개인정보 위·수탁 계약과 수탁자 관리·감독 의무 – 과징금 리스크 점검 기준
Article posted in 2026-07-23 16:20:31 | VEAT
기업이 배송, 고객상담, 결제, 문자 발송, 서버 운영 등 개인정보 처리업무를 외부 업체에 맡기는 경우에는 위·수탁 계약 체결과 함께 수탁자의 실제 개인정보 처리 현황을 지속적으로 관리해야 합니다.
「개인정보 보호법」 제26조는 위탁자가 수탁자를 교육하고, 개인정보 처리 현황을 점검하는 등 개인정보가 안전하게 처리되는지를 감독하도록 정하고 있습니다.
개인정보 위·수탁 계약서에 포함할 사항
개인정보 위·수탁 계약서에는 다음 사항을 구체적으로 반영하는 것이 중요합니다.
• 위탁업무의 목적과 범위
• 목적 외 개인정보 이용 금지
• 개인정보의 안전성 확보조치
• 재위탁 제한
• 수탁자에 대한 관리·감독 방법
• 위탁업무 종료 후 개인정보의 반환·파기
• 의무 위반에 따른 손해배상책임
특히 수탁자가 다른 사업자에게 업무를 다시 맡기거나 국외 클라우드 환경에서 개인정보를 처리하는 경우에는 재위탁 승인 절차와 개인정보 국외 이전 요건도 함께 검토해야 합니다.
수탁자 관리·감독은 계약서 작성만으로 마무리되지 않습니다. 계약 전에는 수탁자의 접근통제 체계와 개인정보 저장 장소를 확인하고, 계약 수행 중에는 접근권한, 접속기록, 외부 반출, 재위탁 및 사고 대응체계를 점검할 수 있습니다. 업무 종료 후에는 자료미보유확약서와 함께 노트북, 외장 저장장치, 서버 및 백업자료에 개인정보가 남아 있는지도 확인하는 것이 바람직합니다.
개인정보보호위원회는 2026년 5월 수탁업체가 개인정보 약 57만 5천 건을 자체 저장장치에 장기간 보관하다가 유출한 사안에서, 수탁업체의 안전조치의무뿐 아니라 위탁기관의 관리·감독 책임도 함께 살펴보았습니다. 위탁기관이 자료미보유확약서를 제출받았더라도 실제 저장매체의 개인정보 잔존 여부를 확인하지 않은 점이 문제된 것입니다.
관리·감독 소홀에 따른 과징금 위험
현행 「개인정보 보호법」 제64조의2는 위탁자가 교육이나 관리·감독을 소홀히하여 수탁자가 법을 위반한 경우 전체 매출액의 100분의 3을 초과하지 않는 범위에서 과징금을 부과할 수 있도록 정하고 있습니다. 수탁자 역시 위반행위의 유형에 따라 과징금이나 과태료 등의 제재를 받을 수 있으므로, 계약상 책임 분담과 별도로 각 당사자의 법정 의무를 확인해야 합니다.
법무법인 비트 개인정보센터 리걸튠은 개인정보 처리업무의 위탁 구조와 실제 정보 흐름을 함께 분석하여 위·수탁계약서, 수탁자 점검 기준, 개인정보취급자 교육자료 및 내부 관리문서를 검토합니다.