개인정보 제3자 제공과 처리 위탁의 가장 큰 차이는 개인정보를 넘겨받는 회사가 누구의 업무와 이익을 위해 그 정보를 사용하는지에 있습니다. 외부 업체가 우리 회사의 업무를 대신 수행하면서 정해진 범위 안에서 개인정보를 처리한다면 일반적으로 처리 위탁에 가깝습니다. 반대로 개인정보를 받은 회사가 자기 사업, 자기 고객 확보, 자기 마케팅 등 독자적인 목적을 위해 정보를 사용한다면 제3자 제공에 가까워집니다.
따라서 계약서 제목이 ‘업무위탁계약’인지 ‘제휴계약’인지만 봐서는 부족합니다. 실제 목적, 개인정보를 누가 필요로 하는지, 외부 업체가 독자적으로 이용할 수 있는지, 원래 회사가 얼마나 관리·감독하는지를 확인해야 합니다. 제3자 제공이라면 개인정보 보호법 제17조에 따른 적법한 제공 근거를 검토해야 하고, 처리 위탁이라면 제26조에 따른 위탁계약·공개·감독 체계를 갖춰야 합니다.
Table of Contents
제3자 제공과 처리 위탁은 무엇이 다른가
둘 다 개인정보가 다른 회사나 기관으로 넘어갈 수 있다는 점은 같습니다. 갈림길은 개인정보를 받은 사람이 누구를 위해 일하느냐입니다.
| 구분 | 제3자 제공 | 처리 위탁 |
|---|---|---|
| 주된 목적 | 제공받는 자의 업무·이익 | 위탁자의 업무·이익 |
| 개인정보 이용 | 허용된 제공 목적에 따라 독자적으로 이용 | 위탁받은 업무 범위에서 처리 |
| 대표 규정 | 개인정보 보호법 제17조 | 개인정보 보호법 제26조 |
| 동의 | 동의가 법적 근거인 경우 별도 동의 필요 | 위탁이라는 이유만으로 별도 동의를 받는 구조는 아님 |
| 기업의 주요 조치 | 적법한 제공 근거와 고지사항 확인 | 문서화, 수탁자 공개, 관리·감독 |
대법원도 같은 방향으로 구분합니다. 개인정보가 본래 수집·이용 목적을 넘어 정보를 받은 자의 업무와 이익을 위해 이전되는 경우를 제3자 제공으로 보고, 본래 목적과 관련된 위탁자 자신의 업무와 이익을 위해 이전되는 경우를 처리 위탁으로 설명했습니다.
다만 하나의 요소만으로 결론을 내리지는 않습니다. 대법원 2017. 4. 7. 선고 2016도13263 판결에서는 개인정보 취득 목적과 방법, 대가 수수 여부, 실질적인 관리·감독, 정보주체 보호에 미치는 영향, 개인정보를 실질적으로 필요로 하는 사람이 누구인지 등을 종합해 판단해야 한다고 보았습니다.
가장 쉬운 판단법은 ‘누구의 일을 하는가’를 묻는 것이다
실무에서는 외부 업체에 개인정보를 넘기기 전에 한 문장만 먼저 물어보면 상당수 사례가 정리됩니다. “이 업체는 우리 일을 대신하는가, 아니면 이 정보를 받아 자기 일을 하는가?”입니다.
우리 회사의 고객 업무를 대신한다면 처리 위탁 가능성이 높다
온라인 쇼핑몰이 고객 문의를 처리하기 위해 외부 콜센터에 고객 이름, 주문내역, 연락처를 전달했다고 가정해 보겠습니다. 콜센터가 쇼핑몰이 정한 절차에 따라 문의를 처리하고, 해당 정보를 자기 영업에 이용할 수 없다면 일반적으로 처리 위탁의 성격이 강합니다.
예약 안내 문자 발송, 고객지원, 시스템 유지관리, 회사가 지시한 데이터 분석처럼 외부 사업자가 본래 개인정보처리자의 업무 일부를 대신 수행하는 경우도 같은 기준으로 살펴볼 수 있습니다.
