핵심 요약: 수탁자인 SaaS 사업자가 고객사마다 별도의 위수탁 계약서를 맺지 않고 약관으로 갈음하는 방식은 개인정보위 안내서상 가능한 구조입니다. 다만 약관과 그에 연결된 문서에 개인정보 보호법 제26조 제1항과 시행령 제28조 제1항의 기재 사항이 모두 들어가야 합니다. 재위탁 동의(제26조 제6항)는 범위와 사후 통지 절차를 미리 약정하는 방식으로 받을 수 있고, 재수탁자는 수탁자 처리방침 링크로 공개하는 방식이 안내돼 있습니다. 위탁 사실 공개를 하지 않은 데 대한 과태료는 위탁자에게 향하지만, 수탁자도 자기 처리방침을 공개할 의무를 따로 집니다.

목차

고객사 수백 곳이 같은 화면에서 이용약관에 동의하고 쓰는 B2B SaaS를 가정해 보겠습니다. 이 SaaS는 고객사의 회원 정보를 저장하고 처리하므로 위탁 관계의 수탁자에 해당합니다. 어느 날 한 고객사의 법무팀이 별도 위수탁 계약서에 날인해 달라고 요청하고, SaaS 사업자는 고객사마다 계약서를 따로 관리할 수 있는지부터 고민하게 됩니다. 이 글은 위탁자 쪽 책임을 다룬 수탁사 사고 시 위탁사 책임과 반대로, 수탁자 쪽에서 문서 요건을 어떻게 채우는지를 봅니다.

약관 동의만으로 제26조 제1항의 "문서"가 되나?

제26조 제1항은 위탁을 문서로 하라고 정하고, 그 문서에 들어갈 내용으로 목적 외 처리 금지와 기술적·관리적 보호조치를 둡니다. 시행령 제28조 제1항은 여기에 위탁업무의 목적과 범위, 재위탁 제한, 안전성 확보 조치, 관리 현황 점검 등 감독, 손해배상 등 책임을 더합니다. 개인정보위 「개인정보 처리 통합 안내서」(2025. 7.)는 위탁 업무가 수탁자의 서비스를 이용하는 형태라면 약관을 통한 계약 체결도 가능하다고 봅니다. 다만 법령이 정한 사항을 모두 반영해야 하고, 문서가 독립된 계약서일 필요는 없다는 것이 안내서의 설명입니다.

따라서 검토의 초점은 형식이 아니라 내용입니다. 약관 본문에는 "개인정보 처리는 별도 정책에 따른다"는 한 줄만 두고 링크된 정책에 법정 사항이 빠져 있다면, 약관으로 갈음했다는 주장은 힘을 잃습니다.

링크로 연결한 정책이 계약 내용이 되는지는 약관의 규제에 관한 법률(이하 "약관법")의 문제이기도 합니다. 약관법 제3조는 사업자에게 계약을 맺을 때 약관 내용을 분명하게 밝히고(제2항) 중요한 내용을 설명하게 하며(제3항), 이를 어긴 사업자는 그 약관을 계약 내용으로 주장할 수 없습니다(제4항). 고객사가 기업이라고 해서 이 구조가 빠지지는 않는 것으로 보입니다. 대법원은 여러 영업점과 쓰려고 일정한 형식으로 미리 마련한 업무위탁 추가계약서 조항을 약관으로 보았습니다(대법원 2022. 5. 12. 선고 2020다278873 판결). 또한 대법원은 인터넷에서 약관에 동의해야 가입이 진행되게 하고 신청서에 서명을 받은 사정만으로는 명시의무를 다했을 뿐 중요한 내용의 설명의무까지 이행했다고 볼 수 없다는 원심 판단을 수긍했습니다(대법원 2013. 2. 15. 선고 2011다69053 판결). 이 때문에 SaaS 사업자는 동의 화면에서 위탁 조항과 링크 문서를 어떻게 보여 주는지까지 점검해 두는 편이 안전하고, 편입 여부는 화면 구성에 따라 결론이 달라질 수 있습니다.

재위탁 동의를 약관에 미리 받아 두어도 되나?

제26조 제6항은 수탁자가 다시 위탁하려면 위탁자의 동의를 받으라고 정합니다. 이 의무는 수탁자의 것이며, 위반하면 2천만원 이하의 과태료 대상이 됩니다(제75조 제3항 제1호, 시행령 별표 2 기준 1회 600만원). 안내서는 이 동의의 형식이 제한되지 않는다고 보고, 재위탁의 허용 범위와 사후 승인·주기적 통지 같은 간소화된 절차를 위탁계약 문서에 미리 정해 두는 방법을 예시합니다.

다만 안내서의 예시는 범위와 절차를 적어 두는 것을 전제로 합니다. 범위 없이 "수탁자는 필요에 따라 재위탁할 수 있다"고만 적은 조항이 같은 평가를 받는다고 보기는 어렵습니다. 안내서 부록의 「표준 개인정보 처리 위탁 계약서(예시)」(184~186쪽) 제5조도 재수탁자의 명칭과 업무 범위를 수탁자 처리방침으로 공개하게 합니다.

