CRM·애널리틱스 도입이 왜 개인정보 컴플라이언스 이슈가 되나

많은 마케팅 솔루션(CRM, 마케팅 자동화 툴, 애널리틱스)은 해외 본사가 운영하는 글로벌 클라우드 인프라 위에서 서비스를 제공합니다. 회원 이메일, 구매 이력, 행동 데이터를 이 솔루션에 연동하는 순간, 그 데이터는 국내가 아니라 해외 데이터센터에 저장·처리될 가능성이 있습니다. 개인정보보호법 제28조의8은 이런 국외 제공·처리위탁·보관을 '국외 이전'으로 규정하고 원칙적으로 금지하며, 법이 정한 예외 사유가 있을 때만 허용합니다.

문제는 마케팅팀이 툴을 도입할 때 이 조항을 먼저 떠올리기보다, 기능과 가격 비교부터 시작하는 경우가 많다는 점입니다. 도입 후 몇 달이 지나 데이터가 이미 대량으로 쌓인 다음에야 국외 이전 이슈를 발견하면, 계약을 되돌리거나 데이터를 이전하는 작업 자체가 훨씬 복잡해집니다.

어떤 경우에 국외 이전이 허용되나

법이 정한 국외 이전 허용 사유는 크게 다섯 가지입니다. 정보주체가 국외 이전에 대해 별도로 동의한 경우, 법률·조약 등에 국외 이전 관련 특별 규정이 있는 경우, 계약 체결·이행에 필요해 이전받는 자·항목·목적 등을 처리방침에 공개하거나 이메일 등으로 고지한 경우, 개인정보보호위원회가 정한 인증을 받은 사업자에게 이전하는 경우, 그리고 이전되는 국가나 국제기구가 개인정보보호위원회로부터 보호 수준을 인정받은 경우입니다.

실무에서 가장 흔히 활용되는 경로는 '계약 이행에 필요한 경우로서 처리방침에 공개하거나 고지'하는 방식입니다. CRM 솔루션 이용 자체가 서비스 제공을 위한 계약 이행에 해당한다고 보고, 이전받는 회사명·국가·이전 항목·목적·보유기간을 처리방침에 구체적으로 명시하는 방식입니다. 다만 이 경로가 항상 자동으로 인정되는 것은 아니므로, 도입하려는 솔루션의 성격에 따라 별도 동의가 필요한지 법무 검토를 거치는 것이 안전합니다.

도입 전에 무엇을 확인해야 하나

솔루션 계약을 검토할 때는 데이터센터가 어느 국가에 있는지, 데이터를 국내 리전으로 한정해 저장하는 옵션이 있는지부터 확인해야 합니다. 일부 글로벌 솔루션은 아시아·태평양 리전이나 국내 데이터센터를 선택할 수 있는 옵션을 제공하는데, 이 옵션을 선택하면 국외 이전 이슈 자체를 줄일 수 있습니다. 옵션이 없다면 계약서에 데이터 처리 위치, 재위탁(하위 처리자) 현황, 데이터 보안 인증 여부를 명시하도록 요청해야 합니다.

또한 솔루션이 수집·저장하는 개인정보 항목이 마케팅팀이 실제로 필요로 하는 범위와 일치하는지도 함께 점검해야 합니다. 기본 설정값이 필요 이상으로 많은 항목을 수집하도록 돼 있는 경우가 있어, 도입 시점에 수집 항목을 최소화하는 설정을 함께 적용하는 것이 좋습니다.

처리방침과 동의서는 어떻게 갱신해야 하나

새로운 솔루션 도입이 확정되면, 개인정보 처리방침에 해당 솔루션 제공사명, 이전 국가, 이전 항목, 목적, 보유기간을 추가해야 합니다. 계약 이행 근거로 처리방침 공개만으로 충분한지, 아니면 이용자 동의를 별도로 받아야 하는지는 솔루션의 활용 목적에 따라 달라지므로 이 판단은 법무 담당자와 함께 내려야 합니다. 이미 운영 중인 서비스에 새 솔루션을 추가하는 경우라면, 처리방침 개정 사실을 이용자에게 공지하는 절차도 함께 챙겨야 합니다.

솔루션을 교체하거나 해지할 때도 마찬가지입니다. 기존 솔루션에 쌓여 있던 데이터를 어떻게 삭제 또는 반환받을지 계약 해지 조항에 명시해두지 않으면, 서비스를 그만 쓰기 시작한 이후에도 해외 서버에 데이터가 남아 있는 상황이 이어질 수 있습니다.

무료 애널리틱스 툴도 같은 기준을 적용해야 하나

많은 마케팅팀이 유료 CRM 도입에는 신중하면서도, 무료로 쓸 수 있는 애널리틱스·트래킹 툴은 별다른 검토 없이 스크립트만 삽입해 바로 쓰는 경우가 많습니다. 하지만 국외 이전 여부를 가르는 기준은 유료·무료가 아니라 "개인정보가 해외 서버로 전송·저장되는가"입니다. 무료 툴이라도 이용자 식별 정보(이메일, 고유 ID 등)를 해외 서버로 전송한다면 동일하게 국외 이전 규정의 적용을 받습니다.

무료 툴을 도입할 때는 계약서 검토 절차가 생략되기 쉬운 만큼, 최소한 해당 툴의 개인정보 처리방침이나 이용약관에서 데이터 저장 위치와 제3자 제공 여부를 직접 확인하는 절차를 팀 내 규칙으로 만들어두는 것이 좋습니다.

여러 부서가 각자 툴을 도입하는 상황은 어떻게 관리하나

마케팅팀, 개발팀, CS팀이 각자 필요에 따라 서로 다른 해외 솔루션을 도입하는 경우, 회사 전체로 보면 국외로 이전되는 개인정보 항목과 경로가 파악되지 않은 채 여러 갈래로 흩어지는 상황이 생깁니다. 이런 상황을 막으려면 신규 솔루션 도입 시 개인정보 처리 여부를 사전에 등록하는 내부 절차(예: 솔루션 도입 신청서에 개인정보 처리 여부 체크란 추가)를 두고, 법무·정보보호 담당 부서가 이를 한곳에서 취합해 처리방침에 반영하는 구조가 필요합니다.

이 절차가 없으면 처리방침에 실제로 이전되는 솔루션 중 일부가 누락되는 일이 반복적으로 발생하고, 이는 이용자에게 불완전한 정보를 고지한 것으로 지적받을 수 있습니다.