상대 회사가 자기 상품을 팔기 위해 쓴다면 제3자 제공 가능성이 높다
반대로 A회사가 고객 연락처를 B회사에 넘기고 B회사가 그 고객에게 자기 보험, 금융상품, 멤버십 또는 다른 서비스를 영업한다면 이야기가 달라집니다. B회사는 A회사의 업무를 대신하는 것이 아니라 자신의 사업을 위해 개인정보를 사용하는 것이므로 제3자 제공에 가까워집니다.
‘제휴 마케팅’, ‘공동 프로모션’, ‘사업협력’이라는 이름을 붙였다고 해서 위탁으로 바뀌지 않습니다. 개인정보 흐름의 이름표보다 실제 사용 목적이 중요합니다.
제3자 제공이라고 해서 항상 동의를 받아야 하는 것은 아니다
제3자 제공은 흔히 동의와 연결되지만, 모든 제3자 제공에 반드시 동의만이 법적 근거가 되는 것은 아닙니다. 개인정보 보호법은 정보주체의 동의를 받은 경우뿐 아니라 법에서 정한 일정한 요건에 해당하는 경우에도 개인정보를 제3자에게 제공할 수 있도록 규정하고 있습니다.
현재 기본적인 제공 요건은 국가법령정보센터의 개인정보 보호법 제17조에서 확인할 수 있습니다. 따라서 실무에서는 “제3자 제공이니까 동의서를 만들자”보다 먼저 무슨 법적 근거로 제공하는지를 확인해야 합니다.
정보주체의 동의를 근거로 제3자에게 제공한다면 제공받는 자, 제공받는 자의 이용 목적, 제공하는 개인정보 항목, 제공받는 자의 보유·이용 기간, 동의를 거부할 권리와 거부에 따른 불이익이 있는 경우 그 내용을 알려야 합니다.
또한 개인정보 보호법 제22조에 따라 제17조 제1항 제1호의 제3자 제공 동의를 받을 때에는 다른 동의 사항과 구분하여 정보주체가 명확하게 인지할 수 있도록 해야 합니다. 수집·이용 동의 한 칸 속에 제3자 제공까지 희미하게 섞어두는 방식은 피해야 합니다.
특히 개인정보 수집·이용 동의서와 개인정보 처리방침을 같은 문서로 생각하기 쉽습니다. 두 문서의 역할부터 정리해야 한다면 개인정보 동의서와 처리방침의 차이를 함께 확인해 두는 편이 좋습니다.
처리 위탁은 동의 대신 무엇을 해야 하는가
처리 위탁은 단순히 “동의를 받지 않아도 된다”로 끝나는 제도가 아닙니다. 개인정보 보호법 제26조는 개인정보 처리 업무를 외부에 맡길 때 계약의 문서화, 수탁자 공개, 관리·감독 등 별도의 의무를 두고 있습니다.
위탁계약에는 적어도 위탁업무 수행 목적 외 개인정보 처리 금지, 기술적·관리적 보호조치와 함께 시행령에서 정한 사항이 반영되어야 합니다. 현행 시행령 제28조에는 위탁업무의 목적과 범위, 재위탁 제한, 접근 제한 등 안전성 확보조치, 개인정보 관리 현황 점검 등 감독, 의무 위반 시 손해배상 등 책임에 관한 사항이 규정되어 있습니다.
실제 계약서를 만들고 있다면 단순히 일반 용역계약서 끝에 ‘개인정보를 보호한다’는 한 줄을 넣는 방식으로 끝내기보다 개인정보 위탁계약서에 넣어야 할 항목을 기준으로 실제 업무 범위와 통제 방법을 정리하는 것이 안전합니다.
