9.4.3 EMR·검사실·클라우드 위탁계약 점검

원문 대조·이중 검수 2026-11-01

요약

업체에 맡기는 처리 업무의 위탁, 제3자 제공, 국외이전은 각각의 법정 요건을 적용해요. ^{1, 4, 5}

꼭 기억할 것

• 수탁자는 맡은 업무 범위를 초과하여 개인정보를 이용하거나 제3자에게 제공해서는 안 돼요. ⁴
• 수탁자의 재위탁에는 위탁자의 동의가 필요해요. ⁴
• 국외에서 조회되는 제공도 국외이전에 포함돼요. ⁵

업체별 업무와 정보 이용 목적을 적어요

개인정보 보호법은 개인정보 제3자 제공과 처리 업무의 위탁을 각각 규율해요. ^{1, 4} 수탁자는 맡은 업무 범위를 넘겨 개인정보를 이용하거나 제3자에게 제공해서는 안 돼요. ⁴

작성 제안: 전자의무기록(EMR)을 다루는 시스템 업체, 외부 검사실, 클라우드 저장업체마다 받는 항목, 수행 업무, 보관 위치, 접근자, 반환 경로를 적어요.

작성 제안: 업체의 종류만으로 위탁 또는 제3자 제공이라고 일괄 분류하지 않아요.

작성 제안: 검사 수행에 필요한 전달과 업체 자체 연구·제품 개선·모델 학습 이용을 구분해 설명받아요. 의원 업무 수행을 넘어서는 자체 이용 조항은 계약 체결 전에 별도로 검토해요.

제3자 제공 동의를 근거로 삼는 경우에는 받는 자, 이용 목적, 제공 항목, 보유·이용 기간과 동의를 거부할 권리가 있다는 사실을 알려야 해요. ¹ 동의 거부에 따른 불이익이 있으면 그 내용도 알려야 해요. ¹ 민감정보는 법정 고지사항을 알린 별도 동의 또는 법령상 요구·허용이 있는 경우 처리할 수 있어요. ³

작성 제안: 업체가 자체 학습을 한다면 위탁계약에 서명했다는 사정만으로 처리 근거가 충족됐다고 결론 내리지 않아요. 원본 제공인지, 가공 이후에도 개인을 알아볼 수 있는지, 별도 법적 검토가 필요한지 확인해요.

위탁 문서와 공개 내용을 맞춰요

위탁 문서에는 위탁 목적 외 처리 금지와 기술적·관리적 보호조치 등을 포함해야 해요. ⁴ 시행령은 위탁 문서에 목적·범위, 재위탁 제한, 접근 제한 등 안전조치, 관리 현황 점검 등 감독, 의무 위반 시 손해배상 등 책임에 관한 사항도 넣도록 정해요. ²

위탁자는 맡기는 업무 내용과 수탁자를 정보주체가 쉽게 확인할 수 있게 공개해야 해요. ⁴ 수탁자에는 재위탁받은 업체도 포함돼요. ⁴ 시행령은 홈페이지에 지속적으로 게재하는 방법과 게재할 수 없는 경우의 대체 공개 방법을 정해요. ²

홍보·판매 권유 업무를 위탁하면 위탁 업무 내용과 수탁자를 서면등으로 알려야 하고 변경될 때도 같아요. ^{2, 4} 과실 없이 알릴 수 없다면 홈페이지에 30일 이상 게재하고, 홈페이지가 없으면 사업장 등의 보기 쉬운 장소에 30일 이상 게시해야 해요. ²

작성 제안: 계약서에만 적힌 업체가 처리방침의 위탁 공개에서 빠지지 않았는지 대조해요. 업체가 제공하는 표준 약관과 별도 보안 약정의 내용이 다른 경우 적용 순서를 명확히 해요.

