[서울=뉴시스]권안나 기자 = 보험사들이 수많은 외부 주체에 고객정보 처리업무를 맡기고 있는 가운데, 위탁업체에 대한 관리·감독의 중요성이 부각되고 있다. 개인정보 처리업무를 위탁하면 제3자 제공과 달리 제공 동의를 받지 않아도 되지만 수탁자가 당초 목적과 다르게 정보를 이용하면 보험사도 법적 책임을 질 수 있어서다.

18일 보험연구원이 발간한 '보험회사 개인정보 위탁 법률문제' 보고서에 따르면 보험사들은 보험설계사와 법인보험대리점(GA)을 비롯해 긴급출동업체, 사고현장 출동업체, 의료자문의, 손해사정법인, 법무법인 등 다양한 외부 주체에 개인정보 처리업무를 위탁하고 있다.

실제로 하나의 보험사가 개인정보를 위탁하는 대상은 많게는 수만곳으로 나타났다. A 손해보험사는 지난달 30일 기준 보험설계사 6만2127명, 보험대리점 4950곳, 긴급출동업체 560곳, 사고현장 출동업체 750곳, 의료자문의 115명 등을 수탁자로 공개했다.

B 생명보험사도 지난 6일 기준 보험설계사에 해당하는 'B생명 컨설턴트' 2만여명과 보험대리점 1200여곳 등을 수탁자로 게시했다.

이처럼 보험계약 체결부터 보험금 지급, 사고 현장 대응, 손해사정에 이르기까지 고객정보가 활용되는 업무가 다양한 만큼 개인정보 보호 책임도 보험사 내부에만 국한되지 않는다. 외부 수탁자가 정보를 처리하는 과정에서 발생할 수 있는 사고를 예방하려면 위탁업체에 대한 실질적인 관리가 뒷받침돼야 한다는 지적이 나온다.

핵심은 개인정보 처리업무의 위탁과 제3자 제공을 구분하는 데 있다. 위탁은 보험사의 업무와 이익을 위해 수탁자가 보험사의 관리·감독 아래 개인정보를 처리하는 관계다. 반면 정보를 넘겨받은 주체가 독자적인 목적과 이익을 위해 정보를 이용한다면 제3자 제공에 해당할 수 있다.

위탁은 제3자 제공과 달리 별도의 제공 동의를 받지 않아도 된다는 점에서 실무상 활용도가 높다. 하지만 당사자가 계약서에 위탁이라고 명시하거나 위탁 관계라고 주장하더라도 실제 업무의 목적과 처리 방식, 관리·감독 관계 등을 종합해 제3자 제공으로 판단되면 제재 대상이 될 수 있다.

최근 자회사형 GA의 고객정보 활용을 둘러싼 동양생명의 제재 사례도 이 같은 쟁점과 관련이 있다. 동양생명은 지난 2022년 5월 고객 동의 없이 보유 고객정보를 자회사인 GA가 영업에 활용하도록 한 사실이 적발되면서, 금융위원회로부터 지난 9월 약 70억원의 과징금을 부과받았다.

연구원은 금융위가 제재에서 목적 외 이용을 문제 삼았다는 점에서 정보 이전 자체는 제3자 제공이 아닌 위탁으로 평가했을 가능성이 있다고 분석했다.

대법원 판단에서도 위탁과 제공을 구분하는 사례가 있었다. 지난 2월 보험설계사의 개인정보 유용 관련 사건에서 고객의 생년월일과 주소, 연락처 등을 직접 처리했다는 이유만으로 개인정보 보호법상 개인정보처리자에 해당한다고 단정할 수 없다고 판단하고, 설계사를 개인정보처리자로 보고 유죄를 인정한 원심을 파기환송했다.

대법원은 해당 사건에서 보험계약 체결과 계약에 따른 의무 이행이 보험회사의 고유 업무인 만큼 특별한 사정이 없다면 개인정보 처리에 관한 최종 결정 권한도 보험회사에 있다고 볼 여지가 크다고 설명했다.

이는 보험사가 외부에 업무를 맡겼다는 이유만으로 고객정보 처리에 관한 책임에서 벗어날 수는 없다는 것을 의미한다. 개인정보를 실제로 다루는 주체와 법적 책임을 부담하는 주체가 다를 수 있는 것이다.

위탁 관계가 인정되더라도 보험사의 책임이 사라지는 것은 아니다. 수탁자가 위탁 범위를 벗어나 개인정보를 이용하면 보험사가 목적 외 이용에 따른 제재를 받을 수 있고, 수탁자의 과실로 정보 유출 사고가 발생한 경우에도 보험사는 정보주체에 대한 민사상 손해배상 책임을 부담할 수 있다.

이에 연구원은 보험사가 위탁업무 수행 시 법적 요건과 실제 관리·감독 체계를 갖춰야 한다고 강조했다. 위탁계약과 수탁자 명단을 형식적으로 관리하는 데 그치지 않고 정보 이용 목적과 접근 권한, 보안 조치, 위탁 종료 후 정보 파기까지 외부 수탁자를 실질적으로 관리하는 체계를 갖춰야 한다는 지적이 나온다.

윤기열 보험연구원 연구위원은 "법적 제도로서 개인정보 위탁에는 장점이 있지만 법률관계의 실질상 개인정보의 제3자 제공에 해당된다고 판단되면, 제3자 제공에 필요한 법적 요건을 갖추지 못한 경우 행정상 제재를 받을 수 있다"며 "위탁으로 인정되더라도 수탁자의 유출 등 사고에 대해 위탁자가 사실상 무과실책임을 진다는 점에서 주의가 필요하다"고 말했다.


◎공감언론 뉴시스 mymmnr@newsis.com