[개인정보 02] 개인정보 제3자 제공과 처리위탁 차이｜동의와 공개 기준

이 포스팅은 쿠팡 파트너스 활동의 일환으로, 이에 따른 일정액의 수수료를 제공받습니다.

※ 2026년 9월 21일 기준

가게를 하다 보면 손님 정보가 바깥으로 나갈 일이 계속 생깁니다. 배달대행에 주소와 전화번호를 넘기고, 문자발송 업체에 번호를 올리고, 세무사에게 직원 주민등록번호를 보내고, 택배사에 송장을 찍습니다. 여기에 “명단 좀 달라”는 제휴 업체까지 붙습니다.

이걸 전부 “정보를 넘기는 일”로 뭉뚱그리면 반드시 한 번은 틀립니다. 개인정보 제3자 제공과 개인정보 위탁은 이름만 다른 것이 아니라 해야 할 일이 다릅니다. 개인정보 보호법은 이걸 두 가지로 나눠 놓았고, 요구하는 것이 서로 다릅니다.

• 제3자 제공 — 받는 쪽이 자기 일에 쓰려고 가져갑니다. 동의를 받아야 합니다.
• 처리위탁 — 받는 쪽이 내 일을 대신 해 줍니다. 동의 대신 공개해야 합니다.

갈림길은 하나입니다. 누구 일을 하려고 넘기는가. 앞 글 개인정보처리방침 만들기가 “무엇을 적어 두어야 하나”였다면, 이번은 “밖으로 내보낼 때 무엇을 해야 하나”입니다.

제3자 제공과 처리위탁 한눈에 보기

항목	제3자 제공	처리위탁
누구 일인가	받는 쪽이 자기 목적으로 씀	받는 쪽이 내 일을 대신 함
동의	받아야 함 (법 제17조 제1항 제1호)	필요 없음
대신 해야 하는 것	동의받을 때 5가지를 알림 (제17조 제2항)	문서로 계약 + 수탁자 공개 (제26조 제1항·제2항)
흔한 예	제휴사에 고객명단 전달, 보험·대출 상담 연결	배달대행, 문자발송, 세무기장, 택배, 예약·CRM 솔루션
사고가 나면	받은 쪽이 자기 책임 (제19조)	수탁자를 내 직원으로 본다 (제26조 제7항)
안 지키면	5년 이하 징역 또는 5천만원 이하 벌금 (제71조 제1호)	1천만원 이하 과태료 (제75조 제4항 제4호·제5호)

개인정보 제3자 제공은 동의부터 받아야 한다

원칙 조문부터 보겠습니다.

개인정보 보호법 제17조 제1항

개인정보처리자는 다음 각 호의 어느 하나에 해당되는 경우에는 정보주체의 개인정보를 제3자에게 제공(공유를 포함한다. 이하 같다)할 수 있다.

1. 정보주체의 동의를 받은 경우

2. 제15조제1항제2호, 제3호 및 제5호부터 제7호까지에 따라 개인정보를 수집한 목적 범위에서 개인정보를 제공하는 경우

제2호에 무엇이 빠져 있는지가 중요합니다. 제15조 제1항 제4호 — “정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 필요한 경우”가 목록에 없습니다.

주문을 받으려고, 예약을 잡으려고 받은 번호가 바로 제4호로 수집한 정보입니다. 그 정보를 제3자에게 넘길 때는 “계약 때문에 받았다”는 이유가 통하지 않습니다. 동의를 받아야 합니다.

제3자 제공 동의를 받을 때는 다섯 가지를 알려야 합니다. 하나라도 빠지면 알린 것으로 보지 않습니다.

제17조 제2항

1. 개인정보를 제공받는 자

2. 개인정보를 제공받는 자의 개인정보 이용 목적

3. 제공하는 개인정보의 항목

4. 개인정보를 제공받는 자의 개인정보 보유 및 이용 기간

5. 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용

“○○에 제공하는 것에 동의합니다”만 적힌 칸은 이 다섯 중 한 가지만 채운 것입니다. 받는 곳 이름, 그쪽이 쓸 목적, 넘기는 항목, 보유 기간, 거부할 수 있다는 사실까지 같이 적어야 합니다.

