안녕하세요.

오늘은 가명정보 처리 업무 위탁에 대해 조금 쉽게 풀어보려고 합니다.

실무를 하다 보면

“가명정보는 이름이나 사진을 바로 알 수 없게 만든 정보니까, 외부에 맡겨도 일반 개인정보 보다는 덜 엄격한 것 아닐까?”

이렇게 생각하시는 경우가 있습니다.

 

 

그런데 실제로는 그렇지 않습니다.

가명정보도 개인정보 보호법상 여전히 개인정보에 해당하기 때문에, 이를 외부에 맡기는 경우에는 개인정보 처리업무 위탁 기준을 함께 지켜야 합니다. 즉, 계약서 작성부터 수탁자 관리, 안전조치, 재식별 금지까지 꼼꼼하게 챙겨야 합니다.

 

● 가명정보 처리 업무 위탁이란?

가명정보 처리 업무 위탁은 말 그대로, 기관이나 기업이 직접 하던 가명처리 관련 업무를 외부 전문업체나 수탁자에게 맡기는 것을 말합니다.

예를 들어, 보유 중인 데이터를 외부 전문기관에 맡겨 가명처리하게 하거나,

비정형 텍스트 데이터에서 개인정보를 탐지·삭제하는 작업을 맡기거나,

가명정보 분석 환경 운영이나 검수 업무를 외부에 맡기는 경우가 여기에 해당할 수 있습니다.

 

즉, 단순히 자료를 전달하는 수준이 아니라, 개인정보 처리업무의 일부를 외부가 대신 수행하는 구조라면 위탁으로 볼 가능성이 높습니다. 그리고 이런 경우에는 개인정보보호법 제26조에 따라 일정한 사항이 포함된 문서로 위탁계약을 해야 합니다.

 

● 왜 더 주의해야 할까요?

가명정보는 직접적으로 누군지 바로 알아보기 어렵도록 처리한 정보이지만, 그렇다고 해서 완전히 자유롭게 다뤄도 되는 정보는 아닙니다.

 

가명정보는 처리 과정에 따라 추가정보와 결합되거나, 다른 정보와 연계될 경우 특정 개인이 다시 식별될 가능성이 생길 수 있습니다. 그래서 법에서는 가명정보를 처리할 때 추가정보의 분리 보관, 안전성 확보조치, 기록 작성·보관 같은 의무를 두고 있습니다.

 

특히 외부 위탁이 들어가면

“누가 이 정보를 다루는지”,

“원본정보나 추가정보에 접근할 수 있는지”,

“혹시 다시 다른 곳에 맡기는 건 아닌지”,

“문제가 생겼을 때 누가 책임지는지”

이런 부분을 더 명확하게 정리해둘 필요가 있습니다.

 

● 위탁계약서에는 어떤 내용이 들어가야 할까요?

개인정보 보호법 제26조는 위탁계약 문서에 꼭 들어가야 할 기본 내용을 정하고 있습니다. 실무에서는 여기에 가명정보 특성을 반영해 조금 더 구체적으로 적는 경우가 많습니다.

1. 목적 외 처리 금지

가장 기본이 되는 부분입니다.

수탁자는 맡은 업무 범위를 넘어 가명정보를 사용하거나, 다른 목적으로 활용하면 안 됩니다.

처음 맡긴 목적 외의 분석, 재사용, 임의 가공은 금지되어야 합니다.

2. 안전조치에 관한 사항

가명정보를 안전하게 처리하기 위한 보호조치도 계약서에 담아야 합니다.

예를 들면 접근권한 관리, 보안서약, 저장자료 보호, 안전한 분석환경 운영, 로그기록 관리 등이 여기에 포함될 수 있습니다. 가명정보는 특히 추가정보와 분리 보관하고, 필요 시 접근권한도 분리해 관리해야 합니다.

3. 재위탁 제한

수탁자가 다시 다른 업체나 제3자에게 같은 업무를 넘기려면, 원칙적으로 위탁자의 통제가 필요합니다.