수탁업체 이름만 적는 것으로 끝나지 않는다
위탁자는 위탁하는 업무의 내용과 수탁자를 정보주체가 언제든지 쉽게 확인할 수 있도록 공개해야 합니다. 인터넷 홈페이지를 운영한다면 시행령은 홈페이지에 해당 내용을 지속적으로 게재하는 방법을 기본으로 정하고 있습니다.
특히 현재 법 제26조는 수탁자가 다시 위탁한 제3자도 수탁자의 범위에 포함하도록 규정하고 있습니다. 수탁자가 개인정보 처리 업무를 다시 위탁하려는 경우에는 위탁자의 동의도 필요합니다. 따라서 최초 계약 상대방만 파악하고 실제 하위 처리업체를 모르는 상태는 점검이 필요합니다.
처리방침을 수정해야 한다면 개인정보보호위원회가 공개한 2026 개인정보 처리방침 작성지침에서 현재 작성 기준을 확인할 수 있습니다. 자체 처리방침을 처음 만드는 경우에는 개인정보 처리방침 작성 방법을 함께 점검하면 누락 항목을 찾기 쉽습니다.
처리 위탁인데도 별도로 알려야 하는 경우가 있다
처리 위탁은 일반적인 제3자 제공 동의와 구조가 다르지만, 그렇다고 정보주체에 대한 고지 문제가 모두 사라지는 것은 아닙니다. 특히 재화나 서비스를 홍보하거나 판매를 권유하는 업무를 위탁하는 경우에는 별도의 규칙을 확인해야 합니다.
개인정보 보호법 제26조 제3항은 홍보 또는 판매 권유 업무를 위탁하는 경우 위탁하는 업무의 내용과 수탁자를 대통령령에서 정한 방법으로 정보주체에게 알리도록 하고 있습니다. 업무 내용이나 수탁자가 변경되는 경우에도 마찬가지입니다.
따라서 “우리 회사가 마케팅 주체이고 외부 콜센터는 전화만 대신하므로 처리 위탁이다”라는 판단 자체는 가능하더라도, 거기에서 검토를 멈추면 안 됩니다. 위탁 분류와 정보주체에게 해야 할 고지 의무는 별개의 체크 항목입니다.
계약서 제목보다 실제 업무를 봐야 하는 이유
제3자 제공과 처리 위탁을 잘못 구분하는 가장 흔한 이유는 계약서의 이름을 법적 성격으로 착각하기 때문입니다. 하지만 ‘위탁계약서’를 작성했다고 실제 관계까지 위탁이 되는 것은 아닙니다.
예를 들어 업체가 고객정보를 전달받은 뒤 위탁자의 지시와 관계없이 대상을 선별하고, 자기 상품 영업에 활용하고, 정보 활용 결과에서 독자적인 이익을 얻는다면 형식적인 계약 명칭보다 실제 개인정보 이용 구조가 더 중요하게 작용할 수 있습니다.
반대로 외부 업체가 용역비를 받는다는 사실만으로 제3자 제공이 되는 것도 아닙니다. 수탁자는 통상 위탁 업무를 수행한 대가를 받을 수 있습니다. 중요한 것은 개인정보 자체를 독자적인 사업 자원으로 활용하는지 여부입니다.
실무에서 헷갈리는 사례를 이렇게 구분해 볼 수 있다
실제 거래는 교과서처럼 반듯하게 나뉘지 않습니다. 다음 표는 초기 검토에 사용할 수 있는 방향표이며, 최종 판단은 계약과 실제 개인정보 흐름을 함께 봐야 합니다.