넘겨받은 쪽도 마음대로 쓰지 못합니다.

제19조(개인정보를 제공받은 자의 이용ㆍ제공 제한)

개인정보처리자로부터 개인정보를 제공받은 자는 다음 각 호의 어느 하나에 해당하는 경우를 제외하고는 개인정보를 제공받은 목적 외의 용도로 이용하거나 이를 제3자에게 제공하여서는 아니 된다.

1. 정보주체로부터 별도의 동의를 받은 경우

2. 다른 법률에 특별한 규정이 있는 경우

동의 없이 넘기면 형사처벌입니다. 제71조 제1호는 넘긴 사람과 “그 사정을 알면서도 제공받은 자”를 함께 처벌합니다. 명단을 주고받은 두 가게가 같이 걸린다는 뜻입니다.

개인정보 처리위탁은 동의 대신 위탁계약서와 공개다

배달대행이 주소를 받는 이유는 자기 장사를 하려는 것이 아니라 우리 가게 배달을 대신 하기 위해서입니다. 문자발송 업체도, 세무사도 마찬가지입니다. 이런 것을 법은 개인정보 처리위탁이라고 부르고, 여기에는 동의를 요구하지 않습니다. 대신 두 가지를 겁니다.

제26조 제1항

개인정보처리자가 제3자에게 개인정보의 처리 업무를 위탁하는 경우에는 다음 각 호의 내용이 포함된 문서로 하여야 한다.

1. 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항

2. 개인정보의 기술적ㆍ관리적 보호조치에 관한 사항

3. 그 밖에 개인정보의 안전한 관리를 위하여 대통령령으로 정한 사항

제3호의 “대통령령으로 정한 사항”은 시행령이 다섯 개를 못 박았습니다.

같은 법 시행령 제28조 제1항

1. 위탁업무의 목적 및 범위

2. 재위탁 제한에 관한 사항

3. 개인정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항

4. 위탁업무와 관련하여 보유하고 있는 개인정보의 관리 현황 점검 등 감독에 관한 사항

5. 수탁자가 준수하여야 할 의무를 위반한 경우의 손해배상 등 책임에 관한 사항

“문서로 하여야 한다”는 것은 종이여야 한다는 뜻이 아닙니다. 전자문서도 문서입니다. 문제는 형식이 아니라 위 내용이 담겨 있느냐입니다. 메신저로 “명단 보낼 테니 문자 좀 돌려 주세요” 한 줄은 어떤 형식이든 이 요건을 채우지 못합니다.

두 번째는 공개입니다.

제26조 제2항

위탁자는 위탁하는 업무의 내용과 수탁자를 정보주체가 언제든지 쉽게 확인할 수 있도록 대통령령으로 정하는 방법에 따라 공개하여야 한다.

시행령 제28조 제2항

“대통령령으로 정하는 방법”이란 위탁자가 위탁자의 인터넷 홈페이지에 위탁하는 업무의 내용과 수탁자를 지속적으로 게재하는 방법을 말한다.

실무에서는 이 개인정보 위탁 현황을 개인정보처리방침 안에 표로 넣습니다. 수탁자 이름과 맡긴 업무를 나란히 적고, 업체가 바뀌면 고칩니다.

홈페이지가 없으면 가게에 붙인다

홈페이지가 없는 가게가 훨씬 많습니다. 시행령이 그 경우를 따로 적어 두었습니다.

시행령 제28조 제3항

제2항에 따라 인터넷 홈페이지에 게재할 수 없는 경우에는 다음 각 호의 어느 하나 이상의 방법으로 위탁하는 업무의 내용과 수탁자를 공개하여야 한다.

