고객 데이터 거버넌스 정책을 CRM 운영 매뉴얼에 반영하는 방법

데이터 거버넌스는 수집·보관·활용 권한을 명시한 내부 규정으로 만들어지지만, 문서를 따로 두면 실제 작업할 때 열어 보지 않습니다. 담당자는 세그먼트를 만들고 발송 버튼을 누르는 흐름 안에서 일하므로, 규정이 그 흐름 밖에 있으면 존재하지 않는 것과 같습니다.

그래서 접근을 바꿉니다. 규정집의 조항을 CRM 운영 매뉴얼의 각 단계에 확인 항목으로 옮겨 심습니다. "세그먼트를 만들 때 확인할 것", "발송 승인 전에 확인할 것"처럼 작업 순서에 붙어 있으면 별도 학습 없이도 지켜집니다. 규정집은 그 확인 항목의 근거를 설명하는 문서로 남깁니다.

세 가지를 확인 항목으로 넣습니다. 첫째는 조건에 쓰이는 데이터 항목이 수집 당시 고지한 이용 목적 범위 안에 있는지입니다. 개인정보 보호법 제15조는 수집·이용에 명시적 동의를 요구하고 제22조는 처리 목적별로 구분해 동의를 받도록 규정하므로, 목적 밖의 활용은 조건 단계에서 걸러야 합니다.

둘째는 민감한 추론이 들어가는지입니다. 건강, 신념, 정치 성향 같은 항목을 구매 이력으로 추론하는 조건은 별도 검토가 필요합니다. 셋째는 이 세그먼트가 광고 매체로 나갈 예정인지입니다. 매체로 내보내는 것은 제3자 제공이나 별도 동의 요건이 걸릴 수 있어, 자사 발송용 세그먼트와 다른 확인 절차가 필요합니다.

발송 직전은 억제 조건과 빈도 상한이 판정되는 자리이므로, 거버넌스 확인도 여기에 붙이는 것이 자연스럽습니다. 확인 항목은 메시지 성격 분류, 해당 채널의 수신동의 유효 여부, 발송 시각의 시간대 제약, 그리고 억제 목록 재조회 성공 여부입니다.

승인자를 지정하는 것도 이 단계입니다. 발송 규모나 오퍼 금액이 일정 기준을 넘으면 다른 사람의 승인을 받도록 하고, 그 승인 이력을 남깁니다. 이 기록이 있어야 사고가 났을 때 누가 무엇을 근거로 승인했는지 설명할 수 있습니다. 승인 기준선은 조직 규모에 맞게 정하되, 기준을 정하지 않고 모든 발송을 승인 대상으로 만들면 절차가 형식화되므로 범위를 좁게 잡는 편이 낫습니다.

반출은 가장 위험한 작업인데 절차가 가장 허술한 경우가 많습니다. 매뉴얼에는 누가 어떤 형식으로 어디에 반출할 수 있는지, 반출 파일의 보관 기간과 파기 방법, 반출 이력의 기록 방식을 적습니다. 외부 파트너에게 넘긴다면 그 관계가 처리위탁인지 제3자 제공인지 먼저 판단해야 합니다. 위탁자의 업무를 대신 수행하고 위탁자의 이익을 위해 데이터를 받으면 처리위탁이고, 받는 쪽이 자기 이익을 위해 쓰면 제3자 제공이며 필요한 동의와 계약 문서가 다릅니다.

권한 변경도 절차에 넣습니다. 개인정보보호위원회는 개인정보취급자 접근권한 최소 부여, 업무 변경 시 접근권한 변경·말소, 계정 공유 여부, 접속기록 보관·관리, 수탁사 관리·감독 실태를 점검 항목으로 다루고 있습니다. 입사·퇴사·직무변경 시 권한을 언제 누가 조정하는지를 매뉴얼에 적어 두면 누락이 줄어듭니다.

매뉴얼의 기준은 처리방침보다 넓을 수 없습니다. 개인정보 보호법 제30조는 처리방침에 처리 목적, 처리·보유 기간, 제3자 제공, 파기 절차와 방법, 처리위탁에 관한 사항 등을 담도록 하고 수립·변경 시 공개하도록 하며, 처리방침과 계약 내용이 다르면 정보주체에게 유리한 것을 적용하도록 합니다. 즉 처리방침이 상한이므로 매뉴얼을 만들 때 두 문서를 나란히 놓고 대조해야 합니다.

위탁 계약도 마찬가지입니다. 계약서에는 법규 준수, 비밀유지, 제3자 제공 금지, 사고 시 책임, 위탁기간, 종료 후 반환 또는 파기 의무를 규정하도록 하는 것이 위탁자의 의무로 설명되고, 위탁자에게는 수탁자를 교육하고 처리 현황을 점검할 감독 의무가 있습니다. 매뉴얼에는 이 교육과 점검을 언제 누가 하는지를 담당자 이름과 주기로 적어 두어야 실제로 수행됩니다.