핵심 요약: 수탁사(콜센터·배송대행·전산 유지보수 등) 직원의 실수로 개인정보가 유출된 경우에도, 위탁사는 개인정보 보호법 제26조 제4항의 교육·관리감독 의무를 다하지 못했다면 제64조의2 제1항 제5호에 따라 일반적으로 전체 매출액 3% 이내의 과징금 부과 대상이 될 수 있습니다. 다만 2026년 9월 11일부터 시행된 같은 조 제2항의 가중요건에 해당하면 상한이 10%가 될 수 있습니다. 정보주체에 대한 손해배상에서는 제26조 제7항이 수탁자를 위탁사의 "소속 직원"으로 간주하므로 배상의 전면에 서는 것도 위탁사입니다. 한편 수탁사도 제26조 제8항의 준용 규정에 따라 유출 통지·신고와 안전조치 의무를 자신의 이름으로 지며(수탁사의 일괄 신고가 위탁사의 신고를 갈음하는지는 개인정보위 안내서의 단서까지 확인해야 합니다), 위탁사가 물어낸 금액의 회수(구상)는 결국 위·수탁 계약의 배상 조항이 좌우합니다.
목차
콜센터 상담원이 고객 명단을 개인 메일로 보냈습니다. 배송대행사 직원이 주문 정보 파일을 잘못된 수신자에게 발송했습니다. 사고를 낸 것은 우리 회사가 아니라 수탁사 직원인데, 위탁사인 우리 회사의 책임은 어디까지일까요.
결론부터 말하면, 법은 이 상황에서 책임의 무게중심을 위탁사에 둡니다. 개인정보위도 2026년 5월 보도자료에서 "수탁사를 통한 연쇄적인 유출"을 개인정보 관리의 사각지대로 직접 지목했습니다.
위탁사가 직접 잘못한 게 없어도 과징금을 받나?
위탁사도 과징금을 받을 수 있습니다. 개인정보 보호법 제26조 제4항은 위탁자에게 두 가지 의무를 지웁니다. 위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 유출등이 되지 아니하도록 수탁자를 교육해야 하고, 처리 현황 점검 등 대통령령으로 정하는 바에 따라 수탁자가 개인정보를 안전하게 처리하는지를 감독해야 합니다. 예전 조문은 보호 대상을 「분실·도난·유출·위조·변조 또는 훼손」으로 열거했으나, 2026년 3월 10일 개정(법률 제21445호, 2026년 9월 11일 시행)으로 「유출등」이라는 표현으로 바뀌었습니다. 위탁자가 수탁자를 교육하고 감독해야 한다는 두 의무는 개정 전후 모두 조문에 있습니다.
이 의무는 선언에 그치지 않습니다. 제64조의2 제1항 제5호는 "제26조 제4항에 따른 관리·감독 또는 교육을 소홀히 하여 수탁자가 이 법의 규정을 위반한 경우"를 과징금 부과 사유로 명시합니다. 일반적인 상한은 전체 매출액의 100분의 3이고, 이때 매출액은 수탁사가 아니라 위탁사 기준입니다. 사고 행위자가 수탁사 직원이라는 사정은 출발점일 뿐이고, 조사에서 실제로 심사되는 것은 위탁사가 교육을 언제 어떻게 했는지, 점검을 실제로 수행했는지에 대한 기록입니다.
다만 2026년 9월 11일부터 시행된 제64조의2 제2항은 일정한 경우 상한을 전체 매출액의 10%로 높입니다. 제1항 제5호의 관리·감독 또는 교육 의무 위반에서도 다음 두 요건의 적용 여부를 확인해야 합니다.
- 과징금 부과처분을 받은 날부터 3년이 지나기 전에 제1항의 같은 호를 다시 위반한 경우. 앞선 위반과 다시 한 위반에 각각 고의 또는 중대한 과실이 있어야 합니다.
- 고의 또는 중대한 과실로 제1항 각 호의 위반행위를 하고, 정보주체의 피해 규모가 1천만명 이상인 경우.
제2항 제3호는 별도로 제64조 제1항의 시정조치 명령에 따르지 않아 제1항 제9호의 유출등 위반행위가 발생한 경우를 정합니다. 모든 시정명령 불이행이나 관리·감독 소홀에 이 요건이 그대로 적용되는 것은 아닙니다.
부칙 제3조도 구분해야 합니다. 반복위반 요건은 시행 이후 발생한 위반행위로 과징금 처분을 받은 후 같은 호를 다시 위반한 경우부터 적용합니다. 1천만명 이상 피해 요건은 시행 당시 종료되지 않은 위반행위에도 적용하며, 시정조치 명령 관련 요건은 시행 이후 명령을 받은 경우부터 적용합니다.
