앱 개발사는 고객 DB에 접속하고, 고객센터는 주문·불만 정보를 확인하며, 마케팅 대행사는 광고 발송을 위해 연락처를 다룹니다. 업무를 외주로 맡겼다고 해서 개인정보 관련 책임까지 외주업체에 모두 넘어가는 것은 아닙니다. 위탁자가 수탁업체를 제대로 관리·감독하지 못했다면 위탁자 역시 책임 문제에서 자유롭기 어렵습니다.
계약서에 단순히 “개인정보를 안전하게 처리한다”는 문구만 두는 경우도 있습니다. 그러나 실제로는 누가 어떤 정보에 접근하는지, 재위탁이 가능한지, 유출 정황 발생 시 어떤 자료를 언제 제공해야 하는지까지 구체적으로 정해 둘 필요가 있습니다.
개인정보 처리위탁은 회사가 자신의 업무를 수행하기 위해 다른 업체에 개인정보 처리 업무를 맡기는 구조입니다. 예를 들어 쇼핑몰이 배송을 위해 고객의 성명·주소·연락처를 배송업체에 제공하거나, 플랫폼이 고객 문의 응대를 콜센터에 맡기는 경우가 이에 해당할 수 있습니다.
이때 업무를 맡긴 회사는 위탁자, 개인정보 처리 업무를 맡은 업체는 수탁자입니다. 개인정보 보호법은 위탁자가 수탁자에게 개인정보 처리 업무를 맡길 때 일정 내용을 포함한 문서를 작성하도록 정하고 있습니다. 계약서 본문에 포함할 수도 있고, 별도의 개인정보 처리위탁 부속합의서로 작성할 수도 있습니다.
중요한 점은 문서 내용이 실제 업무와 일치해야 한다는 것입니다. 계약서에는 고객센터 업무만 적혀 있는데 실제로는 개발사, 클라우드 사업자, 문자 발송업체까지 개인정보 처리 과정에 관여한다면 관리 공백이 생길 수 있습니다.
“서비스 운영에 필요한 개인정보 처리”처럼 포괄적으로 정하면 수탁자가 어디까지 개인정보에 접근할 수 있는지 불분명해질 수 있습니다.
예를 들어 고객센터 업무라면 주문 확인, 배송 문의, 환불 문의 응대 등 업무를 나누고, 각 업무에 필요한 개인정보 항목과 접근 범위를 별도로 정리하는 방식이 필요합니다. 개발사에는 개발·테스트·운영에 필요한 범위만, 광고 대행사에는 광고 발송에 필요한 범위만 제공하는지 확인해야 합니다.
수탁자는 위탁받은 업무 범위를 넘어 개인정보를 이용하거나 제3자에게 제공해서는 안 됩니다. 따라서 계약서에는 목적 외 처리 금지를 명확히 두고, 업무 종료 후 개인정보를 어떻게 처리할지까지 함께 검토하는 것이 좋습니다.
개인정보 처리위탁 문서에는 접근 제한 등 안전성 확보조치와 기술적·관리적 보호조치가 포함되어야 합니다.
계약 검토 단계에서는 다음과 같은 사항을 확인할 수 있습니다.
위탁자는 수탁자 교육 및 개인정보 처리현황 점검 등을 통해 수탁자가 개인정보를 안전하게 처리하는지 감독해야 합니다. 따라서 계약서에는 정기 또는 필요시 자료 제출, 점검 협조, 개선 요청에 관한 내용을 두고, 점검 결과를 문서로 남기는 방안을 검토할 필요가 있습니다.
외주 개발사가 서버 운영업체를 이용하거나, 마케팅 대행사가 문자 발송업체를 이용하는 경우처럼 업무가 여러 단계로 이어질 수 있습니다. 이를 재위탁이라고 합니다.
수탁자가 개인정보 처리 업무를 제3자에게 다시 위탁하려면 위탁자의 동의를 받아야 합니다. 재위탁이 필요한 구조라면 계약서에 다음 사항을 구체적으로 정하는 것이 바람직합니다.