1. 위탁자의 사업장등의 보기 쉬운 장소에 게시하는 방법

2. 관보(위탁자가 공공기관인 경우만 해당한다)나 … 일반일간신문, 일반주간신문 또는 인터넷신문에 싣는 방법

3. 같은 제목으로 연 2회 이상 발행하여 정보주체에게 배포하는 간행물ㆍ소식지ㆍ홍보지 또는 청구서 등에 지속적으로 싣는 방법

4. 재화나 서비스를 제공하기 위하여 위탁자와 정보주체가 작성한 계약서 등에 실어 정보주체에게 발급하는 방법

소상공인에게 현실적인 것은 1번(가게에 게시)과 4번(계약서에 실어 발급)입니다. A4 한 장에 “우리 가게는 ○○에 배달을, ○○에 문자발송을 맡기고 있습니다”를 적어 카운터 옆에 붙이면 그것으로 요건을 채웁니다.

광고 문자를 대행에 맡기면 손님에게 알려야 한다

위탁 중에 딱 하나, 공개로 끝나지 않고 손님에게 직접 알려야 하는 것이 있습니다.

제26조 제3항

위탁자가 재화 또는 서비스를 홍보하거나 판매를 권유하는 업무를 위탁하는 경우에는 대통령령으로 정하는 방법에 따라 위탁하는 업무의 내용과 수탁자를 정보주체에게 알려야 한다. 위탁하는 업무의 내용이나 수탁자가 변경된 경우에도 또한 같다.

시행령 제28조 제4항·제5항

④ 법 제26조제3항 전단에서 “대통령령으로 정하는 방법”이란 서면등의 방법을 말한다.

⑤ 위탁자가 과실 없이 제4항에 따른 방법으로 알릴 수 없는 경우에는 해당 사항을 인터넷 홈페이지에 30일 이상 게재하여야 한다. 다만, 인터넷 홈페이지를 운영하지 아니하는 위탁자의 경우에는 사업장등의 보기 쉬운 장소에 30일 이상 게시하여야 한다.

문자발송 업체를 써서 할인 문자를 돌린다면 여기에 걸립니다. 홍보·판매권유 업무를 맡긴 것이기 때문입니다. 게다가 이 조항을 어겼을 때의 과태료가 3천만원 이하로, 위탁 관련 의무 중 가장 무겁습니다(제75조 제2항 제12호).

광고 문자 자체에 붙는 규칙은 따로 있습니다. (광고) 표기와 수신동의는 광고 문자 보내는 법에 정리해 두었습니다. 두 법을 같이 지켜야 합니다. 정보통신망법은 “보내도 되느냐”를, 개인정보 보호법은 “번호를 넘겨도 되느냐”를 봅니다.

수탁업체에 맡겼다고 개인정보 보호 책임이 끝나지 않는다

위탁의 핵심은 여기입니다. 넘겼다고 손을 떼는 것이 아닙니다.

제26조 제4항·제5항·제6항·제7항

④ 위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 유출등이 되지 아니하도록 수탁자를 교육하고, 처리 현황 점검 등 대통령령으로 정하는 바에 따라 수탁자가 개인정보를 안전하게 처리하는지를 감독하여야 한다.

⑤ 수탁자는 위탁받은 해당 업무 범위를 초과하여 개인정보를 이용하거나 제3자에게 제공하여서는 아니 된다.

⑥ 수탁자는 위탁받은 개인정보의 처리 업무를 제3자에게 다시 위탁하려는 경우에는 위탁자의 동의를 받아야 한다.

⑦ 수탁자가 위탁받은 업무와 관련하여 개인정보를 처리하는 과정에서 이 법을 위반하여 발생한 손해배상책임에 대하여는 수탁자를 개인정보처리자의 소속 직원으로 본다.

제7항이 무겁습니다. 맡긴 업체가 사고를 내도 손해배상에서는 내 직원이 낸 사고처럼 봅니다. 업체를 고를 때와 계약서를 쓸 때가 그래서 중요합니다.

