개인정보 위탁 vs 제3자 제공 차이: 동의 필요 여부·사례 비교

개인정보 위탁과 제3자 제공은 받는 업체가 누구의 업무·목적으로 정보를 처리하는지부터 구분합니다. 우리 업무를 지시에 따라 대신 처리하면 위탁에 해당할 수 있고, 받는 업체가 자기 목적으로 사용하면 제3자 제공을 검토해야 합니다. 계약서 이름만으로 결정하지 않습니다.

동의 문제는 그다음입니다. 제3자 제공에도 법이 정한 동의 외 근거가 있고, 위탁에도 계약·공개·감독 의무가 있습니다. 이 글은 개인정보 보호법의 일반적인 구분을 설명하며, 개별 계약의 적법성은 실제 데이터 흐름과 적용 법령에 따라 확인해야 합니다.

위탁 vs 제3자 제공 비교표

제17조 제1항은 동의에 따른 제공과 일정한 법적 근거에 따른 제공을 구분하고, 제4항은 당초 수집 목적과 합리적으로 관련된 범위에서의 제공 요건을 둡니다. 따라서 “제3자 제공은 예외 없이 별도 동의”라고 판단하면 부정확합니다. 개인정보 보호법 제17조

계약 전에 확인할 5가지 질문

1. 맡기는 업무는 무엇인가? “고객정보 처리”처럼 넓게 쓰지 말고 주문 배송, 문의 응대 등으로 구체화합니다.
2. 받는 업체가 독자적으로 이용하는가? 자사 광고, 별도 고객 DB 구축, 범용 모델 학습 등에 쓰는지 약관과 실제 운영을 함께 봅니다.
3. 우리 지시와 관리·감독을 받는가? 처리 범위, 접근권한, 반환·파기 절차를 확인합니다. 위탁료 유무만으로 분류하지 않습니다.
4. 분류에 맞는 근거와 절차가 있는가? 제공이면 동의 또는 적용 가능한 법적 근거를, 위탁이면 제26조에 따른 문서·공개·감독을 확인합니다.
5. 국외 이전이 포함되는가? 해외 저장뿐 아니라 해외에서의 조회·처리위탁 여부도 확인합니다.

위탁이면 공개만 하면 끝나나요?

아닙니다. 제26조는 목적 외 처리 금지와 보호조치 등을 포함한 문서, 위탁업무와 수탁자의 공개, 수탁자 교육·감독을 규정합니다. 수탁자가 업무를 다시 위탁하려면 위탁자의 동의가 필요합니다. 홍보·판매 권유 업무의 위탁은 업무 내용과 수탁자를 정보주체에게 알리는 규정도 확인해야 합니다. 개인정보 보호법 제26조

다음은 계약과 운영을 함께 검토하기 위한 실무 점검표입니다. 법정 필수 기재사항을 특정 개수로 단순화한 표가 아닙니다.

교육·점검 주기는 데이터 위험도와 적용 규정에 맞춰 정합니다. 모든 사업자에게 일률적으로 “연 1회면 충분하다”고 판단하지 않습니다.

제3자 제공 동의를 받는다면 무엇을 알려야 하나요?

제17조 제2항에 따라 제공받는 자, 이용 목적, 제공 항목, 보유·이용 기간, 동의 거부권과 거부 시 불이익이 있는 경우 그 내용을 알려야 합니다. 법적 근거를 확인하지 않은 채 처리방침에 회사 이름만 적는 것으로 제공 동의를 대체할 수는 없습니다. 제17조 제2항의 안내사항

클라우드·SaaS·LLM API는 어떻게 판단하나요?

서비스 종류만으로 일괄 분류하지 않습니다. 우리 목적의 저장·처리를 대행하는 부분과 공급자가 독자적 목적으로 이용하는 부분을 나눠 확인하세요. 특히 학습 이용 조건, 보유기간, 지원 인력의 접근 국가, 재위탁 업체를 계약 자료와 대조합니다.

국외 이전이 있다면 제28조의8에 따른 근거를 별도로 확인합니다. 예를 들어 계약 체결·이행에 필요한 처리위탁·보관은 해당 조문의 공개 또는 알림 요건을 충족하는 방식이 있지만, 모든 해외 서비스가 처리방침 공개만으로 허용되는 것은 아닙니다. 개인정보 보호법 제28조의8

실무 사례로 구분하기

• 배송업체가 주문 배송만 수행: 위탁 여부와 계약·공개·감독 체계를 검토합니다.
• 제휴사가 명단으로 자사 상품 홍보: 제3자 제공의 근거와 제공 범위를 확인합니다.
• 계열사가 공동 시스템만 운영: “같은 그룹”이라는 이유로 예외 처리하지 말고 실제 역할을 확인합니다.
• AI 공급자가 입력을 자체 모델 개선에 사용: 단순 처리 대행과 다른 이용 목적이 있는지 별도로 검토합니다.

판단 결과에는 “위탁/제공”이라는 결론만 남기지 말고, 업무 목적·전달 항목·이용 주체·적용 근거·종료 시 처리 방법을 함께 기록하세요.