유출 유형 통계에서 해킹 못지않게 업무 과실이 큰 비중을 차지한다는 점은 업무 과실 유출도 과징금 대상이 되는 이유에서 다뤘습니다. 수탁 구조에서도 업무 과실로 유출이 발생할 수 있으므로 위탁자와 수탁자의 의무를 나누어 확인해야 합니다.
저희가 정리한 개인정보위 제재 결정문 자료에서 제26조 위반이 인정된 의결은 70건입니다. 처분 유형으로 나누면 과태료가 41건, 과징금이 10건이고, 과징금 가운데 다른 조문 없이 제26조만으로 부과된 의결도 6건 있습니다. 따라서 위탁 조문 위반에 과징금이 부과되는 것은 조문상의 가능성에 그치지 않고 실제 의결로 확인됩니다. 의결별 내역은 위탁 조문(제26조) 제재 사례에서 볼 수 있습니다.
실제 사례로 개인정보위는 2025년 10월 서울CC·한양CC 처분에서 수탁자의 안전조치 의무와 위탁자의 관리·감독 의무를 각각 판단하여 양쪽에 과징금을 부과했습니다. 실무적으로는 다음 기록을 나누어 갖추는 것이 좋습니다.
| 당사자 | 먼저 확인할 기록 |
|---|---|
| 위탁자 | 수탁사 교육, 보안조치 확인, 개선요구 및 후속 점검 기록 |
| 수탁자 | 자신이 운영하는 시스템의 접근통제, 권한 부여·변경·말소 및 점검 기록 |
정보주체에 대한 손해배상은 누가 하나?
제26조 제7항은 수탁자가 위탁받은 업무와 관련하여 개인정보를 처리하는 과정에서 법을 위반해 발생한 손해배상책임에 대하여, 수탁자를 "개인정보처리자의 소속 직원"으로 본다고 정합니다. 정보주체 입장에서 수탁사는 위탁사의 직원과 같으므로, 배상 청구의 상대방으로 전면에 서는 것은 위탁사입니다.
주의할 점은 이 간주 규정의 범위입니다. 조문은 "손해배상책임에 대하여는"이라고 한정하고 있습니다. 즉 배상 국면에서 수탁자를 소속 직원으로 보는 것이지, 수탁사의 모든 법적 지위가 위탁사로 흡수된다는 뜻이 아닙니다.
법원이 실제로 인정한 1인당 배상액의 폭은 유출 손해배상 판결 데이터베이스에 사고별로 정리해 두었습니다. 소송까지 가지 않고 개인정보 분쟁조정으로 마무리된 사례도 따로 모아 두었는데, 두 경로의 금액대가 같지 않다는 점이 대응 방향을 정할 때 먼저 보게 되는 대목입니다.
그럼 수탁사는 책임이 없나?
아닙니다. 제26조 제8항은 안전조치 의무(제29조), 유출 통지·신고 의무(제34조), 과징금(제64조의2) 등 이 법의 핵심 조항들을 수탁자에게 준용하면서 "개인정보처리자"를 "수탁자"로 본다고 정합니다. 수탁사는 위탁사의 그늘에 있는 존재가 아니라, 자신의 이름으로 통지·신고 의무를 지고 자신의 매출액을 기준으로 과징금을 받을 수 있는 독립된 의무 주체입니다.
같은 준용 구조는 전형적인 위탁 관계 밖에서도 작동합니다. 제휴 API로 개인정보를 넘겨받아 보유하게 된 쪽이 왜 자기 이름으로 최소수집·파기·통지 의무를 지는지는 제휴 API 응답에 요청하지 않은 개인정보가 섞여 온 경우에서 다뤘습니다.
그래서 사고 직후의 초동 대응은 위탁사와 수탁사가 각자의 의무를 동시에 이행해야 하는 국면이 됩니다. 유출을 인지한 시점부터의 신고·통지 절차와 기한은 유출 인지 후 72시간 안의 신고·통지 절차 정리에 정리해 두었습니다. 위·수탁 관계에서는 여기에 확인할 사항이 하나 더해집니다. 누가 언제 상대방에게 알리고, 누가 신고 주체가 되는지를 계약과 준용 규정 양쪽에서 확인해야 합니다.
수탁사가 위탁사를 명시해 일괄 신고했다면 위탁사는 따로 신고해야 하나?