작성 제안: 반환 형식, 업무 종료 시 자료 처리, 사고 통보 담당자, 점검 자료 제출 범위를 구체적으로 협의해요. 손해배상 조항이 있다는 이유로 실제 접근 통제 점검을 생략하지 않아요.

재위탁과 원격지원 권한을 관리해요

수탁자가 맡은 개인정보 처리 업무를 다시 제3자에게 맡기려면 위탁자의 동의를 받아야 해요. ⁴ 위탁자는 수탁자를 교육하고 안전한 처리 여부를 감독해야 해요. ⁴

개인정보의 안전한 처리를 위해 내부 관리계획 수립, 접속기록 보관 등 기술적·관리적·물리적 조치가 요구돼요. ⁶

수탁자에게는 안전조치의무 등 법에 열거된 규정도 준용돼요. ⁴ 위탁 업무의 개인정보 처리 중 법을 위반하여 발생한 손해배상책임에서는 수탁자를 개인정보처리자의 소속 직원으로 봐요. ⁴

작성 제안: 원격지원 요청마다 목적·작업자·대상 시스템을 확인하고, 작업 범위와 권한 종료 시점을 남겨요. 공동 계정 사용 여부, 실제 접속 위치, 다운로드 가능 항목을 점검해요.

작성 제안: 재위탁업체 변경 통보가 오면 새 업체가 수행할 업무와 접근 범위를 확인한 뒤 동의 여부를 기록해요. 위탁자의 동의 없이 재위탁할 수 있다는 약정이 있는지도 대조해요.

작성 제안: 공급업체 명단과 계정 목록을 연결해 계약이 끝난 업체의 접근권한이 남아 있지 않은지 확인해요. 점검 날짜·결과·보완 기한을 기록하고 보완 완료 증빙을 받아요.

국외 서버와 해외 조회를 따로 확인해요

국외 제공에는 조회되는 경우도 포함되고, 국외 처리위탁·보관도 국외이전 규정의 대상이에요. ⁵ 별도 동의, 법률·조약 등의 특별 규정, 계약 이행에 필요한 위탁·보관의 공개 또는 통지 등 법정 근거를 충족해야 해요. ⁵

계약 체결·이행에 필요하다는 근거는 정보주체와의 계약을 위한 처리위탁·보관에 관한 요건이에요. ⁵ 이 근거를 적용하려면 법이 정한 국외이전 사항을 처리방침에 공개하거나 정해진 방법으로 알려야 해요. ⁵

별도 동의를 받을 때는 이전 항목, 국가·시기·방법, 받는 자의 성명(법인은 명칭과 연락처), 이용 목적·보유·이용 기간, 거부 방법·절차·효과를 미리 알려야 해요. ⁵ 법은 인증 및 보호수준 인정에 따른 근거도 정하지만 각각의 조건이 붙어요. ⁵

법정 근거를 충족해 국외로 이전하는 경우에도 국외 이전 관련 규정, 제17조부터 제19조까지 및 제5장 규정을 지키고 대통령령이 정하는 보호조치를 해야 해요. ⁵ 법을 위반하는 내용의 국외 이전 계약을 체결해서는 안 돼요. ⁵

작성 제안: 서버 주소뿐 아니라 백업 지역과 해외 지원자의 조회 위치를 질문해요. 국내 업체와 계약했다는 설명만으로 국외이전이 없다고 표시하지 않아요.

작성 제안: 환자와의 계약 이행 필요성 및 적용 근거를 검토한 문서를 남겨요. 개인정보 보호법상 근거와 함께 의료기록 관련 규정의 적합성도 검토하고, 개별 클라우드 서비스의 적법성을 이 절만으로 확정하지 않아요.

