개인 정보 처리 위탁 계약서 필수사항｜위탁계약 필수 조항·법적 기준·실무 체크리스트 총정리

이 포스팅은 쿠팡 파트너스 활동의 일환으로, 이에 따른 일정액의 수수료를 제공받습니다.

‘개인 정보 처리 위탁 계약서 필수사항’은 다른 회사(수탁자)에게 개인 정보 처리를 맡길 때 반드시 계약서에 넣어야 하는 항목들을 의미합니다. 이 글을 통해 개인 정보 처리 위탁의 기본 구조, 필수 기재사항, 빠지기 쉬운 위험 포인트, 형사·행정 책임, 실제 계약서 작성 시 실무 팁까지 정리해 설명하겠습니다.

1. 개인 정보 처리 위탁 계약서 필수사항 개요

1-1. ‘개인 정보 처리 위탁’이란?

정의

개인 정보 처리자가 제3자(외주 업체 등)에게

등 개인 정보를 실제로 수집·보관·이용·파기하는 업무를 맡기는 것

예시

쇼핑몰 → 물류 업체에 주문·배송 정보 전달
병원 → 영상의학 판독 업체에 영상자료 전달
학원 → 문자발송 업체에 학생·학부모 연락처 전달

1-2. 왜 ‘위탁 계약서’가 중요한가

법적 근거

개인정보보호법 제26조(업무위탁에 따른 개인 정보의 처리 제한)

이유

실제 유출·사고는 위탁 업체(콜센터, 개발사, 마케팅대행사)에서 빈번
위탁 업체의 잘못이라도, 위탁한 쪽(발주사)가 함께 책임을 지는 구조

핵심 포인트

계약서 없이 위탁 진행 → 위법 가능성 매우 높음
필수사항 누락 → 감독기관 점검 시 과태료·시정명령, 손해배상, 형사 책임 리스크

2. 개인 정보 처리 위탁 시 꼭 알아야 할 법적 기본 구조

2-1. “제공” vs “위탁”의 차이

위탁 계약서를 제대로 쓰려면, 우선 이 개념을 구분해야 합니다.

구분	개인 정보 제공(제3자 제공)	개인 정보 처리 위탁
개념	개인 정보를 넘겨주고 상대방이 자기 목적을 위해 사용	개인 정보를 넘겨주지만 위탁자의 목적 수행을 위해서만 사용
예시	제휴사에 고객 정보 넘겨 제휴사가 자체 마케팅	문자 발송 대행, 콜센터 운영, 서버 유지보수
법적 요구	원칙적으로 정보주체 동의 필수	동의 없이도 가능하나, 고지·계약·관리 감독 의무
문제 발생 시	제3자 제공 위반으로 제재	위탁 관리 소홀 책임, 보호법 제26조 위반

실무 팁

“위탁인지, 제3자 제공인지” 헷갈리면

수탁자가 자기 비즈니스 목적으로 쓰면 → 제공
발주사의 일을 대신 처리할 뿐이면 → 위탁으로 정리하는 것이 일반적입니다.

2-2. 위탁 계약서가 없으면 어떤 문제가 생길까

개인정보보호법 위반 가능성

위탁계약 미체결, 필수사항 누락 → 위법 소지

행정 제재

시정명령, 과태료, 과징금, 공표 조치

민사 책임

정보주체 손해배상 청구(집단소송, 공동소송 가능)

형사 책임 가능성

고의·중대한 과실로 인한 유출, 불법 제공 등과 연결될 경우

업무상 과실, 개인 정보 불법 제공 등 연계해 형사 사건으로 비화할 수 있음

3. 개인 정보 처리 위탁 계약서 필수 기재사항 정리

3-1. 법에서 요구하는 핵심 필수사항

일반적으로 다음 항목들은 반드시 포함해야 하는 필수사항입니다.

위탁 업무의 범위

정확한 업무 내용과 목적
예: “고객 대상 문자·카카오 알림톡 발송 업무”, “서버 호스팅 및 DB 백업·유지보수”

개인 정보의 처리 목적·항목

이름, 연락처, 주소, 구매내역, 진료 정보 등 구체적으로 열거

개인 정보 안전성 확보조치에 관한 사항

접근권한 관리, 암호화, 접속기록 보관, 물리적·기술적 보호조치

재위탁 제한 및 조건

수탁자가 다른 업체에 재위탁할 수 있는 지, 가능하다면 어떤 절차(사전 승인, 서면 동의 등)를 거치는지

수탁자에 대한 관리·감독 의무

정기·수시 점검, 보고 의무, 자료 제출 의무 등

개인 정보의 보유기간 및 파기

보유 기간, 파기 시점, 파기 방법(완전 삭제, 파쇄 등)

사고 발생 시 통지·조치 의무

유출 사고 시 즉시 통보, 공동 대응, 손해배상 책임 분담 등

업무 종료 시 개인 정보의 반환·파기

계약 종료·해지 때 개인 정보 처리 방식(복구 불가능한 파기 등)

비밀유지 의무

위탁 업무 수행 과정에서 알게 된 정보의 대외비공개, 직원·협력사에 대한 기밀유지 연장

책임한계 및 손해배상 규정

고의·과실 구분, 책임 범위, 손해배상액 산정 방식, 구상권 등

함께 읽을 책

형사·범죄 관련 책 살펴보기

쿠팡 파트너스

이 포스팅은 쿠팡 파트너스 활동의 일환으로, 이에 따른 일정액의 수수료를 제공받습니다.

