핵심 요약 — 위탁 관계에서 실무상 갈리는 질문은 "계약서에 뭐라고 썼는가"가 아니라 다섯입니다. ① 우리가 어느 자리인가 ② 이 도구가 위탁인가 제공인가 ③ 사고가 나면 처분이 어느 쪽으로 가는가 ④ 계약이 끝난 뒤에는 어떻게 되는가 ⑤ 먼저 배상한 쪽이 얼마나 돌려받는가. 이 페이지는 다섯 질문에 각각 어느 글이 답하는지를 계약 진행 순서대로 묶은 지도입니다. 방향만 미리 적어 두면 사고 국면에서는 무게중심이 위탁사 쪽이고(제26조 제4항·제7항), 계약이 끝난 뒤에는 수탁사 쪽으로 넘어갑니다. 그 갈림을 만드는 제26조 제8항의 준용 범위는 1번 글이 다룹니다.

개인정보 보호법 제26조 제2항은 개인정보의 처리 업무를 위탁하는 개인정보처리자를 「위탁자」로, 개인정보 처리 업무를 위탁받아 처리하는 자를 「수탁자」로 정의하면서, 수탁자로부터 위탁받은 업무를 다시 위탁받은 제3자도 수탁자에 포함한다고 정하고, 위탁자에게 위탁하는 업무의 내용과 수탁자를 정보주체가 언제든지 쉽게 확인할 수 있도록 공개할 의무를 지웁니다. 실무에서 쓰는 위탁사·수탁사는 법률 용어인 위탁자·수탁자의 약칭이므로, 재위탁을 받은 회사도 법률상 수탁자에 해당합니다. 회사가 위탁자인지, 수탁자인지, 재위탁을 받은 수탁자인지를 정하는 일이 아래 질문 ①의 출발점입니다.

📄 PDF판 — 이 가이드를 PDF로 내려받아 사내·팀에 그대로 전달할 수 있습니다.

위탁 관계에서 생기는 분쟁은 대부분 자리를 잘못 잡은 데서 출발합니다. 본사 계약서의 명칭을 그대로 가져오거나, 도구를 전부 한 칸에 몰아 적어 두었다가 사고가 난 뒤에야 어긋난 것을 확인하게 됩니다. 이 페이지는 그 지점들을 계약의 진행 순서대로 묶었습니다.

1. 우리는 어느 자리에 있나

시작점은 지위 판별입니다. 본사가 보내온 DPA가 한국 법인을 processor로 적어 왔다면, 그 단어에 대응하는 자리가 한국법에 없다는 것부터 확인해야 합니다.

→ 본사 DPA가 우리를 processor로 적어 왔습니다 — 한국법에는 그 자리가 없습니다

지위는 계약서 명칭이 아니라 누가 결정하고 누가 통제하는지로 갈립니다. 장비가 고객 사업장에 놓여 있어도 인증과 접속통제를 우리가 하고 있으면 실질 운영주체는 우리입니다.

→ 우리 장비가 고객 사업장에 설치돼 있습니다 — 거기서 난 사고는 누가 책임지는가

2. 이 도구는 위탁인가, 제공인가

처리방침을 쓸 때 SDK·분석 도구·광고 픽셀을 전부 '위탁' 표에 몰아 적는 경우가 많습니다. 그런데 국외이전 근거 조문은 이 둘을 같은 칸으로 보지 않습니다. 어느 도구가 어느 칸이고 잘못 적으면 무엇이 비는지는 아래 글에서 조문 단위로 갈라 두었습니다.

→ 처리방침에 SDK를 모두 '위탁’으로 적어 두었습니다 — 광고 픽셀도 같은 칸인가

국외로 넘기는 구간이면 근거를 고르는 것과 별개로 계약에 무엇을 반영했는지가 따로 걸립니다. 본사 표준 DPA에 서명한 것만으로는 그 자리가 채워지지 않는데, 이 부분은 위 1번의 본사 DPA 글이 계약 반영 의무(제28조의8 제4항, 시행령 제29조의10)까지 함께 다룹니다.

반대로 우리가 받는 쪽일 때도 칸을 확인해야 합니다. 요청한 적 없는 항목이 제휴 API 응답에 섞여 들어와 보관되고 있으면, 받은 쪽이 어느 조문의 수범자인지가 먼저 정리되어야 합니다.

→ 제휴 API 응답에 요청하지 않은 개인정보가 섞여 왔습니다 — 받은 쪽도 책임이 있는가

어느 칸인지 가르는 질문은 회사를 사고파는 국면에서도 그대로 걸립니다. 거래가 성사되기 전 데이터룸에 올리는 고객 정보는 영업양도 조항(제27조)의 적용 국면이 아니라 제17조 제1항의 제3자 제공으로 돌아오고, 동의나 계약 이행으로 모은 정보에는 수집 목적 범위 제공을 쓸 수 없습니다.