제5항을 어기면 과태료가 아니라 형사처벌입니다(제71조 제2호). 맡긴 명단으로 수탁자가 자기 영업을 하면 여기에 걸립니다.

어기면 어떻게 되나

어긴 것	근거	제재
동의 없이 제3자에게 제공 / 사정을 알면서 제공받음	법 제17조 제1항 제1호	5년 이하 징역 또는 5천만원 이하 벌금 (제71조 제1호)
제공받은 목적 외 이용·재제공	법 제19조	5년 이하 징역 또는 5천만원 이하 벌금 (제71조 제2호)
수탁자가 위탁 범위를 넘겨 이용·제공	법 제26조 제5항	5년 이하 징역 또는 5천만원 이하 벌금 (제71조 제2호)
홍보·판매권유 위탁을 알리지 않음	법 제26조 제3항	3천만원 이하 과태료 (제75조 제2항 제12호)
위탁을 문서로 하지 않음	법 제26조 제1항	1천만원 이하 과태료 (제75조 제4항 제4호)
위탁 업무와 수탁자를 공개하지 않음	법 제26조 제2항	1천만원 이하 과태료 (제75조 제4항 제5호)

사장님 체크리스트

• 넘기기 전에 한 번만 묻는다. “이 업체가 자기 장사에 쓰나, 내 일을 대신 하나.” 앞이면 동의, 뒤면 공개입니다
• 위탁은 계약서에 다섯 줄을 넣는다. 목적·범위 / 재위탁 제한 / 안전성 확보 조치 / 점검·감독 / 손해배상 책임
• 수탁자 목록을 한 장 만든다. 업체 이름과 맡긴 업무를 나란히. 홈페이지가 있으면 개인정보처리방침에, 없으면 가게에 붙입니다
• 업체가 바뀌면 그 목록부터 고친다. 공개 의무는 계속되는 의무입니다
• 홍보·문자발송을 맡겼다면 손님에게 서면등으로 알린다. 이것만 과태료가 3천만원 이하입니다
• 명단을 주고받지 않는다. 받는 쪽도 같이 처벌받습니다
• 계약 때문에 받은 번호라는 이유로 넘기지 않는다. 제17조 제1항 제2호의 예외 목록에 계약(제15조 제1항 제4호)은 없습니다

자주 묻는 질문 (FAQ)

세무사에게 직원 주민등록번호를 주는 것도 제3자 제공인가요?

위탁입니다. 세무사는 자기 사업을 위해 그 번호를 쓰는 것이 아니라 우리 가게의 원천징수와 4대보험 신고를 대신 합니다. 동의를 따로 받을 일은 아니고, 기장 계약서에 제26조 제1항 각 호의 내용이 들어 있는지 보고 수탁자 목록에 세무사무소 이름을 올리면 됩니다.

배달앱에서 받은 손님 주소를 배달대행에 넘기는 건 어느 쪽인가요?

배달대행은 우리 가게 배달을 대신 하는 것이므로 위탁입니다. 다만 배달앱과 우리 가게 사이의 관계는 또 다른 문제라, 앱이 어떤 정보를 어떤 근거로 주는지는 앱의 방침을 따로 봐야 합니다.

수탁자 공개는 개인정보처리방침에 적으면 되나요?

홈페이지가 있다면 그렇게 하는 것이 가장 깔끔합니다. 시행령 제28조 제2항이 요구하는 것은 “홈페이지에 지속적으로 게재”이고, 처리방침은 어차피 홈페이지에 계속 올라가 있기 때문입니다.

다만 처리방침 안에서도 칸을 나눠 적어야 합니다. 제3자 제공 칸에는 동의를 받고 넘기는 곳을, 위탁 칸에는 우리 일을 대신하는 곳을 적습니다. 택배사와 배달대행, 문자발송 업체, 기장을 맡긴 세무사무소는 위탁 칸입니다. 칸마다 적는 항목도 다릅니다.

