공공기관이 구글·네이버폼 등 외부 온라인 설문조사 플랫폼으로 개인정보를 수집할 때 클라우드컴퓨팅서비스보안인증(CSAP) 등 안전성이 검증된 솔루션을 반드시 사용해야 한다는 법률 해석이 나왔다.
곽환희 법무법인 오른하늘 파트너 변호사는 22일 개인정보보호진흥원·와이즈인컴퍼니·프리모데이터가 공동주최한 온라인 개인정보 수집체계 점검 웨비나에서 “공공기의 외부 설문 플랫폼 사용 과정을 들여다보면 개인정보 수집 동의와 민감정보 별도 동의, 국외 이전, 위·수탁 계약 등 법에서 요구하는 절차가 빠진 경우가 많다”며 “실제 조사가 이뤄지면 위법 사항이 될 부분이 대다수”라고 밝혔다.
공공기관이 먼저 확인해야 할 부분은 CSAP 인증 여부다. 관련 고시에 따르면 행정기관과 공공기관은 인증받은 클라우드 서비스를 이용해야 한다. 미인증 서비스를 사용하려면 정보시스템의 중요도 등급을 식별하고 국가정보원장과 보안 적합성을 사전에 협의해야 한다.
곽 변호사는 이 같은 규정을 설명하면서 “공공기관의 CSAP 인증 서비스 사용이 사실상 의무화돼 있다”며 “설문 폼도 동일한 규정이 적용된다”고 설명했다.
설문 양식에는 개인정보 수집 목적과 항목, 보유·이용 기간, 동의 거부 권리를 명확히 안내해야 한다. 건강정보 등 민감정보를 수집한다면 일반 개인정보와 구분해 별도 동의를 받아야 한다. 해외 서버에 정보가 저장되는 플랫폼은 이전 국가와 방법, 수신자 등을 알리고 개인정보 국외 이전 절차도 거쳐야 한다.
이 같은 의무는 외부 플랫폼에 설문 응답의 저장·처리를 맡길 때도 이어진다. 공공기관은 위탁 목적과 범위, 재위탁 제한, 안전조치 의무 등을 담은 서면 계약을 체결해야 한다. 접근통제와 암호화, 접속기록 관리, 보유기간 종료 후 파기 여부도 확인 대상이다.
설문조사를 외주 업체에 맡겨도 공공기관의 책임은 남는다. 수탁업체의 실수로 개인정보가 유출된다면 발주기관 책임을 따지게 된다. 공공기관이 업체가 어떤 설문도구를 쓰는지, 개인정보를 어떻게 보관하고 삭제하는지 확인하지 않았다면 관리·감독을 소홀히 한 것으로 볼 수 있다.
곽 변호사는 민간기업도 구글폼·네이버폼 사용을 지양해야 한다고 강조했다. 공공기관에 적용되는 CSAP 관련 의무는 없지만 개인정보 수집·이용 동의, 처리위탁 계약, 수탁자 관리·감독, 국외 이전 등 개인정보보호법상 의무는 동일하게 적용되기 때문이다.
곽 변호사는 “편의성이 높다는 이유로 구글폼·네이버폼을 사용하는 사례가 많지만 공공과 민간 모두 개인정보 관련 법령을 위반할 우려가 있다”며 “특히 공공기관은 용역 발주 단계부터 사용할 설문 시스템과 개인정보 처리 기준을 명시하고 CSAP 등 인증받은 솔루션을 쓰도록 해야 한다”고 조언했다.
박진형 기자 jin@etnews.com