흔한 실수

• 작성 제안: 재위탁을 업체 내부 문제로만 보지 않도록 동의 절차를 계약 점검표에 넣어요. 수탁자의 재위탁에는 위탁자의 동의가 필요해요. ⁴
• 작성 제안: 파일을 저장하지 않는 해외 조회도 확인 목록에 넣어요. 국외 제공에는 조회되는 경우도 포함돼요. ⁵

근거 조문

개인정보 보호법 제17조 ①

① 개인정보처리자는 다음 각 호의 어느 하나에 해당되는 경우에는 정보주체의 개인정보를 제3자에게 제공(공유를 포함한다. 이하 같다)할 수 있다. <개정 2020.2.4, 2023.3.14>
1. 정보주체의 동의를 받은 경우
2. 제15조제1항제2호, 제3호 및 제5호부터 제7호까지에 따라 개인정보를 수집한 목적 범위에서 개인정보를 제공하는 경우

개인정보 보호법 제17조 ②

② 개인정보처리자는 제1항제1호에 따른 동의를 받을 때에는 다음 각 호의 사항을 정보주체에게 알려야 한다. 다음 각 호의 어느 하나의 사항을 변경하는 경우에도 이를 알리고 동의를 받아야 한다.
1. 개인정보를 제공받는 자
2. 개인정보를 제공받는 자의 개인정보 이용 목적
3. 제공하는 개인정보의 항목
4. 개인정보를 제공받는 자의 개인정보 보유 및 이용 기간
5. 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용

개인정보 보호법 제23조 ①

①개인정보처리자는 사상ㆍ신념, 노동조합ㆍ정당의 가입ㆍ탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보로서 대통령령으로 정하는 정보(이하 "민감정보"라 한다)를 처리하여서는 아니 된다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는  그러하지 아니하다. <개정 2016.3.29>
1. 정보주체에게 제15조제2항 각 호 또는 제17조제2항 각 호의 사항을 알리고 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우
2. 법령에서 민감정보의 처리를 요구하거나 허용하는 경우

개인정보 보호법 제26조

제26조(업무위탁에 따른 개인정보의 처리 제한)
① 개인정보처리자가 제3자에게 개인정보의 처리 업무를 위탁하는 경우에는 다음 각 호의 내용이 포함된 문서로 하여야 한다. <개정 2023.3.14>
1. 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항
2. 개인정보의 기술적ㆍ관리적 보호조치에 관한 사항
3. 그 밖에 개인정보의 안전한 관리를 위하여 대통령령으로 정한 사항
② 제1항에 따라 개인정보의 처리 업무를 위탁하는 개인정보처리자(이하 "위탁자"라 한다)는 위탁하는 업무의 내용과 개인정보 처리 업무를 위탁받아 처리하는 자(개인정보 처리 업무를 위탁받아 처리하는 자로부터 위탁받은 업무를 다시 위탁받은 제3자를 포함하며, 이하 "수탁자"라 한다)를 정보주체가 언제든지 쉽게 확인할 수 있도록 대통령령으로 정하는 방법에 따라  공개하여야 한다. <개정 2023.3.14>
③ 위탁자가 재화 또는 서비스를 홍보하거나 판매를 권유하는 업무를 위탁하는 경우에는 대통령령으로 정하는 방법에 따라 위탁하는 업무의 내용과 수탁자를 정보주체에게 알려야 한다. 위탁하는 업무의 내용이나 수탁자가 변경된 경우에도 또한 같다.
④ 위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 유출등이 되지 아니하도록 수탁자를 교육하고, 처리 현황 점검 등 대통령령으로 정하는 바에 따라 수탁자가 개인정보를 안전하게 처리하는지를 감독하여야 한다. <개정 2015.7.24, 2026.3.10>
⑤ 수탁자는 개인정보처리자로부터 위탁받은 해당 업무 범위를 초과하여 개인정보를 이용하거나 제3자에게 제공하여서는 아니 된다.
⑥ 수탁자는 위탁받은 개인정보의 처리 업무를 제3자에게 다시 위탁하려는 경우에는 위탁자의 동의를 받아야 한다. <신설 2023.3.14>
⑦ 수탁자가 위탁받은 업무와 관련하여 개인정보를 처리하는 과정에서 이 법을 위반하여 발생한 손해배상책임에 대하여는 수탁자를 개인정보처리자의 소속 직원으로 본다. <개정 2023.3.14>
⑧ 수탁자에 관하여는 제15조부터 제18조까지, 제21조, 제22조, 제22조의2, 제23조, 제24조, 제24조의2, 제25조, 제25조의2, 제27조, 제28조, 제28조의2부터 제28조의5까지, 제28조의7부터 제28조의11까지, 제29조, 제30조, 제30조의2, 제30조의3, 제31조, 제33조, 제34조, 제34조의2, 제35조, 제35조의2, 제36조, 제37조, 제37조의2, 제38조, 제59조, 제63조, 제63조의2 및 제64조의2를 준용한다. 이 경우 "개인정보처리자"는 "수탁자"로 본다. <개정 2023.3.14, 2026.3.10>