현행 법은 수탁자가 재위탁하려는 경우 위탁자의 동의를 받도록 정하고 있어서, 계약서에도 이 부분을 분명히 넣어두는 것이 중요합니다.

4. 관리·감독에 관한 사항

위탁자는 계약만 체결하고 끝나는 것이 아니라, 수탁자가 실제로 안전하게 처리하고 있는지 확인하고 감독해야 합니다.

교육이 이루어졌는지, 접근권한이 적절한지, 처리기록이 남는지, 재식별 금지 의무를 지키는지 등을 점검할 수 있어야 합니다.

5. 손해배상 등 책임에 관한 사항

문제가 발생했을 때 책임을 어떻게 나눌지, 사고 발생 시 어떤 절차로 통지하고 조치할지를 계약에 담아두는 것도 중요합니다. 법은 “그 밖에 개인정보의 안전한 관리를 위하여 대통령령으로 정한 사항”을 포함하도록 하고 있고, 실무적으로는 책임·손해배상 조항까지 함께 정리하는 것이 일반적입니다.

 

● 가명정보 위탁에서 특히 더 중요하게 보는 부분

가명정보 처리 업무 위탁은 일반적인 위탁과 비슷해 보이지만, 실제로는 몇 가지 포인트가 더 중요하게 다뤄집니다.

▶ 재식별 금지

가명정보를 다른 정보와 결합해서 다시 특정 개인을 알아보려는 시도는 금지됩니다.

그래서 계약서에는 재식별 금지, 재식별 가능성이 발생했을 때 즉시 통지, 필요한 경우 처리 중단 같은 내용이 함께 들어가는 것이 바람직합니다. 가명정보 보호의 핵심이라고 봐도 좋습니다.

▶ 가명정보와 추가정보의 분리

가명정보 자체보다도, 복원 가능성을 높이는 추가정보를 어떻게 관리하느냐가 굉장히 중요합니다.

법은 원래 상태로 복원하기 위한 추가정보를 별도로 분리해 보관·관리하도록 하고 있고, 시행령 수준의 안내에서도 가명정보와 추가정보에 대한 접근권한 분리를 강조하고 있습니다.

▶ 처리기록 작성·보관

가명정보는 단순히 처리만 하고 끝나는 것이 아니라, 무엇을 왜 처리했는지, 어떤 항목을 가명처리했는지, 누가 이용했는지, 얼마 동안 처리했는지 같은 내용을 기록으로 남겨야 합니다. 위탁 구조에서는 이 기록이 나중에 책임소재와 적정성 판단의 근거가 되기 때문에 더 중요합니다.

 

● 실무에서 자주 놓치는 부분

실무에서는 계약서를 잘 작성해 놓고도 실제 운영이 느슨한 경우가 있습니다.

그런데 정말 중요한 건 문서 한 장보다 실제 운영 방식입니다.

예를 들어,

수탁자 취급자 명단이 실제로 관리되고 있는지,

원본정보 접근권한과 가명정보 접근권한이 분리되어 있는지,

반출·반입 절차가 형식적으로만 존재하는 것은 아닌지,

위탁 종료 후 데이터 파기 확인까지 되는지,

이런 부분이 함께 갖춰져야 위탁 관리가 제대로 되고 있다고 볼 수 있습니다.

 

마무리하며

가명정보 처리 업무를 외부에 맡긴다는 것은 단순히 일을 나누는 문제가 아니라,

법적 책임과 보호조치를 함께 나누는 구조를 설계하는 일에 가깝습니다.

 

그래서 외부 위탁이 필요한 경우에는

“계약서만 쓰면 되겠지”가 아니라,

어떤 범위까지 맡길 것인지,

어떤 보호조치를 요구할 것인지,

재식별 위험은 어떻게 통제할 것인지,

사후 점검은 어떻게 할 것인지

이런 부분까지 함께 살펴보는 것이 중요합니다.

결국 가명정보 활용은 안전하게 다룰 수 있을 때 더 넓게 활용될 수 있는 제도이기 때문에, 위탁 단계부터 기준을 분명히 세워두는 것이 가장 좋은 출발점이라고 볼 수 있습니다.