대행사에 고객 명단을 맡겼다면 매년 해야 하는 일: 수탁자 교육과 점검

배송 대행사에 주소와 연락처를 넘기고, 문자 발송 업체에 번호를 올리고, 마케팅 대행사에 구매 이력을 보냅니다. 계약서에 도장을 찍고 명단을 보낸 뒤로는 대부분 아무 일도 하지 않습니다. 계약이 한 번이니 의무도 한 번이라고 생각하기 때문입니다.

그런데 개인정보 보호법 제26조가 위탁자에게 지운 의무는 계약 체결로 끝나지 않습니다. 교육과 점검은 위탁이 이어지는 동안 계속해야 하는 일입니다. 2023년 개정으로 재위탁 동의와 N차 수탁자 공개까지 얹히면서 챙길 범위가 한 단계 넓어졌습니다.

명단을 넘긴 순간부터 수탁자의 사고는 우리 사고가 됩니다

제26조 제7항은 수탁자가 위탁받은 업무와 관련해 법을 위반해 발생한 손해배상책임에 대하여 수탁자를 개인정보처리자의 소속 직원으로 본다고 정합니다. 대행사 직원이 명단을 빼돌려도 배상 책임은 우리 직원이 한 일처럼 따라옵니다.

"계약서에 책임은 수탁자가 진다고 썼으니 괜찮다"는 생각이 가장 위험합니다. 그 조항은 우리와 대행사 사이의 정산 문제일 뿐이고, 정보주체에 대한 책임은 그대로 남습니다.

위탁은 개인정보를 남에게 넘기는 일이 아니라, 남의 손을 빌려 우리가 계속 처리하는 일입니다.

법이 위탁자에게 시키는 일은 교육과 점검 두 가지입니다

제26조 제4항은 위탁자가 수탁자를 교육하고, 처리 현황 점검 등 대통령령으로 정하는 바에 따라 수탁자가 개인정보를 안전하게 처리하는지를 감독해야 한다고 정합니다. 2026년 3월 10일 개정으로 문구가 "유출등이 되지 아니하도록"으로 정리되어 2026년 9월 11일부터 시행되고 있습니다.

시행령 제28조 제6항은 감독 범위를 더 넓게 잡습니다. 수탁자가 법령상 개인정보처리자 준수사항과 법 제26조 제1항 각 호의 사항을 지키는지까지 보라는 뜻입니다. 결국 계약서에 쓴 내용을 지키는지 우리가 확인해야 합니다.

1. 위탁업무의 목적 및 범위
2. 재위탁 제한에 관한 사항
3. 개인정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항
4. 보유하고 있는 개인정보의 관리 현황 점검 등 감독에 관한 사항
5. 수탁자가 의무를 위반한 경우의 손해배상 등 책임에 관한 사항

법에는 '매년'이라는 주기가 없어서 주기를 우리가 정해야 합니다

법과 시행령 어디에도 교육과 점검을 몇 번 하라는 숫자는 없습니다. 흔히 쓰는 "연 1회"는 법문이 아니라 실무에서 굳은 기준입니다. 이 점은 분명히 알고 계셔야 합니다.

그래서 판단은 이렇습니다. 주기가 법에 없다는 말은 아무 때나 해도 된다는 뜻이 아니라, 주기를 정해 문서로 남긴 쪽이 이긴다는 뜻입니다. 내부 지침에 "위탁 건별 연 1회 이상"을 적고 그 주기를 지킨 기록을 쌓는 것이 가장 싼 방어입니다.

법이 주기를 비워 둔 자리를 우리가 채우지 않으면, 사고가 난 뒤에 조사관이 채웁니다.

2023년 9월부터 재위탁에는 우리 동의가 필요합니다

2023년 3월 14일 신설된 제26조 제6항은 수탁자가 위탁받은 처리 업무를 제3자에게 다시 위탁하려면 위탁자의 동의를 받아야 한다고 정합니다. 시행일은 2023년 9월 15일이었습니다.

과태료는 동의 없이 재위탁한 수탁자에게 붙고, 제75조 제3항 제1호가 2천만원 이하로 정합니다. 위탁자인 우리가 할 일은 동의 요청을 받았을 때 메일로 "네" 한 줄 보내고 끝내지 않는 것입니다.

동의 공문에는 재위탁처 상호, 재위탁 업무의 범위, 넘어가는 개인정보 항목을 적게 하세요. 그 문서가 다음 해 점검과 처리방침 갱신의 출발점이 됩니다.

공개해야 하는 수탁자는 1차 대행사가 아니라 N차 전부입니다

제26조 제2항은 수탁자를 정의하면서 "위탁받은 업무를 다시 위탁받은 제3자를 포함"한다고 괄호로 못박았습니다. 2023년 개정으로 들어간 문구입니다. 정보주체가 언제든 쉽게 확인할 수 있도록 공개할 명단에 2차·3차 수탁자가 모두 들어갑니다.

공개 방법은 시행령 제28조 제2항이 정합니다. 위탁자의 인터넷 홈페이지에 위탁 업무의 내용과 수탁자를 지속적으로 게재하는 것이 원칙이고, 보통 개인정보 처리방침의 위탁 표가 이 역할을 합니다.

