가명정보를 다루다 보면 실무에서 자주 나오는 질문이 있습니다.

 

"수탁자가 위탁받은 가명정보를 활용해서 자체 연구나 통계 분석을 해도 될까요 ?"

"가명정보 특례에 따라 개인의 동의없이 이용하려는데, 안 될 이유가 있나요 ?"

 

결론부터 말하면 허용되지 않습니다.

 

가명정보라고 하더라도 개인정보 보호법상 개인정보의 한 형태입니다. 따라서 수탁자는 개인정보처리자로부터 위탁받은 업무 범위 안에서만 가명정보를 처리할 수 있습니다.

개인정보 보호법 제26조 제5항은 수탁자가 위탁받은 해당 업무 범위를 초과하여 개인정보를 이용하거나 제3자에게 제공해서는 안 된다고 규정하고 있습니다. 또한 수탁자에게도 가명정보 관련 규정이 준용됩니다.

 

즉, 수탁자가 가명처리 업무를 맡았다고 해서 그 가명정보를 자유롭게 활용할 수 있는 것은 아닙니다.

 

쇼핑몰에서 물건을 결제할때, 쇼핑몰에서는 PG사와 결제위탁업무 계약을 맺고, PG사는 결제처리를 진행하게 됩니다. 이 과정에서 고객의 정보를 가명처리하여 사용하는것이 안된다는 의미가 됩니다. 결제된 상품을 배송하기 위해 쇼핑몰과 배송업체간 물류 배송 위탁업무 체결을 하게 되는데, 이때에도 배송업체에서 수집한 고객정보를 가명처리하는것은 배송업체가 쇼핑몰로부터 위탁받은 업무 범위를 벗어난 처리에 해당됩니다.

 

 

수탁자의 역할은 어디까지일까요?

수탁자는 말 그대로 위탁자가 맡긴 업무를 대신 수행하는 자입니다.

예를 들어 위탁자가 수탁자에게 다음과 같은 업무를 맡겼다고 가정해보겠습니다.

“보유 중인 고객 데이터를 가명처리해 주세요.”

이 경우 수탁자의 역할은 고객 데이터를 안전하게 가명처리하고, 그 결과를 위탁자에게 제공하는 것까지입니다.

그런데 수탁자가 이렇게 생각한다면 문제가 됩니다.

 

“이 데이터가 가명처리됐으니 우리 회사의 AI 모델 개발에도 활용해볼까?”

“통계 분석 자료로 만들어서 다른 고객사 제안서에 활용해 볼까?”

“다른 기관에 제공해서 공동 연구에 써볼까?”

이런 행위는 위탁자가 맡긴 업무 범위를 벗어나는 것입니다.

 

가명정보 처리 특례가 있어도 마음대로 쓸 수는 없습니다

개인정보 보호법은 통계작성, 과학적 연구, 공익적 기록보존 등을 위해 일정한 요건 아래 가명정보를 활용할 수 있도록 하고 있습니다.

하지만 이 특례는 개인정보처리자가 적법한 목적과 책임 아래 가명정보를 처리하는 경우를 전제로 합니다.

수탁자는 위탁자의 지시에 따라 업무를 수행하는 위치에 있으므로, 위탁 목적과 무관하게 자체적인 목적을 내세워 가명정보 처리 특례를 활용할 수 없습니다. 가명정보처리가이드라인(26.3.31)에서도 수탁자는 위탁받은 업무 범위 내에서만 개인정보와 가명정보를 처리할 수 있고, 자체 목적을 위해 가명정보 처리 특례를 활용할 수 없다고 정리하고 있습니다.

 

실무에서 특히 조심해야 할 부분

가명정보 처리 위탁계약을 체결할 때는 단순히 “가명처리 업무를 위탁한다”라고만 쓰기보다, 다음 내용을 명확히 해두는 것이 좋습니다.

첫째, 수탁자가 수행할 업무의 목적과 범위를 구체적으로 적어야 합니다.

예를 들어 “가명처리 수행”, “가명처리 결과 검증”, “분석 환경 운영” 등으로 업무 범위를 구분할 수 있습니다.

둘째, 수탁자가 위탁 목적 외로 가명정보를 이용하거나 제3자에게 제공하지 못하도록 계약서에 명시해야 합니다.

셋째, 가명정보와 추가정보의 분리 보관, 접근권한 관리, 처리기록 작성, 파기 절차 등 안전조치도 함께 정해야 합니다.

넷째, 재위탁이 필요한 경우에는 반드시 위탁자의 사전 동의를 받도록 해야 합니다. 개인정보 보호법 제26조 제6항도 수탁자가 제3자에게 다시 위탁하려면 위탁자의 동의를 받아야 한다고 규정하고 있습니다.

 

한 줄로 정리하면

수탁자는 가명정보를 ‘맡은 업무 범위 안에서만’ 처리할 수 있습니다.

가명정보라고 해서 수탁자가 자체 연구, 자체 분석, 자체 서비스 개발에 자유롭게 활용할 수 있는 것은 아닙니다.

가명정보 활용의 핵심은 “활용 가능성”이지만, 그보다 먼저 확인해야 할 것은 처리 주체의 권한과 목적의 적법성입니다.

따라서 가명정보 처리 업무를 위탁하거나 수탁받는 경우에는 계약서에 업무 범위, 목적 외 이용 금지, 재제공 금지, 재식별 금지, 안전조치, 파기 의무를 명확히 반영하는 것이 중요합니다.