개인정보 처리위탁은 회사가 자기 업무를 처리하기 위해 고객관리, 결제 지원, 서버 운영 같은 개인정보 처리 업무를 외부 업체에 맡기는 것을 말합니다. 개인정보 보호법상 처리위탁은 정보주체의 동의를 따로 받지 않아도 할 수 있지만 법정 사항을 담은 문서로 위탁하고 위탁 업무의 내용과 수탁자를 공개해야 하며, 업체가 정보를 자기 업무와 이익을 위해 쓰는 경우에는 제3자 제공으로 판단될 수 있어 동의 등 법정 제공 근거가 필요합니다. 외부 서비스를 도입하기 전에 그 업체가 정보를 어떤 목적으로 쓰는지, 계약서에 법정 사항이 들어 있는지, 서버가 국외에 있는지를 확인해 두어야 처리방침과 동의 절차를 빠짐없이 갖출 수 있습니다.
처리위탁과 제3자 제공을 정한 개인정보 보호법 규정
개인정보 보호법상 처리위탁과 제3자 제공은 적용 요건이 서로 다릅니다. 회사가 자기 업무 처리를 위해 외부 업체에 맡기는 처리위탁에는 정보주체의 동의를 따로 받지 않아도 됩니다. 다만 회사가 개인정보를 수집하고 이용할 근거는 먼저 갖추어야 합니다. 정보주체의 동의, 체결한 계약의 이행 또는 계약 체결 과정에서 정보주체가 요청한 조치의 이행에 필요한 경우 등 법정 사유를 확인해야 합니다.
제3자 제공은 정보주체의 동의를 받거나 법이 정한 수집 근거에 따라 수집한 목적 범위에서 제공하는 경우에 허용됩니다. 정보를 수집할 수 있다는 결론과 다른 업체의 독자적 이용을 위해 제공할 수 있다는 결론은 같지 않습니다. 특히 계약 이행에 필요하다는 이유만으로 제3자 제공이 허용되는 것은 아닙니다. 수집 및 이용 근거와 제3자 제공 근거를 구분해서 검토해야 합니다.
당초 수집 목적과 합리적으로 관련된 범위에서는 동의 없는 제공이 허용될 수도 있습니다. 정보주체에게 불이익이 발생하는지, 암호화 등 안전성 확보에 필요한 조치를 했는지 등을 고려하여 대통령령이 정한 요건을 갖추어야 합니다. 단순히 회사 업무에 도움이 된다는 판단으로 이 요건을 대신할 수는 없습니다. 외부 업체의 이용 목적을 확인한 뒤 위탁인지 제공인지와 그에 필요한 법정 근거를 판단해야 합니다.
처리위탁에 필요한 문서와 공개, 교육과 감독 요건
개인정보 처리위탁은 법정 사항을 포함한 문서로 해야 합니다. 문서에는 위탁업무 수행 목적 외 처리 금지와 기술적 및 관리적 보호조치를 담아야 합니다. 시행령이 정한 위탁업무의 목적과 범위, 재위탁 제한, 접근 제한 등 안전성 확보 조치, 관리 현황 점검 등 감독, 수탁자의 의무 위반 시 손해배상 등 책임에 관한 사항도 포함해야 합니다. 단순한 서비스 이용료 약정만으로 필요한 위탁 문서를 대신할 수는 없습니다.
위탁 업무의 내용과 수탁자는 정보주체가 언제든지 쉽게 확인할 수 있도록 공개해야 합니다. 원칙적인 공개 방법은 위탁자의 인터넷 홈페이지에 지속적으로 게재하는 것입니다. 홈페이지에 게재할 수 없다면 사업장의 보기 쉬운 장소에 게시하는 방법 등 시행령이 정한 방법 중 하나 이상으로 공개해야 합니다. 계약서를 회사 내부에 보관하는 것과 정보주체가 확인할 수 있게 공개하는 것은 별개의 조치입니다.
