개인정보 '위탁'과 '제3자 제공'은 어떻게 다른가 — 결제대행·택배·알림톡·클라우드는 처리방침 어디에 적나

표 1. 자주 쓰는 업체·도구별 판정표

위탁인지 제공인지는 무엇으로 가르나요?

기준은 '누구의 일, 누구의 이익을 위해 정보가 넘어가는가'입니다. 대법원 2016도13263 판결은 제3자 제공을 본래의 수집·이용 목적 범위를 넘어 정보를 제공받는 자의 업무 처리와 이익을 위해 개인정보가 이전되는 경우로, 처리위탁을 본래의 수집·이용 목적과 관련된 위탁자 본인의 업무 처리와 이익을 위해 이전되는 경우로 정의했습니다. 수탁자는 대가를 받는 것 외에 개인정보 처리에 독자적인 이익이 없고 위탁자의 관리·감독 아래 위탁 범위에서만 처리하므로, 법 제17조의 '제3자'가 아닙니다.

같은 판결은 판단 요소로 개인정보의 취득 목적과 방법, 대가 수수 여부, 수탁자에 대한 실질적인 관리·감독 여부, 정보주체 보호 필요성에 미치는 영향, 그리고 그 개인정보를 이용할 필요가 있는 자가 실질적으로 누구인지를 종합하라고 했습니다. 결제대행사가 우리 매출의 결제를 대행하는 부분은 통상 위탁이지만, 결제사가 자기 목적으로 처리하는 부분이 있는지는 계약 구조를 확인해야 합니다. 반대로 제휴사가 우리 회원 명단을 받아 자기 상품을 판다면, 계약서 제목이 '업무 제휴'든 '위탁'이든 제공입니다.

애매한 영역은 상대방이 우리 일도 해 주면서 자기 목적에도 쓰는 경우입니다. 광고 플랫폼이 우리 광고 성과를 측정해 주는 동시에 그 데이터로 자기 광고 모델을 고도화한다면 측정 부분은 위탁, 자기 이용 부분은 제공의 성격을 띱니다. 이런 도구는 계약 조건(데이터 공유 설정, 광고 개인화 설정)에 따라 결론이 갈리므로 설정값까지 확인해야 합니다.

위탁이면 동의를 받아야 하나요?

법 제26조에는 정보주체의 동의를 받으라는 규정이 없습니다. 위탁자가 해야 할 일은 네 가지입니다. 첫째, 위탁은 목적 외 처리 금지, 기술적·관리적 보호조치, 그리고 시행령 제28조 제1항이 정한 위탁 업무의 목적·범위, 재위탁 제한, 접근 제한 등 안전성 확보 조치, 관리 현황 점검 등 감독, 손해배상 등 책임에 관한 사항이 담긴 문서로 해야 합니다(제26조 제1항). 둘째, 위탁하는 업무의 내용과 수탁자(재수탁자 포함)를 홈페이지에 지속적으로 게재해 공개합니다(제26조 제2항, 시행령 제28조 제2항). 셋째, 수탁자를 교육하고 처리 현황을 점검하는 등 감독합니다(제26조 제4항). 넷째, 수탁자가 다른 업체에 다시 맡기려면 위탁자의 동의를 받아야 하므로 재위탁 동의 절차를 계약에 둡니다(제26조 제6항).

제3자 제공은 다릅니다. 대표적인 근거는 정보주체의 동의, 또는 법률 규정·법령상 의무·공공기관 소관 업무·급박한 생명·신체·재산 이익·정당한 이익·공공의 안전을 근거로 수집한 정보를 그 목적 범위에서 제공하는 경우입니다(제17조 제1항). 그 밖에 당초 수집 목적과 합리적으로 관련된 범위에서 불이익 여부와 안전조치 등을 고려한 추가 제공(제17조 제4항), 별도 동의·다른 법률의 특별한 규정·급박한 생명 등 제18조 제2항이 정한 목적 외 제공 사유가 있습니다. 동의를 받을 때는 제공받는 자, 그 자의 이용 목적, 제공 항목, 보유·이용 기간, 동의 거부권과 불이익을 알려야 하고 이 가운데 하나라도 바뀌면 다시 알리고 동의를 받아야 합니다(제17조 제2항). 동의 화면에는 이 다섯 가지를 알리고, 처리방침의 제3자 제공 항목에는 그중 받는 자, 목적, 항목, 보유·이용 기간 네 가지를 적는 것이 널리 쓰이는 작성 관행이자 이 글의 실무 정리입니다.

