주문·고객 정보를 자동화 업체에 맡길 때 확인할 개인정보 항목

쇼핑몰 주문 파일을 외주 업체가 받아 처리하면 개인정보보호법상 개인정보 처리 업무를 위탁한 것이 되고, 쇼핑몰은 문서로 계약하고 수탁자를 개인정보 처리방침에 공개해야 합니다(개인정보보호법 제26조). 처음부터 업체 서버에 고객 정보가 남지 않게 설계하면 맡기는 범위 자체가 줄어서 계약과 관리가 훨씬 가벼워집니다.

주문 데이터를 외주 업체에 맡기면 위탁에 해당하나요?

주문 엑셀에는 받는 사람 이름, 전화번호, 주소가 들어 있습니다. 업체가 이 파일을 받아 합치거나, 자기 서버에서 쇼핑몰 API로 주문을 가져오거나, 운영 중에 주문 내역을 볼 수 있다면 쇼핑몰(위탁자)의 업무를 업체(수탁자)가 대신 처리하는 셈입니다. 개인정보보호법 제26조가 이런 경우를 다룹니다.

반대로 업체가 만든 도구가 쇼핑몰 직원 PC나 쇼핑몰 계정 안에서만 돌고, 업체는 고객 정보를 받지도 보지도 않는다면 위탁 범위가 크게 줄어듭니다. 어느 쪽인지 애매하면 위탁으로 보고 계약을 맺어 두는 편이 안전합니다.

이 글은 국가법령정보센터에 게시된 개인정보 보호법과 같은 법 시행령 조문(2026년 9월 11일 시행본)을 바탕으로 실무에서 확인할 항목을 정리한 것입니다. 우리 회사 사정에 맞는 판단이나 계약서 문구 확정이 필요하면 법률 검토는 전문가에게 받으시기 바랍니다.

위탁 계약서에 들어가야 할 항목

제26조 제1항과 같은 법 시행령 제28조 제1항은 위탁할 때 문서에 넣을 내용을 정해 두었습니다. 쇼핑몰 입장에서 정리하면 다음과 같습니다. 마지막 줄의 보유 기간과 파기는 법에 따로 나열된 항목은 아니지만 계약서에 함께 적어 두는 편이 좋습니다.

개인정보보호위원회 누리집에서 위탁 관련 안내서와 표준 위탁 계약서 양식을 찾아 바탕으로 쓰면, 처음부터 새로 쓰지 않고 업무 내용만 채울 수 있습니다. 위탁자는 수탁자를 교육하고 처리 현황을 점검하는 등 수탁자가 개인정보를 안전하게 처리하는지 감독해야 합니다(제26조 제4항).

같은 조는 수탁자 쪽 의무도 정합니다. 수탁자는 위탁받은 업무 범위를 넘어 개인정보를 이용하거나 제3자에게 제공할 수 없고(제5항), 다시 위탁하려면 위탁자의 동의를 받아야 합니다(제6항). 수탁자가 위탁 업무와 관련해 법을 어겨 생긴 손해배상책임에 대해서는 수탁자를 위탁자의 소속 직원으로 본다는 규정도 있습니다(제7항). 구체적인 책임 범위는 사안마다 따져 봐야 하지만, 업체 쪽에서 생긴 문제가 쇼핑몰과 무관하게 끝나지 않을 수 있으므로 계약서의 책임 조항과 감독 방법을 가볍게 넘기지 않는 편이 좋습니다.

제26조 제8항은 안전조치(제29조), 파기(제21조), 유출 통지·신고(제34조) 등 여러 조항을 수탁자에게도 준용합니다. 업체도 접근 권한 관리와 접속 기록 보관 같은 안전조치를 해야 한다는 뜻이니, 실제로 어떻게 하고 있는지 계약 전에 물어볼 수 있습니다.

TIP계약서에 "개인정보 유출이 의심되면 업체가 지체 없이 쇼핑몰에 알린다"는 문장과 연락받을 담당자를 함께 적어 두세요. 제34조는 개인정보처리자가 유출을 알게 되면 지체 없이 정보주체에게 알리도록 하므로, 업체에서 소식이 늦게 오면 쇼핑몰의 대응도 늦어집니다.

