이 데이터는 위탁받은 건가요, 넘겨받은 건가요?
본 글은 제도 이해를 돕기 위한 교육용 참고 자료이며, 법률 자문이 아닙니다. 본문의 법령은 최종 수정일 기준으로 요약 및 발췌되었으므로, 이후 개정되거나 해석이 달라질 수 있습니다. 실제 업무에 적용하기 전 반드시 현행 법령(국가법령정보센터)을 직접 확인하고 전문가(세무사·노무사 등)의 자문을 거치시기 바랍니다. 본 글의 정보를 활용해 발생한 어떠한 결과나 법적 문제에 대해서도 작성자는 책임지지 않습니다.
개인정보 처리방침을 고치려고 우리 서비스가 데이터를 내보내는 곳을 전부 적어 본 적이 있습니다. 스토리지, 로그 수집기, 오류 추적, 이메일 발송, 푸시, 고객 문의 도구. 목록은 금방 열 줄을 넘겼습니다.
그런데 이 목록을 처리방침의 어느 칸에 적어야 하는지가 문제였습니다. 위탁 현황에 넣을 것과 제3자 제공에 넣을 것이 섞여 있었고, 각각 처리 근거와 공개·동의 요건을 따로 확인해야 했습니다.
우리가 남의 개인정보를 서버에 담고 있다는 같은 사실이, 어떤 기준으로 위탁과 제공으로 갈릴까요?
이 글은 개인정보가 우리 손을 떠나 다른 회사의 손에 닿는 순간을 다룹니다. 위탁과 제3자 제공이 무엇으로 갈리는지, 각각 어떤 의무가 생기는지, 서버 리전을 고르는 결정이 어떻게 국외 이전 의무로 이어지는지까지 따라갑니다. 이 값이 애초에 개인정보인지를 판단하는 기준은 이 값도 개인정보인가요?에 있습니다.
무엇이 위탁과 제공을 가르는가
위탁과 제공은 겉보기에 구분되지 않습니다. 양쪽 다 개인정보가 다른 법인의 시스템에 들어가고, 양쪽 다 계약서가 오갑니다. 데이터의 이동 경로만 그려서는 어느 쪽인지 알 수 없습니다.
둘을 가르는 기준은 그 처리가 누구의 목적을 위한 것이냐입니다. 받은 쪽이 우리 일을 대신 해 주는 것이라면 위탁입니다. 처리 목적은 여전히 우리 것이고, 상대는 그 목적의 범위 안에서만 움직입니다. 받은 쪽이 자기 목적으로 그 데이터를 쓰기 시작하면 제공입니다. 제공받는 회사는 자기 목적의 처리에 대해 개인정보처리자로서 의무를 부담합니다. 개인정보의 소유권이 이전된다는 뜻은 아닙니다.
대가를 주고받았는지는 기준이 아닙니다. 돈을 받지 않고 넘겨도 제공이고, 돈을 내고 맡겨도 위탁입니다. "우리는 데이터를 팔지 않습니다"라는 문장은 제3자 제공이 없다는 뜻이 되지 못합니다.
적법한 처리 근거와 목적 범위 안에서 업무를 위탁하는 경우, 위탁 자체에 대한 별도 동의는 일반적으로 필요하지 않습니다. 제3자 제공에는 동의 등 제17조가 허용하는 근거가 필요합니다. 법률상 근거 등 동의 없이 제공할 수 있는 경우도 있으므로, 제공이면 무조건 동의를 받아야 한다고 단정해서는 안 됩니다.
개인정보 보호법 제17조(개인정보의 제공) ① 개인정보처리자는 다음 각 호의 어느 하나에 해당되는 경우에는 정보주체의 개인정보를 제3자에게 제공(공유를 포함한다. 이하 같다)할 수 있다.
- 정보주체의 동의를 받은 경우
동의를 받을 때는 제공받는 자, 그 자의 이용 목적, 제공하는 항목, 보유·이용 기간, 그리고 동의를 거부할 권리와 거부 시의 불이익까지 알려야 합니다. 동의를 근거로 제공한다면 이 고지 사항이 바뀔 때 변경에 대한 동의도 검토해야 합니다. 제공 관계를 정한 뒤에도 실제 처리와 고지 내용을 함께 관리해야 합니다.
위탁이면 따라오는 것들
위탁에 동의가 필요 없다는 사실이 위탁이 가볍다는 뜻은 아닙니다. 제26조가 요구하는 목록은 짧지 않습니다.
