통화 한 건이 남기는 데이터 (생각보다 많습니다)
기업 통화라고 하면 아마 오디오만 떠올리실 겁니다. 실제로 클라우드 전화 교환기를 거치는 통화는 여러 층의 정보를 만들어 냅니다.
- 녹음 파일: 고객과 상담원의 목소리, 그리고 오간 모든 대화입니다. 이름, 신분증 번호, 주소가 포함될 수 있고, 의료 같은 분야에서는 매우 민감한 정보가 담길 수 있습니다.
- 통화 기록(CDR): 누가, 어느 번호로, 몇 시에, 얼마나 오래 통화했고, 어떤 상담원이 응대했는지입니다. 오디오가 없어도 한 사람에 대해 많은 것을 알려 줍니다.
- 전사본과 요약: 인공지능 음성 상담원이나 대화 분석을 사용한다면, 오디오는 쉽게 검색하고 복사하고 공유할 수 있는 텍스트로 바뀝니다.
- 고객 데이터: CRM의 고객 카드, 상담원 메모, 각 연락처에 연결된 구매 또는 결제 이력입니다.
콜롬비아에서는 한 사람을 식별할 수 있는 모든 정보가 개인정보이며, 목소리도 마찬가지입니다. 따라서 이 모든 층이 개인정보 보호 제도의 적용을 받습니다.
어디에 저장되며 왜 신경 써야 할까요
“클라우드에 있습니다”는 충분한 답이 아닙니다. 그 뒤에는 특정 국가에 있는 물리적 서버와 그것을 관리하는 특정 사람들이 있습니다. 정말 중요한 질문은 다음과 같습니다.
- 저장 국가: 데이터가 콜롬비아 밖으로 나가면 국외 이전 또는 국외 위탁(transmisión)의 영역에 들어가며, 여기에는 별도의 규칙이 있습니다.
- 전송 중 암호화: 통화와 파일은 전화기, 교환기, 저장소 사이를 보호된 상태로 이동해야 중간에 누구도 가로챌 수 없습니다.
- 저장 시 암호화: 저장된 녹음은 암호화되어 있어야 디스크 사본을 도난당해도 키 없이는 쓸모가 없습니다.
- 백업: 백업도 개인정보입니다. 주 시스템에서 녹음을 지웠어도 백업에 몇 년씩 남아 있다면, 실제로 지운 것이 아닙니다.
- 접근 권한자: 여러분의 팀, 서비스 제공업체, 제공업체의 하청업체입니다. 모든 접근은 정당한 이유가 있어야 하고 기록으로 남아야 합니다.
- 보관 기간: “혹시 몰라서” 영원히 보관하면 가치는 없이 위험만 커집니다.
콜롬비아 법이 요구하는 것
주요 법적 틀은 Ley 1581 de 2012(콜롬비아 개인정보 보호법)와 그 시행령인 Decreto 1377 de 2013이며, 시행령은 현재 Decreto 1074 de 2015에 통합되어 있습니다. 2026년 10월 기준 Ley 1581은 여전히 유효합니다. 의회에 이를 현대화하려는 법안들이 제출되었지만, 입법 절차가 끝나기 전까지는 다음 규칙이 적용됩니다.
- 사전 고지 후 동의: 늦어도 데이터를 수집하는 시점까지 정보 주체의 동의를 받아야 하며, 나중에 이를 입증할 수 있어야 합니다. 동의는 서면, 구두, 또는 명백한 행동으로 할 수 있지만, 침묵은 결코 동의로 간주되지 않습니다.
- 녹음 및 목적 고지: 상대방은 녹음되고 있다는 사실과 그 목적(품질 관리, 판매 근거, 계약 이행)을 알아야 합니다. 나중에 AI 모델 학습처럼 다른 목적으로 녹음을 사용하려면 새로 동의를 받아야 합니다.
- 민감 정보: 건강 정보는 민감 정보입니다. 이를 처리하려면 명시적 동의가 필요하며, 해당 정보에 대한 답변은 선택 사항임을 알려야 합니다.
- 정보 주체의 권리: 고객은 자신의 데이터를 열람, 갱신, 정정하고 삭제를 요청할 수 있으며, 동의의 증빙을 요구하고 Superintendencia de Industria y Comercio(SIC, 산업통상감독청)에 민원을 제기할 수 있습니다. 민원에는 법에 정해진 답변 기한이 있습니다.
- 보관 제한: 데이터는 법적, 회계적, 계약상 의무를 고려해 목적에 합리적이고 필요한 기간 동안만 보관합니다. 목적이 달성되면 삭제합니다.
- 처리 방침: 명확한 언어로 작성되어 정보 주체가 볼 수 있는 개인정보 처리 방침을 갖추어야 합니다.
- 국외 데이터: 법은 정보 주체의 명시적 동의 같은 예외를 제외하고, 적정한 보호 수준을 갖추지 못한 국가로의 데이터 이전을 금지합니다. 해외 제공업체가 수탁자로서 여러분을 대신해 데이터를 처리하기만 하는 경우, Decreto 1377은 보안 및 기밀 유지 의무를 정한 위탁 계약을 통해 이를 허용합니다.
- 국가 데이터베이스 등록부(RNBD): Decreto 090 de 2018에 따라 총자산이 100,000 UVT를 넘는 회사와 비영리 법인, 그리고 공공기관은 SIC에 등록해야 합니다. 회사가 이 기준에 미치지 않더라도 나머지 모든 의무는 지켜야 합니다.
