개인정보 처리 위수탁 계약서, 빠뜨리면 안 되는 7가지 조항

개인정보 처리 위수탁 계약서, 빠뜨리면 안 되는 7가지 조항

외부 업체에 고객 응대를 맡기거나, 클라우드에 데이터를 올리거나, 마케팅 대행사에 발송을 맡긴다면 개인정보 처리 위탁에 해당할 가능성이 큽니다.

그런데 기존 계약서를 열어보면 법이 요구하는 조항이 대부분 빠져 있습니다. 일반 용역계약서 양식을 그대로 썼기 때문입니다. 이 글에서는 무엇이 들어가야 하는지, 그리고 계약서 말고도 해야 할 일이 무엇인지 정리하겠습니다.

목차

1. 먼저 구분해야 합니다 — 위탁인가 제공인가

2. 법적 근거

3. 계약서 필수 포함 사항 7가지

4. 계약서만으로 끝나지 않습니다

5. 재위탁은 어떻게 다루나

6. 수탁자 점검, 어떻게 하나

7. 실무에서 자주 하는 실수

8. 점검 체크리스트

먼저 구분해야 합니다 — 위탁인가 제공인가

이 구분을 틀리면 동의 절차 자체가 위법이 됩니다. 가장 먼저 확인하셔야 할 부분입니다.

위탁과 제3자 제공의 차이  |  업로드 파일 : h1.png

구분	처리 위탁	제3자 제공
성격	내 업무를 대신 시키는 것	상대방의 목적을 위해 넘기는 것
누구의 이익	위탁자(우리)	제공받는 자
동의	원칙적으로 불필요	원칙적으로 필요
알리는 방법	처리방침에 공개	제공 항목·목적 등을 알리고 동의
관리 책임	위탁자가 교육·감독	제공받은 자가 부담
예시	고객센터 대행, 배송 대행, 클라우드 보관	제휴사에 회원정보 제공

판단 기준은 하나입니다. “누구의 이익을 위해 처리하는가”를 보십시오. 우리 업무를 대신 처리하면 위탁, 상대방이 자기 사업에 쓰면 제3자 제공입니다.

법적 근거

개인정보 보호법 제26조가 처리 위탁을 규율합니다. 핵심은 세 가지입니다.

의무	내용
문서 체결	법이 정한 사항이 포함된 문서로 계약
공개	수탁자와 위탁 업무 내용을 처리방침 등에 공개
교육·감독	수탁자가 개인정보를 안전하게 처리하도록 교육하고 감독

특히 주의하실 조항이 있습니다. 개인정보 보호법은 수탁자가 위탁받은 업무와 관련해 법을 위반하여 발생한 손해배상책임에 대해 수탁자를 위탁자의 소속 직원으로 본다고 규정하고 있습니다. 즉 수탁사가 사고를 내도 위탁자가 책임을 집니다. “맡겼으니 우리 책임은 아니다”가 통하지 않는 구조입니다.

계약서 필수 포함 사항 7가지

위수탁 계약서 필수 포함 사항  |  업로드 파일 : h2.png

번호	조항	실무에서 확인할 것
1	위탁 업무 목적 외 개인정보 처리 금지	수탁사가 자사 마케팅에 쓰지 못하도록 명시
2	기술적·관리적 보호조치	우리 기준과 동등 이상인지
3	위탁 업무의 목적 및 범위	어떤 항목을 어디까지 다루는지 구체적으로
4	재위탁 제한	사전 동의 없는 재위탁 금지
5	접근 제한 등 안전성 확보 조치	계정 관리, 권한 최소화, 접속기록 보관
6	관리 현황 점검 등 감독	점검 주기와 방법, 자료 제출 의무
7	의무 위반 시 손해배상 책임	책임 범위와 배상 절차

이 조항들은 본계약에 넣거나, 기존 계약에 개인정보 처리 부속합의서를 붙이는 방식으로 갖출 수 있습니다. 이미 체결된 계약이 많다면 부속합의서 쪽이 현실적입니다.

실무 팁 — 표준 부속합의서 양식을 하나 만들어 두십시오. 새 계약이 생길 때마다 첨부하면 되고, 계약 담당 부서에도 배포해 두면 누락이 줄어듭니다.

계약서만으로 끝나지 않습니다

계약서를 잘 써두고 그것으로 끝내는 경우가 많은데, 법이 요구하는 것은 세 가지입니다.

① 공개

수탁자와 위탁 업무 내용을 개인정보 처리방침에 공개해야 합니다. 계약이 새로 생기거나 끝나면 처리방침도 갱신하십시오. 앞선 처리방침 글에서 다룬 ‘위탁사 목록이 최신이 아니다’가 바로 이 문제입니다.

