개인정보 처리를 외부 업체에 맡겼다면, 맡긴 뒤에도 회사가 감독할 책임이 있어요. 그런데 "무엇을 얼마나 자주 점검하라"까지 법이 정해주지는 않아요. 그 부분은 회사가 정해야 해요.
법에서 정한 것은 어디까지일까요?
법은 감독 의무와 계약서에 담을 사항까지만 정해요. 개인정보 보호법 제26조 제4항은 위탁자가 수탁자를 교육하고, 처리 현황 점검 등으로 개인정보를 안전하게 처리하는지 감독하도록 해요. 시행령 제28조 제6항은 위탁자가 위탁 계약에 담을 사항을 수탁자가 지키는지도 감독하라고 해요.
위탁 문서에는 법 제26조 제1항에 따라 다음 내용이 들어가야 해요.
- 위탁업무 수행 목적 외 개인정보 처리 금지에 관한 사항
- 개인정보의 기술적ㆍ관리적 보호조치에 관한 사항
- 그 밖에 개인정보의 안전한 관리를 위해 시행령이 정한 사항
그리고 시행령 제28조 제1항은 위 세 번째 항목에 해당하는 사항으로 다음 내용을 정해요.
- 위탁업무의 목적 및 범위
- 재위탁 제한에 관한 사항
- 개인정보에 대한 접근 제한 등 안전성 확보 조치
- 보유 중인 개인정보의 관리 현황 점검 등 감독에 관한 사항
- 의무 위반 시 손해배상 등 책임
법과 시행령 원문에는 점검 횟수나 주기, 미흡 시 제재 수단이 정해져 있지 않아요. 따라서 이 부분은 회사가 계약서와 내부 기준에 직접 적어야 해요.
그럼 점검 항목은 어떻게 정할까요?
먼저 계약서에 적은 법정 기재사항을 점검표의 기본 항목으로 옮기면 돼요. 다만 시행령 제28조 제6항은 법 또는 시행령에 따라 개인정보처리자가 준수해야 할 사항도 감독 대상으로 두고 있으므로, 계약서 조항만이 아니라 위탁업무와 관련된 법령상 준수사항도 함께 확인 항목에 반영해야 해요.
실무 체크 포인트 계약서에 법정 기재사항이 빠져 있으면 점검 기준도 흔들릴 수 있어요. 점검표를 만들기 전에 계약서를 확인하고, 위탁업무와 관련된 법령상 준수사항도 함께 반영하세요.
가상 상황을 하나 볼게요. 직원 20명 규모의 쇼핑몰이 배송 업무와 고객 문의 응대를 외부에 맡겼다고 가정해요. 이 회사는 법 제26조 제1항과 시행령 제28조 제1항에 따라 계약서에 둔 사항을 기본으로 삼고, 시행령 제28조 제6항의 감독 범위를 고려해 점검표를 이렇게 정했어요.
- 맡긴 업무 범위 밖으로 개인정보를 쓰지 않는지 확인해요.
- 재위탁이 있었는지 확인해요.
- 기술적ㆍ관리적 보호조치와 접근 제한 등 안전성 확보 조치를 확인해요.
- 보유 중인 개인정보 현황을 받아 살펴봐요.
- 문제가 생기면 계약서의 책임 조항에 따라 조치해요.
점검 주기와 미흡 시 조치는 법에 정해진 기준이 없으니, 개인정보를 많이 다루는 업체일수록 더 자주 점검하도록 회사 기준으로 정할 수 있어요. 예를 들어 "미흡 항목은 시정 기한을 정해 재확인한다" 같은 방식이에요.
점검표를 쓸 때 주의할 점이 있을까요?
특정 제도나 서비스를 위해 만든 별지 점검표는 일반 민간 위탁계약에 법적 의무로 적용되지 않아요. 참고용으로 활용할 수는 있지만, 우리 회사 위탁 업무에 맞게 정리해서 써야 해요.
오늘 바로 할 일
- 위탁 계약서에 법 제26조 제1항의 사항과 시행령 제28조 제1항의 사항이 모두 반영되어 있는지 확인하세요.
- 계약서의 법정 기재사항을 기본으로 하되, 위탁업무와 관련된 법령상 준수사항까지 반영한 점검표를 만들어 보세요.
- 점검 주기와 미흡 시 조치 방식을 내부 기준으로 적어 두세요.
출처: 국가법령정보센터 개인정보 보호법 제26조(시행 2025. 10. 2.), 개인정보 보호법 시행령 제28조 (https://www.law.go.kr/lsBdyPrint.do?chrClsCd=010202&efYd=20251002&joNo=0026%3A00&lsiSeq=270351, https://www.law.go.kr/lsBdyPrint.do?chrClsCd=010202&efYd=20260519&joNo=0028%3A00&lsiSeq=286175)