개인정보 처리 업무를 외부 업체에 맡긴다면 일반 용역계약서에 “개인정보를 안전하게 관리한다”는 한 문장만 넣어서는 부족합니다. 2026년 8월 현재 개인정보 보호법 제26조와 시행령 제28조에 따라 위탁 목적과 범위, 목적 외 이용 금지, 안전조치, 재위탁 제한, 관리·감독, 손해배상 책임 등을 문서에 구체적으로 담아야 합니다.
가장 먼저 할 일은 계약서를 쓰는 것이 아니라 상대 업체가 정말 수탁자인지 확인하는 것입니다. 우리 회사의 고객관리·배송·문자발송·시스템 운영 등을 대신 수행한다면 처리위탁일 가능성이 높지만, 전달받은 개인정보를 업체 자신의 독립적인 영업목적으로 사용한다면 제3자 제공 문제가 될 수 있습니다. 위탁으로 판단됐다면 실제 데이터 흐름을 적은 뒤 그 내용에 맞춰 계약서를 작성해야 합니다.
또 하나 놓치기 쉬운 예외가 있습니다. 해외 클라우드나 해외 고객지원센터처럼 개인정보가 국외로 이전되거나 국외에서 조회되는 구조라면 국내 위탁계약서만 작성하고 끝낼 수 없습니다. 개인정보 보호법의 국외이전 요건도 별도로 확인해야 합니다.
Table of Contents
개인정보 위탁계약서가 필요한 상황부터 구분해야 합니다
개인정보 위탁계약서는 외부 업체가 개인정보와 조금이라도 접촉한다고 무조건 작성하는 문서가 아닙니다. 핵심은 외부 업체가 개인정보처리자의 업무를 대신 수행하면서 그 과정에서 개인정보를 처리하는가입니다.
| 상황 | 우선 검토할 관계 | 판단 포인트 |
|---|---|---|
| 쇼핑몰 배송 업무 | 처리위탁 가능성 높음 | 판매자의 배송 업무를 대신 수행하는지 확인 |
| 고객센터 운영 대행 | 처리위탁 가능성 높음 | 상담업체가 계약된 상담업무 범위에서만 정보를 사용하는지 확인 |
| 문자·알림톡 발송 | 처리위탁 가능성 높음 | 발송 대행 이외의 자체 마케팅에 이용하는지 확인 |
| 외부 서버·클라우드 운영 | 처리위탁 및 국외이전 검토 | 저장 위치와 해외 원격접근 여부까지 확인 |
| 제휴사가 자체 상품을 권유 | 제3자 제공 가능성 | 제휴사가 자기 목적을 위해 개인정보를 이용하는지 확인 |
계약서에 상대 업체를 “수탁자”라고 적었다고 해서 법률관계까지 자동으로 위탁이 되는 것은 아닙니다. 개인정보가 누구의 목적을 위해 사용되는지를 봐야 합니다.
위탁·제3자 제공·국외이전의 전체 구조가 아직 정리되지 않았다면 먼저 개인정보 처리방침 작성 방법과 외부업체 구분 기준을 함께 확인하는 편이 안전합니다.
법에서 요구하는 위탁계약서 필수항목은 7가지 축으로 보면 쉽습니다
개인정보 보호법은 개인정보 처리 업무를 제3자에게 위탁할 때 일정한 사항이 포함된 문서로 하도록 요구하고 있습니다. 현재 적용되는 세부 기준은 국가법령정보센터의 개인정보 보호법 제26조와 개인정보 보호법 시행령 제28조에서 확인할 수 있습니다.
| 계약서에 넣을 항목 | 실무에서 확인할 내용 |
|---|---|
| 위탁업무 목적과 범위 | 어떤 업무를 어디까지 대신 수행하는지 |
| 목적 외 개인정보 처리 금지 | 수탁자의 자체 영업·분석·광고 등에 사용하지 못하도록 제한 |
| 기술적·관리적 보호조치 | 권한관리, 인증, 암호화, 접속기록, 교육 등의 조치 |
| 재위탁 제한 | 다른 업체에 다시 맡길 때 위탁자 동의를 받도록 설정 |
| 접근 제한 등 안전성 확보 | 업무상 필요한 사람만 접근하도록 제한 |
| 관리 현황 점검과 감독 | 위탁자의 자료 요구·점검·개선 요구 권한 |
| 의무 위반 시 책임 | 사고 통보, 원상회복 협조, 손해배상 등 책임 구조 |
여기서 중요한 점은 “개인정보 보호법을 준수한다”는 포괄적인 문장 하나로 일곱 항목을 대신하기 어렵다는 것입니다. 실제 계약에서는 누가 무엇을 처리하고, 어디까지 접근하고, 재위탁이 가능한지까지 읽는 사람이 확인할 수 있어야 합니다.
