수탁사 직원의 실수로 개인정보가 유출됐다 — 위탁사는 어디까지 책임지나

핵심 요약: 수탁사(콜센터·배송대행·전산 유지보수 등) 직원의 실수로 개인정보가 유출된 경우에도, 위탁사는 개인정보 보호법 제26조 제4항의 교육·관리감독 의무를 다하지 못했다면 제64조의2 제1항 제5호에 따라 전체 매출액 3% 이내의 과징금 부과 대상이 될 수 있다. 정보주체에 대한 손해배상에서는 제26조 제7항이 수탁자를 위탁사의 “소속 직원"으로 간주하므로 배상의 전면에 서는 것도 위탁사다. 한편 수탁사도 제26조 제8항의 준용 규정에 따라 유출 통지·신고와 안전조치 의무를 자신의 이름으로 지며, 위탁사가 물어낸 금액의 회수(구상)는 결국 위·수탁 계약의 배상 조항이 좌우한다.

콜센터 상담원이 고객 명단을 개인 메일로 보냈다. 배송대행사 직원이 주문 정보 파일을 잘못된 수신자에게 발송했다. 사고를 낸 것은 우리 회사가 아니라 수탁사 직원인데, 위탁사인 우리 회사의 책임은 어디까지일까.

결론부터 말하면, 법은 이 상황에서 책임의 무게중심을 위탁사에 둔다. 개인정보위원회도 2026년 5월 보도자료에서 “수탁사를 통한 연쇄적인 유출"을 개인정보 관리의 사각지대로 직접 지목했다.

위탁사가 직접 잘못한 게 없어도 과징금을 받나?

받을 수 있다. 개인정보 보호법 제26조 제4항은 위탁자에게 두 가지 의무를 지운다. 개인정보가 분실·도난·유출·위조·변조·훼손되지 않도록 수탁자를 교육할 것, 그리고 처리 현황 점검 등 시행령이 정하는 바에 따라 수탁자가 개인정보를 안전하게 처리하는지 감독할 것.

이 의무는 선언에 그치지 않는다. 제64조의2 제1항 제5호는 “제26조 제4항에 따른 관리·감독 또는 교육을 소홀히 하여 수탁자가 이 법의 규정을 위반한 경우"를 과징금 부과 사유로 명시한다. 상한은 전체 매출액의 100분의 3이고, 이때 매출액은 수탁사가 아니라 위탁사 기준이다. 사고 행위자가 수탁사 직원이라는 사정은 출발점일 뿐이고, 조사에서 실제로 심사되는 것은 위탁사가 교육을 언제 어떻게 했는지, 점검을 실제로 수행했는지에 대한 기록이다.

유출 유형 통계에서 해킹 못지않게 업무 과실이 큰 비중을 차지한다는 점은 업무 과실 유출도 과징금 대상이 되는 이유에서 다뤘다. 수탁 구조는 그 업무 과실이 가장 자주 발생하는 지점이다.

정보주체에 대한 손해배상은 누가 하나?

제26조 제7항은 수탁자가 위탁받은 업무와 관련하여 개인정보를 처리하는 과정에서 법을 위반해 발생한 손해배상책임에 대하여, 수탁자를 “개인정보처리자의 소속 직원"으로 본다고 정한다. 정보주체 입장에서 수탁사는 위탁사의 직원과 같으므로, 배상 청구의 상대방으로 전면에 서는 것은 위탁사다.

주의할 점은 이 간주 규정의 범위다. 조문은 “손해배상책임에 대하여는"이라고 한정하고 있다. 즉 배상 국면에서 수탁자를 소속 직원으로 보는 것이지, 수탁사의 모든 법적 지위가 위탁사로 흡수된다는 뜻이 아니다.

그럼 수탁사는 책임이 없나?

아니다. 제26조 제8항은 안전조치 의무(제29조), 유출 통지·신고 의무(제34조), 과징금(제64조의2) 등 이 법의 핵심 조항들을 수탁자에게 준용하면서 “개인정보처리자"를 “수탁자"로 본다고 정한다. 수탁사는 위탁사의 그늘에 있는 존재가 아니라, 자신의 이름으로 통지·신고 의무를 지고 자신의 매출액을 기준으로 과징금을 받을 수 있는 독립된 의무 주체다.

그래서 사고 직후의 초동 대응은 위탁사와 수탁사가 각자의 의무를 동시에 이행해야 하는 국면이 된다. 유출을 인지한 시점부터의 신고·통지 절차와 기한은 유출 인지 후 72시간 안의 신고·통지 절차 정리에 정리해 두었다. 위·수탁 관계에서는 여기에 한 겹이 더해진다. 누가 언제 상대방에게 알리고, 누가 신고 주체가 되는지를 계약과 준용 규정 양쪽에서 확인해야 한다.

위탁사가 물어낸 돈, 수탁사에게 돌려받을 수 있나?

여기까지가 규제기관과 정보주체를 상대하는 첫 번째 국면이라면, 그 다음에는 기업 사이의 국면이 남는다. 위탁사가 부담한 과징금·배상금·대응 비용을 수탁사에게 어디까지 물을 수 있는가.

이 단계에서 실제로 작동하는 것은 법 조문보다 위·수탁 계약서의 손해배상 조항이다. 배상 범위를 어떻게 정의했는지, 배상 상한(cap)을 두었는지, 과징금 같은 행정제재금이 배상 범위에 포함되는지, 면책 사유는 어떻게 규정했는지에 따라 회수 가능한 금액이 달라진다. 사고가 난 뒤에 계약서를 처음 펼쳐보면 이미 늦다. 위탁사라면 계약 단계에서 이 조항들을 설계하는 것이, 수탁사라면 감당 가능한 상한을 협상해 두는 것이 각자의 대비다.

이 두 번째 국면인 기업 간 책임 배분은 별도의 글들에서 유형별로 다룰 예정이다.

본 글은 일반적인 정보 제공을 위한 것으로 법률자문이 아닙니다. 구체적 사안은 개별 검토가 필요합니다.

자주 묻는 질문

수탁사가 사고를 냈는데 위탁사도 과징금을 받을 수 있나요?

가능합니다. 제64조의2 제1항 제5호는 위탁사가 제26조 제4항의 교육·관리감독을 소홀히 하여 수탁자가 법을 위반한 경우, 위탁사에게 전체 매출액의 3%를 초과하지 않는 범위에서 과징금을 부과할 수 있도록 정하고 있습니다. 사고를 낸 것이 수탁사 직원이라는 사정만으로는 위탁사가 면책되지 않습니다.

수탁사도 유출 신고를 직접 해야 하나요?

제26조 제8항이 유출 통지·신고 의무(제34조), 안전조치 의무(제29조), 과징금 규정(제64조의2)을 수탁자에게 준용하므로, 수탁사도 자신의 이름으로 의무를 지는 주체입니다. 실무에서는 위·수탁 계약상 통지·협조 조항에 따라 위탁사와 대응을 조율하되, 준용 규정상 자신의 의무가 별도로 존재한다는 점을 전제로 움직여야 합니다.

위탁사가 물어낸 과징금이나 배상금을 수탁사에게 돌려받을 수 있나요?

위·수탁 계약의 손해배상 조항이 작동하는 국면입니다. 다만 계약에 배상 상한이나 면책 조항이 있으면 회수 범위가 크게 달라지므로, 사고 후가 아니라 계약 체결 단계에서 이 조항들을 점검해 두는 것이 실질적인 대비가 됩니다.