개인정보 처리업무 위탁계약서

이런 경우에는 맞지 않습니다

• 다른 회사가 자기 목적과 이익을 위해 개인정보를 받아 가는 경우 — 위탁이 아니라 제3자 제공입니다. 제3자 제공은 정보주체의 동의를 받는 등 제17조 제1항의 요건을 갖춰야 합니다.
• 대금·납기·검수 같은 거래 조건 — 예시는 개인정보 처리에 관한 최소 사항만 다루므로, 용역·공급 같은 본 계약의 조건은 그 계약서에 정하고 이 예시를 첨부하거나 반영합니다.
• 개인정보를 처리하지 않고 단순히 전달·전송만 하는 경우(통신사의 전송 등) — 안내서는 개인정보 처리 업무의 위탁으로 보지 않습니다.

비슷한 문서와의 차이

• 위탁은 본래의 수집·이용 목적과 관련된 위탁자 본인의 업무 처리와 이익을 위해 개인정보가 넘어가는 경우이고, 제3자 제공은 그 목적을 넘어 제공받는 자의 업무 처리와 이익을 위해 넘어가는 경우입니다(대법원 2017. 4. 7. 선고 2016도13263 판결, 통합 안내서). 위탁은 정보주체의 동의 대신 위탁하는 업무의 내용과 수탁자를 공개하고, 홍보·판매 권유 업무를 맡기면 정보주체에게 알립니다(제26조 제2항·제3항).
• 예시는 제26조 제1항에 따라 문서로 정해야 하는 최소한의 사항을 제시한 것이라, 위탁계약이나 업무 내용에 따라 세부 내용은 달라질 수 있습니다(안내서 184쪽).
• 위·수탁 문서는 형식과 명칭을 가리지 않아 기업 간 협약서나 개인정보보호 약정서로 해도 되고, 따로 떼어 만들 필요도 없습니다. 수탁자의 서비스를 이용하는 위탁이면 약관으로 계약할 수도 있지만, 법령이 정한 사항은 모두 들어가야 합니다(통합 안내서).
• 2025년 7월 통합 안내서가 나오면서 종전의 「개인정보 처리 위·수탁 안내서」는 폐지됐습니다. 개인정보 포털 정책자료에 남아 있는 2021년 게시 ‘개인정보처리위탁 계약서(샘플)’(HWP)는 재위탁(사전 승낙·7일 전 통보)과 손해배상 조항이 현행 예시와 다릅니다.

준비할 것

• 위탁자·수탁자의 기관(회사)명·주소·대표자
• 위탁하는 목적과 개인정보 처리 업무(예: 고객만족도 조사, 회원가입 및 운영, 사은품 배송을 위한 이름·주소·연락처 처리)
• 위탁 기간(계약 기간)
• 재위탁이 있는지, 있으면 범위와 재위탁받는 자(미리 정해 동의받을 경우)
• 수탁자의 안전조치와 점검 방식(개인정보 보호 인증(ISMS-P) 여부, 정기 보고 주기), 교육 방식, 파기 또는 반환 방법

항목별 작성 방법

위탁업무의 목적·범위(제3조)

맡기는 목적과 처리 업무를 구체적으로 적습니다. 예시의 각주는 고객만족도 조사 업무, 회원가입 및 운영 업무, 사은품 배송을 위한 이름·주소·연락처 처리를 예로 듭니다.

재위탁 제한(제5조)

수탁자는 위탁자의 동의 없이 재위탁할 수 없습니다(법 제26조 제6항). 동의를 받아 재위탁하면 재위탁받는 자와 업무 범위를 위탁자에게 알리고(미리 정해 동의받았으면 생략), 재위탁을 문서로 하며, 재위탁받는 자와 업무 범위를 개인정보 처리방침으로 공개합니다. 재위탁이 잦거나 미리 정하기 어려우면 재위탁 허용 범위와 사후 승인·주기적 통지 같은 간소한 동의 절차를 계약서에 정할 수 있습니다(통합 안내서).

안전성 확보조치·처리 제한(제6조·제7조)

수탁자는 법 제29조와 「개인정보의 안전성 확보조치 기준」에 따른 관리적·기술적·물리적 안전조치를 하고, 계약 기간은 물론 끝난 뒤에도 위탁업무 목적 범위를 넘어 이용하거나 제3자에게 제공·누설하지 않습니다.

관리·감독과 교육(제8조·제9조)

위탁자는 수탁자의 처리 현황, 접근·접속 기록, 목적 외 이용·재위탁 제한 준수, 암호화 등 안전조치 이행을 점검하고 시정을 요구할 수 있습니다. 수탁자가 개인정보 보호 인증(ISMS-P)으로 주기적 점검을 받는 경우 등에는 정기 보고(○개월 단위)로 갈음하는 선택지가 예시에 있습니다. 위탁자는 수탁자를 교육하고 처리 현황 점검 등으로 감독해야 합니다(법 제26조 제4항).

파기와 손해배상(제11조·제12조)

계약이 끝나면 수탁자는 개인정보를 즉시 파기하거나 위탁자에게 반환하고, 파기했으면 그 결과를 위탁자에게 알립니다. 예시는 수탁자의 의무 위반으로 생긴 손해를 위탁자와 수탁자가 함께 배상하고, 자기 부담 비율을 넘어 배상한 쪽이 상대방에게 구상하도록 정합니다. 법은 수탁자가 법을 위반해 생긴 손해배상책임에 대해 수탁자를 위탁자의 소속 직원으로 봅니다(제26조 제7항).

