광고 업무를 외부에 맡길 때 생기는 개인정보 처리위탁 의무는 위탁 문서 작성, 위탁 사실 공개, 정보주체 통지 세 가지입니다. 개인정보 보호법 제26조는 위탁을 문서로 하도록 정하고, 홍보·판매 권유 업무를 위탁하면 정보주체에게 알리도록 정합니다. 문서 미작성과 위탁 사실 미공개는 각각 1,000만원 이하의 과태료 대상입니다. 광고 운영 대행사와 고객센터, 문자 발송사, 분석 툴까지 수탁처 6곳을 기준으로 연간 점검 공수와 교체 시 파기 확인 절차를 계산해 정리합니다.

개인정보 처리위탁은 무엇을 가리키나요

개인정보 처리위탁은 광고주가 모은 고객 개인정보를 자기 업무를 대신할 외부 업체에 맡겨 처리하게 하는 것입니다.

개인정보 보호법 제26조 제1항은 위탁을 문서로 하도록 정합니다. 문서에는 목적 외 처리 금지가 들어갑니다. 기술적·관리적 보호조치도 들어갑니다. 나머지 필수 사항은 대통령령에 위임되어 있습니다. 리드 DB를 대행사 계정에 올리는 순간 문서 의무가 생깁니다.

위탁과 제3자 제공은 어떻게 다른가요

위탁은 광고주의 업무를 대신하게 하는 것입니다. 제3자 제공은 받는 쪽이 자기 목적으로 쓰는 것입니다. 구분선은 처리 목적이 누구에게 있는지입니다. 대행사가 광고주의 캠페인을 돌리려 DB를 보면 위탁입니다.

목적이 받는 쪽에 있으면 제3자 제공이 됩니다. 제3자 제공은 원칙적으로 정보주체의 동의가 필요합니다. 리드를 다른 사업자의 영업에 쓰게 하면 위탁 문서로 해결되지 않습니다.

동의 항목을 쪼개는 기준은 개인정보 동의 항목을 쪼개는 기준에서 다뤘습니다. 동의 범위가 좁으면 위탁 범위도 좁아집니다.

위탁 사실 공개는 어디에 적나요

개인정보 보호법 제26조 제2항은 공개 의무를 정합니다. 위탁하는 업무의 내용과 수탁자를 공개해야 합니다. 정보주체가 언제든 쉽게 확인할 수 있어야 합니다. 공개 방법은 대통령령에 위임되어 있습니다. 실무에서는 홈페이지 개인정보 처리방침에 적습니다.

처리방침의 위탁 항목은 표로 적는 편이 읽기 쉽습니다. 수탁자 명칭과 위탁 업무, 보유 기간을 한 줄씩 적습니다. 수탁자에는 재위탁받은 제3자도 포함됩니다.

공개 목록이 실제 수탁처와 어긋나는 사례가 많습니다. 종료한 업체가 1년 넘게 남아 있는 경우가 흔합니다. 분기 점검 때 목록 대조를 한 칸으로 넣습니다.

광고주 한 곳의 수탁처는 보통 몇 곳인가요

리드 DB를 다루는 외부 업체를 전부 세면 6곳 안팎이 나옵니다. 광고 운영 대행사 1곳, 고객센터 상담 1곳이 들어갑니다. CRM·마케팅 자동화 툴 1곳, 문자·알림톡 발송사 1곳도 들어갑니다. 이벤트·설문 툴 1곳과 데이터 분석 1곳을 더하면 6곳입니다.

수탁처 수를 세는 일이 먼저입니다. 문서와 공개 목록은 수탁처 수만큼 필요합니다. 점검 공수도 수탁처 수에 비례해 늘어납니다.

마케팅 담당자가 계약하지 않은 툴도 수탁처에 들어갑니다. 영업팀이 쓰는 통화 녹취 서비스가 그렇습니다. 외주 디자이너의 공유 폴더에 고객 명단이 있어도 같은 의무가 걸립니다.

위탁 문서에 반드시 들어가는 일곱 항목

위탁 문서의 필수 기재사항은 일곱 항목으로 정리됩니다. 서울특별시교육청 개인정보보호 안내자료가 일곱 항목을 듭니다. 근거는 제26조와 시행령입니다. 앞의 두 항목은 법률에 직접 적혀 있습니다. 항목이 하나라도 빠지면 요건을 못 채운 것으로 봅니다.

