개인정보보호위원회, 고객센터에 상담업무를 위탁하는 분야 대상 사전 실태점검 실시


법무법인 대륙아주 김정은 변호사¹
법무법인 대륙아주 나희수 변호사



1. 들어가며

최근 배달사업자 고객센터 상담사가 고객의 개인정보를 무단 조회하여 보복범죄에 악용한 사건이 발생하였습니다. 이 사건을 계기로 개인정보보호위원회는 2026. 4. 상담업무를 위탁한 개인정보처리자 및 수탁사에 대한 사전 실태점검을 추진할 것이라고 발표하였습니다.

이번 점검은 고객 주소 정보를 활용하여 업무를 처리하는 배달·홈쇼핑·온라인 쇼핑·렌탈·유선통신 등 5개 분야를 대상으로 하며, 개인정보 처리를 위탁한 사업자(위탁자)와 이를 처리하는 고객센터(수탁자) 모두에 대해 실시됩니다.



2. 주요 점검 항목





3. 관련 법령

가. 실태 점검의 근거 (개인정보 보호법 제63조의2)

개인정보보호위원회는 개인정보 침해 위험이 높고 개인정보 보호의 취약점을 사전에 점검할 필요성이 인정되는 개인정보처리자에 대하여 사전 실태점검을 실시하고, 위반사항 발견 시 시정 권고 또는 시정조치 명령을 내릴 수 있습니다.


나. 개인정보처리자의 의무

① 안전조치의무 (개인정보보호법 제29조, 동법 시행령 제30조)
개인정보처리자는 개인정보가 분실·도난·유출·위조·변조·훼손되지 않도록 내부 관리계획 수립, 접속기록 보관, 접근권한 관리 등 안전성 확보에 필요한 조치를 취하여야 합니다.

② 처리 위탁 시 관리·감독의무 (개인정보보호법 제26조)
위탁자는 개인정보의 기술적·관리적 보호조치에 관한 사항 등을 명시한 서면으로 수탁자와 개인정보처리업무의 위수탁계약을 체결하여야 하고, 수탁자에 대한 교육, 처리 현황 점검 등 개인정보처리에 관한 감독을 실시하여야 하며, 위탁하는 업무의 내용과 수탁자를 정보주체가 언제든지 쉽게 확인할 수 있도록 공개하여야 합니다.

수탁자가 위탁받은 업무에 관하여 개인정보를 처리하는 과정에서 개인정보보호법을 위반하여 발생한 손해배상책임에 대하여는 수탁자를 위탁자의 소속직원으로 봅니다.


다. 위반시 제재

개인정보보호법 제29조 및 동법 시행령 제30조를 위반하여 안전성 확보에 필요한 조치를 하지 않은 경우 3천만원 이하의 과태료가 부과될 수 있습니다(개인정보보호법 제75조 제2항 제5호).

이와 같이 안전조치의무를 다하지 못하여 결과적으로 개인정보의 분실·도난·유출·위조·변조·훼손이 발생한 경우, 개인정보처리자 또는 수탁자에게 전체 매출액(단, 위반행위와 관련이 없는 매출액 제외)의 3% 이내의 범위에서 과징금이 부과될 수 있습니다(개인정보보호법 제64조의2 제1항 제9호, 제26조 제8항).

한편, 업무위탁 시 문서에 의하지 않거나, 위탁사실(위탁업무, 수탁자)을 공개하지 않는 등 개인정보보호법 제26조를 위반한 경우에는 개인정보처리자에 대하여 1천만 원 이하의 과태료가 부과될 수 있습니다(개인정보보호법 제75조 제4항 제4호, 제5호).

한편, 개인정보보호위원회는 개인정보보호법을 위반한 자에 대하여 개인정보 침해행위의 중지, 개인정보 처리의 일시적인 정지, 그 밖에 개인정보의 보호 및 침해 방지를 위하여 필요한 조치 등 시정조치를 명할 수 있으므로(개인정보보호법 제64조 제1항), 위 개인정보보호법 규정을 위반한 경우 시정조치 명령의 대상이 될 수 있습니다.



4. 대응방안

상담업무를 위탁한 배달·홈쇼핑·온라인 쇼핑·렌탈·유선통신 등 5개 분야의 개인정보처리자 및 그 수탁사들은 아래 사항을 중심으로 선제적으로 개인정보보호체계를 점검할 필요가 있습니다.

① 위탁계약서 전면 검토
현행 개인정보처리 위수탁 계약서에 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항, 개인정보의 기술적·관리적 보호조치에 관한 사항 등 개인정보보호법에서 정하는 사항이 명확히 규정되어 있는지 확인하고, 미비한 규정이 확인되는 경우 이를 보완하시기 바랍니다.

② 접근권한 관리 현황 점검 
개인정보에 접근할 수 있는 수탁사의 직원이 필요최소한의 범위로 제한되어 있는지, 퇴직·전보 발생 시 개인정보 접근권한이 회수되고 있는지 등을 점검하시기 바랍니다.

③ 접속기록 관리체계 확인 
개인정보처리시스템 접속기록의 보관 기간, 보관 방식, 정기 점검, 안전 조치 등이 개인정보보호법, 동법 시행령, 개인정보의 안전성 확보조치 기준 등에 부합하게 운영되고 있는지 확인하시기 바랍니다.

④ 수탁사 관리·감독 이력 보관
위탁사는 수탁사에 대한 교육 실시 기록, 현장 점검 결과, 개선 조치 이력 등을 문서화하여 보관하시기 바랍니다.

이번 실태점검은 배달·홈쇼핑·온라인 쇼핑·렌탈·유선통신 등 5개 분야를 대상으로 하지만, 수탁사에 개인정보처리 업무를 위탁하는 다른 분야의 사업자들에 대하여도 향후 실태점검이 이루어질 수 있는 만큼, 이번 실태점검 대상에 해당하지 않는 사업자들 역시 선제적으로 개인정보처리업무 위수탁에 관한 사항을 점검하는 것이 바람직합니다.


 

1. 현재 법무법인(유한) 대륙아주의 파트너변호사로서, 주요 업무분야는 지적재산, 정보보안, TMT (Technology, Media & Telecom), 엔터테인먼트, 바이오/헬스케어 등입니다. 지적재산권, 영업비밀, 부정경쟁행위, 개인정보보호 관련 민·형사 소송 및 자문 등의 업무를 주로 담당하고 있으며, 개인정보보호위원회 개인정보보호 기본계획(2024-2026) 수립 연구반으로 활동하였습니다.