| 상황 | 우선 검토할 분류 | 판단 포인트 |
|---|---|---|
| 외부 콜센터가 고객 문의 처리 | 처리 위탁 | 회사 지시에 따라 고객지원만 수행하는지 |
| 문자 발송업체가 예약 알림 발송 | 처리 위탁 | 발송 목적 외 이용이 금지되어 있는지 |
| 제휴사가 고객에게 자기 상품 영업 | 제3자 제공 | 제휴사의 독자적인 영업 목적이 있는지 |
| 외부 분석업체가 회사 고객 데이터를 분석 | 처리 위탁 가능 | 분석 결과와 원자료를 자기 목적으로 재사용하는지 |
| 외부 업체가 고객 데이터를 AI 학습에 재사용 | 추가 검토 필요 | 위탁 목적을 넘어 업체 자체 목적이 생기는지 |
마지막 사례가 특히 중요합니다. SaaS, 클라우드, AI 서비스의 약관에 ‘서비스 개선’, ‘모델 개선’, ‘통계 분석’ 같은 문구가 들어 있다면 단순한 서버 이용료나 서비스 이름만 보고 위탁이라고 단정해서는 안 됩니다. 어떤 데이터가 실제로 재사용되는지, 재사용 목적을 누가 결정하는지, 거부할 수 있는지까지 확인해야 합니다.
5분 안에 제3자 제공인지 위탁인지 확인하는 체크리스트
계약서부터 고치기 전에 실제 데이터 흐름을 아래 순서대로 적어보는 것이 가장 빠릅니다. 다섯 질문 중 뒤쪽으로 갈수록 상대 업체의 독립성이 커진다면 단순 처리 위탁이라고 보기 어려워질 수 있습니다.
- 개인정보를 왜 보내는가? 우리 회사의 기존 업무를 수행하기 위해서인지 적습니다.
- 누가 이용 목적을 정하는가? 상대 업체가 새로운 이용 목적을 스스로 정할 수 있는지 확인합니다.
- 상대 업체가 자기 사업에 재사용할 수 있는가? 마케팅, 고객 분석, 상품개발, AI 학습 등을 확인합니다.
- 우리 회사가 실제로 감독할 수 있는가? 처리 범위, 접근 권한, 삭제, 재위탁 등을 통제할 수 있는지 봅니다.
- 계약이 끝나면 데이터는 어떻게 되는가? 반환·삭제할지, 상대방이 계속 보유하는지 확인합니다.
여기서 “상대방도 나름대로 쓸 수 있다”는 답이 나오면 멈추고 다시 검토하는 것이 좋습니다. 위탁의 핵심은 외부 업체가 개인정보를 마음대로 활용하도록 넘겨주는 것이 아니라 정해진 업무를 대신 수행하도록 처리 권한을 제한적으로 맡기는 것이기 때문입니다.
국외 클라우드에 맡기면 위탁인지 제3자 제공인지보다 한 단계 더 봐야 한다
해외 업체에 데이터를 맡기는 경우 위탁과 제3자 제공의 구분만으로 검토가 끝나지 않습니다. 개인정보 보호법은 국외의 제공·처리 위탁·보관을 모두 ‘국외 이전’ 규율 대상으로 두고 있습니다.
따라서 해외 클라우드, 해외 SaaS, 글로벌 고객관리 서비스처럼 개인정보가 국외에 저장되거나 국외에서 조회·처리될 수 있다면 제28조의8에 따른 국외 이전 요건도 별도로 확인해야 합니다. 개인정보 보호법 제28조의8 국외 이전 규정에서 현재 요건을 확인할 수 있습니다.
즉 “이 서비스는 위탁이니까 동의 문제는 끝났다”는 식의 판단은 해외 서비스에서는 특히 위험합니다. 위탁 여부와 국외 이전 적법성은 서로 다른 층의 검토입니다.
제3자 제공과 위탁을 잘못 분류하면 어떤 문제가 생길까
분류가 틀리면 단순히 처리방침의 표 하나가 틀리는 데서 끝나지 않습니다. 실제로 필요한 법적 절차 자체가 달라질 수 있습니다.
- 제3자 제공인데 위탁으로 처리해 필요한 제공 근거를 확보하지 못할 수 있습니다.
- 정보주체에게 알려야 할 제공받는 자와 이용 목적 등이 빠질 수 있습니다.
