온라인 쇼핑몰이나 금융회사, 병원처럼 고객의 개인정보를 대량으로 취급하는 기업에는 개인정보 보호가 중요한 법률문제라는 사실이 잘 알려져 있다. 그러나 일반 제조업체가 거래처 담당자의 연락처를 관리하거나, 기업이 고객 모집을 외부 업체에 맡기고, 고객관리 시스템을 해외 클라우드 서비스로 운영하는 경우에도 개인정보 관련 법률문제가 발생한다. 개인정보를 전문적으로 취급하는 기업이 아니더라도 일상적인 사업활동 과정에서 다양한 개인정보를 수집하고 이용하기 때문이다.
개인정보 보호와 관련한 법률적 위험은 정보 유출 사고가 발생했을 때만 문제 되는 것이 아니다. 개인정보를 수집하거나 다른 업체에 제공하는 방식 자체가 법률에 위반될 수도 있다. 실제로 개인정보보호위원회의 제재 대상에는 정보 유출뿐 아니라 개인정보의 부적법한 수집, 이용, 제3자 제공, 국외 이전 및 안전조치 의무 위반 등 다양한 유형이 포함된다.
「개인정보 보호법」은 개인정보 처리에 관한 기본적인 법률이다. 개인정보를 수집, 이용하거나 제3자에게 제공할 때에는 법률상 근거가 필요하고, 처리 목적과 보유기간, 안전조치 및 파기 등에 관한 의무도 준수해야 한다. 여기에 사업의 종류와 정보의 성격에 따라 「전자상거래 등에서의 소비자보호에 관한 법률」, 「신용정보의 이용 및 보호에 관한 법률」, 「의료법」 등 다른 법률의 의무가 추가될 수 있다. 예컨대 전자상거래에서는 개인정보의 삭제 요청과 별개로 일정한 거래기록을 법정 기간 동안 보존해야 하는 경우도 있다.
위반에 따른 책임도 가볍지 않다. 개인정보 보호법은 위반행위에 따라 시정명령, 과징금, 과태료 및 형사처벌 등을 규정하고 있으며, 손해배상책임도 문제 될 수 있다. 특히 일정한 위반행위에 대해서는 매출액을 기준으로 과징금이 산정되고, 중대한 위반에 대해서는 가중된 제재가 가능하다. 따라서 개인정보 보호는 사고가 발생한 뒤 대응하는 문제에 그치지 않고, 기업이 정보를 수집하고 활용하는 단계부터 검토해야 할 문제다.
기업의 법률자문을 수행하면서 개인정보 보호와 관련한 다양한 문제를 검토해 왔다. 그중 자주 문제 되는 것 중 하나는 개인정보를 어느 회사가 수집하고 관리하도록 할 것인지에 관한 것이다. 예를 들어 A회사가 신규 고객을 확보하기 위해 B마케팅업체에 모집업무를 맡긴다고 가정해 보자. A회사가 직접 개인정보를 수집하고 B업체에 처리를 맡기는 구조로 할 것인지, B업체가 개인정보를 수집한 뒤 A회사에 제공하는 구조로 할 것인지에 따라 검토해야 할 법률적 요건과 책임관계가 달라진다.
특히 개인정보 처리위탁과 제3자 제공을 구별하는 것이 중요하다. 마케팅업체가 발주기업의 업무를 대신 수행하면서 그 지시에 따라 개인정보를 처리하는 경우와, 마케팅업체가 독자적인 목적과 권한에 따라 수집한 개인정보를 발주기업에 제공하는 경우에는 법률관계가 달라질 수 있다. 계약서에 개인정보 처리위탁이라고 기재했다고 해서 실제 법률관계가 반드시 위탁으로 인정되는 것도 아니고, 제3자 제공에 대한 동의를 받았다는 이유만으로 개인정보 처리에 관한 모든 의무가 충족되는 것도 아니다.
이때 단순히 어느 방식이 법률적으로 가능한지만 검토하는 것은 충분하지 않다. 고객정보를 향후 어느 회사가 활용할 수 있는지, 계약 종료 후 고객관계를 누가 유지할 것인지, 개인정보 관련 문제가 발생하면 누가 어떤 책임을 부담하는지까지 함께 고려해야 한다. 실제 업무구조에 따라 개인정보의 이용 범위, 재위탁 조건, 안전조치, 사고 발생 시 통지와 협조의무, 계약 종료 후 반환, 삭제, 손해배상책임 등을 정해야 한다. 결국 개인정보 보호에 관한 법률검토가 사업구조와 계약조건을 결정하는 과정으로 이어지는 것이다.
