처리방침에 SDK를 모두 '위탁'으로 적어 두었습니다 — 광고 픽셀도 같은 칸인가

핵심 요약. 국외이전의 근거를 처리방침에 적을 때, 도구마다 적을 수 있는 근거가 다릅니다. 법 제28조의8 제1항 제3호는 “계약의 체결 및 이행을 위하여 개인정보의 처리위탁·보관이 필요한 경우"만 대상으로 하고, 제1항 본문이 이전으로 함께 든 “제공"은 여기서 빠져 있습니다. 위탁이면 처리방침 공개로 별도 동의를 갈음할 수 있지만, 제공이면 제3호를 쓸 수 없고 제1호의 별도 동의로 가야 합니다. 둘을 가르는 기준은 본래의 수집·이용 목적 범위를 넘는지, 그리고 받는 쪽이 위탁 대가 외에 독자적 이익을 갖는지입니다(대법원 2017. 4. 7. 선고 2016도13263 판결). 개인정보보호위원회가 2026년 7월 틱톡과 애플에 국외이전 위반을 인정한 근거도 법정 사항을 “공개하거나 알리지 않았다"는 것, 즉 제3호 각 목의 요건을 갖추지 못했다는 것이었습니다.

개인정보처리방침 필수 기재사항을 맞추다 보면 국외이전 항목에서 한 번 멈추게 됩니다. 시행령이 요구하는 것은 이전 항목·국가·수령자·목적·보유기간만이 아니라 이전의 근거가 다섯 가지 중 무엇인지까지이기 때문입니다.

그런데 처리방침의 위탁 표를 열어 보면, 클라우드와 크래시 리포트와 애널리틱스와 광고 플랫폼 픽셀이 한 표에 나란히 들어가 있는 경우가 있습니다. 붙일 때는 모두 “SDK 하나 추가"였지만, 근거란에 같은 것을 적을 수 있는 도구들이 아닙니다.

위탁과 제공은 무엇으로 갈리나?

기준은 계약서의 제목이 아닙니다. 대법원은 두 가지를 함께 봅니다.

개인정보 보호법 제17조와 정보통신망법 제24조의2에서 말하는 개인정보의 ‘제3자 제공’은 본래의 개인정보 수집·이용 목적의 범위를 넘어 그 정보를 제공받는 자의 업무처리와 이익을 위하여 개인정보가 이전되는 경우인 반면, 개인정보 보호법 제26조와 정보통신망법 제25조에서 말하는 개인정보의 ‘처리위탁’은 본래의 개인정보 수집·이용 목적과 관련된 위탁자 본인의 업무 처리와 이익을 위하여 개인정보가 이전되는 경우를 의미한다. 개인정보 처리위탁에 있어 수탁자는 위탁자로부터 위탁사무 처리에 따른 대가를 지급받는 것 외에는 개인정보 처리에 관하여 독자적인 이익을 가지지 않고, 정보제공자의 관리·감독 아래 위탁받은 범위 내에서만 개인정보를 처리하게 되므로

— 대법원 2017. 4. 7. 선고 2016도13263 판결

두 개의 잣대가 겹쳐 있습니다. 본래의 수집·이용 목적 범위 안인가, 그리고 받는 쪽이 위탁 대가 외에 독자적 이익을 갖는가입니다.

이 구분이 언제나 결론을 바꾸는 것은 아닙니다. 받은 쪽의 의무를 따질 때는 법 제26조 제8항의 준용 때문에 위탁이든 제공이든 같은 조문의 수범자가 되고, 그래서 구분의 실익이 없는 국면도 있습니다(제휴 API 응답에 요청하지 않은 개인정보가 섞여 왔습니다에서 다룬 상황이 그렇습니다).

국외이전은 반대입니다. 여기서는 구분이 근거 자체를 바꿉니다.

국외 이전에서는 왜 구분이 결론을 바꾸나?

제1항 본문은 이전을 이렇게 정의합니다.

개인정보처리자는 개인정보를 국외로 제공(조회되는 경우를 포함한다)·처리위탁·보관(이하 이 절에서 “이전"이라 한다)하여서는 아니 된다.

