개인정보

왜 조문 단위로 알아야 하나

개인정보 보호는 추상적인 원칙이 아니라 조문으로 존재합니다. 점검을 받든 사고가 나든, 결국 확인되는 것은 "이 조항의 요건을 지켰는가" 입니다. 그래서 실무에서는 원칙을 이해하는 것 못지않게, 어떤 조항이 무엇을 요구하는지를 아는 것이 중요합니다.

아래는 개인정보를 처리하는 조직이 점검에서 가장 자주 마주치는 조항들입니다.

수집 제한 (제16조)

개인정보는 그 목적에 필요한 최소한 만 수집해야 합니다. 점검에서 확인하는 것은 단순합니다. 수집 항목 하나하나에 대해 "이것이 이 목적에 왜 필요한가" 를 설명할 수 있는가입니다.

회원 가입에 생년월일과 성별이 왜 필요한지, 배송에 주민등록번호가 왜 필요한지 설명하지 못한다면 그 항목은 수집하지 말아야 할 항목입니다. 나중에 쓸지도 모른다는 이유는 근거가 되지 못합니다.

파기 (제21조)

목적을 달성했거나 보유 기간이 지난 개인정보는 지체 없이 파기해야 합니다. 다른 법령에 따라 보존해야 한다면 그 개인정보는 별도로 분리해 보관해야 합니다.

점검에서 걸리는 대표적인 지점은 운영 데이터베이스가 아니라 그 주변입니다. 백업본, 개발과 테스트용으로 복사해 둔 데이터베이스, 담당자 PC 의 엑셀 파일에 옛 고객 정보가 그대로 남아 있는 경우가 많습니다. 지웠다고 보고했지만 실제로는 사본이 살아 있는 상태입니다.

업무 위탁에 따른 처리 제한 (제26조)

위탁을 하려면 문서로 계약해야 하고, 계약에는 처리 목적과 범위, 안전성 확보 조치, 재위탁 제한, 관리 감독, 손해배상 등이 담겨야 합니다. 위탁자는 수탁자가 개인정보를 안전하게 처리하는지 감독할 의무를 집니다. 자세한 내용은 개인정보 위탁과 수탁사 관리 문서에서 다룹니다.

개인정보취급자에 대한 감독 (제28조)

개인정보를 실제로 다루는 직원을 개인정보취급자라고 합니다. 조직은 이들을 적절히 관리하고 감독해야 하며, 정기적으로 교육해야 합니다.

점검에서는 취급자 명단이 최신인지, 부서 이동이나 퇴직으로 더 이상 취급하지 않는 사람이 명단과 권한에 남아 있지는 않은지, 교육이 형식적으로만 이뤄지지는 않았는지를 봅니다.

안전성 확보 조치 (제29조)

가장 범위가 넓고 점검 항목이 많은 조항입니다. 조치는 세 갈래로 나뉩니다.

• 관리적 조치: 내부 관리계획을 수립하고 시행합니다. 책임자를 지정하고, 그 책임자의 역할과 취급자의 범위를 정합니다.
• 기술적 조치: 접근 권한 관리(직급과 업무에 따른 권한 차등 부여, 권한 변경 기록의 보관), 접근 통제(권한 없는 자에게 공개되지 않도록 차단, 방화벽 등 보호 조치), 개인정보의 암호화(전송 구간과 저장 시), 접속기록의 보관과 위변조 방지, 악성프로그램 방지를 포함합니다.
• 물리적 조치: 서류와 저장 매체의 보관, 개인정보의 파기 조치 이행을 포함합니다.

접속기록이라는 핵심

제29조의 항목 중 조사 실무에서 가장 결정적인 것이 접속기록입니다. 누가 언제 어떤 개인정보에 접근했는지가 남아 있어야, 사고가 났을 때 무엇이 얼마나 새어 나갔는지 확인할 수 있습니다.

그래서 점검에서는 기록의 존재 여부만이 아니라 세 가지를 함께 봅니다. 충분한 기간 보관되고 있는가, 그 기록을 담당자가 임의로 지우거나 고칠 수 없는가, 그리고 주기적으로 누군가 확인하고 있는가입니다. 아무도 보지 않고 아무나 지울 수 있는 기록은 있으나 마나입니다.

양벌규정

개인정보 보호법과 정보통신망법에는 양벌규정이 있습니다. 위반 행위를 한 개인뿐 아니라 그가 속한 법인에게도 벌금을 부과할 수 있다는 뜻입니다. 다만 법인이 상당한 주의와 감독을 다한 경우에는 면책될 수 있습니다.

이 단서가 실무에서 갖는 의미가 큽니다. 관리 감독을 실제로 수행했고 그 사실을 기록으로 증명할 수 있는지가 책임의 크기를 가릅니다. 수탁사 점검을 정기적으로 수행하고 그 결과를 문서로 남기는 이유 중 하나가 여기에 있습니다.

