외주 개발사·운영 대행사에 관리자 계정을 줄 때 무엇을 정해야 하나요?

계정을 하나 빌려주는 일과 위탁은 무엇이 다른가요?

이름이 무엇이든 고객 개인정보를 다루게 하면 위탁입니다. 개인정보 보호법 제26조제1항은 개인정보처리자가 제3자에게 개인정보의 처리 업무를 위탁하는 경우 위탁업무 수행 목적 외 개인정보 처리 금지, 기술적·관리적 보호조치, 그 밖에 대통령령으로 정한 사항이 포함된 문서로 하도록 정합니다.

그래서 유지보수 계약서 한 장만 있고 계정은 구두로 열어 준 상태라면 요건을 채우지 못합니다. 개발 계약, 운영 대행, 고객 응대 대행 모두 같습니다. 위탁과 제3자 제공의 구분은 관리자 페이지·ERP·CRM 비교 글에서 다뤘습니다.

책임 쪽도 함께 바뀝니다. 같은 조 제7항은 수탁자가 위탁받은 업무와 관련해 개인정보를 처리하다가 이 법을 위반해 발생한 손해배상책임에 대하여 수탁자를 개인정보처리자의 소속 직원으로 본다고 정합니다. 외부 업체의 사고가 우리 책임으로 돌아온다는 뜻입니다.

계약 문서에 들어가야 하는 항목

시행령 제28조제1항은 법 제26조제1항제3호의 대통령령 사항을 다섯 가지로 정합니다. 아래 표의 항목이 계약서나 부속 합의서에 없으면 그 자리를 비워 두고 업체에 회신하는 편이 빠릅니다.

항목	적어 둘 내용
위탁업무의 목적 및 범위	어떤 업무를 위해 어느 화면·어느 자료까지 보는지
재위탁 제한	협력업체에 다시 맡길 때 사전 동의를 받는다는 문구
접근 제한 등 안전성 확보 조치	계정 발급 방식, 접속 가능한 환경, 기록 보관
관리 현황 점검 등 감독	점검 주기와 제출 자료, 담당자
의무 위반 시 책임	손해배상과 계약 해지 사유

재위탁은 특히 비워 두기 쉬운 칸입니다. 같은 법 제26조제6항은 수탁자가 위탁받은 처리 업무를 제3자에게 다시 위탁하려면 위탁자의 동의를 받아야 한다고 정하므로, 업체가 프리랜서를 투입하는 구조라면 착수 전에 범위를 적어 두어야 합니다.

계정은 사람별로, 권한은 업무 범위만

공용 계정 하나를 넘기는 방식은 기준에 맞지 않습니다. 개인정보의 안전성 확보조치 기준 제5조제4항은 개인정보처리시스템에 접근할 수 있는 계정을 발급할 때 정당한 사유가 없는 한 개인정보취급자별로 발급하고 다른 취급자와 공유되지 않게 하도록 정합니다.

권한 범위와 말소도 같은 조문에 있습니다. 제1항은 접근 권한을 업무 수행에 필요한 최소한의 범위로 차등 부여하도록 하고, 제2항은 취급자나 그 업무가 변경되면 지체 없이 접근 권한을 변경하거나 말소하도록 하며, 제3항은 권한 부여·변경·말소 내역을 기록해 최소 3년간 보관하도록 합니다.

아래는 개발사에 계정을 주는 경우를 채워 본 예시입니다. 역할별 권한 설계와 접속기록 보관 기간은 관리자 권한·기록 글에 더 자세히 적어 두었습니다.

계정	열어 주는 범위	닫아 두는 것
개발 담당 1명	오류 확인용 조회, 테스트 데이터	고객 연락처 원문, 내보내기
배포 담당 1명	배포 실행, 설정 변경	주문·회원 조회
상담 대행 2명	담당 건의 문의 내역	결제 취소 실행, 권한 부여

위탁하고 있다는 사실은 공개해야 합니다

계약만으로 끝나지 않습니다. 법 제26조제2항은 위탁하는 업무의 내용과 수탁자를 정보주체가 언제든지 쉽게 확인할 수 있도록 공개하도록 하고, 시행령 제28조제2항은 그 방법을 위탁자의 홈페이지에 지속적으로 게재하는 것으로 정합니다.

홈페이지에 게재할 수 없는 경우에는 같은 조 제3항이 사업장 게시, 일간신문 게재, 정기 간행물 게재, 계약서 등에 실어 발급하는 방법을 둡니다. 다만 홍보나 판매 권유 업무를 위탁하는 경우에는 법 제26조제3항에 따라 서면등의 방법으로 정보주체에게 알려야 하므로, 공개만으로 갈음할 수 없습니다.

계약이 끝나는 날 무엇을 하나요?

종료 작업을 계약서에 적어 두지 않으면 계정은 남습니다. 종료일에 할 일은 네 가지로 적어 두시기 바랍니다. 계정 말소와 말소 기록 남기기, 업체 쪽에 남은 자료의 반환 또는 파기 확인, 업체 명의로 발급된 외부 연동 키의 재발급, 그리고 홈페이지 공개 문구에서 해당 수탁자 삭제입니다.

네 가지 중 외부 연동 키가 가장 자주 남습니다. 결제사나 알림 발송 계정이 업체 명의로 발급돼 있으면 계약이 끝난 뒤에도 그쪽에서 발송 이력과 고객 정보를 볼 수 있습니다. 명의와 재발급 방법을 인도 목록에 함께 적어 두시기 바랍니다.

운영 중에도 할 일이 하나 있습니다. 법 제26조제4항은 위탁자가 수탁자를 교육하고 처리 현황 점검 등의 방법으로 수탁자가 개인정보를 안전하게 처리하는지 감독하도록 정하므로, 점검 주기와 제출 자료를 계약서의 감독 항목에 숫자로 적어 두는 편이 낫습니다.

지금 확인할 한 가지

관리자 계정 목록을 뽑아 외부 사람이 쓰는 계정에 표시해 보시기 바랍니다. 공용 계정이 하나라도 있으면 사람별 계정으로 나누는 작업부터 하고, 그 계정에 연결된 위탁 문서가 있는지 확인합니다.

네오렉트에 백오피스 권한 정리를 상담하신다면 현재 계정 목록과 외부 업체 계약서의 개인정보 관련 조항을 함께 보내 주시기 바랍니다. 어느 계정의 권한을 어디까지 줄일 수 있는지부터 검토해 드립니다.