라이프

“마케팅용 개인정보 수집, 지금처럼 하면 전부 위법이에요”

조아영 오내피플 대표 인터뷰

2023.08.29

---

오는 9월부터 개인정보보호법이 강화된다. 갈수록 심각해지는 개인정보 유출 사고를 예방하기 위해서다. 가장 크게 바뀌는 점은 역시 처벌 수위. 앞으로 법을 어기면 회사 전체 매출의 최대 3%를 과징금으로 내야 한다. 현재는 위반한 서비스로 벌어들인 매출만 과징금 대상으로 삼는다.

과징금에 ‘0’ 몇 개가 더 붙을 만큼 규제가 강화되는 건데, 마냥 남 이야기가 아니다. 대부분의 국내 회사에는 정보보안 전문가가 없다. 많은 경우 마케터나 기획자가 고객의 개인정보를 대신 관리한다. 이벤트나 설문 조사를 위해 개인정보 수집동의서를 제작·배포하는 게 대표적이다.

문제는 이들이 개인정보보호법에 까막눈이라는 것. 과거에 사용했던 개인정보 수집동의서 양식을 제목만 바꿔 그대로 활용하거나 구글 검색을 통해 괜찮아 보이는 양식을 참고할 뿐, 양식이 적법한지 아닌지까지는 판단하지 못한다.

요컨대, 지금 당신이 활용 중인 고객의 개인정보는 부적절한 절차로 수집됐을 가능성이 높다. 일단 수집 단계가 틀어지면 이후의 저장, 열람, 활용 단계도 모두 불법이다. 막대한 과징금? 마냥 남 이야기가 아니다.

지난달 서울 마포구 사무실에서 만난 조아영 오내피플 대표는 “현재 우리나라 개인정보 관리의 실태”라고 꼬집었다. 조 대표는 “적법하지 않은 동의서로 고객 정보를 수집하는 것뿐 아니라, 엑셀 파일에 담아 컴퓨터 하드에 아무렇게 보관하거나, 열람 목적을 남기지 않고 내용을 확인하는 행위 모두 개인정보 유출 사고를 유발하는 요인”이라고 말했다.

개인정보 보호 전문기업인 오내피플은 개인정보 규제 준수 자동화 플랫폼 ‘캐치시큐’를 운영한다. 키워드를 입력하면 최신 규제에 맞는 개인정보 수집동의서를 자동으로 생성해준다. 정보보안 컨설턴트로 일하던 조 대표가 지난 2018년 설립했다.

최근 몇 년 간 별다른 투자 없이도 흑자를 내고 있으며, 지난 6월에는 기술력을 인정 받아 과학기술정보통신부가 주관하는 ‘2023 우수정보보호 기술’로 선정됐다. 개인정보 수집부터 보관, 활용, 파기에 이르는 전 과정을 올바르게 지원하는 것이 목표다.

“개인정보의 주체는 개인입니다. 기업은 잠시 빌려 쓰는 거죠. 당연히 철저하게 관리해야 하지만 그렇지 못해요. 인식도, 정보도, 시스템도 부족해서 그렇습니다. 고객정보 보호가 ‘당연한 가치’가 되도록 하는 것이 우리 목표입니다”

조 대표에 따르면, 특히 스타트업이나 마케팅 대행사가 개인정보 유출 사고에 취약하다. 고객 정보를 수집하는 일은 많은데, 전문 인력이 턱없이 부족하기 때문이다. 이에 개인정보 업무를 병행하는 마케터의 입장에서 주의해야 할 점을 들어봤다.

“개인정보 유출, 회사는 인지 못해“

국내 기업의 고객 정보 관리 실태는 어떤 수준인가
유출 사고에 무척 취약하다. 별도의 전담 부서를 둔 일부 기업을 제외하면, 마케팅이나 이벤트 설문을 위한 개인정보 수집동의서를 대부분 비전문가(마케터, 기획자, 홍보담당자 등)가 만든다. 간단한 업무라고 생각해 전문가 검토도 받지 않는다.

