신규 서비스 개인정보 보안성 검토 체크리스트 ② 제공·위탁·보유·파기 편

1편에서는 신규 서비스에서 어떤 개인정보를 왜 처리하는지를 중심으로 확인했습니다.

 

개인정보 항목과 처리 목적이 정리됐다면, 그다음에는 해당 개인정보가 우리 회사 안에서만 사용되는지 아니면 외부 업체나 다른 회사로 전달되는지를 봐야 합니다.

실제로 신규 서비스를 검토하다 보면 본인인증, 문자·이메일 발송, CRM, 클라우드, SaaS 등 여러 외부 사업자가 붙는 경우가 많습니다.

이번 글에서는 제3자 제공, 처리위탁, 재위탁, 국외이전 그리고 보유·파기까지 이어서 정리해보겠습니다.

---

30초 요약 - 외부로 나가는 순간부터 확인합니다.

구분	확인할 사항	체크
외부업체	개인정보를 처리하는 외부 사업자가 있는가	□
제공정보	외부업체에 어떤 개인정보가 전달되는가	□
처리관계	제3자 제공인지 처리위탁인지 구분했는가	□
제공근거	제3자 제공이라면 적법한 제공 근거가 있는가	□
위탁계약	위탁이라면 개인정보 처리위탁 계약이 체결되는가	□
재위탁	수탁사가 다시 다른 업체에 위탁하는가	□
공개	위탁현황 등이 적절하게 공개되고 있는가	□
관리·감독	수탁사를 관리·감독할 수 있는 구조인가	□
국외이전	개인정보가 해외로 이전·보관·조회되는가	□
보유기간	우리 회사와 외부업체의 보유기간이 정해져 있는가	□
파기	보유기간 종료 시 실제 파기가 가능한가	□
계약종료	계약 종료 시 개인정보 반환·파기 방법이 정해져 있는가	□
처리방침	신규 처리구조가 개인정보 처리방침에 반영되는가	□

큰 틀에서는 누구에게 가는가 → 왜 보내는가 → 언제 없어지는가 세 가지를 확인한다고 보면 됩니다.

---

1. 외부업체가 보이면 먼저 처리관계를 확인합니다.

신규 서비스에는 생각보다 많은 외부업체가 붙습니다.

본인인증, 문자발송처럼 외부업체가 명확하게 보이는 경우도 있지만, 클라우드나 SaaS처럼 서비스 뒤쪽에서 개인정보를 처리하는 업체도 있습니다.

그래서 서비스 구조를 확인하면서 외부 사업자가 발견되면 우선 아래 내용을 정리합니다.

No.	점검항목	확인 내용
1	외부업체	개인정보 처리에 관여하는 외부 사업자가 있는가
2	전달정보	어떤 개인정보가 외부로 전달되는가
3	처리목적	외부업체가 개인정보를 왜 처리하는가
4	처리범위	조회·저장·수정·삭제 등 어느 범위까지 처리하는가
5	처리관계	제3자 제공인지 개인정보 처리위탁인지 확인했는가
6	해외 여부	해외 사업자 또는 해외 시스템이 포함되어 있는가

여기서 중요한 건 계약서에 적힌 명칭만 보고 판단하지 않는 것입니다.

계약서에 개인정보 처리위탁이라고 적혀 있다고 해서 검토가 끝나는 게 아니라 실제로 개인정보를 누구의 목적을 위해 처리하는지까지 같이 확인하는 편이 좋습니다.

전형적으로 보면,

구분	판단할 때 보는 부분
제3자 제공	개인정보를 받은 자가 자신의 목적을 위해 이용하는 구조
처리위탁	우리 회사의 업무를 수행하기 위해 개인정보를 처리하는 구조

정도로 먼저 구분할 수 있습니다.

 

다만 실제 구조에 따라 판단이 달라질 수 있기 때문에 단순히 개인정보가 외부로 넘어갔다는 이유만으로 제3자 제공이라고 보거나, 계약서에 위탁이라고 적혀 있다는 이유만으로 위탁이라고 보는 것은 피하는 게 좋습니다.

 

위탁과 제3자 제공의 구분 기준은 이전에 작성한 「개인정보 위탁과 제3자 제공, 뭐가 다를까」 글에서 판례와 함께 별도로 정리했습니다.

---

2. 제3자 제공이라면 '누구에게 왜 주는지' 확인합니다.

제3자 제공으로 판단했다면 개인정보 보호법 제17조를 기준으로 제공 근거를 확인합니다.

정보주체의 동의를 근거로 제공하는 경우에는 제공받는 자, 제공받는 자의 이용 목적, 제공하는 개인정보 항목, 보유·이용기간, 동의 거부권과 불이익 등을 알려야 합니다. 다만 개인정보의 제3자 제공 근거가 정보주체의 동의만 있는 것은 아니므로 실제 적용 가능한 제공 근거를 먼저 확인해야 합니다.

