기업과 공공기관이 행사나 의견 수렴에 널리 쓰는 구글폼·네이버폼 등 외부 설문 도구는 개인정보 '재위탁' 대상이 아니라는 규제기관의 공식 해석이 나왔다. 그러나 플랫폼과의 재위탁 관계가 성립하지 않더라도 설문 생성 기관이 공개 옵션을 잘못 두거나 목적 달성 뒤 정보를 파기하지 않으면 과태료 제재를 피할 수 없다.
개인정보보호위원회는 2026년 10월 16일 배포한 보도참고자료에서 외부 설문조사 도구를 활용할 때 지켜야 할 개인정보 처리 원칙과 법적 기준을 제시했다. 개인정보위는 서비스 제공자의 개인정보 처리 관여 여부와 관리·통제 관계를 종합 고려할 때, 수탁사와 구글·네이버폼 등 플랫폼 사업자 사이에는 개인정보 보호법상 재위탁 관계가 성립하지 않는다고 밝혔다.
이번 해석은 국회 정무위원회 국정감사와 언론 보도에서 공공기관들의 무분별한 외부 설문도구 사용 실태와 개인정보 재위탁 위반 논란이 잇따른 직후 나왔다. 앞서 개인정보위가 한국정보통신진흥협회(KAIT)에 위탁한 교육 참가 신청 접수 과정에서 구글폼을 사용해 '개인정보위→수탁사→구글'로 이어지는 재위탁 제한(법 제26조) 위반과 국외 이전 고지 누락 여부가 도마 위에 올랐다. 국감에서도 점검 대상 공공기관 189곳 가운데 184곳이 보안 인증이 확인되지 않은 외부 도구로 개인정보를 수집한다는 지적이 나왔다.
개인정보위는 위탁 관계 논란에는 선을 그으면서도 이용기관의 안전조치의무 책임을 분명히 했다. 설문 양식 도구를 단순히 이용하는 관계라도 개인정보를 수집하는 공공·민간 기관은 자체 관리와 통제 아래 개인정보 보호법상 안전조치 의무를 다해야 한다는 취지다.
현행 개인정보 보호법상 개인정보처리자는 목적 달성에 필요한 최소한의 정보만 수집해야 하며(제16조), 목적을 달성한 개인정보는 지체 없이 파기해야 한다(제21조). 응답자가 입력한 정보가 타인에게 노출되지 않도록 시스템을 통제하는 안전조치의무(제29조)도 준수해야 한다.
실제로 개인정보위는 설문 도구의 결과 공개 옵션을 '공개'로 잘못 설정해 참여자 개인정보를 노출한 사업자들에게 2021년 12월과 2022년 4월, 2022년 12월 등에 걸쳐 잇따라 과태료 처분을 내렸다. 2024년 12월에는 온라인 경품행사 때 지켜야 할 안전조치 안내서를 펴냈고, 2026년 4월에도 정부·공공기관에 유의 사항을 담은 공문을 전파했다.
다만 법조계 일각에서는 클라우드 기반 폼 서비스로 국외 서버에 개인정보를 저장하는 구조를 단순 도구 이용으로만 볼 수 있는지를 두고 논쟁이 남는다. 저장 행위 역시 법상 '처리'에 포함되는 만큼 데이터 흐름에 따른 안전성 검증을 철저히 살펴야 한다는 지적이다.
개인정보위는 외부 설문도구를 활용하는 공공기관이 법상 준수 사항을 명확히 알 수 있도록 기존 안내서를 보완해 구체적 사례 중심의 홍보와 안내를 이어갈 방침이다.