계약서를 쓰기 전에 개인정보 처리현황표부터 만드세요
표준 계약서를 내려받아 회사명만 바꾸는 방식은 가장 빠르지만, 실제 사고가 났을 때 가장 약한 방식이 되기 쉽습니다. 계약 내용과 실제 시스템의 데이터 흐름이 다르면 종이 위에서는 통제되고 현실에서는 통제되지 않는 틈이 생기기 때문입니다.
계약서 작성 전에는 다음 정보를 한 장에 정리하면 좋습니다.
- 위탁하는 업무의 정확한 명칭과 목적
- 수탁자가 처리하거나 조회할 수 있는 개인정보 항목
- 개인정보가 저장되는 시스템과 서버 위치
- 수탁자 측 접근 가능 인원과 권한
- 개인정보 전달 방법과 전송 방식
- 위탁기간과 개인정보 보유기간
- 재위탁 또는 하위 처리업체 존재 여부
- 계약 종료 후 반환·삭제 방법
- 국외 저장이나 국외 원격접근 여부
예를 들어 문자 발송 업체라면 “문자 발송 업무”라고만 적지 말고 고객 이름과 휴대전화번호가 어떤 방식으로 전달되는지, 발송 완료 뒤 업체 시스템에 얼마나 남는지, 다른 업체가 발송 인프라를 제공하는지까지 확인하는 방식입니다.
바로 적용할 수 있는 개인정보 위탁계약서 표준 문구
아래 문구는 법령의 필수항목을 실제 계약 조항으로 옮기기 위한 실무용 예시입니다. 개인정보보호위원회가 모든 업종에 그대로 사용하도록 지정한 단일 공식 계약서 서식이라는 의미는 아닙니다. 회사의 서비스 구조와 업종별 법률에 맞춰 수정해야 합니다.
제1조 위탁 목적과 업무 범위
예시 문구: “위탁자”는 계약의 이행을 위하여 “수탁자”에게 [위탁업무명] 업무를 위탁하며, “수탁자”는 해당 업무 수행에 필요한 범위에서만 개인정보를 처리한다. 구체적인 처리 목적, 처리 대상 개인정보 및 업무 범위는 본 계약 또는 별첨에서 정한 내용에 따른다.
“고객관리 등”처럼 범위를 넓게 잡기보다 고객 문의 접수, 주문상품 배송, 예약 안내 문자 발송처럼 실제 업무 단위로 적는 것이 좋습니다.
제2조 목적 외 이용과 제3자 제공 금지
예시 문구: “수탁자”는 위탁받은 업무 수행 목적과 범위를 초과하여 개인정보를 이용하여서는 아니 되며, 법령상 허용되는 경우 또는 “위탁자”의 적법한 지시가 있는 경우를 제외하고 개인정보를 제3자에게 제공하여서는 아니 된다.
수탁자가 고객 전화번호를 자체 상품 홍보나 별도 데이터 분석에 이용할 수 있도록 열어두면 위탁관계 자체가 흔들릴 수 있습니다.
제3조 개인정보 보호조치
예시 문구: “수탁자”는 개인정보가 분실·도난·유출·위조·변조·훼손되지 않도록 관련 법령에서 요구하는 기술적·관리적 및 물리적 안전조치를 이행하여야 한다. “수탁자”는 업무 특성에 따라 접근권한 관리, 인증수단 관리, 안전한 전송·저장, 접속기록 관리 및 개인정보취급자 교육 등 필요한 보호조치를 유지한다.
계약서에는 회사가 실제로 확인할 수 없는 보안 인증이나 기술을 무작정 나열하지 않는 편이 낫습니다. 적용해야 할 세부 안전조치는 개인정보보호위원회의 개인정보의 안전성 확보조치 기준 안내서와 실제 시스템 구조를 함께 확인해 정해야 합니다.