셋을 나란히 놓고 묶어 “이전"이라 부릅니다. 예외는 다섯 가지이고, 그 목록과 국가별 적용은 영국 본사와 데이터를 주고받고 있습니다에 정리해 두었습니다. 여기서 볼 것은 그중 실무에서 가장 많이 쓰이는 제3호 하나입니다.

3. 정보주체와의 계약의 체결 및 이행을 위하여 개인정보의 처리위탁·보관이 필요한 경우로서 다음 각 목의 어느 하나에 해당하는 경우 　가. 제2항 각 호의 사항을 제30조에 따른 개인정보 처리방침에 공개한 경우 　나. 전자우편 등 대통령령으로 정하는 방법에 따라 제2항 각 호의 사항을 정보주체에게 알린 경우

제1항 본문은 셋을 들었는데, 제3호는 그중 뒤의 둘만 듭니다. “제공"이 빠져 있습니다.

개인정보보호위원회도 같은 취지로 설명합니다. 2025년 5월 보도자료는 “계약 이행을 위해서 국외 사업자에게 개인정보 처리 위탁 또는 보관 등이 필요할 경우” 처리방침에 공개하거나 전자우편 등으로 알리도록 하고 있다고 적습니다.

따라서 처리방침의 근거란은 이렇게 갈립니다.

처리방침에 적어 두었으니 됐다고 보고 있었다면, 그 전제는 그 흐름이 위탁일 때만 성립합니다.

광고 플랫폼 픽셀은 어느 쪽인가?

성격은 계약과 실제 데이터 흐름을 보고 판단할 문제이므로 도구 이름만으로 단정할 수는 없습니다. 다만 개인정보위가 틱톡 사건에서 확인한 사실관계는 판단의 방향을 보여 줍니다.

틱톡은 광고 및 콘텐츠 성과 분석 서비스를 제공하면서 다른 웹·앱 사업자에게 수집 도구를 배포하고, 그 도구가 설치된 타사 웹·앱에서 모은 행태정보를 기기 식별자와 함께 수집해 틱톡 회원 계정과 연결하고, 분석하여 특성·관심사를 추론한 뒤 자사 맞춤형 광고에 활용했습니다. 사건의 전체 사실관계와 행태정보가 왜 개인정보인지는 웹사이트에 심은 광고 픽셀이 수집하는 행태정보도 개인정보인가에 있습니다.

한 가지는 분명히 해 둘 필요가 있습니다. 개인정보위가 이 사건에서 위탁이냐 제공이냐를 판단한 것은 아닙니다. 적용된 조문은 법 제15조 제1항(수집·이용의 적법 근거)과 제28조의8 제1항(국외 이전)이고, 제17조나 제26조는 처분 근거에 등장하지 않습니다. 다만 확인된 데이터 흐름을 대법원의 잣대에 대 보면 방향은 읽힙니다. 도구를 설치한 회사가 원래 수집한 목적의 범위를 넘어, 받는 쪽이 자기 광고 사업의 재료로 쓰는 구조라면, “위탁 대가 외에는 독자적 이익이 없다"는 수탁자의 모습과는 거리가 있습니다.

같은 잣대를 대면 서드파티 도구는 대체로 두 무리로 나뉩니다.

• 위탁에 가까운 쪽 — 우리 서비스의 데이터를 우리를 위해 처리하고 돌려주는 도구. 해외 리전 클라우드, 크래시 리포트, 우리 계정 안에서만 쓰이는 제품 애널리틱스 등. 다만 계약상 사업자가 그 데이터를 자기 제품 개선이나 통계 목적으로 쓸 수 있게 되어 있다면 이 무리에 그대로 두기 어렵습니다.
• 제공에 가까운 쪽 — 사업자가 받은 데이터를 자기 광고·추천 모델의 재료로 쓰는 도구. 광고 플랫폼의 픽셀·전환 추적 SDK가 전형입니다.

약관이 열쇠입니다. 서드파티 도구의 이용약관에 사업자가 수집 데이터를 자기 서비스 개선이나 광고에 활용할 수 있다는 조항이 있다면, 처리방침의 위탁 표에 그 이름을 올려 둔 것과 실제 관계가 어긋나 있을 수 있습니다.

