개인정보보호법 · PIPA

개인정보보호법이란?

법이 적용되는 순간 회사가 쥔 고객 명단과 직원 파일은 '자산'에서 '기한이 붙은 보관물'로 성격이 바뀝니다. 마케팅팀이 3년 전 세미나 참가자 2,000명 리스트를 아직 들고 있다면 그건 영업 기회가 아니라 언제든 터질 수 있는 부채입니다. 그래서 실무의 출발점은 동의서 양식을 고치는 일이 아니라, 어느 부서가 어떤 항목을 왜 갖고 있고 언제 지우는지를 적은 개인정보 처리 현황 대장을 만드는 일입니다. 대장이 없으면 사고가 나도 무엇이 새어 나갔는지조차 답하지 못합니다.

동의도 한 덩어리가 아닙니다. 필수와 선택을 나눠 받아야 하고, 광고성 정보 발송은 별도 동의가 필요하며, 여권번호 같은 고유식별정보와 건강·노조 가입 같은 민감정보는 각각 따로 받아야 합니다. 특히 주민등록번호는 법령에 근거가 없으면 동의를 받아도 수집할 수 없고, 만 14세 미만은 법정대리인 동의가 있어야 합니다. 자주 헷갈리는 위탁과 제3자 제공은 '누구의 목적이냐'로 갈립니다 — 우리 업무를 대신 처리하면 위탁(처리방침 공개), 받는 쪽이 자기 목적으로 쓰면 제3자 제공(별도 동의)입니다. 유출을 알게 되면 72시간 이내에 정보주체 통지와 보호위원회·KISA 신고를 해야 합니다.

관리 체계는 문서 한 장으로 끝나지 않습니다. 개인정보 보호책임자(CPO)를 지정해 이름과 연락처를 처리방침에 공개해야 하고, 처리시스템 접속기록은 최소 1년, 5만 명 이상의 정보주체 정보나 고유식별정보·민감정보를 다루면 2년 보관해야 합니다. 권한은 업무 범위 안에서만 주는 것이 원칙이라 퇴사·부서 이동 때 계정 회수가 늦으면 그 자체가 지적 사항이 됩니다. 외부 업체를 쓴다면 계약서에 안전조치 의무를 넣고 연 1회 이상 수탁사 점검 기록을 남겨 두어야 합니다.

현장에서 가장 자주 깨지는 지점은 '동의만 받아두면 된다'는 생각입니다. 회원가입에서 마케팅 수신을 필수 항목으로 묶으면 그 동의 자체가 무효가 되고, 교육 운영 목적으로 받은 수강생 명단을 신제품 영업 리스트로 돌려쓰면 동의 여부와 무관하게 목적 외 이용입니다. 파기도 마찬가지입니다. 공유 폴더의 원본만 지우고 담당자 노트북, 메신저 대화방, 캐비닛의 출력물에 사본이 남아 있으면 파기한 것이 아닙니다. 실제 점검에서 문제가 되는 건 거창한 해킹이 아니라 퇴사자 노트북에 남은 엑셀 파일 한 개인 경우가 많습니다.