개인정보 처리방침에 수탁자를 공개하는 법

위탁 업무의 내용과 수탁자는 고객이 언제든 쉽게 확인할 수 있도록 공개해야 합니다(제26조 제2항). 시행령 제28조 제2항은 그 방법으로 위탁자의 인터넷 홈페이지에 지속적으로 게재하는 방법을 정하고 있고, 홈페이지에 게재할 수 없으면 사업장의 보기 쉬운 장소에 게시하는 등 다른 방법을 쓰도록 합니다. 개인정보 처리방침에 넣을 사항에도 "개인정보처리의 위탁에 관한 사항"이 들어 있습니다(법 제30조 제1항). 쇼핑몰은 보통 홈페이지 하단의 개인정보 처리방침 안 "개인정보 처리 위탁" 표에 한 줄을 추가합니다.

이미 택배사, 결제대행사가 이 표에 올라가 있을 테니 같은 형식으로 붙이면 됩니다. 업체가 해외 클라우드나 해외 AI 서비스로 주문 정보를 보낸다면 국외 이전 규정도 함께 봐야 합니다. 제28조의8은 국외로 처리 위탁하거나 보관하는 경우도 "이전"에 포함하고, 정해진 요건을 갖춘 경우에만 이전할 수 있게 합니다. 그 요건 가운데 하나가 계약 이행에 필요한 처리 위탁·보관이면서 이전되는 항목, 이전되는 국가·시기·방법, 이전받는 자, 이용 목적과 보유 기간, 거부 방법 등을 개인정보 처리방침에 공개하는 경우입니다. 어떤 요건에 해당하는지는 상황마다 다르니, 계약 전에 데이터가 어느 나라 서버를 거치는지 업체에 묻고 필요하면 전문가 검토를 받습니다.

TIP업체에 "주문 정보가 거치는 서비스 목록"을 표로 달라고 요청해 보세요. 클라우드, AI 서비스, 오류 알림 도구, 메일 발송 도구까지 적어 달라고 하면 재위탁과 국외 이전 여부를 한 번에 확인할 수 있습니다.

업체 서버에 데이터가 남지 않는 설계

계약서보다 먼저 줄일 수 있는 것은 업체가 만지는 데이터의 양입니다.

• 브라우저 안 처리: 주문 엑셀 합치기나 송장 파일 만들기는 직원 PC의 웹 브라우저 안에서 파일을 읽고 결과를 내려받게 만들 수 있습니다. 파일이 업체 서버로 올라가지 않습니다.
• 고객사 계정 안에서 실행: 서버가 필요한 연동은 쇼핑몰 명의의 클라우드 계정에 설치하고, 업체는 필요할 때만 권한을 받아 들어갑니다.
• API로만 가능한 부분은 따로 떼기: 쿠팡 Wing Open API는 판매자 키로 주문을 가져오고, 호출하는 서버의 고정 IP를 등록해야 합니다. 이 부분은 업체 서버가 주문을 받게 되므로 위탁 계약 대상으로 명확히 정리합니다.

스마트스토어는 외부 개발사가 판매자 키를 받아 대신 운영하는 방식이 네이버 정책상 허용되지 않아 엑셀 방식이 현실적인데, 엑셀 방식은 브라우저 안 처리와 잘 맞습니다. 쇼핑몰별로 어떤 연동이 가능한지는 API와 엑셀 연동 비교 글에 정리했습니다. CS 문의처럼 AI가 고객 메시지를 읽어야 하는 업무라면 CS 답변 초안 글의 구조를 함께 보면 좋습니다.

테스트할 때 실제 고객 정보를 쓰지 않는 법

개발과 테스트 단계에서는 실제 고객 정보가 거의 필요하지 않습니다. 열 이름과 순서, 상품명·옵션 표기, 한 주문에 상품이 여러 개인 경우 같은 구조만 맞으면 됩니다. 엑셀에서 이름·전화·주소 열을 "홍길동", "010-0000-0000", "테스트 주소" 같은 값으로 바꾼 사본을 만들어 보내고, 원본은 쇼핑몰 안에 둡니다. 실제 데이터로 확인하는 병행 운영은 쇼핑몰 직원 PC에서 직원이 직접 돌리도록 순서를 짭니다.

