📋 취약점 개요
처리위탁은 위탁자의 업무와 이익을 위해 개인정보가 이전되는 것으로, 위탁 업무 내용과 수탁자를 공개하고 법정 사항이 포함된 문서로 계약하며 수탁자를 교육·감독해야 합니다(법 제26조). 재위탁도 공개 대상입니다.
🖥️ 상태 비교 시뮬레이션
privacy$ (취약)
# 고객상담 외주 운영
ops$ 상담센터에 회원DB 계정 공유
>> 위탁계약서에 개인정보 보호 조항 없음
>> 수탁자 현황·재위탁 사실 미공개 · 점검 이력 0건
→ 법 제26조 위반 · 수탁자 사고 시 위탁자 책임
🔧 조치 방법
- 위탁계약서에 처리 목적·금지사항·안전성 확보조치·재위탁 제한·관리감독·손해배상 등 법정 사항을 포함합니다.
- 수탁자와 위탁 업무 내용을 처리방침 등에 공개하고 변경 시 지체 없이 갱신합니다.
- 재위탁은 위탁자의 동의를 받도록 하고 재위탁 사실도 공개합니다.
- 수탁자에 대한 교육과 정기 점검(문서·현장)을 계획으로 수립해 시행하고 결과를 기록합니다.
- 수탁자 계정은 최소 권한으로 별도 발급하고 위탁 종료 시 즉시 회수·파기 확인합니다.
✅ 점검 체크리스트
- 법정 사항을 포함한 위탁계약 문서 존재
- 수탁자·위탁업무가 공개되고 최신 상태임
- 수탁자 교육·점검 결과가 기록됨
근거: 개인정보 보호법 제26조 · PIA 3.4.1~3.4.4