개인정보 처리위탁 계약, 빠뜨리기 쉬운 조항 

고객 상담, 배송, 전산 운영을 외부 업체에 맡길 때는 계약서에 ‘개인정보 보호를 준수한다’고만 적어서는 부족합니다. 위탁업무의 목적과 범위, 재위탁 제한, 접근통제와 안전조치, 감독 방법, 위반에 따른 책임을 구체화해야 실제 업무와 계약이 맞물립니다. 외부 업체가 정해진 업무만 처리하는 수탁자인지, 자신의 목적을 위해 정보를 이용하는 제3자인지도 먼저 구분해야 합니다.

개인정보 보호법 제26조와 같은 법 시행령 제28조는 개인정보 처리업무를 위탁하는 경우 문서에 포함할 사항과 위탁자의 공개·감독 의무를 정합니다. 아래 점검표는 2026년 9월 11일 시행 법령을 기준으로 기업 담당자가 계약 전후에 확인할 내용을 정리한 것입니다.

먼저 ‘위탁’인지 ‘제3자 제공’인지 가릅니다

고객정보를 외부 업체에 전달했다는 사실만으로 모두 같은 법률관계가 되는 것은 아닙니다. 수탁자는 위탁자가 정한 업무 목적과 범위 안에서 개인정보를 처리합니다. 예를 들어 주문한 상품의 배송을 위해 택배사에 이름·주소·연락처를 전달하거나, 회사의 고객상담 업무를 정해진 방식으로 수행하도록 맡기는 경우에는 업무 구조와 실제 이용 방식에 따라 위탁에 해당할 수 있습니다.

반면 상대 업체가 정보를 자신의 독립적인 목적에 사용한다면 제3자 제공에 해당할 가능성을 따져야 합니다. 계약서 제목에 ‘위탁’이라고 써 놓는 것만으로 성격이 결정되지는 않습니다. 누가 처리 목적과 수단을 정하는지, 상대 업체가 다른 고객을 위해 정보를 결합하거나 자체 마케팅에 쓰는지, 업무 종료 후 어떤 목적으로 보유하는지 등 실제 운영을 살펴야 합니다.

위탁과 제3자 제공은 요구되는 절차와 책임 구조가 다를 수 있습니다. 정보가 넘어간다는 이유만으로 위탁계약 조항만 추가해 문제를 해결했다고 단정해서는 안 됩니다. 서비스 제공자가 데이터를 자체 분석·광고 목적으로도 이용한다고 제안한다면, 그 이용이 기존 위탁 범위에 들어가는지 별도 제공인지, 별도의 처리 근거와 고지가 필요한지 계약 체결 전에 확인해야 합니다.

문서에 담아야 할 법률·시행령 항목

개인정보 보호법 제26조 제1항은 위탁업무 수행 목적 외 처리 금지와 기술적·관리적 보호조치, 대통령령으로 정한 사항을 문서에 포함하도록 합니다. 시행령 제28조 제1항에는 다섯 가지 세부사항이 열거되어 있습니다. 따라서 문서에는 법률 제26조 제1항이 직접 정한 두 사항, 즉 위탁 목적 외 처리 금지와 기술적·관리적 보호조치뿐 아니라 시행령의 다섯 세부사항도 담아야 합니다. 아래 다섯 항목은 시행령에 적힌 사항이며, 법률의 두 요건을 대신하지 않습니다.

1. 업무의 목적과 범위

‘고객관리 업무 일체’처럼 넓은 표현만 두면 수탁자가 어떤 자료를 어떤 작업에 쓸 수 있는지 불분명해질 수 있습니다. 주문 접수, 배송 문의 응대, 서버 운영처럼 맡기는 일을 구체적으로 적고, 처리하는 정보의 종류와 대상, 허용되는 조회·저장·전달 작업을 업무에 맞게 연결합니다. 필요한 개인정보가 무엇인지도 실제 서비스 흐름과 대조해야 합니다.

목적 외 이용 금지 조항은 법이 요구하는 핵심 항목입니다. 위탁자는 수탁자가 맡은 업무 범위를 벗어나 개인정보를 이용하거나 제3자에게 제공하지 않도록 계약과 운영 절차를 맞춰야 합니다. 수탁자가 서비스 개선이나 통계 분석을 위해 자료를 별도로 이용하려는 경우라면, 그 표현을 포괄적인 ‘품질 개선’ 문구에 묻어 두지 말고 이용 목적과 법적 근거, 정보의 형태와 처리 방식을 따로 검토해야 합니다.

2. 재위탁 절차와 통제

개인정보 보호법 제26조 제6항은 수탁자가 위탁업무를 다시 제3자에게 맡길 때 위탁자의 동의를 받도록 합니다. 시행령 제28조 제1항 제2호도 재위탁 제한에 관한 사항을 문서에 포함하도록 합니다. 클라우드 인프라나 고객센터 운영처럼 여러 사업자가 연결되는 업무에서는 계약 상대방이 실제 처리의 일부를 다시 맡기는지 확인해야 합니다. 수탁자가 위탁업무를 다시 위탁하려면 법률상 위탁자의 동의를 받아야 합니다. 계약에는 이를 실행할 사전 서면 승인 절차와 재위탁 업체·업무 범위의 변경 통지, 하위 계약에 반영할 보호의무를 정할 수 있습니다. 위탁자가 공개하는 수탁자 정보에는 재수탁자도 포함되므로 실제 재위탁 구조를 공개 현황과 대조하세요.

