개인정보의 처리 업무위탁시 의무 조치사항 안내

□ 관련규정 - 세부내역 [붙임6] 참조

❍ 개인정보보호법(이하 “법”이라고 칭함) 제26조(업무위탁에 따른 개인정보의 처리 제한) 및 시행령(이하“영”이라고 칭함) 제28조(개인정보의 처리 업무 위탁시 조치)

❍ 행정안전부 표준 개인정보보호지침 제16조(수탁자의 선정시 고려사항), 제17조(개인정보 보호 조치의무)

□ 개인정보 처리 업무의 위탁 개요

“처리”란 개인정보의 수집, 생성, 연계, 연동, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정(訂正), 복구, 이용, 제공, 공개, 파기(破棄), 그 밖에 이와 유사한 행위를 말한다. (개인정보보호법 제2조)

❍ 개인정보 처리 업무의 위탁(이하 “업무 위탁”이라 함)의 유형

- 개인정보의 수집․관리 업무 그 자체를 위탁하는 개인정보처리업무 위탁

- 개인정보의 이용․제공이 수반되는 업무를 위탁하는 개인정보취급업무 위탁

□홍보, 판매권유 등 마케팅 업무의 위탁

□배달, 애프터서비스 등 계약이행 업무의 위탁

❍ “업무 위탁”과 “제3자 제공”의 비교

구 분	업 무 위 탁	제3자 제공
처리 목적	제공하는 자의 이익/목적	제공받는 자의 이익/목적
관리 범위	제공하는 자의 책임	제공받는 자 책임
예 시	· 민원처리 만족도 조사를 위해 리서치 업체에 직원 정보 제공 · 직원 교육을 위해 교육 위탁 업체에 직원 명단 제공 · SMS를 통한 홍보를 위해 고객의 전화번호를 문자발송 업체에 전달	· 경찰에 수사자료로 제공 · 감사기관(수사 수행목정) 등 에 감사자료로 제출 · 마트이벤트 고객정보를 보험 회사 마케팅에 제공

※ 개인정보 처리시스템에 대한 유지보수 용역도 업무위탁으로 간주하여 조치 요망

□ 업무 위탁시 위탁자와 수탁자의 책무

위 탁 자

❍ 위탁시 개인정보보호 의무사항 문서화 (법 제26조제1항, 영 제28조제1항)

❍ 위탁업무 내용 및 수탁자 공개 (법 제26조제2항, 영 제28조제2항)

❍ 홍보 또는 판매권유 업무를 위탁하는 경우에는 정보주체에게 개별통지

(법 제26조제3항, 영 제28조제4,5항)

❍ 수탁자에 대한 개인정보보호 교육 및 관리감독 (법 제26조제4항, 영 제28조제6항)

❍ 수탁자의 불법행위로 인한 손해배상책임 (법 제26조제6항, 영 제28조제1항)

- 수탁자가 위탁받은 업무를 처리하는 과정에서 법을 위반하여 손해배상책임이 발생한 경우 수탁자를 개인정보처리자(위탁자)의 소속직원 보아 위탁자가 손해배상책임을 짐(즉, 위탁자는 수탁자의 사용자로 간주되어 수탁자 선임 및 감독 등 사용자책임을 짐)

※ 벌칙규정

위 반 행 위	벌칙 또는 과태료
업무위탁 시 제26조제1항 각 호의 내용이 포함된 문서에 의하지 아니한 자 (법 제26조제1항 위반)	1천만원 이하의 과태료 (제75조제3항제4호)
업무위탁에 따른 개인정보 처리사실을 공개하지 아니한 자 (법 제26조제2항 위반)	1천만원 이하의 과태료 (제75조제3항제5호)
정보주체에게 알려야 할 사항을 알리지 아니한 자 (법 제26조제3항 위반)	3천만원 이하의 과태료 (제75조제2항제1호)

수 탁 자

❍ 개인정보를 안전하게 보호하기 위한 조치 이행 (법 제26조제7항)

- 개인정보처리자의 개인정보보호 의무규정 준용

❍ 수탁업무 목적 외 개인정보 이용․제공 금지 (법 제26조제5항)

※ 벌칙규정

위 반 행 위	벌칙 또는 과태료
업무위탁 범위를 초과하여 개인정보를 이용하거나 제3자에게 제공한 수탁자 (법 제26조제5항 위반)	5년 이하 징역 또는 5천만원 이하의 벌금 (제71조제2호)

□ 업무 위탁 부서의 조치사항

❍ 위탁업체 선정시 개인정보보호 능력 고려

- 위탁자가 수탁자를 선정할 때에는 ①인력, ②물적시설, ③재정부담 능력, ④기술보유 정도, ⑤책임능력 등을 종합적으로 고려하여야 함.(표준 개인정보보호지침 제16조)

❍ 위탁 계약서 보완 → 개인정보보호 의무사항 명시

- 제3자에게 개인정보 처리업무를 위탁하는 경우에는 다음 각 호의 내용이 포함된 문서에 의하여야 함.