쿠팡에서 형사·범죄 책 더 찾아보기

책의 목차·발행일·개정판 여부를 확인해 주세요. 책은 개별 사건에 대한 법률 상담을 대체하지 않습니다.

3-2. 꼭 넣어야 하는 문장 형태 예시(요지)

※ 실제 계약 문구는 상황에 따라 조정 필요. 아래는 “이런 내용은 반드시 담아야 한다”는 수준의 요지입니다.

“수탁자는 위탁 받은 개인 정보를 위탁 목적 외의 용도로 처리하여서는 아니 되며…”
“수탁자는 개인 정보의 안전성 확보를 위하여 관련 법령이 요구하는 기술적·관리적·물리적 보호조치를 이행하여야 한다.”
“수탁자는 위탁업무를 제3자에게 재위탁하고자 하는 경우 사전에 서면으로 위탁자의 승인을 받아야 한다.”
“위탁계약 종료 시 수탁자는 위탁자가 지정하는 방법에 따라 개인 정보를 지체 없이 파기하거나 반환하여야 한다.”
“개인 정보 유출 등 사고 발생 시 수탁자는 지체 없이 위탁자에게 통지하고, 위탁자와 협의하여 필요한 조치를 이행하여야 한다.”

4. 개인 정보 처리 위탁 계약 시 단계별 체크리스트

4-1. 위탁 계약 전 단계 체크포인트

위탁 필요성 검토

정말 외부 위탁이 필요한 업무인지

수탁자(업체) 선정 기준

개인 정보 보호 인증 여부(ISMS 등)
유사 업무 수행 경험
내부 보안 규정·조직 보유 여부

법적 검토

위탁인지, 제3자 제공인지 구분
해외 서버/해외 업체 여부(국외 이전 이슈)

4-2. 계약서 작성 단계 체크리스트

계약서에 아래 항목이 있는지 확인

위탁 목적·범위·대상 개인 정보 항목
보안조치·접근권한 관리 규정
재위탁 금지/허용 기준 및 승인 절차
사고 발생 시 통보 및 책임 규정
계약 기간과 종료 시 처리(반환·파기) 규정
점검·감사 권한, 교육 의무

추가로 고려할 사항

로그 보관 기간(접속기록 최소 몇 개월/몇 년 등)
저장 매체 반출 통제, 노트북·USB 사용 금지 여부
작업 장소(수탁사 사무실/원격근무 허용 여부)

4-3. 계약 체결 후 관리·감독 단계

정기 점검

연 1회 이상 서면·현장 점검(규모에 따라 조정)
점검 체크리스트 및 결과 보고서 작성

직원 교육

수탁사 담당자에 대한 개인 정보 보호 교육
비밀유지 서약서 징구

권한 관리

최소 권한 원칙 적용
인사 이동 시 즉각 권한 회수

사고 대응 프로 세스

유출 징후인지 → 즉시 통보 → 공동 조사 → 대외 공지·신고 절차 준비

5. 개인 정보 처리 위탁 관련법적 책임과 제재

5-1. 행정 제재(개인 정보 보호위원회 등)

시정명령, 시정권고
과태료·과징금 부과
위반 사실 공표
특정 업무의 정지 명령 등

5-2. 민사 책임(손해배상)