개인정보 보호법 제28조의8

제28조의8(개인정보의 국외 이전)
① 개인정보처리자는 개인정보를 국외로 제공(조회되는 경우를 포함한다)ㆍ처리위탁ㆍ보관(이하 이 절에서 "이전"이라 한다)하여서는 아니 된다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보를 국외로 이전할 수 있다.
1. 정보주체로부터 국외 이전에 관한 별도의 동의를 받은 경우
2. 법률, 대한민국을 당사자로 하는 조약 또는 그 밖의 국제협정에 개인정보의 국외 이전에 관한 특별한 규정이 있는 경우
3. 정보주체와의 계약의 체결 및 이행을 위하여 개인정보의 처리위탁ㆍ보관이 필요한 경우로서 다음 각 목의 어느 하나에 해당하는 경우
가. 제2항 각 호의 사항을 제30조에 따른 개인정보 처리방침에 공개한 경우
나. 전자우편 등 대통령령으로 정하는 방법에 따라 제2항 각 호의 사항을 정보주체에게 알린 경우
4. 개인정보를 이전받는 자가 제32조의2에 따른 개인정보 보호 인증 등 보호위원회가 정하여 고시하는 인증을 받은 경우로서 다음 각 목의 조치를 모두 한 경우
가. 개인정보 보호에 필요한 안전조치 및 정보주체 권리보장에 필요한 조치
나. 인증받은 사항을 개인정보가 이전되는 국가에서 이행하기 위하여 필요한 조치
5. 개인정보가 이전되는 국가 또는 국제기구의 개인정보 보호체계, 정보주체 권리보장 범위, 피해구제 절차 등이 이 법에 따른 개인정보 보호 수준과 실질적으로 동등한 수준을 갖추었다고 보호위원회가 인정하는 경우
② 개인정보처리자는 제1항제1호에 따른 동의를 받을 때에는 미리 다음 각 호의 사항을 정보주체에게 알려야 한다.
1. 이전되는 개인정보 항목
2. 개인정보가 이전되는 국가, 시기 및 방법
3. 개인정보를 이전받는 자의 성명(법인인 경우에는 그 명칭과 연락처를 말한다)
4. 개인정보를 이전받는 자의 개인정보 이용목적 및 보유ㆍ이용 기간
5. 개인정보의 이전을 거부하는 방법, 절차 및 거부의 효과
③ 개인정보처리자는 제2항 각 호의 어느 하나에 해당하는 사항을 변경하는 경우에는 정보주체에게 알리고 동의를 받아야 한다.
④ 개인정보처리자는 제1항 각 호 외의 부분 단서에 따라 개인정보를 국외로 이전하는 경우 국외 이전과 관련한 이 법의 다른 규정, 제17조부터 제19조까지의 규정 및 제5장의 규정을 준수하여야 하고, 대통령령으로 정하는 보호조치를 하여야 한다.
⑤ 개인정보처리자는 이 법을 위반하는 사항을 내용으로 하는 개인정보의 국외 이전에 관한 계약을 체결하여서는 아니 된다.
⑥ 제1항부터 제5항까지에서 규정한 사항 외에 개인정보 국외 이전의 기준 및 절차 등에 필요한 사항은 대통령령으로 정한다.