제3호에 서더라도 요건은 따로 있다

성격이 위탁으로 정리되어 제3호에 설 수 있다 하더라도, 그것만으로 끝나지 않습니다. 제3호는 각 목의 공개 또는 통지를 요건으로 걸고 있기 때문입니다.

2026년 7월 22일 의결에서 국외이전 위반이 인정된 지점이 정확히 여기입니다. 개인정보위는 틱톡 라이트의 포인트 현금 인출 서비스 과정에서 이용자 개인정보를 계열사에 이전하면서 이전 항목, 이전받는 자의 이용 목적 및 보유·이용 기간 등 “법정 사항을 공개하거나 알리지 않은 사실"을 확인하고 제28조의8 제1항 위반으로 판단했습니다. 같은 날 애플 건도 구조가 같습니다. 미국 Apple Inc. 등 계열사로 이전하면서 같은 항목들을 “개인정보 처리방침에 충분히 기재하지 않은” 점이 확인되어, ASPL에 국외이전 현황 점검 등을 내용으로 하는 시정조치 명령이 내려졌습니다.

“공개하거나 알리지” 않았다는 표현은 제3호 가목·나목을 그대로 뒤집은 것입니다. 근거로 삼으려던 예외의 요건을 갖추지 못하면 그 이전은 근거 없는 이전이 됩니다. 성격 판단이 맞았더라도 기재가 비어 있으면 결론은 같아집니다.

덧붙여 이번 보도자료는 국외이전의 범위를 이렇게 정리했습니다. 국외이전은 물리적 국경 이동이 아니라 “보호법의 법적 관할이 미치지 않아 보호수준이 담보되지 않는 범위로의 이전"을 의미하므로, 계열사 내 이전이거나 동일 국가 내에서의 이전이라 하더라도 국외로 제공·처리위탁·보관이 이루어지면 국외이전 규정을 지켜야 한다는 것입니다.

어긋나 있으면 무엇이 문제가 되나?

세 겹으로 쌓입니다. 제공인데 위탁으로 다뤄 왔다면 국내에서는 법 제17조의 동의를 받지 않은 것이 되고, 국외로는 쓸 수 없는 근거를 쓴 것이 됩니다. 그리고 위탁으로 적어 둔 기재 자체가 실제와 다른 기재가 됩니다. 수탁자는 공개 대상이고 위탁자에게는 수탁자 교육·감독 의무가 따르는데(법 제26조), 애초에 수탁자가 아닌 상대에 그 틀을 씌워 둔 셈입니다.

평상시에는 표의 한 줄이지만, 사고가 나면 성격이 달라집니다. 유출 조사에서 개인정보위는 어떤 데이터가 어디로 어떤 근거로 나갔는지를 봅니다. 그때 근거란이 “위탁"이라고만 적혀 있고 상대가 광고 플랫폼이면, 그 한 줄이 이전 자체의 적법성 문제로 넘어갑니다.

지금 확인할 것

처리방침의 위탁 표와 국외이전 표를 나란히 놓고, 각 도구마다 받는 쪽이 그 데이터로 무엇을 하는지를 한 칸 더 적어 보는 것이 시작입니다. 그 칸이 “우리를 위해 처리해서 돌려준다"로 채워지지 않는 도구가 위탁 표에 있다면, 근거를 다시 봐야 합니다.

판단의 재료는 우리 계약서가 아니라 상대의 약관에 있습니다. 서드파티 도구의 이용약관에서 사업자가 수집 데이터를 자기 목적으로 쓸 수 있게 한 조항을 찾아 보십시오. 그 조항 하나가 표의 칸을 결정합니다.

위탁으로 정리되는 흐름이라면 제3호 각 목의 요건을 실제로 갖췄는지가 남습니다. 무엇을 적어야 하는지는 필수 기재사항 체크리스트에 항목별로 정리해 두었고, 항목이 하나라도 비어 있으면 근거가 성립하지 않는다는 점만 여기서 덧붙입니다.