클라우드, 고객관리 솔루션, 문자 발송 서비스 등을 함께 사용하는 경우에는 실제 개인정보 처리 흐름과 계약서상 재위탁 구조가 일치하는지도 확인해야 합니다.
개인정보 처리위탁 문서에는 수탁자의 의무 위반 시 손해배상 등 책임에 관한 사항도 포함되어야 합니다. 또한 수탁자가 위탁업무와 관련해 법을 위반하여 손해가 발생한 경우, 손해배상책임과 관련해서는 수탁자를 위탁자의 소속 직원으로 봅니다.
따라서 “수탁자가 모든 책임을 진다”는 문구만으로 위탁자 측 위험이 모두 사라진다고 보기는 어렵습니다. 수탁자의 법령 또는 계약 위반, 목적 외 이용, 무단 제공, 승인 없는 재위탁 등 문제가 될 수 있는 상황을 구체적으로 정하고, 사고 발생 시 자료 제공과 조사 협조 범위도 함께 정할 필요가 있습니다.
개발사 계정에서 대량 조회 흔적이 발견되거나 고객센터 직원의 무단 열람이 의심된다면, 원인이 확정될 때까지 기다리기보다 계약상 대응 근거를 먼저 확인해야 합니다.
개인정보 유출 등을 알게 된 개인정보처리자는 원칙적으로 정보주체에게 72시간 이내 통지해야 합니다. 또한 1천 명 이상 유출, 민감정보 또는 고유식별정보 유출, 외부의 불법 접근에 따른 유출 등에 해당하는 경우에는 원칙적으로 72시간 이내 보호위원회 또는 한국인터넷진흥원에 신고해야 할 수 있습니다. 초기 단계에서 수탁자의 보고와 자료 제공이 늦어지면 위탁자의 대응 시간도 줄어들 수 있습니다.
위탁자는 위탁업무의 내용과 수탁자를 정보주체가 쉽게 확인할 수 있도록 공개해야 합니다. 통상 인터넷 홈페이지에 지속적으로 게시하는 방식이 사용됩니다.
재화 또는 서비스의 홍보·판매 권유 업무를 위탁한 경우에는 위탁업무 내용과 수탁자를 정보주체에게 알려야 하며, 그 내용이나 수탁자가 변경된 경우에도 같습니다. 계약서의 수탁자 명칭, 개인정보 처리방침의 공개 내용, 실제 데이터 흐름이 서로 다르지 않은지 함께 점검해야 합니다.
개발사가 업무 수행 과정에서 고객 개인정보를 처리한다면, 접근 시간이 짧다는 사정만으로 처리위탁 문제를 피하기는 어렵습니다. 실제 접근 정보와 수행 업무를 기준으로 계약 구조를 확인해야 합니다.
수탁자의 재위탁에는 위탁자의 동의가 필요합니다. 계약서에 사전 동의 절차와 재수탁자 관리 의무를 구체적으로 정해 두는 것이 필요합니다.
공개 의무와 위탁계약 작성 의무는 별개입니다. 개인정보 처리방침 공개만으로 목적 외 처리 금지, 안전조치, 감독, 책임에 관한 계약상 내용을 대신할 수는 없습니다.
유출 정황 단계부터 사실관계 확인과 대응 검토가 필요할 수 있습니다. 따라서 계약서에 보고, 조사 협조, 통지·신고 관련 자료 제공 의무를 구체적으로 두는 것이 중요합니다.
개인정보 처리위탁 여부, 재위탁 허용 범위, 유출 통지·신고 필요성은 실제 업무 구조와 개인정보 처리 경위에 따라 달라질 수 있습니다. 구체적인 사안에 따라 결론이 달라질 수 있으므로, 계약 체결 또는 사고 대응 전에는 계약서와 실제 운영 현황을 함께 검토할 필요가 있습니다.
법률사무소 완봉에서는 개인정보 처리위탁 계약서 검토, 수탁자 관리체계 점검, 유출 정황 발생 시 초기 대응 방향 검토에 관한 상담을 제공하고 있습니다. 관련 검토가 필요하신 경우 02-6263-9093으로 문의하실 수 있습니다.
