이 데이터는 위탁받은 건가요, 넘겨받은 건가요?
본 글은 제도 이해를 돕기 위한 교육용 참고 자료이며, 법률 자문이 아닙니다. 본문의 법령은 최종 수정일 기준으로 요약 및 발췌되었으므로, 이후 개정되거나 해석이 달라질 수 있습니다. 실제 업무에 적용하기 전 반드시 현행 법령(국가법령정보센터)을 직접 확인하고 전문가(세무사·노무사 등)의 자문을 거치시기 바랍니다. 본 글의 정보를 활용해 발생한 어떠한 결과나 법적 문제에 대해서도 작성자는 책임지지 않습니다.
개인정보 처리방침을 고치려고 우리 서비스가 데이터를 내보내는 곳을 전부 적어 본 적이 있습니다. 스토리지, 로그 수집기, 오류 추적, 이메일 발송, 푸시, 고객 문의 도구. 목록은 금방 열 줄을 넘겼습니다.
그런데 이 목록을 처리방침의 어느 칸에 적어야 하는지가 문제였습니다. 위탁 현황에 넣을 것과 제3자 제공에 넣을 것이 섞여 있었고, 둘 중 하나는 동의를 받아야 하는 쪽이었습니다.
우리가 남의 개인정보를 서버에 담고 있다는 같은 사실이, 어떤 기준으로 위탁과 제공으로 갈릴까요?
이 글은 개인정보가 우리 손을 떠나 다른 회사의 손에 닿는 순간을 다룹니다. 위탁과 제3자 제공이 무엇으로 갈리는지, 각각 어떤 의무를 데려오는지, 서버 리전을 고르는 결정이 어떻게 국외 이전 의무가 되는지까지 따라갑니다. 이 값이 애초에 개인정보인지를 판단하는 기준은 이 값도 개인정보인가요?에 있습니다.
무엇이 위탁과 제공을 가르는가
위탁과 제공은 겉보기에 구분되지 않습니다. 양쪽 다 개인정보가 다른 법인의 시스템에 들어가고, 양쪽 다 계약서가 오갑니다. 데이터의 이동 경로만 그려서는 어느 쪽인지 알 수 없습니다.
갈림길은 그 처리가 누구의 목적을 위한 것이냐에 있습니다. 받은 쪽이 우리 일을 대신 해 주는 것이라면 위탁입니다. 처리 목적은 여전히 우리 것이고, 상대는 그 목적의 범위 안에서만 움직입니다. 받은 쪽이 자기 목적으로 그 데이터를 쓰기 시작하면 제공입니다. 그 순간 데이터의 주인이 바뀌고, 그 회사는 자기 이름으로 개인정보처리자가 됩니다.
대가를 주고받았는지는 기준이 아닙니다. 돈을 받지 않고 넘겨도 제공이고, 돈을 내고 맡겨도 위탁입니다. "우리는 데이터를 팔지 않습니다"라는 문장은 제3자 제공이 없다는 뜻이 되지 못합니다.
동의가 필요한 쪽도 여기서 갈립니다. 위탁은 정보주체의 동의를 요구하지 않습니다. 목적이 바뀌지 않았으니 처리 근거도 그대로이기 때문입니다. 반면 제공은 원칙적으로 별도 동의가 필요합니다.
개인정보 보호법 제17조(개인정보의 제공) ① 개인정보처리자는 다음 각 호의 어느 하나에 해당되는 경우에는 정보주체의 개인정보를 제3자에게 제공(공유를 포함한다. 이하 같다)할 수 있다.
- 정보주체의 동의를 받은 경우
동의를 받을 때는 제공받는 자, 그 자의 이용 목적, 제공하는 항목, 보유·이용 기간, 그리고 동의를 거부할 권리와 거부 시의 불이익까지 알려야 합니다. 항목 하나가 바뀌면 동의를 다시 받아야 한다는 뜻이라, 제공 관계는 만들어 두면 이후의 변경이 계속 비용을 요구합니다.
Recap
- 위탁과 제공은 데이터의 이동 경로가 아니라 처리 목적의 귀속으로 갈립니다.
- 대가의 유무는 판단 기준이 아니며, 무상으로 넘겨도 제공입니다.
- 위탁은 동의가 필요 없고, 제공은 원칙적으로 별도 동의와 다섯 가지 고지 사항을 요구합니다.
위탁이면 따라오는 것들
위탁에 동의가 필요 없다는 사실이 위탁이 가볍다는 뜻은 아닙니다. 제26조가 요구하는 목록은 짧지 않습니다.
먼저 문서로 해야 합니다. 구두 합의나 이용약관 동의 클릭만으로는 부족하고, 계약서에 세 가지가 들어가야 합니다. 위탁업무 수행 목적 외 처리 금지, 기술적·관리적 보호조치, 그 밖에 대통령령이 정하는 안전관리 사항입니다. 클라우드 사업자들이 별도로 제공하는 데이터 처리 부속 계약이 이 자리를 메우는 문서입니다.
