Key Takeaways
목차
- 개인정보 보호법 대응이 되는 CRM 솔루션을 고르는 기준 4가지:
- 글로벌 CRM vs 국산 CRM: 개인정보 보호법 대응 수준 비교
- 다국적 기업의 개인정보 국외 이전, CRM에서 처리하는 방법
- 데이터 주권 관점에서 본 대기업 CRM 데이터 위치: 국내 리전 vs 해외 리전
- CRM 도입 시 개인정보 영향평가 진행 절차
- 기업 규모별 개인정보 보호법 대응 기준
- 자주 묻는 질문 (FAQ)
고객 데이터가 모이는 CRM은 개인정보 보호법을 가장 신경 써야 하는 프로그램입니다. 국외 이전과 데이터 보관 위치, 영향평가까지 CRM을 선택하고 활용할 때 반드시 확인해야 할 사항을 정리했습니다.
개인정보 보호법 대응이 되는 CRM 솔루션을 고르는 기준 4가지
CRM은 개인정보 보호 법령이 말하는 “개인정보처리시스템”입니다. 법령은 이를 데이터베이스시스템 등 개인정보를 처리할 수 있도록 체계적으로 구성한 시스템으로 정의합니다(개인정보의 안전성 확보조치 기준 제2조).
법에서 “처리”의 범위는 넓습니다. 수집부터 생성, 연계, 저장, 검색, 이용, 제공, 파기까지 모두 처리에 포함됩니다(개인정보 보호법 제2조). CRM에서 이루어지는 거의 모든 일이 여기에 해당합니다.
결국 관건은 CRM이 단계마다 개인정보 보호법을 지킬 수 있는 체계를 마련했느냐입니다. “개인정보 보호법 대응이 되는 CRM”은 제품 이름보다 아래 네 가지를 갖췄는지로 가려집니다. 이 기준을 먼저 세우면 어떤 제품을 비교하든 같은 잣대로 볼 수 있습니다.
- 데이터 보관 위치: 고객 데이터가 실제로 어느 나라에 저장되는지 확인할 수 있어야 합니다. 국내 보관이 가능한지, 예외는 무엇인지도 문서로 나와 있어야 합니다.
- 국외 이전 처리 근거: 해외 인프라나 해외 하위 처리자(벤더가 다시 맡기는 업체)를 쓴다면, 법이 인정하는 이전 근거를 갖출 수 있어야 합니다. 위탁 계약서와 하위 처리자 목록이 공개되어 있는지가 출발점입니다.
- 통제 기능: 법령이 요구하는 접근권한 관리, 접속기록 보관, 암호화, 파기를 CRM 안에서 설정하고 기록할 수 있어야 합니다.
- 증빙 자료: 정보보호 심의나 감사 때 제출할 인증서와 감사 보고서를 벤더에게서 받을 수 있어야 합니다.
| 기준 | Salesforce에서 확인되는 것 |
|---|---|
| 데이터 보관 위치 | Hyperforce 한국 인스턴스가 AWS 서울 리전(ap-northeast-2)에 있으며, 국내 3개 가용 영역에 나뉘어 운영됩니다. |
| 국외 이전 처리 근거 | 데이터 처리 부속서(DPA)를 제공하고, 인프라·하위 처리자 목록을 공개합니다. |
| 통제 기능 | 암호화(Platform Encryption), 사용자 활동 추적(Event Monitoring), 필드 변경 이력 장기 보관(Field Audit Trail)을 Shield로 제공합니다(Salesforce Shield) |
| 증빙 자료 | 인증서와 감사 보고서를 Salesforce Compliance 포털에서 제공합니다 |
점검 기준을 세웠다면, 이제 많은 분들이 궁금해하는 질문으로 넘어가 보겠습니다. 글로벌 CRM과 국산 CRM은 무엇이 다를까요?
글로벌 CRM vs 국산 CRM: 개인정보 보호법 대응 수준 비교
차이는 “어느 나라 제품이냐”보다 “데이터가 어디서, 어떻게 처리되느냐”에서 생깁니다. 앞서 정한 네 가지 기준은 그대로 적용되고, 유형에 따라 중점적으로 확인할 부분만 달라집니다.