제4조 개인정보 접근권한 제한
예시 문구: “수탁자”는 위탁업무 수행에 필요한 최소한의 임직원에게만 개인정보 접근권한을 부여하고, 담당업무 변경 또는 퇴직 등으로 접근 필요성이 사라진 경우 해당 권한을 지체 없이 변경하거나 말소하여야 한다.
공용 관리자 계정 하나를 여러 직원이 공유한다면 사고 발생 후 누가 개인정보를 조회하거나 내려받았는지 확인하기 어려워집니다. 계약 조항과 계정 운영 방식이 함께 맞아야 합니다.
제5조 재위탁 제한
예시 문구: “수탁자”가 위탁받은 개인정보 처리 업무의 전부 또는 일부를 제3자에게 다시 위탁하려는 경우에는 사전에 “위탁자”의 동의를 받아야 한다. 재위탁이 승인된 경우 “수탁자”는 재수탁자에게 본 계약과 관계 법령에 따른 개인정보 보호의무가 적용되도록 필요한 조치를 하여야 한다.
개인정보 보호법 제26조는 수탁자가 개인정보 처리 업무를 다시 위탁하려면 위탁자의 동의를 받도록 규정하고 있습니다. 실무에서는 분쟁을 줄이기 위해 계약서에 사전 서면승인 절차, 재수탁자 목록 제출, 변경 통보 절차까지 정하는 방법이 유용합니다.
제6조 수탁자 교육과 관리·감독
예시 문구: “수탁자”는 개인정보를 처리하는 임직원에게 필요한 개인정보 보호교육을 실시하고 그 이행 사실을 관리한다. “위탁자”는 위탁업무와 관련된 개인정보의 처리 현황 및 보호조치 이행 여부를 확인하기 위하여 합리적인 범위에서 관련 자료 제출을 요구하거나 점검을 실시할 수 있으며, 미흡한 사항에 대해 개선을 요구할 수 있다.
계약서에 점검권만 적고 실제로 한 번도 확인하지 않는 것도 피해야 합니다. 개인정보 보호법은 위탁자가 수탁자를 교육하고 개인정보가 안전하게 처리되는지를 감독하도록 정하고 있습니다.
제7조 침해사고 발생 시 통지와 협조
예시 문구: “수탁자”는 위탁받은 개인정보와 관련하여 분실, 도난, 유출 또는 그 밖의 침해사고를 인지한 경우 지체 없이 그 사실을 “위탁자”에게 알리고, 사고 원인과 범위 확인, 피해 확산 방지, 정보주체 통지 및 관계기관 신고 등 법령상 조치에 필요한 자료를 제공하고 이에 협조하여야 한다.
법정 신고기한과 별개로 수탁자가 늦게 알려 위탁자가 대응 시기를 놓치는 상황을 막으려면 연락 담당자와 비상연락 방법까지 계약 부속자료에 적어두는 편이 좋습니다.
제8조 계약 종료 후 개인정보 반환과 파기
예시 문구: “수탁자”는 위탁업무의 목적이 달성되거나 계약이 종료된 경우 관계 법령상 별도의 보존 근거가 없는 한 위탁업무 과정에서 처리한 개인정보를 지체 없이 반환하거나 복구할 수 없는 방법으로 파기하고, “위탁자”의 요청이 있는 경우 그 결과를 확인할 수 있는 자료를 제공한다.
본문 데이터만 삭제하고 백업 파일, 엑셀 내려받기 파일, 상담원 PC의 임시파일이 남는 경우도 있습니다. 계약 종료 절차에는 운영 데이터뿐 아니라 복사본과 백업의 처리 방법까지 확인하는 것이 좋습니다.
제9조 책임과 손해배상
예시 문구: “수탁자”가 본 계약 또는 관계 법령상 의무를 위반하여 개인정보 침해사고 또는 손해가 발생한 경우 각 당사자의 귀책사유와 관계 법령 및 계약 내용에 따라 책임을 부담한다. “수탁자”는 사고 조사, 피해확산 방지 및 필요한 후속조치에 성실히 협조하여야 한다.
