처리위탁과 제3자 제공을 가르는 기준은 무엇인가

개인정보보호법 제26조는 업무위탁에 따른 개인정보 처리를 규정하고, 제17조는 제3자 제공을 규정합니다. 두 조항을 실무에서 구분하는 핵심 기준은 "업무의 목적과 이익이 누구에게 있는가"입니다. 배송사가 쇼핑몰을 대신해 배송 업무를 수행하고, 그 이익이 쇼핑몰(위탁자)에 귀속된다면 이는 처리위탁입니다. 반면 광고 대행사나 광고 플랫폼이 자신의 광고 상품 운영이나 매칭 알고리즘 개선을 위해 고객 데이터를 받는다면, 그 이익은 데이터를 받는 쪽에 귀속되므로 제3자 제공에 해당합니다.

이 구분이 헷갈리는 이유는 실무에서 "대행"이라는 표현이 두 경우 모두에 쓰이기 때문입니다. 광고 대행사가 캠페인을 대신 운영해준다는 점에서는 위탁처럼 보이지만, 그 과정에서 광고 플랫폼(구글, 메타 등)에 고객 데이터를 업로드해 타겟팅에 활용한다면 그 단계는 제3자 제공으로 봐야 합니다. 광고 대행사를 거치는 구조라 해도 최종적으로 데이터가 어디서 어떤 목적으로 쓰이는지를 따져야 정확한 분류가 나옵니다.

처리위탁일 때 필요한 서식은 무엇인가

처리위탁 관계에서는 위탁자가 수탁자와 위탁 계약을 문서로 체결해야 합니다. 계약서에는 위탁 업무의 목적과 범위, 재위탁 제한, 개인정보에 대한 관리·감독 사항, 안전성 확보 조치, 손해배상 책임 등이 포함돼야 합니다. 수탁자는 위탁받은 업무 범위를 초과해 개인정보를 이용하거나 제3자에게 제공할 수 없으며, 재위탁하려면 위탁자의 동의를 받아야 합니다.

처리위탁은 별도의 이용자 동의 없이 진행할 수 있지만, 이용자가 위탁 사실 자체를 알 수 있도록 개인정보 처리방침에 수탁자와 위탁 업무 내용을 공개해야 합니다. 위탁 계약이 없거나 계약서에 필수 사항이 빠져 있으면, 수탁사에서 문제가 생겼을 때 위탁자가 관리·감독 책임을 다하지 못한 것으로 판단될 수 있습니다.

제3자 제공일 때 필요한 서식은 무엇인가

제3자 제공은 이용자에게 어느 회사에, 어떤 목적으로, 어떤 항목을 제공하는지 구체적으로 고지하고 명시적 동의를 받아야 합니다. "맞춤형 광고 제공을 위해 정보를 활용합니다"처럼 막연한 문구는 충분한 고지로 인정되지 않으며, "구글 애즈에 이메일 해시값과 구매 이력을 제공합니다"처럼 구체적으로 적어야 합니다. 동의서 항목도 수집·이용 동의와는 별도의 체크박스로 분리해야 하며, 하나의 동의로 뭉뚱그리면 앞서 다룬 일괄 동의 문제와 같은 위반이 됩니다.

특히 리타겟팅·유사 타겟(Custom Audience 등) 광고를 위해 이메일이나 전화번호를 광고 플랫폼에 업로드하는 작업은 거의 모든 경우 제3자 제공에 해당합니다. 광고 플랫폼이 데이터를 자체 알고리즘 학습이나 매칭에 활용한다는 점에서, 이 데이터 전달의 이익이 플랫폼 쪽에도 귀속되기 때문입니다.

실무에서 혼동을 줄이는 방법은 무엇인가

데이터를 외부로 넘기는 작업을 시작하기 전, "이 데이터를 받는 쪽이 이 업무를 나 대신 해주는 것인가, 아니면 자기 목적으로 쓰는 것인가"를 먼저 물어보는 습관이 도움이 됩니다. 배송사·CS 상담사·결제대행사처럼 우리 업무를 대신 처리해주는 협력사는 대부분 위탁 관계이고, 광고 플랫폼·데이터 마케팅 솔루션처럼 데이터를 받아 자체 서비스에 활용하는 곳은 대부분 제3자 제공 관계에 가깝습니다.

애매한 경우, 예를 들어 CRM 솔루션이 우리 데이터를 분석해주면서 동시에 자사 벤치마크 통계에도 활용한다면, 그 계약서를 다시 들여다봐야 합니다. 계약서상 "수탁자는 위탁 업무 범위를 초과해 이용할 수 없다"는 조항이 있는지, 벤치마크 활용이 그 범위를 벗어나는지를 확인하는 것이 실무적으로 가장 확실한 판단 방법입니다. 이런 애매한 조항은 계약 체결 시점에 미리 명확히 해두는 편이, 나중에 분쟁이 생겼을 때보다 훨씬 적은 비용으로 정리됩니다.

협력사가 바뀌거나 늘어날 때는 무엇을 다시 점검해야 하나

배송사를 새 업체로 바꾸거나, 광고 채널을 새로 추가하는 시점마다 위탁·제3자 제공 여부를 다시 판단해야 합니다. 기존 배송사와 위탁 계약을 맺어뒀다고 해서 신규 배송사에도 자동으로 같은 계약이 적용되는 것은 아닙니다. 계약서를 새로 체결하고, 처리방침에 수탁사 목록을 갱신하는 절차를 빠뜨리면 안 됩니다.

광고 채널을 늘리는 경우도 마찬가지입니다. 기존에 한 곳의 광고 플랫폼에만 데이터를 제공하도록 동의를 받았다면, 새로운 플랫폼을 추가할 때는 그 플랫폼명을 명시한 동의를 다시 받아야 합니다. "광고 플랫폼 전반에 제공"처럼 포괄적으로 동의를 받아뒀다 해도, 이용자가 실제로 어떤 회사에 정보가 넘어가는지 구체적으로 알 수 있도록 처리방침에 최신 목록을 유지하는 것이 안전합니다.