위탁이란

개인정보 처리 위탁은 개인정보를 다루는 업무를 외부 사업자에게 맡기는 것을 말합니다. 고객센터 운영, 배송, 시스템 유지보수, 마케팅 발송, 클라우드 인프라 이용이 흔한 예입니다. 업무를 맡기는 쪽을 위탁자, 맡는 쪽을 수탁자(수탁사)라고 합니다.

오늘날 개인정보를 한 조직이 처음부터 끝까지 직접 처리하는 경우는 드뭅니다. 그만큼 개인정보가 흘러 다니는 범위가 넓어졌고, 사고의 상당수가 우리 회사가 아니라 우리와 계약한 회사에서 일어납니다.

제3자 제공과의 차이

수탁사에 개인정보를 넘기는 것은 제3자 제공과 다릅니다. 제3자 제공은 받는 쪽이 자기 목적 을 위해 개인정보를 이용하는 것이고, 위탁은 받는 쪽이 위탁자의 목적과 지시 범위 안에서만 처리하는 것입니다.

이 구분에 따라 요구되는 절차도 달라집니다. 제3자 제공은 원칙적으로 정보 주체의 동의가 필요하고, 위탁은 통상 처리방침 공개 등의 방법으로 알리도록 합니다. 실무에서는 계약서 제목만 보고 판단하지 말고, 받는 쪽이 그 데이터로 무엇을 하는지를 봐야 성격이 정해집니다.

책임은 넘어가지 않는다

업무를 위탁했더라도 개인정보에 대한 책임까지 넘어가지는 않습니다. 위탁자는 수탁사가 개인정보를 안전하게 처리하도록 관리하고 감독할 의무를 집니다. 수탁사에서 사고가 나면 위탁자도 관리 감독을 소홀히 한 책임을 함께 지게 됩니다.

"우리 잘못이 아니라 협력업체 잘못" 이라는 항변이 통하지 않는 이유입니다. 애초에 그 업체를 고르고, 그 업체에 데이터를 넘기기로 결정한 것이 위탁자이기 때문입니다.

관리 감독에서 확인하는 것

• 위탁 계약에 처리 목적과 범위, 안전성 확보 조치, 재위탁 제한, 손해배상 조항이 포함되어 있는가
• 수탁사가 위탁 범위를 넘는 처리를 하고 있지는 않은가
• 접근 권한이 실제로 필요한 인원에게만 부여되어 있는가
• 수탁사 담당자의 접속 기록이 남고 보관되는가
• 보유 기간이 지난 개인정보가 실제로 파기되는가
• 수탁사 직원에 대한 교육과 비밀유지 서약이 이뤄지는가

서류만 받아 보는 점검은 점검이 아닙니다. 계약서에 조항이 있다는 것과 그 조항이 지켜지고 있다는 것은 다른 이야기이며, 확인은 기록과 시스템에서 해야 합니다.

재위탁이라는 사각지대

수탁사가 다시 다른 업체에 업무를 맡기는 것을 재위탁이라고 합니다. 여기서 관리가 무너지는 경우가 많습니다. 위탁자는 자신이 계약한 회사까지만 보고 있는데, 정작 데이터를 만지는 것은 그 아래 회사인 상황이 벌어집니다.

사슬이 길어질수록 통제는 약해지고 시야는 짧아집니다. 그래서 재위탁은 계약 단계에서 사전 동의를 받도록 제한하고, 실제로 재위탁이 이뤄지고 있는지를 주기적으로 확인해야 합니다. 계약서에 금지 조항을 넣어 두고 확인하지 않는 것은, 금지하지 않은 것과 결과가 같습니다.

왜 필요한가

수탁사가 취급하는 개인정보의 양은 계속 늘고 있습니다. 개인정보의 생애주기(수집, 이용, 제공, 보관, 파기) 각 단계에서 안전하게 다뤄져야 하지만, 관리가 따라가지 못하면 그 지점이 곧 유출의 통로가 됩니다.

유출 사고의 원인을 보면 뚫기 어려운 고난도 해킹만 있는 것이 아닙니다. 관리자의 의도치 않은 실수, 내부 직원의 유출, 위탁업체 직원의 정보 매매처럼 사람 에서 비롯된 경우가 상당한 비중을 차지합니다. 기술을 더 사는 것으로는 막히지 않는 영역입니다.

서면 점검의 한계

많은 조직이 수탁사 점검을 담당자 인터뷰, 문서 검토, 기본적인 시스템 설정 확인 수준에서 마칩니다. 이 방식에는 두 가지 한계가 있습니다.

• 시점의 한계: 점검 당시의 상태만 확인됩니다. 점검 전에 어땠는지, 점검이 끝난 뒤에 어떻게 되는지는 알 수 없습니다.
• 표면의 한계: 규정과 설정은 갖춰져 있어도 실제 운영이 그것을 따르는지는 다른 문제입니다. 접근 권한 대장은 정리되어 있는데 실제 계정 목록과 다른 경우가 흔합니다.