무조건적인 무제한 손해배상 문구가 언제나 최선인 것은 아닙니다. 손해배상 범위와 책임제한, 면책 조항은 기존 용역계약 전체와 충돌할 수 있으므로 규모가 큰 계약이나 민감정보·고유식별정보가 포함된 업무는 별도의 법률 검토가 합리적일 수 있습니다.
실무에서는 법정 최소항목보다 네 가지를 더 적는 편이 안전합니다
법령상 필수항목만 채운 계약서도 출발점은 될 수 있습니다. 다만 실제 사고 대응까지 생각하면 개인정보 항목, 보유기간, 사고 연락체계, 종료 시 파기 절차를 구체화하는 편이 훨씬 유용합니다.
| 추가할 내용 | 필요한 이유 |
|---|---|
| 처리 개인정보 항목 | 수탁자가 필요 이상으로 개인정보를 받는 것을 막기 쉬움 |
| 처리·보유기간 | 계약 종료 뒤 데이터가 계속 남는 문제를 줄임 |
| 침해사고 연락체계 | 사고 인지 후 담당자 찾느라 대응이 늦어지는 상황을 예방 |
| 반환·삭제 확인 | DB, 파일, 백업, 출력물의 종료 처리를 검증할 수 있음 |
계약서는 법률 문구를 쌓는 창고가 아니라 업무의 경계선을 그리는 문서입니다. “누가 무엇까지 할 수 있는가”를 구체적으로 적을수록 사고가 났을 때 책임과 대응 순서도 선명해집니다.
재위탁 조항은 하청 금지 한 줄로 끝내지 마세요
클라우드, 문자 발송, 고객상담, SaaS 서비스에서는 수탁자가 다시 다른 사업자의 인프라나 서비스를 이용하는 구조가 흔합니다. 따라서 재위탁을 전면 금지한다고 적은 뒤 실제로는 여러 하위 업체를 사용하는 계약은 현실과 맞지 않습니다.
재위탁이 필요한 사업이라면 다음 세 가지를 정하는 편이 실무적입니다. 첫째, 재위탁 전에 위탁자의 동의를 받을 절차입니다. 둘째, 재수탁자의 회사명과 업무 범위를 확인하는 절차입니다. 셋째, 재수탁자가 변경될 경우 통보와 승인 방식을 정하는 것입니다.
특히 개인정보 처리방침에는 위탁업무와 수탁자를 이용자가 쉽게 확인할 수 있도록 공개해야 하며, 법 제26조의 수탁자 개념에는 재위탁을 받아 개인정보를 처리하는 제3자도 포함됩니다. 계약서의 재위탁 목록과 홈페이지 공개내용이 서로 다른 상태로 방치되지 않도록 변경관리 절차를 두는 것이 좋습니다.
위탁계약서를 체결한 뒤 개인정보 처리방침도 함께 수정해야 합니다
계약서만 서명했다고 위탁 절차가 끝나는 것은 아닙니다. 개인정보 보호법은 위탁하는 업무의 내용과 수탁자를 정보주체가 언제든지 쉽게 확인할 수 있도록 공개하도록 하고 있습니다.
홈페이지를 운영하는 사업자라면 일반적으로 홈페이지를 통해 지속적으로 공개하는 방식이 기본입니다. 홈페이지에 게재할 수 없는 경우에는 시행령이 정한 다른 공개방법을 검토해야 합니다. 실제 공개방법은 개인정보보호위원회 2026 개인정보 처리방침 작성지침과 개인정보 보호법 시행령 제28조를 함께 확인하면 좋습니다.
위탁업체가 바뀌었는데 계약서만 갱신하고 홈페이지의 개인정보 처리방침에는 이전 업체가 남아 있는 경우가 의외로 쉽게 생깁니다. 계약 승인 절차에 “개인정보 처리방침 변경 여부 확인” 항목을 하나 넣어두면 이런 어긋남을 줄일 수 있습니다.
홍보·판매 권유 업무를 맡긴다면 일반 위탁보다 한 번 더 확인해야 합니다
텔레마케팅, 상품 홍보 전화, 판매 권유 등 재화나 서비스의 홍보 또는 판매 권유 업무를 외부 업체에 위탁하는 경우에는 일반적인 공개의무 외에 정보주체에 대한 고지 문제도 별도로 확인해야 합니다.
