안녕하세요. 최앤리&등기맨 법알약 구독자 님
최철민 대표변호사입니다.
 
SK텔레콤 유심 사태로 한동안 세간이 시끄러웠습니다. 오늘은 대기업부터 스타트업까지 어느 회사도 피해갈 수 없는 이슈인 고객의 “개인정보보호”를 파헤쳐 볼텐데요. 그 중에서도 가장 아리송한 “개인정보 제3자 제공”과 “개인정보 업무 위탁”의 차이점과 님 회사가 주의해야 할 리스크에 대해 법알약 처방을 해드리겠습니다.

‘개인정보 제3자 제공’와 ‘개인정보 처리 업무 위탁’을 구분하는 기준은 누구의 이익을 위해 개인정보가 처리되는지 여부입니다. 결국 님 회사의 이익을 위해서냐, 개인정보를 제공받는 상대방의 이익을 위해서냐에 따라 다릅니다.
우리 대법원은 전자에 대해 “본래의 개인정보 수집·이용 목적의 범위를 넘어 정보를 제공받는 자의 업무처리와 이익을 위하여 개인정보가 이전되는 경우”, 후자에 대해 “본래의 개인정보 수집·이용 목적과 관련된 위탁자 본인의 업무 처리와 이익을 위하여 개인정보가 이전되는 경우”라고 명확히 설명하고 있습니다(대법원 2017. 4. 7. 선고 2016도13263 판결).
판례만 인용하고 끝나면 “법알약”이 아니겠죠? 쉽게 예시를 들어드릴게요.
어느 쇼핑몰 업체가 고객 A/S 대응을 위해 별도의 콜센터 업체와 계약을 맺고 고객의 개인정보를 이전하는 경우는 어떨까요. 이는 콜센터 업체가 쇼핑몰 업체의 고객 대응 서비스라는 업무를 대신 처리하고 그 업체의 이익을 위해 개인정보를 이전받는 것이므로 제3자 제공이 아닌 처리위탁에 해당합니다. 반면, 콜센터 업체가 자신의 업체를 홍보하고 마케팅하기 위해 쇼핑몰 업체로부터 고객의 개인정보를 제공받는 것이라면, 이는 콜센터 업체 자신의 업무처리와 이익을 위한 것이므로 제3자 제공에 해당합니다. 이제 좀 감이 잡히시나요?

그럼 이 둘을 구별하는데 성공하였다면, 각 경우에 따라 어떤 요건을 갖춰야 하는지 한번 살펴보겠습니다.
‘개인정보 제3자 제공’의 경우에는 개인정보 보호법 제17조, 제18조 등에 따라 정보주체의 동의가 있거나 법률에 특별한 규정에 근거가 있거나 공공의 안전을 위하여 긴급히 필요한 경우 등에 해당해야 합니다. 즉, 개인정보 주체(고객)의 별도 동의가 있어야 하는 것이죠.
그러나 ‘개인정보 처리 업무 위탁’의 경우에는 위탁하는 업무의 내용과 수탁자를 홈페이지에 게시하거나 신문에 싣거나 사업장 등의 보기 쉬운 장소에 게시하는 등의 쉽게 확인할 수 있는 방법으로 공개하면 족합니다.

개인정보를 이전할 때 분쟁이 발생하면 님 회사가 책임을 져야 할까요? 전달받은 제3자나 수탁자가 책임져야 할까요?
‘개인정보 처리 업무 위탁’의 경우 앞서 설명드린 바와 같이, 자신의 업무와 이익을 위하여 개인정보를 수탁자에게 맡기는 만큼, 그에 따른 책임은 위탁자에게 있습니다. 그러나 ‘개인정보 제3자 제공’의 경우 정보주체의 동의나 별도의 요건이 충족되어야 하고 위탁자의 업무나 이익과도 상관없이 이전되는 것이므로, 그 이전된 개인정보에 대한 관리 및 감독 책임은 제공받은 제3자에게 있습니다.
이에 따라 만일 해당 개인정보가 유출되는 등으로 정보주체에 손해가 발생하였다면, ‘개인정보 제3자 제공’의 경우는 그 제3자가, ‘개인정보 처리 업무 위탁’의 경우 원칙적으로 위탁자가 부담하고 만일 수탁자에 귀책이 있는 경우에는 위탁자가 수탁자에게 구상책임을 물을 수 있습니다.
 
보다 상세한 내용이 필요하다면, 개인정보보호위원회에서 최근 전면 개정한 “개인정보 처리 통합 안내서”를 참조하시면 됩니다. 개인정보보호위원회 홈페이지인 https://www.pipc.go.kr에서 다운로드 받으실 수 있습니다.