개인정보보호법이 협회에 요구하는 것 — 명부를 다루기 전에

회원 명부를 가진 협회는 규모와 상관없이 개인정보보호법상 개인정보처리자다. 임의단체도 마찬가지다. 명부를 옮기거나 새 도구에 넣기 전에 아래 항목을 확인한다. 조문 번호는 2023년 개정 기준이며, 세부 기준(고시)은 바뀌므로 개인정보보호위원회 안내로 다시 확인한다.

수집·이용 동의 (제15조)

동의를 받을 때 네 가지를 알려야 한다.

1. 수집·이용 목적
2. 수집하는 항목
3. 보유·이용 기간
4. 동의를 거부할 권리가 있다는 것과 거부 시 불이익

회원 가입이라는 계약의 이행에 꼭 필요한 최소한의 정보는 동의 없이도 수집할 수 있다는 조항이 있지만, 협회는 동의서를 받는 편이 안전하다. 나중에 "무엇에 쓰기로 했는가"를 증명할 수 있는 문서가 동의서뿐이기 때문이다.

보유 기간은 끝나는 시점이 있어야 한다. "회원 자격 상실 후 1년"처럼. "영구"는 보유 기간이 아니다.

항목은 최소로 — 주민등록번호는 원칙적으로 안 된다

주민등록번호는 법령에 근거가 있을 때만 수집할 수 있다(제24조의2). 협회가 흔히 대는 이유 중 실제로 근거가 되는 것은 기부금영수증 발급(소득세법령) 정도다. 회원 관리 목적으로는 생년월일로 충분하다. 오래된 명부에 주민번호가 있으면 이관 시 빼고 옮기고 원본을 파기한다.

회원 간 명부 공개

"회원 상호 교류를 위한 명부 공개"가 수집 목적에 들어 있고 동의를 받았다면 회원끼리 열람하게 할 수 있다. 그 목적이 동의서에 없었다면 별도 동의가 필요하다. 종이 명부를 인쇄해 나눠 주거나 외부에 주는 것은 제3자 제공이어서 항목별로 다시 동의를 받아야 한다. 공개하더라도 항목은 이름·소속·이메일 정도로 최소화한다.

위탁과 제3자 제공은 다르다

도구를 바꾸는 일은 대부분 위탁이다. 위탁 계약서(이용약관에 포함되는 경우가 많다)와 처리방침의 수탁자 목록 갱신이 필요하다.

안전조치 (제29조)

소규모 단체에도 적용된다. 협회에서 실제로 문제가 되는 것은 넷이다.

• 계정 — 담당자마다 계정을 따로 두고, 퇴임하면 회수한다. 공용 계정 하나를 돌려 쓰는 것이 가장 흔한 위반이다.
• 접근 기록 — 누가 언제 명부를 봤는지 남아야 한다. 엑셀 파일은 이것이 안 된다.
• 암호화 — 비밀번호, 주민번호 등은 암호화 저장.
• 개인 기기 — 담당자 개인 노트북·이메일에 있는 명부 사본. 대개 여기서 유출이 난다. 이관이 끝나면 사본을 찾아 지운다.

파기 (제21조)

보유 기간이 지나거나 목적이 달성되면 지체 없이 파기한다(시행령상 5일 이내). 퇴회자를 "혹시 몰라" 남겨 두는 것이 위반이다. 재가입에 대비하려면 보유 기간을 "자격 상실 후 1년"처럼 정관·동의서에 두고 그 안에서만 보관한다.

유출이 났을 때

정보주체에게 알리고, 일정 규모 이상(1천 명 이상 등)이면 개인정보보호위원회에 72시간 안에 신고한다. 담당자 개인 메일 계정이 뚫린 경우도 여기 해당한다.

처리방침 (제30조)

협회도 개인정보 처리방침을 만들어 홈페이지에 게시해야 한다. 수집 항목·목적·보유 기간·위탁 업체·정보주체의 권리·담당자 연락처가 들어간다. 도구를 바꾸면 위탁 업체 부분을 고친다.

이관 전에 동의를 다시 받는 이유

옛 명부는 대개 ① 동의서가 없거나 ② 항목·목적이 지금과 다르거나 ③ 보유 기간이 없다. 셋 중 하나면 지금 명부로 새 도구에 넣는 것 자체가 목적 외 이용이 된다. 그래서 이관 일정에 동의 재취득 4주를 따로 잡는다.