1. 위탁업무 수행 목적 외 개인정보 처리 금지 — 법률에 직접 적힌 항목입니다. 받은 DB를 자기 영업이나 다른 광고주 작업에 못 쓴다는 조항입니다.
2. 개인정보의 기술적·관리적 보호조치 — 역시 법률에 직접 적힌 항목입니다. 암호화와 접근 기록 보관, 백신 운영 수준을 적습니다.
3. 위탁업무의 목적 및 범위 — 어떤 업무에 어떤 항목을 쓰는지 적습니다. 이름과 연락처만 필요한 업무에 주소가 적혀 있으면 범위가 넓습니다.
4. 재위탁 제한 — 대행사가 다시 하청을 주는 경우를 막습니다. 또는 동의 절차를 둡니다.
5. 접근 제한 등 안전성 확보 조치 — 수탁처의 누가 DB를 보는지를 제한합니다.
6. 관리 현황 점검 등 감독 — 광고주가 점검할 권리와 주기를 적습니다.
7. 의무 위반 시 손해배상 등 책임 — 사고가 났을 때 분담을 적습니다.

실무에서 가장 많이 빠지는 항목은 무엇인가요

가장 많이 빠지는 항목은 여섯 번째 점검 감독 조항입니다. 점검 권리와 주기가 없으면 자료를 요구할 근거가 약합니다. 대행사가 점검표 회신을 미뤄도 수단이 없습니다. 광고주는 법정 의무를 못 지킨 상태로 남습니다.

계약서에 점검 주기를 연 1회로 적습니다. 요구 후 회신 기한을 14일로 적어 두면 실행이 됩니다. 대행 계약서에서 함께 볼 항목은 대행 계약서에서 확인할 다섯 항목에 정리했습니다.

표준 문서를 그대로 쓰면 되나요

표준 문서를 쓰더라도 세 번째 항목은 매번 고쳐 써야 합니다. 위탁업무의 목적 및 범위가 공란인 문서가 많습니다. “마케팅 업무 일체”로 적힌 문서도 많습니다. 범위가 넓으면 사고 때 넘긴 항목 전부가 쟁점이 됩니다.

넘기는 항목을 업무별로 끊어 적는 편이 안전합니다. 문자 발송사에는 휴대전화번호와 수신동의 여부만 적습니다. 고객센터에는 이름과 문의 내역까지 적습니다.

홍보·판매 권유 업무를 위탁하면 통지까지 해야 하나요

개인정보 보호법 제26조 제3항은 통지 의무를 정합니다. 재화·서비스를 홍보하거나 판매를 권유하는 업무가 대상입니다. 위탁하는 업무의 내용과 수탁자를 정보주체에게 알려야 합니다. 업무 내용이나 수탁자가 바뀐 경우에도 알려야 합니다. 처리방침 공개 의무와는 별개입니다.

광고 실무에서 통지 대상 수탁처는 두 곳입니다. 고객센터와 문자·알림톡 발송사입니다. 아웃바운드 상담을 외주로 돌리면 통지 의무가 따라옵니다.

대행사를 바꾸는 일이 곧 통지 사유가 됩니다. 교체 공지를 안 보내면 공개 갱신만으로 끝낸 셈이 됩니다. 교체 일정표에 통지 발송 칸을 넣습니다.

통지 방법은 조문에서 대통령령에 위임되어 있습니다. 실무에서는 가입 시 고지 문구를 씁니다. 전자우편과 문자 안내를 함께 쓰는 사례도 많습니다. 구체 기준은 시행령에서 확인하고 적용합니다.

표를 한 줄로 요약하면 통지 의무 칸에서 두 유형이 갈립니다. 광고 운영 위탁은 공개까지입니다. 홍보·판매 권유 위탁은 통지까지입니다.

수탁자가 낸 사고는 누구 책임인가요

개인정보 보호법 제26조 제7항이 책임 귀속을 정합니다. 수탁자가 업무와 관련해 법을 위반해 생긴 손해배상책임이 대상입니다. 이때 수탁자를 개인정보처리자의 소속 직원으로 봅니다. 대행사 직원의 행위가 광고주 직원의 행위처럼 다뤄집니다.

계약서에 책임 분담을 적어도 배상 관계는 바뀌지 않습니다. 계약서의 손해배상 조항은 광고주와 수탁처 사이의 정산 근거입니다. 정보주체가 광고주에게 청구하는 경로를 막아 주지는 않습니다.

계약서의 책임 조항은 그래도 필요한가요

계약서의 책임 조항은 수탁처에 구상하는 근거로 필요합니다. 사고 유형별 분담 비율을 적습니다. 통지 비용 부담과 조사 협조 의무도 적습니다. 조항이 없으면 배상액을 돌려받는 과정이 길어집니다.