먼저 법정 사항을 포함한 문서로 위탁 내용을 정해야 합니다. 목적 외 처리 금지, 기술적·관리적 보호조치와 시행령이 정한 안전관리 사항 등이 대상입니다. 전자적 계약도 가능하지만, 이용약관에 동의했다는 사실만으로 필요한 내용이 모두 갖춰졌다고 볼 수는 없습니다. 클라우드 사업자의 데이터 처리 부속 계약도 이 기준에 맞춰 확인합니다.
다음으로 공개해야 합니다. 위탁하는 업무의 내용과 수탁자를 정보주체가 언제든 쉽게 확인할 수 있게 해야 합니다. 처리방침에 벤더 목록이 실리는 것도 이 때문입니다. 홍보나 판매 권유 업무를 위탁하는 경우에는 공개로 끝나지 않고 정보주체에게 알려야 합니다.
그리고 관리·감독해야 합니다. 수탁자를 교육하고 처리 현황을 점검할 의무가 위탁자에게 있습니다. 계약서에 서명하는 것으로 책임이 넘어가지 않습니다.
의무의 무게를 실감하게 하는 조항은 마지막에 있습니다.
개인정보 보호법 제26조(업무위탁에 따른 개인정보의 처리 제한) ⑦ 수탁자가 위탁받은 업무와 관련하여 개인정보를 처리하는 과정에서 이 법을 위반하여 발생한 손해배상책임에 대하여는 수탁자를 개인정보처리자의 소속 직원으로 본다.
이 조항은 수탁자의 위법한 처리로 손해가 발생했을 때 위탁자의 손해배상책임을 판단하는 기준입니다. 수탁자가 실제 직원이 되는 것은 아니지만, 외부 업체의 사고라는 이유만으로 우리 회사의 책임을 배제할 수는 없습니다.
재위탁도 마음대로 되지 않습니다. 수탁자가 다시 다른 곳에 맡기려면 위탁자의 동의를 받아야 합니다. 실무에서 이 조항은 하위 처리자 목록을 공개하고 변경 시 통지하는 형태로 운영됩니다. 벤더가 하위 처리자를 늘렸다는 메일이 오면 그건 광고가 아니라 우리가 판단해야 할 사안입니다.
우리가 쓰는 외부 도구는 어느 쪽인가
이 기준을 개발자가 실제로 판단해야 하는 목록에 적용해 보겠습니다. 서비스 하나가 데이터를 내보내는 곳은 보통 다음과 같습니다.
| 도구 | 대개의 성격 | 이유 |
|---|---|---|
| 클라우드 스토리지, 데이터베이스 | 위탁 | 우리 목적의 보관을 대신합니다 |
| 로그 수집, APM, 오류 추적 | 위탁 | 우리 서비스의 운영을 대신합니다 |
| 이메일·문자·푸시 발송 | 위탁 | 우리 이름으로 나가는 발송을 대신합니다 |
| 고객 문의 도구 | 위탁 | 우리 상담 업무를 대신합니다 |
| 결제대행사 | 사안에 따라 다름 | 카드사 승인 절차상 자기 지위로 처리하는 부분이 있습니다 |
| 광고 플랫폼의 맞춤 타겟 업로드 | 계약·실제 이용에 따라 판단 | 플랫폼이 독자적 목적으로 이용하는지 확인합니다 |
| 제휴사 회원 연동 | 제공 | 상대가 자기 서비스의 목적으로 씁니다 |
표는 일반적인 업무 목적을 가정한 예시입니다. 같은 도구도 계약과 실제 데이터 이용 방식에 따라 지위가 달라질 수 있습니다. 개발팀은 코드와 인프라에서 전송 항목을 확인하고, 구매·운영·법무 담당자는 도입한 서비스와 계약 내용을 함께 대조해야 합니다.
새 SDK를 추가하거나 외부 서비스의 이용 목적을 바꾸면 처리방침과 계약에도 영향이 생길 수 있습니다. 데이터 흐름과 문서가 함께 갱신되도록 변경 과정에 확인 절차를 두는 것이 좋습니다.
위탁인지 제공인지 애매하면 일단 제3자 제공 동의를 받아 두자는 판단을 하기 쉽습니다. 그런데 필요 없는 동의를 필수 항목으로 받는 것 자체가 문제가 됩니다. 정보주체는 거부할 수 없는 동의를 눌러야 하고, 회사는 실제 처리 근거가 아닌 것을 근거로 적어 두게 됩니다. 먼저 실제 처리 관계와 이용 목적에 맞는 근거를 정하고, 동의가 필요한 항목은 거부 가능성과 불이익을 정확히 안내해야 합니다.
