본문바로가기

고객사는 온라인 유통 및 이커머스 사업을 영위하는 기업으로 보안솔루션 유지보수를 외부에 위탁하면서 중개사와 복수 수행사가 존재하는 구조에서 개인정보처리 위수탁 관계의 설정 및 관리·감독 방식에 대한 자문을 요청하였습니다.

법무법인 민후는 개인정보처리 위탁 관계는 형식적인 계약 구조가 아니라 실질적으로 개인정보를 처리하는지 여부를 기준으로 판단해야 한다는 점을 전제로 검토를 진행하였습니다. 그 결과, 단순히 계약을 중개하는 업체가 개인정보에 접근하거나 이를 처리하지 않는 경우에는 「개인정보 보호법」상 수탁자에 해당하지 않으며 해당 업체를 수탁자로 포함하여 위수탁 약정을 체결하거나 점검·교육을 실시할 법적 의무는 없다는 점을 안내하였습니다.

반면, 유지보수 과정에서 시스템 접근을 통해 개인정보를 조회·처리하는 업체는 개인정보 처리 수탁사에 해당하며 고객사가 해당 업체와 직접 개인정보처리 위수탁 약정을 체결하고 관리·감독을 수행하는 것이 법적으로 가장 명확하고 안전한 구조라는 점을 안내하였습니다. 특히 개인정보의 ‘조회’ 행위 역시 법상 개인정보 처리에 해당하므로, 이를 수행하는 업체를 수탁사에서 제외하는 것은 법 위반의 소지가 있다는 점을 명확히 설명하였습니다.

아울러 책임 분담을 목적으로 계약 중개업체를 형식상 수탁자로 실제 유지보수업체를 재수탁자로 두는 구조를 고려할 수는 있으나 이는 법적 정의와 완전히 부합하지 않아 관리·감독의 혼선과 책임 귀속 리스크가 발생할 수 있음을 지적하였습니다. 이에 따라 실질적인 개인정보 처리 주체인 유지보수업체를 직접 수탁자로 관리·감독하되 중개업체와의 계약에는 수탁사 선정·관리 협력 의무를 명시하는 방식이 가장 안정적인 대안이라는 점을 종합적으로 의견을 제시하였습니다.

본 자문을 통해 고객사는 개인정보 보호법에 부합하는 위수탁 구조를 정비하고 외부업체 활용 과정에서 발생할 수 있는 법적 책임과 규제 리스크를 보다 명확하게 관리할 수 있는 기준을 마련할 수 있었습니다.

최근 유사 업무사례
더보기 +