→ 실사 자료로 고객 개인정보를 넘겨받았습니다 — 영업양도 조항은 이 단계를 덮지 않습니다

3. 계약이 살아 있는 동안 사고가 나면

수탁사 직원의 과실로 사고가 나도 책임의 무게중심은 위탁사에 있습니다. 제26조 제4항·제7항과 제64조의2 제1항 제5호가 그 구조를 만듭니다. 수탁사에게 자기 의무가 없다는 뜻은 아니고, 두 층이 겹쳐 있는 상태입니다.

→ 수탁사 직원의 실수로 개인정보가 유출됐다 — 위탁사는 어디까지 책임지나

실제 처분은 대부분 과태료입니다. 위탁 조문(제26조)이 인정된 69건 중 40건이 과태료이고, 49건은 다른 조문 없이 이 조문만으로 처분됐습니다 — 위탁 사실 미공개나 계약서 필수기재사항 누락처럼 서류에서 바로 확인되는 항목입니다.

다만 「위탁 위반은 과태료 사안」으로 정리해 두면 최근 변화를 놓칩니다. 결정문이 공개된 제26조 위반 의결 69건 가운데 과징금이 9건이고, 그중 5건은 다른 조문 없이 제26조만으로 부과됐습니다. 애플 24억 500만 원(2025. 1. 22. 의결) 이후로도 흐름이 이어져, 2026년 5월 13일 의결에서 보람상조 계열 3사(480만·420만·250만 원)가, 5월 27일 의결에서 행정안전부 2억 7,300만 원(제29조·제34조 함께 인정), 농촌진흥청 1억 6,800만 원, 국립농업과학원 2,310만 원이 들어왔습니다. 애플 건을 빼면 금액대는 수백만 원에서 수억 원대에 그치지만, 수탁자 관리·감독 부실은 다른 위반이 없어도 단독으로 과징금이 나올 수 있는 자리입니다.

4. 계약이 끝난 뒤에는 방향이 바뀝니다

계약 종료 시 파기하기로 합의하고도 지우지 않은 데이터에서 사고가 난 경우, 처분이 발주사가 아니라 수탁사에게 온 사례가 있습니다. 제26조 제8항이 파기·안전조치·통지 의무를 수탁자에게 준용하고, 과태료 조항도 그 준용을 문언으로 명시하고 있기 때문입니다.

계약서에 파기 조항을 넣어 두는 것과 파기를 확인한 기록을 남기는 것은 다릅니다. 종료 시점의 확인 절차가 나중에 양쪽 모두의 방어선이 됩니다.

→ 위탁계약이 끝났는데 수탁사 서버에 데이터가 남아 있었습니다 — 위탁사와 수탁사 중 누가 처분을 받는가

5. 먼저 배상한 쪽은 얼마나 돌려받나

먼저 배상한 쪽이 상대에게 돌려받는 경로는 열려 있지만, 돌아오는 금액은 배상액 전액이 아닙니다. 비율을 가르는 것도 감독을 얼마나 했느냐가 아니라 데이터를 어떤 상태로 넘겼느냐였습니다. 실제 판결의 비율과 그 이유는 아래 글에 있습니다.

→ 수탁사 잘못으로 우리가 먼저 손해배상을 했습니다 — 수탁사로부터 돌려받는 금액은 어떻게 결정되는가

2026년 9월 11일 이후 달라지는 것

개정 개인정보 보호법이 신설한 개인정보 보호책임자 관련 과태료 세 호(제75조 제2항 제14호의2~4)는 모두 제26조 제8항에 따라 수탁자에게 준용됩니다. 업무를 위탁받아 처리하는 회사도 자기 이름으로 보호책임자 지정·이사회 의결·신고 의무를 지게 됩니다.

→ 2026년 개정 개인정보 보호법 — 9월 11일부터 무엇이 달라졌나

자주 묻는 질문

Q. 본사 DPA가 우리를 processor로 적어 왔으면 한국법상 수탁자인가요?

명칭만으로 정해지지 않습니다. 한국법에는 processor에 그대로 대응하는 자리가 없고, 지위는 계약서의 단어가 아니라 누가 처리를 결정하고 누가 통제하는지의 실질로 갈립니다(위 1번).

Q. 위탁 관련 위반은 과태료로 끝나나요?

대부분은 그랬지만 전부는 아닙니다. 제26조 인정 69건 중 40건이 과태료였고, 과징금 9건 중 5건은 다른 조문 없이 제26조만으로 부과됐습니다(위 3번).

Q. 계약이 끝난 뒤 수탁사에 남아 있던 데이터에서 사고가 나면 누가 처분을 받나요?

수탁사 자신이 처분 대상이 된 사례가 있습니다. 제26조 제8항의 준용 때문에 계약 종료 후에는 방향이 바뀝니다(위 4번).

관련 가이드

이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.

참고 자료