개인정보 보호법 제26조(업무위탁에 따른 개인정보의 처리 제한)

① 개인정보처리자가 제3자에게 개인정보의 처리 업무를 위탁하는 경우에는 다음 각 호의 내용이 포함된 문서로 하여야 한다. <개정 2023.3.14>

(1) When웬 a어 personal퍼시늘 information인^f퍼메이션 controller컨트^r로울러 outsources아웃소시즈 the^ð더 processing프^r라세싱 of어^v브 personal퍼시늘 information인^f퍼메이션 to투 a어 third^θ써드 party,파티 it잇 shall섈 do두 so소우 by바이 a어 document다큐멘트 that^ð댓 includes인클루즈 the^ð더 following:^f팔로잉

② 제1항에 따라 개인정보의 처리 업무를 위탁하는 개인정보처리자(이하 "위탁자"라 한다)는 위탁하는 업무의 내용과 개인정보 처리 업무를 위탁받아 처리하는 자(개인정보 처리 업무를 위탁받아 처리하는 자로부터 위탁받은 업무를 다시 위탁받은 제3자를 포함하며, 이하 "수탁자"라 한다)를 정보주체가 언제든지 쉽게 확인할 수 있도록 대통령령으로 정하는 방법에 따라 공개하여야 한다. <개정 2023.3.14>

(2) A어 personal퍼시늘 information인^f퍼메이션 controller컨트^r로울러 that^ð댓 outsources아웃소시즈 the^ð더 processing프^r라세싱 of어^v브 personal퍼시늘 information인^f퍼메이션 under언더 paragraph패^r러그^r래^f프 (1) (hereinafter히^r리내^f프터 referred^r러^f퍼드 to투 as애즈 the^ð디 "outsourcer")아웃소서 shall섈 disclose디스클로우즈 the^ð더 details디테일즈 of어^v브 the^ð디 outsourced아웃소스트 work워크 and앤드 the^ð더 person퍼슨 who후 is이즈 entrusted엔트^r러스티드 with위^ð드 processing프^r라세싱 personal퍼시늘 information인^f퍼메이션 (including인클루딩 a어 third^θ써드 party파티 to투 whom훔 that^ð댓 person퍼슨 has해즈 re-entrusted^r레이-엔트^r러스티드 the^ð더 work;워크 hereinafter히^r리내^f프터 referred^r러^f퍼드 to투 as애즈 the^ð디 "outsourcee"),아웃소시 by바이 a어 method메^θ써드 prescribed프^r리스크^r라이브드 by바이 Presidential프^r레저덴실 Decree,디크^r리 so소우 that^ð댓 data데이타 subjects서브직츠 can캔 easily이절리 check첵 them^ð뎀 at앳 any에니 time.타임

③ 위탁자가 재화 또는 서비스를 홍보하거나 판매를 권유하는 업무를 위탁하는 경우에는 대통령령으로 정하는 방법에 따라 위탁하는 업무의 내용과 수탁자를 정보주체에게 알려야 한다. 위탁하는 업무의 내용이나 수탁자가 변경된 경우에도 또한 같다.

(3) Where웨어 an앤 outsourcer아웃소서 outsources아웃소시즈 the^ð더 work워크 of어^v브 advertising애드^v버타이징 goods구즈 or오 services서^v버시즈 or오 soliciting설리서팅 sales,세일즈 it잇 shall섈 inform인^f폼 data데이타 subjects서브직츠 of어^v브 the^ð더 details디테일즈 of어^v브 the^ð디 outsourced아웃소스트 work워크 and앤드 the^ð디 outsourcee아웃소시 by바이 a어 method메^θ써드 prescribed프^r리스크^r라이브드 by바이 Presidential프^r레저덴실 Decree.디크^r리 The^ð더 same세임 applies어플라이즈 when웬 the^ð더 details디테일즈 of어^v브 the^ð디 outsourced아웃소스트 work워크 or오 the^ð디 outsourcee아웃소시 change.체인지

④ 위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 유출등이 되지 아니하도록 수탁자를 교육하고, 처리 현황 점검 등 대통령령으로 정하는 바에 따라 수탁자가 개인정보를 안전하게 처리하는지를 감독하여야 한다. <개정 2015.7.24, 2026.3.10>