홈페이지에 게재할 수 없으면 제3항의 네 가지 중 하나 이상을 써야 합니다. 사업장 등 보기 쉬운 장소 게시, 관보나 시·도 이상을 주된 보급지역으로 하는 신문 게재, 연 2회 이상 발행하는 간행물·청구서 게재, 계약서에 실어 발급하는 방법입니다.

마케팅 대행은 공개만으로 끝나지 않습니다

제26조 제3항은 재화나 서비스를 홍보하거나 판매를 권유하는 업무를 위탁하는 경우, 위탁 업무의 내용과 수탁자를 정보주체에게 알리도록 합니다. 홈페이지 공개와 별개로 개별 고지를 해야 하고, 업무 내용이나 수탁자가 변경된 경우에도 또한 같습니다.

방법은 시행령 제28조 제4항이 "서면등의 방법"으로 정합니다. 과실 없이 알릴 수 없을 때는 제5항에 따라 홈페이지에 30일 이상 게재해야 하고, 홈페이지를 운영하지 않으면 사업장 등 보기 쉬운 장소에 30일 이상 게시해야 합니다.

이 항 위반이 제26조에서 가장 비쌉니다. 제75조 제2항 제12호가 3천만원 이하 과태료를 정합니다. 문자 발송 대행사를 바꿀 때 고지 없이 넘어가는 일이 특히 잦습니다.

점검했다는 증빙은 이렇게 갈라서 남기세요

점검을 했다는 사실은 말로 증명되지 않습니다. 조사가 들어오면 서류만 봅니다. 근거 조항별로 갈라 두면 어디가 비었는지 바로 보입니다.

표에서 교육 칸만 법적 형식이 비어 있습니다. 직접 교육하거나 수탁자가 받은 외부 교육 수료증을 받아 보관하는 두 가지 중 하나를 고르시면 됩니다. 누가 언제 무엇을 들었는지가 남는 것이 핵심입니다.

과태료가 붙는 항과 시정명령만 남는 항이 다릅니다

제75조를 보면 제26조 제1항 위반(문서 미비)과 제2항 위반(공개 미이행)은 1천만원 이하, 제6항 위반(무단 재위탁)은 2천만원 이하, 제3항 위반(마케팅 고지 누락)은 3천만원 이하입니다. 반면 교육과 감독을 정한 제4항은 과태료 조항에 직접 등장하지 않습니다.

그래서 교육과 점검은 안 해도 된다고 읽으면 안 됩니다. 개인정보보호위원회 2023년 7월 12일 의결(제2023-012-130호)에서, 채용 평가 업무를 위탁한 사업자가 수탁사 관리·감독을 소홀히 해 응시자 개인정보가 유출된 사안을 제26조 제4항 위반으로 봤습니다. 처분은 교육·감독 절차를 자체적으로 마련해 시행하라는 시정명령과 60일 내 이행결과 제출이었습니다.

같은 사건에서 계약서에 안전성 확보 조치와 관리 현황 점검 등 감독에 관한 사항이 빠진 부분은 제26조 제1항 위반으로 과태료가 붙었습니다. 기준금액 200만원에서 50% 감경되어 100만원이었습니다. 금액은 작지만 유출 사고와 묶여 공개된다는 점이 실제 비용입니다.

이 순서가 맞지 않는 경우도 있습니다

클라우드나 셀러툴처럼 여러 고객의 업무를 받는 전문 수탁자에게는 우리가 직접 교육을 하기 어렵습니다. 2025년 7월 15일 발간된 「개인정보 처리 통합 안내서」가 이 상황을 다루며, ISMS-P 등으로 주기적 점검을 받고 있는 경우의 관리·감독 방법을 안내합니다. 이 안내서가 나오면서 기존 「개인정보 처리 위·수탁 안내서(2020. 12.)」는 폐지됐습니다.

제3자 제공과 위탁은 다른 제도라는 점도 짚어야 합니다. 우리 업무를 위해 처리를 맡기는 것이 아니라 상대방의 목적으로 넘기는 것이라면 제26조가 아니라 동의 문제로 넘어갑니다. 그때는 이 글의 점검표를 쓸 수 없습니다.

운영 단계에서 챙길 항목은 실무 가이드에 더 모아 두었습니다. 조문 전문은 개인정보 보호법 제26조에서 확인하실 수 있습니다. 위탁 구조 정리나 처리방침 갱신이 필요하시면 Codeforest로 문의하세요.

결론: 계약서가 아니라 점검 기록이 우리를 지킵니다

매년 할 일은 네 가지로 정리됩니다. 수탁자 교육, 처리 현황 점검, 재위탁 동의 내역 확인, 그리고 N차 수탁자까지 반영한 공개 내용 갱신입니다. 마케팅 대행을 쓰신다면 개별 고지가 하나 더 붙습니다.

주기는 법이 정해주지 않으니 우리가 정해야 합니다. 연 1회를 내부 지침에 박아 두고, 위 표의 서류를 위탁 건별 폴더로 쌓아두세요. 사고가 났을 때 제26조 제7항의 책임을 줄여주는 것은 계약서 문구가 아니라 그 폴더입니다.