답변
이관 자체는 하실 수 있는 일입니다. 다만 고객 DB를 이관해 준다는 한 줄이 실제로는 성격이 전혀 다른 두 가지 중 하나를 가리키기 때문에, 어느 쪽인지 먼저 정하지 않으면 광고 문구가 그대로 위험이 됩니다. 그 갈림길부터 정리하겠습니다. 개인정보 보호법은 개인정보가 밖으로 나가는 경우를 둘로 나눕니다. 하나는 제3자 제공입니다. 받는 쪽이 자기 업무와 자기 이익을 위해 그 정보를 쓰는 경우이고, 개인정보 보호법 제17조에 따라 원칙적으로 정보주체의 동의를 받아야 합니다. 이때 받는 자가 누구인지, 이용 목적이 무엇인지, 제공 항목이 무엇인지, 보유·이용 기간이 얼마인지, 동의를 거부할 수 있고 거부하면 어떤 불이익이 있는지를 알리고 동의를 받아야 합니다. 다른 하나는 처리위탁입니다. 위탁자의 업무를 대신 처리해 주는 경우이고, 이때 수탁자는 위탁 사무의 대가를 받을 뿐 그 정보에 관해 독자적인 이익을 갖지 않습니다. 대법원도 이 기준으로 둘을 갈랐습니다. 위탁은 정보주체의 별도 동의를 요구하지 않습니다. 그래서 CRM 구축과 데이터 이관은 대부분 위탁 쪽입니다. 사장님은 고객사의 명단을 사장님 영업에 쓰려고 받는 것이 아니라 고객사의 시스템을 옮겨 주려고 다루는 자리이기 때문입니다. 다만 위탁이면 아무것도 안 해도 된다는 뜻이 아닙니다. 개인정보 보호법 제26조는 위탁하는 업무의 내용과 수탁자를 정보주체가 쉽게 확인할 수 있도록 공개하게 하고, 위탁 목적 외 처리 금지와 기술적·관리적 보호조치, 그 밖에 대통령령으로 정하는 사항을 문서에 담도록 하며, 위탁자에게 수탁자 교육과 처리 현황 점검 등 관리·감독 의무를 지웁니다. 고객사가 해야 할 일이지만 실무에서 그 문서를 만들어 드리는 쪽은 대개 사장님입니다. 반대로 위탁이 아니라 제공이 되는 순간도 있습니다. 사장님이 받은 명단을 자사 데모 환경이나 학습 데이터로 재사용하시거나, 고객사가 아닌 다른 회사의 솔루션으로 함께 넘기시거나, 이관이 끝난 뒤에도 사본을 보유하며 사장님 사업에 쓰시면 그때부터는 성격이 바뀝니다. 그리고 고객사가 합병되거나 영업을 양도하는 상황이라면 제27조가 별도로 걸립니다. 이전 사실과 양수자 정보, 이전을 원하지 않을 때의 거부 방법과 절차를 정보주체에게 미리 알려야 합니다. 작업이 끝난 뒤도 중요합니다. 제21조는 보유기간이 지나거나 처리 목적을 달성해 개인정보가 불필요해졌을 때 지체 없이 파기하도록 정하고, 복구나 재생이 불가능한 방법으로 조치하도록 합니다. 이관 검증용으로 만든 중간 파일, 담당자 노트북의 추출본, 테스트 계정에 올린 표본이 남아 있으면 그 조항이 지켜지지 않은 상태입니다. 파기 기한과 파기확인서 제공을 계약서에 넣어 두시는 편이 사장님께도 안전합니다. 광고 문구는 이 구조를 그대로 반영하시면 됩니다. 고객 DB를 이관해 드린다는 문장 대신 네 줄로 나눠 적으십시오. 첫째 이관은 고객사가 위탁한 범위 안에서만 수행한다는 것, 둘째 위탁계약서와 안전조치 항목을 함께 제공한다는 것, 셋째 이관 완료 후 며칠 안에 작업용 사본을 파기하고 확인서를 드린다는 것, 넷째 원본 정합성 검증 결과를 보고서로 드린다는 것입니다. 무료라는 단어를 쓰실 거라면 무엇이 무료이고 어디서부터 유상인지, 건수나 항목 수 상한이 있는지도 같은 크기로 적으셔야 합니다. 표시광고법 제3조 제1항이 금지하는 기만적인 표시·광고는 중요한 사실을 감추거나 축소한 경우를 포함합니다. 한 가지는 확인하지 못했습니다. 개인정보의 안전성 확보조치 기준 고시에서 이관 작업에 적용되는 세부 조항 번호는 이번에 확정하지 못했습니다. 지어내지 않겠습니다. 개인정보보호위원회 누리집의 고시·해설서에서 암호화와 접근권한, 접속기록 항목을 직접 확인하시고 그 목록을 계약서 별지로 붙이시기 바랍니다. 한 가지는 다루지 않겠습니다. 동의나 위탁 문서 없이 명단을 옮기는 방법, 이관을 백업이나 기술지원으로 이름만 바꿔 적는 방법은 여기서 설명하지 않습니다. 사고가 나면 그 이름 바꾸기 자체가 고의를 보여주는 자료가 됩니다.