개인정보처리방침 변경 시 기존 CRM 세그먼트 운영에 미치는 영향 점검

개인정보 보호법 제30조 제1항은 처리방침에 담아야 할 사항으로 처리 목적, 처리·보유 기간, 제3자 제공에 관한 사항, 파기 절차·방법, 민감정보 공개 가능성과 비공개 선택 방법, 처리위탁에 관한 사항, 가명정보 처리에 관한 사항, 정보주체와 법정대리인의 권리·의무와 행사 방법, 보호책임자 성명 또는 담당 부서 명칭과 연락처, 자동 수집 장치의 설치·운영과 거부에 관한 사항 등을 규정합니다.

제2항은 처리방침을 수립하거나 변경하는 경우 정보주체가 쉽게 확인할 수 있도록 대통령령으로 정하는 방법에 따라 공개하도록 합니다. 공개의 구체적 방법은 시행령 사항이라 실제 게시 방식을 확정하려면 시행령 원문을 함께 확인해야 합니다.

CRM 실무에서 가장 중요한 조항은 제3항입니다. 처리방침의 내용과 정보주체와 체결한 계약의 내용이 다른 경우 정보주체에게 유리한 것을 적용합니다. 즉 처리방침에 적어 둔 보유기간이나 이용 범위보다 실제 운영이 넓으면 처리방침 쪽이 기준이 되어 위반이 됩니다.

반대 방향의 사고도 있습니다. 처리방침만 넓게 고쳐 놓고 가입 화면의 동의 문구를 그대로 두면, 동의 범위를 넘는 처리가 됩니다. 개인정보 보호법 제22조는 처리 목적별로 구분해 동의를 받도록 규정하므로, 처리방침 개정은 언제나 동의서와 함께 검토해야 합니다. 문서만 바꾸고 운영을 그대로 두는 것도, 운영만 바꾸고 문서를 그대로 두는 것도 같은 문제를 만듭니다.

실무 점검은 세 단계로 나누면 빠짐이 줄어듭니다. 먼저 개정안에서 바뀌는 항목을 목록화합니다. 보유기간, 이용 목적, 제3자 제공 대상, 위탁 대상, 자동 수집 장치 중 무엇이 바뀌는지를 표로 만듭니다.

다음으로 각 항목이 걸리는 세그먼트 조건을 찾습니다. 보유기간이 짧아지면 그 기간을 넘는 구매 이력을 조건으로 쓰던 세그먼트의 인원이 줄고, 이용 목적에서 특정 항목이 빠지면 그 값을 조건으로 쓰던 세그먼트가 무효가 됩니다. 마지막으로 영향받는 세그먼트를 쓰는 시나리오와 광고 오디언스를 확인합니다. 이미 매체로 내보낸 오디언스가 있다면 회수 절차까지 함께 잡아야 합니다.

새 CDP나 발송 대행사를 도입하는 것은 그 자체로 처리방침 개정 사유가 됩니다. 처리위탁에 관한 사항이 처리방침 기재사항이기 때문입니다. 여기서 먼저 판단할 것은 그 관계가 처리위탁인지 제3자 제공인지입니다. 우리 업무를 대신 수행하고 이익이 우리에게 귀속되면 처리위탁이고, 받는 쪽이 자기 이익을 위해 쓰면 제3자 제공이며 필요한 동의와 계약 문서가 다릅니다.

제3자 제공이라면 고지 수준이 더 구체적이어야 합니다. 어느 회사에 어떤 목적으로 어떤 정보를 제공하는지 구체적으로 밝히고 동의를 받아야 하며, 막연한 표현은 충분한 고지로 인정되지 않습니다. 도구의 서버가 해외에 있다면 국외 이전 요건도 함께 걸립니다. 제28조의8은 별도 동의를 받거나 계약 이행에 필요해 처리방침에 공개·고지한 경우 등 법이 정한 예외가 있을 때만 국외 이전을 허용합니다.

개정 공개로 일이 끝나지 않습니다. 세그먼트 인원이 실제로 예상대로 변했는지, 무효가 된 조건을 쓰던 시나리오가 오류 없이 멈췄는지, 매체로 나갔던 오디언스가 회수됐는지를 확인해야 합니다. 특히 옵트아웃 반영은 자사 발송뿐 아니라 광고 매체 쪽까지 전파돼야 하고, 매체의 제한된 데이터 처리는 이후 시점부터 적용되는 구조라 소급 삭제가 아니라는 점을 이해하고 있어야 합니다.

기록도 남깁니다. 개정 전후의 처리방침 버전, 변경 사유, 영향받은 세그먼트 목록, 조치 내역을 한 묶음으로 보관해 두면 실태점검이나 분쟁에서 설명이 가능해집니다. 개인정보보호위원회는 접근권한 관리와 수탁사 관리·감독 실태를 점검 항목으로 다루고 있어, 이런 기록이 있는지가 실제로 확인되는 지점입니다.