칸	적는 것
제3자 제공	제공받는 자 / 제공 목적 / 제공 항목 / 보유·이용 기간
처리위탁	수탁자 이름 / 맡긴 업무의 내용

처리방침 전체에 무엇을 넣어야 하는지는 개인정보처리방침 만들기에 정리해 두었습니다.

단골 명단을 옆 가게와 바꾸면 안 되나요?

제3자 제공이고, 동의가 없으면 형사처벌 대상입니다. 제71조 제1호는 준 쪽과 “그 사정을 알면서도 제공받은 자”를 함께 처벌합니다. 두 가게가 같이 걸립니다.

계약서 없이 말로 맡겼습니다. 지금이라도 써야 하나요?

법이 요구하는 것은 각 호의 내용이 담긴 문서입니다. 전자문서도 문서이므로 메일이나 전자계약도 됩니다. 다만 “문자 좀 돌려 주세요” 한 줄에는 목적·범위도, 재위탁 제한도, 손해배상 책임도 없습니다. 지금 한 장 만들어 주고받는 편이 안전합니다.

손님이 “내 번호를 어디에 줬냐”고 물으면 답해야 하나요?

위탁이라면 이미 공개하고 있어야 하는 내용입니다. 제26조 제2항이 “정보주체가 언제든지 쉽게 확인할 수 있도록” 공개하라고 정하고 있으므로, 물어보기 전에 볼 수 있는 상태가 맞습니다.

맡긴 업체가 정보를 흘리면 제가 물어내나요?

손해배상에서는 수탁자를 위탁자의 소속 직원으로 봅니다(제26조 제7항). 그래서 계약서에 손해배상 책임 조항을 넣도록 시행령이 요구하는 것입니다. 교육과 점검 기록을 남겨 두시는 편이 좋습니다(제26조 제4항).

위탁계약서 양식은 어디서 구하나요?

법이 양식을 정해 두지는 않았습니다. 판단 기준은 양식이 아니라 내용입니다. 법 제26조 제1항의 세 가지와 시행령 제28조 제1항의 다섯 가지가 들어 있으면 됩니다. 업체가 먼저 내미는 계약서를 쓰실 때도 그 여덟 가지가 있는지만 확인하십시오. 특히 재위탁 제한과 손해배상 책임 조항이 빠져 있는 경우가 많습니다.

CCTV 관리를 보안업체에 맡기는 건 어느 쪽인가요?

위탁입니다. 보안업체는 자기 사업에 쓰려고 영상을 가져가는 것이 아니라 우리 가게 영상을 대신 관리합니다. 그래서 수탁자 목록에 보안업체 이름과 “영상정보 관리”를 적어야 합니다. 다만 CCTV를 설치·운영하는 것 자체에는 안내판 같은 별도의 규정(법 제25조)이 따로 붙습니다. 이건 다음 편에서 다루겠습니다. 안내판 문구, 녹음 금지, 과태료는 가게 CCTV 설치 규정과 안내판에 정리했습니다.

재위탁은 업체가 알아서 해도 되나요?

안 됩니다. 수탁자가 다시 다른 곳에 맡기려면 위탁자의 동의를 받아야 합니다(제26조 제6항, 2023년 신설). 계약서의 재위탁 제한 조항이 이 부분입니다.

근거 법령

법령 이름을 누르면 국가법령정보센터 원문으로 이동합니다.

• 개인정보 보호법 제15조, 제17조, 제19조, 제26조, 제71조, 제75조
• 개인정보 보호법 시행령 제28조
• 개인정보보호위원회 — 소관 부처
• 개인정보 포털 — 개인정보침해 신고센터

※ 2026년 9월 21일 기준 국가법령정보센터의 법령 원문을 바탕으로 정리했습니다. 어떤 거래가 제3자 제공인지 위탁인지는 계약의 실질에 따라 달라질 수 있습니다. 다툼이 예상되면 개인정보보호위원회나 변호사의 확인을 받으시기 바랍니다.

이 글의 그림은 AI로 만든 예시 이미지이며 실제 사진이 아닙니다.