이 질문은 수탁사 한 곳이 운영하는 시스템에서 여러 위탁사의 개인정보가 한꺼번에 유출된 경우에 실무에서 곧바로 부딪히는 문제입니다. 개인정보 보호법 제34조 제4항은 유출등을 알게 된 개인정보처리자에게 신고 의무를, 같은 조 제1항은 정보주체에 대한 통지 의무를 지웁니다. 앞에서 본 것처럼 제26조 제8항이 제34조를 수탁자에게 준용하므로, 같은 사고를 두고 위탁사와 수탁사가 모두 신고 의무자가 될 수 있습니다. 시행령 제40조 제1항은 1천명 이상의 유출이나 외부의 불법적인 접근에 의한 유출 등에 해당하면 유출등을 알게 되었을 때부터 72시간 이내에 신고하도록 정하고, 시행령 제39조 제1항은 정보주체 통지에도 같은 72시간을 둡니다.
개인정보위는 2026년 9월 펴낸 「개인정보 유출등 대응 안내서」(이하 "안내서") 46쪽의 FAQ Q2에서 이 문제를 직접 다룹니다. 안내서는 "원칙적으로 위탁자인 개인정보처리자는 유출등 신고 의무가 있습니다. 다만, 수탁사가 해당 위탁사들을 명시하여 기재한 후 일괄 신고하는 것으로 개별 유출등 신고를 갈음하는 것으로 볼 수 있습니다."라고 답합니다. 이어서 그 적용 범위를 "이러한 일괄 신고는 수탁사가 운영하는 개인정보처리시스템의 취약점으로 인해 다수의 위탁사에서 동일한 경위로 수탁받은 개인정보가 유출된 경우에 적용됩니다. 다만 위탁사별로 유출의 원인이나 경위가 상이하거나, 수탁사가 수탁받은 업무 범위를 벗어난 사유로 유출이 발생한 경우 등에는 다르게 판단될 수 있습니다."라고 한정합니다.
이 답변은 두 가지를 함께 읽어야 합니다. 우선 일괄 신고가 위탁사의 신고를 갈음한다는 것은 법이나 시행령의 문언이 아니라 행정 안내인 안내서의 해석입니다. 제34조 제4항과 시행령 제40조에는 수탁자의 신고로 위탁자의 신고를 대신한다는 규정이 없습니다. 나아가 안내서가 인정하는 갈음은 같은 경위로 유출된 경우에 한정되고 예외 단서가 붙어 있습니다. 따라서 위탁사가 별도 신고를 생략할 수 있는지는 수탁사가 일괄 신고를 했다는 사실만으로 정해지지 않고, 우리 회사의 사고가 그 범위 안에 들어가는지에 따라 달라질 수 있습니다.
안내서 Q2가 다루지 않는 부분도 있습니다. Q2의 질문과 답변은 신고만을 대상으로 하므로, 수탁사가 정보주체 통지를 대신 보낸 경우 위탁사의 통지 의무를 어떻게 평가하는지는 Q2에 나오지 않습니다. 위탁사가 유출등을 "알게 되었을 때"가 수탁사에게서 통보를 받은 때인지도 안내서에서 직접 정한 문언을 찾지 못했습니다. 다만 안내서의 신고 기한 부분은 "유출등의 발생 시점과 인지 시점이 다른 경우, 인지 시점을 객관적 자료(민원 접수 일시, 유출 제보 일시, 해커의 협박 메일 발송･확인 일시 등)로 입증할 수 있어야 한다"고 적고 있습니다. 이 기준에 비추어 보면 위탁사는 수탁사의 통보를 받은 일시를 기록해 두어야 하고, 그 기록이 위탁사의 인지 시점을 입증하는 자료가 될 수 있다고 해석됩니다. 시행령 제40조 제1항의 기산점이 회사가 스스로 탐지했는지 외부의 연락으로 알았는지를 구분하지 않는다는 점은 침해사고 신고와 개인정보 유출 신고, 둘 다 해야 하나에서 다뤘습니다.
2026년 9월 클라우드 LMS 사업자 맑은소프트의 사고는 이 구조가 실제로 나타난 예입니다. 공개된 공지를 기준으로 보면, 수탁사인 맑은소프트는 2026년 9월 22일 한국인터넷진흥원과 개인정보위에 신고했고, 9월 25일 고객사 대상 공지에서 "고객사를 명시하여" 일괄적으로 처리하므로 "별도로 중복 신고하지 않으셔도 됩니다"라고 안내했습니다. 이 공지는 안내서 Q2 답변 앞부분 두 문장의 취지를 인용했지만, 적용 범위와 예외 단서를 담은 문단은 인용하지 않았습니다. 다만 그 문단을 인용하지 않았다는 사실만으로 이번 일괄 신고가 적용 요건을 갖추지 못했다고 볼 수는 없습니다. 같은 공지는 "개인정보 유출이 확인된 이용자에 대한 개별 안내도 맑은소프트에서 진행하였습니다"라며 9월 25일 기준으로 개별 통지를 마쳤다고 밝혔습니다. 보도와 고객사 공지를 기준으로 피해 사이트는 20곳이 넘습니다(보안뉴스 2026. 10. 1. 보도는 「최소 22개 사이트」).
