고객 DB를 사고팔 때 개인정보 보호법상 확인할 5가지 

보험·대출 영업에서 잠재고객 DB를 제휴사에서 받아 다시 공급하는 거래가 적지 않습니다. 동의 절차가 빠진 DB를 거래하면 넘긴 쪽과 받은 쪽 모두 형사처벌과 과징금 대상이 될 수 있습니다. 거래 구조를 점검할 때 확인할 다섯 가지를 정리합니다.

1. 제3자 제공에는 정보주체의 동의가 필요합니다

개인정보처리자는 정보주체의 동의를 받는 등 법이 정한 경우에만 개인정보를 제3자에게 제공할 수 있습니다(개인정보 보호법 제17조 제1항). 동의를 받을 때는 제공받는 자, 이용 목적, 제공 항목, 보유·이용 기간, 동의를 거부할 권리를 알려야 합니다(같은 조 제2항).

2. 제공받은 DB를 다시 넘기려면 별도 동의가 필요합니다

개인정보를 제공받은 자는 정보주체의 별도 동의를 받거나 다른 법률에 특별한 규정이 있는 경우가 아니면 제공받은 목적 외로 이용하거나 제3자에게 제공할 수 없습니다(같은 법 제19조). 제휴사에서 받은 DB를 재공급하는 구조라면 이 조항이 핵심입니다.

3. 사정을 알고 받은 쪽도 처벌 대상입니다

동의 없이 제3자에게 제공한 자와 그 사정을 알면서 제공받은 자, 제19조를 위반해 제공한 자와 그 사정을 알면서 영리 목적으로 제공받은 자는 5년 이하의 징역 또는 5천만 원 이하의 벌금에 처해질 수 있습니다(같은 법 제71조 제1호·제2호).

4. 과징금은 매출액을 기준으로 합니다

위 조항을 위반하면 전체 매출액의 100분의 3을 넘지 않는 범위에서 과징금이 부과될 수 있고, 매출액이 없거나 산정이 곤란한 경우로서 대통령령으로 정하는 경우에는 20억 원 이내에서 부과될 수 있습니다(같은 법 제64조의2 제1항).

5. 동의가 확인되지 않은 DB는 파기합니다

처리 목적을 달성했거나 불필요해진 개인정보는 지체 없이 파기하고, 복구되지 않도록 조치해야 합니다(같은 법 제21조 제1항·제2항). 제휴사별로 동의서 원본이나 녹취를 받아 확인된 DB만 남기는 정비가 먼저입니다.

참고로, 전화·문자 영업에는 별도의 동의가 필요합니다

전자적 전송매체로 영리목적의 광고성 정보를 보내려면 원칙적으로 수신자의 명시적인 사전 동의를 받아야 합니다(정보통신망 이용촉진 및 정보보호 등에 관한 법률 제50조 제1항). 거래 상대방에게 적법성을 확인하는 서류를 낼 때는 확인된 사실만 적으십시오.