위탁자는 개인정보가 유출등이 되지 않도록 수탁자를 교육하고 처리 현황 점검 등으로 감독해야 합니다. 수탁자에는 업무를 다시 위탁받은 제3자인 재수탁자도 포함됩니다. 따라서 최초 계약 상대방만 확인하고 실제 업무를 처리하는 재수탁자를 누락하지 않도록 관리할 필요가 있습니다. 교육 내용과 점검 결과를 기록해 두면 문서상 의무가 실제 업무에서 지켜지는지 확인하는 자료로 활용할 수 있습니다.
처리위탁과 제3자 제공을 구별하는 판단 기준
처리위탁인지 제3자 제공인지는 계약서의 명칭보다 실제 정보 이용 목적과 처리 범위에 따라 판단될 수 있습니다. 정보를 받는 업체가 업무 대가를 받는 것 외에 독자적 이익 없이 위탁자의 관리와 감독 아래 맡은 범위에서만 처리한다면 처리위탁으로 판단될 수 있습니다. 외부 업체가 유료 서비스를 제공한다는 사실만으로 곧바로 제3자 제공이 되는 것은 아닙니다.
반면 본래 수집 목적을 넘어 정보를 받는 업체의 업무와 이익을 위해 이전한다면 제3자 제공으로 판단될 수 있습니다. 고객 정보를 업체의 자체 마케팅이나 독자적인 서비스 개선에 이용하도록 허용하는 조항이 있는지 확인할 필요가 있습니다. 같은 업체가 위탁 업무와 자체 업무를 함께 수행한다면 각각 어떤 정보가 어떤 목적으로 처리되는지 구분해야 단순히 위탁이라는 이름으로 정리하는 오류를 피할 수 있습니다.
제3자 제공으로 판단되면 동의, 법정 수집 근거에 따른 수집 목적 범위의 제공, 당초 수집 목적과 합리적으로 관련된 범위에서 대통령령에 따른 동의 없는 제공 중 적용 가능한 근거를 확인해야 합니다. 동의를 근거로 한다면 제공받는 자, 제공받는 자의 이용 목적, 제공하는 정보 항목, 제공받는 자의 보유 및 이용 기간, 동의를 거부할 권리가 있다는 사실과 거부에 따른 불이익이 있으면 그 내용을 알려야 합니다. 해당 사항을 변경할 때에도 알리고 동의를 받아야 하므로 계약 변경 내용과 동의 내용을 대조할 필요가 있습니다.
홍보 업무 위탁과 국외 서버 이용에 따른 추가 요건
홍보 또는 판매 권유 업무를 위탁하면 위탁 업무의 내용과 수탁자를 서면등의 방법으로 정보주체에게 알려야 하며 변경된 경우에도 같습니다. 위탁자가 과실 없이 이 방법으로 알릴 수 없다면 홈페이지에 30일 이상 게재해야 합니다. 홈페이지를 운영하지 않으면 사업장의 보기 쉬운 장소에 30일 이상 게시해야 합니다. 홍보 위탁에는 일반적인 공개 외에 통지 요건도 적용됩니다.
개인정보의 국외 이전은 국외 제공, 처리위탁 및 보관을 포함하며 국외에서 조회되는 경우도 포함합니다. 원칙적으로 금지되지만 국외 이전에 관한 별도 동의나 법률, 조약 또는 국제협정의 특별한 규정이 있으면 허용됩니다. 정보주체와의 계약의 체결 및 이행을 위해 처리위탁이나 보관이 필요한 경우에는 법정 사항을 처리방침에 공개하거나 전자우편 등 대통령령이 정한 방법으로 알리는 경우에도 허용됩니다.
