개인정보 위탁 vs 제3자 제공: 동의·계약 실무

개인정보 위탁과 제3자 제공은 받는 업체가 누구의 업무·목적으로 정보를 처리하는지부터 구분합니다. 우리 업무를 지시에 따라 대신 처리하면 위탁에 해당할 수 있고, 받는 업체가 자기 목적으로 사용하면 제3자 제공을 검토해야 합니다. 계약서 이름만으로 결정하지 않습니다.

동의 문제는 그다음입니다. 제3자 제공에도 법이 정한 동의 외 근거가 있고, 위탁에도 계약·공개·감독 의무가 있습니다. 이 글은 개인정보 보호법의 일반적인 구분을 설명하며, 개별 계약의 적법성은 실제 데이터 흐름과 적용 법령에 따라 확인해야 합니다.

위탁 vs 제3자 제공 비교표

제17조 제1항은 동의에 따른 제공과 일정한 법적 근거에 따른 제공을 구분하고, 제4항은 당초 수집 목적과 합리적으로 관련된 범위에서의 제공 요건을 둡니다. 따라서 “제3자 제공은 예외 없이 별도 동의”라고 판단하면 부정확합니다. 개인정보 보호법 제17조

계약 전에 확인할 5가지 질문

1. 맡기는 업무는 무엇인가? “고객정보 처리”처럼 넓게 쓰지 말고 주문 배송, 문의 응대 등으로 구체화합니다.
2. 받는 업체가 독자적으로 이용하는가? 자사 광고, 별도 고객 DB 구축, 범용 모델 학습 등에 쓰는지 약관과 실제 운영을 함께 봅니다.
3. 우리 지시와 관리·감독을 받는가? 처리 범위, 접근권한, 반환·파기 절차를 확인합니다. 위탁료 유무만으로 분류하지 않습니다.
4. 분류에 맞는 근거와 절차가 있는가? 제공이면 동의 또는 적용 가능한 법적 근거를, 위탁이면 제26조에 따른 문서·공개·감독을 확인합니다.
5. 국외 이전이 포함되는가? 해외 저장뿐 아니라 해외에서의 조회·처리위탁 여부도 확인합니다.

위탁이면 공개만 하면 끝나나요?

아닙니다. 제26조는 목적 외 처리 금지와 보호조치 등을 포함한 문서, 위탁업무와 수탁자의 공개, 수탁자 교육·감독을 규정합니다. 수탁자가 업무를 다시 위탁하려면 위탁자의 동의가 필요합니다. 홍보·판매 권유 업무의 위탁은 업무 내용과 수탁자를 정보주체에게 알리는 규정도 확인해야 합니다. 개인정보 보호법 제26조

다음은 계약과 운영을 함께 검토하기 위한 실무 점검표입니다. 법정 필수 기재사항을 특정 개수로 단순화한 표가 아닙니다.

교육·점검 주기는 데이터 위험도와 적용 규정에 맞춰 정합니다. 모든 사업자에게 일률적으로 “연 1회면 충분하다”고 판단하지 않습니다.

제3자 제공 동의를 받는다면 무엇을 알려야 하나요?

제17조 제2항에 따라 제공받는 자, 이용 목적, 제공 항목, 보유·이용 기간, 동의 거부권과 거부 시 불이익이 있는 경우 그 내용을 알려야 합니다. 법적 근거를 확인하지 않은 채 처리방침에 회사 이름만 적는 것으로 제공 동의를 대체할 수는 없습니다. 제17조 제2항의 안내사항

클라우드·SaaS·LLM API는 어떻게 판단하나요?

서비스 종류만으로 일괄 분류하지 않습니다. 우리 목적의 저장·처리를 대행하는 부분과 공급자가 독자적 목적으로 이용하는 부분을 나눠 확인하세요. 특히 학습 이용 조건, 보유기간, 지원 인력의 접근 국가, 재위탁 업체를 계약 자료와 대조합니다.

