보험사 고객정보 설계사·GA 등에 위탁…유출 땐 보험사도 책임

설계사·GA 등 외부 수탁자에 업무 수탁
"민사상 사실상 무과실책임 유의해야"

본 이미지는 AI로 생성된 이미지입니다.

보험사들이 보험설계사와 법인보험대리점(GA) 등 수만에 달하는 외부 수탁자에게 고객 개인정보 처리업무를 맡기면서 관리·감독의 중요성이 커지고 있다. 개인정보 처리업무를 외부에 위탁하더라도 정보유출 사고 등이 발생할 경우 보험사도 법적 책임을 부담해야 하기 때문이다. 최근 금융권에서 해킹 등 개인정보 침해사고가 잇따르는 가운데 보험사들이 외부 수탁자까지 아우르는 정보보호 체계를 강화할 필요성이 제기된다.

18일 보험연구원이 발간한 '보험회사의 개인정보 위탁 관련 법률문제'에 따르면 보험사들은 보험설계사, GA, 대출모집인, 긴급출동업체, 사고 현장 출동 업체, 의료자문의, 손해사정법인, 법무법인, 변호사, 법무사 등 수만에 달하는 법인·개인에게 개인정보 처리업무를 위탁하고 있다.

실제 A손해보험사의 경우 지난 9월 30일 기준 설계사 6만2127명, 대리점 4950곳, 긴급출동 업체 560곳, 사고현장 출동업체 750곳, 의료자문의 115명 등의 수탁자를 두고 있다. B생명보험사의 경우 이달 6일 기준 컨설턴트 2만여 명, 보험대리점 1200여 곳 등에 개인정보 처리를 위탁하고 있는 것으로 나타났다.

개인정보 처리업무 위탁은 위탁자 본인의 업무 처리와 이익을 위해 개인정보가 이전되는 경우를 의미한다. 개인정보의 제3자 제공과 달리 정보주체의 동의를 얻을 필요가 없어 비용이 절감되고, 수탁자가 주민등록번호를 처리하기 위한 법령상 근거가 따로 필요하지 않아 실무상 널리 활용되고 있다.

다만 최근 개인정보 처리업무 위탁과 제3자 제공을 구분하는 법적 판단이 중요해지면서 보험업계에서도 관련 제도에 대한 이해와 검토가 필요해지고 있다. 보험사가 개인정보 처리업무를 위탁한 것으로 판단하더라도 금융당국이나 법원이 이를 제3자 제공으로 해석할 경우, 정보주체의 동의 등 법적 요건을 갖추지 않았다면 과징금 등 제재를 받을 수 있기 때문이다.

개인정보 처리업무를 위탁하더라도 보험사는 법에서 정한 관리·감독 의무를 이행해야 한다. 우선 개인정보 처리위탁 계약을 문서로 체결해야 한다. 아울러 개인정보 처리방침 등에 개인정보의 수탁자 목록을 등재하고 수시로 현행화하는 작업이 필요하다. 정기적인 수탁자 점검 및 교육, 위탁기간 만료 시 개인정보 파기 점검 등도 진행해야 한다.

특히 수탁자의 과실로 개인정보가 유출될 경우 보험사 역시 손해배상 책임을 질 수 있다는 점에 유의해야 한다. 수탁자가 위탁받은 업무와 관련해 개인정보를 처리하는 과정에서 개인정보 보호법을 위반해 발생한 손해배상 책임에 대해서는 수탁자를 위탁자의 소속 직원으로 간주하기 때문이다. 보험사가 직접 개인정보를 유출하지 않았더라도 징벌적 손해배상이나 법정손해배상을 부담할 수 있다.

윤기열 보험연구원 연구위원은 "수탁자의 과실로 인한 개인정보 유출과 같은 사고에 대해서도 과징금 등 제재가 적으리라고 단정하기 어렵다"며 "민사상 손해에 대해서는 위탁자가 사실상 무과실책임을 진다는 점에 유의해 위탁 제도의 이용 시 주의해야 한다"고 강조했다.