처리자와 수탁자라는 개념

개인정보보호법상 개인정보를 직접 수집하고 그 처리를 총괄하는 쪽이 '개인정보처리자(위탁자)'이고, 위탁자로부터 처리 업무의 일부를 맡아 수행하는 쪽이 '수탁자'입니다. 광고주가 고객 정보를 수집해 CRM 마케팅을 대행사에 맡기는 구조라면, 광고주가 위탁자, 대행사가 수탁자가 되는 것이 일반적입니다. 이 구분이 명확해야 개인정보 처리에 문제가 생겼을 때 누가 어떤 책임을 지는지 판단할 수 있습니다.

이 개념을 처음 접하면 "결국 광고주가 다 책임지는 것 아니냐"고 생각하기 쉽지만, 정확히는 위탁자와 수탁자 각각에게 서로 다른 종류의 의무가 부여되는 구조입니다. 위탁자는 수탁자를 선정하고 감독할 의무를, 수탁자는 실제 처리 과정에서 법규를 준수할 의무를 각각 지므로, 사고가 발생했을 때는 어느 쪽의 의무 위반이 원인이었는지에 따라 책임 소재가 갈리므로, 계약서에 이 역할을 미리 명시해두는 것은 단순한 형식이 아니라 실제 분쟁 상황에서 방어 논리를 좌우하는 근거가 됩니다.

위탁계약서에 담아야 할 필수 항목

개인정보 처리 업무위탁계약서에는 개인정보보호 관련 법규 준수, 개인정보에 관한 비밀유지, 제3자 제공 금지, 사고 시의 책임 부담, 위탁기간, 처리 종료 후 개인정보의 반환 또는 파기 의무 등을 규정하는 것이 개인정보보호법상 위탁자의 의무로 설명됩니다. 이 항목들이 일반 마케팅 대행 계약서에는 빠져 있는 경우가 많아, 별도의 개인정보 처리위탁 조항이나 부속 합의서로 보완해야 하는 경우가 흔합니다.

위탁자(광고주)의 감독 의무

위탁자는 업무 위탁으로 인해 정보주체의 개인정보가 분실·도난·유출·위조·변조 또는 훼손되지 않도록 수탁자를 교육하고, 처리 현황 점검 등을 통해 수탁자가 개인정보를 안전하게 처리하는지 감독해야 할 법적 의무가 있습니다. 이는 광고주가 "대행사에 맡겼으니 우리 책임은 없다"고 생각할 수 없다는 뜻이며, 계약 기간 내내 최소한의 점검 절차를 유지해야 한다는 의미입니다.

역할 구분이 계약 종료 시점에 미치는 영향

위탁자·수탁자 역할이 계약서에 명확히 규정돼 있으면, 계약 종료 시점에 개인정보 반환·파기 의무도 자연스럽게 그 조항을 따르게 됩니다. 반대로 역할 구분 없이 막연히 "데이터는 알아서 처리하겠다"는 식으로 넘어가면, 계약 종료 후 대행사가 여전히 고객 데이터를 보유하고 있어도 광고주가 이를 통제할 근거가 없습니다. 이 문제는 이 시리즈 5강에서 다룰 데이터 보관·파기·백업의 책임 분리와 직접 연결되는데, 역할 구분이 애초에 계약서에 없다면 5강에서 다룰 파기 절차 자체를 요구할 법적 근거도 함께 사라지게 됩니다.

이 조항을 기존 계약에 추가하는 법

개인정보 처리를 포함하는 대행 계약인데 이런 조항이 없다면, 부속합의서 형태로 위탁계약 조항을 추가하는 것이 계약 전체를 다시 협상하지 않고도 이 문제를 해결하는 실무적인 방법입니다. 이는 다음 시리즈(G35 평판 위기 대응)에서 다룰 사고 발생 시 대응 체계와도 연결됩니다.

부속합의서를 제안할 때는 "이미 개인정보를 다루고 있는 업무 범위에 한해, 법에서 요구하는 최소한의 조항을 명확히 하자는 것"이라고 설명하면, 대행사도 새로운 부담이 아니라 이미 지고 있던 법적 의무를 문서화하는 작업으로 받아들이기 쉬워집니다.

재위탁이 있을 때 역할 구분이 한층 복잡해지는 이유

대행사가 CRM 마케팅 업무를 다시 다른 협력업체(문자 발송 업체, 이메일 마케팅 툴 운영사)에 재위탁하는 경우, 역할 구조는 위탁자(광고주)-수탁자(대행사)-재수탁자(협력업체)로 한 단계 더 늘어납니다. 이 구조에서는 재수탁자에 대해서도 원 수탁자와 동일한 수준의 관리·감독이 이뤄지는지 확인해야 하며, 계약서에 "수탁자가 재위탁하는 경우 재수탁자에게도 본 계약과 동일한 개인정보 보호 의무를 부과해야 한다"는 조항을 넣어야 이 사각지대를 막을 수 있습니다. 재위탁 여부와 재수탁자의 정보를 위탁자에게 사전 고지하도록 하는 것도 함께 요구할 수 있는 항목입니다. 재수탁자가 늘어날수록 개인정보에 접근하는 조직의 수도 함께 늘어나므로, 위탁자 입장에서는 이 사슬 전체를 파악해두는 것이 감독 의무를 실질적으로 이행하는 데 필수적입니다.

감독 의무를 실제로 이행하는 최소한의 방법

감독 의무가 있다고 해서 반드시 매달 대행사 사무실을 방문해 점검해야 하는 것은 아닙니다. 실무적으로는 분기 1회 정도 대행사에 개인정보 처리 현황에 대한 간단한 자체 점검표(접근 권한자 명단, 보관 위치, 최근 접근 이력)를 요청해 받아보는 것만으로도 최소한의 감독 의무를 이행하는 것으로 볼 수 있습니다. 이 점검표를 정기적으로 축적해두면, 향후 개인정보 유출 사고가 발생했을 때 광고주가 감독 의무를 다했다는 것을 보여주는 근거 자료로도 쓰일 수 있습니다. 반대로 이런 점검 이력이 전혀 없다면, 사고가 발생했을 때 위탁자가 감독 의무를 소홀히 했다는 지적을 방어하기 어려워집니다.