공공기관이나 기업이 구글폼·네이버폼 등 외부 온라인 도구로 설문조사를 진행하더라도 플랫폼 기업과 개인정보 '재위탁 관계'는 성립하지 않는다는 정부 판단이 나왔다. 다만 재위탁 규제가 적용되지 않더라도 설문을 개설한 기관이 최소 수집과 결과 비공개 등 안전조치 의무를 어기면 법적 책임을 그대로 진다.
개인정보보호위원회 자율보호정책과는 2026년 10월 16일 배포한 보도참고자료에서 "개인정보 보호법상 개인정보 처리 위·수탁 관계는 서비스 제공자의 개인정보 처리 관여 여부, 개인정보에 대한 관리·통제 관계 등 구체적인 서비스 이용 형태를 종합적으로 고려하여 판단해야 한다"며 "이용기관인 수탁사와 구글·네이버폼 등 간에 개인정보 재위탁 관계는 성립하지 않는다"고 밝혔다.
국감서 불거진 미인증 도구·재위탁 논란
이번 유권해석은 국회 정무위원회 국정감사와 개인정보위 위탁사업 과정에서 제기된 보안성 논란에 대응하며 나왔다. 10월 13일 국회 정무위원회 국정감사에서 박상혁 더불어민주당 의원은 "중앙정부 기관뿐만 아니라 지방자치단체와 산하기관까지 포함하면 외부 설문 도구로 개인정보를 수집하는 곳이 더 많을 것"이라며 보안 미인증 도구 활용 문제를 지적했다. 당시 정무위 조사 결과 조사 대상 공공기관 189곳 가운데 184곳(97.4%)이 보안 인증이 확인되지 않은 외부 도구로 개인정보를 수집해 온 것으로 나타났다.
이어 전자신문 보도로 개인정보위가 한국정보통신진흥협회(KAIT)에 위탁한 교육 참가 신청 과정에서 클라우드 보안인증(CSAP)을 받지 않은 구글폼이 쓰인 사실이 드러났다. 법무법인 오른하늘은 개인정보 보호법 제2조가 저장·보유를 개인정보 처리에 포함한다는 점을 들어 "KAIT가 구글에 개인정보 처리위탁 사실을 공개하지 않고, 국외이전에 관한 법정 고지사항도 누락한 것은 법 위반 소지가 있다"고 짚었다. 송경희 개인정보위원장 역시 국감장에서 "수탁기관 관리에 필요한 지침을 마련해 기관들이 준수할 수 있도록 조치할 것"이라고 답했다.
단순 도구는 위탁 제외…안전조치 의무는 유지
개인정보위는 플랫폼 제공자가 개인정보 처리에 독자적으로 관여하지 않고 이용기관이 단순 소프트웨어(SaaS) 형태로 통제·활용한다면 개인정보 보호법 제26조에 따른 위탁 또는 재위탁 관계로 볼 수 없다고 선을 그었다. 재위탁 계약 체결이나 별도 위탁 고지 의무가 생기지 않는다는 취지다.
하지만 설문도구를 개설한 기관의 법적 책임까지 면제되지는 않는다. 개인정보위는 공공과 민간 모두 외부 도구를 활용할 때 개인정보 보호법 제16조에 따른 '최소 수집 원칙'을 지켜야 한다고 강조했다. 아울러 제29조 안전조치의무에 따라 응답 결과 공개 설정을 금지하고 목적을 달성하면 즉시 파기해야 한다고 못 박았다.
실제로 개인정보위는 2021년 12월과 2022년 4월, 2022년 12월 구글폼 결과 공개 옵션을 잘못 설정해 응답자 개인정보를 노출한 개인정보처리자들에게 과태료를 부과했다. 개인정보위는 각 기관이 관련 법률상 준수 사항을 명확히 알 수 있도록 기존 안내서를 보완하고 구체적인 사례를 담아 안내할 방침이다.