실무에서는 유출 통지 비용까지 적어 둡니다. 신용 모니터링 비용도 함께 적습니다. 통지 비용은 발송 채널에 따라 갈리므로 상한만 정해 둡니다.

수탁자 점검은 무엇을 보나요

수탁자 점검은 다섯 묶음을 봅니다. 문서 대조, 접근권한 현황, 접속기록 보관, 교육 기록, 파기 이력입니다. 정환석·박억남·이상준(2016)은 점검 체계를 4개 평가영역으로 구성했습니다. 12개 점검지표와 30개 점검항목으로 쪼갰습니다. 공공기관 수탁자 30곳 조사에서 평균 보안수준은 45.0%였습니다.

논문에서 가장 낮게 나온 영역은 어디인가요

정환석 외(2016)에서 가장 낮은 영역은 정보주체 권리보장 13.3%입니다. 이용·제공 18.9%와 유출 통지 등 관리절차 20.0%가 뒤를 잇습니다. 보안프로그램 운영은 86.7%로 가장 높았습니다. 설치하면 끝나는 항목은 지켜집니다. 절차를 돌려야 하는 항목은 비어 있습니다.

점검표를 만들 때 순서를 뒤집는 편이 낫습니다. 백신과 암호화 확인은 서류 한 장으로 끝납니다. 열람 요구 처리 절차와 파기 이력이 실제로 비어 있는 칸입니다.

조사 시점과 대상은 함께 읽어야 합니다. 조사는 2014년 12월부터 2015년 3월까지였습니다. 대상도 공공기관 수탁자였습니다. 민간 광고 수탁처의 현재 수준을 그대로 가리키지는 않습니다.

2026년 개인정보위 점검은 어떤 분야를 봤나요

개인정보보호위원회는 2026년 4월 사전 실태점검을 알렸습니다. 고객센터에 상담업무를 위탁하는 분야가 대상입니다. 대상 분야는 배달, 홈쇼핑, 온라인 쇼핑, 렌탈, 유선통신 5개입니다. 위탁자인 사업자와 수탁자인 고객센터를 함께 점검합니다.

점검 분야 5개의 공통점은 처리 방식입니다. 광고로 문의를 받아 전화로 처리하는 업종입니다. 아웃바운드 상담을 외주로 돌리는 광고주라면 먼저 볼 항목이 둘입니다. 위탁 문서와 접근권한 회수 이력입니다.

수탁처 점검 공수는 문의 1건당 얼마인가요

수탁처 6곳을 연 1회 점검하는 공수는 24시간입니다. 원가는 688,800원이고 유효 문의 1건당 230원입니다. 수탁처 1곳당 4시간은 다섯 가지로 구성됩니다. 문서 대조 1시간, 점검표 회신 확인 1시간, 접속기록 표본 확인 1시간입니다. 교육 기록 수령 0.5시간과 개선 조치 확인 0.5시간을 더합니다.

담당자 시간당 원가는 28,700원으로 잡았습니다. 연봉 4,800만원을 월 174시간으로 나누면 22,989원입니다. 여기에 간접비 1.25배를 적용한 값입니다.

6곳에 4시간씩이면 연 24시간입니다. 24시간에 28,700원을 곱하면 688,800원입니다.

월 유효 문의 250건이면 연 3,000건입니다. 688,800원을 3,000건으로 나누면 230원입니다. 문의 1건에 230원이 점검 원가로 붙습니다.

수탁처를 줄이면 무엇이 줄어드나요

수탁처를 6곳에서 4곳으로 줄이면 공수가 8시간 줄어듭니다. 원가로는 229,600원입니다. 문서와 공개 목록도 네 벌로 줄어듭니다. 교체 때 받을 파기 확인서도 네 장이 됩니다.

줄이는 방법은 기능 중복을 찾는 것입니다. 이벤트·설문 툴과 CRM이 같은 명단을 들고 있으면 한쪽으로 모읍니다. 분석 툴에 식별 정보를 보내지 않도록 설정을 바꾸면 수탁 관계가 빠지기도 합니다.

다만 줄이는 과정 자체가 이관 작업입니다. 이관 중에 사본이 늘어나므로 종료 업체의 파기 확인을 먼저 받습니다.

