핵심 요약 — 개인정보 보호법에는 GDPR의 processor에 대응하는 지위가 없습니다. 수탁자는 제26조 제8항의 준용에 따라 안전조치부터 과징금까지 개인정보처리자 의무 대부분을 자기 이름으로 집니다. 그래서 위탁 관계에서 실무상 갈리는 질문은 “계약서에 뭐라고 썼는가"가 아니라 ① 우리가 어느 자리인가 ② 이 도구가 위탁인가 제공인가 ③ 사고가 나면 처분이 어느 쪽으로 가는가 ④ 계약이 끝난 뒤에는 어떻게 되는가 ⑤ 먼저 배상한 쪽이 얼마나 돌려받는가입니다. 사고 국면에서는 책임의 무게중심이 위탁사에 있고(제26조 제4항·제7항), 계약 종료 후 파기 불이행에서는 수탁사가 처분을 받은 사례가 있습니다.

위탁 관계에서 생기는 분쟁은 대부분 자리를 잘못 잡은 데서 출발합니다. 본사 계약서의 명칭을 그대로 가져오거나, 도구를 전부 한 칸에 몰아 적어 두었다가 사고가 난 뒤에야 어긋난 것을 확인하게 됩니다. 이 페이지는 그 지점들을 계약의 진행 순서대로 묶었습니다.

1. 우리는 어느 자리에 있나

시작점은 지위 판별입니다. 본사가 보내온 DPA가 한국 법인을 processor로 적어 왔다면, 그 단어에 대응하는 자리가 한국법에 없다는 것부터 확인해야 합니다.

→ 본사 DPA가 우리를 processor로 적어 왔습니다 — 한국법에는 그 자리가 없습니다

지위는 계약서 명칭이 아니라 누가 결정하고 누가 통제하는지로 갈립니다. 장비가 고객 사업장에 놓여 있어도 인증과 접속통제를 우리가 하고 있으면 실질 운영주체는 우리입니다.

→ 우리 장비가 고객 사업장에 설치돼 있습니다 — 거기서 난 사고는 누가 책임지는가

2. 이 도구는 위탁인가, 제공인가

처리방침을 쓸 때 SDK·분석 도구·광고 픽셀을 전부 ‘위탁’ 표에 몰아 적는 경우가 많습니다. 그런데 국외이전 근거 조문이 둘을 다르게 취급합니다. 법 제28조의8 제1항 제3호는 ‘처리위탁·보관’만 대상으로 하고 ‘제공’은 빠져 있습니다.

→ 처리방침에 SDK를 모두 ‘위탁’으로 적어 두었습니다 — 광고 픽셀도 같은 칸인가

반대로 우리가 받는 쪽일 때도 칸을 확인해야 합니다. 요청한 적 없는 항목이 제휴 API 응답에 섞여 들어와 보관되고 있으면, 받은 쪽이 어느 조문의 수범자인지가 먼저 정리되어야 합니다.

→ 제휴 API 응답에 요청하지 않은 개인정보가 섞여 왔습니다 — 받은 쪽도 책임이 있는가

3. 계약이 살아 있는 동안 사고가 나면

수탁사 직원의 과실로 사고가 나도 책임의 무게중심은 위탁사에 있습니다. 제26조 제4항·제7항과 제64조의2 제1항 제5호가 그 구조를 만듭니다. 수탁사에게 자기 의무가 없다는 뜻은 아니고, 두 층이 겹쳐 있는 상태입니다.

→ 수탁사 직원의 실수로 개인정보가 유출됐다 — 위탁사는 어디까지 책임지나

4. 계약이 끝난 뒤에는 방향이 바뀝니다

계약 종료 시 파기하기로 합의하고도 지우지 않은 데이터에서 사고가 난 경우, 처분이 발주사가 아니라 수탁사에게 온 사례가 있습니다. 제26조 제8항이 파기·안전조치·통지 의무를 수탁자에게 준용하고, 과태료 조항도 그 준용을 문언으로 명시하고 있기 때문입니다.

계약서에 파기 조항을 넣어 두는 것과 파기를 확인한 기록을 남기는 것은 다릅니다. 종료 시점의 확인 절차가 나중에 양쪽 모두의 방어선이 됩니다.

→ 위탁계약이 끝났는데 수탁사 서버에 데이터가 남아 있었습니다 — 위탁사와 수탁사 중 누가 처분을 받는가

5. 먼저 배상한 쪽은 얼마나 돌려받나

정보주체에게 먼저 배상한 위탁사가 수탁사에 구상하는 경로는 열려 있습니다. 다만 전액이 아니라 자기 부담부분을 초과한 금액만입니다. 최근 1심 판결은 위탁사 30 대 수탁사 70으로 나누었는데, 위탁사가 30%를 진 이유가 감독 소홀이 아니라 고객정보를 변환하지 않고 원본 그대로 넘겼기 때문이라는 점이 실무상 중요합니다.

→ 수탁사 잘못으로 우리가 먼저 손해배상을 했습니다 — 수탁사로부터 돌려받는 금액은 어떻게 결정되는가

2026년 9월 11일 이후 달라지는 것

개정 개인정보 보호법이 신설한 개인정보 보호책임자 관련 과태료 세 호(제75조 제2항 제14호의2~4)는 모두 제26조 제8항에 따라 수탁자에게 준용됩니다. 업무를 위탁받아 처리하는 회사도 자기 이름으로 보호책임자 지정·이사회 의결·신고 의무를 지게 됩니다.

→ 2026년 개정 개인정보 보호법 — 9월 11일까지 무엇을 해야 하나

자주 묻는 질문

Q. 본사 DPA가 우리를 processor로 적었는데 그대로 서명해도 되나요?

개인정보 보호법 공식 영문본에는 GDPR의 processor에 대응하는 지위가 없습니다. 개인정보처리자는 controller로, 수탁자는 person entrusted 또는 outsourcee로 옮겨져 있고, 영문본에 processor라는 단어가 두 번 나오지만 둘 다 개인정보처리자를 가리킵니다. 계약서상 명칭보다 중요한 것은 제26조 제8항의 준용 범위입니다. 수탁자로 정리되면 안전조치부터 과징금까지 개인정보처리자 의무 대부분을 자기 이름으로 지게 됩니다.

Q. 광고 픽셀도 처리방침의 ‘위탁’란에 적으면 되나요?

국외이전 근거를 적을 때 도구마다 쓸 수 있는 근거가 다릅니다. 법 제28조의8 제1항 제3호는 ‘처리위탁·보관’만 대상으로 하고 ‘제공’은 빠져 있습니다. 광고 플랫폼 픽셀을 위탁 표에 올려 두었다면 근거가 비어 있는 상태일 수 있습니다.

Q. 계약이 끝났는데 수탁사가 데이터를 지우지 않았습니다. 누가 처분을 받나요?

계약 종료 후 파기하지 않아 생긴 사고에서 처분이 발주사가 아니라 수탁사에게 온 사례가 있습니다. 법 제26조 제8항이 파기·안전조치·통지 의무를 수탁자에게 준용하고, 과태료 조항도 그 준용을 문언으로 명시하고 있기 때문입니다. 다만 위탁자의 관리·감독 책임이 사라지는 것은 아니므로, 파기 확인 절차를 남겨 두었는지가 갈림점이 됩니다.

관련 가이드

참고 자료