배송업체에 고객명단을 그냥 보냈다면: 개인정보 위탁 전 사장 체크리스트
배송대행사에 이름·주소·전화번호 엑셀을 보내고, 마케팅업체에는 고객 연락처를 공유합니다. 업무상 필요하니 괜찮다고 생각하기 쉽지만 대표 입장에서는 ‘누구에게 무엇을 왜 보냈는지’를 설명할 수 있어야 합니다.
개인정보보호위원회 안내에서는 동의문구뿐 아니라 고객정보가 움직이는 업무 흐름도 함께 확인합니다. 어느 시스템에서 어떤 항목이 추출되고, 외주업체가 어디에 저장하며, 업무가 끝난 뒤 언제 삭제하는지를 적어두면 전문가에게 정확히 물을 수 있습니다.
처리위탁은 무조건 금지된 것이 아니지만 문서화, 공개, 안전조치, 교육·감독과 재위탁 관리가 필요할 수 있습니다.
1. 제공인지 위탁인지 목적부터 구분합니다
우리 회사의 업무를 대신 처리하도록 맡기는 것인지, 상대방이 자기 목적에 고객정보를 쓰는 것인지 먼저 구분합니다. 이름이 ‘협력사’라고 법적 관계가 정해지는 것은 아닙니다.
배송 완료, 상담, 광고 운영처럼 목적을 한 문장으로 적고 목적 밖 사용을 금지합니다.
- 업무 목적
- 처리 항목
- 이용 주체
- 자기 목적 사용 여부
2. 필요한 정보만 보냅니다
배송에 생년월일이나 상담메모가 필요하지 않다면 파일에서 뺍니다. 전체 고객DB를 보내기보다 해당 주문과 필요한 열만 전달합니다.
엑셀 파일을 메일로 반복 전송하면 사본이 늘어납니다. 가능하면 권한과 접속기록을 관리할 수 있는 방식으로 전달합니다.
- 필수 항목
- 불필요 열 삭제
- 전송 방식
- 접근권한
3. 위탁계약에 처리와 보호조치를 씁니다
위탁 목적과 범위, 재위탁 제한, 접근통제, 사고 통지, 반환·파기, 점검권한을 문서에 넣습니다. 상대방의 일반 서비스약관만으로 충분한지 확인합니다.
해외 클라우드나 하위업체를 쓰는 경우 데이터 위치와 재위탁 구조를 별도로 묻습니다.
- 목적·범위
- 안전조치
- 재위탁
- 사고 통지·파기
4. 고객이 확인할 수 있게 공개합니다
개인정보 처리방침 등에 수탁자와 위탁업무를 정보주체가 쉽게 확인할 수 있도록 공개해야 하는지 확인합니다. 업체가 바뀌면 홈페이지 문구도 함께 고칩니다.
계약서만 보관하고 공개 목록이 과거 업체명으로 남아 있지 않은지 정기적으로 대조합니다.
- 수탁자명
- 위탁업무
- 처리방침 반영
- 변경일
5. 보낸 뒤에도 점검하고 끝나면 삭제합니다
위탁자는 계약서에 서명한 뒤 손을 놓지 않습니다. 접근권한, 보관기간, 재위탁, 교육과 파기 결과를 정기적으로 확인합니다.
계약 종료 때 계정만 끊지 말고 파일·백업·출력물까지 반환·삭제됐는지 확인서를 받습니다.
- 정기 점검
- 접근기록
- 사고 대응 연락망
- 종료 후 파기확인
6. 대표가 오늘 한 장에 남길 결론
개인정보 처리 위탁 관련 업무는 대표가 직접 결론을 내리기보다 확인된 사실, 아직 모르는 내용, 자료를 가진 사람과 다음 확인일을 한 장에 적어두면 전문가에게 검토를 요청하기 수월합니다.
직원이나 거래처에게 자료를 요청할 때도 “관련 자료 전부”라고 하기보다 계약, 금액, 날짜, 승인자처럼 이번 판단에 필요한 항목을 구체적으로 지정하는 편이 이해하기 쉽습니다. 전문가 답변을 받으면 적용 여부뿐 아니라 제외 사유와 다음에 같은 일이 생겼을 때의 기준도 함께 기록할 수 있습니다.
정리한 내용을 대표만 알고 끝내기보다 회계·영업·운영 담당자가 다음 거래에서 같은 기준을 사용할 수 있도록 체크리스트 위치와 최종 결정 내용을 공유하는 방식도 검토할 만합니다.
- 확인된 사실과 기준일
- 아직 받지 못한 원본자료
- 판단을 확인할 기관·전문가
- 확인 전에는 실행하지 않을 일
- 담당자와 다음 점검일
업무상 필요하다는 이유만으로 전체 고객명단을 메일로 보내고 계약·공개·삭제를 확인하지 않는 일입니다.
“현재 배송·마케팅·CRM 수탁업체별 처리 항목과 재위탁 구조를 점검하고, 처리방침 공개와 위탁계약 보완사항을 알려주세요.”
7. 자주 묻는 질문과 공식 확인 창구
배송업체에 주소를 주려면 고객 동의를 매번 받아야 하나요?
처리위탁인지 제3자 제공인지와 법적 근거를 먼저 구분해야 합니다. 업무 구조를 개인정보 전문가에게 확인합니다.
계약서에 보안조항 한 줄이면 충분한가요?
목적·범위·안전조치·감독·재위탁·파기 등 법정 요구사항을 구체적으로 확인해야 합니다.
업체가 유명한 대기업이면 점검하지 않아도 되나요?
업체 규모와 별개로 위탁자가 자기 업무 흐름과 계약, 공개·감독 책임을 확인해야 합니다.
댓글
댓글 쓰기