국외 이전이 있다면 제28조의8에 따른 근거를 별도로 확인합니다. 예를 들어 계약 체결·이행에 필요한 처리위탁·보관은 해당 조문의 공개 또는 알림 요건을 충족하는 방식이 있지만, 모든 해외 서비스가 처리방침 공개만으로 허용되는 것은 아닙니다. 개인정보 보호법 제28조의8

실무 사례로 구분하기

• 배송업체가 주문 배송만 수행: 위탁 여부와 계약·공개·감독 체계를 검토합니다.
• 제휴사가 명단으로 자사 상품 홍보: 제3자 제공의 근거와 제공 범위를 확인합니다.
• 계열사가 공동 시스템만 운영: “같은 그룹”이라는 이유로 예외 처리하지 말고 실제 역할을 확인합니다.
• AI 공급자가 입력을 자체 모델 개선에 사용: 단순 처리 대행과 다른 이용 목적이 있는지 별도로 검토합니다.

판단 결과에는 “위탁/제공”이라는 결론만 남기지 말고, 업무 목적·전달 항목·이용 주체·적용 근거·종료 시 처리 방법을 함께 기록하세요.

분류가 애매할 때 쓰는 확인 절차

실무에서 분쟁이 생기는 지점은 계약서 제목이 아니라 데이터가 실제로 누구의 목적을 위해 처리되는가입니다. 제목이 "업무위탁 계약"이어도 실질이 제3자 제공이면 제3자 제공 규정이 적용될 수 있습니다.

오분류가 생기는 흔한 원인

• 수탁사가 받은 개인정보를 자사 서비스 개선·모델 학습 등 자기 목적에 함께 사용하는 조항이 있음
• 수탁사가 다른 업체에 다시 맡기는데(재위탁) 위탁자가 이를 모름
• 해외 클라우드·API를 쓰면서 국외 이전 요건 검토가 빠짐

확인 순서

1. 처리 목적: 계약서와 서비스 약관에서 "위탁 업무 수행 목적 외 이용 금지"가 명시돼 있는지, 반대로 제공받는 쪽의 이용 권한을 넓게 인정하는 조항은 없는지 봅니다.
2. 문서 필수 항목: 개인정보보호법 제26조와 시행령에 따라 위탁 문서에 들어가야 하는 사항(목적 외 처리 금지, 기술적·관리적 보호조치, 위탁 업무의 목적과 범위, 재위탁 제한, 관리·감독, 손해배상 책임 등)이 빠짐없이 있는지 대조합니다.
3. 재위탁: 수탁사의 하위 처리자 목록을 받고, 재위탁 시 위탁자 동의 절차가 계약에 있는지 확인합니다.
4. 국외 이전: 저장·처리 위치가 국외라면 국외 이전 관련 조항(제28조의8 등) 검토 여부를 기록합니다.
5. 공개: 처리방침에 수탁자와 위탁 업무 내용이 실제로 반영돼 있는지 웹페이지에서 확인합니다.

LLM API 등 SaaS 점검 포인트

• 입력 데이터의 학습 활용 여부와 보존 기간을 공급사 문서(데이터 처리 부속서, DPA)에서 확인하고, 학습 제외 설정을 켠 증거(설정 화면, 계약 조항)를 남깁니다.

재발 방지

• 신규 SaaS 도입 요청서에 위 5단계를 체크 항목으로 넣고, 수탁자 점검 결과를 데이터 위험도에 맞춰 정한 주기로 기록합니다. 계약 갱신, 재위탁 업체 변경, 학습 이용 조건 변경이 있으면 주기와 관계없이 다시 점검합니다.
• 해석이 갈리는 경우 개인정보보호위원회의 가이드라인·질의응답을 확인하고 법률 검토를 받습니다. 이 글은 법률 자문이 아닙니다.

참고 자료

• 개인정보보호위원회
• 개인정보 보호법 안내서

검증 환경·편집자 주

• 2026-09 편집. 업종·특례에 따라 해석이 달라질 수 있으니 법무 검토를 병행하세요.

자주 묻는 질문 (FAQ)

Q. 클라우드에 올리면 무조건 제3자 제공인가요?
아닙니다. 위탁 형태의 SaaS도 많습니다. 목적·지배력으로 판단하세요.