개인정보 위탁과 수탁사 관리

위탁이란

개인정보 처리 위탁은 개인정보를 다루는 업무를 외부 사업자에게 맡기는 것을 말합니다. 고객센터 운영, 배송, 시스템 유지보수, 마케팅 발송, 클라우드 인프라 이용이 흔한 예입니다. 업무를 맡기는 쪽을 위탁자, 맡는 쪽을 수탁자(수탁사)라고 합니다.

오늘날 개인정보를 한 조직이 처음부터 끝까지 직접 처리하는 경우는 드뭅니다. 그만큼 개인정보가 흘러 다니는 범위가 넓어졌고, 사고의 상당수가 우리 회사가 아니라 우리와 계약한 회사에서 일어납니다.

제3자 제공과의 차이

수탁사에 개인정보를 넘기는 것은 제3자 제공과 다릅니다. 제3자 제공은 받는 쪽이 자기 목적 을 위해 개인정보를 이용하는 것이고, 위탁은 받는 쪽이 위탁자의 목적과 지시 범위 안에서만 처리하는 것입니다.

이 구분에 따라 요구되는 절차도 달라집니다. 제3자 제공은 원칙적으로 정보 주체의 동의가 필요하고, 위탁은 통상 처리방침 공개 등의 방법으로 알리도록 합니다. 실무에서는 계약서 제목만 보고 판단하지 말고, 받는 쪽이 그 데이터로 무엇을 하는지를 봐야 성격이 정해집니다.

책임은 넘어가지 않는다

업무를 위탁했더라도 개인정보에 대한 책임까지 넘어가지는 않습니다. 위탁자는 수탁사가 개인정보를 안전하게 처리하도록 관리하고 감독할 의무를 집니다. 수탁사에서 사고가 나면 위탁자도 관리 감독을 소홀히 한 책임을 함께 지게 됩니다.

"우리 잘못이 아니라 협력업체 잘못" 이라는 항변이 통하지 않는 이유입니다. 애초에 그 업체를 고르고, 그 업체에 데이터를 넘기기로 결정한 것이 위탁자이기 때문입니다.

관리 감독에서 확인하는 것

• 위탁 계약에 처리 목적과 범위, 안전성 확보 조치, 재위탁 제한, 손해배상 조항이 포함되어 있는가
• 수탁사가 위탁 범위를 넘는 처리를 하고 있지는 않은가
• 접근 권한이 실제로 필요한 인원에게만 부여되어 있는가
• 수탁사 담당자의 접속 기록이 남고 보관되는가
• 보유 기간이 지난 개인정보가 실제로 파기되는가
• 수탁사 직원에 대한 교육과 비밀유지 서약이 이뤄지는가

서류만 받아 보는 점검은 점검이 아닙니다. 계약서에 조항이 있다는 것과 그 조항이 지켜지고 있다는 것은 다른 이야기이며, 확인은 기록과 시스템에서 해야 합니다.

재위탁이라는 사각지대

수탁사가 다시 다른 업체에 업무를 맡기는 것을 재위탁이라고 합니다. 여기서 관리가 무너지는 경우가 많습니다. 위탁자는 자신이 계약한 회사까지만 보고 있는데, 정작 데이터를 만지는 것은 그 아래 회사인 상황이 벌어집니다.

사슬이 길어질수록 통제는 약해지고 시야는 짧아집니다. 그래서 재위탁은 계약 단계에서 사전 동의를 받도록 제한하고, 실제로 재위탁이 이뤄지고 있는지를 주기적으로 확인해야 합니다. 계약서에 금지 조항을 넣어 두고 확인하지 않는 것은, 금지하지 않은 것과 결과가 같습니다.