No.	점검항목	확인 내용
7	제공받는 자	실제 개인정보를 제공받는 자가 누구인가
8	제공 목적	제공받는 자가 개인정보를 어떤 목적으로 이용하는가
9	제공 항목	목적에 필요한 개인정보만 제공하는가
10	제공 근거	동의 등 적법한 제3자 제공 근거가 있는가
11	보유기간	제공받는 자의 보유·이용기간이 정해져 있는가

동의를 받아야 하는 구조라면 동의서만 확인하고 끝내지 않고, 실제 API나 파일을 통해 전달되는 항목과 동의서에 적힌 제공 항목이 같은지도 같이 보는 게 좋습니다.

---

3. 처리위탁이라면 계약서보다 '재위탁'까지 봅니다.

처리위탁이라면 개인정보 보호법 제26조에 따라 위탁 내용을 문서화하고, 위탁 업무 내용과 수탁자를 공개하며, 수탁자를 관리·감독해야 합니다.

특히 수탁자가 개인정보 처리업무를 다시 제3자에게 위탁하려면 위탁자의 동의를 받아야 합니다. 현재 법은 공개 대상 수탁자의 범위에도 재위탁받은 제3자를 포함하고 있습니다.

No.	점검항목	확인 내용
12	위탁업무	어떤 개인정보 처리업무를 위탁하는가
13	위탁계약	개인정보 처리위탁 관련 내용이 계약서에 포함되어 있는가
14	목적 외 이용	수탁사가 위탁 목적 외로 개인정보를 이용하지 않는가
15	재위탁	다른 사업자에게 개인정보 처리업무를 다시 위탁하는가
16	공개	위탁업무 및 수탁자 정보가 적절하게 공개되는가
17	관리·감독	수탁사 보안점검 등 관리·감독이 가능한가
18	계약종료	계약 종료 시 개인정보 반환·파기 기준이 있는가

시행령 제28조까지 내려가 보면 위탁문서에는 위탁업무의 목적과 범위, 재위탁 제한, 접근 제한 등 안전성 확보조치, 관리현황 점검 등 감독, 손해배상 책임 등에 관한 사항이 포함되어야 합니다.

그래서 신규 솔루션을 도입할 때 업체가 제공한 표준계약서만 받아놓고 끝내기보다는 실제로 개인정보 처리위탁에 필요한 내용이 들어가 있는지 한번 확인하는 것이 좋습니다.

---

4. 해외 SaaS라면 국외이전 여부를 확인합니다.

외부 솔루션을 사용한다면 서버 위치도 같이 확인합니다.

여기서 국외이전은 단순히 "해외 서버에 저장하는가?" 만 보는 것이 아닙니다.

 

개인정보 보호법 제28조의8은 개인정보의 국외 제공·처리위탁·보관뿐 아니라 국외에서 조회되는 경우도 국외이전 범위에 포함하고 있습니다. 따라서 국내 리전에 저장하더라도 해외 본사나 해외 운영인력이 개인정보를 조회할 수 있는 구조라면 국외이전 여부를 추가로 확인할 필요가 있습니다.

구분	확인할 사항	주요 근거
이전 여부	해외에서 개인정보가 저장·처리·조회되는가	제28조의8
이전 국가	실제 개인정보가 이전되는 국가가 어디인가	제28조의8
이전받는 자	해외 법인 또는 사업자가 누구인가	제28조의8
이전 항목	어떤 개인정보가 해외로 이전되는가	제28조의8
이전 근거	국외이전에 적용할 수 있는 법적 근거가 있는가	제28조의8
보호조치	해외 이전 과정의 안전조치 등이 마련되어 있는가	시행령 제29조의10

여기서도 국외이전 = 무조건 별도 동의라고 바로 결론 내리기보다는 법 제28조의8에서 인정하는 국외이전 근거 중 해당되는 것이 있는지 확인하는 게 먼저입니다.

예를 들어 정보주체와의 계약 체결·이행을 위해 처리위탁 또는 보관이 필요한 경우에는 법에서 정한 정보를 개인정보 처리방침에 공개하거나 정해진 방법으로 알리는 방식도 규정되어 있습니다.

그리고 국외이전을 하는 경우에는 안전성 확보조치, 고충처리·분쟁해결 등 필요한 보호조치를 마련하고 이를 이전받는 자와 미리 협의하여 계약 등에 반영해야 합니다.

---

5. 마지막으로 '어떻게 없앨지' 확인합니다.

보안성 검토에서 수집은 많이 보는데 의외로 파기는 나중에 보는 경우가 있습니다.