그게 왜 문제가 되는가?
보통 과거에 만들어 둔 동의서를 복사해 쓰거나, 어디 인터넷에 떠 돌아다니는 양식을 참고한다. 그런데 개인정보 수집동의서에 담기는 세부 내용은 수집 목적에 따라 달라져야 한다. 최신 규제도 반영해야 하고. 하지만 전문가가 아니다 보니 여기서 많이 틀린다. 규제 준수가 고객정보 보호의 시작인데, 첫 단추부터 잘못 꿰는 셈이다.

법을 위반하고 있다는 소리인가?
그렇다. 만약 신고라도 들어오면 처분을 피할 수 없을 거다.

많은 회사가 이런 식으로 운영 중인데…
그래서 문제다. 대부분의 회사가 적법하지 않은 동의서로 고객정보를 수집하고, 고객도 이게 맞는 건지 아닌 모르니까 그냥 동의하고 정보를 제공한다.

현장에서 대표적으로 저지르는 실수가 있다면?
개인정보 수집 목적은 크게 두 가지다. 이벤트와 광고. 때문에 각각에 대한 동의를 받아야 하는데, 대부분의 회사는 한 가지만 받는다. 예컨대 이벤트에만 동의한 고객한테 광고까지 보내는 것이다. 고객이 왜 광고를 보내느냐고 따지면 기업은 할 말이 없다.

관리 면에서도 문제가 많겠다
그럴 수밖에 없다. 대부분이 구글폼이나 네이버폼으로 동의서 양식을 만들어 고객정보를 수집한다. 그리고 스프레드시트로 저장해 뒀다가, 필요할 때 엑셀로 내려 받은 뒤 공유 폴더에 보관한다. 원래는 열람할 때마다 사유를 적어야 하지만 그런 것도 없다. 구글폼과 네이버폼 특성상 접속기록이 남지 않아 점검과 보관 의무 등의 규제 준수도 불가능하다.

회사가 이걸 컨트롤 해야 하는 거 아닌가?
못한다. 전문가가 없어서다. 심지어 마케터나 기획자는 이직할 때 본인이 했던 모든 프로젝트 정보를 다 들고 퇴사한다. 여기에는 당연히 고객 정보도 포함된다. 엄연한 개인정보 유출이다. 그런데 회사는 이걸 인지하지 못한다. 시스템이 없기 때문이다. 현재 진행형으로 벌어지는 일이다.

이벤트 끝난 뒤에 고객 정보를 지우면 될 텐데
사실 담당자들도 대충 짐작한다. 정확한 규제까진 몰라도 개인정보를 이렇게 다뤄선 안 된다는 걸 상식적으로 아는 거다. 그렇지만 동시에 “찝찝하긴 한데 내가 담당일 때는 문제가 안 생겼으면 좋겠다”고 생각한다. 괜히 고객정보를 지웠다가 회사에 손실을 일으키면 어쩌지, 걱정을 하는 것이다. 때문에 삭제까지 이어지지 않는다.

민원 강화… 9월부터 과징금 폭탄

마케터(실무자) 입장에서 정리하면 이렇다. 개인정보 수집동의서를 제작하긴 했지만 적법한지 아닌지는 모른다. 어떻게 관리해야 할지도 모르고, 나아가 지워도 되는 건지 아닌지도 판단할 수 없다. 고객 정보 방치의 악순환이다.

더 큰 문제는 고객 민원이 발생했을 때 대처하기 어렵다는 점이다. 지난 2021년 개인정보보호위원회가 실시한 ‘개인정보보호 실태조사’에 따르면, 소비자의 70%가 “개인정보와 관련해 권리를 침해 당한다고 느끼면 적극적인 대처를 한다”고 답했다. 광고 문자에 욕 한번 하고 서비스를 탈퇴하는 건 옛말, 이제는 항의나 신고까지 한다는 것이다.