| 확인 항목 | 글로벌 CRM에서 볼 것 | 국산 CRM에서 볼 것 |
|---|---|---|
| 데이터 보관 위치 | 국내 리전 제공 여부와 국외 처리 예외 범위 | 클라우드인지 설치형인지, 클라우드라면 인프라 위치 |
| 국외 이전 | 해외 하위 처리자와 지원 조직의 이전 근거 | 해외 인프라·외부 서비스 연동 여부 |
| 통제 기능 | 접근권한·로그·암호화 기능의 기본 제공 범위와 추가 구성 필요 여부 | 접근권한·로그·암호화 기능의 기본 제공 범위와 추가 구성 필요 여부 |
| 증빙 자료 | 보유 인증과 감사 보고서 제공 방식 | 보유 인증과 감사 보고서 제공 방식 |
국산이라서 무조건 안심할 수도, 글로벌이라서 무조건 위험하다고 볼 수도 없습니다. 글로벌 CRM은 국외 이전 경로와 근거를 문서로 체계적으로 공개하는 편입니다. 그래서 다음으로 볼 것은 국외 이전을 실제로 어떻게 처리하느냐입니다.
다국적 기업의 개인정보 국외 이전, CRM에서 처리하는 방법
개인정보 국외 이전은 원칙적으로 금지되고, 법이 정한 근거가 있을 때만 허용됩니다. 여기서 “이전”에는 국외 제공뿐 아니라 국외 처리위탁과 보관도 포함됩니다.
| 허용 근거 | 내용 |
|---|---|
| ① 별도 동의 | 이전 항목, 국가, 받는 자, 목적, 보유기간 등을 알리고 정보주체의 별도 동의를 받음 |
| ② 법률·조약 | 법률이나 대한민국이 당사자인 조약에 특별한 규정이 있음 |
| ③ 계약 이행 | 정보주체와의 계약 체결·이행에 처리위탁·보관이 필요하고, 그 내용을 처리방침에 공개하거나 개별 고지함 |
| ④ 인증 | 이전받는 자가 보호위원회가 고시한 인증을 받음 |
| ⑤ 적정성 인정 | 이전 국가의 보호 수준을 보호위원회가 국내법과 실질적으로 동등하다고 인정함 |
CRM 운영에서 검토할 수 있는 근거 중 하나는 ③ 계약 이행입니다. 2023년 개정 후에는 정보주체와의 계약 체결·이행에 필요한 국외 처리위탁·보관이라면 법정 요건에 따라 처리방침 공개 또는 개별 고지로 이전할 수 있습니다(개인정보보호위원회 보도자료). 다만 실제 계약 이행에 필요한지 확인해야 하며, 해외 법인에 고객 정보를 “제공”하는 경우에는 다른 근거를 검토해야 합니다.
다국적 기업이 CRM에서 국외 이전을 처리하는 순서는 다음과 같습니다.
- 흐름 파악: 고객 데이터가 어느 국가의 인프라, 하위 처리자, 해외 법인으로 가는지 정리합니다.
- 근거 선택: 흐름마다 위탁·보관인지, 제3자 제공인지 나누고 맞는 근거를 고릅니다.
- 위탁 문서화: CRM 벤더와 위탁 계약을 문서로 맺습니다. 위탁 문서에는 목적 외 처리 금지와 보호조치가 들어가야 합니다(제26조).
- 공개: 위탁 내용과 수탁자, 국외 이전 사항을 처리방침에 공개합니다.
- 감독: 수탁자의 처리 현황을 점검합니다. 수탁자가 다시 제3국으로 옮기는 재이전에도 같은 규정이 적용됩니다(제28조의11).
Salesforce는 이 과정에 쓸 문서를 공식적으로 제공합니다.
- 데이터 처리 부속서(DPA): Salesforce가 고객의 지시에 따라 처리하는 처리자라는 점, 하위 처리자 관리, 데이터 반환·삭제, 침해 통지를 다룹니다. 새 하위 처리자가 추가되면 고객은 30일 안에 이의를 제기할 수 있습니다.
- 인프라·하위 처리자 목록: 서비스별 인프라, 하위 처리자, 처리 목적, 국가를 공개하고, 새 하위 처리자 알림을 신청할 수 있습니다.
- 구속력 있는 기업 규칙(BCR): 2015년 유럽 감독기관, 2023년 영국 ICO의 승인을 받은 처리자용 BCR이 있습니다. Salesforce 그룹 내부 이전에 적용됩니다.
이처럼 국외 이전 근거를 갖추는 것과 별개로, 데이터를 아예 국내에 두는 선택지도 있습니다.
데이터 주권 관점에서 본 대기업 CRM 데이터 위치: 국내 리전 vs 해외 리전
데이터 주권은 데이터의 저장·처리 위치와 적용 법률, 통제 권한에 관한 개념입니다. 국내 리전에 CRM 데이터를 두면 저장 위치에서 생기는 국외 이전 이슈를 줄일 수 있습니다. 다만 해외 지원 조직의 접근이나 하위 처리자 이용 등 운영 과정의 국외 처리 여부는 별도로 확인해야 합니다.