② 교육

수탁자가 개인정보를 안전하게 처리하도록 교육해야 합니다. 자료를 전달하고 수령 확인을 받는 방식도 가능하지만, 기록을 남기는 것이 핵심입니다.

③ 감독

정기적으로 점검해야 합니다. 다음 장에서 다루겠습니다.

재위탁은 어떻게 다루나

수탁자가 다시 다른 업체에 맡기는 것을 재위탁이라고 합니다. 원칙적으로 위탁자의 동의 없이는 할 수 없습니다.

상황	조치
재위탁 발생	사전에 위탁자 동의를 받도록 계약에 명시
동의한 경우	재수탁자도 동일한 보호 수준을 갖추도록 요구
처리방침	재수탁 현황도 공개 대상인지 검토

클라우드를 쓰는 수탁사라면 사실상 재위탁 구조인 경우가 많습니다. 계약 단계에서 “귀사는 어떤 인프라를 쓰는가”를 확인하십시오. 국외 인프라라면 국외 이전 문제까지 함께 검토해야 합니다.

수탁자 점검, 어떻게 하나

‘감독’을 어떻게 해야 하는지 막막하실 텐데, 실무에서는 대체로 이렇게 합니다.

방법	내용	적합한 경우
자체 점검표 회신	점검 항목을 보내 수탁사가 작성·회신	수탁사가 많을 때
증빙 자료 제출	교육 기록, 접근권한 대장, 접속기록 샘플	중요도 중간
현장 점검	직접 방문해 확인	개인정보를 대량 처리하는 핵심 수탁사
인증서 확인	수탁사의 ISMS-P 등 인증 보유 여부	보완 수단

점검 주기는 연 1회 이상을 규정에 명시하고 실제로 수행하십시오. 점검 계획 → 수행 → 결과 → 개선 요구 → 확인까지 기록이 남아야 감독을 했다고 볼 수 있습니다.

실무에서 자주 하는 실수

실수	결과
일반 용역계약서만 체결	필수 조항 누락으로 지적
위탁을 제3자 제공으로 처리	불필요한 동의를 받거나 절차가 어긋남
제3자 제공을 위탁으로 처리	받아야 할 동의를 받지 않은 것이 되어 더 위험
처리방침에 수탁사 미공개	공개 의무 위반
계약만 하고 점검 없음	감독 의무 미이행
종료된 계약이 처리방침에 남음	실제와 불일치
계약 종료 시 데이터 회수·파기 미확인	수탁사에 데이터가 남아 있게 됨

마지막 항목을 특히 유의하십시오. 계약이 끝나면 수탁사가 보유한 개인정보를 반환하거나 파기하도록 계약에 명시하고, 파기 확인서를 받아 보관하십시오. 계약 종료 후 수탁사에서 사고가 나면 곤란해집니다.

점검 체크리스트

항목	확인
위탁인지 제3자 제공인지 구분했는가	☐
문서로 계약을 체결했는가	☐
필수 7개 조항이 모두 포함되었는가	☐
재위탁 제한 조항이 있는가	☐
처리방침에 수탁사와 업무 내용을 공개했는가	☐
수탁사 교육을 실시하고 기록을 남겼는가	☐
연 1회 이상 점검을 수행했는가	☐
점검 결과와 개선 요구 기록이 있는가	☐
종료된 계약이 처리방침에서 삭제되었는가	☐
계약 종료 시 데이터 반환·파기를 확인했는가	☐
국외 인프라 사용 여부를 확인했는가	☐

마치며

위수탁 관리는 계약서 한 장으로 끝나는 일이 아니라 계속 돌아가야 하는 절차입니다. 체결·공개·교육·점검·종료의 다섯 단계가 모두 기록으로 남아야 합니다.

특히 수탁사의 잘못도 결국 우리 책임이라는 점을 기억하시면, 왜 이렇게까지 관리해야 하는지 이해가 되실 겁니다.

앞서 다룬 개인정보 처리방침 글과 정보자산 목록 글을 함께 보시면, 수탁사 관리가 전체 관리체계에서 어디에 연결되는지 보이실 겁니다.

이 글은 공개된 법령과 실무 경험을 바탕으로 정리한 일반 정보이며, 법률자문이 아닙니다. 필수 포함 사항은 개정될 수 있으므로 국가법령정보센터에서 개인정보 보호법 제26조와 시행령의 최신 조문을 확인하시고, 중요한 계약은 전문가 검토를 받으시기 바랍니다.

태그
#개인정보위수탁 #위탁계약서 #개인정보보호법 #제26조 #수탁자관리 #제3자제공 #CPO #개인정보실무 #컴플라이언스