 수 있다는 뜻입니다.

페이지덱에서 이 원칙이 처음 걸린 것은 현우가 무료 사용자를 유료로 돌리려고 캠페인을 준비하던 때였습니다. 결제 정보를 등록한 적 있는 사용자 1,200명의 이메일을 광고 플랫폼에 올려 비슷한 사용자를 찾아보려 했습니다.

규원이 그 목록을 올리기 전에 가입 화면을 다시 봤습니다. 그 이메일은 결제 안내와 계정 확인을 목적으로 받은 것이었고, 광고 목적 동의를 따로 받은 사용자는 1,200명 가운데 340명이었습니다. 캠페인은 340명으로 줄여 돌렸고, 나머지에게는 다음 분기 가입 화면에서 광고 목적 항목을 따로 받기로 했습니다.

동의만 받아 두면 그 정보로 무엇이든 할 수 있다고 생각하는 경우가 가장 많습니다. 동의서에 서명이 남아 있으니 허락을 받았다는 감각이 남는 것입니다. 하지만 동의는 정보 단위가 아니라 목적 단위로 유효합니다. 배송 목적으로 받은 동의는 배송에만 쓰이고, 광고에 쓰려면 광고 목적 동의가 따로 있어야 합니다. 이 구분을 놓치고 전체 동의 한 칸으로 받아 두면, 나중에 조사가 들어왔을 때 어느 목적에 대한 동의였는지를 회사가 증명하지 못합니다.

밖으로 내보내지 않으면 목적 제한과 무관하다고 읽는 오해도 있습니다. 개인정보 문제를 유출과 같은 것으로 보기 때문입니다. 실제로는 정보가 회사 안에 머물러 있어도 용도가 달라지면 위반입니다. 고객 문의 상담 기록을 상담 품질 개선 목적으로 모아 두었다가 담당자 인사 평가 자료로 쓰는 경우가 그렇습니다. 데이터가 밖으로 한 줄도 나가지 않았지만, 상담원과 문의한 고객 모두 그 용도를 알고 동의한 적이 없습니다.