개인정보 처리위탁 · 제3자 제공

개인정보 처리위탁이란?

개인정보를 외부에 넘길 때 계약서 제목이 '위탁'이면 위탁이 된다고 생각하기 쉽습니다. 그러나 구분 기준은 제목이 아니라 누구의 업무와 이익을 위해 쓰이는가입니다. 회사가 교육 운영을 맡기면서 교육업체에 수강생 명단을 넘기는 것은 회사의 교육 업무를 대신 처리하게 하는 것이므로 처리위탁입니다. 같은 명단을 교육업체가 자기 공개과정 홍보에 쓴다면 그 순간부터는 받는 쪽의 이익을 위한 제3자 제공이 됩니다.

두 경우에 요구되는 절차가 다릅니다. 처리위탁은 정보주체의 동의를 따로 받지 않아도 되지만, 대신 회사가 세 가지를 해야 합니다. 위탁 목적과 범위, 목적 외 처리 금지, 재위탁 제한, 안전조치, 감독, 손해배상 책임을 담은 문서로 위탁할 것, 위탁하는 업무와 수탁자를 개인정보 처리방침 등으로 공개할 것, 수탁자를 교육하고 처리 현황을 점검할 것입니다. 수탁자가 다시 다른 곳에 맡기려면 위탁자의 동의가 필요합니다.

제3자 제공은 원칙적으로 정보주체의 동의가 필요하고, 받는 자와 이용 목적, 항목, 보유 기간, 거부할 권리를 알려야 합니다. 판단이 애매한 경우에는 넘긴 뒤 그 정보를 누가 지배하고 관리하는가를 봅니다. 회사가 지시한 범위 안에서만 쓰고 교육이 끝나면 돌려주거나 파기한다면 위탁 쪽이고, 받는 쪽이 독자적으로 판단해 계속 보유하고 활용한다면 제공 쪽입니다. 조문과 제재 수준은 개인정보보호위원회의 최신 안내로 확인해야 합니다.

현장에서 어긋나는 지점은 메일 한 통으로 넘어가는 엑셀 명단입니다. 견적 단계에서 계약도 없이 이름·부서·연락처가 건너가고, 교육이 끝난 뒤에도 업체 담당자의 메일함에 남습니다. 수탁자가 사고를 내면 법은 그 수탁자를 위탁한 회사의 직원처럼 보아 회사가 책임을 집니다. 필요한 항목만 넘기고, 계약서에 교육 종료 뒤 파기와 그 확인을 넣고, 처리방침의 수탁자 목록을 실제와 맞춰 두는 세 가지가 최소한의 방어입니다.