수탁사의 일괄 신고와 별도로 자체 신고를 밝힌 고객사도 있습니다. 펜타시큐리티(PENTA INSTITUTE)는 9월 24일 공지에서 "당사도 개인정보처리자로서 개인정보보호위원회에 신고를 진행하고 있습니다"라고 밝혔습니다. 캐논아카데미는 맑은소프트의 "별도 백업 데이터베이스(DB)"에 허가되지 않은 외부 접근이 있었다고 밝히고, 개인정보 유출 사실을 9월 28일 22시경 확인해 9월 29일 개인정보위에 신고했다고 공지했습니다. 공지상 유출 확인 시점은 고객사마다 다르지만, 그 차이만으로 유출의 원인이나 경위가 달랐다거나 안내서의 예외 단서에 해당한다고 판단할 수는 없습니다. 개인정보위의 조사 결과도 이 글을 쓰는 시점에 공개되지 않았습니다.
2026년 10월에는 학회 홈페이지 관리업체의 시스템이 해킹되어, 각 학회 홈페이지에 공개된 공지를 기준으로 최소 13개 학회가 10월 8일 회원정보 유출을 알렸습니다(보안뉴스 2026. 10. 11. 보도 시점에는 6곳). 그중 9곳은 같은 문안을 썼지만, 13곳의 유출 항목이 모두 같지는 않았습니다. 11곳의 공지가 계좌번호를 포함한 반면, 한 학회의 공지에는 계좌번호가 없고 다른 학회는 "일부 회원님의 계좌번호"라고 적었습니다. 개인정보위에 유출 신고를 했다고 공지에 적은 곳은 13곳 중 한 곳이었고, 나머지 공지에는 신고 여부가 적혀 있지 않았습니다. 유출 인원과 관리업체의 공식 입장은 2026년 10월 11일 기준 공개되지 않았습니다.
위탁사가 수탁사의 일괄 신고에 기대어 별도 신고를 하지 않으려면 적어도 다음을 확인해 두는 것이 좋습니다.
- 우리 회사 쪽 유출이 시행령 제40조 제1항의 신고 대상(1천명 이상, 민감정보·고유식별정보, 외부의 불법적인 접근)에 해당하는지 먼저 확인합니다.
- 수탁사 통보를 포함해 우리 회사가 유출을 알게 된 경위와 시점을 메일 수신 기록 등 객관적 자료로 확인합니다. 수탁사 통보보다 앞선 민원·제보·자체 확인이 있었다면 그 시점이 기준이 될 수 있습니다. 신고·통지 기한은 이 시점부터 각각 셉니다.
- 일괄 신고에 우리 회사가 위탁사로 명시됐는지, 어떤 사고와 범위로 신고됐는지를 확인합니다. 접수 사실만이 아니라 신고 내용을 확인할 수 있는 자료를 수탁사에게 요청해 받아 둡니다.
- 유출이 수탁사가 운영하는 시스템의 취약점에서 비롯됐고, 다른 위탁사와 같은 경위로 수탁받은 개인정보가 유출된 것인지 자료로 확인합니다. 별도의 데이터베이스나 경로가 드러났다면 원인·경위와 위탁 업무 범위가 다른지 추가로 확인합니다.
- 정보주체 통지가 누구 명의로, 누구에게, 언제 나갔는지와 제34조 제1항 각 호의 사항이 빠짐없이 들어갔는지 확인합니다. 수탁사가 제공한 통지 문안을 쓰더라도, 유출 항목은 우리 회사가 실제로 수집·보관한 항목과 대조해 고칩니다. 법은 "지체 없이" 통지하도록 하고 시행령은 72시간 기한을 둡니다. 이 부분은 안내서 Q2의 범위 밖입니다.
신고 대상인데 일괄 신고에 우리 회사가 포함됐는지, 또는 안내서의 갈음이 우리 사고에 적용되는지가 기한 안에 확인되지 않는다면, 위탁사는 자기 이름으로 신고할지를 기한 안에 판단해야 합니다. 통지 내용이나 증빙 기록이 부족한 것은 신고와 별개로 보완할 일입니다. 위탁 계약을 맺는 단계에서 수탁사의 사고 통보 기한과 신고서 사본 제공 의무를 정해 두면 사고가 났을 때 이 확인이 빨라집니다.