또한 외부 업체가 개인정보를 부적절하게 이용하거나 유출한 경우, 계약에서 해당 업체가 모든 책임을 부담하도록 정했다고 해서 발주기업의 법률상 책임이 당연히 면제되는 것은 아니다. 반면 당사자 사이의 손해배상이나 구상관계는 계약 내용에 따라 달라질 수 있다. 따라서 법률상 의무와 계약상 책임 배분을 구별하여 검토할 필요가 있다.
최근 국내 기업들이 미국을 비롯한 해외 기업과 서비스계약을 체결하거나 해외 클라우드, 마케팅 서비스를 이용하는 일이 늘어나면서 개인정보 보호에 관한 검토사항도 복잡해지고 있다. 특히 주의해야 할 문제 중 하나가 개인정보의 국외 이전이다. 국내 기업이 고객정보를 해외 본사나 계열사에 전달하거나, 해외 업체에 개인정보 처리를 맡기거나, 해외 서버에 보관하는 경우에는 「개인정보 보호법」상 국외 이전 요건을 검토해야 한다. 국외 이전에는 개인정보의 제3자 제공뿐 아니라 해외에서의 처리위탁이나 보관도 포함될 수 있으므로, 단순히 개인정보를 해외 업체에 판매하거나 제공하지 않는다는 이유만으로 관련 의무가 없다고 판단해서는 안 된다.
미국의 개인정보 보호법도 함께 검토해야 한다. 미국은 한국과 달리 모든 기업에 일률적으로 적용되는 단일한 포괄적 연방 개인정보 보호법이 없으며, 주별 법률과 분야별 연방법에 따라 규율된다. 대표적으로 캘리포니아주의 소비자 개인정보 보호법(CCPA)은 일정한 요건을 충족하는 기업에 적용되며, 개인정보 처리업체와의 계약에 포함해야 할 사항도 구체적으로 규정하고 있다. 따라서 국내 기업이 미국 기업과 계약할 때에는 해당 거래에 적용되는 미국법을 확인하고, 법률상 직접 부담하는 의무와 계약을 통해 추가로 부담하는 의무를 구별해야 한다.
미국 기업과의 서비스계약을 검토하다 보면 개인정보 보호에 관한 별도의 부속서를 두고, 개인정보 처리 주체와 재위탁 조건뿐 아니라 암호화, 접근권한, 보안점검 주기, 사고 발생 시 통지기한, 정보의 반환, 삭제 등 구체적인 업무 수행 기준까지 규정하는 경우가 있다.
이러한 계약에서는 관련 법률의 준수 여부뿐 아니라 개별 의무의 이행 가능성과 그에 따른 책임도 함께 검토해야 한다. 예컨대 사고 발생 후 24시간 이내에 통지하거나 일정한 주기로 보안점검을 실시하도록 정했다면, 해당 기업이 실제로 그 의무를 이행할 수 있는지, 위반할 경우 어떤 계약상 책임을 부담하는지 확인해야 한다. 법률상 의무보다 엄격한 계약상 기준을 수용하면 법령 위반이 없더라도 계약 위반에 따른 책임이 발생할 수 있기 때문이다.
미국 기업과의 계약에서는 유럽연합의 일반개인정보보호규정(GDPR) 준수의무가 포함되기도 한다. 이때 중요한 것은 GDPR이 해당 거래에 직접 적용되는지, 아니면 계약에 따라 추가적인 준수의무를 부담하는지를 구별하는 것이다. 특히 계약상 GDPR 준수의무를 수용하는 경우에는 그 내용이 실제 업무에 어떤 제한과 책임을 발생시키는지 검토해야 한다. 개인정보의 이용 목적과 범위, 재위탁, 보안조치, 사고 대응, 계약 종료 후 정보의 처리 등에 관한 의무가 해당 기업의 사업방식과 업무체계에 부합하는지 확인하고, 필요한 경우 의무의 범위와 계약상 책임을 조정해야 한다.
결국 개인정보 보호는 개인정보 처리방침을 작성하거나 계약서에 비밀유지 조항을 추가하는 것만으로 해결되는 문제가 아니다. 기업은 개인정보를 누가 수집하고 어떤 목적으로 활용하는지, 외부 업체와 어떤 방식으로 공유하는지, 해외로 이전되는 경우 어떤 법률이 적용되는지를 확인해야 한다. 그리고 이러한 법률적 판단을 실제 사업방식과 계약상 의무 및 책임 배분에 반영해야 한다. 개인정보 보호를 위한 법률검토는 문제가 발생한 이후가 아니라 사업구조를 정하고 계약을 체결하는 단계에서부터 시작되어야 한다.