공개와 알림(계약 밖)

위탁자는 위탁하는 업무의 내용과 수탁자를 홈페이지에 계속 게재하는 방법으로 공개하고(홈페이지에 게재할 수 없으면 사업장 게시 등, 시행령 제28조 제2항·제3항), 홍보·판매 권유 업무를 맡기면 서면등의 방법으로 정보주체에게 알립니다(제26조 제3항, 시행령 제28조 제4항).

자주 틀리는 부분

• 위탁을 구두로만 합의하거나, 법이 정한 사항을 빠뜨린 채 메일만 주고받는 경우 — 위탁은 법이 정한 사항이 들어간 문서로 해야 합니다(제26조 제1항).
• 수탁자도 정보주체와 직접 거래하는 등 양쪽의 이익이 섞이는 경우를 단순 위탁으로만 보는 경우 — 제3자 제공으로 판단될 수 있으니, 넘긴 개인정보를 수탁자가 고유한 이익에 쓰지 못하게 통제해야 합니다(통합 안내서).
• 2021년 샘플처럼 오래된 예시를 그대로 쓰는 경우 — 현행 예시는 2023년 법 개정(재위탁 때 위탁자 동의, 재수탁자도 수탁자에 포함)을 반영해 재위탁의 문서화와 처리방침 공개, 인증을 받은 수탁자의 정기 보고, 공동 배상과 구상 같은 조항을 두고 있으니 현행 안내서의 예시와 비교해 고칩니다.
• 계약만 맺고 위탁 사실과 수탁자를 공개하지 않는 경우 — 계약과 별도로 공개해야 합니다(제26조 제2항).

서명·출력·제출

제출 전 확인할 것

• 맡기는 일이 위탁자 본인의 업무인지(제3자 제공이 아닌지)
• 법이 정한 문서 사항(목적 외 처리 금지, 보호조치, 목적·범위, 재위탁 제한, 안전성 확보, 감독, 손해배상 책임)이 모두 들어갔는지
• 재위탁이 있으면 동의 방식과 공개 방법을 정했는지
• 위탁하는 업무와 수탁자를 개인정보 처리방침 등으로 공개할 준비가 됐는지
• 수탁자 교육·점검 일정과 계약 종료 뒤 파기 확인 방법
• 계약을 갱신하거나 위탁 업무가 바뀌면 문서 내용을 다시 검토해 고칠 계획(통합 안내서)

함께 쓰는 문서

• 개인정보 수집·이용 동의서 — 회사·단체가 개인정보를 받을 때 목적·항목·보유 기간·거부권을 알리고 동의를 받는 동의서입니다. 동의 항목과 선택·홍보 연락 동의를 나눠 만들고 PDF·DOCX 로 받습니다.
• 비밀유지계약서 — 거래처·협력사와 기술·경영 정보를 주고받기 전에 맺는 비밀유지계약서입니다. 한국지식재산보호원 영업비밀보호센터의 표준서식(HWP·DOCX·PDF)으로 연결하고, 비밀정보의 범위·사용 목적·기간·예외·반환을 정하는 방법과 하도급·수탁위탁 기술자료용 정부 표준서식을 안내합니다.
• 물품공급계약서 — 사업자끼리 물품을 사고팔 때 품목·수량·가격·납기·검수·대금 지급·불량 처리를 정하는 계약서입니다. 금액 합계를 계산해 PDF·DOCX 로 받습니다. 하도급·대리점 거래처럼 공식 표준계약서가 있는 분야는 그 서식을 먼저 확인합니다.
• 소프트웨어 개발 용역계약서 — 프로그램·앱·정보시스템 개발을 맡기고 맡을 때 쓰는 계약서입니다. 과학기술정보통신부가 보급한 ‘정보시스템 개발구축 사업 표준계약서’(HWP·HWPX)로 연결하고, 과업내용서로 범위를 정하는 방법, 추가 개발과 과업 변경, 검사, 지식재산권 귀속, 하도급일 때 쓰는 서식을 안내합니다.
• 온라인 광고대행계약서 — 광고주가 온라인 광고의 기획·집행·운영을 광고대행사에 맡길 때 매체·업무 범위·광고비와 수수료·정산·성과 보장 여부·성과 보고·광고 계정과 데이터의 소유·해지를 정하는 계약서입니다. 입력하면 PDF·DOCX 로 받습니다.

제공 형식·검수 정보

구분

공식 표준안

제공

개인정보보호위원회(「개인정보 처리 통합 안내서」 2025.7.)

분야

개인정보·콘텐츠

제공 형식

PDF

법적 근거

개인정보 보호법 제26조(업무위탁에 따른 개인정보의 처리 제한)·시행령 제28조 — 위탁 계약서는 개인정보보호위원회 안내서의 예시

검수 상태

원본 확인 · 내용 검수

마지막 확인

2026-11-01 확인

출처 개정·게시일

2025-07-14

다음 확인 예정

2026-11-30

문서 ID

F057

출처·적용 범위