	< 위탁계약서에 필수적으로 포함시켜야 하는 내용 >
① 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항 ② 개인정보의 기술적․관리적 보호조치에 관한 사항 ③ 위탁업무의 목적 및 범위 ④ 재위탁 제한에 관한 사항 ⑤ 개인정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항 ⑥ 위탁업무와 관련 개인정보의 관리현황 점검 등 감독에 관한 사항 ⑦ 수탁자가 준수하여야 할 의무를 위반한 경우의 손해배상 등에 관한 사항

- 기 체결된 위탁계약서에 위 사항이 누락된 경우에는 [붙임3]의 ‘개인정보 처리업무 위탁계약서 견본’을 참조하여 계약내용을 추가 보완

❍ 위탁 내용 공개 → 인터넷 홈페이지에 지속 게재

- 의무공개내용 : 위탁하는 업무의 내용, 개인정보 처리업무를 위탁받은 수탁자

- 공개방법 : 위탁자의 인터넷 홈페이지에 지속 게재. 만일 인터넷 홈페이지에 게재할 수 없는 경우에는 다음 각 호의 어느 하나 이상의 방법으로 공개

	< 위탁업무 공개방법 >
① 위탁자의 사업장 등의 보기 쉬운 장소에 게시하는 방법 ② 관보나 위탁자의 사업장이 소재하는 시ㆍ도 이상의 지역을 주된 보급지역으로 하는 일반일간신문, 일반주간신문 또는 인터넷신문에 싣는 방법 ③ 같은 제목으로 연 2회 이상 발행하여 정보주체에게 배포하는 간행물ㆍ소식지ㆍ홍보지 또는청구서 등에 지속적으로 싣는 방법 ④ 재화 또는 용역을 제공하기 위해 위탁자와 정보주체가 작성한 계약서 등에 실어 정보주체에게 발급하는 방법

- 개인정보 처리업무를 위탁하고 있으나 현재 서울시 홈페이지에 위탁내용 및 수탁자를 공개하고 있지 않은 경우에는, [붙임4]의 ‘개인정보파일 처리 위탁 공개요청 서식’을 작성하여 정보통신보안담당관으로 신청

※ 위탁내용 공개여부 확인방법 : 소속기관 홈페이지(서울시는 www.seoul.go.kr)의 하단에 링크된 “개인정보 처리방침”의 개인정보의 처리위탁 목록에 해당 개인정보파일이 포함되어 있는지를 확인

- 만약, 홍보 및 판매권유 등 마케팅 업무를 위탁하는 경우에는 서면, e-mail, FAX, 전화, SMS 또는 이에 상당하는 방법으로 위탁하는 업무의 내용과 수탁자를 정보주체에게 개별 통지.

❍ 수탁자 교육 및 점검 실시

- 위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 분실·도난·유출·변조․훼손되지 아니하도록 수탁자를 교육하고, 수탁자가 법령 및 위․수탁 계약내용에 따라 개인정보를 안전하게 처리하는지를 감독하여야 함.

- 교육방법 : 부서별로 소관 수탁업체에 대한 자체 개인정보보호 교육계획을 수립 ․ 시행하거나 정보통신보안담당관에서 실시하는 위․수탁자 대상 개인정보보호 교육에 수탁업체의 개인정보취급자가 의무참석토록 안내.

- 점검방법 : 부서별로 소관 수탁업체에 대한 자체 점검계획을 수립 ․ 시행

- 교육 및 점검의 주요사항 : 법 제15조~제25조, 제27조~제31조, 제33조~제38조, 제59조, 영 제26조제1항 각 호의 사항을 준수하는지 여부

	< 수탁자 개인정보보호 교육 및 점검의 주요사항 >
- 개인정보의 수집․이용․제공․파기 및 처리제한 등에 관한 사항 - 개인정보취급자에 대한 감독 및 개인정보의 안전한 관리에 관한 사항 - 개인정보의 열람․정정․삭제․처리정지 등 정보주체의 권리보장에 관한 사항 - 개인정보 누설 및 이용․제공 금지 등 금지행위에 관한 사항 - 업무위탁에 따른 개인정보의 처리제한에 관한 사항 (위탁업무 수행 목적 외 개인정보 처리 금지, 재위탁 제한에 관한 사항 등)

❍ 개인정보파일 등록․수정

- 공공기관이 개인정보파일을 운용하는 경우에는 다음 각 호의 사항을 행정안전부의「개인정보보호 종합지원시스템(intra.privacy.go.kr)」에 등록하여야 함. (법 제32조1항, 영 제33조)

- 만약, 업무위탁 관련 개인정보파일이 등록되어 있지 않은 경우에는 개인정보취급자가 [붙임5]의 등록방법에 따라 개인정보보호책임자에게 등록 신청하여야 함.

※ 등록여부 확인방법 : 개인정보보호 종합지원포털(www.privacy.go.kr) 홈페이지에 접속하여 ‘개인정보민원 > 개인정보파일 검색’ 메뉴를 이용하여 개인정보파일명 검색

- 기 등록된 내용이 변경되었거나 부적정한 경우에도 위와 같은 방법으로 변경등록 신청하여야 함.

□ 행정사항

❍ “민간위탁 사무” 담당부서의 신중한 검토 요망

- 특히, “민간위탁 사무”를 관할하는 부서에서는 소관 사무가 개인정보보호법 상 “개인정보 처리 업무 위탁”에 해당되는지 여부를 각별히 검토하여, 의무사항 미이행에 따른 위법상태 발생을 미연에 방지하기 바람.

❍ 업무위탁 관련 의무이행 미비사항 보완조치 결과 통보 요망

- 위탁계약서 보완, 위탁내용의 공개 등 개인정보 처리업무의 위탁관련 미비점을 보완 조치한 경우, 그 결과를 지체 없이 정보통신보안담당관에게 제출 바람.