다음으로 공개해야 합니다. 위탁하는 업무의 내용과 수탁자를 정보주체가 언제든 쉽게 확인할 수 있게 해야 하고, 이게 처리방침에 벤더 목록이 실려 있는 이유입니다. 홍보나 판매 권유 업무를 위탁하는 경우에는 공개로 끝나지 않고 정보주체에게 알려야 합니다.
그리고 관리·감독해야 합니다. 수탁자를 교육하고 처리 현황을 점검할 의무가 위탁자에게 있습니다. 계약서에 서명하는 것으로 책임이 넘어가지 않습니다.
의무의 무게를 실감하게 하는 조항은 마지막에 있습니다.
개인정보 보호법 제26조(업무위탁에 따른 개인정보의 처리 제한) ⑦ 수탁자가 위탁받은 업무와 관련하여 개인정보를 처리하는 과정에서 이 법을 위반하여 발생한 손해배상책임에 대하여는 수탁자를 개인정보처리자의 소속 직원으로 본다.
벤더가 낸 사고의 손해배상 앞에서 우리 회사는 남이 아닙니다. 수탁자는 우리 직원으로 취급됩니다. 로그 수집 도구를 하나 고르는 결정이 사실상 사람을 뽑는 결정과 같은 무게를 가진다는 얘기이고, 그 결정을 대개 개발자가 합니다.
재위탁도 마음대로 되지 않습니다. 수탁자가 다시 다른 곳에 맡기려면 위탁자의 동의를 받아야 합니다. 실무에서 이 조항은 하위 처리자 목록을 공개하고 변경 시 통지하는 형태로 운영됩니다. 벤더가 하위 처리자를 늘렸다는 메일이 오면 그건 광고가 아니라 우리가 판단해야 할 사안입니다.
Recap
- 위탁은 문서 계약, 수탁자 공개, 교육과 감독을 요구하며 동의 면제와 맞바꾼 의무입니다.
- 손해배상에서 수탁자는 위탁자의 소속 직원으로 취급되므로, 벤더의 사고는 우리 책임으로 돌아옵니다.
- 재위탁에는 위탁자의 동의가 필요하고, 하위 처리자 변경 통지는 확인이 필요한 사안입니다.
우리가 쓰는 외부 도구는 어느 쪽인가
개발자가 실제로 판단해야 하는 목록으로 옮겨 보겠습니다. 서비스 하나가 데이터를 내보내는 곳은 보통 이렇게 생겼습니다.
| 도구 | 대개의 성격 | 이유 |
|---|---|---|
| 클라우드 스토리지, 데이터베이스 | 위탁 | 우리 목적의 보관을 대신합니다 |
| 로그 수집, APM, 오류 추적 | 위탁 | 우리 서비스의 운영을 대신합니다 |
| 이메일·문자·푸시 발송 | 위탁 | 우리 이름으로 나가는 발송을 대신합니다 |
| 고객 문의 도구 | 위탁 | 우리 상담 업무를 대신합니다 |
| 결제대행사 | 사안에 따라 다름 | 카드사 승인 절차상 자기 지위로 처리하는 부분이 있습니다 |
| 광고 플랫폼의 맞춤 타겟 업로드 | 제공에 가까움 | 받은 쪽이 자기 데이터와 결합해 자기 목적으로 씁니다 |
| 제휴사 회원 연동 | 제공 | 상대가 자기 서비스의 목적으로 씁니다 |
대부분이 위탁으로 떨어지는데, 그렇다고 목록을 만드는 일이 쉬워지지는 않습니다. 어려운 쪽은 분류가 아니라 누락입니다. 처리방침의 위탁 현황 표를 정확히 채울 수 있는 사람은 회사에서 개발자뿐입니다. 그 표의 실체는 우리 시스템에서 밖으로 나가는 커넥션의 목록이고, 그건 코드와 인프라 설정에만 적혀 있습니다.
그래서 이 표는 법무 문서라기보다 아키텍처 문서에 가깝습니다. 새 SDK를 하나 붙이는 커밋이 처리방침을 낡게 만들고, 그 사실을 아는 사람은 그 커밋을 올린 사람입니다.
위탁인지 제공인지 애매하면 일단 제3자 제공 동의를 받아 두자는 판단을 하기 쉽습니다. 그런데 필요 없는 동의를 필수 항목으로 받는 것 자체가 문제가 됩니다. 정보주체는 거부할 수 없는 동의를 눌러야 하고, 회사는 실제 처리 근거가 아닌 것을 근거로 적어 두게 됩니다. 동의는 근거가 없을 때 마지막으로 꺼내는 수단이지 안전장치가 아닙니다.
Recap
- 서비스가 쓰는 외부 도구는 대부분 위탁에 해당하고, 광고 플랫폼 업로드나 제휴 연동이 제공 쪽으로 넘어갑니다.
- 위탁 현황 표의 실체는 아웃바운드 커넥션 목록이라, 정확히 아는 사람은 개발자뿐입니다.
- 애매하다고 동의를 받아 두는 선택은 불필요한 필수 동의를 만들어 별도의 문제를 낳습니다.
국외 이전: 리전 하나가 만드는 의무
여기까지는 국내에 머무는 이야기입니다. 수탁자의 서버가 국경 밖에 있으면 조항이 하나 더 겹칩니다.
