법인 정보는 개인정보인가 — B2B 데이터와 개인정보보호법의 경계

B2B 영업 데이터를 다루는 사람이 가장 자주 묻는 질문이다. 사업장 대표번호는 개인정보인가. 대표자 이름은. 개인정보보호법상 개인정보의 정의에서 출발해 법인 정보와 개인정보가 갈리는 지점, 그리고 실무에서 위험해지는 구간을 정리한다.

디비나라 데이터팀

"사업자 정보는 개인정보가 아니니까 마음대로 써도 된다." B2B 데이터를 다루는 현장에서 가장 흔하게 들리는 말이고, 절반만 맞는 말이다. 절반이 틀렸다는 점이 실무에서 사고를 만든다.

이 글은 법률 자문이 아니라, B2B 데이터를 다루는 사람이 알아야 할 경계선을 정리한 것이다. 구체적 사안은 조문과 가이드라인 원문, 필요하면 전문가 검토를 거치길 권한다.

출발점 — 개인정보의 정의

개인정보보호법은 개인정보를 살아 있는 개인에 관한 정보로 정의한다. 여기서 두 단어가 모든 것을 가른다. "살아 있는"과 "개인".

• 사망자의 정보는 개인정보가 아니다.
• 법인·단체의 정보는 개인정보가 아니다. 회사 이름, 법인등록번호, 사업자등록번호, 대표전화, 회사 주소, 회사 대표메일은 그 자체로는 개인정보가 아니다.

여기까지가 "절반 맞는" 부분이다. 순수한 법인 정보는 개인정보보호법의 규율 대상이 아니다. B2B 영업 데이터의 상당 부분이 실제로 이 영역에 있다.

경계가 무너지는 세 지점

문제는 실무 데이터가 순수한 법인 정보로만 이루어져 있지 않다는 것이다. 다음 세 경우에 법인 정보는 개인정보로 넘어간다.

1. 개인사업자 — 사업 정보와 개인 정보가 섞이는 구간

먼저 흔한 오해를 정리해야 한다. 개인사업자라고 해서 그 사업장 정보가 곧바로 개인정보가 되는 것은 아니다. 개인정보보호위원회의 설명에 따르면 상호, 사업장 소재지, 사업장 전화번호, 사업자등록번호처럼 사업체 운영에 관한 정보는 원칙적으로 개인정보에 해당하지 않는다. 법인이든 개인사업자든 이 점은 같다.

문제는 다른 데 있다. 개인사업자는 사업용 연락처와 개인 연락처가 분리되지 않는 경우가 많다. 1인 사업장에서 대표번호로 등록된 번호가 실제로는 대표자 개인 휴대폰인 경우가 흔하다. 이때 그 번호는 사업장 연락처인 동시에 특정 개인의 연락처다.

법인이라면 대표번호와 담당자 개인 번호가 구조적으로 구분되지만, 1인 사업장에서는 그 구분이 존재하지 않는다. 성격이 겹치는 구간이 생기고, 데이터만 봐서는 어느 쪽인지 판단할 수 없다. 지역 기반 소상공인을 타겟으로 할수록 이 구간의 비중이 커진다.

2. 대표자·담당자 개인이 특정되는 정보

법인이라도 대표자 이름, 담당자 이름, 담당자 직통번호, 담당자 개인 이메일은 개인에 관한 정보다. hong@company.co.kr 은 회사 도메인이지만 특정 개인을 가리킨다. info@company.co.kr 과는 성격이 다르다.

실무 기준으로 정리하면 이렇다.

3. 결합하면 식별되는 경우

개인정보보호법은 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보도 개인정보로 본다. 단독으로는 식별되지 않아도, 보유한 다른 데이터와 합쳤을 때 특정 개인이 드러나면 개인정보다.

"업종 + 지역 + 상호"처럼 개별로는 무해한 항목도, 해당 조건을 만족하는 사업체가 하나뿐이라면 결합 식별이 성립할 수 있다. 데이터를 쌓을수록 이 위험은 줄지 않고 늘어난다.

실무에서 달라지는 것

경계를 넘어가면 무엇이 달라지는가. 개인정보에 해당하는 순간 수집 근거, 이용 범위, 보관 기간, 정보주체의 권리가 모두 따라붙는다.

• 수집·이용에 법적 근거가 필요하다. 동의가 대표적이지만 유일한 근거는 아니다.
• 정보주체 이외의 출처에서 수집했다면, 정보주체의 요구가 있을 때 수집 출처·처리 목적·처리정지 요구권이 있다는 사실을 즉시 알려야 한다(제20조 제1항).
• 목적이 끝나면 파기해야 한다. "언젠가 쓸지도 모르니 보관"은 근거가 되지 않는다.
• 열람·정정·삭제·처리정지 요구에 응해야 한다.

반대로 순수한 법인 정보라면 이 의무들은 개인정보보호법을 근거로 발생하지 않는다. 같은 리스트 안에서 항목별로 규율이 갈린다는 뜻이다.

그래서 실무는 어떻게 되는가

B2B 데이터를 안전하게 다루는 방법은 "개인정보를 피하는 것"이 아니다. 실무에서 담당자 이름과 연락처 없이 영업이 되지 않는다. 현실적인 방향은 세 가지다.

항목 단위로 구분해 다룬다. 리스트 전체를 하나의 성격으로 뭉뚱그리지 않는다. 법인 정보 컬럼과 개인정보 컬럼을 인식하고, 후자에만 더 엄격한 규칙을 적용한다. 실무에서 가장 실효적인 조치다.

출처를 기록한다. 어느 항목이 공개된 사업자 정보에서 온 것이고 어느 항목이 상대가 직접 준 것인지를 구분해 저장한다. 출처 고지 의무가 발생했을 때 답할 수 있는 유일한 방법이고, 데이터 품질 관리에도 그대로 쓰인다.

연락처가 개인 것일 가능성을 남겨둔다. 1인 사업장의 대표번호는 개인 휴대폰인 경우가 많고, 데이터만으로는 구분되지 않는다. 사업자 형태와 번호 유형을 데이터에 남겨두면, 애매한 구간을 나중에 다르게 다룰 수 있다.

정리

"B2B니까 개인정보가 아니다"는 명제는 위험하다. 정확한 명제는 이렇다.

법인 정보는 개인정보가 아니지만, B2B 영업 데이터는 법인 정보만으로 이루어져 있지 않다.

담당자 개인, 결합 식별, 그리고 사업용과 개인용이 겹치는 1인 사업장 연락처 — 이 세 구간이 실무 데이터 안에 섞여 있다. 경계를 인식하고 항목별로 다르게 다루는 것이 출발점이다.

이 경계를 영업 현장에서 실제로 적용하는 방법은 5분영업 블로그 B2B 영업 리스트, 어디까지가 안전한가에서 실무 관점으로 정리했다.

참조

• 개인정보 보호법 제2조(정의) — law.go.kr (개인정보는 살아 있는 개인에 관한 정보로서 성명 등으로 개인을 알아볼 수 있는 정보, 또는 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보)
• 개인정보 보호법 제20조(정보주체 이외로부터 수집한 개인정보의 수집 출처 등 통지) — law.go.kr
• 개인정보보호위원회, 개인정보 보호법 표준 해설서 — pipc.go.kr (법인·단체 정보의 개인정보 해당 여부, 개인사업자 취급)