기업이나 공공기관이 업무를 효율적으로 수행하기 위해 외부 업체와 특정 업무를 위탁하는 것은 흔한 일입니다. 예륻들어, 콜센터 운영, 서버 유지보수, 고객 사은품 배송 등이 이에 해당됩니다. 하지만, 위탁업체가 개인정보를 처리하게 되면, 정보 주체의 권리가 침해될 위험이 있습니다. 그래서 개인정보보호법 제26조(업무위탁에 따른 개인정보의 처리 제한)는 개인정보 처리 위탁시 개인정보 처리 제한과 관리 감독 의무를 명확히 하고 있습니다.

 

개인정보보호법 제26조(업무위탁에 따른 개인정보의 처리 제한) ① 개인정보처리자가 제3자에게 개인정보의 처리 업무를 위탁하는 경우에는 다음 각 호의 내용이 포함된 문서로 하여야 한다. <개정 2023. 3. 14> 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항 개인정보의 기술적 · 관리적 보호조치에 관한 사항 그 밖에 개인정보이 안전한 관리를 위하여 대통령령으로 정한 사항

 

개인정보 처리 위탁시 수탁자의 관리 감독시 반드시 지켜야 할 실무 체크 포인트

정기적으로 처리 현황 점검

보안 교육 실시

위탁 계약 위반시 조치 방안 마련

누구에게 어떤 업무를 위탁하였는지 개인정보처리방침 (홈페이지)에 내용을 공개

 

 

위탁업무에서 자주 발생하는 문제점

수탁업체가 계약 외 목적으로 개인정보를 무단 사용

재위탁 사실을 숨김

파기하지 않고 장기보관

이런 사례는 법적 책임과 함께 신뢰도 하락으로 이어질 수 있으므로 위탁업체 관리가 중요합니다.

 

가명정보를 위탁할 경우에는 어떻게 해야 하는가?

가명정보는 원칙적으로 추가정보와 분리하여 보관하고 목적외 사용을 금지하는것이 핵심입니다. 가명정보 위탁시에도 수탁자가 가명정보를 목적 범위 내에서만 처리하고, 재식별이 발생할 경우 바로 보고하여 해당 가명정보를 파기할 수 있도록 해야 합니다.

가명정보를 재식별하는 행위는 위탁받아 처리하는 처리자의 법적 책임이 따른다는 보안서약서를 작성한 후 가명정보 처리가 되도록 해야 합니다.

 

개인정보 내부관리계획에 위탁에 관한 사항 포함

위탁업무 관리대장 작성

위탁계약서와 증빙 자료 3년 이상 보관

위탁업무 현황을 정기적으로 갱신하여 공시

 

개인정보 처리 업무 위탁시 문서화

위탁업무 수행 목적 외 개인정보의 처리 금지

개인정보의 기술적 관리적 보호조치

위탁업무의 목적 및 범위

재위탁 제한

개인정보에 대한 접근 제한 등 안전성 확보 조치

위탁업무와 관련하여 보유하고 있는 개인정보의 관리 현황 점검 등의 감독

수탁자가 준수하여야 할 의무를 위반한 경우의 손해배상 등의 책임

 

개인정보 처리 위탁은 편리하지만, 정보주체 권리를 지키기 위해서는 처리 제한과 관리감독이 필수입니다.

위탁업무의 개인정보 처리 제한 원칙을 지켜 신뢰받는 데이터 관리 체계를 운영하여야 합니다.