제공으로 정리되는 흐름이 있다면 동의를 두 겹으로 봐야 합니다. 국내 제3자 제공 동의(법 제17조)와 국외이전 동의(법 제28조의8 제1항 제1호)는 별개이고, 그 동의를 회원가입의 필수 동의에 끼워 넣으면 동의 자체가 무너집니다.

자주 묻는 질문

Q. 해외 분석 SaaS를 쓰면서 처리방침에 위탁으로 공개해 두었는데, 국외이전 동의를 따로 받아야 하나요?

그 흐름이 처리위탁·보관에 해당하고 제3호 각 목의 요건을 갖췄다면 받지 않아도 됩니다. 법 제28조의8 제1항 제3호는 계약의 체결 및 이행을 위하여 처리위탁·보관이 필요한 경우, 제2항 각 호의 사항을 처리방침에 공개하거나(가목) 전자우편 등으로 정보주체에게 알린 경우(나목) 별도 동의 없이 이전할 수 있게 합니다. 다만 그 사업자가 받은 데이터를 자기 목적으로도 쓴다면 제공에 가까워지고, 제3호는 문언상 제공을 대상으로 하지 않으므로 제1호의 별도 동의를 검토해야 합니다.

Q. 광고 플랫폼의 픽셀·전환 추적 SDK는 위탁인가요, 제공인가요?

계약과 실제 데이터 흐름에 따라 판단할 문제입니다. 다만 사업자가 수집한 행태정보를 자기 맞춤형 광고에 활용하는 구조라면, 본래의 수집·이용 목적 범위를 넘어 받는 쪽의 업무처리와 이익을 위해 이전되는 모습에 가깝고, 수탁자의 요건인 “위탁 대가 외에 독자적 이익이 없을 것”(대법원 2016도13263)과는 어긋납니다. 참고로 개인정보위는 틱톡 사건에서 위탁·제공의 구별을 판단한 것이 아니라 수집·이용의 적법 근거(법 제15조 제1항)와 국외이전(법 제28조의8 제1항) 위반을 인정했습니다. 상대의 이용약관에서 데이터 활용 조항을 확인하는 것이 출발점입니다.

Q. 위탁으로 적어 둔 것을 제공으로 바꾸면 무엇이 달라지나요?

동의 구조와 공개 항목이 달라집니다. 국내에서는 법 제17조의 제3자 제공 동의가 필요해지고, 국외로 나간다면 법 제28조의8 제1항 제1호의 별도 동의가 추가로 필요합니다. 반대로 수탁자에게 적용되던 법 제26조의 교육·감독 의무와 수탁자 공개의 틀은 그 상대에게 맞지 않게 됩니다. 표의 칸을 옮기는 일이 아니라 동의 화면과 처리방침을 함께 고치는 일이 됩니다.

참고 자료

• 개인정보 보호법 제17조(개인정보의 제공), 제26조(업무위탁에 따른 개인정보의 처리 제한), 제28조의8(개인정보의 국외 이전) 제1항 본문·제1호·제3호
• 대법원 2017. 4. 7. 선고 2016도13263 판결(개인정보보호법위반, 정보통신망이용촉진및정보보호등에관한법률위반(개인정보누설등)) — 처리위탁과 제3자 제공의 구별 기준
• 개인정보보호위원회 2026. 7. 23.자 보도자료 「개인정보위, 적법 근거 없이 개인정보수집·이용한 틱톡·애플 제재」(조사1과, 2026. 7. 22. 제14회 전체회의 의결)
• 개인정보보호위원회 2025. 5. 15.자 보도자료 — 계약 이행을 위한 국외 처리위탁·보관 시 처리방침 공개 또는 통지에 관한 설명

이 글은 일반적인 정보 제공을 목적으로 한 것으로 법률자문이 아닙니다. 서드파티 도구의 법적 성격은 계약 내용, 데이터 흐름, 식별자 결합 여부에 따라 달라지므로 구체적인 사안은 개별 검토가 필요합니다.

이 글은 2026년 8월 2일 기준이며, 틱톡·애플 건은 의결서 공개나 불복 절차에 따라 세부 내용이 달라질 수 있습니다.