홈페이지 유지보수, 택배 배송, 고객 상담을 외부 업체에 맡기면서 고객 정보를 넘기면 개인정보 보호법 제26조의 업무위탁에 해당할 수 있습니다. 이 경우 회사는 법이 정한 사항을 담은 문서로 계약해야 합니다. 위탁 업무 내용과 수탁자는 홈페이지에 계속 공개해야 합니다. 상담 업체가 상품 안내나 판매 권유까지 맡으면 고객에게 따로 알릴 의무가 더해집니다.
핵심 요약
- 위탁 계약서에는 목적 외 처리 금지, 보호조치, 위탁 목적·범위, 재위탁 제한, 안전성 확보조치, 감독, 손해배상 책임 등 7가지를 적습니다.
- 위탁 업무 내용과 수탁자(재수탁자 포함)는 회사 홈페이지에 지속적으로 게재하는 것이 원칙입니다.
- 홍보·판매 권유 업무를 맡기면 고객에게 서면 등으로 알리고, 계약 뒤에도 교육과 점검으로 수탁자를 감독합니다.
홈페이지 관리·택배·상담 대행은 언제 위탁에 해당하나요
위탁은 회사의 업무를 외부 업체가 대신하면서 그 과정에서 고객 정보를 처리하는 구조입니다. 수탁자(업무를 맡은 업체)는 위탁받은 범위를 넘어 정보를 이용하거나 제3자에게 제공할 수 없습니다(제26조 제5항).
업체가 받은 정보를 자기 영업에 쓰는 구조라면 위탁이 아니라 제3자 제공의 문제가 됩니다. 개인정보 처리방침에서도 제3자 제공과 위탁은 서로 다른 항목입니다(제30조 제1항 제3호·제4호).
세 가지 업무를 예로 들면 아래와 같습니다. 실제 판단은 계약 내용과 업체가 정보에 접근하는 방식에 따라 달라집니다.
| 업무 | 업체가 다루는 정보(예시) | 먼저 확인할 점 |
|---|---|---|
| 홈페이지 유지보수 | 회원 정보, 문의 양식 접수 내역 | 관리자 계정이나 데이터베이스 접근 권한을 받는지 |
| 택배 배송 | 받는 사람 이름, 주소, 연락처 | 주문 정보를 어떤 경로로 넘기고, 배송 뒤 어떻게 처리하는지 |
| 고객 상담 대행 | 이름, 연락처, 주문·상담 내역 | 단순 응대만 하는지, 상품 안내·판매 권유까지 하는지 |
위탁 계약서에는 어떤 항목이 들어가야 하나요
개인정보 보호법 제26조 제1항은 위탁을 문서로 하고, 정해진 내용을 넣도록 합니다. 법률에 두 가지가 있습니다. 나머지 다섯 가지는 개인정보 보호법 시행령 제28조 제1항에 있습니다.
| 기재 사항 | 근거 | 계약서 문안 예시 |
|---|---|---|
| 위탁업무 수행 목적 외 처리 금지 | 법 제26조 제1항 제1호 | 수탁자는 이 계약에 적은 업무 외에 개인정보를 처리하지 않는다. |
| 기술적·관리적 보호조치 | 법 제26조 제1항 제2호 | 수탁자는 접근 권한 관리, 접속 기록 보관 등 보호조치를 이행한다. |
| 위탁업무의 목적 및 범위 | 시행령 제28조 제1항 제1호 | 배송 업무에 필요한 이름·주소·연락처만 처리한다. |
| 재위탁 제한 | 시행령 제28조 제1항 제2호 | 다시 위탁하려면 위탁자의 사전 서면 동의를 받는다. |
| 접근 제한 등 안전성 확보 조치 | 시행령 제28조 제1항 제3호 | 지정된 담당자만 접근하고, 담당자 목록을 위탁자에게 제출한다. |
| 관리 현황 점검 등 감독 | 시행령 제28조 제1항 제4호 | 위탁자는 처리 현황을 점검할 수 있고, 수탁자는 이에 협조한다. |
| 손해배상 등 책임 | 시행령 제28조 제1항 제5호 | 수탁자가 의무를 위반해 생긴 손해는 수탁자가 배상한다. |
표의 문안은 예시이며, 실제 계약서는 업무 범위에 맞게 고칩니다. 이 내용을 담은 문서로 위탁하지 않으면 1천만원 이하의 과태료 대상입니다(제75조 제4항 제4호).
기존 용역 계약서에 개인정보 조항이 없다면, 실무에서는 별도 합의서나 부속 문서로 덧붙이는 방법을 검토합니다. 택배·상담처럼 업체가 정한 약관으로 계약했다면 약관에 위 항목이 있는지 먼저 대조합니다.
위탁 사실은 어디에, 무엇을 공개하나요
위탁자는 위탁하는 업무의 내용과 수탁자를 정보주체가 언제든지 쉽게 확인하도록 공개해야 합니다. 이때 수탁자에는 재위탁받은 업체도 포함됩니다(제26조 제2항).
원칙은 회사 홈페이지에 지속적으로 게재하는 방법입니다(시행령 제28조 제2항). 개인정보 처리방침에도 「개인정보처리의 위탁에 관한 사항」을 해당하는 경우에 적습니다(제30조 제1항 제4호).
홈페이지에 게재할 수 없으면 아래 방법 중 하나 이상으로 공개합니다(시행령 제28조 제3항).
| 방법 | 내용 |
|---|---|
| 사업장 게시 | 사업장 등의 보기 쉬운 장소에 게시 |
| 신문 게재 | 사업장이 있는 시·도 이상 지역을 주된 보급지역으로 하는 일반일간신문·일반주간신문·인터넷신문에 게재 |
| 정기 간행물 | 같은 제목으로 연 2회 이상 발행해 배포하는 간행물·소식지·홍보지·청구서에 지속 게재 |
| 계약서 발급 | 재화·서비스 제공을 위해 작성한 계약서 등에 실어 정보주체에게 발급 |
공개하지 않으면 1천만원 이하의 과태료 대상입니다(제75조 제4항 제5호).