개인정보 보호법 제29조

제29조(안전조치의무) 개인정보처리자는 개인정보가 유출등이 되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다. <개정 2015.7.24, 2026.3.10>

개인정보 보호법 시행령 제28조

제28조(개인정보의 처리 업무 위탁 시 조치)
① 법 제26조제1항제3호에서 "대통령령으로 정한 사항"이란 다음 각 호의 사항을 말한다.
1. 위탁업무의 목적 및 범위
2. 재위탁 제한에 관한 사항
3. 개인정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항
4. 위탁업무와 관련하여 보유하고 있는 개인정보의 관리 현황 점검 등 감독에 관한 사항
5. 법 제26조제2항에 따른 수탁자(이하 "수탁자"라 한다)가 준수하여야 할 의무를 위반한 경우의 손해배상 등 책임에 관한 사항
② 법 제26조제2항에서 "대통령령으로 정하는 방법"이란 개인정보 처리 업무를 위탁하는 개인정보처리자(이하 "위탁자"라 한다)가 위탁자의 인터넷 홈페이지에 위탁하는 업무의 내용과 수탁자를 지속적으로 게재하는 방법을 말한다.
③ 제2항에 따라 인터넷 홈페이지에 게재할 수 없는 경우에는 다음 각 호의 어느 하나 이상의 방법으로 위탁하는 업무의 내용과 수탁자를 공개하여야 한다. <개정 2023.9.12>
1. 위탁자의 사업장등의 보기 쉬운 장소에 게시하는 방법
2. 관보(위탁자가 공공기관인 경우만 해당한다)나 위탁자의 사업장등이 있는 시ㆍ도 이상의 지역을 주된 보급지역으로 하는 「신문 등의 진흥에 관한 법률」 제2조제1호가목ㆍ다목 및 같은 조 제2호에 따른 일반일간신문, 일반주간신문 또는 인터넷신문에 싣는 방법
3. 같은 제목으로 연 2회 이상 발행하여 정보주체에게 배포하는 간행물ㆍ소식지ㆍ홍보지 또는 청구서 등에 지속적으로 싣는 방법
4. 재화나 서비스를 제공하기 위하여 위탁자와 정보주체가 작성한 계약서 등에 실어 정보주체에게 발급하는 방법
④ 법 제26조제3항 전단에서 "대통령령으로 정하는 방법"이란 서면등의 방법을 말한다. <개정 2023.9.12>
⑤ 위탁자가 과실 없이 제4항에 따른 방법으로 위탁하는 업무의 내용과 수탁자를 정보주체에게 알릴 수 없는 경우에는 해당 사항을 인터넷 홈페이지에 30일 이상 게재하여야 한다. 다만, 인터넷 홈페이지를 운영하지 아니하는 위탁자의 경우에는 사업장등의 보기 쉬운 장소에 30일 이상 게시하여야 한다.
⑥ 위탁자는 수탁자가 개인정보 처리 업무를 수행하는 경우에 법 또는 이 영에 따라 개인정보처리자가 준수하여야 할 사항과 법 제26조제1항 각 호의 사항을 준수하는지를 같은 조 제4항에 따라 감독하여야 한다.

출처

1. 개인정보보호위원회 · 개인정보 보호법 제17조
2. 개인정보보호위원회 · 개인정보 보호법 시행령 제28조
3. 개인정보보호위원회 · 개인정보 보호법 제23조
4. 개인정보보호위원회 · 개인정보 보호법 제26조
5. 개인정보보호위원회 · 개인정보 보호법 제28조의8
6. 개인정보보호위원회 · 개인정보 보호법 제29조