개인정보 수탁사 점검 요청서, 고시 조문별로 증빙을 붙여 회신합니다

회사가 거래처(위탁사)를 대신해 개인정보를 처리하고 있다면, 위탁사가 개인정보 점검 요청서를 보내오는 일이 많습니다. 보통 연말입니다. 이 요청서는 법이 위탁사에 지운 감독 의무에서 나옵니다. 수탁사는 항목마다 관련 고시 조문을 적고, 지키고 있다는 증빙을 붙여 회신하면 됩니다.

점검 요청서는 법이 정한 감독 의무에서 나옵니다

개인정보 보호법 제26조 제4항에 따라 개인정보 처리 업무를 맡긴 위탁자는 맡아 처리하는 수탁자를 교육해야 합니다. 또 처리 현황 점검 등 대통령령으로 정하는 바에 따라 수탁자가 개인정보를 안전하게 처리하는지 감독해야 합니다. 시행령 제28조 제6항은 감독 대상을 두 가지로 적습니다. 법과 시행령에 따라 개인정보처리자가 지켜야 할 사항, 그리고 위탁 문서에 넣은 사항입니다.

그래서 점검표는 호의로 묻는 설문이 아닙니다. 위탁사는 감독했다는 기록을 남겨야 하고, 수탁사는 그 기록에 들어갈 증빙을 내는 쪽입니다. 법과 시행령 어디에도 점검 주기는 숫자로 적혀 있지 않습니다. 주기는 위탁 계약서와 위탁사 내부 기준이 정합니다. 회신 기한도 요청서에 적힌 날짜를 따르면 됩니다.

수탁사도 같은 의무를 집니다. 제26조 제8항은 제29조(안전조치 의무)를 비롯한 주요 조문을 수탁자에게 준용하고, "개인정보처리자"를 "수탁자"로 읽게 합니다. 점검표 항목이 위탁사 자체 기준과 거의 같은 이유가 여기에 있습니다.

먼저 위탁 계약서부터 꺼냅니다

점검표에 답하기 전에 위탁 계약서를 봅니다. 시행령 제28조 제1항은 위탁 문서에 넣을 사항을 다섯 가지로 정합니다. 점검표는 대개 이 다섯 가지를 다시 묻습니다.

• 위탁업무의 목적 및 범위
• 재위탁 제한에 관한 사항
• 개인정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항
• 위탁업무와 관련해 보유한 개인정보의 관리 현황 점검 등 감독에 관한 사항
• 수탁자가 의무를 위반한 경우의 손해배상 등 책임에 관한 사항

여기에 법 제26조 제1항이 직접 요구하는 두 가지가 더해집니다. 위탁업무 목적 외 처리 금지, 그리고 기술적·관리적 보호조치입니다. 계약서에 없는 항목을 점검표가 묻는다면, 회신하기 전에 계약 범위부터 확인하는 편이 안전합니다.

재위탁도 점검합니다. 제26조 제6항에 따라 수탁자가 위탁받은 처리 업무를 제3자에게 다시 맡기려면 위탁자의 동의를 받아야 합니다. 클라우드·발송 대행·고객 상담 외주를 쓰고 있다면 동의 문서를 함께 붙입니다.

고시 조문별로 붙일 증빙

현행 「개인정보의 안전성 확보조치 기준」은 개인정보보호위원회 고시 제2026-9호(2026. 7. 1. 시행)입니다. 점검표의 관리적·기술적·물리적 항목은 대부분 이 고시의 조문으로 돌아갑니다.

파기 기록 자체를 만드는 방법은 개인정보 파기 확인서 안내를 참고하십시오.

숫자가 붙은 요건 세 가지

점검표에서 가장 자주 틀리는 곳은 숫자가 걸린 항목입니다.

권한 기록 3년. 제5조 제3항은 권한을 부여하거나 바꾸거나 말소한 내역을 기록하고 최소 3년 보관하라고 합니다. 퇴사자 계정을 말소했어도 말소 기록이 없으면 증빙이 되지 않습니다.

접속기록 1년 또는 2년. 제8조 제1항은 1년 이상 보관을 기본으로 두고, 세 경우에는 2년 이상으로 늘립니다.

• 5만명 이상의 정보주체에 관한 개인정보를 처리하는 시스템
• 고유식별정보 또는 민감정보를 처리하는 시스템
• 전기통신사업법상 기간통신사업자

점검 주기는 내부 관리계획으로. 현행 제8조 제2항은 접속기록과 다운로드 상황을 확인하는 주기·방법·사후조치 절차를 내부 관리계획으로 정해 이행하도록 합니다. 점검표가 "월 1회 점검 여부"를 묻는다면 현행 조문 문언과 다릅니다. 내부 관리계획에 정한 주기와 그 이행 기록으로 답합니다. 내부 관리계획 전체의 이행 실태는 제4조 제4항에 따라 연 1회 이상 점검합니다.

회신 순서

1. 요청서의 회신 기한과 제출 방식(서면·온라인·현장)을 확인합니다.
2. 점검표 항목을 위 표의 고시 조문에 하나씩 대응시킵니다.
3. 증빙에 조문 번호 순서로 파일명을 붙여 묶습니다.
4. 미비 항목은 보완 계획과 완료 예정일을 함께 적어 회신합니다.

고시가 적용을 덜어 주는 항목도 있습니다. 별도 전산실이 없거나 업무용 컴퓨터만 쓰는 경우가 그렇습니다. 이런 항목은 그 조문 단서를 함께 적어야 "미이행"으로 읽히지 않습니다.

점검을 미루면 생기는 일

과태료는 법 제75조에 있습니다.

• 제29조 안전조치 의무 위반: 3천만원 이하. 제26조 제8항에 따라 준용되는 수탁자도 포함합니다.
• 위탁자 동의 없는 재위탁: 2천만원 이하.
• 위탁자 쪽에서 위탁을 법정 사항이 담긴 문서로 하지 않거나, 위탁 내용과 수탁자를 공개하지 않은 경우: 각각 1천만원 이하.

민사 책임도 수탁사에만 머물지 않습니다. 제26조 제7항은 수탁자가 위탁받은 업무에서 법을 위반해 생긴 손해배상책임에 대해 수탁자를 개인정보처리자의 소속 직원으로 봅니다. 위탁사가 점검을 꼼꼼히 하는 이유이고, 수탁사가 증빙을 정리해 둘 이유이기도 합니다. 실제로 개인정보가 유출됐다면 개인정보 유출 72시간 통지와 신고를 참고하십시오.

체크리스트

회신 전에 아래를 확인합니다.

• 점검표 항목마다 근거 조문을 적었다
• 위탁 계약서의 목적·범위와 점검 범위가 맞는다
• 재위탁 업체 목록과 위탁자 동의 문서를 붙였다
• 내부 관리계획 최신본의 수정 이력이 남아 있다
• 교육 실시 기록이 연도별로 있다
• 권한 변경 기록이 3년 치 있다
• 접속기록 보관 기간이 1년 또는 2년 기준에 맞는다
• 파기 기록이 기간별로 있다
• "해당 없음" 항목에는 해당 없는 이유를 한 줄 적었다