개인정보는 적게, 필요한 만큼만
비개발자를 위한 개인정보 생애주기 설명. 수집, 저장, 사용, 공유, 보관, 삭제와 익명화까지 개인정보가 왜 자산이자 책임인지, 데이터 최소화 원칙과 함께 정리합니다.
수집부터 삭제까지의 생애주기
"비개발자가 알아야 할 데이터베이스 이야기" 12부작 중 8편입니다. 개인정보가 왜 '많이 가진 자산'이 아니라 '관리해야 할 책임'인지, 수집부터 삭제까지의 전 과정을 다룹니다.
회원 가입 화면에 생년월일, 성별, 직업, 주소, 가족관계를 모두 묻는 서비스가 있다. 지금 당장 쓰지 않아도 "나중에 필요할지 모르니까" 받아 두려는 생각이 들 수 있다. 그러나 개인정보는 많이 모을수록 무조건 좋은 자산이 아니다.
보관하는 데이터가 늘면 보호해야 할 범위, 잘못 사용할 가능성, 침해가 일어났을 때의 피해도 함께 커진다. 개인정보는 자산이자 동시에 부채다 — 잘 쓰면 가치를 만들지만, 잘못 쓰거나 새어 나가면 과징금, 소송, 신뢰 붕괴로 돌아온다.
개인정보와 민감정보
**개인정보(personal data)**는 이름처럼 직접 신원을 알려 주는 정보만을 뜻하지 않는다. 이메일, 전화번호, 기기 식별자, 위치 기록, 구매 내역처럼 다른 정보와 결합해 사람을 알아볼 수 있는 자료도 포함될 수 있다.
건강, 금융, 생체정보, 정확한 위치, 정부 발급 식별번호 등은 노출됐을 때 피해가 더 크다. 무엇이 법적으로 민감정보에 해당하는지는 지역과 산업에 따라 다르므로 해당 법(한국이라면 개인정보보호법, 정보통신망법, 신용정보법 등)과 계약을 확인해야 한다.
보안과 개인정보 보호는 같지 않다
- 데이터 보안은 권한 없는 사람이 데이터를 보거나 바꾸거나 파괴하지 못하게 막는 데 초점을 둔다.
- 개인정보 보호는 데이터를 왜 모으고 어떻게 사용하며 개인에게 어떤 영향을 주는지까지 다룬다.
매우 안전하게 보관했더라도 필요 이상으로 수집했거나, 알린 목적과 다르게 사용했다면 개인정보 보호 문제는 남는다. 반대로 정당한 목적으로 필요한 정보만 모았어도 보안이 약하면 침해될 수 있다. 두 영역은 겹치지만 같지는 않다. 9편에서 보안을, 이 편에서 개인정보 보호를 다루는 이유다.
데이터 생애주기: 들어오는 순간부터 나가는 순간까지
개인정보는 다음 단계를 거친다.
- 계획: 왜 필요한지, 없으면 무엇이 불가능한지 정한다
- 수집: 필요한 범위와 적절한 방법으로 받는다
- 저장: 위치, 암호화, 접근 권한을 관리한다
- 사용: 처음 정한 목적과 허용된 범위 안에서 쓴다
- 공유: 외부 업체와 전달 범위, 책임, 삭제 조건을 정한다
- 보관: 법과 업무상 필요한 기간만 유지한다
- 삭제 또는 익명화: 목적이 끝난 데이터를 안전하게 없애거나 개인과 연결하기 어렵게 바꾼다
여기서 자주 놓치는 함정이 있다. 앱 화면에서 삭제 버튼을 눌렀다고 모든 복제본과 백업에서 즉시 사라지는 것은 아니다. 운영 시스템, 분석 저장소, 로그, 외부 서비스, 백업까지 어디에 남는지 고려한 삭제 절차가 필요하다. "탈퇴한 회원의 데이터가 삭제되나요?"라는 질문에 "네, 화면에서 지워집니다"는 충분한 답이 아니다.
데이터 최소화: 없으면 지킬 필요도 없다
**데이터 최소화(data minimization)**는 목적을 달성하는 데 필요한 만큼만 수집하고 보관하는 원칙이다. 영국 개인정보 감독기관(ICO)은 먼저 목적을 분명히 하고, 그 목적에 적절하고 관련 있으며 필요한 최소한의 개인정보만 보유하도록 안내한다.