법은 SIC에 제재 권한도 부여하며, 여기에는 최대 월 최저임금 2,000배의 과징금과 영업 정지가 포함됩니다. 또한 통화에 인공지능을 사용한다면, 위험을 평가하고 위험이 높을 경우 개인정보 영향 평가를 하도록 요구하는 SIC의 Circular Externa 002 de 2024를 고려해야 합니다.
에콰도르나 페루에서도 사업을 한다면
두 나라 모두 자체 규칙이 있으므로 콜롬비아 법만 지켜서는 충분하지 않습니다.
- 에콰도르: Ley Orgánica de Protección de Datos Personales(개인정보 보호 기본법)는 2021년 5월 관보(Registro Oficial)에 게재되었고, 제재 규정은 2023년 5월부터 시행되고 있습니다. 일반 시행령은 Decreto Ejecutivo 904로 제정되어 2023년 11월에 공포되었습니다. 에콰도르에 있는 사람의 데이터를 처리하는 외국 기업에도 적용됩니다.
- 페루: Ley 29733(개인정보 보호법)에는 Decreto Supremo 016-2024-JUS로 승인되어 2025년 3월 30일부터 시행된 새 시행령이 있습니다. 새로운 내용 중에는 보안 사고를 최대 48시간 이내에 당국에 신고할 의무와, 대량의 데이터나 민감 정보 처리를 주요 활동으로 하는 경우처럼 특정 상황에서 개인정보 보호 책임자를 지정할 의무가 있습니다.
예를 들어: 통화를 녹음하는 병원
전화로 진료 예약을 받고 모든 통화를 녹음하는 메데인(Medellín)의 한 병원을 상상해 보세요. 통화에서 환자들은 증상, 복용 약, 진단명을 말합니다. 모두 민감 정보입니다. 이 병원이 갖추어야 할 것은 다음과 같습니다.
- 통화 시작 시 녹음 사실, 목적, 개인정보 방침을 확인할 수 있는 곳을 알리는 안내 메시지.
- 건강 정보 처리에 대한 명시적 동의를 입증할 수 있는 형태로 보관.
- 명확한 보관 규칙: 예를 들어 예약 통화 녹음은 민원 처리에 필요한 기간만 보관하고, 이후에는 백업에서도 삭제합니다.
- 역할별 접근 권한: 접수 담당자는 자신의 일정만 보고, 품질 관리 책임자는 샘플을 듣고, 그 외 누구도 기록을 남기지 않고 오디오를 내려받을 수 없습니다.
- 클라우드 전화 서비스 제공업체와의 계약: 서버가 어느 나라에 있는지, 파일이 어떻게 암호화되는지, 계약 종료 시 데이터가 어떻게 되는지를 명시합니다.
채권 추심 회사도 비슷한 경우지만 한 가지가 더 있습니다. 개인정보 보호 외에도 Ley 2300 de 2023의 채무자 연락 규칙을 지켜야 합니다.
지금 바로 적용할 수 있는 모범 사례
- 모든 통화 시작 시 안내: 짧고 명확하게, 목적과 함께 알리세요. 발신 통화와 AI 음성 상담원이 응대하는 통화에도 똑같이 적용하세요.
- 통화 유형별 보관 방침: 영업, 고객 지원, 채권 추심에 같은 기간이 필요하지는 않습니다. 각각 정하고 삭제를 자동화하세요.
- 역할별 접근 권한과 이력 기록: 각자 필요한 것만 보게 하고, 누가 무엇을 듣거나 내려받았는지 기록이 남게 하세요.
- 종단 간 암호화: 전송 중과 저장 시 모두, 백업과 내보낸 파일까지 포함해 암호화하세요.
- 제공업체와의 계약: 저장 국가, 보안 조치, 하청업체, 계약 종료 시 반환 또는 삭제를 정한 데이터 위탁 계약을 맺으세요.
- 보안 기준: ISO/IEC 27001:2022 표준은 위험 기반의 정보보안 관리 체계를 구축하는 방법을 설명합니다. 제공업체가 이를 잘 알거나 인증을 받았다면 좋은 신호지만, 여러분 자신의 의무를 대신하지는 않습니다.
클라우드 전화 서비스 제공업체에 물어봐야 할 것
클라우드 PBX나 콜센터 플랫폼을 계약하기 전에 다음 질문에 대한 답을 서면으로 요청하세요.
- 녹음, 기록, 전사본은 어느 나라, 어느 데이터 센터에 저장되나요?
- 전송 중과 저장 시 암호화되나요? 키는 누가 관리하나요?
- 백업은 어디에 있고 얼마나 오래 보관되나요?
- 보관 기간과 자동 삭제를 설정할 수 있나요?
- 제공업체의 어떤 직원이 제 데이터에 접근할 수 있으며, 그 기록이 남나요?
- 제 오디오를 처리하는 하청업체나 제3자 AI 서비스를 사용하나요?
- 콜롬비아 법에 따른 데이터 위탁 계약을 체결하나요?
- 보안 사고가 발생하면 어떻게 알려 주나요?
- 서비스를 해지하면 제 데이터는 어떻게 되나요?
19 80 TIC Cloud는 이 질문들에 첫날부터 명확한 답이 있어야 한다고 생각합니다. 여러분의 상황을 함께 검토하고 싶으시면 연락해 주세요.
이 글은 일반적인 정보이며 법률 자문이 아닙니다. 구체적인 결정을 내리실 때는 개인정보 보호 전문 변호사와 상담하세요.
