수탁자에게 맡긴 시스템의 안전조치 책임

1. 상황

D기관은 대국민 서비스 2종의 시스템 구축·운영을 외부 사업자에 위탁하고 있다. 담당자는 "시스템은 수탁사가 운영하므로 안전조치도 수탁사 책임"이라고 설명했다. 위탁 현황과 점검 증적을 요구한 결과 다음이 확인되었다.

• 위탁 계약서에 개인정보 처리 위탁 조항은 있으나, 처리 항목·목적·보유기간과 재위탁 승인 절차가 특정되지 않음
• 수탁자 점검은 연 1회 자가점검 체크리스트 회수로 종료되며, 응답 근거를 확인한 기록이 없음
• 수탁 시스템의 계정·권한 목록을 위탁자가 보유하지 않고, 관리자 계정 발급·회수 이력을 확인할 수 없음
• 서비스 특성상 주민등록번호를 처리하고 있으나, 수집 근거를 법령 조문 단위로 제시하지 못함
• 접속기록은 수탁사 서버에만 존재하고, 위탁자는 점검 결과 요약본만 전달받음
• 유출 시 통지·신고의 주체와 기한 기산점이 계약서·절차서 어디에도 정의되어 있지 않음

2. 심사 검증

1. 위탁 현황 목록과 실제 계약서·과업지시서를 대조해 누락된 수탁자가 없는지 확인한다.
2. 계약서에서 처리 항목·목적·보유기간·재위탁 제한·안전조치 의무·점검 수용 의무 조항을 확인한다.
3. 자가점검 체크리스트의 "예" 응답 중 표본을 골라 근거 자료를 직접 요구한다.
4. 수탁 시스템의 계정·권한 목록을 받아 퇴직자·계약종료자 계정 잔존 여부를 대사한다.
5. 주민등록번호 처리 화면·테이블을 식별하고 각각의 법령 근거를 조문 단위로 요구한다.
6. 접속기록의 보관 위치·기간·점검 주기와, 위탁자가 원본에 접근할 수 있는 수단을 확인한다.
7. 계약 종료·변경 시 자료 반환·파기 확인서와 접근권한 회수 증적을 확인한다.

3. 기준 매핑

사실	기준	핵심 판단
위탁 현황 목록과 실제 계약 불일치	2.3.1	외부자 현황이 관리되지 않아 점검 모집단 자체가 불완전
처리 항목·재위탁 조항 미특정	2.3.2 / 3.3.2	위탁 계약의 법정 기재사항 및 보안 요구사항 누락
자가점검 체크리스트 회수로 종료	2.3.3	이행 여부를 확인한 것이 아니라 응답을 수집한 것
수탁 시스템 계정·권한을 위탁자가 미보유	2.3.3	위탁했다고 해서 확인 의무가 이전되지 않음
주민등록번호 수집 근거 미제시	3.1.3	법령 근거 없는 처리
계약 종료 시 반환·파기·권한회수 증적 없음	2.3.4	계약 만료 시점의 보안 통제 공백

위탁은 처리 행위를 맡기는 것이지 책임을 넘기는 것이 아니다. 공개된 처분 사례에서도 위탁자에게 안전조치의무 위반이 인정된 예가 있다.

4. 개선 설계

• 위탁 현황 대장을 계약 시스템과 연동해 누락 없이 유지하고, 재위탁은 사전 승인 대상으로 명시
• 계약서에 처리 항목·목적·보유기간·안전조치 의무·점검 수용·사고 통지 의무·종료 시 반환·파기를 표준 조항으로 편입
• 수탁자 점검을 증거 기반으로 전환: 응답마다 근거 산출물(설정 화면, 권한 목록, 로그 발췌)을 함께 제출받고 표본 검증
• 수탁 시스템의 계정·권한 목록을 위탁자가 정기 수령해 인사 데이터와 대사
• 주민등록번호 처리 지점을 목록화하고 각각의 법령 근거를 확인, 근거 없는 지점은 대체 식별자로 전환
• 접속기록 원본에 대한 위탁자의 접근 수단(별도 계정 또는 정기 원본 사본)을 계약에 명시
• 사고 발생 시 통지·신고의 주체와 기한 기산점을 계약서와 양측 절차서에 동일하게 규정

5. 재시험