고객 민원에 왜 제대로 대처를 못하나
“왜 자꾸 스팸 문자를 보내느냐?”라는 민원이 왔다고 치자. 그러면 회사는 “당신이 동의했다”는 걸 소명해야 한다. 그런데 고객 정보가 산발적으로 쌓여 있으니 일단 해당 민원자의 정보를 찾는 것부터 난관이다. 이전 담당자가 자료를 지웠다면 방법도 없다. 만약 수많은 엑셀 파일을 열어가며 찾았다고 쳐도 그때의 동의서가 적법한지는 또 다른 문제다.

9월부터 개인정보보호법이 강화된다. 실무자 입장에서 특히 주의해야 할 부분이 있다면?
‘개인정보처리방침 평가제’라는 것이 도입된다. 웹사이트 등 고객 정보를 활용하는 모든 곳에는 개인정보처리방침을 의무적으로 명시해야 한다. 이 처리방침이 최신으로 유지되는지, 게재된 위치가 웹 상에서 쉽게 확인할 수 있는 곳인지 등을 정부가 평가한다는 뜻이다. 워낙 제대로 관리가 안 되다 보니 도입 되는 건데, 비전문가가 규제에 맞춰 주기적으로 업데이트하고 관리하기란 쉽지 않다.

이런 상황에서 캐치시큐는 어떤 역할을 하는가
지금까지 이야기한 모든 문제를 자동화 한 게 우리 서비스다. 예를 들어 세미나 참여 설문을 위해 “참석 안내를 위해 성함과 연락처를 알려주세요”라는 문항을 적었다고 치자. 고객 정보를 요구하는 내용이니 관련 동의서가 필요하다. 이 문장을 캐치시큐에 입력하면, 인공지능이 ‘성함’과 ‘연락처’라는 키워드를 인식해 자동으로 필요한 동의서를 생성한다. 담당자는 해당 동의서 링크를 설문 폼에 붙여 넣기만 하면 된다. 또 개인정보 파일을 내려 받으려면 사유를 입력해야 하고, 삭제 기록도 남도록 했다. 개인정보처리방침도 자동으로 업데이트해준다. 이를 통해 시스템과 지식의 부재로 발생하던 개인정보 유출 사고를 최대한 방지할 수 있다.

업무에 드는 비용과 시간도 줄 것 같다
규제를 충실히 지킨다는 가정 하에 비용 측면에서 비교해 보면, 수 천만 원 내던 것을 수 만원 수준으로 절감할 수 있다. 보안 담당자가 없는 작은 회사는 규제를 지키기 위해 컨설팅을 받아야 한다. 이게 못해도 4,000만~5,000만 원이다. 이후 시스템을 구축하는 데 몇 달이 걸린다. 인건비까지 합치면 억 대에 육박한다. 그런데 캐치시큐를 쓰면 월 수 만원에 대부분의 문제를 해결할 수 있다. 사실 스타트업 입장에선 그 동안 비용이 하나도 나가지 않았으니 와 닿지 않는 비교일 수 있다. 그건 규제를 지키지 않았다는 방증이기도 하다.

개인정보 업무를 담당 중인 실무자들에게 하고 싶은 말이 있다면
개인정보가 중요하다는 말에 관련 법을 공부하는 분까지 봤다. 전문 분야가 아닌데도 말이다. 올바른 태도지만, 사실 개인이 다 습득하기엔 어려운 부분이 많다. 그런 복잡한 업무는 플랫폼에 맡기고 원래 업무에 집중할 수 있으면 좋겠다.

궁극적으로 지향하는 미래는?
우리 모두는 기업에 속한 근로자이기 전에 하나 이상의 서비스를 이용하는 고객이자, 개인정보를 보호 받을 권리가 있는 정보 주체다. 오내피플이 고객정보보호에 대한 국내 산업의 인식을 바꾸고 싶다.

• 개인정보
• 오내피플
• 캐치시큐

• 에디터장준영 (zzangit@ditoday.com)