개인정보 영향평가, 실무자가 먼저 보는 것

새 시스템이나 서비스를 만들 때 개인정보를 어떻게 다룰지 미리 점검하는 절차가 있다. 흔히 영향평가라 부른다. 거창해 보이지만, 핵심은 "무엇을, 왜, 어떻게 다루는가"를 미리 적어 보는 일이다.

흐름을 그려 본다

가장 먼저 하는 일은 개인정보가 어디서 들어와 어디를 거쳐 어디에 쌓이고 언제 사라지는지를 그려 보는 것이다. 이 흐름도를 그리다 보면, 생각지 못한 곳에 정보가 복사되거나 너무 오래 남아 있는 지점이 드러난다.

꼭 필요한지 되묻는다

수집하는 항목마다 "이게 정말 필요한가"를 묻는다. 목적에 비해 과한 항목, 습관적으로 넣은 항목이 보이면 줄인다. 적게 모으는 것이 가장 효과 좋은 사전 조치다.

위험한 길목을 짚는다

정보가 외부로 나가는 지점, 여러 곳에서 접근하는 지점, 권한이 넓게 열린 지점이 사고가 나기 쉬운 길목이다. 이런 곳에 접근 통제와 암호화, 기록 남기기 같은 장치가 있는지 점검한다.

영향평가를 형식적인 문서 작업으로 여기면 시간 낭비처럼 느껴진다. 그러나 설계 단계에서 흐름을 그리고 위험을 짚어 두면, 다 만든 뒤에 뜯어고치는 것보다 훨씬 적은 비용으로 사고를 줄일 수 있다. 구체적인 절차와 기준은 관련 지침과 최신 법령을 확인해 적용하는 것이 정확하다.