개인정보 보호법 제28조의8(개인정보의 국외 이전) ① 개인정보처리자는 개인정보를 국외로 제공(조회되는 경우를 포함한다)·처리위탁·보관(이하 이 절에서 "이전"이라 한다)하여서는 아니 된다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 그러하지 아니하다.
원칙이 금지이고 예외가 열거되는 구조입니다. 그리고 괄호 안의 "조회되는 경우를 포함한다"가 개발자에게 중요합니다. 데이터를 복사해 보내지 않고 해외에서 화면으로 열람만 해도 이전입니다. 국내 리전에 데이터를 두었으니 국외 이전이 없다고 말하기 전에, 해외 지사나 해외 벤더의 지원 인력이 관리자 화면에 접속하는 경로가 있는지 봐야 합니다.
예외는 다섯 갈래인데, 일반적인 SaaS가 서는 자리는 대체로 세 번째입니다. 정보주체와의 계약 체결 및 이행을 위해 처리위탁·보관이 필요한 경우로서, 처리방침에 공개했거나 전자우편 등으로 알린 경우입니다. 별도 동의를 받지 않아도 되는 대신 공개나 통지가 조건으로 붙어 있는 구조입니다.
| 근거 | 요약 |
|---|---|
| 제1호 | 국외 이전에 관한 별도 동의를 받은 경우 |
| 제2호 | 법률이나 조약에 특별한 규정이 있는 경우 |
| 제3호 | 계약 체결·이행에 필요한 처리위탁·보관으로서 처리방침 공개 또는 통지를 한 경우 |
| 제4호 | 이전받는 자가 보호위원회가 고시하는 인증을 받고 필요한 조치를 한 경우 |
| 제5호 | 이전되는 국가의 보호 수준이 우리 법과 실질적으로 동등하다고 보호위원회가 인정한 경우 |
리전을 고르는 화면에서 드롭다운 하나를 바꾸는 일이 제3호의 공개 의무를 새로 만듭니다. 반대로 처리방침을 고치지 않은 채 리전만 옮기면 근거 없는 이전이 됩니다. 인프라 변경과 문서 변경이 같은 작업 단위에 들어가야 하는 이유입니다.
Recap
- 국외 이전은 원칙 금지에 예외 열거 구조이며, 해외에서 조회만 해도 이전에 포함됩니다.
- 일반적인 SaaS는 계약 이행을 위한 위탁·보관(제3호)에 서고, 그 조건은 처리방침 공개나 통지입니다.
- 리전 변경은 문서 변경을 함께 요구하므로 같은 작업 단위로 다뤄야 합니다.
데이터가 나가는 길을 한 장으로 그려 보기
정리하면 판단은 세 번 갈립니다. 개인정보가 맞는가, 목적이 누구 것인가, 국경을 넘는가. 세 질문을 순서대로 통과시키면 그 벤더가 처리방침의 어느 칸에 들어가는지가 정해집니다.
| 질문 | 아니오 | 예 |
|---|---|---|
| 개인정보인가 | 이 글의 대상이 아닙니다 | 다음 질문으로 |
| 처리 목적이 우리 것인가 | 제3자 제공: 별도 동의와 다섯 가지 고지 | 위탁: 문서 계약·공개·감독 |
| 국경을 넘는가 | 여기서 끝 | 제28조의8의 근거를 하나 골라 문서에 적기 |
이 판단이 실제로 어긋나는 자리는 두 번째 줄이 아니라 첫 번째 줄인 경우가 많습니다. 오류 추적 도구에 스택 트레이스만 보낸다고 생각했는데 요청 본문이 함께 실려 나가고 있었다거나, 로그에 사용자 식별자가 들어 있는 줄 몰랐다거나 하는 식입니다. 어느 벤더가 수탁자인지를 정확히 분류해 두어도 무엇이 나가는지 모르면 표는 맞을 수 없습니다.
그래서 이 도메인의 첫 작업은 계약서 검토가 아니라 목록 만들기입니다. 밖으로 나가는 커넥션을 전부 적고, 각 커넥션에 실리는 필드를 적는 일입니다. 그 목록이 있으면 나머지 판단은 위 표를 따라 기계적으로 내려갑니다. 목록이 없으면 어떤 법 해석도 검증할 대상이 없습니다.
Recap
- 벤더의 지위는 개인정보 여부, 목적의 귀속, 국경 통과 세 질문으로 결정됩니다.
- 실제 오류는 분류보다 무엇이 실려 나가는지 모르는 데서 생깁니다.
- 아웃바운드 커넥션과 그 필드 목록이 이 도메인의 출발점이며, 그 목록은 코드에만 있습니다.
References
- 개인정보 보호법: 제17조(개인정보의 제공)·제26조(업무위탁에 따른 개인정보의 처리 제한)·제27조(영업양도 등에 따른 개인정보의 이전 제한)·제28조의8(개인정보의 국외 이전)·제28조의9(국외 이전 중지 명령). 국가법령정보센터
- 개인정보 보호법 제26조: 조문 전문. CaseNote
- 개인정보 보호법 제28조의8: 조문 전문. CaseNote