계약 전에 업체에 물어볼 질문

계약서 양식을 채우기 전에 아래 질문의 답을 받아 두면, 계약서의 범위와 보호조치 칸을 실제 내용으로 채울 수 있습니다.

답이 "보안은 걱정 마세요"처럼 두루뭉술하면 항목별로 다시 물어봅니다. 답을 받은 내용은 계약서 부속 문서에 붙여 두면 나중에 점검할 때 기준이 됩니다.

계약이 끝날 때 정리할 것

위탁이 끝나는 날의 절차도 미리 정해 둡니다. 법 제21조는 개인정보가 필요 없게 되면 지체 없이 파기하고, 복구하거나 재생할 수 없도록 조치하도록 정하며, 이 조항은 수탁자에게도 준용됩니다.

1. 업체가 보관 중인 주문 데이터와 백업 위치 목록을 받습니다.
2. 쇼핑몰 쪽에서 업체에 준 계정, API 키, 클라우드 권한을 회수하거나 새로 발급합니다.
3. 업체가 데이터를 파기하고 파기 일자와 방법을 적은 확인서를 보냅니다.
4. 개인정보 처리방침의 위탁 표에서 업체 줄을 지우거나 새 업체로 바꿉니다.

ERP처럼 회사가 직접 키를 발급하는 시스템은 2단계가 간단합니다. 이 부분은 ERP 오픈 API 글의 인증키 관리 내용을 참고하시면 됩니다.

가상 사례: 월 주문 9,000건 건강식품 쇼핑몰

가상 사례 아래는 이해를 돕기 위해 만든 예시 회사입니다. 실제 고객 사례가 아닙니다.

직원 35명인 건강식품 쇼핑몰이 스마트스토어, 쿠팡, 자사몰에서 월 9,000건쯤 주문을 받습니다. 하루 평균 300건 남짓입니다. 주문 합치기와 송장 등록을 외주로 맡기려 하자 경영지원팀장이 고객 정보 유출을 먼저 걱정했습니다.

업무를 나눠 보니 데이터가 업체로 가는 곳은 한 군데였습니다.

업무	처리 위치	업체가 고객 정보를 받나
판매처별 주문 엑셀 합치기	직원 PC 브라우저	받지 않음
CJ대한통운 접수 파일·판매처별 송장 파일	직원 PC 브라우저	받지 않음
쿠팡 주문 자동 수집	업체 서버(고정 IP)	받음 → 위탁 계약 대상

개발에는 이름·전화·주소를 가짜 값으로 바꾼 엑셀 3일치만 넘겼습니다. 계약 정리는 반나절 안에 끝났습니다. 오전에 개인정보보호위원회 양식을 바탕으로 쿠팡 연동 부분만 범위로 한 위탁 계약서를 업체와 검토하고, 오후에 개인정보 처리방침의 위탁 표에 업체 한 줄을 추가했습니다. 브라우저 안에서 처리하는 두 업무는 업체가 데이터를 받지 않는 구조라는 점을 계약서 부속 문서에 적어 두었습니다.

계약 전 체크리스트

• 업체가 받거나 볼 수 있는 고객 정보 항목을 업무별로 적었다
• 브라우저 안이나 우리 회사 계정 안에서 처리할 수 있는 업무를 따로 골랐다
• 위탁 계약서에 목적, 범위, 보호조치, 재위탁 제한, 감독, 책임, 파기가 들어 있다
• 유출 의심 시 업체가 알릴 시점과 연락 창구를 정했다
• 개인정보 처리방침의 위탁 표에 업체와 업무를 추가했다
• 해외 서버를 거치는지 확인했다
• 테스트 파일은 개인정보를 바꾼 사본으로 보냈다
• 계약이 끝나면 계정·키를 회수하고 파기 확인서를 받기로 했다
• 우리 회사 사정에 맞는 해석이 필요한 부분은 전문가 검토를 받았다

루코 웍스의 주문 자동화 데모

루코 웍스의 주문 합치기·송장 데모는 파일을 브라우저 안에서만 읽고 서버로 올리지 않습니다. 실제 업무에서 어떤 부분을 브라우저 안에서 처리하고 어떤 부분이 위탁 계약 대상이 되는지는 진단 때 업무별로 함께 나눠 봅니다. 계약서와 처리방침의 최종 문구는 법률 전문가에게 확인받으세요.