제3자 제공과 처리위탁 구분 및 동의 철회 연동 쟁점

핵심 판단

개인정보 이전이 '제3자 제공'인지 '처리위탁'인지 성격에 맞게 구분되어 각각의 법적 요건(동의/고지·위탁문서·공개)을 충족하는지, 정보주체의 동의 철회·처리정지 요구가 제공·위탁 흐름에 실시간 반영되는지가 핵심이다.

배경

수탁을 제3자 제공으로 잘못 처리하거나 그 반대로 운영해 요건을 누락하고, 동의 철회 시 이미 제공된 곳까지 중단 통지가 연동되지 않는 사례가 많다.

주요 쟁점 및 심사 포인트

• 이전 성격(제공 vs 위탁) 판단 근거 및 요건 충족 여부
• 위탁 시 문서화·수탁자 공개·관리감독 여부
• 동의 철회·처리정지 요구의 제공/위탁 흐름 반영 여부

관련 인증기준

ISMS-P 인증기준(2023) 기준. 항목명은 「금융권 ISMS-P 인증기준 점검항목 안내서」로 검증함.

• 3.3.1 개인정보 제3자 제공
• 3.3.2 개인정보 처리 업무 위탁
• 3.5.2 정보주체 권리보장

관련 법령·가이드

조문 번호·명칭은 개정으로 달라질 수 있어, 실제 심사·인용 시 국가법령정보센터(law.go.kr) 최신본 재확인을 권장한다.

• 「개인정보 보호법」 제17조(개인정보의 제공)
  • 제3자 제공 시 동의 또는 법적 근거, 고지사항 준수 의무.
• 「개인정보 보호법」 제26조(업무위탁에 따른 개인정보의 처리 제한)
  • 위탁 문서화, 수탁자 공개, 교육·감독 의무.
• 「개인정보 보호법」 제37조(개인정보의 처리정지 등)
  • 정보주체의 처리정지·동의철회 요구 시 지체 없는 조치 의무.

참고 가이드

• 「개인정보 처리 통합 안내서」 제공/위탁 구분 부분
• 「개인정보 처리방침 작성지침」

심사 시 확인사항 (증적)

• 제공/위탁 대장 및 성격 판단 근거 문서
• 위탁계약서·수탁자 목록 공개 화면, 수탁자 점검 결과
• 동의 철회·처리정지 처리 이력 및 제공처 통지 증적

주요 결함 사례

실질적 처리위탁을 제3자 제공으로 처리하여 위탁 문서화·수탁자 공개가 누락되고, 동의 철회 시 이미 제공된 수탁사로 중단 통지가 연동되지 않음.

보완 대책

1. 이전 유형별 판단기준 수립 및 위탁 문서화·공개 정비
2. 동의 철회·처리정지 시 제공/위탁 흐름 자동 반영 프로세스 구축

연관 쟁점

• [ISSUE-004] 금융 클라우드 이용절차 준수 및 개인(신용)정보 국외이전 안전조치 쟁점
• [ISSUE-040] 개인정보 처리방침 명시항목 및 실제 처리 정합성 쟁점

---

본 문서는 ISMS-P 인증심사 실무 참고용이며, 법적 자문이 필요한 사안은 법률 전문가 확인이 필요합니다. (v2 · 2026-08)