해외 대상 서비스를 만들려다 법 두 개에 동시에 걸렸다

영국과 EU 실무자를 대상으로 하는 작은 SaaS를 준비하고 있다. 코드는 아직 한 줄도 안 썼다. 만든 것이라고는 정적 랜딩 하나와 이메일을 받는 폼 하나가 전부다.

그런데 그 폼 하나 때문에 법이 둘 걸렸다. 하나는 예상했고 하나는 전혀 예상하지 못했다.

무료 대기자 명단도 GDPR 대상이더라

돈을 안 받으니 아직 사업이 아니고, 사업이 아니니 GDPR도 아직 먼 얘기라고 막연히 생각했다. 틀렸다.

GDPR 3조 2항 (a)는 EU 정보주체에게 재화·용역을 제공하는 경우에 걸리는데, 대가 지불 여부를 묻지 않는다. 무료 대기자 명단도 그대로 들어간다.

게다가 “겨냥했다”는 증거는 이미 내가 만든 산출물 전체에 널려 있었다. 페이지 언어를 lang="en-GB"로 박아뒀고, 본문은 영국 조항을 인용하고 있고, 아웃리치 타깃 명단은 전원 영국 조직이고, 콜드메일 초안도 전부 영문이다.

피하려면 타깃을 바꿔야 한다. 그건 프로젝트를 접는 것과 같다. 여하튼 적용을 피할 방법이 없다는 것부터 인정하고 시작했다.

27조 대리인 — “occasional”에서 걸렸다

3조 2항이 걸리면 27조가 따라온다. EU 안에 대리인(representative)을 두라는 조항이다. 그리고 브렉시트 이후로는 EU 대리인과 영국 대리인이 별개 의무라서 둘 다 필요하다.

면제 조항이 있길래 여기 기댈 수 있나 싶어 따져봤다. 세 조건을 모두 만족해야 한다.

• 처리가 occasional 할 것
• 특별범주(9조)·범죄경력(10조)을 대규모로 처리하지 않을 것
• 정보주체의 권리·자유에 위험을 초래할 가능성이 낮을 것

뒤의 둘은 통과다. 수집하는 건 이메일 주소와 자발적으로 온 회신 내용뿐이고 프로파일링도 자동결정도 제3자 판매도 없다.

문제는 첫째였다. occasional은 일상어의 “가끔”이 아니라 “통상적 업무 밖에서 부수적으로” 쪽으로 해석된다. 연간 15~30건이라는 적은 건수는 근거가 되지 못한다. 빈도가 아니라 성격의 문제인 것 같다.

내 대기자 명단 수집은 랜딩이 존재하는 이유 그 자체다. 아무래도 통상 업무의 핵심이지 부수적인 것이 아니다. 그래서 면제가 성립한다고 주장하지 않기로 했다.

안 된다고 정해놓고, 그래도 지금은 유예했다

여기서부터가 좀 이상한 기록이 됐다. 면제가 성립하지 않는다고 스스로 결론 내려놓고 그럼에도 계약을 미뤘기 때문이다.

미룬 근거는 이렇다. 지금 보유하는 건 이메일 주소뿐이라 사고가 나도 정보주체가 입는 실질 피해가 작다. 이 단계는 아웃리치 발송과 판정으로 끝나는 짧은 구간이고, 통과하면 다음 단계 진입 전에 계약하고 미달하면 프로젝트를 접거나 피벗한다.

비용도 컸다. 시장가가 연 몇백에서 이천 유로대인데, 이 단계 총예산은 오십 달러 수준이고 인프라가 월 오 달러다. 매출 0인 구간에 인프라의 스무 배를 얹는 판단이 된다.

대리인이 대신 해주는 것 중 둘은 다른 방법으로 이미 해결하기도 했다. 공개 우편주소는 요청 시 제공하는 방식으로, 연락 창구는 상시 수신되는 이메일로. 열람·삭제·철회 요청에는 10일 내 응답을 전원에게 적용한다고 처리방침에 적었다.