데이터 주권을 위해 국내 데이터센터에 데이터를 보관하는 엔터프라이즈 CRM은 무엇인가요?
Salesforce는 한국을 Hyperforce(Salesforce의 퍼블릭 클라우드 인프라) 제공 국가로 공식 안내하고 있습니다. 한국 인스턴스는 AWS 서울 리전에 있습니다.
국내 리전을 고를 때는 어느 CRM이든 공통으로 두 가지를 확인합니다.
- 제품별 데이터 위치: 쓰려는 제품과 기능마다 데이터가 어느 리전에 저장되는지 계약 전에 확인합니다.
- 운영·지원 과정의 처리 위치: 저장 위치와 별개로, 지원과 운영 과정에서 데이터가 처리되는 위치와 그 근거를 확인합니다. Salesforce는 이 범위를 공식 문서로 안내합니다.
| 상황 | 국내 리전이 맞는 경우 | 해외 리전도 검토할 수 있는 경우 |
|---|---|---|
| 업종 | 금융·공공 등 규제가 강한 업종 | 규제 부담이 상대적으로 낮은 업종 |
| 고객 구성 | 국내 고객 데이터 중심 | 여러 국가 고객 데이터를 한 조직에서 관리 |
| 조직 구조 | 국내 본사 중심 운영 | 해외 본사·지역 본부가 CRM을 함께 운영 |
| 내부 정책 | 데이터 국내 보관을 사내 정책이나 고객 계약으로 요구 | 국외 이전 근거와 절차가 이미 정비됨 |
CRM 도입 시 개인정보 영향평가 진행 절차
개인정보 영향평가는 개인정보 처리에 따른 침해 위험을 미리 분석하고 개선하는 절차입니다. 법적 의무는 일정 요건에 해당하는 개인정보파일을 운용하는 공공기관에 적용됩니다. 대상 파일 기준은 아래와 같습니다.(개인정보 보호법 제33조, 시행령 제35조).
- 5만 명 이상의 민감정보 또는 고유식별정보를 처리하는 파일
- 다른 파일과 연계해 50만 명 이상이 되는 파일
- 100만 명 이상의 정보주체에 관한 파일
- 영향평가 후 운용체계를 바꾸는 파일 (변경 부분만 평가)
민간 기업은 의무 대상이 아닙니다. 다만 법은 공공기관 외의 처리자도 침해가 우려되면 영향평가를 위해 적극 노력하도록 정하고 있습니다(제33조 제11항). 고객 데이터가 대량으로 모이는 CRM은 이 노력의무를 적용해 볼 대표적인 시스템입니다.
개인정보보호위원회가 안내하는 절차는 3단계입니다. 시점은 시스템을 만들기 전, 분석·설계 단계입니다.
- 사전 준비: 영향평가가 필요한지 검토하고, 사업 계획과 평가 수행 주체를 정합니다.
- 영향평가 수행: 개인정보 흐름을 분석하고, 침해 요인을 찾고, 개선 계획을 세워 평가서를 작성합니다.
- 이행: 개발 단계에서 개선 사항을 반영하고, 테스트 단계에서 점검합니다.
| 평가 항목 | CRM에서 볼 것 |
|---|---|
| 개인정보 흐름 | 수집 채널 → CRM → 연동 시스템 → 국외 인프라·하위 처리자 |
| 접근권한 | 직무별 최소 권한, 권한 부여·변경·말소 내역 3년 보관(안전성 확보조치 기준 제5조) |
| 접속 기록 | 1년 이상 보관. 5만 명 이상 처리하거나 고유식별정보·민감정보를 처리하면 2년 이상(같은 기준 제8조) |
| 암호화 | 인증정보와 고유식별정보 등의 암호화 저장, 인터넷 구간 전송 암호화(같은 기준 제7조) |
| 파기 | 보유기간이 끝난 정보를 복구할 수 없게 삭제(법 제21조) |
Salesforce에서는 이 항목을 기능으로 연결할 수 있습니다. 개인정보 삭제·마스킹, 정보주체 요청 처리, 보존 정책은 Privacy Center가 담당합니다. 사용자 접속·활동 기록은 Event Monitoring으로 추적하고, 필드 변경 이력은 Field Audit Trail로 최대 10년까지 보관할 수 있습니다.
