회사가 개인정보 처리 업무를 다른 곳에 위탁했다면, 맡긴 업무 내용과 수탁자를 이용자가 언제든 쉽게 확인할 수 있도록 공개해야 한다(개인정보 보호법 제26조 제2항). 외부 회사가 처리한다는 말만으로 누가 어떤 업무를 맡았는지 설명된 것은 아니다.
실제 맡긴 업무와 회사를 확인한다
가령 주문한 상품의 배송 관련 업무를 다른 회사가 맡는다고 안내받았다고 하자. 설명용 가상 사례다. 이 글은 실제로 개인정보 처리 업무를 위탁한 경우를 전제로 한다. 다른 회사에 정보가 전달됐다는 사실만으로 제3자 제공과 업무위탁을 임의로 확정하지 않는다. 위탁 업무를 받은 자에게서 다시 위탁받은 제3자도 제26조 제2항의 수탁자에 포함된다. 공개된 업무 내용과 처리 회사의 명칭을 실제 안내와 대조한다.
맡은 범위를 넘어 이용해서는 안 된다
수탁자는 맡은 해당 업무 범위를 초과해 개인정보를 이용하거나 제3자에게 제공해서는 안 된다(제26조 제5항). 처리 업무를 다른 제3자에게 다시 위탁하려면 위탁자의 동의도 받아야 한다(제6항). 정보를 가지고 있다는 사정과 다른 용도로 자유롭게 쓸 수 있다는 권한은 다르다. 어떤 회사의 무슨 업무를 위해 정보를 처리하는지 확인하는 것이 먼저다. 실제 이용이 그 범위를 벗어났는지는 자료로 확인한다.
위탁한 회사의 감독도 남는다
제26조 제1항은 목적 밖 처리 금지와 보호조치 등 법정 내용이 포함된 문서로 위탁하도록 한다. 제4항은 위탁자가 수탁자를 교육하고 처리 현황 점검 등으로 안전한 처리를 감독하도록 정한다. 업무를 맡겼다는 이유만으로 위탁자의 관리 의무가 전부 없어지는 것은 아니다. 홍보나 판매 권유 업무 위탁에는 제3항의 별도 통지 규정도 있으므로 배송 업무와 무조건 같게 읽지 않는다. 공개된 위탁 내용과 수탁자, 실제 연락을 보낸 업체와 문의 회신을 모아 어떤 관계의 처리를 확인하려는지 정리한다. 이 글은 수탁 업체의 모든 내부 계약서를 이용자에게 반드시 공개한다는 설명은 아니다.