개인정보 보호법 제26조는 이러한 업무를 위탁할 때 위탁하는 업무의 내용과 수탁자를 대통령령이 정한 방법으로 정보주체에게 알리도록 하고 있으며, 해당 내용이나 수탁자가 변경된 경우에도 같은 취지의 절차를 요구합니다.
따라서 “마케팅 대행계약”이라는 제목만 보고 개인정보 위탁계약서를 붙이는 것으로 끝내지 말고 실제 고객정보 사용 목적과 고지 절차를 함께 점검해야 합니다.
해외 클라우드를 쓴다면 국외이전 조항을 따로 검토해야 합니다
AWS, Microsoft, Google을 비롯한 해외 사업자의 서비스를 이용한다고 해서 모든 경우가 동일한 국외이전 구조가 되는 것은 아닙니다. 반대로 계약 상대방이 국내 법인이라는 이유만으로 데이터가 국내에만 있다고 단정해서도 안 됩니다.
개인정보 보호법 제28조의8은 개인정보를 국외로 제공하거나 처리위탁·보관하는 행위를 국외이전으로 규정하고 별도의 허용 근거와 보호조치를 요구합니다. 데이터가 실제 저장되는 국가, 해외 본사의 원격조회 여부, 재수탁자의 위치, 백업 저장 위치를 확인해야 합니다.
국외이전에 해당한다면 이전되는 개인정보 항목, 국가, 시기와 방법, 이전받는 자, 이용목적과 보유기간 등 추가 확인사항이 생길 수 있습니다. 단순한 국내 위탁계약 문구를 그대로 복사해 해결하려 해서는 안 됩니다.
무료로 직접 작성해도 되는 경우와 전문가 검토가 필요한 경우
모든 개인정보 위탁계약서를 변호사나 전문업체에 맡길 필요는 없습니다. 외부 업체가 한두 곳이고 업무가 단순하며 국내에서 일반적인 고객 연락정보만 처리한다면 법령과 공식 안내서를 확인하면서 회사가 직접 계약 부속합의서를 정비하는 방법도 현실적입니다.
반면 계약서를 복사하는 비용보다 잘못 분류했을 때의 영향이 훨씬 커지는 구조가 있습니다. 이런 경우에는 비용을 지불하고 검토받을 이유가 분명해집니다.
- 건강정보, 생체정보 등 민감정보를 대규모로 처리하는 경우
- 주민등록번호 등 고유식별정보가 포함되는 경우
- 금융·신용정보 등 별도 법률이 적용되는 경우
- 국외이전과 국내 위탁이 동시에 얽혀 있는 경우
- 수탁자와 재수탁자가 여러 단계로 연결되는 경우
- 위탁인지 제3자 제공인지 법적 관계 자체가 불분명한 경우
- 대규모 고객DB를 외부 개발·운영사가 직접 접근하는 경우
- 손해배상 한도나 책임제한 조항의 금액이 큰 계약인 경우
처리방침 개정이나 외부 검토 비용까지 함께 판단해야 한다면 개인정보 처리방침 작성 대행 비용과 직접 작성 기준을 비교해 볼 수 있습니다.
계약서에 사인하기 전 10분 점검표
계약서를 처음부터 다시 읽는 대신 아래 순서대로 확인하면 누락을 빠르게 찾을 수 있습니다.
- 이 업체가 실제로 위탁자인지, 제3자 제공받는 자인지 구분한다.
- 위탁업무의 목적과 범위가 구체적으로 적혀 있는지 본다.
- 수탁자가 처리할 개인정보 항목이 실제 업무에 필요한 최소범위인지 확인한다.
- 목적 외 이용과 임의 제3자 제공 금지 조항을 확인한다.
- 접근권한·암호화·접속기록 등 실제 필요한 보호조치를 확인한다.
- 재위탁 시 위탁자의 동의를 받도록 되어 있는지 본다.
- 위탁자가 자료를 요구하고 관리·감독할 수 있는지 확인한다.
- 침해사고 발생 시 위탁자에게 즉시 연락할 절차를 확인한다.
- 계약 종료 후 개인정보 반환·삭제·백업 처리 방법을 확인한다.
