분석 업체에 넘기는 것과 발주처에 넘기는 것의 차이

설문 데이터를 분석 업체에 넘기는 일과, 같은 데이터를 발주처에 넘기는 일은 겉보기에 비슷하다. 파일을 전달하고 수신 확인을 받는다는 점에서 절차도 닮았다. 그런데 법이 요구하는 것은 두 경우에 전혀 다르다.

누구의 목적인지가 갈림길이다

처리위탁은 개인정보처리자가 자신의 업무를 처리할 목적으로 다른 사람에게 그 처리를 맡기는 것이다. 통계 분석을 외주 주거나, 전산 시스템 운영을 맡기거나, 발송 업무를 대행시키는 경우가 여기에 들어간다. 자료는 여전히 맡긴 쪽의 목적을 위해 쓰인다.

제3자 제공은 받는 쪽이 자기 목적을 위해 그 정보를 쓰는 경우다. 발주처가 받은 응답 데이터를 자사 마케팅에 쓴다면 제공이다. 계약서에 위탁계약서라고 적혀 있어도 실제 사용 목적이 받는 쪽에 있으면 제공으로 평가된다.

요건이 어떻게 달라지는가

제3자에게 제공하려면 원칙적으로 정보주체의 동의를 받아야 한다. 동의를 받을 때는 받는 자, 이용 목적, 제공 항목, 보유 기간, 동의를 거부할 권리와 불이익을 알려야 한다. 법령에 근거가 있는 경우에는 동의 없이 제공할 수 있는 길이 열려 있다.

처리위탁은 다르다. 별도의 동의 대신 위탁 업무 내용과 수탁자를 공개해야 하고, 문서로 위탁 계약을 맺어야 하며, 수탁자가 안전하게 처리하는지 관리하고 감독해야 한다. 수탁자가 일으킨 손해에 대해서는 위탁자를 소속 직원으로 본다는 규정도 있다.

수집 단계에서 이미 갈린다

조사를 설계할 때 결과 데이터가 어디로 가는지 정해져 있다면, 그 내용은 수집 동의서에 들어가야 한다. 나중에 제공 동의를 따로 받으려면 응답자에게 다시 연락해야 하는데, 조사가 끝난 뒤 연락은 대부분 되지 않는다.

반대로 수집 시점에 넓게 적어두는 방식도 좋은 답은 아니다. 목적과 항목은 구체적으로 적어야 하고, 필요한 범위를 넘는 동의는 그 자체로 문제가 될 수 있다. 필요한 만큼 구체적으로, 그러나 빠뜨리지 않고 적는 균형이 필요하다.

구분해서 보면 이렇다

구분	제3자 제공	처리위탁
목적의 주인	받는 쪽	맡기는 쪽
동의	원칙적으로 필요	별도 동의 대신 공개
알려야 할 것	받는 자, 목적, 항목, 기간	위탁 업무 내용과 수탁자
문서	동의 기록	위탁 계약서
이후 관리	제공 내역 관리	수탁자 관리와 감독

리서치 현장에서 나오는 질문

발주처가 원자료를 달라고 하면 줘야 하나

계약상 의무가 있더라도 개인정보 제공 요건은 따로 충족되어야 한다. 식별자를 제거한 형태로 제공할 수 있는지, 집계된 형태로 충분한지 먼저 검토하는 것이 순서다.

해외 분석 도구를 쓰면 국외 이전인가

자료가 국외 서버에서 처리된다면 국외 이전에 관한 규정이 함께 걸릴 수 있다. 도구의 데이터 저장 위치와 처리 방식을 확인해두어야 판단이 가능하다.

위탁과 제공을 겸하는 경우는 어떻게 하나

하나의 상대방에게 두 성격이 섞여 있다면, 자료 흐름을 업무 단위로 나누어 각각의 성격을 따지는 편이 분명하다. 섞어서 하나의 문서로 처리하면 나중에 어느 쪽 요건도 충족하지 못한 상태가 되기 쉽다.

데이터의 범위와 처리 방식에 따라 적용이 달라진다. 여기서는 공통되는 부분만 다루었다.

이어서 읽기

• 조사가 끝난 데이터는 언제 어떻게 지워야 하는가
• 설문조사 데이터를 다루는 기업이 가장 자주 놓치는 세 가지