클라우드서비스 개인정보의 처리위탁

클라우드컴퓨팅은 집적 공유된 정보통신기기, 정보통신설비, 소프트웨어 등 정보통신자원을 이용자의 요구나 수요 변화에 따라 정보통신망을 통하여 신축적으로 이용할 수 있는 정보처리체계를 의미한다(클라우드컴퓨팅법 제2조 제1호).

기업에서 전통적인 서버시스템으로 개인정보를 관리할 수 있지만, 경우에 따라서는 개인정보를 클라우드서비스를 통하여 관리할 수 있다. 이 경우 법률관계를 살펴볼 필요가 있다.

1. 클라우드서비스 제공자는 정보통신망법의 정보통신서비스제공자에 해당하는가?

정보통신서비스제공자는 전기통신사업자 또는 영리를 목적으로 전기통신사업자의 전기통신역무를 이용하여 정보를 제공하거나 정보의 제공을 매개하는 자를 의미하는바, 여기서 정보란 특정 목적을 위하여 광 또는 전자적 방식으로 처리되어 부호, 문자, 음성, 음향 및 영상 등으로 표현된 모든 종류의 자료 또는 지식을 의미한다.

한편 클라우드서비스(또는 클라우딩서비스)는 클라우드컴퓨팅을 활용하여 상용으로 타인에게 정보통신자원을 제공하는 서비스를 의미한다. 여기서 정보통신자원이란, 하드웨어 또는 소프트웨어 등을 포함한다.

클라우드서비스 제공자는 이용자에게 하드웨어 또는 소프트웨어 등을 제공하는 자인바, 따라서 전기통신역무를 이용하여 정보를 제공하는 자로 볼 수 있다. 결론적으로 정보통신서비스제공자에 해당한다.

2. 클라우드공간은 개인정보처리시스템으로 볼 수 있는가?

개인정보처리시스템이란, 개인정보를 처리할 수 있도록 체계적으로 구성된 데이터베이스시스템을 의미한다.

데이터베이스시스템이란, 파일처리시스템에 대응되는 용어이지만 여기서의 데이터베이스시스템은 이를 포함한다고 볼 수 있다.

클라우드공간은 이용자가 관리하기는 하지만, 그 공간이 클라우드서비스제공자와 완전히 차단되어 있다고 볼 수 없고, 클라우드서비스제공자는 이용자가 제공하는 정보를 보관함을 전제로 하여 추가적인 관리를 하고 있기 때문에, 결론적으로 클라우드공간은 private으로 설정했다고 하더라도 클라우드서비스제공자 입장에서는 개인정보처리시스템에 해당한다고 볼 수 있다.

3. 어떤 회사가 클라우드서비스를 이용한 경우, 이는 개인정보의 처리위탁인가?

어떤 회사가 클라우드서비스를 이용하는 경우, 그 회사 입장에서는 고객 또는 이용자의 개인정보를 위탁처리하고 있다고 본다.

예컨대 금융회사의 정보처리 업무위탁에 관한 규정 제2조 또는 제3조에 의하면 업무위탁으로 보고 있다. 따라서 개인정보의 제공으로 보기보다는 처리위탁으로 보는 편이 법령에 부합한다. 다만 클라우드 구조와 서비스 내용에 따라 그 내용이 달라질 수는 있다.

따라서 클라우드서비스제공자는 수탁자로서 2차적인 책임을 진다.

4. 전자금융업무와 관련해서 클라우드서비스제공자의 지위는?

전자금융서비스를 제공하는 회사가 클라우드서비스를 이용하는 경우, 클라우드서비스제공자는 그 지위가 전자금융보조업자에 해당한다.

* 법무법인 민후 김경환 대표변호사 작성, 블로그(2020. 9. 26.) 기고.