대신 남은 위험을 줄여 적지 않기로 했다. 이건 의무를 면제받는 근거가 아니라 이행을 늦추는 근거고 그 사이에는 위반 상태일 수 있다. 대리인 지정은 매출이나 규모의 함수가 아니라 겨냥 여부의 함수라서 작다는 것은 항변이 되지 않는다.

그리고 하필 내 청중이 이 조항을 업무로 다루는 사람들이다. 처리방침에 대리인 표기가 없다는 걸 알아볼 수 있는 사람들이라는 뜻이다. 법적 위험보다 이쪽이 먼저 현실화될 것 같다.

그래서 발동 조건을 미리 적어뒀다. 실제 문서 처리를 시작하거나, 명단이 100건을 넘거나, 관련 문의를 한 건이라도 받거나, 유료 결제를 개시하면 그 즉시 계약한다.

업체는 미리 조사만 해뒀다. EU와 UK를 둘 다 사야 하는 조건에서는 가격 구조가 갈리더라. 한쪽은 EU만·UK만·둘 다가 같은 가격이라 두 관할을 다 사도 시작가가 그대로였고, 다른 한쪽은 사실상 별개 계약으로 취급해서 번들 할인을 최대로 받아도 더 비쌌다. 조사 시점 기준이라 계약 직전에 다시 확인해야 한다.

한국법이 또 따로 걸린다

여기까지가 예상했던 쪽이다. 예상 못 한 건 한국법이었다.

개인정보보호법은 법인에만 적용되는 게 아니다. “업무를 목적으로 개인정보파일을 운용하기 위하여 개인정보를 처리하는 자”에 적용되고 여기에 개인도 들어간다. 한국에 앉아 있는 나 자신이 개인정보처리자다.

그러니 해외 클라우드와 SaaS를 쓰는 이상 28조의8, 국외이전 조항을 지켜야 한다. 문제는 수탁자마다 법적 근거가 같지 않다는 것.

CDN은 이용자가 접속하는 순간 서버 로그에 IP가 남는다. 접속과 동시에 발생하니 사전 동의가 물리적으로 불가능하다. 그래서 3호, 계약 이행에 필요한 처리위탁으로 보고 처리방침 공개로 갈음하는 쪽을 택했다.

그런데 여기 말하지 않은 전제가 하나 있다. 3호 원문은 “정보주체와의 계약의 체결 및 이행을 위하여 필요한” 위탁이다. 즉 “인프라 위탁이면 방침 공개로 끝”이 아니라, 웹사이트 이용을 이용계약으로 본다는 전제 위에 서 있다. 이 전제가 부정되면 근거가 통째로 사라진다.

중간에 판단을 한 번 뒤집기도 했다. 메일 발송 서비스는 처음에 “구독은 선택적 부가 서비스니까 별도 동의”로 봤다가 철회했다. 필수냐 부가냐는 불필요한 동의를 강요하지 말라는 조항에서 의미가 있는 구분이지, 3호 적용 여부를 가르는 기준이 아니었다. 무상계약도 계약이다.

체크박스가 하나로 안 끝나는 이유

받은 견해 중에는 체크박스를 두 개 두라는 것도 있었다. 광고성 정보 수신동의 하나, 개인정보 국외이전 동의 하나.

결국 하나만 뒀다. 두 법이 규율하는 행위가 다르기 때문이다.

개인정보보호법 3호가 면제해주는 것은 “주소를 국외로 보내는 것”이고, 정보통신망법이 규율하는 것은 “광고성 메일을 보내는 것”이다. 다른 행위에 대한 다른 법이라 하나가 다른 하나를 면제해주지 않는다. 시험 자체가 다르다. 한쪽은 “위탁이 계약 이행에 필요한가”를 묻고 다른 쪽은 “내용이 광고성인가”를 묻는다.

그리고 출시 알림 메일은, 무료 서비스라도 장차 유료 전환을 염두에 둔 리드 제너레이션이면 영리목적 광고성 정보로 분류되는 것 같다. 내 대기자 명단이 정확히 그 구조다. 그래서 광고성 수신동의는 받는다.

