법무팀과 가장 먼저 확정할 항목은 무엇인가

데이터가 자사 밖으로 나가는 모든 경로에 대해 "이건 처리위탁인가 제3자 제공인가"를 먼저 정리해야 합니다. 두 개념은 업무의 목적과 이익이 누구에게 귀속되는지로 구분합니다. 위탁자의 업무를 대신 수행하고 위탁자의 이익을 위해 개인정보를 이전받으면 처리위탁(제26조)이고, 받는 쪽이 자기 마케팅·홍보 같은 자기 이익을 위해 쓰면 제3자 제공입니다.

이 구분이 중요한 이유는 필요한 동의와 계약 문서가 달라지기 때문입니다. 광고 플랫폼에 사용자 데이터를 넘기는 리타게팅처럼 제3자 제공에 해당하는 경우에는 별도의 명시적 동의가 필요하고, 수집·이용 동의만으로는 부족합니다. 실무에서는 마케팅 자동화 도구, 데이터 웨어하우스, BI 도구, 광고 매체를 한 줄씩 적어놓고 각 줄이 어느 쪽인지 법무팀 확인을 받아두는 방식이 가장 빠릅니다.

해외 도구를 쓸 때 추가로 확인할 것은 무엇인가

데이터 인프라를 만들 때 클라우드와 SaaS를 쓰면 서버 위치가 해외인 경우가 흔합니다. 개인정보 보호법 제28조의8은 개인정보의 국외 제공·처리위탁·보관을 원칙적으로 제한하고, 정보주체의 별도 동의를 받거나 계약 이행에 필요해 처리방침에 공개·고지한 경우 등 법이 정한 예외 사유가 있을 때만 허용합니다.

그래서 도구 선정 단계에서 물어봐야 할 첫 질문은 기능이 아니라 데이터센터 리전입니다. 리전 선택이 가능한 서비스라면 국내 리전을 선택할 수 있는지, 불가능하다면 어떤 근거로 국외 이전이 정당화되는지를 계약 체결 전에 정리해두는 편이 낫습니다. 이미 구축을 마친 뒤에 되돌리는 비용은 도입 전 검토 비용보다 훨씬 큽니다.

개인정보 담당과 합의할 항목은 무엇인가

두 가지입니다. 첫째는 동의 항목의 분리입니다. 개인정보 보호법 제22조는 동의를 받을 때 처리 목적별로 구분해 받도록 규정하며, 수집·이용 동의와 제3자 제공 동의, 마케팅 활용 동의는 각각 별도의 체크박스로 분리해야 합니다. 데이터 웨어하우스에 무엇을 적재할 수 있는지는 결국 이 동의 구조가 결정합니다.

둘째는 행태정보의 취급 기준입니다. 쿠키·픽셀·광고 ID로 수집되는 행태정보는 단독으로는 개인정보가 아니지만, 여러 행태정보를 결합하거나 다른 정보와 결합해 특정 개인을 식별할 수 있으면 개인정보에 해당합니다. 데이터 웨어하우스는 본질적으로 결합하는 장소이므로, "여기까지는 행태정보, 여기부터는 개인정보"의 선을 개인정보 담당과 함께 그어두지 않으면 나중에 판단할 사람이 없습니다.

위반 시 부담이 어느 정도인지 어떻게 설명하나

내부 설득이 필요할 때는 제재 수준을 정확히 인용하는 편이 낫습니다. 개인정보 보호법 제64조의2는 개인정보보호위원회가 개인정보처리자에게 전체 매출액의 100분의 3을 초과하지 아니하는 범위에서 과징금을 부과할 수 있다고 규정하며, 산정 시 전체 매출액에서 위반행위와 관련이 없는 매출액은 제외합니다.

유출 상황의 절차도 미리 합의해두어야 합니다. 개인정보 보호법 제34조와 시행령 제40조는 개인정보 유출 등을 알게 된 때로부터 72시간 이내에 개인정보보호위원회 또는 한국인터넷진흥원에 신고하도록 규정합니다. 구체적 내용을 다 확인하지 못했더라도 확인된 사실부터 우선 신고하는 것이 원칙이므로, 데이터 인프라 담당자가 이상 징후를 발견했을 때 누구에게 몇 시간 안에 알려야 하는지를 거버넌스 문서에 숫자로 적어두어야 합니다.

브랜드팀과는 무엇을 합의해야 하나

브랜드팀과의 합의는 법적 쟁점이 아니라 표현과 공개 범위의 문제입니다. 첫째, 데이터 명칭 체계입니다. 웨어하우스 안의 캠페인명·상품군명이 브랜드팀이 쓰는 공식 명칭과 다르면, 같은 캠페인이 두 이름으로 집계돼 리포트가 갈립니다. 명칭의 정본을 어느 팀이 관리할지 정해야 합니다.

둘째, 대외 공개 가능한 수치의 경계입니다. 웨어하우스가 생기면 사내 누구나 숫자를 뽑을 수 있게 되고, 그 숫자가 제안서나 보도자료로 흘러가는 일이 생깁니다. 어떤 지표는 사내용이고 어떤 지표는 대외 인용 가능한지, 인용 시 기준 기간과 정의를 어떻게 표기할지를 미리 정해두면 나중에 정정 공지를 낼 일이 줄어듭니다. 이 두 항목은 법무 검토 대상이 아니어서 흔히 빠지는데, 실제로 사고가 나는 빈도는 낮지 않습니다.