위탁사가 물어낸 돈, 수탁사에게 돌려받을 수 있나?
여기까지가 규제기관과 정보주체를 상대하는 첫 번째 국면이라면, 그다음에는 기업 사이의 국면이 남습니다. 위탁사가 부담한 과징금·배상금·대응 비용을 수탁사에게 어디까지 물을 수 있을까요.
이 단계에서 실제로 작동하는 것은 법 조문보다 위·수탁 계약서의 손해배상 조항입니다. 배상 범위를 어떻게 정의했는지, 배상 상한(cap)을 두었는지, 과징금 같은 행정제재금이 배상 범위에 포함되는지, 면책 사유는 어떻게 규정했는지에 따라 회수 가능한 금액이 달라집니다. 사고가 난 뒤에 계약서를 처음 펼쳐보면 이미 늦습니다. 위탁사라면 계약 단계에서 이 조항들을 설계하는 것이, 수탁사라면 감당 가능한 상한을 협상해 두는 것이 각자의 대비입니다.
이 두 번째 국면인 기업 간 책임 배분은 별도의 글들에서 유형별로 다룹니다. 위탁사가 정보주체에게 먼저 배상한 뒤 수탁사에서 돌려받는 금액이 무엇으로 갈리는지는 수탁사 잘못으로 먼저 배상한 금액을 어디까지 구상할 수 있나에서 최근 1심 판결을 놓고 다뤘습니다.
집계로 본 판단 — 개인정보위 제재 의결 1,051건(2026-10-26 수집분) 가운데 제26조(업무위탁) 위반이 인정된 의결은 70건이고, 그중 과징금이 부과된 의결은 10건, 다른 조문 없이 제26조만으로 과징금이 나온 의결은 6건입니다. 위탁 조문으로 과징금까지 간 의결은 소수지만 실제로 있으므로, 위탁사가 먼저 할 일은 수탁사 교육과 처리 현황 점검을 했다는 기록을 날짜가 남는 형태로 갖추는 것입니다. 집계는 제26조 업무위탁 제재 사례에서 셌습니다.
본 글은 일반적인 정보 제공을 위한 것으로 법률자문이 아닙니다. 구체적 사안은 개별 검토가 필요합니다.
선례 확인 — 처리 위탁(보호법 제26조) 관련 위반으로 실제 부과된 처분은 개인정보 처리 위탁 위반 제재 사례에서 의결일·피심인·위반 조문·금액으로 걸러 볼 수 있습니다. 결정문 게시판은 제목만 검색되므로 조문이나 회사명으로 선례를 찾을 때는 제재 사례 면이 더 빠릅니다.
자주 묻는 질문
Q. 수탁사가 사고를 냈는데 위탁사도 과징금을 받을 수 있나요?
Q. 수탁사도 유출 신고를 직접 해야 하나요?
Q. 수탁사가 우리 회사를 명시해 일괄 신고했다면 위탁사는 따로 신고하지 않아도 되나요?
Q. 위탁사가 물어낸 과징금이나 배상금을 수탁사에게 돌려받을 수 있나요?
위·수탁 계약의 손해배상 조항이 작동하는 국면입니다. 다만 계약에 배상 상한이나 면책 조항이 있으면 회수 범위가 크게 달라지므로, 사고 후가 아니라 계약 체결 단계에서 이 조항들을 점검해 두는 것이 실질적인 대비가 됩니다.
위탁사와 수탁사가 각각 어느 조문의 수범자가 되는지는 위탁·수탁 개인정보 책임 지도 — 우리는 어느 자리에 있나에 지위별로 모아 두었습니다.
참고 자료
개인정보 보호법 — 국가법령정보센터
개인정보 보호법 시행령 — 국가법령정보센터
법률 제21445호 개정문·부칙 — 제64조의2 제2항 및 부칙 제3조
개인정보 유출등 대응 안내서(2026.9.) — 개인정보보호위원회, 46쪽 FAQ Q2
2026년 9월 21일 수정: 과징금 3% 일반 상한과 10% 가중요건·부칙 적용례를 구분하고, 업무 과실에 관한 비교 표현과 위·수탁자별 점검자료를 보완했습니다.
2026년 10월 1일 수정: 수탁사가 위탁사를 명시해 일괄 신고한 경우 위탁사가 따로 신고해야 하는지를 개인정보위 「개인정보 유출등 대응 안내서」(2026.9.) FAQ와 2026년 9월 클라우드 LMS 사고를 놓고 새 절로 정리하고, 자주 묻는 질문과 참고 자료를 보완했습니다.