개인정보처리방침에서 제3자 제공과 위탁, 헷갈릴 때 구분법
‘제3자 제공’과 ‘업무위탁’은 개인정보처리방침에서 가장 많이 혼동되는 항목입니다. 저 역시 실무에서 늘 이 부분을 이중으로 검토합니다. 특히 PG사나 문자발송사처럼 경계가 모호한 경우에는 두 항목 모두 표기하는 사례도 많습니다. 이번 글에서는 두 개념을 명확히 구분하고, 실제 작성 시의 판단기준과 주의점을 정리했습니다.
1. 헷갈리는 이유부터 체크
개인정보처리방침을 작성할 때 ‘제3자 제공’과 ‘위탁’을 구분하는 일은 실무자라면 누구나 한 번쯤 혼란스러워하는 부분입니다. 저 역시 여러 번 검토하고 법조문과 해석사례를 다시 확인한 적이 많습니다.
이 두 항목은 모두 ‘외부에 개인정보를 전달하는 행위’라는 점에서 같지만, 법적 책임 주체와 활용 목적이 완전히 다릅니다. 그래서 저는 실제 업무에서는 항상 “이건 내 일을 대신하는 건가? 아니면 그쪽 목적을 위한 건가?” 이 두 가지 질문으로 구분을 시작합니다.
2. 제3자 제공이란?
개인정보 보호법 제17조: 개인정보처리자는 정보주체의 동의를 받아야 제3자에게 개인정보를 제공할 수 있다.
- 핵심 포인트:
- 내 고객정보를 ‘다른 주체가 자기 목적’ 으로 활용할 때
- 즉, 내 업무를 넘긴 게 아니라 그들의 업무나 이익을 위해 쓰이는 경우
- 예시:
- 제휴사 공동 마케팅을 위해 고객정보 제공
- 보험사, 카드사 등에 개인식별정보 제공
- 이벤트 공동 주최사에 참여자 정보 전달
- 개인정보처리방침 기재항목:
- 제공받는 자의 명칭
- 제공 목적
- 제공 항목
- 보유 및 이용기간
- 동의 거부 시 불이익
제3자 제공은 “내 고객 정보를 다른 회사가 자기 일에 쓰는 경우”입니다. 정보주체의 명시적 동의가 필수입니다.
3. 업무 위탁이란?
개인정보 보호법 제26조: 개인정보처리자는 개인정보 처리를 위탁하는 경우 수탁자를 관리·감독하여야 한다.
- 핵심 포인트:
- 내 업무를 ‘대신 수행’ 하는 형태
- 개인정보의 소유권은 그대로 나에게 있고, 상대는 단순 대행자 역할
- 예시:
- 고객센터 상담 대행
- 문자(SMS) 발송 대행
- 전산시스템 유지보수
- 클라우드 서버 보관
- 개인정보처리방침 기재항목:
- 수탁자(위탁받는 자) 명칭
- 위탁 업무의 내용
- 관리·감독 기준
위탁은 “내 일을 대신하는 경우”입니다. 고객의 동의는 불필요, 다만 고지 및 관리감독은 필수입니다.
4. 헷갈릴 때는 이렇게 판단
| 구분 항목 | 제3자 제공 | 업무 위탁 |
|---|---|---|
| 법적 근거 | 개인정보보호법 제17조 | 개인정보보호법 제26조 |
| 동의 필요 | 필요 | 불필요 (고지만) |
| 사용 목적 | 제3자의 자체 목적 | 위탁자의 업무 수행 |
| 책임 주체 | 제공받은 자 | 위탁자 |
| 대표 예시 | 마케팅 제휴사, 이벤트 공동주최 | 고객센터, 문자발송, 클라우드 서버 |
5. PG사나 문자발송사처럼 ‘이중 표기’가 필요한 경우
실무에서 가장 애매한 경우가 바로 PG사(결제대행사) 와 SMS 발송업체입니다. 이들은 ‘위탁’으로 처리하는 것이 원칙이지만, 상황에 따라 제3자 제공으로도 동시에 표기합니다.
- 이중 표기의 이유
- 위탁 측면:
- 결제처리나 문자발송은 사업자의 업무를 대신 수행하는 것이므로 ‘위탁’에 해당
- 제3자 제공 측면:
- 해당 업체가 법적 의무나 거래 안정성 확보를 위해 정보를 ‘자체 보관 및 사용’하는 경우가 있음
- 예: 결제취소, 부정거래 탐지, 전송기록 보관 등
즉, 고객정보를 단순히 전달받아 ‘대행만’ 한다면 위탁, 그 정보 일부를 ‘자체 목적’으로도 활용한다면 제3자 제공 항목에도 함께 명시하는 것이 안전합니다.
저 역시 이 부분은 법률 자문이나 가이드라인을 두 번씩 확인하는 항목입니다. 가장 실무적으로 안전한 방법은 “이중 표기” 후, 각 항목에 목적을 명확히 분리 기재하는 것입니다.
예시)
- 제3자 제공: “㈜○○PG사 – 결제 승인 및 부정거래 방지 목적”
- 위탁업체: “㈜○○PG사 – 결제대행 서비스 제공”
6. 실제 작성 순서
- 업무 프로세스 그리기 → 어떤 개인정보가 누구에게, 왜 전달되는지 흐름도 작성
- 목적 기준으로 구분 → “내 일 대신?” → 위탁 / “그들의 목적?” → 제3자 제공
- PG, SMS 등 경계 사례는 이중검토 → 내부관리계획상 이중 표기 근거를 메모
- 최종적으로 개인정보처리방침에 명확히 병기
7. 관리 포인트
- 제3자 제공 동의 없이 정보 제공 시 → 법 위반 및 과태료 부과 가능
- 위탁 계약 미체결 시 → 관리감독 의무 위반
- 제3자 제공 및 위탁 항목은 변경 시 즉시 업데이트 필요 (수탁자 변경, 제휴 종료 시 재공지 필수)
**8. 정리하면.. **
제3자 제공과 위탁은 단순히 형식적 구분이 아니라, 개인정보 책임과 법적 의무의 방향을 결정하는 기준입니다.
저 역시 매번 새 서비스나 제휴가 생길 때마다 ‘이건 위탁일까, 제3자 제공일까?’ 를 다시 한 번 검토합니다. PG나 문자발송사처럼 경계가 모호한 경우에는 두 항목 모두 표기하는 것도 실무적으로 꽤 안전한 선택인 듯 싶습니다.