이전받는 자가 개인정보 보호위원회가 정하여 고시하는 인증을 받고 법정 조치를 모두 한 경우도 국외 이전의 근거가 됩니다. 개인정보 보호 안전조치와 정보주체 권리보장 조치, 인증받은 사항을 이전 국가에서 이행하기 위한 조치가 필요합니다. 이전 국가나 국제기구의 보호체계, 권리보장 범위, 피해구제 절차 등이 개인정보 보호법에 따른 보호 수준과 실질적으로 동등하다고 개인정보 보호위원회가 인정한 경우에도 이전할 수 있습니다.
국외 이전의 허용 근거가 있어도 관련 규정 준수와 대통령령이 정하는 보호조치가 필요합니다. 계약 체결 및 이행을 위한 공개나 통지 경로는 처리위탁과 보관에 관한 것이므로 독자적인 제3자 제공의 일반 허용 근거로 확대해서는 안 됩니다. 국외 조회 여부도 확인하고, 허용 근거에 필요한 공개나 동의 절차를 계약 내용과 대조해야 합니다.
수탁자의 목적 외 이용과 재위탁, 유출 시 배상 책임
수탁자는 위탁받은 해당 업무 범위를 초과하여 개인정보를 이용하거나 제3자에게 제공할 수 없습니다. 업무 수행에 필요한 정보를 받았다는 사실이 자체 사업에 자유롭게 이용할 권한을 부여하지는 않습니다. 다른 업체에 개인정보 처리 업무를 다시 위탁하려면 위탁자의 동의를 받아야 합니다. 최초 계약 때 정한 업무와 이후 추가된 업무를 구분해 처리 범위가 달라졌는지 확인할 필요가 있습니다.
수탁자가 위탁받은 업무와 관련하여 개인정보를 처리하는 과정에서 개인정보 보호법을 위반하여 발생한 손해배상책임에 대해서는 수탁자를 개인정보처리자의 소속 직원으로 봅니다. 이 규정은 해당 처리 과정의 법 위반으로 발생한 손해배상책임에 관한 것입니다. 모든 법률관계에서 수탁자가 회사 직원이 된다는 뜻으로 확대해서는 안 됩니다. 외부 업체가 처리했다는 사정만으로 맡긴 회사의 책임이 배제되는 것도 아닙니다.
정보주체는 개인정보처리자의 법 위반 행위로 손해를 입으면 손해배상을 청구할 수 있습니다. 개인정보처리자는 고의 또는 과실이 없음을 입증하지 않으면 책임을 면할 수 없습니다. 따라서 실제 위반 행위와 손해 발생을 확인하는 것 외에 회사가 어떤 관리 조치를 했는지도 검토해야 합니다. 위탁 계약서에 책임 분담을 적는 것과 별도로 수탁자 교육 및 처리 현황 점검을 이행하고 그 기록을 갖출 필요가 있습니다.
외부 서비스 도입 전 계약서와 처리방침 점검 사항
외부 서비스 도입 전에는 업체의 이용 목적과 실제 처리 업무를 계약서 및 개인정보 처리방침과 대조해야 합니다. 업체가 회사의 업무만 처리하는지, 고객 정보를 자체 목적에도 쓰는지를 확인해야 위탁과 제공을 구별할 수 있습니다. 서비스 설명에 위탁이라는 표현이 있어도 실제 계약 조항에서 독자적 이용을 허용하는지 살펴야 합니다. 정보 이용 목적에 맞는 근거를 확인한 다음 문서와 공개 내용을 준비해야 합니다.
위탁 계약서에는 목적 외 처리 금지와 보호조치뿐 아니라 목적과 범위, 재위탁 제한, 접근 제한, 감독, 의무 위반 책임을 구체적으로 담아야 합니다. 개인정보 처리방침에는 해당되는 경우 처리위탁에 관한 사항을 정하고, 업무 내용과 수탁자를 홈페이지에 지속적으로 게재하되 게재할 수 없으면 시행령이 정한 다른 방법으로 공개해야 합니다. 재수탁자가 있다면 관련 정보와 재위탁 동의 절차도 함께 확인해야 실제 처리 주체가 공개 내용에서 누락되지 않습니다.
