특정 데이터 흐름이 현지화 또는 국경 간 이전 의무를 발생시키는지는, 대부분의 법인이 실제로 따져 보지 않은 분류 문제에 달려 있습니다. 데이터가 어떤 범주에 속하는지, 어떤 수량 기준이 적용되는지, 그리고 법인 자신의 처리 활동이 규정이 겨냥하는 종류의 활동에 해당하는지입니다. 이 질문들은 추상적으로는 답할 수 없습니다. 각각이 해당 규제 영역에 대한 일반적인 설명이 아니라, 법인 자신의 시스템이 실제로 무엇을 하는지에 달려 있기 때문입니다.
분류는 컴플라이언스와 나란히가 아니라 그보다 먼저 온다
현지화 또는 국경 간 이전 의무는 법인이 외국인 소유라거나 국제적으로 영업한다는 사실이 아니라, 특정 데이터의 성격과 수량에 의해 발생합니다. 인원과 매출이 비슷한 두 법인도, 실제로 보유한 데이터의 범주와 일정 기간에 국경을 넘는 데이터의 양에 따라 의무의 양쪽에 놓일 수 있습니다. '우리는 외국인 소유 법인이니 아마 우리에게도 적용될 것'이라는 전제를 출발점으로 삼으면, 답을 실제로 결정하는 단계, 즉 법인 수준이 아니라 데이터 수준의 분류 작업을 건너뛰게 됩니다.
법인이 보통 공백을 발견하는 곳
실무에서 공백은 공식 감사에서는 좀처럼 드러나지 않습니다. 클라우드 분석 도구, 본사가 해외에 있는 고객 지원 플랫폼, 서버가 아무도 짐작하지 못한 다른 법역에 있는 급여 처리 업체 같은 일상적인 거래처 관계에서, 아무도 지도화하지 않은 방식으로 데이터가 흘러가고 있음이 드러나는 때입니다. 그 관계가 의도적인 컴플라이언스 검토보다 앞서 맺어졌기 때문입니다. 거래처는 제품을 보고 선택했지 데이터 구조를 점검해서 고른 것이 아니며, 데이터가 실제로 어디로 가는지는 도입 시점에 아무도 물을 생각을 하지 못해 한 번도 묻지 않았습니다.
문제는 데이터가 국경을 넘느냐가 아닙니다. 데이터가 국경을 넘는 모든 지점의 지도를 지금 누군가 내놓을 수 있느냐입니다.
목록 만들기: 실제로 무엇이 필요한가
데이터 흐름 목록은 처음에는 법률 작업이라기보다 운영 작업에 가깝습니다. 법인의 데이터에 닿는 모든 시스템, 거래처, 연동을 체계적으로 나열하는 것에서 시작하고, 각각에 대해 거래처의 홍보 자료가 말하는 위치가 아니라 데이터가 실제로 처리되고 저장되는 위치를 확인합니다. 실무에서는 IT, 인사, 재무, 그리고 고객 접점의 모든 시스템을 한 자리의 대화로 모으는 것을 뜻합니다. 데이터 현지화 문제는 부서의 경계를 거의 존중하지 않기 때문입니다. 한 팀이 고른 고객 지원 플랫폼과 다른 팀이 고른 급여 시스템이 각자 독립적으로, 아무도 함께 본 적 없는 의무를 만들어 낼 수 있습니다.
의무를 좌우하는 것은 의도가 아니라 수량과 범주
민감한 데이터를 국경 밖으로 옮길 의도가 전혀 없던 법인도, 보유한 데이터의 범주와 처리하는 수량이 해당 기준을 넘는다는 이유만으로 의무가 발생할 수 있습니다. 의도는 방어 사유가 되지 않으며, '몰랐다'는 공백의 설명일 뿐 공백의 예외가 아닙니다. 위의 목록 작성 단계가 법인이 민감하다고 가정하는 데이터 흐름에만 집중하지 않고 진정으로 포괄적이어야 하는 이유입니다. 실제로 중요한 범주는 무엇이 민감하게 느껴지는가에 대한 법인 자신의 직감이 아니라 규제 체계가 정의합니다.
목록이 생긴 뒤 누가 책임져야 하는가
한 번 만들어 서랍에 넣어 둔 목록은 1년 안에 가치의 대부분을 잃습니다. 새로운 거래처와 시스템이 계속 추가되고, 그 하나하나가 새로운 데이터 흐름이 될 수 있기 때문입니다. 목록을 정말로 최신으로 유지하는 법인은 책임자를 분명히 지정한 법인입니다. 새 거래처 계약을 체결할 때마다 데이터 흐름 질문을 던지는 것이 업무에 포함된 사람이 있고, 우연히 기억하는 팀에 맡기지 않습니다. 그 책임이 어디에 놓이는지는 법인 규모에 따라 다르지만 실패 양상은 같습니다. 책임자가 없는 목록은 법인의 거래처 관계가 바뀌는 속도만큼 빠르게 낡아 갑니다.
문제를 앞질러 가기 위한 실무적 순서
- 컴플라이언스나 IT 밖의 팀이 고른 것을 포함해, 법인의 데이터에 닿는 모든 시스템과 거래처를 목록에 올립니다.
- 각각에 대해, 거래처의 홍보가 설명하는 위치가 아니라 데이터가 실제로 처리되고 저장되는 위치를 확인합니다.
- 외국인 소유만으로 결정된다고 가정하지 말고, 법인이 실제로 직면한 규제 노출에 비추어 관련 데이터 범주를 분류합니다.
- 답이 불분명한 거래처 관계는 표시해 두고, 그 불확실성을 나중에 다시 볼 세부 사항이 아니라 우선 해결할 과제로 다룹니다.
- 새 거래처나 시스템이 도입될 때 목록을 다시 점검하고, 일회성 작업으로 취급하지 않습니다.
실무적인 출발점은 특정 이전이 급해진 뒤가 아니라 그 전에 데이터 흐름 목록을 만들어 두는 것입니다. 이 글은 발전 중인 규제 영역에 대한 일반적인 논평이며 법률 자문이 아닙니다. 구체적인 분류 문제는 법인의 실제 시스템을 잘 아는 변호사에게 문의해야 합니다.