재위탁 업체가 바뀔 때 통지할 시점과 위탁자가 이의를 제기하거나 대안을 요구할 수 있는 절차도 정해 두면 변경 관리가 수월합니다. 다만 계약 문구만으로 모든 상황을 통제한다고 볼 수는 없습니다. 실제로 누구에게 정보가 전달되는지, 접근 권한이 어떻게 부여되는지, 재위탁 종료 후 계정과 자료가 정리되는지를 함께 확인해야 합니다.

3. 접근 제한과 안전조치

시행령은 개인정보 접근 제한 등 안전성 확보 조치를 문서에 포함하도록 하고, 개인정보 보호법 제29조는 개인정보가 유출·훼손되지 않도록 필요한 기술적·관리적·물리적 조치를 요구합니다. 계약에는 업무에 필요한 최소 인원만 접근하도록 하는 원칙, 계정과 권한 관리, 접속기록 보관·점검, 암호화 등 업무에 맞는 보호조치를 정리할 수 있습니다.

구체적인 조치는 처리 정보의 종류와 규모, 시스템 구조, 원격접속 여부, 사고 가능성에 따라 달라집니다. 계약에 ‘법령상 안전조치 준수’만 적는 대신, 수탁자가 적용하는 통제의 범위와 변경 통지, 증빙 제출 방법을 정하면 이행 여부를 점검하기 쉽습니다. 민감정보나 고유식별정보를 다루거나 다수 이용자의 정보에 접근하는 업무라면 접근권한과 반출 통제를 특히 세밀하게 살펴야 합니다.

4. 감독과 확인 방법

위탁자는 수탁자를 교육하고 처리 현황을 점검하는 등 개인정보를 안전하게 처리하는지 감독해야 합니다. 시행령 제28조의 관련 규정은 수탁자가 법령과 위탁 문서의 의무를 준수하는지 감독하도록 정하고 있습니다. 따라서 계약서에는 점검 주기와 방법, 자료 요청 범위, 보완 요구와 조치 기한, 재점검 절차를 업무 위험에 맞게 정하는 것이 좋습니다.

모든 업체에 같은 현장점검을 매달 실시해야 한다는 뜻으로 단정할 수는 없습니다. 어떤 방법이 적절한지는 위탁업무와 위험에 따라 판단해야 합니다. 서면 확인, 보안자료 검토, 원격 점검, 현장 확인 등 가능한 방법을 정하고, 점검 결과와 개선 이력을 남기면 위탁자의 감독 의무를 실제 운영으로 연결할 수 있습니다. 교육 대상과 시기, 사고나 취약점 발견 시 보고 절차도 함께 맞춰 봅니다.

5. 위반 책임과 업무 종료 처리

수탁자가 의무를 위반했을 때의 손해배상 등 책임은 시행령이 요구하는 문서 항목입니다. 계약에는 위반 사실의 통지, 조사 협조, 피해 확산 방지, 정보주체 대응에 필요한 자료 제공, 손해배상과 비용 부담의 기준을 정할 수 있습니다. 법률상 책임이 계약 문구 하나로 사라지거나 자동으로 한쪽에만 귀속되는 것은 아니므로, 당사자의 실제 역할과 법정 책임을 함께 검토해야 합니다.

개인정보 보호법 제21조의 파기 의무는 개인정보가 불필요해졌을 때 발생하며, 다른 법령에 따라 보존해야 하는 경우에는 해당 개인정보를 분리하여 보관하는 예외가 있습니다. 따라서 계약이 끝났다는 이유만으로 모든 기록을 예외 없이 즉시 지워야 한다고 단정하기보다, 실제 보유 목적과 법정 보존 의무를 확인해 반환·파기할 자료와 시점을 정해야 합니다. 업무가 끝나면 수탁자가 보유한 개인정보와 복제본을 어떻게 반환·파기할지도 정해야 합니다. 파기 시점과 방법, 백업 자료의 처리, 법령상 보관이 필요한 자료의 분리 보관, 파기 확인서나 결과 보고 등 업무 종료 절차를 계약에 연결합니다. 보유 목적이 끝난 뒤 자료가 남아 있지 않은지 확인할 책임자와 확인 기록도 정해 두면 종료 시점의 공백을 줄일 수 있습니다.

위탁 범위를 운영 문서에도 맞춥니다

계약 담당자가 법무 문구를 정리해도 실제 현장에서 다른 업체가 자료에 접근한다면 계약과 운영 사이에 틈이 생깁니다. 개인정보를 전달하는 시스템 계정, 다운로드 권한, 고객센터 화면, 테스트 데이터와 로그까지 살펴보고 누가 언제 접근하는지 확인하세요. 개발·유지보수 업체가 운영 데이터를 복사해 테스트하거나 장애 분석에 쓰는 구조라면 그 작업이 위탁 목적과 범위에 포함되는지, 별도 제한과 삭제 절차가 필요한지 점검해야 합니다.

