38. 업무에서 개인정보를 다루면서 최소한 먼저 확인하려고 하는 것들

개인정보 보호는 이제 웬만한 서비스라면 다 얽혀 있는 주제인데,
막상 실무에서 일을 하다 보면
“무엇부터 확인해야 할지”가 애매할 때가 많았다.

저도 처음부터 체계적으로 배웠다기보다는
개인정보 영향평가를 하면서,
그리고 현업이랑 상담하다 보니
자연스럽게 “이건 먼저 보고 넘어가야겠다” 싶은 지점들이 조금씩 생겼다.

정답이라기보다는,
개인적으로 업무할 때 기본으로 체크하려고 하는 것들을
한 번 정리해 보려고 한다.

수집 항목과 목적이 서로 맞는지

개인정보 보호 얘기할 때 제일 많이 나오는 말이
“최소 수집, 목적 제한”인 것 같다.

평가를 하거나 검토를 할 때
저는 보통 이 순서로 본다.

• 이 서비스가 하려는 일은 정확히 무엇인지
• 그 일을 하기 위해 꼭 필요한 정보가 무엇인지
• 실제 화면/약관/DB에 정의된 수집 항목이
  그 “꼭 필요” 수준을 넘어가는 부분이 있는지

예를 들면,
단순 이벤트 참여인데 생년월일, 성별, 상세주소까지 다 받는 구조라든지,
단말 고유 식별자를 별 고민 없이 수집하고 있다든지 하는 경우다.

완전히 줄이지는 못하더라도,
“이 항목은 이런 이유로 필요하다”를 설명할 수 있을 정도로
목적과 항목을 맞춰두면
나중에 영향평가나 심사 자리에서 훨씬 덜 당황하는 것 같다.

보유 기간과 실제 운영이 맞는지

보유 기간은 문서에 적어두는 것보다
실제 시스템에서 어떻게 돌아가는지가 더 중요한 것 같다.

업무를 하다 보면 이런 질문을 자주 하게 된다.

• 탈퇴/해지 시점에 어떤 데이터가 실제로 삭제되는지
• 법정 보존 때문에 남겨두는 데이터와
  정말 서비스 운영 때문에 필요한 데이터가 구분되어 있는지
• 백업, 로그, 분석용 데이터셋까지 포함했을 때
  “이용자 입장에서 보면 사실상 계속 남는 정보”는 없는지

특히,
몇 년 전에 탈퇴했는데도 안내 문자를 받았다는 사례들을 보면
보유 기간과 파기 정책은
꾸준히 점검하지 않으면 금방 어긋나는 부분 같다는 생각이 든다.

엄청 복잡한 체계를 만들지 못하더라도,
최소한 “이 유형의 데이터는 몇 년 후에 어디에서 어떻게 지운다” 정도는
서비스별로 한 번 정리해 두는 게 필요해 보였다.

암호화, 접근통제, 로그 – “나중에 사고 나면 설명 가능한 수준인가”

평가 보고서를 쓸 때도 그렇고,
실제 시스템을 볼 때도 그렇고
결국 많이 보는 세 가지는 비슷한 것 같다.

• 암호화
  • 저장 시 암호화 대상과 방식
  • 전송 구간(특히 외부 연동, 제3자 제공 구간)의 보호 수준
• 접근통제
  • 누가 어떤 권한으로 들어올 수 있는지
  • 권한 부여·변경·회수 절차가 실제로 돌아가는지
• 로그
  • 누가 언제 어떤 개인정보에 접근했는지
  • 관리자·개발자·특수 계정 사용 기록이 남는지

개인적으로는
“나중에 사고가 났을 때,
이 세 가지를 근거로 어느 정도까지 설명할 수 있느냐”를
기준으로 보는 편이다.

완벽한 구조는 없겠지만,
적어도 “아무 증적도 남기지 않는 구조”만은 피해야 하지 않나 싶다.

외부 제공과 위탁, 국외 이전이 어디서 발생하는지

요즘 시스템 구조를 보면
내부 시스템만으로 끝나는 경우가 거의 없다.

• 클라우드 환경(해외 리전 포함)
• 외부 분석/마케팅 솔루션
• 위탁 개발사, 콜센터, 물류사 등

서비스 흐름을 따라가다 보면
생각보다 여러 곳에서 개인정보가 오가고 있다.

실무에서 느끼기에는,
이 부분이 나중에 문제가 되는 경우가 많아서
가능하면 일찍 정리해 두는 게 좋았다.

• 어떤 회사/조직과
• 어떤 항목을
• 어떤 목적으로
• 어느 기간 동안 공유하는지

가 대략 표로라도 정리돼 있으면
영향평가, 약관/동의서 검토, 사고 대응에서
같은 얘기를 여러 번 반복하지 않아도 돼서
팀 입장에서도 조금 덜 지치는 것 같다.

마무리

개인정보 보호는
내용 자체도 어렵지만,
업무가 쪼개져 있어서 전체 그림을 보기가 쉽지 않은 것 같다.

저도 아직 공부하는 입장에 가깝지만,
실무에서 계속 마주치는 부분을 정리해 보면

• 수집 항목과 목적을 맞춰 놓고
• 보유 기간과 실제 운영을 한 번은 확인해 보고
• 암호화·접근통제·로그를 “설명 가능한 수준”으로 끌어올리고
• 외부 제공·위탁 흐름을 표나 그림으로 정리해두는 것

이 네 가지를 기본으로 깔아두면
나머지 세부 이슈들은
조금 더 차분하게 다룰 수 있지 않나 하는 생각이 든다.