B2G 공급 구조 — 데이터를 받지 않고 엔진을 보낸다

help맥락

ADR-0002 는 민간 사업자가 범죄경력·수사경력자료를 취득할 수 없다고 결론짓고, 데이터가 기관 내부에 머무는 수탁 구조는 성격이 다르므로 별도 기록에서 다루기로 했다. ADR-0005 의 삭제 전파와 ADR-0006 의 계약 조건, ADR-0007 의 이용 현황 공개도 모두 이 구조가 정해져야 실행된다.

선택지는 표면적으로 셋이다. 기관이 데이터를 우리에게 보내는 형태, 우리가 서비스로 제공하고 데이터가 우리 인프라를 지나는 형태, 엔진만 기관 안에 두는 형태다.

그런데 이 선택은 단순한 배치 문제가 아니다. 우리가 「개인정보 보호법」상 수탁자 지위에 서는지 여부가 함께 결정되고, 그에 따라 우리가 지는 의무와 우리가 강제할 수 있는 범위가 정반대로 움직인다.

alt_route검토한 대안

gavel결정

1. 기본 공급 형태는 기관 경계 안 배포다. 운영 데이터를 우리 인프라로 전송하는 구성은 기본형이 아니다.
2. 우리는 운영 데이터에 접근하지 않는다. 상시 원격 접근 경로를 두지 않으며, 지원이 필요하면 기관이 생성한 비식별 진단 자료만 받는다.
3. ADR-0003 의 개입 게이트, ADR-0004 의 기재 항목, ADR-0005 의 보존·삭제 요구는 배포물에 내장한다. 이를 해제한 구성에서는 산출물이 생성되지 않도록 만든다. 계약 문구가 아니라 실행 조건으로 둔다.
4. 배포물은 버전 식별과 무결성 검증이 가능하도록 서명해 제공한다. 어떤 버전이 언제 쓰였는지 기관이 스스로 증명할 수 있어야 ADR-0004 의 기재가 성립한다.
5. 우리가 수탁자 지위에 서는 구성을 요구받으면, 「개인정보 보호법」 제26조가 정한 문서화·공개·교육·감독·재위탁 동의 요건을 갖추기 전에는 공급하지 않는다.
6. 삭제 사유 발생 통지(ADR-0005 결정 4)와 이용 집계 제공(ADR-0007 결정 5)을 계약에 명시한다. 집계를 받지 못하면 그 기간은 '측정 불가'로 공개한다.

menu_book근거

• 「개인정보 보호법」 제26조 제1항은 처리 업무의 위탁을 목적 외 처리 금지와 기술적·관리적 보호조치를 포함한 문서로 하도록 하고, 제5항은 수탁자가 위탁받은 업무 범위를 초과해 개인정보를 이용하거나 제3자에게 제공하지 못하도록 한다. 제6항은 재위탁에 위탁자의 동의를 요구한다. 결정 5 는 이 요건들을 공급의 선행 조건으로 삼은 것이다.
• 같은 조 제8항은 수탁자에 대하여 제21조·제23조·제29조와 함께 제37조의2 등을 준용하며 '개인정보처리자'를 '수탁자'로 본다. 즉 우리가 수탁자가 되면 ADR-0003 이 다룬 자동화된 결정에 관한 의무가 우리 자신에게 직접 발생한다. 대안 B 의 강제력이 커지는 이유이자 동시에 부담이 커지는 이유다.
• 같은 조 제7항은 수탁자가 이 법을 위반해 발생한 손해배상책임에 대하여 수탁자를 개인정보처리자의 소속 직원으로 본다. 우리의 잘못이 기관의 배상책임으로 귀결되는 구조이므로, 이 지위는 가볍게 선택할 것이 아니다.
• 대안 C 를 택하면 위 의무의 상당 부분이 우리에게 발생하지 않는다. 그러나 같은 이유로 우리는 게이트가 지켜지는지 알 수도, 강제할 수도 없다. 결정 3 은 이 공백을 메우기 위한 것이다. 법적 지위로 확보할 수 없는 것을 배포물의 동작 조건으로 확보한다.
• 「개인정보 보호법」 제29조는 접속기록 보관 등 안전성 확보에 필요한 조치를 요구하고, 제28조는 개인정보취급자의 범위를 최소한으로 제한하고 관리·감독하도록 한다. 결정 2 의 '접근하지 않는다'는 이 요구를 우리 쪽에서 가장 단순하게 충족하는 방법이다. 접근 경로가 없으면 통제할 대상도 없다.

warning이 결정이 만드는 한계

• 운영 데이터를 보지 않으므로 실제 오류를 우리가 직접 관측할 수 없다. 품질 개선 루프가 느려지고, 기관이 알려 주지 않는 실패는 알 수 없는 채로 남는다. 이는 결정 2 의 대가이며 성능으로 상쇄되지 않는다.
• 결정 3 의 기술적 강제는 완전하지 않다. 배포물을 받은 쪽이 이를 우회하려 들면 막을 방법이 제한된다. 서명 검증으로 변조를 드러낼 수는 있으나 드러내는 것과 막는 것은 다르다. 이 한계를 '강제'라는 말로 덮지 않는다.
• ADR-0007 은 양측 이용 건수를 공개하기로 했는데, 결정 2 대로면 우리는 그 수치를 직접 측정할 수 없다. 결정 6 이 계약으로 메우지만, 계약이 이행되지 않으면 공백이 생긴다. 그때 추정치를 쓰지 않고 '측정 불가'로 적는 것이 이 기록의 약속이다.
• 기관이 서비스형을 강하게 요구하면 대안 B 의 요건을 갖추는 데 시간이 걸리고, 그 사이 공급이 불가능하다. 이 지연은 감수한다.

event_repeat폐기 조건

• 「개인정보 보호법」 제26조의 위탁 요건이 개정될 때.
• 대안 B 의 요건을 실제로 갖추게 될 때 — 그 시점에 이 기록을 개정해 서비스형 공급 조건을 명시한다.
• 결정 3 의 기술적 강제가 실제 배포 환경에서 우회되는 것이 확인될 때 — 공급 형태 자체를 재검토한다.

balance근거자료

인용 법령

• 「개인정보 보호법」 제26조(업무위탁에 따른 개인정보의 처리 제한) 제1항·제5항·제6항·제7항·제8항제8항이 수탁자에게 제37조의2 등을 준용하고 '개인정보처리자'를 '수탁자'로 본다 — DRF 본문 실증
• 「개인정보 보호법」 제28조(개인정보취급자에 대한 감독)취급자 범위 최소화와 관리·감독 — DRF 본문 실증
• 「개인정보 보호법」 제29조(안전조치의무)접속기록 보관 등 기술적·관리적·물리적 조치 — DRF 본문 실증
• 「형의 실효 등에 관한 법률」 제6조 제4항회보받거나 취득한 자의 용도 외 사용 금지 — 대안 A 기각 근거, DRF 본문 실증

참고자료

조문 근거로만 세운 기록이다. 공급 구조에 관한 결정이라 해석을 보태는 외부 자료를 쓰지 않았다.

hub담당 리더

마디L60

시스템 총괄 · Master API Gateway

대한민국 변호사급 / 법원행정처 전산정보국장 출신급

설계로그는 특정 법률 분야가 아니라 시스템 전체의 설계 결정을 다룬다. 개별 도메인 리더가 아니라 60명 리더 시스템의 운영·품질을 총괄하는 리더가 담당한다.

리더 프로필 보기 arrow_forward