수행 방법은 KISA의 「개인정보 영향평가 수행안내서」(2025년 10월 개정)를 기준으로 삼으면 됩니다. 영향평가처럼 일부 의무는 대상이 정해져 있습니다. 그렇다면 우리 회사에는 어떤 기준이 적용될까요?
기업 규모별 개인정보 보호법 대응 기준
대부분의 기준은 기업 규모가 아니라 처리하는 정보주체 수로 정해집니다. 기업 규모로 나뉘는 기준은 일부입니다. 그래서 “우리는 중견기업이니까”보다 “CRM에 몇 명의 고객 정보가 있는가”를 먼저 확인해야 합니다.
| 기준 | 적용 조건 |
|---|---|
| 암호 키 관리 절차 수립 | 고객(정보주체) 정보를 대기업·중견기업·공공기관은 10만 명 이상, 중소기업·단체는 100만 명 이상 처리할 때 |
| 접속기록 2년 이상 보관 | 5만 명 이상 처리하거나 고유식별정보·민감정보를 처리할 때 |
| 인터넷망 차단 조치 | 전년도 말 직전 3개월 일평균 이용자가 100만 명 이상일 때 |
| 내부 관리계획 수립 생략 가능 | 1만 명 미만을 처리하는 소상공인·개인·단체 |
| 개인정보 영향평가 의무 | 공공기관만 해당, 민간은 노력의무 |
기업 규모가 직접 기준을 가르는 대표적인 예는 암호 키 관리입니다.
- 대기업·중견기업: CRM에 고객 정보가 10만 명 이상 쌓이면 암호 키 관리 절차를 세워야 합니다.
- 중소기업: 고객 정보가 100만 명 미만이면 이 의무가 없습니다. 같은 의무를 중소기업에는 완화된 기준으로 적용하기 때문입니다.
- 공통: 접근권한 관리, 접속기록 보관(1년 이상, 5만 명 이상이면 2년 이상), 암호화 같은 기본 의무는 기업 규모와 관계없이 같습니다.
기업 규모와 고객 수에 따라 챙길 기준이 다르다면, CRM 구성도 그에 맞춰 달라져야 합니다.
우리 회사에 맞는 CRM 개인정보 보호 체계, 전문가와 확인해 보세요
대기업, 중견기업, 중소기업은 다루는 고객 데이터의 규모가 다르고, 개인정보 보호법에서 챙겨야 할 기준도 달라집니다. 데이터 보관 위치부터 국외 이전, 접근권한, 접속기록까지 Salesforce CRM으로 어떻게 준비할 수 있는지 상담해 보세요.
자주 묻는 질문 (FAQ)
데이터 보관 위치, 국외 이전 처리 근거, 통제 기능(접근권한·접속기록·암호화·파기), 그리고 감사용 증빙 자료 제출 가능 여부의 4가지 기준을 확인해야 합니다. Salesforce의 경우 한국 리전(AWS 서울) 제공, DPA 및 하위 처리자 목록 공개, Shield와 Privacy Center를 통한 통제 기능, Compliance 포털을 통한 증빙 자료를 제공합니다.
그렇지 않습니다. 글로벌 여부보다 데이터가 어디서 어떻게 처리되는지가 핵심이며, 글로벌 CRM은 DPA나 BCR 같은 국외 이전 근거와 증빙 문서를 매우 체계적으로 공개하는 편입니다. 또한 최근에는 한국 리전을 제공하여 저장 위치 부담도 줄어들고 있습니다.
정보주체와의 계약 이행에 필요한 처리위탁 및 보관이라면 처리방침에 공개하거나 개별 고지하는 것으로 이전할 수 있습니다. 다만 해외 법인 등에 정보를 넘기는 ‘제3자 제공’인 경우에는 계약 이행 근거를 쓸 수 없으므로 별도 동의를 받아야 합니다.
데이터 저장 위치에서 발생하는 국외 이전 이슈가 대폭 줄어듭니다. 다만 데이터 저장 위치와 별개로 해외 기술 지원이나 하위 처리자 이용 등 운영 과정에서 발생하는 국외 처리는 위탁 계약과 처리방침 공개를 통해 따로 관리해야 합니다.
대다수 기준은 기업 규모가 아니라 처리하는 정보주체 수에 따라 결정됩니다. 예를 들어 접속기록은 기본 1년, 5만 명 이상 처리 시 2년 이상 보관해야 합니다. 다만 암호 키 관리 절차 수립의 경우 대기업·중견기업은 10만 명 이상, 중소기업은 100만 명 이상일 때 적용되어 기업 규모 기준이 일부 반영됩니다.
궁금한 점은 언제든 문의주세요.
전문가가 도움을 드리겠습니다.