(4) An앤 outsourcer아웃소서 shall섈 train트^r레인 the^ð디 outsourcee아웃소시 so소우 that^ð댓 data데이타 subjects'서브직츠 personal퍼시늘 information인^f퍼메이션 is이즈 not낫 leaked,릭트 etc.엣세터^r러 as애즈 a어 result^r리절트 of어^v브 the^ð디 outsourcing,아웃소싱 and앤드 shall섈 supervise수퍼^v바이즈 whether웨^ð더 the^ð디 outsourcee아웃소시 processes프^r라세시즈 personal퍼시늘 information인^f퍼메이션 safely,세이^f플리 such서치 as애즈 by바이 checking체킹 the^ð더 status스태터스 of어^v브 processing,프^r라세싱 as애즈 prescribed프^r리스크^r라이브드 by바이 Presidential프^r레저덴실 Decree.디크^r리

⑤ 수탁자는 개인정보처리자로부터 위탁받은 해당 업무 범위를 초과하여 개인정보를 이용하거나 제3자에게 제공하여서는 아니 된다.

(5) An앤 outsourcee아웃소시 shall섈 not낫 use유스 personal퍼시늘 information,인^f퍼메이션 or오 provide프^r러^v바이드 it잇 to투 a어 third^θ써드 party,파티 beyond비안드 the^ð더 scope스코우프 of어^v브 the^ð더 work워크 entrusted엔트^r러스티드 by바이 the^ð더 personal퍼시늘 information인^f퍼메이션 controller.컨트^r로울러

⑥ 수탁자는 위탁받은 개인정보의 처리 업무를 제3자에게 다시 위탁하려는 경우에는 위탁자의 동의를 받아야 한다. <신설 2023.3.14>

(6) An앤 outsourcee아웃소시 that^ð댓 intends인텐즈 to투 re-entrust^r레이-엔트^r러스트 the^ð더 processing프^r라세싱 of어^v브 entrusted엔트^r러스티드 personal퍼시늘 information인^f퍼메이션 to투 a어 third^θ써드 party파티 shall섈 obtain어브테인 the^ð더 consent컨센트 of어^v브 the^ð디 outsourcer.아웃소서

⑦ 수탁자가 위탁받은 업무와 관련하여 개인정보를 처리하는 과정에서 이 법을 위반하여 발생한 손해배상책임에 대하여는 수탁자를 개인정보처리자의 소속 직원으로 본다. <개정 2023.3.14>

(7) With위^ð드 respect^r리스펙트 to투 liability라이어빌리티 for^f포 damages대머지즈 arising어^r라이징 from^f프^r럼 a어 violation^v바이얼레이션 of어^v브 this^ð디스 Act액트 in인 the^ð더 course코스 of어^v브 an앤 outsourcee아웃소시 processing프^r라세싱 personal퍼시늘 information인^f퍼메이션 in인 connection커넥션 with위^ð드 the^ð디 entrusted엔트^r러스티드 work,워크 the^ð디 outsourcee아웃소시 shall섈 be비 deemed딤드 an앤 employee엠플로이이 of어^v브 the^ð더 personal퍼시늘 information인^f퍼메이션 controller.컨트^r로울러

⑧ 수탁자에 관하여는 제15조부터 제18조까지, 제21조, 제22조, 제22조의2, 제23조, 제24조, 제24조의2, 제25조, 제25조의2, 제27조, 제28조, 제28조의2부터 제28조의5까지, 제28조의7부터 제28조의11까지, 제29조, 제30조, 제30조의2, 제30조의3, 제31조, 제33조, 제34조, 제34조의2, 제35조, 제35조의2, 제36조, 제37조, 제37조의2, 제38조, 제59조, 제63조, 제63조의2 및 제64조의2를 준용한다. 이 경우 "개인정보처리자"는 "수탁자"로 본다. <개정 2023.3.14, 2026.3.10>

(8) Articles아터클즈 15 through^θ쓰^r루 18, 21, 22, 22-2, 23, 24, 24-2, 25, 25-2, 27, 28, 28-2 through^θ쓰^r루 28-5, 28-7 through^θ쓰^r루 28-11, 29, 30, 30-2, 30-3, 31, 33, 34, 34-2, 35, 35-2, 36, 37, 37-2, 38, 59, 63, 63-2, and앤드 64-2 shall섈 apply어플라이 mutatis뮤타티즈 mutandis뮤탠디즈 to투 outsourcees.아웃소시즈 In인 this^ð디스 case,케이스 "personal퍼시늘 information인^f퍼메이션 controller"컨트^r로울러 shall섈 be비 read^r레드 as애즈 "outsourcee".아웃소시