국외 이전: 리전 하나가 만드는 의무
여기까지는 국내에 머무는 이야기입니다. 수탁자의 서버가 국경 밖에 있으면 조항이 하나 더 적용됩니다.
개인정보 보호법 제28조의8(개인정보의 국외 이전) ① 개인정보처리자는 개인정보를 국외로 제공(조회되는 경우를 포함한다)·처리위탁·보관(이하 이 절에서 "이전"이라 한다)하여서는 아니 된다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 그러하지 아니하다.
원칙이 금지이고 예외가 열거되는 구조입니다. 그리고 괄호 안의 "조회되는 경우를 포함한다"가 개발자에게 중요합니다. 데이터를 복사해 보내지 않고 해외에서 화면으로 열람만 해도 이전입니다. 국내 리전에 데이터를 두었으니 국외 이전이 없다고 말하기 전에, 해외 지사나 해외 벤더의 지원 인력이 관리자 화면에 접속하는 경로가 있는지 봐야 합니다.
법은 여러 허용 근거를 열거합니다. SaaS 이용에서는 그중 제3호의 요건을 충족하는지 검토할 수 있습니다. 정보주체와의 계약 체결 및 이행을 위해 처리위탁·보관이 필요한 경우로서, 처리방침에 공개했거나 전자우편 등으로 알린 경우입니다. 별도 동의를 받지 않아도 되는 대신 공개나 통지가 조건으로 붙어 있는 구조입니다.
| 근거 | 요약 |
|---|---|
| 제1호 | 국외 이전에 관한 별도 동의를 받은 경우 |
| 제2호 | 법률이나 조약에 특별한 규정이 있는 경우 |
| 제3호 | 계약 체결·이행에 필요한 처리위탁·보관으로서 처리방침 공개 또는 통지를 한 경우 |
| 제4호 | 이전받는 자가 보호위원회가 고시하는 인증을 받고 필요한 조치를 한 경우 |
| 제5호 | 이전되는 국가의 보호 수준이 우리 법과 실질적으로 동등하다고 보호위원회가 인정한 경우 |
리전을 고르는 화면에서 드롭다운 하나를 바꾸는 일이 제3호의 공개 의무를 새로 만듭니다. 제3호의 공개를 근거로 이전한다면, 리전 변경 후에도 이전 국가 등 공개 사항이 실제와 일치해야 합니다. 인프라 변경과 문서 변경이 같은 작업 단위에 들어가야 하는 이유입니다.
데이터가 나가는 길을 한 장으로 그려 보기
정리하면 아래 질문을 순서대로 거치면 그 벤더가 처리방침의 어느 칸에 들어가는지가 정해집니다.
| 질문 | 아니오 | 예 |
|---|---|---|
| 개인정보인가 | 이 글의 대상이 아닙니다 | 다음 질문으로 |
| 처리 목적이 우리 것인가 | 제3자 제공: 동의 등 법정 근거 확인 | 위탁: 문서 계약·공개·감독 |
| 국경을 넘는가 | 여기서 끝 | 제28조의8의 허용 근거와 보호조치 확인 |
실제로는 두 번째 질문보다 첫 번째 질문에서 판단이 어긋나는 경우가 많습니다. 오류 추적 도구에 스택 트레이스만 보낸다고 생각했는데 요청 본문이 함께 실려 나가고 있었다거나, 로그에 사용자 식별자가 들어 있는 줄 몰랐다거나 하는 식입니다. 어느 벤더가 수탁자인지를 정확히 분류해 두어도 무엇이 나가는지 모르면 표는 맞을 수 없습니다.
판단에 필요한 자료는 실제 데이터 흐름과 계약을 함께 담아야 합니다. 외부로 전송되는 항목, 수신자, 이용 목적과 국가를 정리한 뒤 법적 근거와 의무를 확인합니다. 목록이 있어야 판단을 구체화할 수 있지만, 목록만으로 모든 법적 판단이 자동으로 끝나는 것은 아닙니다.
References
- 개인정보 보호법: 제17조(개인정보의 제공)·제26조(업무위탁에 따른 개인정보의 처리 제한)·제27조(영업양도 등에 따른 개인정보의 이전 제한)·제28조의8(개인정보의 국외 이전)·제28조의9(국외 이전 중지 명령). 국가법령정보센터
- 개인정보 보호법 제26조: 조문 전문. CaseNote
- 개인정보 보호법 제28조의8: 조문 전문. CaseNote