- 개인정보 처리방침과 국외이전 관련 공개내용도 함께 갱신할지 확인한다.
이 열 가지 중 계약서에 없는 내용이 발견됐다고 해서 무조건 새 계약서를 처음부터 만들 필요는 없습니다. 기존 용역계약에 개인정보보호 부속합의서나 특약을 추가해 필요한 사항을 명확히 정하는 방법도 검토할 수 있습니다. 중요한 것은 문서의 제목이 아니라 법에서 요구하는 내용과 실제 처리관계가 일치하는지입니다.
자주 묻는 질문
일반 용역계약서가 있으면 별도 개인정보 위탁계약서가 없어도 되나요?
문서의 이름보다 내용이 중요합니다. 일반 용역계약서나 개인정보보호 부속합의서 등에 개인정보 보호법과 시행령에서 요구하는 위탁 관련 사항이 실제로 포함돼 있다면 계약 구조를 함께 검토할 수 있습니다. 다만 비밀유지 조항 하나만 있는 일반 계약서는 충분하지 않을 수 있습니다.
수탁업체가 또 다른 업체를 사용하면 불법인가요?
재위탁 자체가 항상 금지되는 것은 아니지만, 개인정보 보호법상 수탁자가 위탁받은 개인정보 처리 업무를 제3자에게 다시 위탁하려면 위탁자의 동의를 받아야 합니다. 계약서에는 승인 절차와 재수탁자 관리방법을 분명하게 적어두는 편이 좋습니다.
위탁계약서를 작성하면 고객에게 별도 동의를 받아야 하나요?
처리위탁과 제3자 제공은 법적 구조가 다르므로 “외부 업체에 개인정보가 간다”는 이유만으로 동일하게 판단해서는 안 됩니다. 먼저 해당 관계가 진정한 업무위탁인지 확인해야 하며, 처리위탁에 대해서는 법 제26조에 따른 문서화·공개·감독 등의 의무를 검토합니다. 별도의 독립 목적 이용이 있다면 제3자 제공 등 다른 법적 근거를 다시 확인해야 합니다.
개인정보가 실제로 유출되지 않아도 계약서를 작성해야 하나요?
그렇습니다. 위탁계약은 사고가 발생한 뒤 작성하는 대응 문서가 아니라 개인정보 처리 업무를 외부에 위탁하는 단계에서 갖춰야 할 통제 수단입니다. 유출 여부와 계약서 작성의무는 별개의 문제입니다.
개인정보 위탁계약서를 매년 다시 작성해야 하나요?
모든 계약을 무조건 매년 새로 작성해야 한다는 식으로 볼 필요는 없습니다. 다만 위탁업무, 처리 개인정보, 수탁자, 재수탁자, 시스템 구조, 국외이전 여부 또는 계약기간이 변경됐다면 기존 계약이 실제 업무를 그대로 반영하는지 재검토해야 합니다.
오늘 10분 안에 계약서에서 확인할 것
현재 사용 중인 외주계약서 한 장을 열어 먼저 “개인정보”, “재위탁”, “점검”, “파기”, “손해배상”이라는 단어를 검색해 보세요. 중요한 단어가 하나도 나오지 않는다면 개인정보 조항을 별도로 점검할 이유가 충분합니다.
그다음 수탁업체가 실제로 처리하는 개인정보 항목과 재수탁자를 적어보고 계약서와 비교합니다. 계약서에는 없는 업체가 데이터를 처리하거나, 계약서에는 허용되지 않은 해외 서버가 사용되고 있다면 문구 수정보다 데이터 흐름 확인이 먼저입니다.
마지막으로 개인정보 처리방침의 수탁자 목록까지 대조하세요. 계약서, 실제 시스템, 공개된 처리방침. 이 세 장의 지도가 같은 모습을 그리고 있어야 개인정보 위탁관리가 비로소 작동하기 시작합니다.
법률상 주의: 이 글은 일반적인 개인정보 처리위탁 계약 구조를 설명하기 위한 정보입니다. 금융·의료·통신·위치정보·아동정보 등 별도 규제가 적용되거나 구체적인 계약 책임을 판단해야 하는 경우에는 해당 법령과 계약조건을 추가로 검토해야 합니다.
글 정보
최종 업데이트: 2026년 8월