위탁·보안 비교: 처리위탁, 접근통제, ISMS-P를 어떻게 나눠 볼까

핵심 비교표

어떤 문서를 봐야 하나

• 처리위탁이면 위탁계약서, 수탁자 목록, 개인정보 처리방침을 봅니다.
• 제3자 제공이면 제공받는 자, 제공 목적, 제공 항목, 보유기간, 동의 방식을 봅니다.
• 관리자 권한이면 계정 목록, 권한 범위, 접속기록, 회수 기록을 봅니다.
• 기술 지원이면 임시 계정 만료일과 작업 승인자를 따로 남깁니다.

실무 판단 순서

1. 외부 업체가 어떤 목적으로 고객 정보를 보는지 적습니다.
2. 고객 정보가 업체 서버에 저장되는지, 단순 화면 접근인지 나눕니다.
3. 업체가 하위 업체를 쓰는지 확인합니다.
4. 처리방침, 계약서, 권한표 중 어떤 문서를 고쳐야 하는지 결정합니다.
5. 종료 후 권한 회수와 개인정보 삭제 증적을 남깁니다.

이 페이지를 봐야 하는 상황

처리위탁, 제3자 제공, 관리자 접근권한을 헷갈리기 쉬운 쇼핑몰 운영자가 우선 확인해야 하는 페이지입니다. 아래 상황 중 하나라도 있으면 단순 참고가 아니라 내부 점검 항목으로 처리합니다.

• 외부 업체가 고객정보를 볼 수 있지만 법적 성격을 정하지 못했습니다.
• 마케팅 제휴, 배송대행, 유지보수, CS대행을 같은 양식으로 관리하고 있습니다.
• 개인정보 처리방침에 넣을 항목과 내부 권한관리 항목을 분리해야 합니다.

실무 절차: 담당자에게 바로 나눠줄 일

1. 외부 업체의 목적이 우리 업무 처리인지, 상대방 자체 목적을 위한 제공인지 먼저 구분합니다.
2. 개인정보가 저장·이전되는 경우와 단순 화면 접근만 가능한 경우를 나눕니다.
3. 처리위탁이면 위탁계약과 수탁자 관리를, 제3자 제공이면 동의·고지 근거를 확인합니다.
4. 관리자 권한만 있는 경우에도 개인별 계정, 최소권한, 접속기록, 회수기록을 남깁니다.

저장해야 할 증적

• 업체별 목적·접근범위 분류표
• 위탁계약서 또는 제3자 제공 동의 문안
• 관리자 계정 권한 캡처
• 접속기록·회수기록 보관 위치