- 처리 위탁인데 단순 제3자 제공처럼 관리해 수탁자 감독과 위탁계약 내용이 부실해질 수 있습니다.
- 재위탁업체를 파악하지 못해 실제 개인정보 흐름과 처리방침이 달라질 수 있습니다.
- 해외 사업자를 이용하면서 국외 이전 검토가 누락될 수 있습니다.
그래서 개인정보 문서는 동의서 한 장을 먼저 만드는 방식보다 데이터 흐름을 먼저 그리고 법적 관계를 뒤에 붙이는 방식이 훨씬 안전합니다. 개인정보는 계약서의 단어를 따라 움직이지 않고 실제 시스템과 사람을 따라 움직이기 때문입니다.
FAQ
계열사에 개인정보를 넘기면 같은 회사니까 제3자 제공이 아닌가요?
법인이 서로 다르다면 단순히 같은 기업집단이라는 이유만으로 하나의 개인정보처리자가 되는 것은 아닙니다. 상대 계열사가 어떤 목적으로 개인정보를 이용하는지에 따라 제3자 제공 또는 처리 위탁 여부를 판단해야 합니다. 특히 상대 계열사가 자기 상품의 마케팅이나 고객관리를 위해 이용한다면 제3자 제공 가능성을 우선 검토해야 합니다.
처리 위탁이면 개인정보 동의를 전혀 신경 쓰지 않아도 되나요?
아닙니다. 위탁 자체 때문에 제3자 제공 동의를 받는 구조는 아니지만, 최초 개인정보 수집·이용이 적법해야 하고 위탁계약, 수탁자 공개, 관리·감독 등 제26조 의무를 지켜야 합니다. 홍보·판매 권유 업무 위탁에는 별도의 알림 규정도 있습니다.
개인정보 처리방침에 수탁업체만 적어두면 충분한가요?
그것만으로 충분하다고 단정하기 어렵습니다. 법에서는 위탁하는 업무의 내용과 수탁자를 쉽게 확인할 수 있도록 공개하도록 하고 있으며, 위탁계약과 실제 관리·감독도 별도로 필요합니다. 재위탁이 있다면 그 구조도 함께 확인해야 합니다.
PG사, 클라우드, 문자 발송업체는 무조건 처리 위탁인가요?
업종이나 서비스 이름만으로 일률적으로 결정할 수 없습니다. 실제 계약구조, 법적 의무, 개인정보 이용 목적과 독자적인 활용 여부를 확인해야 합니다. 특히 클라우드나 AI 서비스가 고객 데이터를 자체 서비스 개선 등에 재사용한다면 이용약관과 개인정보 처리 조건을 추가로 검토할 필요가 있습니다.
계약서에 서명하기 전에 지금 확인할 것
외부 업체와 개인정보 관련 계약을 체결하려 한다면 먼저 그 업체 이름 옆에 ‘위탁’ 또는 ‘제3자 제공’이라고 적지 마세요. 대신 전달하는 개인정보, 전달 목적, 실제 이용자, 재사용 가능 여부, 관리·감독 권한, 계약 종료 후 삭제 방법을 한 줄씩 적어보는 것이 먼저입니다.
그 결과 상대 업체가 우리 회사의 업무만 대신 수행한다면 제26조의 위탁계약·공개·감독 체계를 점검합니다. 상대 업체가 독자적인 사업 목적을 가지고 개인정보를 사용한다면 제17조에 따른 제3자 제공의 적법한 근거와 필요한 고지·동의를 검토해야 합니다.
두 구조가 섞여 있거나 업체가 고객 데이터를 자체 마케팅·서비스 개선·AI 학습 등에 사용할 수 있다면 계약 명칭만으로 판단하지 않는 편이 안전합니다. 이 단계에서는 실제 계약서와 데이터 흐름을 기준으로 개인정보보호 담당자 또는 필요한 경우 개인정보 법률 전문가의 판단을 받는 것이 합리적입니다.
업데이트: 2026년 8월