혼자 운영하는 쇼핑몰에 AI 채팅 상담을 붙이고, 고객 관리 툴에 주문자 정보를 올리고, 문자 발송 서비스로 배송 안내를 보낸다. 사장님 입장에서는 도구를 쓰는 것이지만, 개인정보 보호법 입장에서는 고객의 개인정보 처리를 외부 업체에 맡긴 것이다. 이것이 '처리 위탁'이고, 위탁에는 따라오는 의무가 있다.

의무는 셋이다. 문서로 위탁할 것, 홈페이지에 공개할 것, 마케팅 위탁이면 따로 알릴 것. 셋 다 사장님 쪽(위탁자) 의무이고, 툴 회사가 대신해 주지 않는다.

1. 위탁은 문서로 — 계약서 또는 이용약관

개인정보 보호법 제26조제1항은 개인정보 처리 업무를 제3자에게 위탁할 때 다음 내용이 포함된 문서로 하도록 정한다.

1. 위탁업무 수행 목적 외 개인정보 처리 금지
2. 개인정보의 기술적·관리적 보호조치
3. 그 밖에 대통령령으로 정한 사항

시행령 제28조제1항이 3호를 채운다. 위탁업무의 목적과 범위, 재위탁 제한, 접근 제한 등 안전성 확보 조치, 관리 현황 점검 등 감독, 수탁자가 의무를 위반한 경우의 손해배상 책임이다.

SaaS 툴은 별도 계약서를 쓰지 않고 이용약관에 동의하는 방식이 대부분이다. 그 약관이나 '개인정보 처리 위탁 계약' 조항에 위 항목이 들어 있으면 문서 요건을 채운 것이다. 툴을 고를 때 약관에서 이 조항을 찾아보고, 없으면 별도 위탁계약서를 요청해야 한다.

2. 홈페이지에 '위탁 업무와 수탁자'를 계속 게재

제26조제2항은 위탁자가 위탁하는 업무의 내용과 수탁자를 정보주체가 언제든지 쉽게 확인할 수 있도록 공개하도록 정한다. 시행령 제28조제2항이 방법을 정한다.

위탁자의 인터넷 홈페이지에 위탁하는 업무의 내용과 수탁자를 지속적으로 게재하는 방법

실무에서는 개인정보 처리방침 안에 「개인정보 처리 위탁」 항목을 두고 표로 적는다. 예를 들면 '수탁자: ○○클라우드 / 위탁 업무: AI 채팅 상담 처리', '수탁자: △△메시지 / 위탁 업무: 주문·배송 알림 문자 발송', '수탁자: □□ / 위탁 업무: 결제 대행'처럼 업체명과 업무를 실명으로 쓴다. "기타 업무 위탁 시 고지" 같은 뭉뚱그린 문장은 공개가 아니다.

홈페이지가 없는 경우에는 사업장 게시, 신문 게재, 정기 간행물, 계약서 기재 중 하나로 공개해야 한다(시행령 제28조제3항).

3. 마케팅 위탁은 '고객에게 직접' 알려야 한다

제26조제3항은 재화·서비스를 홍보하거나 판매를 권유하는 업무를 위탁하는 경우 위탁 업무의 내용과 수탁자를 정보주체에게 알리도록 정한다. 홈페이지 공개와 별개로, 고객 개개인에게 서면 등의 방법으로 알려야 한다(시행령 제28조제4항). 수탁자나 업무가 바뀔 때도 같다.

광고 문자·이메일 발송을 외부 업체에 맡기거나, 텔레마케팅을 위탁하는 경우가 여기 해당한다. 배송 안내 문자는 홍보가 아니지만, 할인 쿠폰 문자는 홍보다. 후자를 외부 툴로 보내면 3항 고지 대상이 된다.

4. 수탁자를 교육·감독할 것, 재위탁은 동의

제26조제4항은 위탁자가 수탁자를 교육하고 감독하도록 정한다. 소규모 사업자가 대형 SaaS 업체를 '교육'하는 것은 현실적이지 않지만, 최소한 위탁 계약(약관)에 감독 조항이 있는지, 업체가 보안 인증이나 점검 결과를 공개하는지 확인하고 기록해 두는 것이 감독의 실무다.

수탁자가 다른 업체에 다시 맡기려면 위탁자의 동의가 필요하다(제6항). 툴 회사가 클라우드 인프라를 쓰는 것이 흔한 재위탁이며, 약관에 재위탁 동의 조항이 있는지 본다.

수탁자가 위탁 업무 중 법을 위반해 손해가 발생하면 수탁자는 위탁자의 소속 직원으로 본다(제7항). 툴 회사의 사고가 사장님의 배상 책임으로 돌아올 수 있다는 뜻이다.

빠뜨리면

개인정보 보호법 제75조는 과태료를 이렇게 정한다.

• 제26조제1항 위반(문서로 위탁하지 않음): 1천만원 이하(제4항제4호)
• 제26조제2항 위반(위탁 업무·수탁자 미공개): 1천만원 이하(제4항제5호)
• 제26조제3항 위반(마케팅 위탁 미고지): 3천만원 이하(제2항제12호)
• 제26조제6항 위반(동의 없는 재위탁): 수탁자에게 2천만원 이하(제3항제1호)

지금 확인할 것

• 고객 정보가 들어가는 외부 툴을 전부 적어 본다 — 채팅 상담, CRM, 문자·이메일 발송, 결제 대행, 배송 조회, 설문, 회원 관리, 분석 툴
• 각 툴의 약관에 위탁 목적·범위, 보호조치, 재위탁 제한, 감독, 손해배상 조항이 있는지
• 개인정보 처리방침에 「처리 위탁」 표를 두고 업체명과 업무를 실명으로 적었는지, 툴을 바꿀 때 표도 갱신하는지
• 광고·판촉 발송을 외부에 맡겼다면 고객에게 별도로 알렸는지
• AI 상담봇에 고객 대화가 저장·학습에 쓰이는지 약관에서 확인하고, 학습 이용은 별도 동의 문제가 될 수 있으니 기본값을 꺼 둔다

한눈에 정리

• 핵심: 외부 툴에 고객 정보를 넣으면 처리 위탁이다. ① 위탁 문서(약관 포함) ② 홈페이지에 업무·수탁자 공개 ③ 마케팅 위탁은 고객에게 별도 고지
• 기준일: 2026년 9월 기준 (개인정보 보호법 법률 제21445호, 2026.9.11 시행 / 시행령 대통령령 제36671호)
• 누가 해당되나: 고객 개인정보를 외부 SaaS·대행사로 처리하는 모든 사업자 — 쇼핑몰, 예약, 회원제 서비스
• 무엇을 확인해야 하나: 사용 중인 툴 목록, 약관의 위탁 조항, 처리방침의 위탁 표, 마케팅 위탁 고지
• 주의할 점: 미문서 1천만·미공개 1천만·마케팅 미고지 3천만원 이하 과태료. 수탁자 사고는 위탁자의 직원 사고로 본다(제26조제7항)

출처

• 국가법령정보센터 「개인정보 보호법」 제26조·제75조 (법률 제21445호, 2026.9.11 시행, law.go.kr/법령/개인정보보호법)
• 국가법령정보센터 「개인정보 보호법 시행령」 제28조 (대통령령 제36671호, 2026.9.11 시행, law.go.kr/법령/개인정보보호법시행령)

(출처 확인일: 2026-09-17)