ISMS 나 ISMS-P 인증을 받았으니 안전하다는 설명도 자주 듣지만, 인증은 심사 시점에 요건을 충족했다는 뜻이지 그 이후의 운영까지 보증하지 않습니다. 실제로 점검해 보면 지속적인 관리 부재나 시스템 오류로 미흡한 지점이 발견되는 경우가 적지 않습니다.

흔적을 보는 점검

여기에서 디지털 포렌식 기법이 들어옵니다. 담당자에게 묻는 대신 시스템에 남은 흔적을 보는 방식입니다. 문서에 적힌 것과 시스템에 남은 것이 다를 때, 사실을 말해 주는 쪽은 후자입니다.

예를 들어 파기했다고 보고된 개인정보가 파일서버나 백업 데이터베이스에 남아 있는지, 권한이 없는 계정이 개인정보처리시스템에 접속한 이력이 있는지, 보안 솔루션이 우회된 흔적이 있는지는 인터뷰로는 확인되지 않고 로그와 저장 매체를 봐야 확인됩니다.

점검 절차

실태점검은 대체로 여섯 단계로 진행됩니다.

• 사전준비: 수탁사가 수행하는 업무와 계약 내용을 파악하고, 필요한 자료를 요청하며, 점검 도구와 체크리스트를 준비합니다.
• 인터뷰: 점검과 이미징에 대한 동의서를 받고, 위탁 업무의 개인정보 흐름과 보안 시스템 구성을 파악해 점검 대상을 선정합니다.
• 현장점검: 개인정보처리시스템, 개인정보가 오가는 파일서버, 보안 솔루션 로그, 방화벽과 백신 로그를 확인합니다.
• 정보수집: 대상 PC 의 저장 매체를 담당자 입회 하에 수거하고, 원본과 동일한 사본(이미지)을 만듭니다. 분석은 원본이 아니라 사본에서 수행합니다.
• 정보분석: 데이터를 추출하고 분류하며, 삭제된 파일을 복구하고, 개인정보의 유출과 오남용 관점에서 흔적을 분석합니다.
• 결과보고: 현장에서 발견된 사항을 먼저 공유하고, 결과 보고서와 개선 방안을 정리합니다.

이미징 단계에서 사본을 두 벌 만드는 것이 관행입니다. 하나는 분석용으로 쓰고, 다른 하나는 만일의 사태에 대비한 백업으로 보관합니다. 원본을 직접 분석하면 무결성이 훼손될 수 있기 때문입니다.

동의와 범위

점검이라 해도 남의 PC 를 들여다보는 일이므로, 동의와 범위 설정이 절차의 출발점입니다. 무엇을 목적으로 분석하는지, 그 목적을 달성하면 수집한 데이터를 언제 파기하는지를 동의서에 명시하고 그대로 이행해야 합니다.

점검하러 가서 점검 대상의 개인정보를 새로 만들어 오는 상황이 되어서는 안 됩니다. 이 원칙이 지켜지지 않으면 점검 행위 자체가 또 하나의 위반이 됩니다.

무엇을 보는가

PC 와 서버에서 확인하는 대표적인 흔적은 다음과 같습니다.

• 웹 히스토리: 브라우저 접속 기록, 파일 업로드와 다운로드 여부
• 레지스트리: 최근 실행한 문서, 공유 폴더 사용 여부, 설치된 프로그램 목록
• 링크 파일: 실행 파일과 문서의 원래 위치, 연결되었던 외부 저장 매체의 흔적
• 데이터베이스: 접근 권한, 고유식별정보의 암호화 여부, 보유 기간 초과 데이터의 존재
• 이미지와 문서 파일: 개인정보가 담긴 파일의 존재, 암호화 적용 여부, 메타데이터
• 이메일: 개인정보가 첨부된 메일의 저장 여부, 파기되지 않고 남은 개인정보
• 접속기록: 개인정보처리시스템에 누가 언제 접속해 무엇을 조회했는지

여기에 법률 검토가 더해집니다. 위탁 범위를 넘어선 정보 제공은 없었는지, 위탁과 제3자 제공의 구분이 적절한지, 이용 목적을 달성한 개인정보가 파기되었는지를 확인합니다.

점검의 진짜 목적

실태점검의 목적은 수탁사를 적발하는 것이 아닙니다. 위탁자와 수탁사 모두 사고가 나면 함께 책임을 지는 구조이므로, 점검은 사고가 나기 전에 약한 고리를 찾아 함께 고치는 활동에 가깝습니다.

그래서 결과 보고에는 발견 사항만이 아니라 수탁사가 실제로 수행할 수 있는 개선 방안이 함께 담겨야 합니다. 지적만 남기고 끝난 점검은 다음 점검 때 같은 지적을 반복하게 됩니다.