수집 전에 다음을 묻는다.
- 이 항목이 없으면 어떤 기능을 제공할 수 없는가?
- 지금 필요한가, 막연히 미래를 위해 모으는가?
- 덜 민감한 정보로 같은 목적을 달성할 수 있는가?
- 원본 값 대신 연령대나 지역 단위로 저장할 수 있는가?
- 언제 자동으로 삭제할 것인가?
이 원칙의 실용적 힘은 단순하다. 수집하지 않은 개인정보는 유출될 수 없고, 오용될 수 없고, 과징금의 대상도 되지 않는다. 가장 확실한 보안은 '가지고 있지 않는 것'이다.
익명화는 이름을 지우는 것보다 어렵다
이름과 이메일을 삭제했다고 자동으로 익명 정보가 되는 것은 아니다. 우편번호, 나이, 직업, 드문 질환 같은 여러 항목을 결합하면 특정인을 다시 알아볼 수 있다. 이를 재식별(re-identification) 위험이라고 한다.
또한 구분해야 할 개념이 있다.
- 가명처리(pseudonymization): 직접 식별자를 다른 값으로 바꾸는 것. 별도의 연결 정보가 있으면 다시 연결할 수 있다. 여전히 개인정보로 취급된다.
- 익명화(anonymization): 더 이상 특정 개인을 알아볼 수 없게 처리하는 것. 제대로 되면 개인정보 규제의 적용 밖으로 나간다.
둘을 같은 것으로 보면 "익명화했다"고 믿고 가명 데이터를 함부로 다루는 사고로 이어진다.
외부 서비스도 우리 데이터 흐름의 일부다
결제, 이메일, 고객 지원, 분석, AI 기능을 외부 서비스에 맡기면 데이터가 조직 밖으로 이동한다. 계약 전에 다음을 확인해야 한다.
- 어떤 데이터가 전달되는가?
- 서비스 제공자는 데이터를 어떤 목적으로 사용하는가?
- 어디에 저장하며 다른 하청업체에도 보내는가?
- 계약 종료 후 언제 어떻게 삭제하는가?
- 침해가 발생하면 언제 알리는가?
- 데이터 반출과 이전은 가능한가?
위탁했다고 위험과 고객에 대한 책임까지 사라지지는 않는다. 협력사에서 유출된 우리 고객 데이터에 대해 고객에게 설명해야 하는 것은 우리다(10편의 공급망 침해와 연결된다).
핵심 정리 개인정보 보호는 자물쇠를 잘 채우는 것보다 넓다. 수집 목적, 사용 범위, 공유, 보관, 삭제까지 관리해야 한다. 필요하지 않은 개인정보는 수집하지 않는 것이 가장 확실한 위험 감소 방법이며, '나중에 쓸지 모르니 일단 보관'은 규제 시대의 위험한 습관이다.
생각해 볼 질문
- 현재 모으지만 실제로 사용하지 않는 개인정보는 무엇인가?
- 개인정보가 외부 서비스 몇 곳으로 전달되는가?
- 탈퇴한 사용자의 데이터가 언제, 어디에서, 어떤 절차로 삭제되는가?
- "익명화했다"는 데이터가 정말 익명화인가, 가명처리인가?
다음 글: 데이터의 기밀성, 무결성, 가용성을 지키는 보안의 기본을 알아본다. 자물쇠 하나로는 왜 충분하지 않은지, 여러 겹의 방어를 살펴본다.
참고: NIST Privacy Framework, ICO 데이터 최소화 안내
시리즈 목차
- 데이터베이스란 무엇인가 — 엑셀 파일과 무엇이 다를까?
- 데이터베이스는 어떻게 정확성을 지킬까
- 데이터베이스에는 어떤 종류가 있을까
- 데이터베이스, 데이터 웨어하우스, 데이터 레이크
- 올바른 데이터베이스 선택이 중요한 이유
- 데이터 모델과 데이터 품질
- 데이터 거버넌스란 무엇인가
- 개인정보는 적게, 필요한 만큼만 ← 현재 글
- 데이터 보안의 기본
- 데이터 침해는 왜 일어나며, 발생하면 무엇을 해야 할까
- 클라우드와 서버리스 데이터베이스
- AI 시대의 데이터베이스