서버 소재지와 국외 조회 여부, 적용할 국외 이전 근거, 홍보 업무 위탁 여부도 별도로 점검할 필요가 있습니다. 계약 변경이나 업체의 업무 변경이 생기면 기존의 공개 및 동의 내용과 맞는지 다시 대조해야 합니다. 교육과 감독은 도입 당시의 계약 검토로 끝나지 않으므로 처리 현황과 점검 기록을 관리해야 합니다. 처리방침과 정보주체와의 계약 내용이 다르면 정보주체에게 유리한 것을 적용한다는 점도 확인해야 합니다.
자주 묻는 질문
고객의 동의 없이도 외부 업체에 고객 개인정보 처리를 맡길 수 있습니까?
개인정보 보호법상 회사가 자기 업무를 처리하기 위해 외부 업체에 개인정보 처리를 맡기는 처리위탁은 정보주체의 동의를 따로 받지 않아도 할 수 있습니다. 다만 법정 사항을 담은 문서로 위탁하고 위탁 업무의 내용과 수탁자를 공개해야 하며, 업체가 정보를 자기 업무와 이익을 위해 쓰는 경우에는 제3자 제공으로 판단될 수 있어 동의 등 법정 제공 근거가 필요합니다. 서버가 국외에 있다면 국외 이전 요건도 따로 갖추어야 합니다.
업체가 맡겨 받은 고객 정보를 자기 서비스 개선이나 마케팅에도 쓴다면 처리위탁으로 볼 수 있습니까?
업체의 독자적 업무와 이익을 위한 이용이라면 제3자 제공으로 판단될 수 있습니다. 동의, 법정 수집 근거에 따른 수집 목적 범위의 제공, 당초 수집 목적과 합리적으로 관련된 범위에서 대통령령에 따른 동의 없는 제공 중 적용 가능한 근거가 필요합니다. 계약 이행에 필요하다는 이유만으로 제공할 수는 없으며, 수탁자는 위탁 업무 범위를 초과하여 이용하거나 제3자에게 제공할 수 없습니다.
해외 클라우드 서버에 고객 정보를 보관하는 것도 국외 이전으로 볼 수 있습니까?
국외 서버에 개인정보를 보관하는 것도 개인정보 보호법상 국외 이전에 포함됩니다. 국외 이전은 원칙적으로 금지되며, 별도 동의 등 법정 허용 근거가 필요합니다. 정보주체와의 계약의 체결 및 이행을 위해 처리위탁이나 보관이 필요하고 법정 사항을 처리방침에 공개하거나 대통령령 방법으로 알린 경우에도 허용되지만, 관련 규정 준수와 대통령령에 따른 보호조치를 해야 합니다.
수탁 업체는 위탁한 회사의 동의 없이 다른 업체에 업무를 다시 맡길 수 있습니까?
개인정보 처리 업무를 재위탁하려면 위탁자의 동의를 받아야 합니다. 재수탁자도 개인정보 보호법상 수탁자에 포함되므로 업무 범위를 초과한 이용이나 제3자 제공을 할 수 없습니다. 위탁 문서에는 재위탁 제한 사항을 포함하고 실제 업무를 다시 맡기는 절차와 동의 여부를 확인해야 합니다.
수탁 업체의 잘못으로 개인정보가 유출되면 맡긴 회사도 배상 책임을 질 수 있습니까?
수탁자가 위탁 업무와 관련하여 개인정보를 처리하는 과정에서 개인정보 보호법을 위반하여 발생한 손해배상책임에 대해서는 수탁자를 개인정보처리자의 소속 직원으로 봅니다. 정보주체는 법 위반 행위로 손해를 입으면 배상을 청구할 수 있고, 개인정보처리자는 고의 또는 과실이 없음을 입증하지 않으면 면책되지 않습니다. 위탁자는 수탁자 교육과 처리 현황 점검 등 감독도 이행해야 합니다.