서비스를 다 만든 뒤에 "회원이 탈퇴하면 이 정보는 어떻게 삭제되나요?"라고 물었는데 삭제 기능이 없거나, 운영 DB에서는 삭제되지만 외부 솔루션에는 그대로 남아 있는 경우가 생길 수 있습니다.

그래서 파기는 서비스 오픈 전에 같이 확인하는 게 좋습니다.

No.	점검항목	확인 내용
19	보유기간	개인정보별 보유기간이 명확하게 정해져 있는가
20	파기 시점	탈퇴·목적 달성·보유기간 종료 등 파기 기준이 있는가
21	법정 보관	다른 법령에 따라 추가 보관해야 하는 정보가 있는가
22	파기 범위	운영 DB 외 다른 시스템에도 개인정보가 남는가
23	외부업체	수탁사·제3자에게 전달된 개인정보도 적절히 삭제되는가
24	백업	백업 등에 개인정보가 남는 경우 관리·삭제 기준이 있는가
25	계약 종료	서비스 계약 종료 시 데이터 반환·파기가 가능한가
26	파기 증적	필요 시 파기확인서 등 완료 증적을 받을 수 있는가

개인정보 보호법 제21조는 보유기간이 지나거나 처리 목적이 달성되는 등 개인정보가 불필요해지면 지체 없이 파기하도록 하고 있습니다. 다만 다른 법령에 따라 보존해야 한다면 보존할 수 있고, 이 경우 해당 개인정보는 다른 개인정보와 분리하여 저장·관리해야 합니다.

전자적 파일 형태의 개인정보를 파기하는 경우에는 원칙적으로 복원이 불가능한 방법으로 영구 삭제해야 합니다. 종이 등 그 밖의 기록매체는 파쇄 또는 소각하도록 시행령에서 정하고 있습니다.

특히 외부 솔루션은 계약 종료 이후까지 생각해보는 것이 좋습니다.

운영 DB뿐 아니라 첨부파일, 임시파일, 백업 데이터 등에 개인정보가 남는지, 최종 삭제 시점은 언제인지, 계약 종료 후 파기 여부를 어떻게 확인할 수 있는지 등을 계약 전에 확인해두면 나중에 훨씬 편합니다.

---

마지막으로 개인정보 처리방침을 확인합니다.

여기까지 정리됐다면 서비스 오픈 전에 개인정보 처리방침 변경이 필요한지도 확인합니다.

개인정보 보호법 제30조는 해당되는 경우 개인정보의 제3자 제공, 개인정보 처리위탁, 처리·보유기간, 파기절차와 파기방법 등을 개인정보 처리방침에 포함하도록 하고 있습니다.

즉, 서비스 검토 → 계약 체결 → 서비스 오픈으로 바로 끝내지 않고, 처리방침 등 외부 공개사항까지 반영됐는지 마지막으로 확인하는 과정이 필요합니다.

---

실무에서 자주 놓치는 부분

① 업체에서 "위탁입니다"라고 했다고 그대로 판단하지 않습니다.
계약 명칭보다 실제 개인정보 처리 목적과 처리관계를 확인합니다.

② 재위탁 업체를 확인합니다.
계약하는 업체만 보고 끝냈는데 실제 서비스 운영에는 다른 클라우드나 하위 사업자가 추가로 들어가는 경우가 있습니다.

③ 서버 위치만 보고 국외이전을 판단하지 않습니다.
해외에서 개인정보를 조회할 수 있는 구조인지도 같이 확인합니다. 법 제28조의8은 국외에서 조회되는 경우도 이전 범위에 포함하고 있습니다.

④ 운영 DB에서 삭제됐다고 파기가 끝났다고 보지 않습니다.
연계 시스템, 외부 솔루션, 백업 등 개인정보가 남을 수 있는 위치를 같이 확인합니다.

⑤ 계약 종료 조건을 미리 확인합니다.
서비스를 시작할 때보다 끝낼 때 데이터 회수·파기가 더 어려운 경우가 있습니다. 가능하면 반환·파기 방법과 완료 증적까지 계약 단계에서 확인해두는 편이 좋습니다.

---

참고

법령	관련 내용
개인정보 보호법 제17조	개인정보의 제공
개인정보 보호법 제21조	개인정보의 파기
개인정보 보호법 제26조	업무위탁에 따른 개인정보의 처리 제한
개인정보 보호법 제28조의8	개인정보의 국외 이전
개인정보 보호법 제30조	개인정보 처리방침의 수립 및 공개
개인정보 보호법 시행령 제16조	개인정보의 파기방법
개인정보 보호법 시행령 제28조	개인정보의 처리 업무 위탁 시 조치
개인정보 보호법 시행령 제29조의10	개인정보의 국외 이전 시 보호조치 등

※ 2026년 8월 9일 기준 현행 법령을 기준으로 작성했습니다.