점검 원가와 과태료 상한을 나란히 놓으면 어떻게 되나요

문서 미작성의 과태료 상한은 1,000만원입니다. 연간 점검 원가 688,800원의 14.5배입니다. 점검을 14년 돌릴 돈이 문서 한 장 누락으로 나갑니다. 과태료는 상한이므로 실제 부과액은 사안에 따라 다릅니다.

안전조치 미이행의 과태료 상한은 3,000만원입니다. 점검 원가의 43.6배입니다. 유출이 함께 생기면 매출액 기준 과징금 조항이 별도로 적용됩니다.

대행사를 교체할 때 다섯 단계

대행사 교체는 계약 종료만으로 끝나지 않습니다. 밟을 단계는 다섯입니다. 수탁처 목록 확정, 위탁 문서 대조, 공개·통지 상태 점검입니다. 점검 이력 보관과 반환·파기 확인서 수령이 뒤를 잇습니다. 마지막 단계가 빠지면 같은 DB가 두 곳에 남습니다.

파기 확인서를 빠뜨리면 얼마가 날아가나요

보유 유효 DB 24,000건 기준 손실은 2,592만원입니다. 종료한 대행사에 사본이 남은 경우입니다. 신규 대행사와 같은 명단에 발송하면 중복 수신이 생깁니다. 중복 발신 1회로 추가 수신거부가 1.8% 나오면 432건이 빠집니다.

432건에 재획득 단가 60,000원을 곱하면 2,592만원입니다. 연간 점검 원가 688,800원의 37.6배입니다.

수신거부는 되돌릴 수 없는 손실입니다. 발송 리스트 정리 기준은 문자 광고 리스트 정리 기준에 있습니다. 수신거부 1%p의 비용 환산은 앱 푸시 시간대와 수신거부 비용에 정리했습니다.

계정 소유권과 파기 확인은 다른 문제인가요

계정 소유권과 파기 확인은 다른 문제입니다. 광고 계정 소유권은 매체 계정과 전환 데이터의 귀속 문제입니다. 파기 확인은 개인정보 사본의 소멸 문제입니다. 계정을 넘겨받아도 수탁처 서버의 명단은 그대로 남습니다.

교체 체크리스트에 두 줄을 따로 둡니다. 계정 소유권 정리는 인하우스와 대행 분담 기준에서 다뤘습니다. 견적서의 수수료 구조를 읽는 법은 광고 대행 견적서 읽는 법에 있습니다.

민간기업의 준비 수준은 어디까지 왔나요

개인정보보호위원회가 2026년 4월 조사 결과를 발표했습니다. 『2025 개인정보보호 및 활용조사』입니다. 유출 대응 매뉴얼을 수립한 민간기업은 5.0%였습니다. 공공기관은 96.4%, 종사자 300인 이상 민간기업은 43.5%였습니다. 보호 전담 인원은 공공 0.29명, 민간 0.34명이었습니다.

전담 인원이 1명에 못 미치는 조직이 다수입니다. 수탁처 6곳 점검은 마케팅 담당자에게 돌아옵니다. 연 24시간을 분기별 6시간으로 쪼개 캘린더에 박습니다.

광고 운영을 외부에 맡길 때도 같은 문서가 필요합니다. 위픽코퍼레이션의 퍼포먼스 마케팅 운영처럼 리드 DB를 다루는 업무가 그렇습니다. 계약 단계에서 위탁 문서와 점검 주기를 함께 확정합니다.

점검 주기를 분기로 당겨야 하나요

점검 주기는 다루는 항목 수와 건수로 정합니다. 휴대전화번호와 이름만 받는 발송사는 연 1회로 충분합니다. 통화 녹취와 문의 내역까지 보관하는 고객센터는 분기 1회가 안전합니다. 녹취 파일은 보관 기간이 길어 누적 건수가 빠르게 늘어납니다.

통화 지표를 함께 관리하는 조직이라면 회차를 붙입니다. 상담 품질 점검과 같은 날에 처리하면 공수가 줄어듭니다. 통화 지표의 원가 환산은 부재중 전화 1건의 원가에 정리했습니다.

수탁처 목록과 위탁 문서는 광고를 늘리기 전에 정리합니다. 나중에 손보면 비용이 더 듭니다. 문서 한 장과 확인서 한 장이 2,592만원짜리 손실을 줄입니다.

광고 운영을 맡길 곳을 고르는 단계에서 위탁 문서를 묻는 광고주는 많지 않습니다. 점검 주기를 함께 확인하면 교체 비용이 줄어듭니다. 확인하고 싶은 항목이 있으시면 하단 광고 문의하기로 남겨 주시면 됩니다.