한편 개인정보위는 2026년 10월 16일 보도참고자료 「외부 설문도구 이용 시 개인정보 처리 준수 사항에 대해 보다 명확히 안내하겠습니다」에서 어떤 서비스 이용이 위·수탁에 해당하는지를 가리는 방법을 설명했습니다. 개인정보위는 서비스 제공자가 개인정보 처리에 관여하는지 여부와 개인정보에 대한 관리·통제 관계 같은 구체적인 서비스 이용 형태를 함께 놓고 판단해야 한다고 적었고, 이용기관인 수탁사와 구글·네이버폼 등 사이에는 개인정보 재위탁 관계가 성립하지 않는다고 보았습니다. 이 설명에 따르면 SaaS 사업자는 업무에 쓰는 하위 도구를 일률적으로 수탁자 처리방침의 재수탁자 목록에 올리기보다, 그 도구 제공자가 개인정보 처리에 관여하는지와 관리·통제가 어느 쪽에 있는지를 먼저 가려 보는 편이 적절해 보입니다. 다만 재위탁이 아니라고 가려져도 이용기관의 의무가 없어지지는 않습니다. 개인정보위는 외부 설문조사 도구를 사용하는 경우에도 이용기관의 관리·통제 아래 최소 수집과 공개설정 금지, 목적 달성 시 파기 같은 안전조치 의무를 지켜야 한다고 밝혔습니다. 나아가 이 설명은 설문조사 도구를 놓고 나온 것이므로 하위 도구나 클라우드 서비스 전반을 재위탁이 아니라고 읽는 근거로 쓰기는 어렵고, 개인정보위도 공공기관이 외부 설문도구를 활용하는 경우의 준수 사항을 안내서 보완으로 더 구체적으로 안내할 계획이라고 덧붙였습니다.

고객사가 위탁 사실을 공개하지 않으면 수탁자는 무엇을 지나?

제26조 제2항의 공개 의무자는 위탁자입니다. 공개하지 않은 경우의 1천만원 이하 과태료(제75조 제4항 제5호)도 위탁자를 향하고, 제26조 제8항의 수탁자 준용 목록에 제26조 자체는 들어 있지 않습니다. 같은 구조로 위탁 문서를 갖추지 않은 데 대한 과태료(제75조 제4항 제4호)도 위탁자에게 향합니다.

수탁자에게 남는 것은 자기 의무입니다. 제26조 제8항은 제30조를 준용하므로 수탁자도 처리방침을 수립·공개해야 하고, 「개인정보 처리방침 작성지침」(2026. 4.)은 여기에 재수탁자에 관한 사항을 넣으라고 안내합니다. 작성지침은 위탁자가 수탁자 처리방침 링크를 추가해 재수탁자를 알릴 수 있다고 보므로, SaaS가 공개하는 하위처리자 목록은 고객사의 공개 의무를 받치는 자료가 됩니다. 다만 1차 수탁자인 SaaS 자체는 고객사가 자기 처리방침에 직접 적어야 합니다.

사고가 나면 약관의 이 조항들은 어떻게 읽히나?

유출이 나면 위탁자가 교육과 관리·감독을 다했는지가 먼저 문제됩니다(제26조 제4항). 안내서는 다수 위탁자를 둔 전문 수탁자가 ISMS-P 같은 주기적 점검 결과를 계약 문서에서 약정한 방식으로 위탁자들에게 알리면 위탁자의 감독 의무 이행으로 볼 수 있다고 설명합니다. 클라우드 사업자를 예로 든 대목에서는 제3의 전문기관 점검과 개선 결과 통지를 이어 가면 수탁자로서의 책임도 경감될 수 있다고 적고 있습니다. 따라서 약관 속 점검·보고 조항과 그 이행 기록은 사고 뒤 위탁자와 수탁자 양쪽이 내놓는 판단 자료가 됩니다. 배상 이후의 분담은 수탁사에 대한 구상 비율에서 다루었습니다.

자주 묻는 질문

Q. 고객사가 이용약관에 동의만 했는데 위수탁 계약서를 갖춘 것으로 볼 수 있나요?

개인정보위 「개인정보 처리 통합 안내서」(2025. 7.)는 위탁 업무가 수탁자의 서비스를 이용하는 형태라면 약관으로 계약을 체결할 수 있다고 보면서, 법령이 정한 사항은 모두 반영돼야 한다고 덧붙입니다. 따라서 약관 동의라는 형식보다 약관과 그에 연결된 문서에 법 제26조 제1항 각 호와 시행령 제28조 제1항 각 호의 내용이 빠짐없이 들어 있는지가 판단 기준이 됩니다.

Q. 위탁사인 우리는 SaaS 업체의 하위처리자 목록 링크만 처리방침에 걸어 두면 공개 의무를 다한 것인가요?

안내서와 「개인정보 처리방침 작성지침」(2026. 4.)은 재수탁자에 대해서는 위탁자가 수탁자 처리방침 링크를 추가하는 방식으로 알릴 수 있다고 안내합니다. 다만 1차 수탁자인 SaaS 업체 자체와 위탁하는 업무의 내용은 위탁자가 자기 처리방침에 직접 적어야 합니다.

Q. 고객사가 위탁 사실을 공개하지 않으면 수탁자인 SaaS 업체도 과태료를 받나요?

법 제26조 제2항의 공개 의무자는 위탁자이고, 공개하지 않은 경우의 과태료(제75조 제4항 제5호)도 위탁자에게 향합니다. 제26조 제8항의 수탁자 준용 목록에 제26조는 들어 있지 않습니다. 다만 수탁자는 준용되는 제30조에 따라 자기 처리방침을 수립·공개해야 하므로, 그 의무는 고객사의 공개 여부와 관계없이 수탁자에게 남습니다.

참고 자료

본 글은 일반적인 정보 제공을 위한 것으로 법률자문이 아닙니다. 구체적 사안은 개별 검토가 필요합니다.