법이 정한 최소 항목은 업무 내용과 수탁자입니다. 공공기관 공개 예시는 여기에 항목을 더합니다. 예를 들어 법무부는 2025년 7월 공지에서 위탁업무, 수탁기관, 위탁내용, 위탁기간, 취급인원과 안전성 확보조치를 밝혔습니다.
개인정보 포털 개인정보 처리방침은 위탁 내용이나 수탁자가 바뀌면 지체 없이 처리방침으로 공개한다고 밝힙니다. 택배사를 바꾸거나 상담 업체를 추가하는 날 공개 표도 함께 고칩니다.
상담 업체가 상품 안내까지 하면 무엇이 달라지나요
재화나 서비스를 홍보하거나 판매를 권유하는 업무를 맡기면 공개만으로 끝나지 않습니다. 위탁 업무 내용과 수탁자를 정보주체에게 알려야 하고, 바뀔 때도 다시 알립니다(제26조 제3항).
알리는 방법은 서면 등입니다(시행령 제28조 제4항). 과실 없이 이 방법으로 알릴 수 없으면 홈페이지에 30일 이상 게재합니다. 홈페이지가 없으면 사업장 등 보기 쉬운 장소에 30일 이상 게시합니다(같은 조 제5항).
알려야 할 사항을 알리지 않으면 3천만원 이하의 과태료 대상입니다(제75조 제2항 제12호). 상담 대행 계약에 재구매 안내나 신상품 소개 전화가 들어 있는지 먼저 확인합니다.
공개(제26조 제2항)
- 대상: 개인정보 처리 업무를 맡기는 모든 위탁
- 방법: 홈페이지 지속 게재가 원칙
- 시점: 위탁하는 동안 계속
고지(제26조 제3항)
- 대상: 홍보·판매 권유 업무 위탁
- 방법: 서면 등으로 정보주체에게 알림
- 시점: 위탁할 때와 업무 내용·수탁자가 바뀔 때
계약 뒤에는 수탁자를 어떻게 관리하나요
위탁자는 개인정보가 유출되거나 훼손되지 않도록 수탁자를 교육하고, 처리 현황을 점검하는 등 감독해야 합니다(제26조 제4항). 감독 범위는 수탁자가 법령상 처리자 의무와 계약서 기재 사항을 지키는지입니다(시행령 제28조 제6항).
수탁자가 다른 업체에 다시 맡기려면 위탁자의 동의를 받아야 합니다(제26조 제6항). 동의 없이 다시 위탁한 자는 2천만원 이하의 과태료 대상입니다(제75조 제3항 제1호).
수탁자가 법을 위반해 생긴 손해배상에서는 수탁자를 위탁자의 소속 직원으로 봅니다(제26조 제7항). 업체의 잘못이 회사 책임으로 이어질 수 있으므로 교육과 점검 기록을 남깁니다.
1단계 · 위탁 범위 확정
업체에 넘길 정보 항목과 접근 방식을 정합니다. 업무에 필요 없는 항목을 빼면 끝납니다.
2단계 · 문서로 계약
7가지 기재 사항이 계약서나 부속 문서에 모두 들어갔는지 확인합니다.
3단계 · 공개와 고지
처리방침 위탁 표를 고칩니다. 홍보·판매 권유 업무라면 고객에게 서면 등으로 알립니다.
4단계 · 교육과 점검
수탁자 교육과 처리 현황 점검을 하고, 날짜와 결과를 기록합니다.
5단계 · 종료 처리
계약이 끝나면 계약서에 정한 방식대로 정보가 처리됐는지 확인하고, 공개 표에서 업체를 뺍니다.
이럴 때는 전문 기관에 먼저 확인합니다
- 업체가 받은 고객 정보를 자기 상품 홍보 등 자기 목적으로도 쓰겠다고 할 때
- 고객 정보가 해외 업체나 해외 서버로 넘어가는 구조일 때
- 수탁자 쪽에서 유출이 의심될 때. KISA 118 상담과 수사기관 신고를 함께 검토합니다.
정리
- 고객 정보를 다루는 외부 업체를 모두 적고, 업무·처리 정보·재수탁자 여부를 표로 정리합니다.
- 계약서마다 7가지 기재 사항이 있는지 확인하고, 빠진 항목은 부속 문서로 보완합니다.
- 개인정보 처리방침의 위탁 절에 업무 내용과 수탁자를 게재하고, 업체가 바뀌는 날 함께 고칩니다.
- 상담 업체가 홍보·판매 권유를 맡으면 고객에게 서면 등으로 알리는 절차를 만듭니다.
- 수탁자 교육과 처리 현황 점검 일정을 정하고, 결과를 기록합니다.
참고 자료
- 국가법령정보센터 — 개인정보 보호법 제26조(업무위탁에 따른 개인정보의 처리 제한)
- 국가법령정보센터 — 개인정보 보호법 시행령 제28조(개인정보의 처리 업무 위탁 시 조치)
- 국가법령정보센터 — 개인정보 보호법 제30조(개인정보 처리방침의 수립 및 공개)
- 국가법령정보센터 — 개인정보 보호법 제75조(과태료)
- 개인정보보호위원회 — 개인정보 포털 개인정보 처리방침
- 법무부 — 개인정보처리 업무 위탁 알림(2025.07.17)