답변
직원 개인 휴대폰에 고객 번호를 저장해 두고 연락하는 방식, 소규모 매장에서 흔히 쓰시는 방법이라 불법이라고 생각하지 못하셨을 수 있습니다. 결론부터 말씀드리면 이 저장 방식 자체를 콕 집어 금지하는 조문은 없습니다. 다만 개인정보 보호법이 사업자에게 요구하는 안전조치 의무를 이 방식이 구조적으로 지키기 어렵게 만든다는 점이 문제입니다. 먼저 관계를 정리하겠습니다. 대표님이 개인정보처리자이고, 그 지휘·감독을 받아 실제로 고객 번호를 다루는 직원은 개인정보취급자에 해당합니다. 개인정보 보호법 제28조는 이 개인정보취급자의 범위를 업무에 필요한 최소한으로 제한하고 적절히 관리·감독하며, 정기적으로 교육하도록 사업자에게 요구합니다. 안전조치를 다할 책임은 직원이 아니라 대표님께 있다는 뜻입니다. 왜 개인 휴대폰 저장이 위험한지 구조로 짚어보겠습니다. 회사 시스템에 저장된 고객정보는 누가 조회했는지 접속기록이 남고, 권한을 회사가 부여하고 회수할 수 있습니다. 반면 직원 개인 휴대폰 주소록은 회사가 통제할 수 있는 범위 밖에 있습니다. 기기를 분실하거나 도난당해도 회사는 알 방법이 없고, 클라우드 백업으로 다른 기기·계정에 자동 동기화되면 유출 경로가 하나 더 늘어납니다. 무엇보다 직원이 퇴사해도 그 번호는 회사가 회수할 방법이 없이 개인 기기에 그대로 남습니다. 이 퇴사 이후 상황에서 실제로 문제가 커지는 경우를 다루는 카드는 따로 있으니(퇴사한 직원이 고객 연락처를 가져가 영업하면 어떻게 대응하나요), 여기서는 애초에 그런 상황이 생기지 않도록 저장 방식을 바꾸는 데 집중하겠습니다. 법적 근거를 구체적으로 보면, 개인정보 보호법 제29조는 개인정보처리자가 분실·도난·유출·위조·변조·훼손을 막기 위해 기술적·관리적·물리적 조치를 하도록 의무화합니다. 이를 구체화한 개인정보보호위원회 고시 「개인정보의 안전성 확보조치 기준」 제5조는 개인정보처리시스템에 대한 접근권한을 취급자별로 업무에 필요한 최소한의 범위로 차등 부여하고, 정당한 사유가 없는 한 취급자마다 별도 계정을 발급해 공유되지 않도록 정합니다. 개인 소유 휴대폰의 개인 주소록은 이 접근권한 통제 체계 자체에 들어와 있지 않습니다. 그래서 저장 방식을 바꾸지 않으면 고시가 요구하는 최소한의 통제조차 갖추기 어렵습니다. 지키지 않았을 때의 책임도 짚어두겠습니다. 제29조의 안전조치의무를 이행하지 않으면 제75조에 따라 3천만원 이하의 과태료가 부과될 수 있고, 안전조치 미비로 실제 유출이 일어나면 제64조의2에 따라 전체 매출액의 3% 이하 과징금이 별도로 부과될 수 있습니다. 그리고 직원이 저장해 둔 번호를 사적 목적으로 쓰면 제59조 제2호가 금지하는 무단 이용·제공에 해당해 제71조 제5호로 5년 이하의 징역 또는 5천만원 이하의 벌금 대상이 됩니다. 이 경우 제74조의 양벌규정으로 사업주에게도 벌금형이 함께 부과될 수 있지만, 사업주가 위반을 막기 위해 상당한 주의와 감독을 다했다면 책임을 면할 수 있습니다. 접근권한을 통제하고 교육한 기록을 남겨 두는 것이 이 면책의 근거가 됩니다. 그래서 실무적으로는 이렇게 바꾸시길 권합니다. 회사 명의의 업무용 회선을 따로 두는 방법이 가장 확실합니다. 매장 규모라면 투넘버 서비스나 알뜰폰 유심을 업무용으로 하나 더 두는 정도의 비용으로 해결됩니다. 문자나 톡 상담이 잦다면 CRM이나 상담 솔루션, 카카오톡 채널 상담으로 연락 창구를 옮기시면 됩니다. 이 방식들의 공통점은 누가 언제 어떤 고객 정보를 조회했는지 시스템 로그로 남고, 직원이 바뀌거나 퇴사해도 계정 삭제 한 번으로 접근이 끊긴다는 점입니다. 개인정보보호위원회의 실태점검에서도 접근권한 최소부여, 업무 변경·퇴직 시 권한 즉시 회수, 계정 공유 여부, 접속기록 관리를 단골로 확인하고 있으니, 지금 이 네 가지 기준으로 매장 운영을 스스로 점검해 보시면 됩니다. 이미 직원 개인 휴대폰에 고객 번호가 많이 쌓여 있다면 한 번에 정리하십시오. 회사 시스템(엑셀 관리대장이든 CRM이든)으로 번호를 이관하고, 이관이 끝난 뒤에는 개인 휴대폰 주소록·카카오톡 친구 목록에서 삭제하도록 안내하고 삭제 여부를 확인하십시오. 새 직원을 채용할 때는 처음부터 업무용 회선이나 시스템으로만 고객과 연락하도록 규칙을 정해 두시고, 이 규칙을 근로계약서나 취업규칙에 한 줄로 명시해 교육 기록과 함께 남겨 두시면 앞서 말씀드린 사업주 면책 판단에도 도움이 됩니다. 한 가지만 더 덧붙이겠습니다. 주문·예약 확인처럼 개별 응대 목적으로 저장한 번호와, 나중에 광고 문자를 보내는 마케팅 목적은 법적으로 다른 문제입니다. 저장 자체를 업무용 시스템으로 옮겼더라도 그 번호로 광고성 정보를 보내려면 정보통신망법 제50조에 따른 별도의 사전 동의가 필요하다는 점은 이 카드가 아니라 동의 관련 카드에서 다루고 있으니, 두 가지를 한 번에 섞어 판단하지 않으시길 바랍니다. 지금 이 카드는 어디에 저장해 두고 관리하느냐의 문제이고, 그 번호로 무엇을 보내도 되느냐는 별개의 확인이 필요한 문제라고 구분해 두시면 앞으로 유사한 상황에서도 판단이 쉬워집니다.