답변
해외 CRM에 고객 정보를 올리기 전에 국외 이전 동의부터 걱정하시는 건 정확한 감각입니다. 결론부터 말씀드리면, 해외 서버에 고객 정보를 저장하는 일 자체는 개인정보 보호법이 말하는 국외 이전에 해당합니다. 다만 그 CRM 이용이 계약 이행에 필요한 처리위탁·보관에 해당하고, 이전에 관한 사항을 개인정보 처리방침에 미리 공개하거나 이용자에게 통지해 두셨다면, 회원 한 명 한 명에게 별도의 국외 이전 동의서를 새로 받지 않아도 됩니다. 문제는 이 조건을 실제로 갖췄는지이지, 해외 CRM을 쓴다는 사실 자체가 아닙니다. 개인정보 보호법 제28조의8은 개인정보처리자가 개인정보를 국외로 제공하거나(조회되는 경우를 포함합니다), 처리위탁하거나, 보관하는 것을 통틀어 국외 이전으로 정의하고, 이를 원칙적으로 금지하면서 일정한 경우에만 허용합니다. 허용되는 경우는 다섯 가지입니다. 정보주체로부터 국외 이전에 관한 별도 동의를 받은 경우, 계약의 체결 및 이행을 위해 처리위탁·보관이 필요하면서 그 사항을 개인정보 처리방침에 공개하거나 전자우편 등 보호위원회가 정하는 방법으로 미리 알린 경우, 법률이나 대한민국이 체결한 조약·국제협정에 국외 이전에 관한 특별한 규정이 있는 경우, 개인정보 보호 인증 등 보호위원회가 정하여 고시하는 인증을 받은 자에게 이전하면서 필요한 사항을 처리방침에 공개한 경우, 그리고 이전받는 국가나 국제기구의 개인정보 보호 수준이 우리 법과 실질적으로 동등하다고 보호위원회가 인정한 경우입니다. 이 중 실무에서 가장 많이 쓰이는 통로가 두 번째, 계약 이행을 위한 처리위탁·보관입니다. 대부분의 해외 CRM 도입은 이 두 번째 통로에 들어맞습니다. CRM은 사장님의 판매·상담 업무를 대신 처리해 주는 도구이고, CRM사가 그 정보를 자기 이익을 위해 따로 쓰지 않는 한 개인정보 보호법 제26조가 말하는 처리위탁 관계로 봅니다. 이 경우라면 동의를 새로 받는 대신, 처리방침에 이전 근거와 위탁 사실을 공개하는 방식으로 진행하실 수 있습니다. 다만 판별 기준이 하나 더 있습니다. CRM사가 저장된 고객 정보를 자사 서비스 개선이나 다른 고객사와의 분석, 광고 목적 등 자기 사업을 위해 함께 활용한다면 그건 더 이상 단순 위탁이 아니라 제공에 가까워지고, 그 순간부터는 계약 이행 예외가 아니라 별도 동의가 필요한 쪽으로 넘어갑니다. 이용 중인 CRM의 이용약관과 개인정보처리방침에서 '고객 데이터를 자사 서비스 개선에 사용한다'는 문구가 있는지부터 확인해 보시기 바랍니다. 동의를 받든 처리방침으로 갈음하든, 국외 이전과 관련해 알려야 할 내용은 같은 뼈대입니다. 이전되는 개인정보 항목이 무엇인지, 어느 국가로 이전되는지, 이전 일시와 방법이 무엇인지, 이전받는 자의 명칭과 연락처가 무엇인지, 이전받는 자가 그 정보를 이용하는 목적과 보유·이용 기간이 얼마인지, 이전을 거부하는 방법과 절차, 거부했을 때 생기는 효과가 무엇인지입니다. CRM 벤더가 여러 국가에 데이터센터를 두고 있다면 실제로 고객 정보가 저장되는 리전을 특정해서 적으셔야 하고, 벤더가 하위 업체(서브프로세서)에 데이터를 다시 맡긴다면 그 하위 위탁 관계도 함께 밝히시는 것이 안전합니다. 지금 하셔야 할 일은 세 가지입니다. 첫째, CRM 벤더의 서비스 약관과 개인정보처리방침에서 서버 소재국, 하위처리자 현황, 데이터 보안 인증(ISO 27001, SOC 2 같은) 여부를 확인하십시오. 둘째, 사장님 회사의 개인정보 처리방침에 국외 이전 항목을 신설해서 앞서 말씀드린 공개 항목을 전부 채워 넣으십시오. 이미 운영 중인 회원이 있다면 처리방침 개정과 함께 이메일이나 공지사항으로 변경 사실을 알리는 절차를 밟으시는 편이 나중에 분쟁이 생겼을 때 '알고 있었다'는 근거가 됩니다. 셋째, 처리위탁 관계라면 개인정보 보호법 제26조에 따라 위탁하는 업무의 내용과 수탁자(CRM 벤더)를 정보주체가 알 수 있도록 공개하고, 계약서에 목적 외 처리 금지와 안전조치 의무를 명시하십시오. 두 가지는 확인하지 못했습니다. 하나는 개인정보 보호 인증 등 보호위원회가 정하여 고시하는 인증의 구체적인 목록과, 사장님이 검토 중인 해외 CRM 벤더가 여기에 해당하는지입니다. 다른 하나는 국외 이전 요건을 어기고 진행했을 때 실제로 부과되는 과징금·과태료의 구체적인 수준입니다. 지어내지 않고 남겨 두니, 개인정보보호위원회 누리집의 국외 이전 관련 고시와 해설서를 직접 확인하시거나, 개인정보침해신고센터(국번 없이 118)로 문의해 보시기 바랍니다. 정리하면, 해외 CRM을 쓴다는 이유만으로 무조건 개별 동의를 새로 받으실 필요는 없습니다. 계약 이행에 필요한 처리위탁·보관이라는 성격을 유지하시고, 처리방침에 이전 항목을 빠짐없이 공개해 두시면 그것으로 요건을 충족합니다. 다만 CRM사가 그 정보를 자기 이익을 위해 쓰는 순간 성격이 바뀐다는 것만 놓치지 마시고, 벤더 약관을 한 번 더 읽어 보시는 것으로 시작하시면 됩니다.