위탁업무가 바뀌면 계약의 목적·범위, 공개된 수탁자 정보, 실제 권한을 함께 갱신하는 절차를 정해 두는 것이 좋습니다. 새 기능이나 새로운 정보 항목을 추가할 때 담당 부서가 개인정보 보호 담당자에게 변경을 알리고 검토를 완료한 뒤 권한을 열도록 하면, 계약서와 데이터 흐름이 서로 다른 상태로 장기간 남는 위험을 줄일 수 있습니다.

계약서 작성과 별도로 공개·고지가 필요할 수 있습니다

위탁자는 위탁하는 업무의 내용과 수탁자를 정보주체가 쉽게 확인할 수 있도록 법령이 정한 방법으로 공개해야 합니다. 시행령은 원칙적으로 위탁자의 인터넷 홈페이지에 해당 내용을 지속적으로 게재하도록 합니다. 홈페이지에 계속 게재할 수 없는 경우에는 시행령이 정한 신문 또는 사업장 게시 등 대체 방법을 활용할 수 있습니다. 선택한 방법의 요건을 확인하고, 해당 방식이 요구하는 동안 정보가 계속 확인될 수 있도록 관리하세요.

재화나 서비스를 홍보하거나 판매를 권유하는 업무를 위탁하는 경우에는 위탁 업무와 수탁자를 정보주체에게 알리는 별도 고지 의무가 적용됩니다. 위탁 내용이나 수탁자가 바뀌어도 변경 사실을 알려야 합니다. 원칙은 서면 등 시행령이 정한 방식으로 알리는 것이며, 위탁자에게 과실 없이 정보주체에게 알릴 수 없고 홈페이지를 운영하는 경우에는 위탁 내용을 홈페이지에 30일 이상 게시해야 합니다. 홈페이지를 운영하지 않는 경우에는 사업장의 보기 쉬운 장소에 30일 이상 게시하도록 시행령이 정합니다. 일반 위탁의 지속적 공개와 이 개별 고지 의무는 구분해 점검하세요. 개인정보 처리방침의 위탁 현황, 실제 계약 상대방, 업무 범위가 서로 일치하는지 정기적으로 대조하는 편이 안전합니다.

이 공개·고지는 위탁계약서에 조항을 넣는 것과 별개의 의무입니다. 계약을 체결했더라도 공개 화면이 오래된 업체명을 표시하거나 실제 위탁업무를 누락하면 정보주체가 확인할 수 있는 정보와 운영 현실이 달라집니다. 담당 부서, 개인정보 처리방침 관리 담당자, 계약 담당자가 변경 내용을 공유하도록 내부 절차를 마련해 두세요.

계약 전후 점검표

• 외부 업체가 위탁 목적 안에서만 처리하는지, 자체 목적 이용이 섞이는지 확인했나요?

• 위탁업무, 정보 항목, 처리 대상과 허용된 작업을 구체적으로 적었나요?

• 목적 외 이용 금지, 안전조치, 재위탁 통제, 감독 방법, 위반 책임을 문서에 반영했나요?

• 접근 권한, 점검·교육, 사고 보고와 대응, 개선 확인의 담당자와 절차를 정했나요?

• 위탁 업무와 수탁자 공개, 홍보·판매 권유 업무의 별도 고지 필요성을 확인했나요?

• 계약 변경과 재위탁 업체 변경, 업무 종료 시 반환·파기와 확인 기록을 관리하나요?

확인 과정에서 불일치가 발견되면 계약서 문구만 고치는 것으로 끝내지 말고, 실제 데이터 흐름과 권한 설정, 공개된 처리방침도 함께 맞춰야 합니다. 서비스 제공자가 여러 국가의 인프라나 해외 계열사를 이용한다면 국내 위탁 규정만으로 검토를 마치지 말고 개인정보의 국외 이전 규정이 적용되는지도 따로 확인하세요.

위탁계약 검토의 핵심은 법정 항목을 나열하는 데 그치지 않고, 누가 어떤 정보에 어떤 목적으로 접근하고, 그 상태를 누가 어떻게 확인할지 정하는 것입니다. 업무 범위와 정보 흐름이 복잡하거나 위탁인지 제3자 제공인지 모호한 경우에는 실제 계약과 운영 구조를 함께 놓고 개별적으로 검토해야 합니다.

※ 본 글은 일반적인 정보 제공을 목적으로 작성되었으며, 구체적인 법률 조언을 대체할 수 없습니다.

※ 개인의 상황에 맞는 정확한 법률 자문은 반드시 전문 변호사와 상담하시기 바랍니다.

※ 이 글은 특정 사건의 해결사례를 사용하지 않았으며, 구체적인 사실관계에 따라 적용과 대응 방향은 달라질 수 있습니다.