반대로 국외이전 동의는 안 받기로 했다. 3호로 정리한 것을 근거 없이 되돌리는 셈이고 받지 않아도 되는 동의를 필수로 강제하면 그게 오히려 지적 대상이 되기 때문이다.

동의 범위도 출시 알림 1회로 좁혔다. 랜딩에서 “한 번만 보낸다, 뉴스레터도 드립 시퀀스도 없다”고 약속했는데, 포괄 동의를 받으려면 그 문장을 깨야 한다. 나중에 유료 안내를 보내려면 그때 다시 받는다.

아직 못 푼 것 — (광고) 표기

정보통신망법 50조 4항은 제목 앞에 (광고)를 붙이라고 한다. 그런데 내 수신자는 전원 영국·EU 실무자고 메일은 영문이다.

(광고) ... 로 시작하는 영문 제목. 도달률과 신뢰를 양쪽 다 해칠 것 같다.

정보통신망법은 국내 사업자의 전송 행위를 규율하니 수신자가 해외라도 의무는 발신자인 나한테 붙는다. 다만 해외 수신자에 대한 실제 집행이 어떤지, 영문 대체 표기가 가능한지는 확인이 필요하다. 아직 답을 못 찾았다.

지금은 명단이 0명이라 안 급할 뿐이다. 첫 발송 전까지는 답이 나와야 한다.

처리방침은 영문 하나로 갔다

한국어판을 따로 만들어야 하나 한참 고민했다. 한국법이 적용되니 한국어 문안이 있어야 할 것 같았다.

결국 안 만들었다. 개인정보보호법 30조는 언어를 한국어로 제한하지 않는다. 요구하는 것은 “정보주체가 쉽게 이해할 수 있는” 언어이고 내 정보주체는 전원 영어권이다.

대신 영문 방침 안에 개인정보보호법 요건을 다 집어넣었다. 국외이전 5항목을 수탁자별 표로, 이전 거부 방법과 절차와 그 효과를 별도 문단으로, 개인정보 보호책임자 지정까지. 응답 기한은 짧은 쪽으로 통일했다. GDPR 상한이 1개월이고 국내법이 10일이니 10일을 전원에게 적용한다.

한국어 문안 초안은 만들어두긴 했다. 발행용이 아니라 요건을 대조할 때 쓰는 참고 자료로만 남겼다.

결국 제품 설계랑 붙어 있더라

처음부터 정해둔 원칙이 하나 있다. 파일을 서버에 저장하지 않는다. 렌더링과 마스킹은 브라우저 로컬에서 하고 텍스트만 암호화해서 보낸다.

이건 법 검토를 하기 훨씬 전에 정한 것인데 결과적으로 위의 판단들을 전부 쉽게 만들어줬다. 보관하지 않는 것은 이전 목록에 올릴 일도 없다.

“증명서”라는 단어를 쓰지 않기로 한 것도 같은 계열이다. 나는 인증기관이 아니고, “잔존 0건을 증명한다”는 표현은 책임을 통째로 내 쪽으로 끌어온다. 진술의 주체는 도구가 아니라 사용자의 확인 기록이어야 한다.

남긴 것은 결론이 아니라 흔적

여전히 변호사 검토 전이다. 대리인 계약도 아직 안 했고, 한국어 문안은 초안 상태이고, (광고) 표기 문제는 답이 없다.

그러니 이 글의 어느 것도 “이렇게 하면 준수된다”가 아니다. 오히려 문서마다 “확인 필요”가 붙어 있는 상태 그대로다.

다만 27조 면제를 주장하려면 판단 과정의 문서화를 요구한다는 대목을 읽고 조금 안심하긴 했다. 근거 없이 “우리는 면제 대상”이라고 말하는 것 자체가 컴플라이언스 실패로 취급된다고 하니 적어도 따져본 흔적을 남기는 방향은 틀리지 않은 것 같다.

일단 첫 발송 전까지 (광고) 표기부터 답을 찾아야겠다. 그것도 못 풀면 명단이 0명인 게 다행인 셈이 되겠지?