수탁자가 위탁받은 업무와 관련해 법을 위반하면 손해배상 책임에서 수탁자를 위탁자의 소속 직원으로 봅니다(제26조 제7항). 위탁자가 수탁자의 관리·감독이나 교육을 소홀히 해 수탁자가 법을 위반하면 위탁자에게 과징금이 부과될 수 있습니다(제64조의2 제1항 제5호). 위탁은 동의가 필요 없는 대신 책임이 따라온다는 뜻입니다.

처리방침의 어느 항목에 무엇을 적나요?

• 위탁: '개인정보 처리 업무의 위탁' 항목에 위탁하는 업무의 내용과 수탁자를 적습니다(법 제30조 제1항 제4호·제26조 제2항). 재수탁자가 있으면 재수탁자도 수탁자에 포함됩니다. 수탁자가 많거나 자주 바뀌면 2026년 4월 공개된 개정 작성지침(권장, 보도 기준)에 따라 유형별로 적을 수 있지만, 실제 수탁자를 확인할 수 있는 경로를 함께 안내해야 합니다.
• 제3자 제공: '개인정보의 제3자 제공' 항목에 제공받는 자, 제공받는 자의 이용 목적, 제공하는 항목, 제공받는 자의 보유·이용 기간을 적습니다(법 제30조 제1항 제3호·제17조 제2항). 법령에 따른 제공은 근거 법령과 조문을 함께 적는 것이 실무에서 권장되는 방식입니다.
• 수탁자의 처리 과정에서 개인정보가 실제로 국외에 저장·처리·조회되면 위탁 항목과 별도로 '국외 이전' 항목에 이전 항목, 국가·시기·방법, 받는 자, 목적·기간, 거부 방법을 적습니다(시행령 제31조 제1항 제2호).
• 해당 사항이 없으면 항목 자체를 두지 않아도 됩니다. '제3자에게 제공하지 않습니다'라고 쓰면서 실제로는 제휴사에 넘기고 있으면 처리방침이 아니라 제공 자체가 문제가 됩니다.

마케팅 목적 위탁은 따로 알려야 하나요?

예. 재화나 서비스를 홍보하거나 판매를 권유하는 업무를 위탁할 때는 처리방침 공개와 별도로 위탁 업무의 내용과 수탁자를 정보주체에게 알려야 하고, 업무 내용이나 수탁자가 바뀌어도 다시 알려야 합니다(법 제26조 제3항). 알리는 방법은 서면·전자우편·문자 같은 '서면등'이며(시행령 제28조 제4항), 과실 없이 이 방법으로 알릴 수 없으면 홈페이지에 30일 이상 게재하고, 홈페이지가 없으면 사업장의 보기 쉬운 곳에 30일 이상 게시합니다(제28조 제5항). 이를 어기면 3천만원 이하 과태료 대상입니다(법 제75조 제2항 제12호). 광고 문자를 보내려면 정보통신망법상 수신 동의가 별도로 필요하다는 점도 기억해야 합니다.

표 2. 위탁·제공 관련 제재

지금 처리방침에 적힌 수탁자가 실제와 맞는지 확인하려면

가장 흔한 결함은 수탁자 목록이 2~3년 전 상태로 멈춰 있는 것입니다. 결제대행사를 바꾸고, 챗봇을 붙이고, 이메일 발송 도구를 갈아탔는데 처리방침은 그대로인 경우입니다. 개인정보 처리방침 점검기에 사이트 주소를 넣으면 사이트가 실제로 불러오는 결제·분석·고객관리 도구를 읽어 처리방침의 위탁·국외 이전 기재와 대조하고, 처리방침에 없는 도구를 '기재 누락 가능'으로 표시합니다. 문서 기준의 1차 확인이므로, 서버 쪽에서만 쓰는 수탁자(택배·세무·콜센터)는 계약 목록으로 따로 맞춰야 합니다.

처리방침 전체 법정 항목은 처리방침 필수 항목 점검표에서, 위반 항목별 과태료 전체는 과태료·과징금 금액표에서 볼 수 있습니다.

참고 자료

• 개인정보 보호법 제17조(개인정보의 제공)
• 개인정보 보호법 제18조(개인정보의 목적 외 이용·제공 제한)
• 개인정보 보호법 제26조(업무위탁에 따른 개인정보의 처리 제한)
• 개인정보 보호법 시행령 제28조(개인정보의 처리 업무 위탁 시 조치)
• 개인정보 보호법 제30조(개인정보 처리방침의 수립 및 공개)
• 대법원 2017. 4. 7. 선고 2016도13263 판결(제3자 제공과 처리위탁의 구별 기준)
• 개인정보 보호법 제75조(과태료)
• 개인정보 보호법 제71조(벌칙)
• 개인정보 보호법 제64조의2(과징금의 부과)
• 개인정보보호위원회 2026. 4. 24. 보도자료(개인정보 처리방침 작성지침 개정)