개인 정보가 유출되거나, 동의 범위를 벗어난 처리 등으로

정보주체에게 정신적·재산적 손해 발생 시 손해배상 책임

최근 추세

집단소송·단체소송 형태로 대규모 배상 판결이 나오는 사례가 증가
위탁사·수탁사 모두 소송에 함께 피고로 들어가는 경우도 흔함

5-3. 형사 책임 가능성

개인정보보호법·정보통신망법 위반으로

불법 제공, 고의적 유출, 상업적 판매 등에 대해서는 형사처벌 가능

위탁과 직접 연결되는 경우 예시

위탁을 가장한 실질적 제3자 제공(수탁자가 자기 목적 마케팅으로 사용)
보안조치 의무를 명백히 소홀히 한 상태에서 방치 → 중대한 과실 인정 시

6. 자주 빠지는 실수와 실무상 위험 포인트

6-1. “업무협약서”만 있고, 위탁 계약이 없는 경우

단순 MOU, 제휴계약서만 작성

개인 정보 처리 범위, 보안조치, 파기 규정이 없음

리스크

감독기관 조사 시 “위탁계약 미체결”로 간주될 수 있음
사고 발생 시 책임 경계 불명확 → 민·형사상 분쟁 가능성 증가

6-2. 재위탁 관리 부재

수탁사가 또 다른 하청 업체에 재위탁하는 사례

콜센터 → 하위 콜센터, 개발사 → 외주 프리랜서

리스크

실질적으로 누가 개인 정보를 다루는지 파악 못 함
유출 시 추적·책임소재 규명이 어렵고, 제재가 강화되는 추세

6-3. 계약 종료 후 데이터 파기 미흡

시나리오

계약은 끝났지만, 수탁사가 백업 서버·USB 등에 데이터를 계속 보관

리스크

계약 종료 후 수 년이 지나서 유출이 발생해도

위탁사·수탁사 모두 책임을 질 수 있음

실무 팁

계약 종료 시

파기 확인서, 로그, 스크린샷 등 증빙 자료를 확보하는 것이 안전함

7. 실제 계약서 작성·검토 시 실무 팁

7-1. 꼭 확인할 체크리스트(간단 버전)

위탁 범위가 너무 넓거나 모호하게 적혀 있지 않은지
개인 정보 항목이 업무 목적에 비해 과도하게 많이 기재되어 있지 않은지
수탁자에게 부과한 보안조치 의무가 실제로 이행 가능한 수준인지
재위탁 관련 조항이 있는지, 있다면

승인 절차, 재위탁 업체 관리 책임이 명확한지

파기 규정이

“지체 없이 파기” + “방법(완전 삭제·파쇄 등)”까지 나와 있는지

유출 등 사고 발생 시

신고, 통지, 언론 대응, 손해배상 분담 등에 대한 최소한의 합의가 있는지

7-2. 중소사업자·개인사업자가 특히 유의해야 할 점

무료·저가 솔루션(문자발송·CRM· 마케팅툴 등)을 사용할 때

이용약관 자체가 사실상 위탁계약 역할을 하는 경우가 많음
그 안에서 개인 정보 처리 목적, 재위탁, 국외 이전 문구를 꼼꼼히 확인 필요

“개인 정보 처리 위탁” 고지도 잊지 말아야 함

홈페이지 개인 정보 처리방침에

어떤 업무를 누구에게 위탁했는지, 변경 시 공지 여부 등을 명시해야 함

8. 자주 묻는 질문(FAQ)

Q1. 개인 정보 처리 위탁을 할 때 정보주체 동의를 꼭 받아야 하나요?

일반적인 “위탁”은 법에서 허용하는 범위 안에서는 별도의 동의 없이 가능하지만,

위탁 사실과 업체, 업무 내용은 반드시 고지해야 합니다.

다만 위탁을 넘어선 실질적 제3자 제공에 해당하면 동의가 필요할 수 있습니다.

Q2. 이메일이나 견적서 수준으로만 위탁 내용 합의하면 되나요?

법은 “서면에 의한 계약”을 요구하는 취지입니다.

정식 계약서(또는 그에 준하는 문서)로 체결하는 것이 안전합니다.

나중에 분쟁·점검 때 증빙이 있어야 하므로

정식 계약서 형태로 남기는 것이 바람직합니다.

Q3. 아주 소규모 고객 정보(예: 100명 정도)라도 위탁 계약이 필요한가요?

개인정보보호법은 인원수로 예외를 두지 않습니다.
규모와 상관없이, 개인 정보를 외부에 맡기는 순간법적 의무가 발생하므로

위탁 계약서를 작성하는 것이 원칙입니다.

Q4. 클라우드 서버를 사용하는 것도 “위탁”에 해당하나요?

일반적으로

클라우드 제공사가 단순 저장·운영만 하고,

자체적으로 고객 정보에 접근·활용하지 않는다면

위탁 또는 국외 이전 이슈로 함께 검토하는 것이 통상적입니다.

실제 서비스 약관·구조에 따라 달라질 수 있으므로

계약·약관 내용을 세밀하게 확인하는 것이 좋습니다.

Q5. 이미 몇 년 전부터 위탁을 하고 있는데, 계약서가 없습니다. 지금이라도 쓰면 괜찮을까요?

과거 기간까지 완전히 소급해 면책되는 것은 아니지만,

지금이라도 정식 위탁 계약을 체결하는 것이 리스크를 줄이는 첫 단계입니다.

체결 후

개인 정보 처리방침 정비, 수탁사 점검, 파기·보안 조치 확인 등도 함께 진행하는 것이 좋습니다.